Sesuai bunyi Pasal 1 angka 4 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menyebutkan pengendali data pribadi sebagai setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.
Sehubungan dengan pengendali data pribadi ini ada sejumlah kewajiban yang disebutkan dalam UU PDP ialah kewajiban untuk melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi yang selengkapnya tertuang dalam Pasal 31 UU PDP.
“Record of Processing Activities (ROPA) ini lumayan sering disebut, tapi dalam UU PDP tidak keluar menjadi salah satu 'kalian harus punya ROPA'. Tapi ini jadi salah satu kewajiban dari pengendali data melakukan perekaman terhadap seluruh kegiatan pemrosesan data,” ujar Co-Founder Asosiasi Praktisi Pelindungan Data Indonesia (APPDI) Raditya Kosasih dalam Pelatihan Hukumonline bertajuk “Masterclass Pelindungan Data Pribadi: Menguasai Teori, Regulasi dan Implementasi” Batch III, Rabu (5/10/2023) di Hotel Ashley Wahid Hasyim, Jakarta.
Baca Juga:
- Poin Penting Pengembangan Kerangka Program Pelindungan Data Pribadi Perusahaan
- Yuk! Kenali Prinsip dan Dasar Pemrosesan Data Pribadi
- Teknologi Baru, Salah Satu Potensi Risiko Tinggi Pemrosesan Data Pribadi
Ia melanjutkan bila hendak memenuhi kewajiban yang termaktub dalam Pasal 31 UU PDP itu, outcome yang dihasilkan melalui ROPA. “Supaya ada keseragaman bagaimana cara merekamnya, ada suatu produk yang disebut ROPA. Kenapa ini penting? Karena ketika mau memastikan visibility,” kata dia.
Aturan mengenai ROPA dapat dijumpai dalam Pasal 30 General Data Protection Regulation (GDPR). Disebutkan bahwa setiap pengontrol data dan perwakilan pengontrol jika ada, harus menyimpan catatan aktivitas pemrosesan yang berada di bawah tanggung jawabnya. Catatan tersebut harus memuat sejumlah informasi penting.
Sebut saja seperti nama dan kontak detail dari pengontrol data; tujuan pemrosesan data; deskripsi dari kategori subjek data dan kategori data pribadi; kategori penerima yang data pribadinya telah atau akan diungkapkan.