Data PDNS Gagal Pulih karena Ransomware: Siapa Bertanggung Jawab? (Bagian II-Habis)

DALAM ekosistem dan kerangka UU Pelindungan Data Pribadi (PDP) No. 27 Tahun 2022, terdapat beberapa pihak yang terlibat, yaitu Pengendali Data Pribadi, Prosesor Data Pribadi, Subjek Data Pribadi, dan Lembaga Pelindungan Data Pribadi.

Dalam hal serangan siber ransomware pada layanan PDN mengakibatkan terjadinya kegagalan pelindungan data pribadi, maka Pengendali Data Pribadi yang paling bertanggung jawab karena pihak tersebut yang menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Baca artikel sebelumnya: Data PDNS Gagal Pulih karena Ransomware: Siapa Bertanggung Jawab? (Bagian I)

Dalam operasionalnya, Pengendali Data Pribadi dapat meminta bantuan Prosesor Data Pribadi untuk melakukan pemrosesan data pribadi sesuai dengan ketentuan, atas nama Pengendali Data Pribadi.

Karena Pengendali Data Pribadi adalah pihak yang paling bertanggung jawab jika terjadi kegagalan pelindungan data pribadi, ada dua skenario yang berperan sebagai Pengendali Data Pribadi, yaitu:

Skenario 1: Pengendali Data Pribadi adalah Instansi Pemerintah sebagai Pengguna Layanan PDN

Dalam rangka penyediaan layanan publik kepada masyarakat, instansi pemerintah, baik kementerian, lembaga, dan pemerintah daerah yang menggunakan layanan PDN berperan sebagai Pengendali Data Pribadi karena menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Sebagai contoh kasus, Ditjen Imigrasi berperan sebagai Pengendali Data Pribadi karena menentukan tujuan dan melakukan kendali pemrosesan data pribadi, misalnya, untuk keperluan pemeriksaan keimigrasian, autogate, visa, izin tinggal, M-Paspor, dan Cekal Online.

Sedangkan Direktorat LAIP sebagai pengelola layanan PDN berperan sebagai Prosesor Data Pribadi dan Telkom Sigma berperan sebagai Sub-Prosesor Data Pribadi dari Direktorat LAIP sebagai pengelola layanan PDN.

Pengelola PDN Kominfo melakukan pemrosesan data pribadi sesuai permintaan Ditjen Imigrasi sebagai pengguna layanan PDN sesuai syarat dan ketentuan penggunaan layanan PDN.

Dalam hal ini, pengelola layanan PDN hanya menyediakan layanan cloud serta hak akses sesuai kebutuhan Ditjen Imigrasi.

Pengelola layanan PDN tidak menentukan tujuan dan melakukan kendali pemrosesan data pribadi yang ditempatkan Ditjen Imigrasi pada layanan PDN.

Skenario 2: Pengendali Data Pribadi adalah Direktorat LAIP sebagai Pengelola Layanan PDN.

Sesuai amanat Pasal 27 ayat 5 Perpres Sistem Pemerintahan Berbasis Elektronik (SPBE), PDN diselenggarakan oleh menteri yang menyelenggarakan urusan pemerintahan di bidang komunikasi dan informatika dan/atau Pusat Data Instansi Pusat dan Pemerintah Daerah yang memenuhi persyaratan tertentu.

Dengan kata lain, Kemenkominfo melalui Direktorat LAIP, Ditjen Aplikasi Informatika, mendapatkan tugas untuk menyelenggarakan layanan PDN.