Pentingnya Manajemen Data Pribadi di Perguruan Tinggi Pasca-Berlakunya UU PDP

Bagi perguruan tinggi yang memenuhi kriteria pasal 53, yaitu yang melaksanakan pemrosesan Data Pribadi untuk kepentingan pelayanan publik, kemudian kegiatan intinya memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar, maka memiliki CPO saja tidaklah cukup.

UU PDP mewajibkan untuk memiliki unit lain yang sifatnya sebagai pengawas Pelindungan Data Pribadi, yang disebut disebut pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi yang dalam praktik global unit ini dikenal dengan sebutan Data Protection Officer (DPO).

Seperti halnya UU PDP, DPO juga diwajibkan keberadaannya oleh General Data Protection Regulation (GDPR) bagi negara-negara Uni Eropa.

Bahkan dalam praktik, badan hukum dan korporasi di negara yang tak tunduk terhadap GDPR juga banyak yang mengikuti pola manajemen DPO ini dalam organisasinya.

DPO dan CPO

Keberadaan fungsi yang sama dengan DPO diatur pada Bagian Keempat UU PDP. UU PDP memberi nama fungsi itu sebagai "Pejabat atau Petugas yang Melaksanakan Fungsi Pelindungan Data Pribadi" yang diatur pada pasal 53 jo. 54 UU PDP.

Baca juga: DPO: Penyelamat Korporasi dari Sanksi Berat UU PDP

Perlu diketahui, dalam melaksanakan tugas dan fungsinya, DPO dan CPO memiliki peran sangat berbeda. CPO adalah unit eksekutif yang mengelola manajemen kebijakan, teknis dan operasional.

Andrada C, dalam artikelnya berjudul "DPO vs. CPO: Compliance Roles at Glance, Endpoint Protrector" (30/10/2020), menyatakan bahwa CPO memiliki peran strategis sebagai eksekutif yang memimpin pengendalian dan pemrosesan data pribadi, sesuai dengan tujuan privasi organisasi.

CPO berperan aktif dalam mengelola kebijakan privasi, tata kelola, dan pelaksana yang mematuhi regulasi.

Sedangkan DPO justru bertindak sebagai unit independen untuk menjaga kepatuhan, sebagai penasihat dan pengawas PDP.

DPO juga menjadi narahubung dengan pihak regulator PDP dan terus memonitor perkembangan kebijakan dan regulasi, bahkan memberikan masukan kepada regulator dalam pembentukan regulasi.

DPO tidak memiliki kewenangan pengambilan keputusan eksekutif seperti layaknya CPO. DPO memberi informasi dan petunjuk kepada unit operasional tentang persyaratan kepatuhan, hasil audit, dan area yang memerlukan peningkatan.

Sebagai pengawas kepatuhan yang sifatnya "independen" DPO tidak dapat melaksanakan operasional kebijakan PDP secara langsung karena bukan eksekutif.

Perguruan tinggi

Perguruan tinggi harus mengoptimalkan kedua unit ini, yaitu DPO sebagai pengawas dan penjamin kepatuhan, dan CPO sebagai unit teknis eksekutif untuk melaksanakan fungsi manajemen pelindungan dan dan pemrosesan data pribadi sesuai UU PDP.

DPO di Perguruan Tinggi, seperti halnya di korporasi pada umumnya, tidak memiliki kewenangan pengambilan keputusan eksekutif seperti CPO.

DPO memberi tahu manajer tentang persyaratan kepatuhan, hasil audit, dan area yang memerlukan peningkatan, tetapi mereka tidak dapat menerapkan kebijakan apa pun secara langsung.