Subprosesor data adalah pihak ketiga yang ditunjuk oleh vendor Anda untuk ikut membantu memproses data pribadi, meski perusahaan Anda sendiri tidak pernah berhubungan langsung dengannya. Keberadaannya sering luput dari perhatian karena tidak tercantum di kontrak utama, padahal tetap menyentuh data yang sama.
HelpNet Security mencatat bahwa keterlibatan pihak ketiga dalam kebocoran data hampir dua kali lipat dalam setahun terakhir, dari 15 persen menjadi hampir 30 persen. Sebagian besar program pengawasan vendor berhenti di lapisan pertama saja, padahal risiko yang sebenarnya sering muncul satu lapisan lebih dalam.
Masalahnya, subprosesor data tanggung jawab perusahaan sering dianggap selesai begitu kontrak dengan vendor utama diteken. Artikel ini membahas kenapa anggapan itu keliru dan bagaimana cara mengelola risikonya dengan benar.
Apa Itu Subprosesor Data?
Subprosesor muncul ketika vendor yang Anda tunjuk langsung, atau Prosesor Data Pribadi dalam istilah UU PDP, ikut menunjuk pihak lain untuk membantu sebagian pekerjaannya. Penyedia layanan email marketing yang Anda pakai, misalnya, mungkin menyimpan datanya di layanan cloud pihak lain yang sama sekali tidak Anda kenal.
Contoh lain yang sering terjadi adalah vendor customer service yang memakai tools chatbot berbasis AI dari penyedia terpisah, atau vendor payroll yang menyerahkan sebagian pemrosesan ke perusahaan pengolah data pihak ketiga.
Dalam semua kasus ini, data pribadi yang awalnya Anda percayakan ke satu vendor ternyata ikut mengalir ke pihak yang tidak pernah Anda tunjuk secara langsung.
Kenapa Tanggung Jawab Tidak Berhenti di Vendor Pertama
Secara hukum, hubungan Pengendali dan Prosesor diatur dalam Pasal 51 sampai 54 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang menegaskan bahwa pemrosesan data oleh Prosesor tetap termasuk dalam tanggung jawab Pengendali.
UU PDP memang tidak memakai istilah “subprosesor” secara eksplisit, tapi prinsip akuntabilitas yang sama secara logis tetap berlaku meski data sudah berpindah satu lapisan lebih jauh dari vendor utama Anda.
Sebagai perbandingan, GDPR mengatur soal ini secara lebih eksplisit lewat Pasal 28 ayat (2), yang mewajibkan vendor mendapat persetujuan tertulis dari Pengendali sebelum melibatkan subprosesor mana pun. Ketentuan seperti ini belum diatur setegas itu dalam UU PDP, tapi praktik yang sama tetap layak diadopsi perusahaan Indonesia sebagai langkah kehati-hatian, bukan sekadar formalitas kontrak.
Cara Mengetahui Vendor Anda Punya Subprosesor
Kebanyakan perusahaan baru menyadari ada subprosesor setelah insiden terjadi, padahal informasi ini sebenarnya bisa digali lebih awal. Berikut 3 cara paling praktis untuk menemukannya.
- Minta vendor mencantumkan daftar subprosesor yang mereka pakai secara tertulis, bukan hanya dijelaskan secara lisan saat presentasi penjualan.
- Periksa kebijakan privasi atau halaman kepatuhan vendor, karena banyak penyedia layanan SaaS sudah mempublikasikan daftar subprosesornya secara terbuka.
- Ajukan pertanyaan spesifik saat due diligence, seperti sistem cloud apa yang dipakai untuk menyimpan data atau pihak mana yang menangani dukungan teknis di belakang layar.
4 Langkah Mengelola Risiko Subprosesor
Mengelola risiko subprosesor mengikuti 4 langkah berurutan: wajibkan pemberitahuan, teruskan klausul kontrak yang sama, tetapkan hak keberatan, dan audit secara berkala. Penjelasan tiap langkah ada di bawah ini.
1. Wajibkan Pemberitahuan Sebelum Subprosesor Baru Ditambahkan
Masukkan klausul yang mewajibkan vendor memberi tahu Anda sebelum menambah subprosesor baru, bukan setelah subprosesor itu sudah aktif memproses data. Pemberitahuan di awal memberi ruang untuk menilai risikonya sebelum data benar-benar mengalir ke pihak baru tersebut.
2. Teruskan Klausul Kontrak yang Sama ke Subprosesor
Pastikan kontrak Anda mewajibkan vendor menurunkan klausul perlindungan data yang sama ke subprosesornya, bukan membiarkan subprosesor bekerja dengan standar yang lebih longgar. Tanpa ketentuan ini, standar keamanan data bisa melemah setiap kali data berpindah satu lapisan lebih jauh.
3. Tetapkan Hak untuk Mengajukan Keberatan
Perusahaan Anda sebaiknya punya hak menolak subprosesor tertentu jika penilaian risikonya dianggap tidak memadai. Hak ini penting terutama untuk data sensitif yang risikonya lebih tinggi jika berpindah ke pihak yang tidak diketahui rekam jejaknya.
4. Audit Rantai Subprosesor Secara Berkala
Jadwalkan peninjauan ulang daftar subprosesor setidaknya setahun sekali, karena vendor bisa saja mengganti atau menambah subprosesornya tanpa disadari. Audit berkala mencegah daftar yang sudah disetujui di awal menjadi usang tanpa sepengetahuan Anda.
Kesalahan Umum Perusahaan Soal Subprosesor Data
Setidaknya ada 5 kesalahan yang membuat pengawasan subprosesor gagal berjalan efektif. Mengenali polanya membantu perusahaan menghindari celah yang sama.
- Menganggap tanggung jawab selesai begitu kontrak dengan vendor utama diteken, tanpa pernah menanyakan soal subprosesor.
- Tidak mencantumkan klausul pemberitahuan subprosesor dalam kontrak, sehingga perubahan terjadi tanpa sepengetahuan perusahaan.
- Mempercayai klaim lisan vendor soal keamanan subprosesornya tanpa meminta bukti tertulis.
- Tidak meninjau ulang daftar subprosesor meski kontrak dengan vendor sudah berjalan bertahun-tahun.
- Memberi persetujuan blanket di awal tanpa mekanisme untuk menolak subprosesor tertentu di kemudian hari.
Kesimpulan
Subprosesor data perusahaan sering luput dari perhatian karena tidak pernah muncul di kontrak utama, padahal tanggung jawab atas data yang mengalir ke pihak tersebut tetap melekat pada perusahaan Anda. Klausul pemberitahuan, penurunan standar kontrak yang konsisten, dan audit berkala adalah rangkaian yang menentukan apakah risiko ini benar-benar terkelola atau hanya menunggu waktu menjadi masalah.
Semakin panjang rantai vendor yang dipakai, semakin besar pula titik buta yang perlu diawasi perusahaan. Mengandalkan kepercayaan penuh ke vendor utama tanpa pernah menanyakan soal subprosesornya sama saja membiarkan celah itu terbuka tanpa disadari.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
UU PDP tidak mengatur ini secara eksplisit seperti GDPR, tapi praktik meminta persetujuan tertulis tetap disarankan sebagai langkah kehati-hatian tambahan.
Perusahaan Anda sebagai Pengendali tetap bisa dimintai pertanggungjawaban, dan vendor utama sebagai Prosesor juga ikut bertanggung jawab atas subprosesor yang mereka tunjuk.
Tidak ada kewajiban hukum yang eksplisit di Indonesia, tapi mencantumkan klausul ini dalam kontrak membuat pengungkapan menjadi kewajiban kontraktual meski bukan kewajiban undang-undang.
Bisa, dan rantai ini bisa terus berlanjut lebih dari satu lapisan. Prinsip yang sama tetap berlaku, klausul kontrak dan kewajiban notifikasi idealnya diturunkan ke setiap lapisan tambahan.
Penolakan ini sebaiknya jadi bahan pertimbangan serius sebelum melanjutkan kerja sama, terutama untuk data sensitif. Vendor yang transparan biasanya tidak keberatan mengungkapkan informasi ini saat diminta secara tertulis.
