By Muhammad Deckri Algamar, AIGP With Prof. Abu Bakar Munir
Powered by
The regulation · full text Salinan v5.8 · 28 Sep 2026
10The regulation · Pasal 120-159
Impact assessment through to exceptions
The regulation in full with its chapter structure. Each article links back to the
statutory obligation it implements and to the official copy at its exact page.
PP 33/2026 · BAB IVHak dan kewajiban
Bagian Ketujuh Belas · Penilaian Dampak Pelindungan Data Pribadi
Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi.
(2)
Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi:
a.
pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi;
b.
pemrosesan atas Data Pribadi yang bersifat spesifik;
c.
pemrosesan Data Pribadi dalam skala besar;
d.
pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi;
e.
pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data;
f.
penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau
g.
pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi.
Ayat (1) Penilaian dampak Pelindungan Data Pribadi dilakukan untuk mengevaluasi potensi risiko yang timbul dari suatu pemrosesan Data Pribadi serta upaya atau langkah yang harus dilakukan untuk memitigasi risiko, termasuk terhadap hak Subjek Data Pribadi dan mematuhi Undang-Undang mengenai Pelindungan Data Pribadi. Ayat (2) Huruf a Keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi antara lain keputusan tentang akses individu ke produk, layanan, peluang, atau manfaat yang didasarkan pada pengambilan keputusan otomatis, termasuk pembuatan profil. Huruf b Cukup jelas. Huruf c Pemrosesan Data Pribadi dalam skala besar antara lain dengan mempertimbangkan faktor yang terkait seperti jumlah Data Pribadi yang diproses, jumlah Subjek Data Pribadi yang terlibat, durasi pemrosesan Data Pribadi, jenis Data Pribadi, tujuan pemrosesan Data Pribadi, dan wilayah geografis yang terkena dampak pemrosesan Data Pribadi. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Penggunaan teknologi baru dalam pemrosesan Data Pribadi antara lain kecerdasan buatan, machine learning, smart technology, internet of things, dan lain sebagainya. Huruf g Cukup jelas.
Kewajiban melakukan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 120 ayat (1) dilaksanakan sebelum dilakukan pemrosesan Data Pribadi.
(2)
Penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
deskripsi mengenai kegiatan pemrosesan Data Pribadi dan tujuan pemrosesan Data Pribadi, termasuk kepentingan dari Pengendali Data Pribadi atas pemrosesan Data Pribadi;
b.
penilaian kebutuhan dan proporsionalitas antara tujuan dan kegiatan pemrosesan Data Pribadi;
c.
penilaian risiko terhadap hak Subjek Data Pribadi; dan
d.
langkah Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi.
(3)
Pengendali Data Pribadi menerapkan langkah Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (2) huruf d pada saat pemrosesan Data Pribadi dilakukan.
(4)
Pengendali Data Pribadi mendokumentasikan penilaian dampak Pelindungan Data Pribadi beserta langkah yang digunakan Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi.
(5)
Pengendali Data Pribadi harus melakukan peninjauan ulang penilaian dampak Pelindungan Data Pribadi jika terdapat perubahan risiko pemrosesan Data Pribadi.
(6)
Dalam hal terdapat PPDP, Pengendali Data Pribadi harus memperhatikan dan mendokumentasikan saran dari PPDP dalam melakukan penilaian dampak Pelindungan Data Pribadi.
Ayat (1) Cukup jelas. Ayat (2) Penilaian dampak Pelindungan Data Pribadi dilakukan secara sistematis. Ayat (3) Cukup jelas. Ayat (4) Mendokumentasikan penilaian dampak Pelindungan Data Pribadi termasuk mendokumentasikan saran dari PPDP. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas.
Pengendali Data Pribadi yang melakukan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 121 ayat (1), dapat berkonsultasi kepada Lembaga dalam hal:
a.
Pemrosesan Data Pribadi menimbulkan kerugian materiil dan/atau imateriil pada Subjek Data Pribadi; dan/atau
b.
tidak tersedianya langkah teknis operasional.
(2)
Ketentuan lebih lanjut mengenai penilaian dampak Pelindungan Data Pribadi diatur dalam Peraturan Lembaga.
Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan:
a.
penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan
b.
penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi.
(2)
Penyusunan dan penerapan langkah teknis operasional sebagaimana dimaksud pada ayat (1) huruf a dilakukan dengan menerapkan:
a.
pseudonimisasi, enkripsi Data Pribadi, dan/atau langkah teknis lainnya yang mampu mencegah atau melindungi risiko terjadinya Kegagalan Pelindungan Data Pribadi;
b.
memastikan sistem dan layanan yang digunakan memiliki keamanan Data Pribadi dan ketahanan secara konsisten dalam pemrosesan Data Pribadi;
c.
memastikan sistem dan layanan yang digunakan memiliki kemampuan untuk mengembalikan akses dan ketersediaan Data Pribadi secara tepat waktu dalam hal terjadi insiden fisik atau teknis; dan/atau
d.
memiliki proses untuk melakukan pengujian, evaluasi, dan penilaian secara berkala untuk mengetahui tingkat efektivitas langkah teknis dan operasional sehingga menjamin keamanan pemrosesan Data Pribadi.
(3)
Penentuan tingkat keamanan Data Pribadi sebagaimana dimaksud pada ayat (1) huruf b dilakukan pada saat terdapat potensi dampak pada Subjek Data Pribadi paling sedikit meliputi:
a.
pemusnahan Data Pribadi secara tanpa hak;
b.
kehilangan, perubahan, atau pembukaan Data Pribadi secara tanpa hak;
c.
akses dari Data Pribadi yang disimpan, dikirim, atau diproses dalam bentuk lain; dan/atau
d.
pelanggaran pemrosesan Data Pribadi.
(4)
Penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) huruf a dilakukan berdasarkan tingkat keamanan yang telah ditentukan oleh Pengendali Data Pribadi.
(5)
Pengendali Data Pribadi melakukan penilaian kesesuaian antara penyusunan dan penerapan langkah teknis operasional sebagaimana dimaksud pada ayat (1) huruf a.
(6)
Penyusunan dan penerapan langkah penentuan tingkat keamanan dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan.
(7)
Lembaga menyusun langkah teknis operasional serta penentuan tingkat keamanan berdasarkan ketentuan peraturan perundang-undangan.
Ayat (1) Yang dimaksud dengan "keamanan" mencakup pemenuhan aspek kerahasiaan, ketersediaan, dan integritas Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Huruf a Yang dimaksud dengan "pemusnahan Data Pribadi secara tanpa hak" merupakan tindakan menghancurkan Data Pribadi tanpa izin atau otoritas yang sah untuk melakukannya. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Yang dimaksud dengan "peraturan perundang-undangan" antara lain peraturan perundang-undangan di bidang keamanan siber dan sandi. Ayat (7) Cukup jelas.
Penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi sebagaimana dimaksud dalam Pasal 123 ayat (1) huruf a dimulai dari tahapan perencanaan sistem pemrosesan Data Pribadi sampai dengan penyelenggaraan pemrosesan Data Pribadi.
(2)
Dalam melaksanakan penyusunan dan penerapan langkah sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus:
a.
mempertimbangkan teknologi, biaya implementasi, sifat, ruang lingkup, konteks, dan tujuan pemrosesan Data Pribadi serta risiko yang ditimbulkan oleh pemrosesan Data Pribadi;
b.
memastikan secara baku (default) Data Pribadi yang diproses terbatas hanya pada Data Pribadi yang diperlukan untuk tujuan pemrosesan Data Pribadi; dan
c.
melakukan evaluasi risiko dan tindakan pencegahan yang diperlukan untuk melindungi Data Pribadi secara berkala dan konsisten.
Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Penerapan langkah organisasi dan teknis dilaksanakan dalam rangka meminimalisasi tujuan pemrosesan Data Pribadi dan meminimalisasi Data Pribadi yang diproses. Huruf c Evaluasi risiko dan implementasi tindakan pencegahan dilakukan baik secara berkala ataupun sewaktu-waktu sesuai dengan kebutuhan dalam rangka pelindungan terhadap Data Pribadi yang diproses melalui produk atau layanan yang ditawarkan.
Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menjaga kerahasiaan Data Pribadi.
(2)
Kewajiban menjaga kerahasiaan Data Pribadi sebagaimana dimaksud pada ayat (1), termasuk memastikan Prosesor Data Pribadi yang ditunjuk oleh Pengendali Data Pribadi mampu mendukung kewajiban Pengendali Data Pribadi dalam menjaga kerahasiaan Data Pribadi.
Pengendali Data Pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan Data Pribadi di bawah kendali Pengendali Data Pribadi.
(2)
Pihak yang terlibat dalam pemrosesan Data Pribadi dan di bawah kendali Pengendali Data Pribadi, meliputi:
a.
Prosesor Data Pribadi;
b.
pihak yang merupakan unit, satuan kerja, atau perwakilan Pengendali Data Pribadi yang kegiatan pemrosesan Data Pribadi dilakukan sendiri; dan/atau
c.
Pengendali Data Pribadi lain yang terlibat dalam pemrosesan Data Pribadi.
Ketentuan lebih lanjut mengenai pengawasan oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 126 dan Pasal 127 diatur dalam Peraturan Lembaga.
Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah.
(2)
Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan menggunakan sistem keamanan terhadap Data Pribadi yang diproses dan/atau memproses Data Pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab.
(3)
Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
Pengalihan Data Pribadi dapat dilakukan dari Pengendali Data Pribadi lama ke Pengendali Data Pribadi baru.
(2)
Pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan dalam hal penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
(3)
Sebelum pengalihan sebagaimana dimaksud pada ayat (2) dilakukan, Pengendali Data Pribadi harus melakukan penilaian terhadap:
a.
hak Subjek Data Pribadi yang masih wajib dipenuhi oleh Pengendali Data Pribadi selama dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum dilakukan; dan
b.
kewajiban Pengendali Data Pribadi dalam bidang Pelindungan Data Pribadi yang masih wajib dipenuhi oleh Pengendali Data Pribadi selama dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
(4)
Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 120 wajib memperbarui penilaian dampak Pelindungan Data Pribadi sesuai dengan hasil penilaian terhadap hak dan kewajiban sebagaimana dimaksud pada ayat (3).
(5)
Berdasarkan penilaian sebagaimana dimaksud pada ayat (3) dan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (4), Pengendali Data Pribadi menyusun langkah teknis operasional pengalihan Data Pribadi dari Pengendali Data Pribadi lama kepada Pengendali Data Pribadi baru dalam hal terdapat kewajiban Pengendali Data Pribadi dan/atau hak Subjek Data Pribadi yang wajib dipenuhi selama proses dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum.
(6)
Hubungan hukum antara Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru dalam hal penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum sebagaimana dimaksud pada ayat (2) merupakan Pengendali Data Pribadi Bersama sampai proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum dianggap selesai sesuai dengan peraturan perundang-undangan.
Dalam hal Pengendali Data Pribadi berbentuk badan hukum melakukan pembubaran atau dibubarkan, penyimpanan, pentransferan, atau pemusnahan Data Pribadi dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan.
Pengendali Data Pribadi berbentuk badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum wajib menyampaikan pemberitahuan pengalihan Data Pribadi kepada Subjek Data Pribadi.
(2)
Kewajiban penyampaian pemberitahuan pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) berlaku bagi Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru.
(3)
Pemberitahuan pengalihan Data Pribadi oleh Pengendali Data Pribadi lama sebagaimana dimaksud pada ayat (2) paling sedikit memuat:
a.
Informasi bahwa akan ada pengiriman Data Pribadi dari Pengendali Data Pribadi lama kepada Pengendali Data Pribadi baru;
b.
aktivitas pemrosesan Data Pribadi yang akan dan telah dilakukan dalam rangka penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum;
c.
nama badan hukum yang bertanggung jawab, alamat, nomor telepon dan Informasi kontak lain yang dimiliki oleh Pengendali Data Pribadi baru;
d.
metode dan prosedur penyampaian keberatan dan/atau permohonan penghentian pemrosesan Data Pribadi, atau penolakan Subjek Data Pribadi terhadap pengiriman Data Pribadi ke Pengendali Data Pribadi baru;
e.
Informasi waktu kapan pemrosesan Data Pribadi untuk keperluan kegiatan Pengendali Data Pribadi baru akan mulai berlangsung;
f.
Informasi bahwa Data Pribadi dapat diakses oleh Pengendali Data Pribadi baru dan/atau pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum; dan
g.
pernyataan bahwa Pengendali Data Pribadi lama akan memusnahkan Data Pribadi yang telah dialihkan kepada Pengendali Data Pribadi baru, pada saat penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum berakhir.
(4)
Pemberitahuan pengalihan Data Pribadi oleh Pengendali Data Pribadi baru sebagaimana dimaksud pada ayat (2) paling sedikit memuat:
a.
Informasi bahwa telah terjadi pengiriman Data Pribadi dari Pengendali Data Pribadi lama ke Pengendali Data Pribadi baru;
b.
aktivitas pemrosesan Data Pribadi yang akan dan telah dilakukan dalam rangka penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum;
c.
nama badan hukum yang bertanggung jawab, alamat, nomor telepon dan Informasi kontak lain yang dimiliki oleh Pengendali Data Pribadi baru;
d.
Informasi bahwa telah terjadi pemrosesan Data Pribadi sesuai dengan tujuan awal yang dilakukan oleh Pengendali Data Pribadi lama;
e.
Informasi waktu pemrosesan Data Pribadi untuk keperluan kegiatan Pengendali Data Pribadi baru akan mulai berlangsung;
f.
metode, prosedur, dan jangka waktu penyampaian keberatan dan/atau permohonan penghentian pemrosesan Data Pribadi, atau penolakan Subjek Data Pribadi terhadap pengiriman Data Pribadi ke Pengendali Data Pribadi baru; dan
g.
Informasi bahwa Data Pribadi dapat diakses oleh Pengendali Data Pribadi baru dan/atau pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
(5)
Pemberitahuan oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum mulai berlaku.
(6)
Pengendali Data Pribadi lama menyiapkan syarat dan ketentuan pengaksesan Data Pribadi oleh pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Yang dimaksud dengan "mulai berlaku" ialah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum yang telah memenuhi seluruh ketentuan peraturan perundang-undangan atau hukum yang berlaku. Misalnya penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum berupa perseroan terbatas di Indonesia berlaku secara efekif sejak tanggal surat persetujuan dan/atau pemberitahuan perubahan anggaran dasar dari menteri yang menyelenggarakan urusan pemerintahan di bidang hukum. Ayat (6) Cukup jelas.
Pengalihan Data Pribadi dalam penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum, Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru harus membuat perjanjian mengenai Pelindungan Data Pribadi.
(2)
Perjanjian sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a.
dasar pemrosesan Data Pribadi masing-masing Pengendali Data Pribadi;
b.
pemenuhan prinsip Pelindungan Data Pribadi;
c.
pemenuhan hak Subjek Data Pribadi; dan
d.
pembagian kewajiban dan tanggung jawab Pengendali Data Pribadi lama, Pengendali Data Pribadi baru, dan pihak yang terlibat dalam pemrosesan Data Pribadi.
(3)
Perjanjian sebagaimana dimaksud pada ayat (1) dapat menjadi bagian dari perjanjian yang melandasi terjadinya penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum.
(4)
Perjanjian sebagaimana dimaksud pada ayat (1) tetap wajib tunduk pada ketentuan perjanjian yang harus disusun dan dilakukan oleh Pengendali Data Pribadi Bersama sesuai dengan ketentuan peraturan perundang-undangan.
Kewajiban melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 67 berlaku juga bagi Pengendali Data Pribadi baru.
(2)
Pengendali Data Pribadi baru dapat memproses Data Pribadi untuk tujuan Pengendali Data Pribadi baru setelah masa pengajuan keberatan oleh Subjek Data Pribadi untuk penyimpanan dan pemrosesan Data Pribadi oleh Pengendali Data Pribadi baru berakhir.
Pengendali Data Pribadi berbentuk badan hukum yang melakukan pembubaran, selain melakukan pengalihan Data Pribadi sebagaimana dimaksud dalam Pasal 133, juga harus menyampaikan pemberitahuan kepada Subjek Data Pribadi paling sedikit memuat Informasi:
a.
telah terjadi pembubaran Pengendali Data Pribadi sehingga akan dilakukan penghapusan dan/atau pemusnahan Data Pribadi;
b.
pihak lain yang bekerja sama dengan Pengendali Data Pribadi untuk memproses Data Pribadi; dan
c.
narahubung atau PPDP yang ditugaskan untuk merespons pertanyaan atau permintaan Informasi terkait pemrosesan Data Pribadi hingga beberapa waktu tertentu yang wajar.
(2)
Pengendali Data Pribadi yang mengalami pembubaran dapat menunjuk pihak lain yang bertugas menjadi narahubung sebagaimana dimaksud pada ayat (1) huruf c.
Subjek Data Pribadi berhak untuk melaksanakan hak sebagaimana diatur dalam ketentuan peraturan perundang-undangan dalam hal terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
(2)
Pelaksanaan hak Subjek Data Pribadi dilaksanakan dengan mengirimkan permintaan pelaksanaan hak sebagaimana diatur dalam ketentuan peraturan perundang-undangan kepada:
a.
Pengendali Data Pribadi lama setelah Pengendali Data Pribadi lama mengirimkan pemberitahuan akan terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum sampai dengan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum mulai berlaku; dan
b.
Pengendali Data Pribadi baru setelah Pengendali Data Pribadi baru mengirimkan pemberitahuan bahwa telah terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum.
Pengendali Data Pribadi wajib bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip Pelindungan Data Pribadi.
(2)
Dalam melaksanakan pertanggungjawaban sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi paling sedikit harus:
a.
menetapkan dan menerapkan langkah teknis dan organisasi yang sesuai untuk memenuhi persyaratan akuntabilitas atau pertanggungjawaban;
b.
mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi;
c.
merespons permintaan Informasi dari Lembaga;
d.
menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan Data Pribadi; dan
e.
melakukan audit Pelindungan Data Pribadi secara internal dan eksternal.
Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi meliputi kegiatan pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan Data Pribadi. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas.
Bagian Kedua Puluh Satu · Kewajiban Prosesor Data Pribadi
Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi.
(2)
Kewajiban melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) harus terdokumentasi dan dilaksanakan sesuai perjanjian antara Prosesor Data Pribadi dan Pengendali Data Pribadi.
(3)
Dalam hal Prosesor Data Pribadi melakukan pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali Data Pribadi, pemrosesan Data Pribadi menjadi tanggung jawab Prosesor Data Pribadi.
Ketentuan mengenai kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 69, Pasal 74, Pasal 123, Pasal 125, Pasal 126, Pasal 129, dan Pasal 130 berlaku juga terhadap Prosesor Data Pribadi.
Prosesor Data Pribadi harus bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Dalam melaksanakan pertanggungjawaban sebagaimana dimaksud pada ayat (1), Prosesor Data Pribadi harus:
a.
mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi;
b.
merespons permintaan Informasi dari Lembaga;
c.
menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan Data Pribadi; dan
Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk PPDP yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal:
a.
pemrosesan Data Pribadi untuk kepentingan pelayanan publik;
b.
kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau
c.
kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.
(2)
Ketentuan mengenai kewajiban menunjuk PPDP sebagaimana dimaksud pada ayat (1) diatur lebih lanjut dalam Peraturan Lembaga.
PPDP yang melaksanakan fungsi Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 142 ayat (1) ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik Pelindungan Data Pribadi, dan kemampuan untuk memenuhi tugas-tugasnya.
(2)
Ketentuan mengenai profesionalitas dan kompetensi PPDP yang melaksanakan fungsi Pelindungan Data Pribadi diatur lebih lanjut dalam Peraturan Lembaga.
Kewajiban penunjukan PPDP oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus mempertimbangkan struktur, ukuran, dan kebutuhan organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi.
(2)
PPDP sebagaimana dimaksud pada ayat (1) dapat terdiri atas orang perseorangan atau beberapa orang yang berasal dari dalam dan/atau luar Pengendali Data Pribadi atau Prosesor Data Pribadi.
(3)
Ketentuan mengenai penunjukan PPDP sebagaimana dimaksud pada ayat (1) dan ayat (2) diatur lebih lanjut dalam Peraturan Lembaga.
menginformasikan dan memberikan saran kepada Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang mengenai Pelindungan Data Pribadi;
b.
memantau dan memastikan kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi;
c.
memberikan saran mengenai penilaian dampak Pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi dan Prosesor Data Pribadi; dan
d.
berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi.
(2)
Dalam melaksanakan tugas sebagaimana dimaksud pada ayat (1), PPDP memperhatikan risiko terkait pemrosesan Data Pribadi, dengan mempertimbangkan sifat, ruang lingkup, konteks, dan tujuan pemrosesan Data Pribadi.
Untuk efektivitas pelaksanaan tugas PPDP sebagaimana dimaksud dalam Pasal 145, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus:
a.
memastikan PPDP terlibat dalam semua kegiatan pemrosesan Data Pribadi;
b.
memastikan PPDP memiliki akses pelaporan ke tingkat manajemen tertinggi;
c.
memastikan PPDP beroperasi secara objektif, tidak diintervensi, dan independen dalam menjalankan tugasnya sesuai dengan ketentuan peraturan perundang-undangan;
d.
menyediakan sumber daya yang memadai untuk memungkinkan PPDP memenuhi tugasnya dan mempertahankan tingkat keahliannya;
e.
memastikan PPDP mendapatkan akses yang sesuai dengan aktivitas pemrosesan Data Pribadi;
f.
memberikan akses yang sesuai ke layanan lainnya untuk mendapatkan Informasi penting yang berkaitan dengan pemrosesan Data Pribadi;
g.
meminta saran dari PPDP pada saat melakukan penilaian dampak Pelindungan Data Pribadi; dan
h.
mendokumentasikan secara detail kegiatan pelaksanaan tugas PPDP.
(2)
Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus memastikan bahwa tugas PPDP tidak mengakibatkan konflik kepentingan.
PPDP harus bekerja sama dengan unit, pejabat, atau pihak yang bertanggung jawab dalam pemrosesan Data Pribadi.
(2)
Dalam melakukan kerja sama dengan pihak sebagaimana dimaksud pada ayat (1), PPDP harus:
a.
memberikan rekomendasi dan saran kepada unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi yang diproses oleh Pengendali Data Pribadi agar penyelenggaraan keamanan pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan;
b.
melakukan upaya yang dibutuhkan untuk memastikan unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi yang diproses oleh Pengendali Data Pribadi menerapkan langkah teknis dan operasional yang turut mempertimbangkan pelindungan hak dan kebebasan Subjek Data Pribadi; dan
c.
melaporkan kinerja unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi kepada pemimpin di internal Pengendali Data Pribadi mengenai penilaian unit, pejabat, dan/atau pihak tersebut terhadap penerapan langkah teknis dan operasional dengan mempertimbangkan pelindungan Subjek Data Pribadi sesuai kebutuhan Pengendali Data Pribadi.
Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 79 ayat (1), Pasal 90 ayat (1), Pasal 93, Pasal 97, dan Pasal 111 ayat (1) dan ayat (2) dikecualikan untuk:
a.
kepentingan pertahanan dan keamanan nasional;
b.
kepentingan proses penegakan hukum;
c.
kepentingan umum dalam rangka penyelenggaraan negara;
d.
kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
e.
kepentingan statistik dan penelitian ilmiah.
(2)
Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.
(3)
Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian hak Subjek Data Pribadi.
Ayat (1) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "kepentingan proses penegakan hukum" adalah kepentingan yang berkaitan dengan upaya atau langkah dalam rangka menjalankan atau menegakkan aturan hukum berdasarkan ketentuan peraturan perundang-undangan antara lain proses penyelidikan, penyidikan, dan penuntutan. Huruf c Yang dimaksud dengan "kepentingan umum dalam rangka penyelenggaraan negara" antara lain penyelenggaraan administrasi kependudukan, jaminan sosial, perpajakan, kepabeanan, dan pelayanan perizinan berusaha terintegrasi secara elektronik. Huruf d Yang dimaksud dengan "sektor jasa keuangan" adalah perbankan, pasar modal, asuransi, lembaga pembiayaan, dana pensiun, regulasi berbasis teknologi, teknologi finansial, dan teknologi yang berbasis lainnya yang berada dalam pengawasan Bank Indonesia, Otoritas Jasa Keuangan, dan Lembaga Penjamin Simpanan. Huruf e Cukup jelas. Ayat (2) Yang dimaksud dengan "dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang" adalah kepentingan pertahanan dan keamanan nasional, kepentingan proses penegakan hukum, kepentingan umum dalam rangka penyelenggaraan negara, kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara, atau kepentingan statistik dan penelitian ilmiah telah diatur dengan Undang-undang dan dalam melaksanakan kepentingan tersebut diperlukan pengecualian terhadap hak Subjek Data Pribadi. Ayat (3) Cukup jelas.
Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) dan ayat (6), Pasal 77 ayat (1), Pasal 80, Pasal 82 ayat (1) huruf a sampai dengan huruf c, Pasal 84 ayat (1) huruf b, Pasal 87 ayat (1), Pasal 114 ayat (1) huruf a, dan Pasal 125 ayat (1) dikecualikan untuk:
a.
kepentingan pertahanan dan keamanan nasional;
b.
kepentingan proses penegakan hukum;
c.
kepentingan umum dalam rangka penyelenggaraan negara; atau
d.
kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara.
(2)
Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.
(3)
Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian kewajiban Pengendali Data Pribadi.
Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf a dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf a harus memenuhi kriteria:
a.
pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pertahanan dan keamanan nasional;
b.
memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
c.
melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap pertahanan dan keamanan nasional;
d.
mendapatkan surat keterangan dari Lembaga atau Kementerian atau lembaga terkait yang menyelenggarakan urusan pemerintahan di bidang pertahanan dan keamanan; dan
e.
memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
Huruf a Yang dimaksud dengan "proporsional terbatas" yaitu terdapat kesesuaian antara penilaian kebutuhan dan pencapaian tujuan yang diinginkan atas pemrosesan Data Pribadi tersebut. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas.
Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf b dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf b harus memenuhi kriteria:
a.
pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi tujuan penegakan hukum;
b.
memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
c.
melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan proses penegakan hukum; dan
d.
memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf c dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf c harus memenuhi kriteria:
a.
pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan umum dalam rangka penyelenggaraan negara;
b.
memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
c.
melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan umum dalam rangka penyelenggaraan negara; dan
d.
memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf d dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara Pasal 149 ayat (1) huruf d harus memenuhi kriteria:
a.
pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara;
b.
memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
c.
melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; dan
d.
memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
Kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara antara lain untuk kepentingan pencegahan dan penanganan kejahatan terkait sektor keuangan misalnya fraud. Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Penerapan pengecualian hak untuk kepentingan statistik dan penelitian ilmiah sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf e harus memenuhi kriteria:
a.
kepentingan statistik dan penelitian ilmiah yang sifatnya nonkomersial;
b.
memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi;
c.
melakukan penilaian keseimbangan antara tujuan pemrosesan Data Pribadi untuk kepentingan statistik dan penelitian ilmiah dan kebutuhan pengecualian hak Subjek Data Pribadi;
d.
hasil statistik atau penelitian ilmiah tidak digunakan untuk menilai atau mengambil keputusan yang berkaitan dengan Subjek Data Pribadi; dan
e.
memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum.
Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, penyidik, penuntut umum, atau hakim berwenang meminta Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk memberikan Data Pribadi yang diprosesnya sesuai dengan ketentuan peraturan perundang-undangan.
(2)
Permintaan Data Pribadi sebagaimana dimaksud pada ayat (1) harus diajukan secara tertulis dalam surat permintaan Data Pribadi dengan menyebutkan secara jelas dan spesifik paling sedikit memuat:
a.
nama dan jabatan penyidik, penuntut umum, atau hakim;
b.
identitas pihak yang terindikasi sebagai tersangka atau terdakwa;
c.
uraian singkat tindak pidana yang disangkakan atau didakwakan;
d.
jenis Data Pribadi yang diminta dan relevansinya dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi;
e.
jangka waktu pemrosesan Data Pribadi;
f.
pernyataan telah memiliki dan menerapkan mekanisme pelindungan dan pengamanan yang layak dan memadai dalam memproses Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; dan
g.
dasar kewenangan untuk meminta Data Pribadi.
(3)
Jenis Data Pribadi yang diminta sebagaimana dimaksud pada ayat (2) huruf d harus bersifat terbatas dan relevan dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi yang disangkakan atau didakwakan.
(4)
Surat permintaan Data Pribadi sebagaimana dimaksud pada ayat (2) harus ditandatangani oleh:
a.
Kepala Kepolisian Negara Republik Indonesia, kepala kepolisian daerah, kepala kepolisian resor, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik dari Kepolisian Negara Republik Indonesia;
b.
pimpinan instansi atau lembaga, atau penjabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik selain penyidik Kepolisian Negara Republik Indonesia;
c.
Jaksa Agung, kepala kejaksaan tinggi, kepala kejaksaan negeri, kepala cabang kejaksaan negeri, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh jaksa dan/atau penuntut umum; atau
d.
Ketua Mahkamah Agung, ketua pengadilan tinggi, atau ketua pengadilan negeri yang memeriksa perkara yang bersangkutan dalam hal permintaan diajukan oleh hakim.
(5)
Surat permintaan sebagaimana dimaksud pada ayat (4) ditembuskan kepada pimpinan Lembaga.
Ayat (1) Yang dimaksud dengan "tindak pidana Pelindungan Data Pribadi" merupakan tindak pidana sebagaimana dimaksud dalam Undang-Undang tentang Pelindungan Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "instansi atau lembaga" merupakan instansi atau lembaga yang diberikan kewenangan melakukan penyidikan tindak pidana sesuai dengan ketentuan peraturan perundang-undangan. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (5) Cukup jelas.
Penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155 ayat (1) dapat meminta bantuan Lembaga dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi.
(2)
Lembaga memberikan bantuan melalui pemberian pendapat atau rekomendasi yang pelaksanaannya dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi memberikan Data Pribadi yang diproses atas permintaan Data Pribadi dari penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155.
(2)
Pemberian Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan memastikan pelindungan dan keamanan Data Pribadi yang diberikan sesuai dengan ketentuan peraturan perundang-undangan.
Dalam rangka pemrosesan Data Pribadi yang diberikan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 157, penyidik, penuntut umum, atau hakim yang melakukan pemrosesan Data Pribadi untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi merupakan Pengendali Data Pribadi atas Data Pribadi yang diprosesnya.
(2)
Pemrosesan Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
Pertukaran Data Pribadi antar penegak hukum dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi dilaksanakan melalui mekanisme yang disepakati berdasarkan kerja sama antar lembaga penegak hukum sesuai dengan ketentuan peraturan perundang-undangan dan pemenuhan kewajiban melindungi Data Pribadi.
