By Muhammad Deckri Algamar, AIGP With Prof. Abu Bakar Munir
Powered by
The regulation · full text Salinan v5.8 · 28 Sep 2026
09The regulation · Pasal 58-119
Core controller obligations
The regulation in full with its chapter structure. Each article links back to the
statutory obligation it implements and to the official copy at its exact page.
PP 33/2026 · BAB IVHak dan kewajiban
Bagian Ketiga · Pemrosesan Data Pribadi Secara Terbatas dan Spesifik
Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan "secara jujur dan iktikad baik" antara lain Pengendali Data Pribadi dalam melakukan pemrosesan Data Pribadi memberikan Informasi yang benar, tanpa tipu daya, dan/atau tidak menyesatkan kepada Subjek Data Pribadi, termasuk dalam memenuhi hak Subjek Data Pribadi dan melakukan kewajiban Pengendali Data Pribadi.
Bagian Keempat · Permintaan dan Penyampaian Informasi
Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi.
Yang dimaksud dengan "pihak yang meminta Data Pribadi" adalah Pengendali Data Pribadi atau pihak yang bertindak untuk kepentingan Pengendali Data Pribadi.
Pengendali Data Pribadi wajib menyampaikan Informasi mengenai:
a.
legalitas dari pemrosesan Data Pribadi;
b.
tujuan pemrosesan Data Pribadi;
c.
jenis dan relevansi Data Pribadi yang akan diproses;
d.
Masa Retensi Data Pribadi;
e.
rincian mengenai Informasi yang dikumpulkan;
f.
jangka waktu pemrosesan Data Pribadi; dan
g.
hak Subjek Data Pribadi.
(2)
Kewajiban menyampaikan Informasi berlaku terhadap semua dasar pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 30 ayat (3).
(3)
Informasi sebagaimana dimaksud pada ayat (1) disampaikan melalui sarana pemberitahuan Pelindungan Data Pribadi yang mudah diakses oleh Subjek Data Pribadi dan tersedia selama pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi.
(4)
Kewajiban menyampaikan Informasi sebagaimana dimaksud pada ayat (2) mulai dilakukan oleh Pengendali Data Pribadi sebelum pemrosesan Data Pribadi.
(5)
Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Subjek Data Pribadi sebelum terjadi perubahan Informasi.
Ayat (1) Huruf a Yang dimaksud dengan "legalitas dari pemrosesan Data Pribadi" meliputi identitas Pengendali Data Pribadi yang terdiri atas nama, deskripsi singkat, kontak, representatif sesuai dengan ketentuan peraturan perundang-undangan, dan kontak PPDP sesuai dengan ketentuan peraturan perundang-undangan; dasar pemrosesan Data Pribadi; dan dasar hukum. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan "Masa Retensi Data Pribadi" meliputi bagaimana penyimpanan dan pengelolaan Data Pribadi dilakukan. Huruf e Yang dimaksud dengan "rincian mengenai Informasi yang dikumpulkan" meliputi sumber pengumpulan dan tujuan pengiriman Data Pribadi, Informasi pihak yang akan menggunakan Data Pribadi dalam hal Pengendali Data Pribadi melibatkan Prosesor Data Pribadi, dan langkah keamanan untuk melindungi Data Pribadi. Huruf f Yang dimaksud dengan "jangka waktu pemrosesan Data Pribadi" meliputi jangka waktu Data Pribadi akan digunakan, jangka waktu Data Pribadi akan disimpan, dan jangka waktu Data Pribadi akan dimusnahkan. Huruf g Yang dimaksud dengan "hak Subjek Data Pribadi" meliputi mekanisme persetujuan dan penarikan persetujuan dalam hal pemrosesan Data Pribadi dilaksanakan berdasarkan persetujuan yang sah secara eksplisit dari Subjek Data Pribadi, mekanisme memperoleh akses dan/atau salinan, mekanisme menyampaikan keberatan, dan mekanisme akses, salinan, verifikasi, dan perbaikan Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan "pemberitahuan" adalah pemberitahuan kepada Subjek Data Pribadi atau pemberitahuan secara umum melalui media elektronik maupun nonelektronik. Yang dimaksud dengan "mudah diakses" merupakan Informasi dapat diakses setiap saat untuk Pengendali Data Pribadi yang memproses Data Pribadi secara elektronik atau dapat diakses pada jangka waktu tertentu untuk Pengendali Data Pribadi yang memproses Data Pribadi secara nonelektronik. Ayat (4) Cukup jelas. Ayat (5) Pemberitahuan mengenai perubahan Informasi menjadikan Informasi yang diberikan oleh Pengendali Data Pribadi merupakan Informasi yang akurat dan terkini.
Kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 berlaku juga untuk pemrosesan Data Pribadi oleh Pengendali Data Pribadi Bersama.
(2)
Dalam melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi Bersama juga menyampaikan Informasi tambahan yang memuat paling sedikit:
a.
Informasi Pengendali Data Pribadi yang terlibat dalam pemrosesan Data Pribadi secara bersama-sama;
b.
keterkaitan antartujuan pemrosesan Data Pribadi yang dikendalikan oleh masing-masing Pengendali Data Pribadi;
Dalam hal Data Pribadi didapatkan secara tidak langsung dari Subjek Data Pribadi, Pengendali Data Pribadi melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 ayat (1) paling lambat 30 (tiga puluh) Hari setelah Data Pribadi dikumpulkan atau diperoleh.
Yang dimaksud dengan "penyampaian Informasi" adalah penyampaian Informasi kepada Subjek Data Pribadi atau pemberitahuan secara umum melalui media elektronik maupun nonelektronik.
Pengendali Data Pribadi tidak dapat mencantumkan klausul eksonerasi dalam pemberitahuan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Yang dimaksud dengan "klausul eksonerasi" adalah klausul yang isinya mengurangi, membatasi, dan/atau membebaskan kewajiban atau tanggung jawab Pengendali Data Pribadi.
Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi.
(2)
Tujuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) harus:
a.
terbatas untuk memenuhi tujuan tertentu yang disampaikan kepada Subjek Data Pribadi secara eksplisit dan tegas; dan
b.
mempertimbangkan keseimbangan kepentingan Subjek Data Pribadi dengan tujuan pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi mengidentifikasi tujuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (2).
(4)
Dalam hal terdapat tambahan tujuan dan/atau tujuan baru yang berbeda dari tujuan awal pemrosesan Data Pribadi, Pengendali Data Pribadi wajib memenuhi ketentuan yang diatur dalam Peraturan Pemerintah ini.
Dalam melakukan kewajiban sebagaimana dimaksud dalam Pasal 67 ayat (1), Pengendali Data Pribadi harus mendokumentasikan tujuan pemrosesan Data Pribadi dan perubahannya.
(2)
Dalam mendokumentasikan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus menyatakan tujuan pemrosesan Data Pribadi secara eksplisit dalam:
a.
kebijakan internal Pengendali Data Pribadi; dan
b.
pemberitahuan Pelindungan Data Pribadi yang dapat dengan mudah diakses oleh Subjek Data Pribadi.
Pengendali Data Pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Dalam memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib melakukan verifikasi.
(3)
Dalam melaksanakan kewajiban melakukan verifikasi sebagaimana dimaksud pada ayat (2), Pengendali Data Pribadi terlebih dahulu menentukan mekanisme dan/atau standar penerapan kualitas data.
(4)
Verifikasi sebagaimana dimaksud pada ayat (2) dilakukan secara berkala dan/atau sewaktu-waktu sesuai dengan ketentuan peraturan perundang-undangan.
(5)
Verifikasi sebagaimana dimaksud pada ayat (2) dilakukan paling sedikit terhadap:
a.
tingkat kebenaran dan/atau ketepercayaan Data Pribadi;
b.
kelengkapan Data Pribadi yang dibutuhkan untuk memenuhi tujuan pemrosesan Data Pribadi;
c.
jenis atau keseragaman bentuk, tipe, atau format Data Pribadi yang dapat diterima oleh Pengendali Data Pribadi; dan
d.
kebutuhan Pengendali Data Pribadi untuk melakukan verifikasi Data Pribadi secara berkala.
(6)
Dalam hal proses verifikasi membutuhkan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menerapkan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
(7)
Dalam melakukan verifikasi sebagaimana dimaksud pada ayat (2), Pengendali Data Pribadi dapat bekerja sama dengan Pengendali Data Pribadi lain.
(8)
Pengendali Data Pribadi mendokumentasikan hasil verifikasi Data Pribadi sebagaimana dimaksud pada ayat (2).
(9)
Ketentuan lebih lanjut mengenai pelaksanaan verifikasi diatur dalam Peraturan Lembaga.
Ayat (1) Yang dimaksud dengan "akurasi" merupakan kualitas data yang menunjukan tingkat kebenaran/kepercayaan antara satu Informasi dengan sumber Informasi lain yang telah ditentukan adalah benar. Yang dimaksud dengan "kelengkapan" merupakan kualitas data yang menunjukan sejauh mana tingkat data memiliki semua atribut data yang dibutuhkan untuk suatu tujuan tertentu. Yang dimaksud dengan "konsistensi" merupakan kualitas data yang menunjukan tingkat kesamaan Informasi dengan Informasi lainnya yang sejenis. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Huruf a Cukup jelas. Huruf b Contoh: Dalam registrasi pelanggan jasa telekomunikasi, verifikasi kelengkapan Data Pribadi antara lain nomor induk kependudukan dan nomor kartu keluarga. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (6) Verifikasi yang membutuhkan pemrosesan Data Pribadi, misalnya dalam hal Pengendali Data Pribadi melakukan verifikasi membutuhkan pemrosesan data tambahan yang diperoleh dari Subjek Data Pribadi dan/atau pihak lainnya, Pengendali Data Pribadi wajib menerapkan Pelindungan Data Pribadi terhadap pemrosesan data tambahan tersebut. Ayat (7) Cukup jelas. Ayat (8) Cukup jelas. Ayat (9) Cukup jelas.
Bagian Ketujuh · Pelengkapan, Pembaruan, dan/atau Perbaikan
Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi.
Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi.
(2)
Dalam melaksanakan kewajiban memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi melakukan verifikasi atas pelaksanaan hak Subjek Data Pribadi untuk memastikan kesesuaian dengan tujuan pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi melakukan pembaruan dan/atau perbaikan Data Pribadi dengan cara mengganti Data Pribadi awal dengan Data Pribadi baru setelah permintaan sebagaimana dimaksud pada ayat (1) terverifikasi.
(4)
Dalam hal tidak dimungkinkan untuk mengganti Data Pribadi awal sebagaimana dimaksud pada ayat (3), pembaruan dan/atau perbaikan Data Pribadi dapat dilakukan dengan membuat catatan tambahan.
(5)
Pengendali Data Pribadi dapat menolak permintaan pembaruan dan/atau perbaikan Data Pribadi.
(6)
Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Subjek Data Pribadi.
(7)
Penolakan permintaan pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud pada ayat (5) harus diberitahukan kepada Subjek Data Pribadi beserta alasannya sesuai dengan ketentuan peraturan perundang-undangan.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan "terverifikasi" merupakan hasil penilaian atas permohonan Subjek Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas. Ayat (7) Cukup jelas.
Dalam hal terdapat Pengendali Data Pribadi lain dan/atau Prosesor Data Pribadi, kewajiban pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) termasuk penyampaian pembaruan dan/atau perbaikan Data Pribadi kepada Pengendali Data Pribadi lain dan/atau Prosesor Data Pribadi.
(2)
Penyampaian Data Pribadi oleh Pengendali Data Pribadi kepada Pengendali Data Pribadi lain sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal penyampaian keberhasilan dianggap tidak memungkinkan atau melibatkan upaya yang tidak seimbang dari Pengendali Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan "dianggap tidak memungkinkan atau melibatkan upaya yang tidak seimbang" antara lain langkah upaya penyampaian pembaruan membutuhkan waktu dan sumber daya yang tidak proporsional secara signifikan apabila diberitahukan kepada Pengendali Data Pribadi lain. Contoh:
a.
Pengendali Data Pribadi lain yang memperoleh Data Pribadi sudah tidak menggunakan Data Pribadi;
b.
Pengendali Data Pribadi lain yang memperoleh Data Pribadi sudah dibubarkan;
c.
Pengendali Data Pribadi lain memperoleh Data Pribadi yang telah disamarkan; dan
d.
Pemberitahuan perbaikan Data Pribadi lain berdampak minimal terhadap Subjek Data Pribadi.
Pengendali Data Pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi.
(2)
Perekaman kegiatan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
nama dan detail kontak Pengendali Data Pribadi, Pengendali Data Pribadi Bersama, dan/atau Prosesor Data Pribadi;
b.
kontak PPDP;
c.
sumber pengumpulan dan tujuan pengiriman Data Pribadi;
d.
dasar pemrosesan Data Pribadi;
e.
tujuan pemrosesan Data Pribadi;
f.
jenis Data Pribadi;
g.
kategori Subjek Data Pribadi;
h.
pihak selain Pengendali Data Pribadi yang dapat mengakses Data Pribadi;
i.
pemenuhan hak Subjek Data Pribadi;
j.
pemetaan aliran Data Pribadi;
k.
Masa Retensi;
l.
langkah teknis dan organisasi dalam rangka pengamanan Data Pribadi; dan
m.
rincian transfer Data Pribadi.
(3)
Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Pengendali Data Pribadi harus memastikan Prosesor Data Pribadi melakukan perekaman kegiatan pemrosesan Data Pribadi.
(4)
Perekaman sebagaimana dimaksud pada ayat (3) tidak menghapus kewajiban melakukan perekaman oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1).
(5)
Perekaman kegiatan pemrosesan Data Pribadi yang dilakukan oleh Prosesor Data Pribadi sebagaimana dimaksud pada ayat (3) paling sedikit memuat:
a.
nama dan kontak Prosesor Data Pribadi;
b.
lingkup kegiatan pemrosesan Data Pribadi;
c.
rincian transfer Data Pribadi; dan
d.
deskripsi umum langkah organisasi dan teknis pengamanan Data Pribadi.
(6)
Hasil perekaman kegiatan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) disimpan dan dikelola dalam bentuk tertulis secara elektronik dan/atau nonelektronik.
(7)
Hasil perekaman kegiatan pemrosesan Data Pribadi harus diperbarui dalam hal terdapat perubahan terhadap Informasi sebagaimana dimaksud pada ayat (2) dan ayat (5).
(8)
Hasil perekaman sebagaimana dimaksud pada ayat (2) dan ayat (5) beserta perubahannya sebagaimana dimaksud pada ayat (7) disimpan dan dikelola oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
(9)
Dalam hal diminta oleh Lembaga, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus memberikan dokumen hasil perekaman kegiatan pemrosesan Data Pribadi.
(10)
Dalam hal dibutuhkan untuk keperluan audit dan pengawasan, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus menyediakan hasil perekaman kegiatan pemrosesan Data Pribadi.
Ayat (1) Yang dimaksud dengan "perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi" merupakan catatan yang memuat inventaris dan pemetaan aliran data dari pemrosesan Data Pribadi. Ayat (2) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Cukup jelas. Huruf h Pihak selain Pengendali Data Pribadi antara lain Kementerian/Lembaga atau pihak ketiga. Huruf i Cukup jelas. Huruf j Cukup jelas. Huruf k Cukup jelas. Huruf l Cukup jelas. Huruf m Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Pengelolaan hasil perekaman kegiatan pemrosesan Data Pribadi merupakan proses pengendalian hasil perekaman kegiatan pemrosesan Data Pribadi secara efisien, efektif, dan sistematis meliputi penciptaan, penggunaan dan pemeliharaan, serta penyusutan hasil perekaman kegiatan pemrosesan Data Pribadi. Ayat (7) Cukup jelas. Ayat (8) Cukup jelas. Ayat (9) Cukup jelas. Ayat (10) Cukup jelas.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "ketentuan Masa Retensi arsip dan ketentuan lainnya" antara lain ketentuan peraturan perundang-undangan, ketentuan yang ada di masing-masing sektor. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Cukup jelas. Huruf h Cukup jelas. Huruf i Cukup jelas. Huruf j Cukup jelas.
Bagian Kesembilan · Akses dan Salinan Data Pribadi
Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Salinan Data Pribadi sebagaimana dimaksud pada ayat (1) hanya diberikan untuk Data Pribadi yang tidak berdampak bagi pengungkapan Data Pribadi orang lain.
Ayat (1) Yang dimaksud dengan "mendapatkan akses" merupakan suatu mekanisme atau cara untuk mendapatkan Informasi tentang Data Pribadi dan/atau salinan Data Pribadi dari Subjek Data Pribadi. Hak untuk memperoleh salinan Data Pribadi dilakukan secara gratis, kecuali untuk kondisi tertentu yang memang membutuhkan biaya. Ayat (2) Cukup jelas.
Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses dari Subjek Data Pribadi.
(2)
Pengendali Data Pribadi memberikan akses kepada Subjek Data Pribadi setelah dilakukan verifikasi terhadap permintaan akses sebagaimana dimaksud pada ayat (1).
(3)
Pemberian akses sebagaimana dimaksud pada ayat (1) paling sedikit meliputi:
a.
akses terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi;
b.
Informasi yang diberikan oleh Pengendali Data Pribadi terkait konfirmasi permintaan akses; dan
c.
akses perubahan Data Pribadi.
(4)
Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal:
a.
membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain;
b.
berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau
c.
bertentangan dengan kepentingan pertahanan dan keamanan nasional.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "konfirmasi permintaan akses" adalah tanggapan Pengendali Data Pribadi atas permintaan akses oleh Subjek Data Pribadi. Huruf c Cukup jelas. Ayat (4) Huruf a Yang dimaksud dengan "membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain" antara lain perubahan data riwayat penyakit yang berpotensi membahayakan keamanan diri sendiri dan/atau orang lain. Huruf b Yang dimaksud dengan "berdampak pada pengungkapan Data Pribadi milik orang lain" antara lain perubahan Data Pribadi nasabah yang berdampak pada pengungkapan Data Pribadi orang lain. Huruf c Cukup jelas.
Berdasarkan permohonan salinan Data Pribadi sebagaimana dimaksud dalam Pasal 76 ayat (1), Pengendali Data Pribadi harus menyampaikan salinan Data Pribadi pemohon pada kesempatan pertama.
(2)
Dalam melaksanakan pemenuhan permohonan salinan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi juga melakukan konfirmasi serta penyampaian jangka waktu yang diperlukan dalam penyediaan salinan Data Pribadi kepada Subjek Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak permohonan diterima dan terverifikasi.
(3)
Dalam hal salinan Data Pribadi yang dimohonkan tidak dapat disediakan, Pengendali Data Pribadi menyampaikan kepada pemohon disertai dengan alasannya.
Ayat (1) Cukup jelas. Ayat (2) Jangka waktu yang dibutuhkan oleh Pengendali Data Pribadi untuk menyediakan Data Pribadi dan/atau salinan Data Pribadi beserta rekam jejak Data Pribadi merupakan jangka waktu yang wajar dan tanpa penundaan. Ayat (3) Cukup jelas.
Bagian Kesepuluh · Pengakhiran Pemrosesan, Penghapusan, dan Pemusnahan Data Pribadi
Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Penghapusan dan/atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dapat dimintakan bersamaan dengan pengakhiran Pemrosesan Data Pribadi oleh Subjek Data Pribadi.
Pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 80 ayat (1) dilakukan dengan cara menghentikan pemrosesan Data Pribadi tersebut.
(2)
Kewajiban pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam hal pemrosesan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
(3)
Pengendali Data Pribadi harus memberitahukan pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Penyampaian pengakhiran pemrosesan Data Pribadi kepada Subjek Data Pribadi dilakukan antara lain secara langsung kepada Subjek Data Pribadi atau tidak langsung melalui media massa.
Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal:
a.
Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi;
b.
Subjek Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi;
c.
terdapat permintaan dari Subjek Data Pribadi; atau
d.
Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum.
(2)
Kewajiban menghapus Data Pribadi dalam hal Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum sebagaimana dimaksud pada ayat (1) huruf d dilaksanakan dalam hal:
a.
perolehan dan/atau pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi merupakan perbuatan melawan hukum sesuai dengan ketentuan peraturan perundang-undangan;
b.
pelaksanaan sanksi administratif berupa penghapusan oleh Lembaga; atau
c.
terdapat putusan pengadilan yang telah memperoleh kekuatan hukum tetap.
(3)
Kewajiban penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal penghapusan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
(4)
Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan dengan cara menghapus Data Pribadi sehingga Data Pribadi tersebut tidak lagi dapat diakses oleh selain Pengendali Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Penghapusan Data Pribadi antara lain dilakukan dengan menghapus Data Pribadi dari sistem Informasi atau basis data, termasuk salinan cadangan.
Subjek Data Pribadi tidak dapat mengajukan permintaan penghapusan Data Pribadi jika penarikan persetujuan pemrosesan Data Pribadi yang diikuti dengan penghapusan Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b.
Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal:
a.
telah habis Masa Retensi-nya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip;
b.
terdapat permintaan dari Subjek Data Pribadi;
c.
tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/atau
d.
Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum.
(2)
Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan menghilangkan, melenyapkan, atau menghancurkan Data Pribadi baik elektronik maupun nonelektronik sehingga tidak lagi dapat digunakan untuk mengidentifikasi Subjek Data Pribadi.
(3)
Kewajiban pemusnahan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal pemusnahan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi.
Pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 84 ayat (1) huruf b dapat dilakukan apabila Masa Retensi belum tercapai.
(2)
Subjek Data Pribadi tidak dapat mengajukan pembatalan pemusnahan atau pemulihan Data Pribadi jika pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi.
Penghapusan Data Pribadi sebagaimana dimaksud dalam Pasal 82 dan/atau pemusnahan Data Pribadi sebagaimana dimaksud dalam Pasal 84 dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Penghapusan dan/atau pemusnahan sebagaimana dimaksud pada ayat (1) dengan melaksanakan paling sedikit:
a.
identifikasi Data Pribadi yang akan dihapus dan/atau dimusnahkan;
b.
identifikasi lokasi/tempat penyimpanan Data Pribadi yang akan dihapus dan/atau dimusnahkan;
c.
pemisahan Data Pribadi yang akan dihapus dan/atau dimusnahkan untuk mencegah penghapusan dan/atau pemusnahan yang tidak sengaja;
d.
pemilihan metode penghapusan dan/atau pemusnahan Data Pribadi yang sesuai;
e.
penghapusan dan/atau pemusnahan Data Pribadi secara aman;
f.
penyusunan laporan kegiatan penghapusan dan/atau pemusnahan Data Pribadi ke dalam suatu berita acara penghapusan dan/atau pemusnahan Data Pribadi;
g.
audit secara berkala untuk memastikan bahwa Data Pribadi tersebut telah dihapus dan/atau dimusnahkan secara permanen;
h.
pelaporan kepada Lembaga jika terjadi Kegagalan Pelindungan Data Pribadi selama proses penghapusan dan/atau pemusnahan Data Pribadi; dan
i.
evaluasi kebijakan penghapusan dan/atau pemusnahan Data Pribadi secara berkala dan melakukan perubahan jika diperlukan untuk memastikan kepatuhan terhadap ketentuan peraturan perundang-undangan.
Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi.
(2)
Pemberitahuan Penghapusan dan/atau Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
Subjek Data Pribadi;
b.
Informasi penghapusan dan/atau pemusnahan Data Pribadi;
c.
jenis Data Pribadi yang dihapus dan/atau dimusnahkan;
d.
alasan penghapusan dan/atau pemusnahan Data Pribadi;
e.
tanggal efektif penghapusan dan/atau pemusnahan Data Pribadi; dan
f.
Informasi kontak Pengendali Data Pribadi.
(3)
Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan sebelum dan setelah penghapusan dan/atau pemusnahan Data Pribadi dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf a dan huruf d dan Pasal 84 ayat (1) huruf a, huruf c, dan huruf d.
(4)
Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan setelah penghapusan dan/atau pemusnahan dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b dan huruf c dan Pasal 84 ayat (1) huruf b.
(5)
Pemberitahuan sebagaimana dimaksud pada ayat (1) dilaksanakan paling lambat 3 x 24 (tiga kali dua puluh empat) jam sebelum atau setelah dilakukan penghapusan dan/atau pemusnahan Data Pribadi.
(6)
Penghapusan dan/atau pemusnahan Data Pribadi dilakukan oleh Pengendali Data Pribadi setelah permohonan dari Subjek Data Pribadi terverifikasi.
Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Pengendali Data Pribadi harus memberitahukan dan memerintahkan penghapusan dan/atau pemusnahan Data Pribadi kepada Prosesor Data Pribadi.
(2)
Pemberitahuan kepada Prosesor Data Pribadi sebagaimana dimaksud pada ayat (1) harus disampaikan sebelum pemberitahuan kepada Subjek Data Pribadi.
Penarikan persetujuan pemrosesan Data Pribadi oleh Subjek Data Pribadi tidak membatalkan hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi.
(2)
Hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi sebelum dilakukan penarikan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1) hanya dapat digunakan sesuai ketentuan peraturan perundang-undangan.
Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Subjek Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi.
(2)
Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi melakukan penghentian pemrosesan Data Pribadi setelah permintaan sebagaimana dimaksud pada ayat (2) terverifikasi.
(4)
Pengendali Data Pribadi harus memberitahukan penghentian pemrosesan Data Pribadi telah dilaksanakan kepada Subjek Data Pribadi.
Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi.
Yang dimaksud dengan "menimbulkan akibat hukum" antara lain keputusan yang memengaruhi:
a.
status hukum Subjek Data Pribadi, misalnya kewarganegaraan; dan
b.
penentuan hak atau kewajiban Subjek Data Pribadi menurut hukum, misalnya penolakan visa, penghapusan tunjangan sosial, atau pemutusan kontrak. Yang dimaksud dengan "berdampak signifikan" antara lain keputusan yang berpengaruh besar terhadap kondisi hidup, perilaku, atau pilihan seseorang, seperti penolakan permohonan kredit; penolakan pekerjaan; pembentukan harga berbeda berdasarkan Data Pribadi (differential pricing); dan penargetan iklan yang sangat memengaruhi kelompok rentan.
Pengendali Data Pribadi harus memiliki mekanisme untuk menanggapi pengajuan hak keberatan atas keputusan yang hanya berdasarkan atas pemrosesan secara otomatis.
(2)
Pengendali Data Pribadi harus memberikan Informasi yang memadai mengenai teknologi yang digunakan untuk pengambilan keputusan yang didasarkan pada pemrosesan secara otomatis dan konsekuensi yang akan dialami Subjek Data Pribadi.
(3)
Terhadap pengajuan keberatan sebagaimana dimaksud dalam Pasal 93 yang terverifikasi dan diterima keberatannya, Pengendali Data Pribadi memberikan alternatif pemrosesan Data Pribadi dengan melibatkan campur tangan manusia dan/atau tidak berdasarkan hasil pemrosesan secara otomatis.
Pengendali Data Pribadi dapat menolak keberatan dalam hal:
a.
tidak terdapat akibat hukum dan/atau dampak signifikan pada Subjek Data Pribadi; dan
b.
Pengendali Data Pribadi memiliki akurasi sistem yang sangat baik dan sistem mitigasi untuk menghindari dampak bagi Subjek Data Pribadi.
(2)
Penolakan keberatan oleh Pengendali Data Pribadi tidak menghilangkan hak Subjek Data Pribadi untuk menarik kembali persetujuan pemrosesan Data Pribadi yang telah diberikan sebelumnya.
(3)
Pengendali Data Pribadi harus memberitahukan penolakan sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi.
Hak sebagaimana dimaksud dalam Pasal 97 diajukan dalam hal:
a.
Subjek Data Pribadi mempermasalahkan keakuratan atau kebenaran Data Pribadi yang diproses oleh Pengendali Data Pribadi untuk jangka waktu yang memungkinkan Pengendali Data Pribadi melakukan verifikasi atas keakuratan atau kebenaran Data Pribadi tersebut;
b.
Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum dan Subjek Data Pribadi tidak mengajukan permohonan penghapusan Data Pribadi, tetapi mengajukan penundaan atau pembatasan pemrosesan Data Pribadi; atau
c.
Subjek Data Pribadi memiliki kepentingan hukum untuk mengajukan, melaksanakan, atau melakukan pembelaan terhadap tuntutan hukum.
Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Meskipun Pengendali Data Pribadi tidak lagi memerlukan Data Pribadi untuk tujuan pemrosesan Data Pribadi, Subjek Data Pribadi tetap dapat mengajukan penundaan atau pembatasan pemrosesan Data Pribadinya. Penundaan atau pembatasan pemrosesan Data Pribadi antara lain membuat Data Pribadi tidak dapat diakses oleh pihak lain atau publik atau memindahkan Data Pribadi ke satu media penyimpanan yang aman secara sementara agar Data Pribadi tersebut tidak lagi diproses lebih lanjut. Contoh: Dalam hal Subjek Data Pribadi sudah tidak lagi bekerja pada suatu perusahaan, perusahaan sebagai Pengendali Data Pribadi dapat menghapus atau membuat Subjek Data Pribadi tidak lagi dapat mengakses Data Pribadinya di perusahaan itu. Berdasarkan ketentuan ini, meskipun Pengendali Data Pribadi sudah tidak memerlukan Data Pribadi tersebut, Subjek Data Pribadi berhak untuk menunda atau membatasi pemrosesan Data Pribadi untuk kepentingan berperkara antara Subjek Data Pribadi dan perusahaan itu. Dalam hal ini Subjek Data Pribadi dapat meminta agar perusahaan memberikan akses kepada Subjek Data Pribadi atas Data Pribadinya atau menunda penghapusan Data Pribadinya.
Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi.
(2)
Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal:
a.
terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi;
b.
dapat membahayakan keselamatan pihak lain; dan/atau
c.
Subjek Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi.
(3)
Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan oleh Pengendali Data Pribadi setelah permintaan Subjek Data Pribadi terverifikasi.
Berdasarkan pengecualian sebagaimana dimaksud dalam Pasal 99 ayat (2), Pengendali Data Pribadi menolak permintaan penundaan atau pembatasan pemrosesan Data Pribadi disertai dengan alasan dan konsekuensi.
(2)
Penolakan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak permintaan diterima dan terverifikasi.
Dalam melaksanakan penundaan dan pembatasan pemrosesan Data Pribadi, Pengendali Data Pribadi hanya dapat melakukan penyimpanan Data Pribadi atas Subjek Data Pribadi yang bersangkutan sampai dengan penundaan dan pembatasan pemrosesan Data Pribadi berakhir atau diakhiri oleh Subjek Data Pribadi.
Dalam pelaksanaan penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 101, Pengendali Data Pribadi dapat:
a.
memindahkan Data Pribadi ke sistem lain yang tidak terhubung dengan pemrosesan Data Pribadi lainnya untuk sementara;
b.
membuat Data Pribadi tidak dapat diakses oleh pihak lainnya;
c.
mengeluarkan Data Pribadi yang telah dipublikasikan dari situs web yang dikelola oleh Pengendali Data Pribadi untuk sementara; dan/atau
d.
melakukan langkah teknis lain yang relevan.
(2)
Data Pribadi yang telah ditandai sebagai Data Pribadi yang ditunda dan dibatasi harus teridentifikasi secara jelas dalam sistem yang menyimpan Data Pribadi.
Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan penundaan dan pembatasan pemrosesan Data Pribadi kepada Subjek Data Pribadi.
(2)
Pemberitahuan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam setelah penundaan dan pembatasan pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi.
Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
Hak Subjek Data Pribadi untuk menggugat dan menerima ganti rugi atas pelanggaran memiliki posisi yang sama terhadap hak Subjek Data Pribadi yang lain. Yang dimaksud dengan "pelanggaran" misalnya kegiatan pemrosesan Data Pribadi tidak sesuai dengan kewajiban dalam ketentuan peraturan perundang-undangan yang mengakibatkan antara lain akses Data Pribadi secara tidak sah, pengambilan Data Pribadi secara tidak sah, penampilan Data Pribadi secara tidak sah, pembatasan dan/atau penolakan pemenuhan hak Subjek Data Pribadi dalam Undang-Undang mengenai Pelindungan Data Pribadi, dan/atau pembatasan pelaksanaan hak Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Pengendali Data Pribadi melakukan penilaian terhadap pengajuan permintaan ganti rugi sebagaimana dimaksud dalam Pasal 106.
(2)
Pengendali Data Pribadi berdasarkan penilaian sebagaimana dimaksud pada ayat (1) menyampaikan jawaban atas permintaan ganti rugi kepada Subjek Data Pribadi.
(3)
Dalam hal:
a.
jawaban Pengendali Data Pribadi sebagaimana dimaksud pada ayat (2) menolak permintaan ganti rugi; atau
b.
tidak tercapai kesepakatan terkait ganti rugi, Subjek Data Pribadi dapat mengajukan gugatan sesuai dengan ketentuan peraturan perundang-undangan.
Pengajuan permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang merupakan badan publik negara dilaksanakan berdasarkan ketentuan peraturan perundang-undangan di bidang tata usaha negara.
Yang dimaksud dengan "badan publik negara" adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah.
Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
(2)
Subjek Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi.
(3)
Pengajuan hak sebagaimana dimaksud pada ayat (1) dan ayat (2) dilakukan dengan ketentuan:
a.
dasar pemrosesan Data Pribadi dilakukan berdasarkan: 1. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi; atau 2. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; dan
Ayat (1) Hak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik merupakan hak portabilitas. Ayat (2) Hak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya merupakan hak interoperabilitas. Ayat (3) Cukup jelas.
Pengendali Data Pribadi dalam pelaksanaan hak mendapatkan dan/atau menggunakan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (1) dan hak menggunakan dan mengirimkan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (2) harus memperhatikan:
a.
kemampuan Pengendali Data Pribadi dalam memenuhi hak Subjek Data Pribadi yang diinformasikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; dan
b.
ketentuan peraturan perundang-undangan mengenai larangan praktek monopoli dan persaingan usaha tidak sehat.
Ketentuan lebih lanjut mengenai mekanisme pelaksanaan hak mendapatkan dan menggunakan portabilitas dan interoperabilitas diatur dalam Peraturan Lembaga.
Dalam hal terjadi Kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada:
a.
Subjek Data Pribadi; dan
b.
Lembaga.
(2)
Pemberitahuan sebagaimana dimaksud pada ayat (1) terhitung sejak Kegagalan Pelindungan Data Pribadi diketahui secara pasti, patut, dan wajar.
(3)
Pemberitahuan sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
Data Pribadi yang terungkap;
b.
kapan dan bagaimana Data Pribadi terungkap; dan
c.
upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi.
(4)
Pemberitahuan sebagaimana dimaksud pada ayat (1) juga harus memuat mengenai Informasi PPDP atau narahubung yang ditunjuk oleh Pengendali Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Pengendali Data Pribadi dianggap telah mengetahui Kegagalan Pelindungan Data Pribadi secara pasti, patut, dan wajar berdasarkan kesimpulan dari dokumentasi yang dihasilkan oleh Pengendali Data Pribadi terhadap insiden Kegagalan Pelindungan Data Pribadi. Ayat (3) Huruf a Cukup jelas. Huruf b Kapan dan bagaimana Data Pribadi terungkap termasuk deskripsi dan dampak Kegagalan Pelindungan Data Pribadi. Huruf c Cukup jelas. Ayat (4) Cukup jelas.
Pengendali Data Pribadi menyusun dokumentasi atas terjadinya Kegagalan Pelindungan Data Pribadi paling sedikit memuat:
a.
Data Pribadi yang dilindungi;
b.
deskripsi Kegagalan Pelindungan Data Pribadi;
c.
dampak atau akibat Kegagalan Pelindungan Data Pribadi terhadap Subjek Data Pribadi dan Pengendali Data Pribadi;
d.
upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan
e.
jangka waktu pemberitahuan kepada Subjek Data Pribadi dan Lembaga.
(2)
Dokumentasi atas terjadinya Kegagalan Pelindungan Data Pribadi yang disusun oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) disampaikan kepada Lembaga.
Ayat (1) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "deskripsi Kegagalan Pelindungan Data Pribadi" termasuk menjelaskan kapan dan bagaimana Kegagalan Pelindungan Data Pribadi. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Ayat (2) Cukup jelas.
Pengendali Data Pribadi menetapkan dan melaksanakan kebijakan, prosedur, dan/atau pedoman mengenai pencegahan dan penanganan Kegagalan Pelindungan Data Pribadi yang berlaku di internal Pengendali Data Pribadi.
(2)
Kebijakan, prosedur, dan/atau pedoman sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
pembagian peran dan tanggung jawab penanganan Kegagalan Pelindungan Data Pribadi;
b.
mekanisme untuk melakukan analisis, klasifikasi, prioritisasi, pemantauan, penanganan, dan penyelesaian Kegagalan Pelindungan Data Pribadi, termasuk setelah kejadian;
c.
dokumentasi penanganan Kegagalan Pelindungan Data Pribadi dan mekanisme pelaporan kepada Subjek Data Pribadi dan Lembaga; dan
d.
peninjauan dan pembaruan berkala proses penanganan Kegagalan Pelindungan Data Pribadi.
Dalam hal terjadi Kegagalan Pelindungan Data Pribadi pada pemrosesan Data Pribadi yang dilakukan oleh Prosesor Data Pribadi, Prosesor Data Pribadi harus melaporkan Kegagalan Pelindungan Data Pribadi kepada Pengendali Data Pribadi pada kesempatan pertama.
