The Mandatory Designation of a Data Protection Officer in Indonesia's Upcoming Personal Data Protection Law

Abstract

It was only until recently that the Indonesian government deemed privacy and personal data as a pressing and urgent topic that requires an adequate legal and regulatory protection. In this respect, the government drafted a singular comprehensive personal data protection law (PDPL), which draft is currently pending passage in the parliament. Based on a 2016 version of the PDPL draft, organizations that process personal data are expected to comply with a myriad of obligations. However, the PDPL (per the 2016 version) does not appear to have anything to offer in terms of guaranteeing that organizations will actually implement the rules as laid down in the PDPL in practice. In the absence of any practical solution that could facilitate organizations’ data protection compliance, the PDPL is bound to fail to achieve the prescribed objective, which is to better protect individuals’ privacy rights, especially with regard to their personal data. Looking particularly at the practice that has already been developed within the European Union (EU) landscape, most of the member states adopt a self-monitoring mechanism to ensure compliance in the data protection sphere – and that self-monitoring mechanism takes form in a data protection officer (DPO). Under the General Data Protection Regulation (GDPR), EU’s data protection law, organizations with certain characteristics are mandated to appoint a DPO (DPO Obligation). As the DPO Obligation is perceived as an effective practical data protection compliance tool amongst EU countries, this article discusses and ultimately suggests for the adoption of the same into the PDPL in order to boost compliance and accomplish its objectives. Abstrak Pemerintah Indonesia belum lama ini baru menyadari bahwa persoalan terkait privasi dan perlindungan data pribadi merupakan permasalahan yang mendesak dan penting untuk segera ditanggulangi melalui payung hukum yang memadai. Berkenaan dengan ini, pemerintah telah menyusun sebuah undang-undang perlindungan data pribadi (UUPDP) yang bersifat komprehensif, yang saat ini berada dan sedang dibahas di Dewan Perwakilan Rakyat. Berdasarkan rancangan UUPDP versi tahun 2016, pihak-pihak yang memproses data pribadi dipastikan perlu untuk mematuhi berbagai macam kewajiban berdasarkan aturan-aturan yang terdapat di dalam UUPDP. Namun demikian, di dalam rancangan tersebut tidak ada mekanisme yang bersifat praktis yang ditawarkan kepada para pihak yang terkait agar mereka benar-benar menjalankan aturan yang ada di dalam UUPDP. Tanpa mekanisme tersebut, penerapan UUPDP bisa dipastikan gagal untuk mencapai tujuannya, yaitu untuk meningkatkan perlindungan terhadap hak privasi seseorang, tepatnya hak atas data pribadi mereka. Berkaca pada praktik yang sudah lama berkembang di negara-negara Uni Eropa (UE), mekanisme yang diterapkan oleh kebanyakan negara-negara di sana untuk menjamin terlaksananya aturan perlindungan data pribadi adalah dengan menghadirkan fungsi ‘data protection officer’ (DPO). Berdasarkan General Data Protection Regulation (GDPR), aturan mengenai perlindungan data pribadi di UE, pihak-pihak yang melakukan pemrosesan data pribadi tertentu wajib untuk memiliki dan menunjuk seorang DPO (Kewajiban Penunjukkan DPO). Hal ini dik arena kan k ewajiban p enunjukkan DPO dianggap sebagai mekanisme yang efektif, tulisan ini membahas dan diakhiri dengan sebuah saran agar UUPDP mengadopsi mekanisme tersebut ke dalam UUPDP agar tujuan dari undang-undang tersebut dapat tercapai. DOI: https://doi.org/10.22304/pjih.v5n1.a2