By Muhammad Deckri Algamar, AIGP With Prof. Abu Bakar Munir
Powered by
The regulation · full text Salinan v5.8 · 28 Sep 2026
08The regulation · Pasal 20-57
The rights mechanism and lawful bases
The regulation in full with its chapter structure. Each article links back to the
statutory obligation it implements and to the official copy at its exact page.
Pelaksanaan hak Subjek Data Pribadi diajukan melalui permohonan tercatat yang disampaikan secara elektronik atau nonelektronik kepada Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Yang dimaksud dengan "secara elektronik" misalnya melalui platform web atau aplikasi, telepon, dan surat elektronik. Yang dimaksud dengan "secara nonelektronik" misalnya melalui surat dan tatap muka.
Pengendali Data Pribadi harus menyediakan kanal permohonan pelaksanaan hak Subjek Data Pribadi, baik secara elektronik dan/atau nonelektronik yang mudah diakses oleh Subjek Data Pribadi.
(2)
Dalam hal Pengendali Data Pribadi memproses Data Pribadi secara elektronik, permohonan pelaksanaan hak Subjek Data Pribadi disampaikan secara elektronik.
(3)
Pengendali Data Pribadi menyampaikan pemberitahuan pelaksanaan hak Subjek Data Pribadi yang dimohonkan sebagaimana dimaksud pada ayat (1) melalui:
a.
media komunikasi yang sama dengan media komunikasi yang digunakan Subjek Data Pribadi pada saat pengajuan permohonan; atau
b.
media komunikasi lain yang dapat diakses Subjek Data Pribadi dengan mudah.
Waktu penerimaan atas permohonan tercatat sebagaimana dimaksud dalam Pasal 20 ditentukan sebagai berikut:
a.
permohonan yang disampaikan secara elektronik, waktu penerimaan dihitung sejak permohonan masuk ke dalam sistem elektronik di bawah kendali Pengendali Data Pribadi; atau
b.
permohonan yang disampaikan secara nonelektronik, waktu penerimaan dihitung sesuai tanggal pada tanda terima permohonan.
Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan "pihak kuasa" termasuk kuasa secara kolektif bagi lebih dari satu Subjek Data Pribadi.
Ayat (1) Huruf a Yang dimaksud dengan "identitas pihak yang mengajukan permohonan" adalah identitas Subjek Data Pribadi dan dalam hal Subjek Data Pribadi diwakili oleh orang tua, wali, atau kuasa, identitas dari wakil tersebut. Identitas pihak yang mengajukan permohonan dapat berupa identitas resmi yang dikeluarkan oleh Pemerintah atau identitas lain sesuai dengan tujuan pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi. Huruf b Cukup jelas. Huruf c Yang dimaksud dengan "uraian permohonan Subjek Data Pribadi atas Data Pribadi yang diproses" adalah penjelasan Subjek Data Pribadi mengenai misalnya Data Pribadi yang akan dihapus, diperbarui, atau pemrosesan yang dibatasi. Ayat (2) Cukup jelas.
Verifikasi yang dilakukan oleh Pengendali Data Pribadi adalah pemeriksaan kelengkapan persyaratan atas permohonan Subjek Data Pribadi dan kesesuaian Subjek Data Pribadi yang mengajukan permohonan merupakan pihak yang Data Pribadinya diproses oleh Pengendali Data Pribadi. Termasuk dalam melakukan verifikasi adalah pemeriksaan terhadap keabsahan identitas dan/atau hak pemohon untuk mengajukan permohonan sesuai dengan tujuan pemrosesan Data Pribadi. Yang dimaksud dengan "mekanisme proporsional" adalah cara yang digunakan oleh Pengendali Data Pribadi untuk melakukan verifikasi sesuai dengan tujuan permohonan Subjek Data Pribadi, teknologi, metode, dan waktu yang dibutuhkan oleh Pengendali Data Pribadi untuk melakukan verifikasi terhadap permohonan tersebut. Oleh karena itu, Pengendali Data Pribadi melakukan verifikasi tidak lebih lama dari waktu yang dibutuhkan, sehingga hak Subjek Data Pribadi dapat dipenuhi secara optimal.
Pengendali Data Pribadi menentukan kondisi pemenuhan dan/atau penolakan atas permohonan pelaksanaan hak Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Dalam hal Pengendali Data Pribadi tidak melaksanakan kewajibannya atas permohonan pelaksanaan hak Subjek Data Pribadi, Subjek Data Pribadi dapat melaporkan kepada Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(2)
Laporan sebagaimana dimaksud pada ayat (1) ditindaklanjuti oleh Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
Pengendali Data Pribadi harus menyusun dan menetapkan ketentuan pemrosesan Data Pribadi yang berlaku di internal Pengendali Data Pribadi.
(2)
Penyusunan dan penetapan ketentuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) harus dilaksanakan sesuai dengan pedoman penyusunan ketentuan pemrosesan Data Pribadi yang ditetapkan oleh Lembaga.
(3)
Pedoman penyusunan sebagaimana dimaksud pada ayat (2) memuat ketentuan pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(4)
Pengendali Data Pribadi dapat berkonsultasi dengan Lembaga dalam menyusun ketentuan pemrosesan Data Pribadi yang berlaku di internal.
Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib melaksanakan perintah Lembaga dalam rangka penyelenggaraan Pelindungan Data Pribadi sebagaimana diatur ketentuan dalam Undang-Undang mengenai Pelindungan Data Pribadi.
Perintah Lembaga termasuk perintah kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam rangka melaksanakan kewajiban Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, dan/atau memenuhi atau memulihkan hak-hak Subjek Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi.
(2)
Kewajiban memiliki dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan sebelum Pengendali Data Pribadi melakukan pemrosesan Data Pribadi.
(3)
Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi:
a.
persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi;
b.
pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian;
c.
pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan;
d.
pemenuhan pelindungan kepentingan vital Subjek Data Pribadi;
e.
pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan ketentuan peraturan perundang-undangan; dan/atau
f.
pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi.
(4)
Penentuan dalam penggunaan dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (3) didasarkan pada maksud dan tujuan serta kebutuhan dalam pemrosesan Data Pribadi dengan memenuhi ketentuan yang diatur dalam Peraturan Pemerintah ini.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan "kepentingan vital Subjek Data Pribadi" adalah terkait dengan keberlangsungan hidup dari Subjek Data Pribadi misalnya ketika pemrosesan Data Pribadi diperlukan untuk tindakan perawatan medis serius. Huruf e Cukup jelas. Huruf f Cukup jelas. Ayat (4) Cukup jelas.
Yang dimaksud dengan "bersifat diskriminatif" yaitu segala bentuk pembedaan, pengecualian, pembatasan, atau pemilihan berdasarkan pada ras dan etnis yang mengakibatkan pencabutan atau pengurangan pengakuan, perolehan, atau pelaksanaan hak asasi manusia dan kebebasan dasar dalam suatu kesetaraan di bidang sipil, politik, ekonomi, sosial, dan budaya sebagaimana diatur dalam peraturan perundang-undangan yang mengatur di bidang penghapusan diskriminasi.
Paragraf 2 · Persetujuan yang Sah Secara Eksplisit
Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa persetujuan yang sah secara eksplisit.
(2)
Persetujuan yang sah secara eksplisit sebagaimana dimaksud dalam Pasal 30 ayat (3) huruf a harus didapatkan dari Subjek Data Pribadi secara bebas, sadar, spesifik, dan tidak ambigu.
Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan "ambigu" misalnya pemberian persetujuan pemrosesan Data Pribadi digabungkan dengan pemberian persetujuan terhadap syarat dan ketentuan sehingga Subjek Data Pribadi dianggap telah memberikan persetujuan atas pemrosesan Data Pribadi hanya dengan membaca syarat dan ketentuan.
Dalam pemrosesan Data Pribadi berdasarkan persetujuan yang sah secara eksplisit dari Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 30 ayat (3) huruf a, Pengendali Data Pribadi wajib menyampaikan Informasi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(2)
Informasi sebagaimana dimaksud pada ayat (1) disampaikan sebelum mendapatkan persetujuan dari Subjek Data Pribadi.
(3)
Informasi sebagaimana dimaksud pada ayat (1) diberikan kepada Subjek Data Pribadi secara ringkas, tepat, dan sesuai dengan kegiatan pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Mekanisme perolehan persetujuan antara lain penyediaan kolom, laman, atau fitur persetujuan. Mekanisme perolehan persetujuan secara elektronik, misalnya penyediaan laman dari website Pengendali Data Pribadi untuk kemudian diberikan persetujuan oleh Subjek Data Pribadi melalui penandatanganan secara elektronik, pemberian fitur check box, atau fitur tanda persetujuan. Mekanisme perolehan persetujuan secara nonelektronik, misalnya penyediaan formulir untuk kemudian diberikan persetujuan oleh Subjek Data Pribadi melalui penandatanganan dan pemberian nama yang jelas. Ayat (3) Yang dimaksud dengan "terhubung dengan Informasi" adalah Informasi yang dibutuhkan oleh Subjek Data Pribadi dapat diakses dalam rangka memberikan pemahaman yang utuh terkait pemrosesan Data Pribadi sebelum Subjek Data Pribadi memberikan persetujuannya.
Dalam hal Subjek Data Pribadi tidak memberikan persetujuan pemrosesan Data Pribadi, Pengendali Data Pribadi tetap menyediakan dan tidak mengurangi kualitas barang, jasa, atau layanan kepada Subjek Data Pribadi, kecuali penyediaan barang, jasa, atau layanan memerlukan pemrosesan Data Pribadi.
(2)
Dalam hal salah satu tujuan pemrosesan Data Pribadi berdasarkan persetujuan yang sah secara eksplisit untuk kepentingan penawaran barang dan/atau jasa, Pengendali Data Pribadi harus menyampaikan secara jelas:
a.
Informasi pihak ketiga yang akan menerima Data Pribadi;
b.
Informasi bentuk penawaran yang akan diberikan; dan
c.
mekanisme pencabutan persetujuan dan pelaporan jika kegiatan penawaran terus berlangsung pasca pencabutan persetujuan.
(3)
Pengendali Data Pribadi tidak boleh meminta persetujuan Subjek Data Pribadi dengan cara yang menipu dan/atau menyesatkan Subjek Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Huruf a Yang dimaksud dengan "Informasi pihak ketiga" antara lain identitas, tujuan penerimaan, dan jenis Data Pribadi. Huruf b Cukup jelas. Huruf c Cukup jelas. Ayat (3) Cukup jelas.
Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan "dalam rangka akuntabilitas pemrosesan Data Pribadi" antara lain untuk kepentingan pemenuhan kewajiban Pengendali Data Pribadi dan hak Subjek Data Pribadi atau dalam rangka pengawasan dari Lembaga.
Pengendali Data Pribadi harus memastikan pemenuhan hak Subjek Data Pribadi untuk menarik persetujuan sewaktu-waktu melalui mekanisme yang disediakan oleh Pengendali Data Pribadi.
Pengendali Data Pribadi harus mengambil langkah untuk mengidentifikasi Anak disesuaikan dengan tujuan pemrosesan Data Pribadi.
(2)
Pemrosesan Data Pribadi Anak sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari orang tua Anak dan/atau wali Anak sesuai dengan ketentuan peraturan perundang-undangan.
(3)
Pengendali Data Pribadi dapat memproses Data Pribadi orang tua Anak dan/atau wali Anak dalam rangka pemrosesan Data Pribadi Anak sesuai dengan ketentuan peraturan perundang-undangan.
(4)
Pengendali Data Pribadi harus melakukan verifikasi persetujuan sebagaimana dimaksud pada ayat (2) dengan mempertimbangkan teknologi yang tersedia.
(5)
Anak atau orang tua Anak dan/atau wali Anak dapat mengajukan permintaan pemenuhan hak Anak sebagai Subjek Data Pribadi kepada Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
(6)
Dalam hal pengajuan permintaan pemenuhan hak Anak dilakukan oleh Anak sebagaimana dimaksud pada ayat (5), pemenuhan terhadap hak tersebut didasarkan pada penilaian Pengendali Data Pribadi terhadap kapasitas Anak dalam memahami pemenuhan hak tersebut.
(7)
Pemenuhan hak Anak sebagaimana dimaksud pada ayat (6) harus berdasarkan pada persetujuan orang tua Anak dan/atau wali Anak, kecuali hak Anak terkait pemrosesan Data Pribadi.
(8)
Pengendali Data Pribadi harus menyediakan prosedur peralihan mekanisme pemrosesan Data Pribadi Anak ketika Anak telah mencapai usia atau kriteria yang tidak lagi dianggap sebagai seorang Anak.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Pada dasarnya, Anak memiliki hak-hak Subjek Data Pribadi yang diatur dalam Peraturan Pemerintah ini. Akan tetapi, pemenuhan terhadap hak tersebut harus didasarkan pada kemampuan Anak untuk memahami konsekuensi atau risiko dalam mengajukan permohonan untuk memenuhi hak tersebut. Oleh karena itu, Pengendali Data Pribadi perlu memahami kapasitas Anak dalam memahami konsekuensi atau risiko yang dimaksud. Dengan demikian, Pengendali Data Pribadi menyesuaikan usia Anak dengan produk dan layanan yang disediakan Pengendali Data Pribadi bagi Anak sesuai dengan peraturan perundang-undangan, sebagai bentuk pelaksanaan penilaian dampak Pelindungan Data Pribadi. Ayat (7) Dalam Peraturan Pemerintah ini, diatur bahwa pemrosesan Data Pribadi Anak wajib mendapatkan persetujuan dari orang tua Anak dan/atau wali Anak. Oleh karena itu, pemenuhan hak Anak terkait pemrosesan Data Pribadi Anak tetap memerlukan persetujuan dari orang tua Anak dan/atau wali Anak. Sebagai contoh, pemenuhan hak Anak terkait perubahan Data Pribadi berupa melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi. Ayat (8) Cukup jelas.
Pengendali Data Pribadi harus mengambil langkah untuk mengidentifikasi Penyandang Disabilitas disesuaikan dengan tujuan pemrosesan Data Pribadi.
(2)
Langkah untuk mengidentifikasi Penyandang Disabilitas sebagaimana dimaksud pada ayat (1) dilakukan melalui komunikasi dengan menggunakan cara tertentu sesuai dengan ketentuan peraturan perundang-undangan.
(3)
Komunikasi sebagaimana dimaksud pada ayat (2) dilaksanakan dengan menyediakan prasarana yang mudah dipahami dan digunakan oleh Subjek Data Pribadi Penyandang Disabilitas.
(4)
Pemrosesan Data Pribadi Penyandang Disabilitas sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari Penyandang Disabilitas dan/atau wali Penyandang Disabilitas sesuai dengan ketentuan peraturan perundang-undangan.
(5)
Penyandang Disabilitas dan/atau wali Penyandang Disabilitas dapat mengajukan permintaan pemenuhan hak sebagai Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
(6)
Pengendali Data Pribadi harus menyediakan mekanisme khusus untuk aksesibilitas Penyandang Disabilitas dalam mengajukan permintaan pemenuhan hak sebagai Subjek Data Pribadi.
Ayat (1) Dalam mengambil langkah untuk mengidentifikasi Penyandang Disabilitas, Pengendali Data Pribadi perlu memahami jenis Penyandang Disabilitas yang mengakses atau mungkin mengakses produk atau layanan yang diselenggarakannya dan memahami keterbatasan Penyandang Disabilitas dalam pengajuan permohonan hak Subjek Data Pribadi. Misalnya, Penyandang Disabilitas mental memiliki keterbatasan di dalam memahami risiko atau dampak hukum terkait persetujuan yang akan diberikannya atau perjanjian yang akan disepakatinya. Oleh karena itu, dalam hal Pengendali Data Pribadi memerlukan persetujuan dari Penyandang Disabilitas mental, maka Pengendali Data Pribadi tidak dapat meminta persetujuan tersebut langsung kepada Penyandang Disabilitas mental, tetapi wajib mendapat persetujuan dari wali Penyandang Disabilitas mental. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan "prasarana" antara lain penyediaan fasilitas berupa bahasa isyarat, braille, dan komunikasi augmentatif. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas.
Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kewajiban perjanjian dalam hal:
a.
Subjek Data Pribadi merupakan salah satu pihak dalam perjanjian tersebut; atau
b.
pemenuhan permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian.
(2)
Perjanjian yang membutuhkan pemrosesan Data Pribadi dapat memuat satu atau lebih tujuan pemrosesan Data Pribadi.
(3)
Para pihak dalam perjanjian harus memenuhi ketentuan sebagaimana diatur dalam Peraturan Pemerintah ini.
(4)
Pengendali Data Pribadi tidak dapat melakukan pemrosesan Data Pribadi selain yang sudah ditentukan dalam perjanjian yang digunakan sebagai dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1).
(5)
Perjanjian yang digunakan sebagai dasar pemrosesan Data Pribadi pada ayat (1) tidak dapat dianggap menggantikan posisi persetujuan sebagai dasar pemrosesan Data Pribadi sebagaimana diatur dalam ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi.
Pemenuhan kewajiban perjanjian dapat digunakan sebagai dasar pemrosesan Data Pribadi dalam hal:
a.
terdapat perjanjian yang sah antara Pengendali Data Pribadi dan Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan;
b.
terdapat kebutuhan pemrosesan Data Pribadi oleh Pengendali Data Pribadi untuk melaksanakan perjanjian;
c.
terpenuhinya langkah Pelindungan Data Pribadi yang akan diberikan kepada Subjek Data Pribadi;
d.
telah mempertimbangkan dampak risiko dari pemrosesan Data Pribadi kepada Subjek Data Pribadi; dan
e.
telah mempertimbangkan kemampuan untuk memenuhi hak Subjek Data Pribadi dan melaksanakan kewajiban Pengendali Data Pribadi dalam pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
(2)
Perjanjian yang sah antara Pengendali Data Pribadi dan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1) huruf a dalam pemrosesan Data Pribadi Anak atau Penyandang Disabilitas wajib dengan persetujuan dari orang tua Anak dan/atau wali Anak sebagaimana dimaksud dalam Pasal 38 dan persetujuan dari wali Penyandang Disabilitas sebagaimana dimaksud dalam Pasal 39.
Pemrosesan Data Pribadi dalam pemenuhan permintaan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 40 ayat (1) huruf b dilakukan dengan ketentuan:
a.
terdapat permintaan tertulis atau terekam dari Subjek Data Pribadi kepada Pengendali Data Pribadi;
b.
Pengendali Data Pribadi dan Subjek Data Pribadi akan mengikatkan diri dalam suatu perjanjian yang membutuhkan pemrosesan Data Pribadi; dan
c.
perjanjian yang akan disepakati oleh Subjek Data Pribadi dan Pengendali Data Pribadi digunakan sebagai dasar untuk melaksanakan hak dan kewajiban Subjek Data Pribadi dan Pengendali Data Pribadi.
(2)
Dalam hal perjanjian telah disepakati, perjanjian dapat digunakan sebagai dasar pemrosesan Data Pribadi sesuai dengan ketentuan sebagaimana dimaksud dalam Pasal 40 dan Pasal 41.
Perjanjian sebagaimana dimaksud dalam Pasal 41 harus memuat paling sedikit:
a.
rincian tujuan dan penjelasan tujuan pemrosesan Data Pribadi;
b.
keterangan keterkaitan antara tujuan pemrosesan Data Pribadi dan tujuan perjanjian yang akan dipenuhi;
c.
hak Subjek Data Pribadi dan kewajiban Pengendali Data Pribadi;
d.
jenis dan karakteristik kebutuhan atau layanan yang akan diberikan kepada Subjek Data Pribadi;
e.
konsekuensi dalam hal pemrosesan Data Pribadi tidak dilakukan oleh Pengendali Data Pribadi;
f.
dampak pemrosesan Data Pribadi terhadap pelindungan hak Subjek Data Pribadi;
g.
jaminan Pengendali Data Pribadi untuk melakukan pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
h.
jaminan Pengendali Data Pribadi untuk memenuhi hak Subjek Data Pribadi; dan
i.
pihak yang terlibat dalam pemrosesan Data Pribadi.
(2)
Dalam hal perjanjian tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi tidak dapat menjadikan pemenuhan kewajiban perjanjian sebagai dasar pemrosesan Data Pribadi.
Pengendali Data Pribadi tidak dapat memuat atau mencantumkan klausul perjanjian yang mengalihkan tanggung jawab kepada Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Yang dimaksud dengan "ketentuan peraturan perundang-undangan" antara lain Undang-Undang mengenai perlindungan konsumen dan Undang-Undang mengenai pengembangan dan penguatan sektor keuangan.
Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kewajiban hukum dari Pengendali Data sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Pemenuhan kewajiban hukum sebagaimana dimaksud pada ayat (1) termasuk:
a.
perintah dan/atau putusan pengadilan; atau
b.
perintah keputusan pejabat tata usaha negara yang ditetapkan berdasarkan ketentuan peraturan perundang-undangan.
Huruf a Cukup jelas. Huruf b Kesulitan mendapatkan persetujuan antara lain meliputi keadaan di mana Subjek Data Pribadi tidak dalam keadaan sadar dan/atau terluka parah sehingga tidak mampu memberikan persetujuan terhadap pemrosesan Data Pribadi, wali dan/atau orang tua tidak mendampingi Subjek Data Pribadi untuk dapat memberikan persetujuan dalam hal Subjek Data Pribadi adalah Anak.
Ketentuan lebih lanjut mengenai pemenuhan pelindungan kepentingan vital Subjek Data Pribadi sebagai dasar pemrosesan Data Pribadi diatur dengan Peraturan Lembaga.
Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pelaksanaan tugas dalam rangka:
a.
kepentingan umum;
b.
pelayanan publik; atau
c.
pelaksanaan kewenangan, berdasarkan peraturan perundang-undangan.
(2)
Penggunaan pelaksanaan tugas sebagaimana dimaksud pada ayat (1) dilakukan dalam hal melaksanakan ketentuan peraturan perundang-undangan yang memerintahkan Pengendali Data Pribadi untuk melakukan suatu tindakan.
Ayat (1) Ruang lingkup pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan ditentukan oleh peraturan perundang-undangan. Misalnya, penyediaan pelayanan publik yang mudah diakses oleh Penyandang Disabilitas sebagaimana dimaksud Undang-Undang mengenai Penyandang Disabilitas. Oleh karena itu, dasar pemrosesan Data Pribadi berdasarkan kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan dilaksanakan sesuai maksud dan tujuan dari peraturan perundang-undangan yang dimaksud. Ayat (2) Cukup jelas.
Pengendali Data Pribadi menyampaikan Informasi pelaksanaan pemrosesan Data Pribadi berdasarkan pelaksanaan tugas sebagaimana dimaksud dalam Pasal 49 kepada Subjek Data Pribadi.
(2)
Penyampaian Informasi sebagaimana dimaksud pada ayat (1) dilakukan pada saat pemrosesan Data Pribadi dimulai.
(3)
Dalam hal penyampaian Informasi sebagaimana dimaksud pada ayat (1) berpotensi mengganggu pelindungan kepentingan umum atau pelayanan publik, penyampaian Informasi dilakukan pada saat tujuan pemrosesan Data Pribadi telah terpenuhi.
(4)
Dalam hal penyampaian Informasi sebagaimana dimaksud pada ayat (1) secara langsung tidak dapat dilakukan, Pengendali Data Pribadi menyampaikan Informasi dengan mengumumkan pemberitahuan melalui media elektronik dan nonelektronik.
Ketentuan lebih lanjut mengenai penggunaan pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan sebagai dasar pemrosesan Data Pribadi diatur dalam Peraturan Lembaga.
Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kepentingan yang sah lainnya dalam hal:
a.
telah melakukan analisis terhadap keperluan, tujuan, dan keseimbangan antara hak Subjek Data Pribadi dan kepentingan Pengendali Data Pribadi dengan hasil analisis menunjukkan bahwa Pengendali Data Pribadi memiliki kepentingan yang sah untuk melakukan pemrosesan Data Pribadi; dan
b.
telah melakukan penilaian bahwa pemrosesan Data Pribadi yang menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kepentingan yang sah lainnya tidak berdampak hukum atau merugikan Subjek Data Pribadi dengan hasil Pengendali Data Pribadi memiliki dan telah melakukan langkah penanggulangan jika terdapat dampak dari pemrosesan Data Pribadi.
Pemenuhan kepentingan yang sah lainnya antara lain dalam rangka pemantauan keamanan, kesehatan, keselamatan, dan pencegahan kejahatan berdasarkan ketentuan peraturan perundang-undangan.
Pengendali Data Pribadi yang merupakan Badan Publik dapat menggunakan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi.
(2)
Penggunaan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) hanya untuk tujuan pemrosesan Data Pribadi selain pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Badan Publik.
Subjek Data Pribadi dapat meminta penjelasan penggunaan pemenuhan kepentingan yang sah lainnya sebagaimana dimaksud dalam Pasal 53 kepada Pengendali Data Pribadi.
(2)
Berdasarkan permintaan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus menyampaikan penjelasan kepada Subjek Data Pribadi.
Ketentuan lebih lanjut mengenai penggunaan pemenuhan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi diatur dalam Peraturan Lembaga.
