Jawaban Singkat: Di bawah GDPR, pengendali data menentukan mengapa dan bagaimana data pribadi diproses, sementara pemroses data menangani data hanya berdasarkan instruksi pengendali. Tanggung jawab berbeda secara signifikan: pengendali memikul akuntabilitas yang paling luas, sementara pemroses menghadapi tanggung jawab langsung hanya ketika mereka bertindak di luar instruksi yang sah atau melanggar kewajiban GDPR yang secara khusus ditujukan kepada mereka.
Poin Penting
- Pengendali data memutuskan tujuan dan cara pemrosesan; pemroses data bertindak atas nama pengendali.
- Pengendali memikul tanggung jawab utama di bawah GDPR; pemroses menghadapi tanggung jawab langsung berdasarkan Pasal 82 hanya dalam keadaan tertentu.
- Kedua peran dapat ada secara bersamaan dalam satu organisasi, sebuah perusahaan dapat menjadi pengendali untuk pelanggan mereka sendiri dan pemroses untuk bisnis lain.
- Perjanjian Pemrosesan Data (DPA) yang mengikat secara hukum adalah wajib setiap kali pengendali melibatkan pemroses.
- Sub-pemroses memerlukan otorisasi tertulis sebelumnya dari pengendali; pemroses utama tetap sepenuhnya bertanggung jawab atas perilaku sub-pemroses.
- Salah mengklasifikasikan peran Anda adalah risiko kepatuhan yang dapat mengekspos organisasi Anda pada sanksi regulasi.
- Pemroses yang menggunakan data pribadi untuk tujuan mereka sendiri secara otomatis menjadi pengendali untuk aktivitas pemrosesan tersebut.
- Undang-Undang Data (Penggunaan dan Akses) Inggris 2026 memperkenalkan perubahan lebih lanjut yang harus ditinjau oleh organisasi yang beroperasi di bawah GDPR Inggris dengan segera.
Apa Perbedaan Antara Pengendali Data dan Pemroses Data di Bawah GDPR?
Pengendali data adalah entitas yang menentukan tujuan dan cara pemrosesan data pribadi. Pemroses data adalah entitas yang memproses data pribadi atas nama pengendali, dengan ketat mengikuti instruksi pengendali [1].
Perbedaan ini bergantung pada otoritas pengambilan keputusan. Jika organisasi Anda memutuskan mengapa data dikumpulkan dan bagaimana data tersebut akan digunakan, Anda adalah pengendali. Jika organisasi Anda hanya menangani data karena entitas lain telah menginstruksikan Anda untuk melakukannya, dan Anda tidak memiliki suara independen dalam tujuan tersebut, Anda adalah pemroses.
Contoh praktis:
| Skenario | Peran |
|---|---|
| Seorang pengecer e-commerce yang mengumpulkan data pembelian pelanggan | Pengendali |
| Penyedia hosting cloud yang menyimpan database pengecer tersebut | Pemroses |
| Platform SaaS penggajian yang memproses data karyawan untuk pemberi kerja | Pemroses |
| Agensi pemasaran yang membangun daftar prospek mereka sendiri | Pengendali |
| Vendor CRM yang mengakses data klien untuk memberikan dukungan | Pemroses |
ICO menekankan bahwa label dalam kontrak tidak menentukan peran, tetapi perilaku aktual yang melakukannya [1]. Seorang vendor yang disebut "pemroses" dalam kontrak tetapi membuat keputusan independen tentang penggunaan data secara hukum adalah pengendali terlepas dari apa yang dikatakan dalam perjanjian.
Apa Tanggung Jawab Utama Pengendali Data di Bawah GDPR?
Pengendali memikul beban kepatuhan yang paling berat di bawah GDPR. Mereka bertanggung jawab atas seluruh siklus hidup data dan harus memastikan bahwa setiap pemroses yang mereka libatkan memenuhi standar GDPR [3].
Kewajiban inti pengendali meliputi:
- Menetapkan dan mendokumentasikan dasar hukum untuk setiap aktivitas pemrosesan
- Memberikan pemberitahuan privasi yang transparan kepada subjek data
- Memfasilitasi hak-hak subjek data, akses, perbaikan, penghapusan, portabilitas, dan keberatan
- Melakukan Penilaian Dampak Perlindungan Data (DPIA) untuk pemrosesan berisiko tinggi
- Mengangkat Pejabat Perlindungan Data (DPO) jika diperlukan
- Melakukan uji tuntas sebelum melibatkan pemroses dan memantau kepatuhan mereka yang berkelanjutan
- Menandatangani Perjanjian Pemrosesan Data tertulis dengan setiap pemroses yang dilibatkan [3]
Pengendali tidak dapat mengalihkan akuntabilitas. Bahkan ketika pemroses menyebabkan pelanggaran, pengendali tetap bertanggung jawab kepada otoritas pengawas atas pilihan pemroses dan kecukupan perlindungan kontraktual.
Apa Tanggung Jawab Utama Pemroses Data di Bawah GDPR?
Pemroses memiliki kewajiban langsung di bawah GDPR, bukan hanya kewajiban kontraktual, dan tidak dapat menganggap kepatuhan sebagai masalah pengendali semata [3].
Kewajiban langsung pemroses di bawah GDPR meliputi:
- Memproses data hanya berdasarkan instruksi yang terdokumentasi dari pengendali
- Menerapkan langkah-langkah keamanan teknis dan organisasi yang sesuai
- Memelihara catatan semua aktivitas pemrosesan yang dilakukan atas nama pengendali
- Memberitahukan pengendali tentang pelanggaran data tanpa penundaan yang tidak semestinya
- Membantu pengendali dalam memenuhi permintaan hak subjek data
- Menghapus atau mengembalikan semua data pribadi setelah kontrak berakhir
- Melibatkan sub-pemroses hanya dengan otorisasi tertulis sebelumnya dari pengendali [3]
"Pemroses memiliki kewajiban langsung di bawah GDPR, bukan hanya kewajiban kontraktual, dan menghadapi risiko regulasi jika mereka bertindak di luar instruksi sah pengendali."
Siapa yang Bertanggung Jawab Jika Terjadi Pelanggaran Data: Pengendali atau Pemroses?
Keduanya dapat bertanggung jawab, tetapi ruang lingkupnya berbeda. Di bawah Pasal 82 GDPR, setiap orang yang menderita kerugian akibat pelanggaran GDPR memiliki hak untuk mengklaim kompensasi dari pengendali atau pemroses yang bertanggung jawab [2].
Pengendali bertanggung jawab atas kerugian yang disebabkan oleh pemrosesan yang melanggar GDPR. Pemroses bertanggung jawab hanya ketika mereka gagal mematuhi kewajiban GDPR yang secara khusus ditujukan kepada pemroses, atau ketika mereka bertindak di luar atau bertentangan dengan instruksi sah pengendali [2].
Alokasi tanggung jawab dalam praktik:
- Jika pemroses mengalami pelanggaran karena pengendali memberikan instruksi keamanan yang tidak memadai, pengendali kemungkinan memikul tanggung jawab utama.
- Jika pemroses mengabaikan persyaratan keamanan pengendali, pemroses memikul tanggung jawab langsung.
- Keduanya dapat dianggap bertanggung jawab secara bersama-sama dan terpisah, yang berarti subjek data dapat mengejar salah satu pihak untuk jumlah kerugian penuh, membiarkan mereka membagi tanggung jawab di antara mereka setelahnya.
Pemroses dapat menghindari tanggung jawab dengan membuktikan bahwa mereka tidak bersalah atas peristiwa yang menyebabkan kerugian [2]. Ini adalah standar yang tinggi: pemroses harus menunjukkan kepatuhan penuh terhadap kewajiban GDPR mereka.
Dapatkah Sebuah Perusahaan Menjadi Pengendali dan Pemroses Secara Bersamaan?
Ya. Sebuah organisasi dapat bertindak sebagai pengendali untuk beberapa aktivitas pemrosesan dan sebagai pemroses untuk yang lain, bahkan dalam hubungan bisnis yang sama [1].
Sebagai contoh, agensi pemasaran digital dapat bertindak sebagai pengendali ketika mengelola data HR karyawan mereka sendiri, dan sebagai pemroses ketika menjalankan kampanye iklan menggunakan data pelanggan klien. Peran ditentukan aktivitas demi aktivitas, bukan perusahaan demi perusahaan.
Dapatkah Pemroses Menjadi Pengendali Jika Mereka Menggunakan Data untuk Tujuan Mereka Sendiri?
Pemroses secara otomatis menjadi pengendali pada saat mereka menggunakan data pribadi untuk tujuan di luar instruksi pengendali [1]. Ini adalah salah satu salah klasifikasi yang paling berdampak dalam praktik.
Jika vendor analitik cloud mulai menambang data klien untuk melatih model AI mereka sendiri tanpa otorisasi, mereka telah melampaui peran pemroses dan mengambil status pengendali untuk aktivitas tersebut, dengan semua kewajiban dan eksposur tanggung jawab GDPR yang menyertainya. Tidak ada klausul kontrak yang dapat mencegah reklassifikasi ini; ini adalah masalah fakta, bukan kesepakatan.
Bagaimana Perjanjian Pemrosesan Data Melindungi Pemroses dari Tanggung Jawab?
Perjanjian Pemrosesan Data (DPA) adalah instrumen hukum yang wajib di bawah GDPR setiap kali pengendali melibatkan pemroses [3]. Bagi pemroses, DPA yang disusun dengan baik adalah mekanisme utama untuk membatasi eksposur tanggung jawab.
DPA yang sesuai harus menentukan:
- Subjek, durasi, sifat, dan tujuan pemrosesan
- Jenis data pribadi dan kategori subjek data yang terlibat
- Kewajiban dan hak pengendali
- Persyaratan kerahasiaan untuk personel yang berwenang
- Langkah-langkah keamanan yang harus diterapkan
- Ketentuan untuk melibatkan sub-pemroses
- Prosedur untuk mengembalikan atau menghapus data pada akhir kontrak [3]
Ketika pemroses bertindak secara ketat dalam lingkup DPA, tanggung jawab atas kerugian yang dihasilkan beralih sebagian besar kepada pengendali. Sebaliknya, jika pemroses melampaui instruksi tersebut, DPA menjadi bukti penyimpangan daripada pelindung.
Apa yang Terjadi Jika Pemroses Melanggar Aturan GDPR?
Pemroses yang melanggar GDPR menghadapi denda regulasi dan tanggung jawab sipil atas kerugian. Otoritas pengawas dapat memberlakukan denda administratif langsung kepada pemroses, hingga EUR 20 juta atau 4% dari omset tahunan global untuk pelanggaran yang paling serius, mana yang lebih tinggi [2].
Selain denda, pemroses menghadapi klaim berdasarkan Pasal 82 dari subjek data yang menderita kerugian. Mereka juga dapat menghadapi tanggung jawab kontraktual kepada pengendali berdasarkan DPA, termasuk kewajiban ganti rugi.
Apakah Pemroses Membutuhkan Pejabat Perlindungan Data Sendiri?
Pemroses tunduk pada ambang batas penunjukan DPO yang sama seperti pengendali. Pemroses harus menunjuk DPO jika mereka melakukan pemantauan individu secara besar-besaran dan sistematis, atau memproses kategori data khusus atau data hukuman kriminal secara besar-besaran [1].
Menjadi pemroses tidak mengecualikan organisasi dari persyaratan DPO. Banyak penyedia cloud besar dan platform SaaS yang bertindak sebagai pemroses diwajibkan untuk mempertahankan DPO karena volume dan sensitivitas data yang mereka tangani.
Apa Perbedaan Denda GDPR Antara Pengendali dan Pemroses?
Struktur denda dua tingkat GDPR berlaku sama untuk pengendali dan pemroses. Tingkat satu mencakup pelanggaran yang kurang serius (hingga EUR 10 juta atau 2% dari omset global); tingkat dua mencakup pelanggaran yang paling serius, termasuk pemrosesan yang tidak sah dan kegagalan untuk menghormati hak-hak subjek data (hingga EUR 20 juta atau 4% dari omset global) [2].
Tidak ada diskon hukum untuk pemroses. Namun, dalam praktiknya, otoritas pengawas menilai kesalahan, kerja sama, dan sifat pelanggaran saat menentukan jumlah denda, faktor-faktor yang dapat menghasilkan hasil yang berbeda untuk pengendali dibandingkan dengan pemroses dalam insiden yang sama.
Apakah Sub-Pemroses Memiliki Tanggung Jawab Berbeda Dari Pemroses Utama?
Sub-pemroses memikul kewajiban GDPR yang sama seperti pemroses utama tetapi terikat secara kontraktual kepada pemroses utama daripada langsung kepada pengendali. Perbedaan penting: pemroses utama tetap sepenuhnya bertanggung jawab kepada pengendali atas kinerja sub-pemroses [3].
Jika sub-pemroses menyebabkan pelanggaran, upaya hukum pengendali ditujukan kepada pemroses utama. Pemroses utama kemudian harus mengejar sub-pemroses secara terpisah. Sub-pemroses juga dapat menghadapi tindakan regulasi langsung dari otoritas pengawas atas pelanggaran GDPR mereka sendiri.
Aturan sub-pemroses sekilas:
- Otorisasi tertulis sebelumnya dari pengendali diperlukan sebelum melibatkan sub-pemroses
- Pemroses utama harus memberlakukan kewajiban perlindungan data yang setara kepada sub-pemroses
- Pemroses utama tidak dapat menghindari tanggung jawab dengan menunjuk kesalahan sub-pemroses
Bagaimana Anda Menentukan Apakah Anda Pengendali atau Pemroses untuk Bisnis Anda?
Penentuan bergantung pada satu pertanyaan: apakah organisasi Anda secara independen memutuskan mengapa data pribadi diproses? Jika ya, Anda adalah pengendali. Jika Anda hanya memproses data karena entitas lain telah menginstruksikan Anda untuk melakukannya, dan Anda tidak memiliki tujuan independen, Anda adalah pemroses [1].
Daftar periksa keputusan praktis:
- Siapa yang memutuskan untuk mengumpulkan data ini sejak awal?
- Siapa yang menentukan untuk apa data tersebut akan digunakan?
- Apakah organisasi Anda memiliki kebebasan dalam cara data diproses, atau apakah Anda mengikuti spesifikasi pihak lain?
- Apakah pemrosesan akan berhenti jika pihak lain menarik instruksi mereka?
- Apakah Anda menggunakan data untuk tujuan yang menguntungkan organisasi Anda secara independen?
Jika jawaban Anda menunjukkan arah yang berbeda di antara pertanyaan-pertanyaan ini, Anda mungkin adalah pengendali bersama, situasi yang memerlukan pengaturan transparansi terpisah dengan pihak lain [1].
Apa Kesalahan Umum yang Dilakukan Perusahaan dengan Peran Pengendali dan Pemroses?
Salah klasifikasi adalah kesalahan yang paling umum, dan itu membawa konsekuensi kepatuhan yang nyata. Organisasi sering kali menganggap bahwa disebut sebagai "vendor" atau "penyedia layanan" dalam kontrak membuat mereka menjadi pemroses, ketika perilaku mereka yang sebenarnya memenuhi syarat mereka sebagai pengendali.
Kesalahan lain yang sering terjadi:
- Mengabaikan DPA: Pengendali yang melibatkan pemroses tanpa DPA tertulis melanggar GDPR secara langsung, terlepas dari seberapa aman sistem pemroses.
- Gagal memeriksa sub-pemroses: Pengendali sering kali mengabaikan bahwa pemroses mereka telah melibatkan sub-pemroses tanpa otorisasi atau perlindungan kontraktual yang setara.
- Menganggap pemroses menangani hak subjek data: Pengendali tetap bertanggung jawab untuk menanggapi permintaan subjek data; pemroses hanya membantu.
- Mengabaikan risiko reklassifikasi: Pemroses yang memperluas layanan mereka dan mulai menggunakan data klien untuk analitik, pelatihan model, atau benchmarking mungkin tanpa sadar menjadi pengendali tanpa menyadari pergeseran tersebut.
Bagi organisasi yang mengelola persetujuan dan aliran data di seluruh situs web dan properti digital, platform manajemen persetujuan seperti Biscotti CMP dapat membantu pengendali mendokumentasikan dasar hukum dan mengelola catatan persetujuan, elemen dasar dari akuntabilitas pengendali di bawah GDPR.
Bagaimana Sebuah Bisnis Kecil Harus Menangani Tanggung Jawab Pengendali vs. Pemroses?
Bisnis kecil tidak dibebaskan dari kerangka kerja pengendali-pemroses GDPR. Jika sebuah bisnis kecil mengumpulkan data pelanggan, bahkan hanya alamat email untuk buletin, itu adalah pengendali dan harus mematuhi semua kewajiban pengendali.
Langkah praktis untuk bisnis kecil:
- Peta setiap alat atau vendor yang menangani data pribadi atas nama Anda (platform email, alat analitik, pemroses pembayaran, CRM).
- Konfirmasi apakah ada DPA yang ditandatangani dengan setiap vendor.
- Verifikasi bahwa DPA setiap vendor memenuhi persyaratan minimum GDPR.
- Publikasikan pemberitahuan privasi yang sesuai yang secara akurat menggambarkan aktivitas pemrosesan Anda.
- Tetapkan proses untuk menanggapi permintaan subjek data dalam jendela waktu 30 hari yang ditetapkan oleh undang-undang.
Undang-Undang Data (Penggunaan dan Akses) Inggris 2026, yang menerima Persetujuan Kerajaan pada 19 Juni 2026, memperkenalkan modifikasi lebih lanjut terhadap hukum perlindungan data yang harus ditinjau oleh bisnis kecil yang berbasis di Inggris dengan penasihat hukum untuk memastikan kewajiban pengendali mereka tetap terkini [1].
Pertanyaan yang Sering Diajukan
Q: Apakah perusahaan SaaS selalu menjadi pemroses? Perusahaan SaaS adalah pemroses hanya ketika mereka memproses data pribadi secara ketat atas nama pelanggan mereka dan untuk tujuan yang tidak independen. Jika mereka menggunakan data pelanggan untuk analitik, perbaikan produk, atau pemasaran mereka sendiri, mereka menjadi pengendali untuk aktivitas tersebut.
Q: Apakah pemroses perlu mendaftar dengan otoritas pengawas? Persyaratan pendaftaran bervariasi menurut negara anggota UE. Namun, pemroses harus mempertahankan Catatan Aktivitas Pemrosesan (RoPA) internal di bawah Pasal 30 GDPR jika mereka mempekerjakan 250 orang atau lebih, atau jika pemrosesan kemungkinan akan mengakibatkan risiko bagi subjek data.
Q: Dapatkah pemroses menolak instruksi pengendali? Ya, jika mengikuti instruksi tersebut akan mengharuskan pemroses melanggar GDPR. Dalam kasus seperti itu, pemroses harus memberi tahu pengendali dan, jika instruksi tidak diperbaiki, mungkin perlu mengakhiri hubungan.
Q: Apa itu pengaturan pengendali bersama? Pengendali bersama ada ketika dua atau lebih entitas secara bersama-sama menentukan tujuan dan cara pemrosesan. Mereka harus mendokumentasikan tanggung jawab masing-masing dalam pengaturan yang transparan dan membuat inti dari pengaturan tersebut tersedia bagi subjek data [1].
Q: Berapa lama DPA perlu tetap berlaku? DPA harus tetap berlaku selama hubungan pemrosesan. Setelah berakhir, DPA mengatur kewajiban pemroses untuk menghapus atau mengembalikan semua data pribadi.
Q: Apakah pemroses bertanggung jawab atas denda yang dikenakan pada pengendali? Tidak. Denda dikenakan terhadap entitas yang melakukan pelanggaran. Namun, pemroses dapat menghadapi denda terpisah untuk pelanggaran mereka sendiri, dan dapat menghadapi klaim ganti rugi dari pengendali berdasarkan DPA.
Q: Apakah GDPR berlaku untuk pemroses yang berlokasi di luar UE? Ya. GDPR berlaku untuk pemroses di luar UE ketika mereka memproses data pribadi penduduk UE atas nama pengendali yang berbasis di UE, atau ketika mereka lainnya tunduk pada lingkup teritorial GDPR di bawah Pasal 3.
Q: Apa perbedaan antara DPA dan Klausul Kontrak Standar? DPA mengatur hubungan pengendali-pemroses secara domestik. Klausul Kontrak Standar (SCC) adalah mekanisme kontraktual spesifik untuk mentransfer data pribadi ke negara ketiga di luar UE/EEA yang tidak memiliki keputusan kecukupan.
Kesimpulan
Pengendali vs. Pemroses: Memahami Tanggung Jawab Anda di Bawah GDPR bukanlah latihan hukum yang abstrak, ini menentukan siapa yang menghadapi denda regulasi, siapa yang mengkompensasi subjek data, dan siapa yang bertanggung jawab kepada otoritas pengawas ketika sesuatu berjalan salah. Perbedaan ini bergantung pada pertanyaan faktual tentang otoritas pengambilan keputusan, bukan pada label kontrak.
Langkah-langkah selanjutnya yang dapat diambil:
- Lakukan latihan pemetaan data untuk mengidentifikasi setiap aktivitas pemrosesan dan peran organisasi Anda dalam masing-masing.
- Audit kontrak vendor yang ada untuk memastikan DPA yang sesuai ada dengan setiap pemroses yang Anda libatkan.
- Tinjau pengaturan sub-pemroses untuk memastikan otorisasi sebelumnya ada dan kewajiban setara diterapkan.
- Jika Anda beroperasi sebagai pengendali dan pemroses di berbagai aktivitas, dokumentasikan setiap peran secara terpisah.
- Bagi organisasi di Inggris, tinjau implikasi dari Undang-Undang Data (Penggunaan dan Akses) 2026 dengan penasihat hukum yang berkualitas.
- Terapkan solusi manajemen persetujuan seperti Biscotti CMP untuk mempertahankan catatan persetujuan yang dapat diaudit dan mendukung kewajiban pengendali Anda.
Salah klasifikasi bukanlah sekadar teknis, itu adalah celah kepatuhan dengan konsekuensi finansial dan reputasi yang langsung. Mendapatkan peran yang benar sejak awal adalah investasi GDPR yang paling hemat biaya yang dapat dilakukan oleh organisasi mana pun.
Referensi
[1] Apa Itu Pengendali dan Pemroses - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Pasal 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Hubungan Pengendali dan Pemroses - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai