Menyusun program kerja DPO atau penanggung jawab privasi

Bedakan penunjukan dan pekerjaan sehari-hari

Program kerja DPO menghubungkan tugas privasi dengan pekerjaan yang benar-benar dilakukan tim. Mulai dengan memeriksa kewajiban penunjukan. Putusan MK 151/PUU-XXII/2024 memaknai penghubung kriteria sebagai “dan/atau”; jangan menunggu ketiga kriteria terpenuhi sekaligus.

Jika bisnis belum wajib menunjuk DPO, tetap tentukan siapa mengoordinasikan pekerjaan privasi. Penanggung jawab internal ini tidak otomatis mempunyai status atau memenuhi persyaratan DPO. Kewajiban pengendali tidak berpindah hanya karena ada orang yang ditunjuk.

Pasal 53 mengatur kemampuan petugas dan memungkinkan asal internal dan/atau eksternal. Pasal 54 memuat tugas memberi informasi/saran, memantau kepatuhan, memberi saran penilaian dampak dan memantau kinerja, serta menjadi narahubung. Program di bawah adalah contoh penerapan, bukan kalender wajib dari UU.

Tentukan akses, peran dan jalur keputusan

Sebelum membuat jadwal, sepakati informasi yang dapat diperoleh petugas: daftar kegiatan, perubahan fitur, kontrak pengolahan data, permintaan hak dan catatan insiden yang relevan. Beri akses sesuai kebutuhan dan jaga kerahasiaannya; petugas tidak harus menerima salinan semua data pelanggan.

Pihak	Contoh pekerjaan
Pemilik proses	Menjelaskan tujuan, kebutuhan data dan perubahan kegiatan
Produk/IT	Menjalankan perubahan akses, penghapusan, pencatatan dan uji teknis
DPO/petugas privasi	Memberi saran, memantau hasil dan mencatat masalah yang perlu keputusan
Pimpinan yang berwenang	Memutuskan tindakan, menyediakan sumber daya dan menindaklanjuti eskalasi

Catat siapa menggantikan petugas ketika tidak tersedia. Jika satu orang merancang penggunaan data sekaligus menilai pekerjaannya sendiri, buat pemeriksaan kedua dan jalur eskalasi. Ini saran menjaga kualitas keputusan; artikel ini tidak menyatakan setiap rangkap jabatan dilarang oleh UU.

Pilih pekerjaan berdasarkan risiko

Pasal 54 ayat (2) meminta perhatian pada risiko, sifat, ruang lingkup, konteks dan tujuan pemrosesan. Karena itu, jangan membagi waktu hanya menurut jumlah departemen.

Contoh: tim HR akan memasang absensi biometrik, sementara toko hanya mengubah warna tombol. Pemeriksaan kebutuhan, dasar, dampak dan alternatif absensi lebih mendesak daripada perubahan warna yang tidak mengubah alur data. Gunakan catatan DPIA untuk kegiatan berisiko tinggi yang memenuhi pemicu.

Susun daftar kerja berisi kegiatan, risiko, pekerjaan, pelaksana, pemeriksa, tenggat dan bukti. Tandai pekerjaan yang harus selesai sebelum peluncuran. Saran “jangan diluncurkan dulu” perlu alasan dan syarat peninjauan, bukan hanya kolom merah.

Contoh program tiga bulan

Rentang ini contoh organisasi fiktif, bukan tenggat hukum atau janji pekerjaan selalu selesai dalam tiga bulan.

1. Bulan pertama: cocokkan daftar kegiatan dengan sistem dan vendor. Pilih dua alur prioritas, catat celah dasar pemrosesan, lalu periksa jalur penerimaan permintaan hak.
2. Bulan kedua: tinjau perubahan fitur prioritas. Beri masukan DPIA bila diperlukan, periksa kontrak vendor terkait dan minta tim IT menunjukkan hasil uji akses/penghapusan.
3. Bulan ketiga: ambil sampel penyelesaian permintaan dan tindak lanjut sebelumnya. Laporkan temuan terbuka, keputusan yang tertunda dan perubahan prioritas kepada pimpinan.

Permintaan hak atau insiden tidak menunggu giliran review bulanan. Siapkan jalur kerja sesuai pemicu dan tenggat ketentuan masing-masing.

Laporkan hasil yang bisa ditindaklanjuti

Laporan singkat dapat memuat saran, bukti yang diperiksa, masalah, dampak, pemilik keputusan dan tindakan berikutnya. Contoh: “penghapusan di sistem vendor belum dibuktikan; pemilik integrasi diminta memperoleh hasil pemeriksaan sebelum menyatakan permintaan selesai”.

Jika saran tidak diterima, simpan alasan keputusan dan penanggung jawabnya. Jangan menandai pekerjaan selesai hanya karena pelatihan berlangsung atau surat penunjukan terbit.

Periksa program ketika produk, vendor, skala atau aturan berubah. Gunakan ROPA sebagai daftar kegiatan yang dijaga bersama; status aturan pelaksanaan dibatasi sebagaimana record UU PDP.