Panduan Menjadi Data Protection Officer (DPO) yang Sukses

Di Indonesia Data Protection Officer (DPO) memiliki posisi tersendiri setelah kehadirannya dalam Undang-Undang No.27 Tahun 2022 Tentang Perlindungan Data Pribadi (UU PDP). Di dalam UU PDP tersebut meminta adanya pejabat ataupun petugas DPO pada organisasi. Peran dari keberadaan petugas DPO di dalam organisasi semata-mata untuk mengawasi dan berupaya menghindari adanya pelanggaran yang tersebutkan di dalam UU DPO, dengan tugasnya tersendiri. 

Oleh karena itu artikel ini memiliki tujuan sebagai panduan menjadi petugas DPO, dengan memperkenalkan bagaimana perannya, seperti apa keterampilan dan pengetahuan yang harus dipenuhi petugas DPO, bagaimana dengan kepatuhannya dalam peraturan data, bentuk studi kasus, tantangan dalam peran DPO sampai membahas strategi menjadi seorang DPO yang sukses akan dikupas di dalam tulisan ini. Mengingat kehadiran DPO sangat dibutuhkan di dalam organisasi yang aktivitas bisnisnya sudah terbilang luas, atau organisasi bisnis yang memang berfokus pada pengumpulan atau penyimpanan data. 

Apa Itu Data Protection Officer (DPO) ?

Data Protection Officer (DPO) merupakan bentuk pekerjaan yang bertugas dalam perlindungan data. Bentuk penting kehadirannya ialah mengawasi dan mengupayakan keamanan organisasi dalam keamanan data. Hal tersebut dilakukan dengan mematuhi UU Perlindungan Data Pribadi (PDP) dan mempelajari bagaimana DPO bekerja diluar negeri, karena bagaimanapun juga organisasi dengan aktivitas bisnis yang sudah luas akan melakukan kerja sama dengan organisasi luar dalam skala internasional. Tentu masing-masing negara memiliki aturan tersendiri dalam melindungi keamanan datanya. 

Namun, perlu dipahami meski DPO bekerja untuk organisasi, keberadaan DPO cukup independen dengan menjadikannya bekerja langsung dibawah pimpinan dan berstatus pegawai tetap, atau dimungkinkan kontraktor luar yang tidak memihak. Hal tersebut dilakukan untuk mengaktifkan perannya secara leluasa sebagai petugas pengontrolan keamanan data. 

Sementara bentuk peran yang dimiliki DPO dalam pengontrolan keamanan data berbentuk:

• Petugas yang memantau kinerja karyawan sekaligus memberikan saran mengenai dampak upaya keamanan data
• Pendidik yang bertugas memberikan ilmu seputar kepatuhan perlindungan data terhadap karyawan
• Menentukan dan memperbarui strategi data, praktik yang efisien dalam pengumpulan data sekaligus tata kelola data
• Petugas yang melakukan penilaian dampak perlindungan data (DPIA), dimana berhubungan dengan mengidentifikasi sekaligus meminimalkan risiko dalam pemrosesan data pribadi sedini mungkin
• Melaksanakan pekerjaan untuk mengaudit untuk memastikan kepatuhan dan mengatasi potensi masalah, tentu secara proaktif
• Keberkerjaan petugas DPO disimpan dalam catatan komprehensif yang dilakukannya mulai dari aktivitas pemrosesan data yang dilakukan perusahaan. Hal tersebut semata-mata dilakukan agar bisa dipublikasikan jika diminta oleh pihak berwenang, sekaligus mentransparankan kinerja perusahaan dalam melindungi keamanan data  dilakukan sesuai dengan aturan
• Aktivitas petugas DPO dilakukan dengan bekerja sama dengan berbagai pihak yang berwenang. Dilakukan dengan posisi DPO sebagai titik kontak dengan mereka untuk setiap permintaan informasi yang ditujukan kepada perusahaan. Selain itu, juga bisa mengajukan pertanyaan apapun kepada pihak berwenang atas nama perusahaan. 

Sehingga, dapat dipahami peran DPO penting DPO dalam era perlindungan data. Kenapa? Karena sebuah organisasi membutuhkan petugas yang bisa memahami dan memiliki keterampilan dalam mematuhi UU PDP. Petugas DPO juga dituntut untuk proaktif dalam solusi yang bisa membantu organisasi untuk tetap dalam jalur kepatuhan dan waspada dalam perlindungan data. 

Baca juga : Tugas dan Tanggung jawab Data Protection Officer a.k.a  Petugas Perlindungan Data berdasarkan GDPR.

Keterampilan yang Diperlukan

Biasanya organisasi yang membutuhkan pekerja Data Protection Officer (DPO) meminta atau mempekerjakan petugas dengan berbagai keterampilan yang diperlukan, yakni :

• DPO berkaitan dengan UU Perlindungan Data Pribadi (PDP), maka dibutuhkan pengetahuan ahli tentang undang-undang dan praktik perlindungan data dengan semua peraturan di sekitarnya.
• Mengawasi keamanan data juga harus memahami dan memiliki pengalaman dalam keamanan TI, audit keamanan, penilaian ancaman dan keamanan siber.
• Keberlangsungan pekerjaan DPO dibawah pimpinan atau orang-orang dengan jabatan lebih tinggi, serta kerja sama dengan pihak luar organisasi membutuhkan keterampilan komunikasi yang kuat, baik di semua departemen dan tingkatan
• Keterampilan juga didukung dengan gelar sarjana baik di bidang ilmu komputer, keamanan siber, keamanan informasi atau dibidang terkait. 
• Terpenting keterampilan tidak sebatas pada gelar, namun terbukti dalam analisis data dan manajemen data. 

Keterampilan-keterampilan tersebut bisa diperlukan dalam situasi seperti mengawasi kepatuhan organisasi dalam regulasi data pribadi, dan juga memberikan rekomendasi penilaiannya sebagai DPO terhadap dampak perlindungan data. 

Pengetahuan yang Dibutuhkan 

• Apa-apa Saja Bidang Pengetahuan yang Harus Dikuasai Oleh Seorang DPO?

1. Sarjana Ilmu komputer
2. Sarjana Keamanan informasi
3. Sarjana Keamanan siber
4. Sarjana atau Juris Doctor di bidang privasi
5. Pengalaman kerja setara di bidang privasi, keamanan informasi atau audit, kepatuhan.

Pengetahuan tersebut dapat didapatkan melalui pendidikan dengan mengambil jurusan hukum ataupun komputer. Sementara untuk bisa dipromosikan menjadi DPO, berkemungkinan meminta pengalaman 10 tahun di berbagai bidang disiplin ilmu bidang privasi, mulai dari privasi dan kebijakan, hukum privasi, respons insiden, tata kelola informasi, keamanan informasi serta respons insiden, atau berkaitan dengan hal tersebut bisa dijadikan bahan pertimbangan organisasi dalam penunjukkan.  

Pelatihan dengan mengambil program sertifikasi untuk perlindungan data menjadi salah satu hal terpenting dalam mencapai posisi DPO. Kenapa demikian ? Sebab bentuk adanya sertifikasi menjadi keseriusan tersendiri untuk mengasah keterampilan. Kendati demikian, untuk mengikuti program sertifikasi dimungkinkan terlebih dahulu sebelumnya pernah bekerja di bidang keamanan informasi atau pendidikan perlindungan data sebagai pemenuhan persyaratan awal maupun dilakukan ujian. Dibutuhkan beberapa bulan untuk menyelesaikan program sertifikasi maupun pelatihan yang sama-sama bisa merujuk sebagai pertimbangan pemilihan DPO, di antaranya seperti:

1. Sertifikasi professional privasi informasi bersertifikat atau Amerika Serikat (CIPP/AS). Melalui agen penerbit Asosiasi Internasional Profesional Privasi (IAPP). Mempelajari seputar Undang-Undang Privasi federal dan negara bagian Amerika Serikat, ikhtisar GDPR dan CCP, UE, analisis Undang-Undang Sektoral, penegakan hukum perdata dan pidana.
2. Sertifikasi professional privasi informasi bersertifikat atau Eropa (CIPP/E), dengan Asosiasi Internasional Profesional Privasi (IAPP) sebagai agen penerbit. Yang mempelajari peraturan, hukum, dan kebijakan Eropa. Terkhusus berbicara struktur peraturan Eropa, undang-undang utama termasuk GDPR dan petunjuk privasi, serta konsep perlindungan data.
3. Sertifikat auditor utama sistem manajemen keamanan informasi (ISO 27001), dengan lembaga penerbit : Keamanan Informasi Bersertifikat (CIS)- Inisiatif Nasional untuk Karir dan Studi Keamanan Siber (NICS). Dengan mempelajari program satu hari yang perlu melakukan audit eksternal atau internal mengenai sistem manajemen risiko yang mengelola program audit ISO SMKI atau mendukung SMKI. 
4. Sertifikasi Petugas Perlindungan Data Bersertifikat (CDPO), yang juga menawarkan kredensial S-CDPO untuk DPO dan sebelumnya telah memiliki pengalaman luas atau tujuh tahun bekerja dibidang terkait. Melalui agen penerbit Knowledge Academy atau yang lainnya. Di dalamnya akan belajar pengantar perlindungan data, mengapa hal itu diperlukan pendekatan dan peraturan, dan peran petugas perlindungan data. 
5. Sertifikasi Praktisi Perlindungan Data (DPP) dengan berbagai organisasi seperti Seco Institute, PECB atau lainnya sebagai agen penerbit. Berfokus mempelajari kursus lima hari dengan praktik langsung dalam simulasi lingkungan bisnis. Tentu mempelajari bagaimana menerapkan dan menjaga kepatuhan GDPR di perusahaan tempat peserta sertifikasi bekerja. 

Bentuk Pelatihan Selain Sertifikasi untuk Mendapatkan DPO, ialah: 

Bootcamp untuk DPO : ditujukan untuk orang yang sudah berpengalaman atau sebagian juga ada ditawarkan kepada orang yang sedikit atau bahkan tidak memiliki pengalaman sebelumnya di bidang tersebut. Umumnya bootcamp dilakukan dalam waktu beberapa bulan secara online, namun bersifat mendalam dan intensif. Bentuk bootcamp seperti:

1. Kamp pelatihan keamanan siber online Universitas Columbia : mempelajari pelatihan dunia nyata  dalam jaringan, sistem, data base, teknologi web, dan keamanan siber defense serta ofensif, dengan memakai waktu 24 minggu
2. Kamp pelatihan teknik keamanan siber Sekolah Flatiron: lulusnya biasanya dipersiapkan untuk berbagai peran penting dalam keamanan siber tingkat 1+, yakni penguji penetrasi atau insinyur keamanan, dengan durasi 15 minggu
3. Kamp pelatihan ilmu data inkubator data: diajari seputar teknologi ilmu data dengan pembelajaran mesin tingkat lanjut, analitik tingkat lanjut, pemrosesan bahasa alami (NLP) dan lainnya, dengan waktu delapan minggu
4. Ilmu data 360 DigiTMG untuk auditor internal : mempelajari teknologi inovatif dalam audit internal serta pemanfaatannya agar meningkatkan operasi bisnis. Pelajaran yang dipelajari menjurus memahami siklus hidup analisis penipuan serta analisis data, baik itu dalam bentuk analisis deskriptif dan prediktif. Peserta akan mempelajari teknik tingkat lanjut untuk mendeteksi penipuan. Menggunakan waktu empat minggu.  

Baca juga : Kenalan dengan GDPR – Peraturan Data Pribadi dari Uni Eropa

Kepatuhan Peraturan Data 

Penjelasan tentang peraturan data seperti GDPR, CCPA

Bagi DPO di dalam pekerjaannya selalu berkaitan dengan General Data Protection Regulation (GDPR) dan CCPA. GDPR sendiri menjadi undang-undang yang diadopsi dan diakui di Uni Eropa (UE) pada 25 Mei 2018. Di Indonesia GDPR juga berlaku dalam menyimpan dan mengolah data pribadi. 

Bentuk ikut sertanya GDPR saat bisnis di Indonesia berhubungan dengan UE. Seperti perusahaan –perusahaan teknologi Google atau Facebook yang mengirimkan e-mail mengenai pembaruan kebijakan privasi. 

Peraturan data di dalam GDPR yang mengatur organisasi seperti perusahaan harus meminta izin atas pengumpulan dan penggunaan data yang memakai layanannya, perlindungan khusus untuk informasi yang sensitif, organisasi wajib memperlakukan pengidentifikasi dari dan data lokasi sebagai data pribadi, penggunaan data pribadi pada layanan harus dijelaskan bagaimana digunakan, seperti apa dibagikan dan disimpan. Selain itu, seseorang yang menggunakan layanan organisasi bisa mengunduh data pribadinya dan memindahkannya ke competitor melalui hak atas portabilitas data baru. Pembobolan data wajib dilaporkan, dan terpenting organisasi didorong untuk mengembangkan mekanisme perlindungan privasi ke dalam sistemnya, dengan memakai konsep privacy by design. 

Lalu, bagaimana dengan California Consumer Privacy Act (CCPA)? CCPA sesuai dengan namanya menjadi undang-undang privasi konsumen secara komprehensif yang berlaku efektif pada 1 Januari 2020. Melalui CCPA, penduduk California mendapatkan hal untuk melindungi data pribadi dan adanya perlindungan untuk itu. 

Perjalan bisnis di California juga berpatokan kepada CCPA, termasuk bisnis Indonesia yang bekerja sama dengan California. Kepatuhan peraturan data di dalam CCPA berhubungan dengan pelaku bisnis dikaitkan dengan entitas nirlaba mulai dari perseorangan, kemitraan, perseroan terbatas, korporasi, asosiasi, atau badan hukum lainnya. 

Bentuk kepatuhannya seperti: pelaku bisnis wajib untuk mengambil beberapa tindakan untuk mematuhi persyaratan. Baik dunia usaha harus meninjau praktik inventarisasi, pengumpulan, dan pembagian data organisasi untuk menentukan bagian mana dari CCPA yang berlaku untuk bisnis, terutama jika pelaku bisnis menjual informasi pribadi konsumen.

Bagaimana seorang DPO memastikan kepatuhan peraturan ini?

ketidaktahuan DPO terhadap GDPR dan CCPA akan sangat disayangkan. Kenapa demikian? Karena saat organisasi di Indonesia tidak mematuhi dan bersangkutan dengan Eropa ataupun California, organisasi akan mengalami sanksi dan kerugian.

Maka cara DPO memastikan kepatuhan peraturan ini, ialah dengan memberikan pengarahan kepada karyawan tentang apa itu dan bagaimana sistem dari GDPR dan CCPA dan sekaligus mengawasinya aktivitas bisnis organisasi. 

Baca juga : GDPR VS Regulasi Pemerintah Indonesia

Langkah-langkah Menuju Sukses

1. Sarjana dibidang keamanan atau ilmu komputer : DPO berhubungan dengan kedua hal tersebut, adanya wawasan seputar analisis keamanan informasi, akan menciptakan kepercayaan diri dalam meniti karier sebagai pegawai DPO. 
2. Memahami undang-undang di setiap daerah tempat DPO bekerja : perlu diingat beda negara, beda juga cara undang-undang untuk keamanan data bekerja. Seorang DPO harus memahami dan mempelajari hal itu.
3. Miliki pengalaman praktis  dalam perlindungan data dan privasi
4. Miliki sertifikasi dan ikuti bootcamp : gunanya untuk membangun sikap proaktif dalam bekerja.
5. Memiliki wawasan dan update dalam perkembangan pemberitaan terbaru atau mungkin yang lama di dunia : peraturan keamanan data akan mengikuti perkembangan yang ada, maka untuk itu dibutuhkan taktik untuk mengeksploitasi data tumbuh dan berubah. 

Adapun Tips dan sumber daya yang berguna, di antaranya: Sumber daya yang digunakan adalah petugas DPO dan memanfaatkan kerja sama dengan unit organisasi lain dalam bidang privasi data. Atau jika ada bisa membangun tim privasi data. 

Untuk tips yang bisa digunakan ialah: mencari wawasan atau fokus pada bidang keamanan data baik itu lingkup hukum atau informasi secara digital, ikuti pelatihan yang berbasis sertifikasi untuk menunjang karier DPO, cari pengalaman di bidang keamanan data. 

Studi Kasus Sukses

Contoh-contoh kasus di mana seorang DPO berperan penting dalam menjaga keamanan data:

1. 12 Januari 2022, PT Pertamina Training and Consulting (PTC) mengalami kebocoran data pribadi pelamar
2. January 2022, Bank Indonesia terkena kebocoran data di mana menimpa 16 komputer di Kantor Cabang BI di Bengkulu 
3. 18 Agustus 2022, PLN mengalami kebocoran data dengan menimpa 17 juta data pelanggan dan data tersebut dijual Breached Forums
4. 20 Agustus 2022, IndiHome juga mengalami kebocoran data 26 riwayat pencarian milik pelanggan
5. 20 Januari 2023, WhatsApp terkena sanksi atas pelanggaran aturan penggunaan data pribadi UE dengan denda 5,5 Euro atau 90 miliar jika dirupiahkan. Sebelumnya di tahun September 2021 WhatsApp juga terkena sanksi denda 225 juta Euro oleh regulator data pribadi UE karena pelanggaran di tahun 2018, dan pelanggaran tersebut berlanjut ke banding.
6. 4 Maret 2023, Meta sebagai perusahaan induk Facebook terkena denda RP 6,2 triliun, karena adanya tudingan terhadap perusahaan bermarkas di Menlo Park, California. Tudingan tersebut menyoroti praktik periklanan tertarget dan penanganan data pengguna yang melanggar GDPR. 

Keuntungan yang di perolah oleh organisasi:

1. Mencegah kerugian atas ketidakpatuhan terhadap UU PDP
2. Membina karyawan dalam mematuhi peraturan data
3. Karyawan menjadi terlatih dalam mengatasi keamanan data
4. Organisasi memiliki tempat bertukar pikiran dalam mencari solusi dan antisipasi dalam keamanan data
5. Menjaga kepatuhan bisnis dalam keamanan data
6. Organisasi memiliki penghubung dengan otoritas pengawas GDPR terkait
7. Menghemat biaya untuk meningkatkan keamanan informasi karena adanya ahli dibidangnya
8. Menjaga nama baik organisasi karena taat dengan hukum

Baca juga : Cloud Security : Pengertian, Manfaat, Cara Kerja, dan Contohnya

Tantangan dalam Peran DPO

• Pemangku Kepentingan Kurang Mendukung Peran DPO

Profesi DPO terbilang baru sejak adanya Peraturan Perlindungan Data Umum (GDPR). Sehingga melalui hal itu terdapat perubahan dan organisasi diminta membuka ruang untuk petugas DPO. Kebaruan DPO membuatnya memiliki tantangan dan membutuhkan dukungan dari pemangku kepentingan.

Pemangku kepentingan utama memiliki peran untuk mendukung keberhasilan privasi data organisasi, dan DPO bekerja seputar hal itu untuk menjaga kepatuhan di dalamnya. Oleh karena itu DPO akan mengalami kesulitan baik menerapkan prosedur privasi maupun mempertahankan anggaran privasi yang diusulkan, saat pemangku kepentingan kurang mendukung perannya.

Strategi yang bisa dilakukan DPO ialah menyakinkan pemangku kepentingan untuk bisa aktif terlibat dalam peran dan agenda DPO. Keterlibatan pemangku kepentingan melalui pengenalan pentingnya perlindungan data dalam organisasi, dan menjelaskan apa saja keuntungan yang bisa didapatkan jika memberikan DPO ruang dalam pekerjaannya. 

• Kurangnya Kerja sama dengan Unit Organisasi Lain

DPO memiliki banyak pekerjaan untuk mengawasi dan menjaga keamanan data. Pekerjaan DPO yang cukup menguras waktu dan tenaga membutuhkan pembagian kerja sama dan tanggung jawab dari unit organisasi lain. 

Setiap unit harus saling berinteraksi dengan DPO, bukan tanpa alasan. Mengidentifikasi titik pengumpulan data pribadi dan aktivitas pemrosesan data menjadi salah satu alasannya. Termasuk mendidik karyawan dan memperbarui prosedur kebijakan perlindungan data.

Namun, pekerjaan DPO tidak selamanya berjalan mulus. Apalagi profesi ini terbilang baru dan perlu penyesuaian yang tidak mudah dilakukan organisasi, ditambah minimnya keterbukaan sehingga menimbulkan perlawanan ketika menerapkan kebijakan baru. 

Strategi efektif yang bisa menangani permasalahan tersebut dengan adanya dorongan langsung dari puncak manajemen. Bantuan dari orang yang berkuasa di dalam organisasi sangat membantu DPO dalam menjalankan tugasnya dan menciptakan kerja sama.

• Personel Minim

Pemenuhan persyaratan keamanan data bukan perkara yang sederhana, banyak hal yang harus diperhitungkan mulai dari sumber daya pasar. Kenapa demikian? Pembentukan privasi tim cukup sulit saat belum menemukan anggota yang tepat untuk mengisi tim privasi. 

Keterampilan orang-orang berbakat dibidang keamanan data cukup sulit ditemukan, sehingga tim sulit untuk terbentuk. 

Cara terbaik yang bisa dilakukan DPO berupa pelatihan internal dan mendelegasikan tugas administrasi ke departemen lain, dan membagi beban kerja. 

• Anggaran Terbatas

Untuk menerapkan sistem dan tim keamanan data membutuhkan anggaran yang tidak sedikit, dan organisasi harus bisa memenuhi hal itu. Namun, bagaimana jika anggaran organisasi tidak mencukupi? Karena tidak adanya pemahaman pemenuhan kebutuhan unit organisasi. 

Maka tindakan yang bisa dilakukan DPO berupa menangani otoritas pengawas, mengawasi kepatuhan, menerapkan prosedur dan teknologi, memimpin pelatihan internal dan menangani pengaduan dengan mudah. 

• Kurangnya Independensi

Tidak semua organisasi memahami bahwa DPO termasuk pekerjaan yang independen, sehingga bisa dikatakan organisasi tersebut meremehkan privasi program dan melanggar pasal 38 GDPR.

Strategi terbaik ialah aturan yang semakin diperketat pemerintah dalam menjaga keamanan data di dalam organisasi. Akan tetapi DPO bisa diberhentikan saat menyalahi tugasnya mulai dari pelanggaran disiplin. Untuk DPO sendiri jika pekerjaannya dihambat maka jangan sungkan untuk menjelaskan kepada organisasi bagaimana sebenarnya sistem kerja DPO yang sesuai dengan aturan berlaku. 

• Alat DPO Kurang

Untuk praktik pemrosesan data membutuhkan alat yang memadai. Tugas DPO sendiri ialah memberikan saran mengenai pemilihan metodologi dan solusi teknis untuk mengimplementasikan privasi program. Mulai dari platform pencatatan aktivitas pemrosesan, alat penilaian dampak perlindungan data (DPIA), alat penilaian risiko, perangkat lunak penilaian kepentingan yang sah, perangkat lunak untuk mengelola permintaan akses subjek data dan lainnya. 

Maka strategi untuk mengatasinya dengan memberikan solusi tingkat teknis lebih lanjut. Maka DPO bisa memberikan saran ketika dilakukan pembelian perangkat lunak GDPR, bisa melalui evaluasi independen yang dilakukan perusahaan riset terpercaya. 

• Kurangnya Praktik Praktik

Kebaruan DPO menjadi hal wajar jika pedoman yang bisa dijadikan acuan dalam melakukan tugasnya masih kurang. Oleh sebab itu, solusi kebaruan dengan kurangnya praktik penerapan peran DPO bisa dilakukan dengan dikeluarkannya oleh otoritas pengawas nasional yang dapat membantu keputusan di organisasi.  Untuk itu, DPO harus turin menggali informasi tentang privasi data, dengan menghadiri konferensi atau berlangganan untuk mencari informasi di portal yang membahas privasi. 

Kesimpulan

Menjadi DPO tidaklah mudah, namun dibalik ketidakmudahan tersebut ada peran penting DPO dalam menjalankan kesejahteraan organisasi. Keberadaan DPO untuk  keamanan data menjadi pencerahan bagi organisasi, baik secara internal maupun eksternal. Sebab, bisnis akan selalu berkembang dan berkaitan dengan aturan keamanan data. Keamanan data memiliki nilai tersendiri untuk menjaga nama baik organisasi, untuk itu DPO yang sukses sebagai profesi yang terbilang baru bukan hanya sekedar profesi, tapi bagaimana menjaga, mengawasi dan memberikan solusi. 

Optimalkan kepatuhan perusahaan Anda terhadap GDPR dengan pelatihan eksklusif kami atau jadwalkan konsultasi GDPR hari ini untuk langkah-langkah yang tepat menuju keamanan data yang mutlak.