Jawaban Singkat: AVV (Auftragsverarbeitungsvertrag) adalah kontrak yang diwajibkan secara hukum berdasarkan GDPR Pasal 28 antara pengendali data dan pengolah data. Setiap organisasi yang memproses data pribadi atas nama pihak lain harus memiliki satu. Beroperasi tanpa AVV membuat kedua pihak berisiko dikenakan denda hingga €20 juta atau 4% dari omset tahunan global, mana yang lebih tinggi.
Poin Penting
- AVV adalah istilah dalam bahasa Jerman untuk Data Processing Agreement (DPA), yang diwajibkan berdasarkan GDPR Pasal 28 setiap kali pengolah menangani data pribadi untuk pengendali.
- Perjanjian harus menentukan subjek, tujuan, durasi, jenis data, langkah-langkah teknis dan organisasi (TOM), dan aturan sub-pengolah.
- Kegagalan untuk memiliki AVV yang valid dapat mengakibatkan denda regulasi terlepas dari apakah pelanggaran data telah terjadi.
- Usaha kecil tidak dikecualikan: hosting cloud, perangkat lunak penggajian, dan alat pemasaran email biasanya memicu kebutuhan AVV.
- AVV adalah kontrak antara dua pihak, bukan pemberitahuan privasi, dan tidak secara langsung menerapkan langkah-langkah keamanan seperti enkripsi.
- AVV harus ditinjau setiap kali sub-pengolah berubah, transfer data ke negara ketiga terjadi, atau aktivitas pemrosesan dimodifikasi.
- Di wilayah DACH (Jerman, Austria, Swiss), AVV adalah praktik standar dengan vendor SaaS, penyedia hosting, dan sistem ERP.
- Template tersedia dari organisasi kepatuhan dan vendor, tetapi kustomisasi untuk mencerminkan aktivitas pemrosesan yang sebenarnya sangat penting.
Apa Itu AVV dalam Pemrosesan Data?
AVV adalah singkatan dari Auftragsverarbeitungsvertrag, sebuah kata majemuk dalam bahasa Jerman yang secara langsung diterjemahkan menjadi "perjanjian pemrosesan data" dalam bahasa Inggris. Ini adalah instrumen kontraktual yang diwajibkan oleh Pasal 28 dari Peraturan Perlindungan Data Umum Uni Eropa (GDPR) untuk mengatur hubungan antara pengendali data dan pengolah data.
Istilah ini spesifik untuk yurisdiksi berbahasa Jerman (Jerman, Austria, dan Swiss), tetapi konsep hukum yang mendasarinya berlaku secara universal di seluruh UE dan EEA. Dalam konteks berbahasa Inggris, dokumen yang sama disebut Data Processing Agreement (DPA). Organisasi yang beroperasi secara internasional harus memastikan AVV mereka tersedia dalam bahasa yang relevan untuk memfasilitasi pemahaman dan kepatuhan [5].
AVV bukanlah kebijakan privasi atau banner persetujuan cookie. Ini adalah kontrak bilateral yang mengikat yang mendefinisikan bagaimana pengolah dapat menangani data pribadi, dalam kondisi apa, dan dengan perlindungan apa.
Mengapa Pengolah Data Membutuhkan AVV?
AVV adalah wajib setiap kali pengendali data melibatkan pengolah untuk menangani data pribadi atas namanya. Ini bukan panduan opsional; ini adalah persyaratan hukum yang ketat berdasarkan GDPR Pasal 28 [1].
Skenario umum yang memicu kebutuhan AVV meliputi:
- Hosting cloud dan infrastruktur (misalnya, server yang menyimpan basis data pelanggan)
- Pemrosesan penggajian yang ditangani oleh penyedia HR pihak ketiga
- Platform pemasaran email yang menyimpan daftar pelanggan
- Vendor SaaS ERP yang mengakses data bisnis dan karyawan
- Alat analitik dan pelacakan yang memproses data perilaku pengunjung
Tanpa AVV, tidak ada pihak yang memiliki dasar hukum yang terdokumentasi untuk hubungan pemrosesan. Otoritas pengawas menganggap ketidakhadiran AVV sebagai pelanggaran kepatuhan yang berdiri sendiri, terpisah dari penyelidikan pelanggaran data [3].
Apakah AVV Sama dengan DPA?
Ya, AVV dan DPA merujuk pada dokumen hukum yang sama. AVV adalah sebutan dalam bahasa Jerman; DPA adalah padanan bahasa Inggris yang digunakan di sebagian besar negara anggota UE lainnya dan dalam konteks kepatuhan internasional [5].
Kedua dokumen memenuhi persyaratan GDPR Pasal 28 dan harus mengandung elemen wajib yang sama. Jika sebuah perusahaan Jerman menandatangani DPA dengan vendor SaaS yang berbasis di AS, DPA tersebut berfungsi sebagai AVV untuk tujuan kepatuhan GDPR, asalkan memenuhi semua persyaratan substantif.
Perbedaan kunci yang perlu diingat: Label pada dokumen kurang penting dibandingkan dengan isinya. Dokumen yang berjudul "Data Processing Addendum," "Processing Agreement," atau "AVV" secara hukum setara selama mencakup semua elemen yang diperlukan.
Siapa yang Membutuhkan AVV untuk Kepatuhan GDPR?
Setiap organisasi yang merupakan pengendali data dan menggunakan layanan pihak ketiga yang memproses data pribadi atas namanya membutuhkan AVV. Ini berlaku untuk bisnis dari semua ukuran di semua industri [1].
Pengendali yang biasanya membutuhkan AVV:
| Skenario | Pengendali | Pengolah |
|---|---|---|
| Perusahaan menggunakan CRM cloud | Bisnis | Vendor CRM |
| Situs web menggunakan analitik | Pemilik situs web | Penyedia analitik |
| HR mengalihkan penggajian | Pemberi kerja | Biro penggajian |
| Toko online menggunakan alat email | Peritel | Platform email |
| Agensi mengelola iklan klien | Agensi | Platform teknologi iklan |
Siapa yang bukan pengolah: Pihak yang menentukan tujuan dan cara pemrosesan secara independen adalah pengendali dalam haknya sendiri, bukan pengolah. Pengendali bersama memerlukan jenis perjanjian yang berbeda berdasarkan Pasal 26 GDPR.
Usaha kecil sering kali mengabaikan persyaratan ini, menganggapnya hanya berlaku untuk perusahaan besar. Anggapan itu salah. Setiap pemilik situs web yang menggunakan penyedia hosting pihak ketiga, layanan buletin, atau sistem pemesanan kemungkinan besar membutuhkan setidaknya satu AVV yang berlaku [5].
Apa yang Harus Disertakan dalam AVV?
AVV yang sesuai harus mengandung elemen wajib tertentu. Kehilangan bahkan satu elemen dapat membuat perjanjian tersebut tidak memadai di bawah pengawasan GDPR [2].
Komponen wajib:
- Subjek dan durasi pemrosesan
- Sifat dan tujuan pemrosesan
- Jenis data pribadi dan kategori subjek data
- Kewajiban dan hak pengendali
- Langkah-langkah teknis dan organisasi (TOM) yang diterapkan oleh pengolah
- Aturan yang mengatur keterlibatan sub-pengolah
- Prosedur untuk permintaan hak subjek data
- Kewajiban pemberitahuan pelanggaran data
- Pengembalian atau penghapusan data setelah kontrak berakhir
- Hak audit untuk pengendali
Bagian TOM sangat penting. Meskipun AVV itu sendiri tidak menerapkan langkah-langkah keamanan, ia harus mendokumentasikan langkah-langkah apa yang dimiliki pengolah, seperti standar enkripsi, kontrol akses, dan praktik pseudonimisasi [1].
Apa yang Terjadi Jika Anda Tidak Memiliki AVV?
Beroperasi tanpa AVV yang valid membuat baik pengendali maupun pengolah berisiko terkena sanksi regulasi yang signifikan. Berdasarkan GDPR Pasal 83(4), denda untuk pelanggaran Pasal 28 dapat mencapai €10 juta atau 2% dari omset tahunan global, dan berdasarkan Pasal 83(5) untuk pelanggaran yang lebih serius, hingga €20 juta atau 4% dari omset tahunan global, mana yang lebih tinggi [3].
Secara kritis, denda ini dapat dikenakan terlepas dari apakah pelanggaran data telah terjadi. Otoritas pengawas yang melakukan audit rutin atau menanggapi keluhan dapat mengidentifikasi ketidakhadiran AVV dan mengeluarkan denda berdasarkan itu saja.
Konsekuensi tambahan meliputi:
- Kerusakan reputasi dan kehilangan kepercayaan klien
- Tanggung jawab kontraktual antara pengendali dan pengolah
- Potensi penangguhan aktivitas pemrosesan hingga perbaikan
AVV vs. Data Processing Agreement: Perbedaan Kunci
AVV dan DPA secara substansial adalah dokumen yang sama dengan nama yang berbeda. Namun, ada perbedaan praktis yang perlu diperhatikan untuk organisasi internasional.
| Dimensi | AVV | DPA |
|---|---|---|
| Bahasa | Jerman | Inggris (atau lokal) |
| Fokus yurisdiksi | Wilayah DACH | UE/EEA secara luas |
| Konteks penggunaan umum | Kontrak berbahasa Jerman | Perjanjian SaaS internasional |
| Dasar hukum | GDPR Pasal 28 | GDPR Pasal 28 |
| Persyaratan konten | Identik | Identik |
Wilayah DACH (Jerman, Austria, Swiss) memiliki budaya penegakan yang sangat kuat terkait AVV, menjadikannya praktik standar dalam kontrak vendor dengan penyedia hosting, vendor SaaS ERP, dan mitra layanan lainnya [1].
Berapa Biaya AVV?
Biaya AVV bervariasi tergantung pada bagaimana ia dibuat dan ditinjau.
- AVV berbasis template: Banyak vendor menyediakan AVV mereka sendiri sebagai bagian dari syarat layanan mereka, biasanya tanpa biaya tambahan. Organisasi seperti NexDeck menawarkan template AVV yang rinci termasuk daftar sub-pengolah [4].
- Tinjauan penasihat hukum: Memiliki pengacara perlindungan data yang menyusun atau meninjau AVV kustom biasanya memerlukan biaya antara €300 dan €2,000 tergantung pada kompleksitas dan yurisdiksi.
- Penyusunan dibantu DPO: Organisasi dengan Data Protection Officer (DPO) internal atau eksternal sering kali dapat menggunakan sumber daya tersebut untuk menyusun AVV tanpa biaya tambahan di luar retainer DPO.
Untuk usaha kecil, pendekatan yang paling praktis adalah memulai dengan template yang terpercaya dan meninjaunya oleh profesional yang berkualitas sebelum menandatangani.
Bagaimana Cara Membuat Template AVV?
Membuat AVV dimulai dengan mengidentifikasi semua hubungan pemrosesan di mana pihak ketiga menangani data pribadi atas nama Anda. Dari sana, prosesnya mengikuti langkah-langkah ini:
- Inventarisasi pengolah Anda: Daftar setiap vendor, alat, atau layanan yang mengakses data pribadi yang Anda kendalikan.
- Dapatkan atau susun AVV: Banyak pengolah (terutama vendor SaaS) menyediakan AVV standar mereka sendiri. Tinjau terhadap elemen wajib yang tercantum di atas.
- Kustomisasi bagian TOM: Pastikan langkah-langkah teknis dan organisasi mencerminkan praktik keamanan aktual pengolah.
- Daftar sub-pengolah: Sertakan lampiran yang mengidentifikasi sub-pengolah yang digunakan pengolah, bersama dengan peran dan lokasi mereka.
- Tentukan mekanisme transfer data: Jika data ditransfer ke luar UE/EEA, tentukan mekanisme transfer hukum yang sesuai (misalnya, Klausul Kontrak Standar).
- Tandatangani dan simpan: Kedua pihak harus menandatangani AVV. Simpan salinan dengan catatan pemrosesan data Anda.
Template dari organisasi yang fokus pada kepatuhan memberikan fondasi struktural yang solid, tetapi setiap AVV harus disesuaikan dengan aktivitas pemrosesan spesifik yang diatur [2].
Persyaratan AVV untuk Usaha Kecil
Usaha kecil tidak dikecualikan dari persyaratan AVV. Setiap organisasi yang tunduk pada GDPR yang menggunakan pengolah pihak ketiga harus memiliki AVV yang berlaku, terlepas dari ukuran perusahaan atau jumlah karyawan [1].
Untuk usaha kecil, beban praktisnya lebih rendah daripada yang mungkin terlihat:
- Sebagian besar vendor SaaS besar (platform email, sistem pemesanan, alat analitik) sudah menyediakan AVV atau DPA standar sebagai bagian dari syarat layanan mereka. Menerima syarat ini biasanya merupakan perjanjian yang valid.
- Tugas kunci adalah memastikan Anda benar-benar telah meninjau dan menerima syarat tersebut, bukan menganggap bahwa syarat tersebut ada.
- Pertahankan register sederhana dari pengolah Anda dan AVV yang sesuai.
Kesalahan umum: Pemilik usaha kecil sering kali menganggap bahwa karena vendor besar dan terkemuka, dokumen hukum secara otomatis ditangani. Penerimaan AVV harus menjadi langkah aktif yang terdokumentasi.
Persyaratan Jejak Audit AVV
AVV harus mencakup ketentuan yang memberikan hak kepada pengendali untuk mengaudit kepatuhan pengolah. Hak audit ini adalah elemen wajib berdasarkan GDPR Pasal 28(3)(h) [2].
Dalam praktiknya, persyaratan jejak audit berarti:
- Pengolah harus mempertahankan catatan aktivitas pemrosesan berdasarkan Pasal 30(2) GDPR.
- Pengendali memiliki hak untuk melakukan audit atau meminta auditor pihak ketiga untuk memverifikasi kepatuhan.
- Banyak pengolah memenuhi persyaratan ini melalui sertifikasi pihak ketiga seperti ISO 27001 atau SOC 2, yang dapat menggantikan audit di lokasi dalam banyak kasus.
AVV secara langsung relevan dengan kontrol Annex A ISO 27001 A.5.19 hingga A.5.22, yang mengatur hubungan pemasok dan keamanan informasi dalam rantai pasokan [2]. Organisasi dengan Sistem Manajemen Keamanan Informasi (ISMS) formal harus memastikan AVV mereka terintegrasi ke dalam proses manajemen pemasok mereka.
AVV untuk Transfer Data Internasional
Ketika pengolah berada di luar UE/EEA, AVV harus menangani mekanisme hukum untuk mentransfer data pribadi ke negara ketiga tersebut. Klausul Kontrak Standar (SCC) adalah mekanisme yang paling umum digunakan dan biasanya dimasukkan sebagai lampiran AVV [2].
Pertimbangan kunci untuk AVV internasional:
- Identifikasi apakah negara pengolah memiliki keputusan kecukupan UE.
- Jika tidak, masukkan SCC yang sesuai (pengendali-ke-pengolah atau pengendali-ke-pengendali, tergantung pada hubungan).
- Lakukan Penilaian Dampak Transfer (TIA) jika diperlukan.
- Pastikan AVV tersedia dalam bahasa kedua pihak yang berkontrak [5].
Seberapa Sering Anda Harus Memperbarui AVV Anda?
AVV harus ditinjau dan diperbarui setiap kali terjadi perubahan material dalam hubungan pemrosesan. Tidak ada interval tinjauan yang tetap secara hukum, tetapi praktik terbaik menunjukkan setidaknya tinjauan tahunan [2].
Pemicu untuk pembaruan AVV segera:
- Pengolah melibatkan sub-pengolah baru atau menghapus yang sudah ada
- Aktivitas pemrosesan berubah dalam sifat, tujuan, atau ruang lingkup
- Data ditransfer ke negara ketiga yang baru
- TOM pengolah diperbarui secara signifikan
- Hukum atau panduan regulasi yang berlaku berubah
Tinjauan proaktif terhadap AVV adalah disiplin kepatuhan inti. Perjanjian yang sudah usang yang tidak lagi mencerminkan aktivitas pemrosesan yang sebenarnya menciptakan paparan regulasi yang sama seperti tidak memiliki AVV sama sekali.
Kesalahan Umum Saat Menyiapkan AVV
Bahkan organisasi yang memahami persyaratan AVV sering kali melakukan kesalahan dalam implementasi.
Kesalahan 1: Menganggap template vendor sudah cukup otomatis. Template AVV yang disediakan vendor mungkin tidak mencakup aktivitas pemrosesan spesifik Anda. Selalu tinjau terhadap elemen wajib.
Kesalahan 2: Menghilangkan atau mendeskripsikan TOM secara samar. Otoritas pengawas memeriksa bagian TOM dengan cermat. Bahasa samar seperti "langkah-langkah keamanan yang sesuai" tanpa spesifikasi adalah tidak memadai.
Kesalahan 3: Melupakan sub-pengolah. AVV harus mencantumkan sub-pengolah. Kegagalan untuk memperbarui daftar ini ketika pengolah mengubah sub-pengolahnya adalah celah kepatuhan yang umum [2].
Kesalahan 4: Tidak menyimpan salinan yang ditandatangani. AVV yang tidak dapat diproduksi selama audit tidak memberikan perlindungan hukum. Pertahankan catatan yang terorganisir.
Kesalahan 5: Mengacaukan AVV dengan kebijakan privasi. Ini adalah dokumen yang sepenuhnya berbeda yang melayani tujuan yang berbeda. Kebijakan privasi memberi tahu subjek data; AVV mengatur hubungan pengendali-pengolah [1].
Kesimpulan
Panduan Utama tentang AVV: Mengapa Setiap Pengolah Data Membutuhkannya pada akhirnya kembali pada kenyataan kepatuhan yang sederhana: jika data pribadi berpindah tangan antara pengendali dan pengolah, AVV yang valid harus ada sebelum pemrosesan dimulai. Tidak ada pengecualian ukuran, tidak ada pemotongan industri, dan tidak ada periode tenggang untuk organisasi yang sudah beroperasi di bawah GDPR.
Langkah-langkah yang dapat diambil untuk 2026:
- Audit setiap vendor pihak ketiga yang mengakses data pribadi yang Anda kendalikan dan pastikan AVV ada untuk masing-masing.
- Tinjau AVV yang ada terhadap daftar elemen wajib, dengan perhatian khusus pada TOM dan daftar sub-pengolah.
- Tetapkan pengingat kalender untuk tinjauan AVV tahunan dan pembaruan berbasis pemicu ketika aktivitas pemrosesan berubah.
- Untuk organisasi yang mengelola kepatuhan persetujuan dan cookie bersamaan dengan AVV mereka, pertimbangkan untuk menggabungkan dokumentasi pemrosesan data Anda dengan Platform Manajemen Persetujuan yang sesuai seperti Biscotti CMP untuk mempertahankan posisi kepatuhan yang lengkap dan dapat dipertahankan.
- Konsultasikan dengan profesional perlindungan data yang berkualitas untuk setiap AVV yang melibatkan aktivitas pemrosesan yang kompleks atau transfer data internasional.
Biaya untuk mendapatkan AVV yang benar adalah minimal. Biaya untuk mendapatkan yang salah tidak.
FAQ
Apa itu AVV dalam istilah sederhana? AVV adalah kontrak tertulis antara perusahaan yang memiliki data pribadi (pengendali) dan perusahaan yang memproses data tersebut atas namanya (pengolah). Ini menentukan data apa yang diproses, mengapa, bagaimana dilindungi, dan apa yang harus dilakukan oleh kedua belah pihak.
Apakah AVV diperlukan untuk setiap hubungan vendor? Hanya untuk vendor yang memproses data pribadi atas nama Anda. Vendor yang hanya menyediakan alat yang Anda gunakan untuk memproses data sendiri (tanpa akses ke data) umumnya bukan pengolah dan tidak memerlukan AVV.
Bisakah perjanjian lisan menggantikan AVV? Tidak. GDPR Pasal 28 secara eksplisit mengharuskan perjanjian pemrosesan untuk dibuat secara tertulis, termasuk dalam bentuk elektronik.
Apakah AVV melindungi dari denda GDPR? Memiliki AVV yang valid secara signifikan mengurangi risiko regulasi, tetapi tidak memberikan kekebalan mutlak. Denda masih dapat dikenakan untuk pelanggaran lain. AVV menunjukkan kepatuhan terhadap Pasal 28 secara khusus.
Apa perbedaan antara sub-pengolah dan pengolah? Pengolah menangani data secara langsung untuk pengendali. Sub-pengolah dilibatkan oleh pengolah untuk membantu dengan pemrosesan tersebut. Pengendali harus diberitahu tentang sub-pengolah, dan pengolah harus mengikat sub-pengolah pada kewajiban yang setara.
Berapa lama AVV harus disimpan? Tidak ada periode penyimpanan eksplisit yang ditentukan dalam GDPR untuk AVV, tetapi AVV harus disimpan selama hubungan pemrosesan dan untuk periode yang wajar setelahnya, biasanya diselaraskan dengan jangka waktu pembatas untuk tindakan regulasi di yurisdiksi yang relevan.
Apakah DPA yang ditandatangani dengan perusahaan AS dihitung sebagai AVV? Ya, asalkan mencakup semua elemen yang diperlukan oleh GDPR Pasal 28 dan menggabungkan mekanisme transfer yang sesuai seperti Klausul Kontrak Standar.
Bisakah pengolah menggunakan data pribadi untuk kepentingan mereka sendiri? Tidak. Pengolah hanya dapat memproses data pribadi berdasarkan instruksi terdokumentasi dari pengendali. Pemrosesan untuk kepentingan pengolah sendiri akan mengklasifikasikan pihak tersebut sebagai pengendali, dengan kewajiban hukum terpisah.
Apa itu TOM dalam konteks AVV? TOM adalah singkatan dari Technical and Organizational Measure. Ini adalah praktik keamanan yang diterapkan pengolah untuk melindungi data pribadi, seperti enkripsi, kontrol akses, dan pseudonimisasi. AVV harus mendokumentasikan langkah-langkah ini.
Apakah AVV perlu dinotariskan? Tidak. GDPR tidak mengharuskan notarization. Perjanjian tertulis yang ditandatangani (termasuk tanda tangan elektronik) sudah cukup.
Referensi
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai