Risiko data pribadi di vendor adalah potensi kerugian yang muncul ketika vendor, mitra, atau penyedia layanan yang memproses data pribadi pelanggan Anda menyalahgunakan, membocorkan, atau menyimpan data tersebut tanpa pengawasan yang memadai. Masalah itu tidak berhenti di vendor saja, karena dampaknya ikut menyeret perusahaan yang mempekerjakan vendor tersebut.
Data terbaru menunjukkan betapa nyatanya risiko ini. Dini Rosdini, Kepala Program Akuntansi FEB Universitas Padjadjaran, dalam forum Advancing Risk Management in Indonesia pada 23 Juli 2026 mengungkapkan bahwa 30 persen pelanggaran keamanan data berasal dari pihak ketiga, dengan angka yang melonjak jadi 49 persen khusus di sektor keuangan.
Masalahnya, risiko data pribadi di vendor sering dianggap selesai begitu kontrak kerja sama diteken. Padahal, secara hukum, tanggung jawab atas data itu tidak sepenuhnya berpindah ke vendor, dan artikel ini akan membedah kenapa hal tersebut terjadi serta bagaimana cara mengelolanya.
Kenapa Risiko Data Pribadi di Vendor Tetap Jadi Tanggung Jawab Anda?
Secara hukum, hubungan ini diatur dalam Pasal 51 sampai 54 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang menempatkan vendor sebagai Prosesor Data Pribadi yang wajib memproses data berdasarkan instruksi Pengendali. Ketentuan yang sama menegaskan bahwa pemrosesan data oleh Prosesor tetap termasuk dalam tanggung jawab Pengendali, bukan tanggung jawab vendor semata.
Artinya, ketika vendor pembayaran atau penyedia layanan cloud yang Anda pakai mengalami kebocoran data pelanggan, perusahaan Anda sebagai Pengendali tetap bisa dimintai pertanggungjawaban di mata hukum. Prinsip ini yang membuat pengelolaan risiko data pribadi di vendor tidak bisa diserahkan begitu saja tanpa pengawasan lanjutan.
Meski begitu, tanggung jawab ini tidak sepenuhnya berat sebelah ke satu pihak saja. Tabel berikut merangkum pembagian tanggung jawab antara Pengendali dan Prosesor sesuai UU PDP.
| Pihak | Tanggung Jawab Utama |
|---|---|
| Pengendali (Perusahaan Anda) | Memastikan ada dasar hukum yang sah untuk pemrosesan, memilih dan mengawasi vendor, serta bertanggung jawab penuh ke subjek data dan otoritas atas keseluruhan pemrosesan |
| Prosesor (Vendor) | Memproses data hanya sesuai instruksi tertulis Pengendali, menjaga kerahasiaan dan keamanan data, melapor bila terjadi insiden, serta tidak melibatkan subvendor tanpa izin tertulis |
Vendor baru ikut bisa dimintai tanggung jawab secara hukum jika terbukti memproses data di luar instruksi yang diberikan Pengendali. Selama vendor bekerja sesuai instruksi, tanggung jawab utama tetap berada di tangan perusahaan yang menunjuk mereka.
Jenis-Jenis Risiko Data Pribadi di Vendor Pihak Ketiga
Risiko data pribadi di vendor umumnya terbagi ke dalam 5 kategori, tergantung bagaimana data itu diperlakukan di luar kendali langsung Anda. Tabel berikut merangkum kelima kategori tersebut beserta contohnya.
| Jenis Risiko | Penjelasan | Contoh |
|---|---|---|
| Risiko Keamanan Data Pribadi | Vendor mengalami insiden siber yang membocorkan data pribadi yang mereka kelola untuk Anda | Penyedia layanan email marketing diretas, database kontak pelanggan bocor |
| Risiko Pemrosesan di Luar Instruksi | Vendor memakai data pribadi melampaui tujuan yang disepakati dalam kontrak | Vendor memakai data pelanggan Anda untuk memasarkan produk mereka sendiri |
| Risiko Rantai Subvendor | Data pribadi diteruskan ke subvendor lain tanpa sepengetahuan atau persetujuan Anda | Vendor hosting diam-diam menyerahkan pengelolaan data ke penyedia cloud lain |
| Risiko Retensi Data | Vendor tetap menyimpan data pribadi meski kontrak sudah berakhir atau data tidak lagi diperlukan | Data mantan pelanggan masih tersimpan bertahun-tahun setelah kontrak putus |
| Risiko Akses Berlebih | Vendor memberi akses data pribadi ke lebih banyak staf internal mereka daripada yang dibutuhkan | Karyawan vendor yang sudah resign masih bisa membuka data pelanggan Anda |
Kelima jenis risiko ini jarang berdiri sendiri, karena satu praktik vendor yang buruk biasanya memicu lebih dari satu kategori sekaligus. Vendor yang lalai soal retensi data, misalnya, biasanya juga lemah dalam mengontrol siapa saja yang masih bisa mengakses data tersebut.
5 Langkah Mengelola Risiko Data Pribadi di Vendor Pihak Ketiga
Mengelola risiko data pribadi di vendor mengikuti 5 langkah berurutan: klasifikasikan vendor berdasarkan data yang mereka akses, lakukan due diligence, masukkan klausul wajib di kontrak, pantau perlakuan mereka terhadap data secara berkala, dan siapkan prosedur exit. Penjelasan tiap langkah ada di bawah ini.
1. Klasifikasikan Vendor Berdasarkan Jenis dan Volume Data Pribadi yang Diakses
Tidak semua vendor memproses data pribadi dengan intensitas yang sama, jadi pengawasannya pun tidak perlu disamaratakan. Vendor yang mengakses data sensitif atau data pribadi pelanggan dalam jumlah besar harus masuk kategori kritis, sementara vendor yang hanya menyediakan alat tulis kantor tidak perlu pengawasan seketat itu.
2. Lakukan Due Diligence terhadap Praktik Perlindungan Data Pribadi Vendor
Sebelum kontrak diteken, minta vendor menunjukkan bagaimana mereka menyimpan, membatasi akses, dan mengamankan data pribadi yang akan mereka proses untuk Anda. Tahap ini yang paling sering dilewati karena tim procurement terburu-buru menyelesaikan proses pengadaan.
3. Masukkan Klausul Wajib soal Pemrosesan Data Pribadi dalam Kontrak
Kontrak dengan vendor perlu memuat klausul yang jelas soal instruksi pemrosesan data pribadi, kewajiban kerahasiaan, standar keamanan data, serta hak Anda untuk melakukan audit. Otoritas privasi Inggris, ICO, merekomendasikan pendekatan serupa: kontrak harus menegaskan bahwa vendor hanya boleh memproses data pribadi sesuai instruksi tertulis, wajib melapor jika terjadi insiden, dan tidak boleh melibatkan subvendor tanpa persetujuan tertulis lebih dulu.
4. Pantau Bagaimana Vendor Memperlakukan Data Pribadi Secara Berkala
Penilaian yang hanya dilakukan sekali saat onboarding cepat kehilangan relevansi begitu praktik vendor dalam mengelola data pribadi berubah. Jadwalkan peninjauan ulang minimal setiap tahun untuk vendor kritis, dan lebih sering lagi jika ada perubahan pada cara mereka menyimpan atau mengakses data pelanggan Anda.
5. Pastikan Data Pribadi Dihapus atau Dikembalikan Saat Kontrak Berakhir
Pastikan kontrak mengatur kewajiban vendor menghapus atau mengembalikan seluruh data pribadi begitu kerja sama berakhir, lengkap dengan bukti penghapusan. Tanpa klausul ini, data pelanggan bisa saja tetap tersimpan di sistem vendor lama tanpa sepengetahuan Anda.
Kesalahan Umum Perusahaan Saat Mengelola Data Pribadi di Vendor
Setidaknya ada 5 kesalahan yang membuat pengelolaan data pribadi di vendor gagal berjalan efektif. Mengenali polanya membantu perusahaan menghindari celah yang sama.
- Menilai vendor hanya sekali di awal kontrak, tanpa meninjau ulang bagaimana mereka memperlakukan data pribadi seiring waktu.
- Tidak melibatkan tim legal saat menyusun klausul perlindungan data pribadi dalam kontrak vendor.
- Memberi akses data pribadi yang lebih luas dari kebutuhan aktual vendor tersebut.
- Tidak memiliki daftar lengkap seluruh vendor yang mengakses data pribadi, sehingga muncul vendor bayangan yang luput dari pengawasan.
- Tidak mewajibkan vendor menghapus data pribadi begitu kontrak berakhir atau data tersebut sudah tidak diperlukan.
Kesimpulan
Risiko data pribadi di vendor tidak selesai hanya dengan menandatangani kontrak kerja sama, karena tanggung jawab hukumnya tetap melekat pada perusahaan yang menunjuk vendor tersebut. Klasifikasi vendor berdasarkan data yang mereka akses, due diligence sejak awal, klausul kontrak yang jelas, dan pemantauan berkelanjutan adalah rangkaian yang menentukan apakah risiko ini benar-benar terkelola atau hanya menunggu waktu menjadi masalah.
Semakin banyak fungsi bisnis yang dialihkan ke pihak ketiga, semakin besar pula permukaan risiko yang perlu diawasi perusahaan. Mengelola risiko ini secara manual lewat spreadsheet mungkin cukup untuk lima vendor pertama, tapi cepat kewalahan begitu jumlah vendor terus bertambah.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
UU PDP tidak menyebut istilah “due diligence” secara eksplisit, tapi kewajiban memastikan Prosesor patuh pada instruksi dan ketentuan hukum secara tidak langsung menuntut proses penilaian semacam itu. Tanpa due diligence, Pengendali akan kesulitan membuktikan kepatuhannya sendiri.
Perusahaan Anda sebagai Pengendali tetap bisa dimintai pertanggungjawaban di mata hukum. Vendor sebagai Prosesor juga bisa ikut bertanggung jawab jika terbukti memproses data di luar instruksi yang diberikan.
Perlu, karena subvendor yang ditunjuk vendor utama tetap punya akses ke data yang sama. Kontrak dengan vendor utama sebaiknya mewajibkan persetujuan tertulis sebelum subvendor mana pun dilibatkan.
Minimal setahun sekali untuk vendor dengan akses data kritis, dan lebih cepat lagi jika ada perubahan signifikan pada layanan mereka. Vendor dengan risiko rendah bisa ditinjau dalam siklus yang lebih panjang.
Tidak. Kedalaman penilaian sebaiknya disesuaikan dengan jenis dan jumlah data yang diakses vendor tersebut, bukan disamaratakan untuk semua jenis vendor.
