Jawaban Singkat: AVV (Auftragsverarbeitungsvertrag) dan DPA (Data Processing Agreement) merujuk pada kontrak yang sama yang diwajibkan secara hukum di bawah Pasal 28 GDPR, istilah Jerman AVV digunakan di yurisdiksi wilayah DACH, sementara DPA adalah padanan bahasa Inggris yang digunakan di sebagian besar negara anggota UE lainnya dan secara internasional. Keduanya mengatur bagaimana pemroses data menangani data pribadi atas nama pengendali. Memilih kerangka yang salah, atau melewatkan perjanjian sepenuhnya, dapat mengekspos organisasi Anda pada sanksi regulasi yang signifikan.
Poin Penting
- AVV adalah singkatan Jerman untuk Auftragsverarbeitungsvertrag; DPA adalah singkatan dari Data Processing Agreement, keduanya secara fungsional adalah instrumen yang sama di bawah GDPR.
- Kedua perjanjian ini wajib di bawah Pasal 28 GDPR setiap kali pengendali melibatkan pemroses untuk menangani data pribadi.
- Perbedaan terminologi bersifat regional: AVV adalah standar di Jerman, Austria, dan Swiss; DPA digunakan dalam konteks berbahasa Inggris dan sebagian besar negara UE lainnya.
- Perjanjian yang valid harus mencakup pokok bahasan, durasi pemrosesan, kategori data, hak subjek data, kondisi sub-pemroses, langkah-langkah keamanan, dan ketentuan audit. [1]
- Gagal memiliki perjanjian yang benar dapat mengakibatkan penyelidikan otoritas pengawas, denda, dan sengketa kontrak.
- Biaya untuk menerapkan berkisar dari nol (menggunakan template standar vendor) hingga beberapa ribu euro untuk penyusunan hukum kustom.
- Beberapa bisnis yang beroperasi di pasar DACH dan non-DACH secara sah menggunakan kedua istilah dalam perjanjian yang sama untuk kejelasan.
- Platform Manajemen Persetujuan seperti Biscotti CMP dapat mendukung kepatuhan GDPR Anda yang lebih luas, tetapi tidak menggantikan AVV atau DPA yang dilaksanakan dengan benar.
Apa Itu AVV dalam Perlindungan Data, dan Apakah Itu Sama dengan DPA?
AVV adalah singkatan dari Auftragsverarbeitungsvertrag, istilah dalam bahasa Jerman untuk Perjanjian Pemrosesan Data. Dalam istilah hukum praktis, AVV dan DPA adalah dokumen yang sama, keduanya memenuhi persyaratan yang ditetapkan dalam Pasal 28 GDPR untuk kontrak tertulis antara pengendali data dan pemroses data. [1]
Perbedaan ini murni linguistik dan yurisdiksi. Praktisi perlindungan data Jerman, Austria, dan Swiss menggunakan AVV sebagai istilah standar dalam kontrak, kebijakan privasi, dan korespondensi regulasi. Praktisi berbahasa Inggris dan sebagian besar negara anggota UE lainnya menggunakan DPA. Ketika vendor SaaS Jerman menawarkan Anda "AVV," mereka menawarkan instrumen hukum yang sama yang akan disebut vendor berbasis Inggris sebagai "DPA."
Klarifikasi kunci: Tidak ada istilah yang menyiratkan standar hukum yang berbeda. Keduanya harus memenuhi persyaratan konten yang sama di bawah Pasal 28(3) GDPR agar valid. [1]
Apa Perbedaan Antara AVV dan DPA?
Perbedaan antara AVV dan DPA bersifat terminologis, bukan substansial. Keduanya menggambarkan kontrak yang diwajibkan oleh Pasal 28 GDPR antara pengendali data (entitas yang menentukan tujuan dan cara pemrosesan) dan pemroses data (entitas yang memproses data atas nama pengendali).
Di mana perbedaan yang nyata dapat muncul adalah dalam gaya penyusunan dan panduan regulasi lokal:
- Otoritas pengawas Jerman (Datenschutzbehörden) telah menerbitkan klausul template spesifik dan catatan panduan yang sering diintegrasikan dalam dokumen AVV.
- DPA berbahasa Inggris yang disusun untuk yurisdiksi Inggris atau Irlandia mungkin merujuk pada legislasi nasional yang mengimplementasikan bersama dengan GDPR.
- AVV Swiss juga harus memperhitungkan Undang-Undang Perlindungan Data Federal yang direvisi (revFADP), yang berbeda dari GDPR dalam beberapa hal.
Kesimpulan: Jika seorang vendor mengirimkan Anda AVV dan Anda memerlukan DPA, Anda telah menerima apa yang Anda butuhkan, asalkan kontennya memenuhi persyaratan Pasal 28(3). [1]
Kapan Anda Membutuhkan AVV vs. DPA?
Anda memerlukan salah satu dari perjanjian ini setiap kali organisasi Anda berbagi data pribadi dengan penyedia layanan pihak ketiga yang memproses data tersebut sesuai instruksi Anda. Pemicu adalah hubungan pengendali-pemroses, bukan bahasa kontrak.
Gunakan AVV ketika:
- Pihak lawan Anda berbasis di Jerman, Austria, atau Swiss dan kontrak standar mereka menggunakan terminologi tersebut.
- Organisasi Anda beroperasi di bawah hukum perlindungan data Jerman dan template internal Anda mengikuti panduan BfDI atau DPA negara bagian.
Gunakan DPA ketika:
- Pihak lawan Anda beroperasi di yurisdiksi berbahasa Inggris atau menggunakan bahasa Inggris sebagai bahasa kontrak.
- Anda berkontrak dengan penyedia cloud berbasis AS, vendor SaaS Inggris, atau pemroses internasional mana pun yang template-nya default ke "DPA."
Kesalahan umum: Mengasumsikan bahwa karena seorang vendor menyebut dokumen mereka sebagai AVV daripada DPA, aturan hukum yang berbeda berlaku. Persyaratan konten adalah identik di bawah GDPR. Yang penting adalah substansi, bukan label di halaman sampul.
Siapa yang Membutuhkan AVV dan Siapa yang Membutuhkan DPA?
Setiap organisasi yang memenuhi syarat sebagai pengendali data di bawah GDPR dan melibatkan pihak ketiga untuk memproses data pribadi atas namanya memerlukan salah satu dari perjanjian ini. Ini berlaku untuk:
- Bisnis e-commerce yang menggunakan pemroses pembayaran pihak ketiga atau platform pemasaran email.
- Perusahaan yang menggunakan penyedia infrastruktur cloud (IaaS, PaaS, SaaS).
- Agensi pemasaran online yang memproses data pelanggan klien.
- Pengembang yang membangun aplikasi yang menangani data pribadi pengguna akhir melalui API eksternal.
- Pemilik situs web yang menggunakan alat analitik, CDN, atau sistem CRM yang memproses data pengunjung.
Organisasi yang berbasis di pasar DACH biasanya akan menemui label AVV; mereka yang beroperasi secara internasional akan lebih sering berurusan dengan DPA. Kedua kategori organisasi menghadapi kewajiban hukum yang sama.
Apa yang Harus Disertakan dalam AVV vs. DPA?
Baik AVV maupun DPA harus mengandung elemen wajib yang sama di bawah Pasal 28(3) GDPR. Menghilangkan salah satu dari klausul ini membuat perjanjian tersebut tidak sesuai. [1]
| Klausul yang Diperlukan | Deskripsi |
|---|---|
| Pokok bahasan dan durasi | Data apa yang diproses dan selama berapa lama |
| Sifat dan tujuan | Mengapa dan bagaimana pemrosesan terjadi |
| Jenis data dan subjek data | Kategori data pribadi dan individu yang terpengaruh |
| Hak dan kewajiban pengendali | Instruksi yang harus diikuti pemroses |
| Langkah-langkah keamanan | Perlindungan teknis dan organisasi (TOM) |
| Kondisi sub-pemroses | Aturan untuk melibatkan pemroses hilir |
| Bantuan hak subjek data | Dukungan untuk permintaan akses, penghapusan, portabilitas |
| Pemberitahuan pelanggaran | Kewajiban pemroses untuk memberi tahu pengendali tentang insiden |
| Pengembalian atau penghapusan data | Apa yang terjadi pada data di akhir kontrak |
| Hak audit | Hak pengendali untuk memverifikasi kepatuhan |
Kasus tepi: Jika template vendor menghilangkan hak audit atau kondisi sub-pemroses, jangan tanda tangani seperti itu. Ini adalah hal yang tidak dapat dinegosiasikan di bawah Pasal 28(3). [1]
Berapa Biaya untuk Menyiapkan AVV atau DPA?
Biaya tergantung sepenuhnya pada apakah Anda menggunakan template standar vendor atau meminta penyusunan hukum kustom.
- Template yang disediakan vendor (paling umum): Gratis. Sebagian besar penyedia SaaS dan cloud besar menerbitkan AVV atau DPA standar yang dapat diterima pengendali secara online atau melalui proses klik.
- Perjanjian kustom yang dinegosiasikan: Biaya hukum biasanya berkisar antara 500 hingga 5.000 euro tergantung pada kompleksitas, yurisdiksi, dan tarif penasihat. Kontrak perusahaan dengan volume data yang signifikan atau kategori data sensitif berada di ujung yang lebih tinggi.
- Pengembangan template internal: Investasi satu kali waktu penasihat hukum untuk membuat template yang dapat digunakan kembali; biaya berkelanjutan minimal.
Catatan praktis: Untuk sebagian besar UKM dan pemilik situs web, template standar vendor sudah cukup. Negosiasi kustom diperlukan ketika pemrosesan melibatkan data kategori khusus (kesehatan, biometrik, keuangan) atau ketika pengendali menanggung eksposur tanggung jawab yang signifikan.
Bagaimana Persyaratan AVV dan DPA Berbeda Menurut Negara?
Di bawah GDPR, persyaratan substansial diselaraskan di seluruh negara anggota UE, sehingga konten inti dari AVV dan DPA identik apakah Anda berada di Berlin, Paris, atau Warsawa. Namun, nuansa tingkat nasional ada:
- Jerman: BfDI dan DPA tingkat negara bagian telah mengeluarkan panduan dan klausul model yang rinci. AVV Jerman sering kali mencakup dokumentasi langkah-langkah teknis dan organisasi (TOM) yang lebih rinci.
- Swiss: revFADP (berlaku September 2023) memberlakukan persyaratan tambahan di luar GDPR, termasuk ketentuan spesifik untuk transfer data lintas batas dan tenggat waktu pemberitahuan pelanggaran data.
- Inggris (pasca-Brexit): UK GDPR berlaku; DPA harus merujuk pada panduan UK ICO daripada otoritas pengawas UE. Klausul kontrak standar berbeda dari SCC UE.
- Negara anggota UE lainnya: Pasal 28 GDPR berlaku langsung; panduan DPA lokal dapat melengkapi tetapi tidak dapat mengurangi persyaratan minimum.
Pilih klausul hukum yang mengatur dengan hati-hati. AVV hukum Jerman dan DPA hukum Irlandia mungkin terlihat mirip tetapi akan ditafsirkan oleh pengadilan dan otoritas pengawas yang berbeda.
Dapatkah Anda Menggunakan AVV Sebagai Pengganti DPA, atau Menggunakan Keduanya Secara Bersamaan?
Ya, AVV dapat menggantikan DPA karena keduanya adalah instrumen hukum yang setara. Sebuah perusahaan yang beroperasi di pasar DACH dan non-DACH dapat menyertakan kedua istilah dalam header kontrak yang sama (misalnya, "Perjanjian Pemrosesan Data / Auftragsverarbeitungsvertrag") untuk menghindari kebingungan, ini adalah praktik umum dalam kontrak perusahaan bilingual dan sepenuhnya diperbolehkan.
Menggunakan kedua label secara bersamaan tidak menciptakan dua kewajiban hukum yang terpisah. Ini hanya memastikan bahwa pihak berbahasa Jerman dan pihak berbahasa Inggris memahami bahwa mereka melihat dokumen yang sama.
Apa Kesalahan Umum Saat Memilih Antara AVV dan DPA?
Kesalahan yang paling berdampak bukan tentang istilah mana yang Anda gunakan, tetapi tentang apa yang terkandung dalam perjanjian dan apakah itu ada sama sekali.
- Melewatkan perjanjian sepenuhnya karena hubungan vendor terasa informal atau berisiko rendah. Di bawah GDPR, kewajiban dipicu oleh tindakan pemrosesan, bukan oleh tingkat risiko yang dirasakan.
- Menerima template yang tidak lengkap yang menghilangkan klausul sub-pemroses atau hak audit, percaya bahwa versi vendor secara otomatis sesuai.
- Menggabungkan DPA dengan perjanjian berbagi data. DPA mengatur hubungan pemroses; perjanjian berbagi data mengatur pertukaran data pengendali bersama atau pengendali ke pengendali. Ini adalah instrumen yang berbeda.
- Gagal memperbarui perjanjian ketika pemroses melibatkan sub-pemroses baru atau mengubah sifat pemrosesan.
- Mengasumsikan kepatuhan GDPR mencakup hukum Swiss. Organisasi dengan subjek data Swiss harus memastikan bahwa AVV mereka juga memenuhi persyaratan revFADP.
Apa Konsekuensi Hukum Jika Salah Memilih AVV vs. DPA?
Gagal memiliki perjanjian yang valid dan lengkap dapat mengekspos baik pengendali maupun pemroses pada tanggung jawab regulasi dan sipil.
Di bawah Pasal 83(4) GDPR, pelanggaran Pasal 28 (persyaratan DPA/AVV) dapat mengakibatkan denda administratif hingga 10 juta euro atau 2% dari omset tahunan global, mana yang lebih tinggi. Otoritas pengawas di Jerman telah menunjukkan kesediaan untuk menyelidiki dan mendenda organisasi karena perjanjian pemrosesan yang hilang atau cacat.
Selain denda, konsekuensinya meliputi:
- Audit otoritas pengawas dan perintah korektif.
- Ketidakmampuan untuk menegakkan ketentuan kontrak terhadap pemroses yang tidak sesuai.
- Eksposur tanggung jawab sipil jika terjadi pelanggaran data tanpa perjanjian yang valid yang mendokumentasikan kewajiban keamanan.
- Kerusakan reputasi dalam konteks B2B di mana klien perusahaan melakukan uji tuntas vendor.
Bagaimana Anda Tahu Perjanjian Mana yang Sebenarnya Diperlukan Bisnis Anda?
Keputusan ini sederhana setelah Anda mengidentifikasi hubungan dan yurisdiksi.
Langkah 1: Tentukan apakah organisasi Anda adalah pengendali (Anda memutuskan mengapa dan bagaimana data diproses) atau pemroses (Anda memproses data atas instruksi orang lain).
Langkah 2: Identifikasi bahasa dan yurisdiksi pihak lawan Anda. Jika mereka berada di wilayah DACH, harapkan AVV. Jika mereka berada di tempat lain, harapkan DPA.
Langkah 3: Verifikasi bahwa dokumen mana pun yang Anda terima mengandung semua sepuluh elemen wajib di bawah Pasal 28(3) GDPR. [1]
Langkah 4: Jika organisasi Anda juga perlu mengelola persetujuan pengguna untuk cookie dan teknologi pelacakan, Platform Manajemen Persetujuan seperti Biscotti CMP menangani lapisan kepatuhan GDPR itu, tetapi beroperasi bersamaan, bukan sebagai pengganti, AVV atau DPA yang dilaksanakan dengan benar.
Aturan keputusan: Jika Anda memproses data pribadi atas nama organisasi lain, Anda memerlukan DPA atau AVV terlepas dari apa yang disebut secara komersial hubungan tersebut. Jika organisasi lain memproses data atas nama Anda, Anda bertanggung jawab untuk memastikan bahwa perjanjian tersebut ada sebelum pemrosesan dimulai.
FAQ
Q: Apakah AVV secara hukum berlaku di luar Jerman?
AVV secara hukum berlaku di mana pun GDPR diterapkan, asalkan memenuhi persyaratan konten Pasal 28(3). Terminologi Jerman tidak membatasi penegakannya di yurisdiksi UE lainnya.
Q: Apakah DPA perlu ditandatangani oleh kedua belah pihak?
Ya. Pasal 28(9) GDPR mengharuskan perjanjian tersebut tertulis, yang mencakup bentuk elektronik. Baik pengendali maupun pemroses harus terikat oleh ketentuan tersebut.
Q: Dapatkah DPA yang diklik melalui online vendor memenuhi persyaratan GDPR?
Ya, jika kontennya memenuhi persyaratan Pasal 28(3). Banyak penyedia cloud besar menawarkan DPA yang sesuai yang telah ditinjau oleh otoritas pengawas.
Q: Apa itu sub-pemroses, dan mengapa itu penting dalam DPA atau AVV?
Sub-pemroses adalah pihak ketiga yang dilibatkan oleh pemroses untuk melaksanakan kegiatan pemrosesan. DPA atau AVV harus menentukan kondisi di mana sub-pemroses dapat dilibatkan, termasuk hak pengendali untuk menolak. [1]
Q: Apakah saya perlu AVV atau DPA baru setiap kali pemroses memperbarui daftar sub-pemrosesnya?
Tidak selalu. Banyak perjanjian mencakup otorisasi umum untuk perubahan sub-pemroses, asalkan pemroses memberi tahu pengendali dan pengendali mempertahankan hak untuk menolak dalam periode tertentu.
Q: Apakah DPA mencakup transfer data di luar UE?
DPA mengatur hubungan pemrosesan tetapi tidak secara otomatis mengizinkan transfer data lintas batas. Mekanisme transfer terpisah (Klausul Kontrak Standar, keputusan kecukupan) diperlukan untuk transfer ke negara ketiga.
Q: Berapa lama DPA atau AVV harus disimpan?
Simpan perjanjian selama durasi hubungan pemrosesan dan untuk periode yang wajar setelahnya, biasanya setidaknya tiga hingga lima tahun, untuk menunjukkan kepatuhan jika terjadi penyelidikan otoritas pengawas.
Q: Apa perbedaan antara DPA dan DPIA?
DPA (Perjanjian Pemrosesan Data) adalah kontrak antara pengendali dan pemroses. DPIA (Penilaian Dampak Perlindungan Data) adalah penilaian risiko internal yang diperlukan untuk kegiatan pemrosesan berisiko tinggi. Keduanya memiliki tujuan yang berbeda dan tidak saling menggantikan.
Q: Dapatkah freelancer atau agensi kecil diminta untuk menandatangani AVV atau DPA?
Ya. Kewajiban ini berlaku terlepas dari ukuran pemroses. Seorang pengembang freelance yang menangani data pelanggan klien adalah pemroses dan harus menandatangani DPA atau AVV dengan setiap pengendali klien.
Q: Apakah Biscotti CMP menggantikan kebutuhan akan DPA atau AVV?
Tidak. Biscotti CMP adalah Platform Manajemen Persetujuan yang membantu mengelola persetujuan pengguna untuk cookie dan pelacakan, yang merupakan persyaratan kepatuhan GDPR yang terpisah. DPA atau AVV masih diperlukan untuk setiap hubungan pemroses yang melibatkan data pribadi.
Kesimpulan
Pertanyaan AVV vs. DPA terjawab dengan cepat setelah Anda mengenali bahwa kedua istilah menggambarkan instrumen hukum yang sama yang diwajibkan di bawah Pasal 28 GDPR. Tantangan sebenarnya bukan memilih di antara keduanya, tetapi memastikan bahwa dokumen mana pun yang mengatur hubungan pemroses Anda mengandung setiap klausul wajib, dilaksanakan dengan benar, dan diperbarui seiring dengan perkembangan kegiatan pemrosesan.
Langkah-langkah yang dapat diambil:
- Audit semua hubungan vendor saat ini untuk memastikan DPA atau AVV yang valid ada untuk setiap pemroses yang menangani data pribadi atas nama Anda.
- Tinjau perjanjian yang ada terhadap sepuluh elemen wajib Pasal 28(3) GDPR dan minta amandemen untuk setiap kekurangan. [1]
- Jika beroperasi di Swiss, verifikasi bahwa perjanjian juga memenuhi persyaratan revFADP di luar baseline GDPR.
- Tetapkan proses internal untuk onboarding pemroses baru, tidak ada pemrosesan yang boleh dimulai sebelum perjanjian ditandatangani.
- Untuk manajemen persetujuan dan kepatuhan cookie di situs web atau aplikasi Anda, evaluasi Biscotti CMP sebagai bagian dari kerangka kepatuhan GDPR yang lebih luas.
Kepatuhan perlindungan data bukanlah proyek sekali saja. Perjanjian perlu ditinjau ketika pemrosesan berubah, ketika sub-pemroses ditambahkan, dan ketika panduan regulasi berkembang. Membangun ritme tinjauan itu ke dalam program kepatuhan Anda adalah langkah perlindungan yang paling praktis terhadap eksposur regulasi.
Referensi
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai