Kapan perusahaan wajib menunjuk DPO?

Apa itu DPO?

DPO adalah singkatan dari Data Protection Officer. UU PDP menyebutnya pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi.

Tugasnya antara lain memberi saran, memantau kepatuhan, memberi masukan untuk penilaian dampak, serta menjadi penghubung untuk isu pemrosesan data (Pasal 54). Menunjuk DPO tidak memindahkan seluruh tanggung jawab pengendali kepada satu orang.

Mengapa cukup satu kriteria?

Putusan MK Nomor 151/PUU-XXII/2024 yang diucapkan pada 30 Juli 2025 memaknai penghubung dalam Pasal 53 ayat (1) sebagai “dan/atau”. Pertimbangan dan amar putusan menjelaskan bahwa kriteria tersebut tidak harus terpenuhi bersama-sama.

Karena itu, jangan memakai teks UU awal yang masih mencantumkan “dan” untuk menyimpulkan bahwa DPO baru wajib jika ketiga kriteria sekaligus terpenuhi. Baca putusan MK, bagian amar pada halaman 159.

Tiga kriteria wajib menunjuk DPO

Berlaku bagi pengendali dan prosesor. Baca ketiga kriteria dengan pemaknaan “dan/atau” dari Putusan MK 151/PUU-XXII/2024.

Pelayanan publik

Pemrosesan untuk kepentingan pelayanan publik. Website yang dapat dibuka publik saja belum menjawab kriteria ini.

Pemantauan sebagai kegiatan inti

Sifat, ruang lingkup, dan/atau tujuan kegiatan inti memerlukan pemantauan data pribadi secara teratur dan sistematis dalam skala besar.

Data tertentu sebagai kegiatan inti

Kegiatan inti berupa pemrosesan skala besar atas data pribadi spesifik dan/atau data yang berkaitan dengan tindak pidana.

Ya, setidaknya satu terpenuhi → wajib menunjuk DPO

Siapkan petugas dengan kemampuan dan dukungan untuk menjalankan fungsi pelindungan data.

Belum jelas → lengkapi penilaian

Periksa fungsi layanan, kegiatan inti, jenis dan skala data. Jangan mengubah ketidakpastian menjadi jawaban “tidak”.

Tidak ada yang terpenuhi → catat alasan

Tinjau ulang ketika kegiatan berubah. Kewajiban PDP lainnya tetap berlaku.

Tidak perlu menunggu ketiga kriteria terpenuhi. Diagram ini bukan penetapan kewajiban perusahaan tertentu; UU tidak memberikan satu ambang jumlah pelanggan atau pegawai untuk semua kegiatan.

Rujukan: UU PDP, Pasal 53–54 · Putusan MK 151/PUU-XXII/2024, pertimbangan 3.13 dan amar.

Data spesifik mencakup, antara lain, kesehatan, biometrik, genetika, data anak, dan data keuangan pribadi (Pasal 4).

UU tidak memberikan satu angka jumlah pelanggan atau pegawai untuk menetapkan seluruh kegiatan sebagai “skala besar”. Catat jumlah orang, jenis data, jangkauan, frekuensi, dan lamanya pemrosesan sebagai bahan penilaian; daftar pertimbangan ini bukan ambang resmi dari UU.

Bolehkah memakai DPO dari luar perusahaan?

Boleh. Pasal 53 ayat (3) memperbolehkan petugas dari dalam dan/atau luar pengendali atau prosesor. Ayat (2) mengaitkan penunjukan dengan profesionalitas, pengetahuan hukum, praktik pelindungan data, dan kemampuan menjalankan tugas.

Jadi, menambah gelar “DPO” pada jabatan seseorang belum cukup. Periksa kemampuan, waktu kerja, akses informasi, dan dukungan yang diperlukan. Pasal 53 sendiri tidak menyebut satu sertifikat tertentu sebagai satu-satunya syarat penunjukan.

Apa yang perlu disiapkan tim?

Buat catatan penilaian yang memuat kegiatan inti, jenis dan skala data, kriteria yang terpenuhi, alasan, serta tanggal peninjauan. Jika wajib menunjuk, dokumentasikan orang atau penyedia yang ditunjuk, lingkup tugas, jalur pelaporan, dan cara tim menghubunginya. Ini saran dokumentasi kerja, bukan formulir resmi.

Jika hasilnya belum wajib, simpan alasannya dan periksa ulang ketika bisnis menambah layanan atau mengubah pemrosesan. Tidak wajib DPO bukan berarti bebas dari kewajiban PDP lainnya.