Kepatuhan terhadap Undang-Undang Perlindungan Data Pribadi: Bagaimana pengaruhnya terhadap bisnis Indonesia dan luar negeri? | Hogan Lovells

Apakah PDP berlaku segera, dan apakah harus diberlakukan oleh pengontrol/pemroses data?

Mengacu pada ketentuan transisi PDP, pengontrol/pemroses data memiliki waktu dua (2) tahun sejak 17 Oktober 2022 untuk mematuhi PDP. Perlu dicatat bahwa meskipun dalam masa transisi, perusahaan perlu mengeksplorasi beberapa langkah selama periode ini untuk memastikan bahwa operasi mereka sejalan dengan ketentuan UU PDP.

Apa kewajiban pengontrol data di bawah PDP?

PDP mewajibkan pengontrol data untuk, antara lain:

• Memberikan informasi kepada subjek data mengenai legalitas dan tujuan pemrosesan data pribadi, jenis dan signifikansi data pribadi yang akan diproses, periode penyimpanan, perincian informasi yang dikumpulkan, periode pemrosesan data, dan hak-hak pribadi subjek data, sebelum pengumpulan data pribadi mereka. data;
• memberi tahu subjek data, atau memberi tahu secara lebih umum melalui media, mengenai transfer data pribadi sehubungan dengan merger, pemisahan, akuisisi, konsolidasi, atau pembubaran;
• Pastikan bahwa negara tempat pengontrol data penerima berada memiliki tingkat perlindungan data yang sesuai atau lebih tinggi jika terjadi transfer data eksternal, dan jika persyaratan ini tidak dapat dipenuhi, pengontrol data harus memastikan perlindungan data pribadi yang memadai dan mengikat. Persetujuan subjek data untuk pengiriman data eksternal hanya boleh diperoleh oleh pengontrol data jika dua kondisi sebelumnya tidak dapat dipenuhi; Dan
• Menjaga kerahasiaan data pribadi.

Menariknya lagi, UU PDP kini memperkenalkan aturan 72 (tujuh puluh dua) jam di mana perusahaan diwajibkan untuk:

• memberi tahu subjek data yang terpengaruh mengenai kejadian pelanggaran data paling lambat 72 (tujuh puluh dua) jam;
• memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi selambat-lambatnya 72 (tujuh puluh dua) jam setelah permintaan Subjek Data Pribadi;
• memberikan akses kepada subjek data paling lama 72 (tujuh puluh dua) jam setelah permintaan subjek data;
• Menghentikan pemrosesan data pribadi dan menghapus data pribadi selambat-lambatnya 72 (tujuh puluh dua) jam setelah persetujuan subjek data dicabut; Dan
• Penundaan dan pembatasan kegiatan pemrosesan selambat-lambatnya 72 (tujuh puluh dua) jam setelah permintaan pemilik data pribadi.

Apa hak subjek data di bawah PDP?

Subjek data memiliki hak-hak berikut:

• Untuk informasi mengenai kejelasan identitas, dasar kepentingan hukum, tujuan meminta dan menggunakan data pribadi, serta pertanggungjawaban pihak yang meminta data pribadi;
• melengkapi, memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi yang berkaitan dengannya sesuai dengan tujuan pengolahan data pribadi tersebut;
• untuk mengakses dan mendapatkan salinan data pribadi yang berkaitan dengan mereka;
• memperoleh dan/atau menggunakan data pribadi yang berkaitan dengan dirinya dari pengendali data pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik;
• untuk menggunakan dan mengirimkan data pribadi yang berkaitan dengan diri mereka sendiri kepada pengendali data pribadi lainnya;
• untuk menghapus dan/atau menghancurkan data pribadi yang berkaitan dengan mereka;
• untuk menarik persetujuan sehubungan dengan pemrosesan data pribadi yang berkaitan dengannya yang telah diberikan kepada Pengontrol Data Pribadi;
• menolak prosedur pengambilan keputusan yang hanya mengandalkan pemrosesan otomatis, termasuk pembuatan profil, yang memiliki konsekuensi hukum atau dampak signifikan terhadap subjek data;
• menunda atau membatasi pemrosesan data pribadi yang sepadan dengan tujuan pemrosesan data pribadi; Dan
• Untuk mengajukan klaim dan mendapatkan kompensasi atas pelanggaran pemrosesan data pribadi yang berkaitan dengannya

Sangat penting bagi perusahaan untuk memahami dan memastikan penghormatan terhadap hak subjek data saat mengumpulkan dan/atau memproses data pribadi mereka.

Apa sanksi bagi ketidakpatuhan terhadap PDP?

PDP menerapkan dua jenis sanksi, yaitu sanksi administratif dan sanksi pidana.

Pelanggaran terhadap ketentuan dalam PDP akan dikenakan sanksi administratif, sebagai berikut:

1. Teguran tertulis
2. Perintah untuk menangguhkan sementara aktivitas pemrosesan data pribadi;
3. perintah penghapusan atau pemusnahan data pribadi; wow
4. Denda maksimal 2% dari pendapatan kotor tahunan.

Kami memahami bahwa denda akan diatur lebih lanjut sambil menunggu diterbitkannya Peraturan Pelaksana.

Pelanggaran terhadap prosedur yang dilarang, yang meliputi pengumpulan, pengungkapan, penggunaan, dan pemalsuan data pribadi secara tidak sah, akan dikenakan hukuman pidana empat hingga enam tahun penjara dan/atau pidana denda sebesar Rp4 hingga 6 miliar untuk perorangan. . Bagi perusahaan, denda pidana akan dikalikan maksimal 10 kali lipat, hingga maksimal Rp 50 miliar atau kurang lebih. $3.182.878 USD.

Terdapat pula sanksi tambahan bagi perusahaan berupa antara lain:

• penyitaan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil kejahatan;
• penghentian seluruh atau sebagian usaha Perusahaan;
• larangan permanen atas tindakan tertentu;
• penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan perusahaan;
• pemenuhan kewajiban yang diabaikan;
• pembayaran kompensasi
• pencabutan izin dan/atau
• solusi perusahaan.

NB: Perlu dicatat bahwa tawaran di atas dapat berubah jika pemerintah menerbitkan lebih banyak peraturan pelaksanaan untuk PDP di masa mendatang.