3 Persyaratan Utama ISO 27701
Contents
Seperti yang kami bahas sebelumnya, bahwa ISO 27701 adalah pengembangan dari ISO 27001 yang berfokus pada pelindungan data pribadi. Di dalam proses melindungi data pribadi yang dikelola oleh organisasi, maka ada tiga persyaratan ISO 27701 yang perlu dipenuhi organisasi dalam menerapkan standar ISO 27701 ini. Tiga poin utama tersebut adalah Privacy Impact Assessment (PIA), Record of Processing Activities (ROPA), dan Data Protection Officer (DPO). Dalam artikel ini kami akan membahas ketiga poin utama tersebut, mulai dari pembahasan pengertian, alasan mengapa diperlukannya, hingga proses bagaimana menerapkannya.
Privacy Impact Assessment (PIA)
Pengertian PIA
Persyaratan ISO 27701 yang pertama adalah PIA atau Privacy Impact Assessment adalah sebuah proses sistematis yang dilakukan oleh suatu organisasi untuk mengidentifikasi, menilai, dan mengelola risiko privasi yang terkait dengan suatu proyek, produk, atau proses yang melibatkan pengolahan data pribadi. Sederhananya, PIA adalah cara untuk memastikan bahwa sebuah aktivitas yang melibatkan data pribadi tidak melanggar privasi individu dan memenuhi persyaratan hukum yang berlaku.
Mengapa PIA Penting?
- Mencegah Pelanggaran Data: PIA membantu mengidentifikasi potensi risiko pelanggaran data sebelum terjadi, sehingga memungkinkan organisasi untuk mengambil tindakan pencegahan yang tepat.
- Memenuhi Regulasi: PIA memastikan bahwa organisasi mematuhi berbagai regulasi perlindungan data yang berlaku, seperti GDPR di Eropa atau UU PDP di Indonesia.
- Meningkatkan Kepercayaan: Dengan melakukan PIA, organisasi menunjukkan komitmennya terhadap perlindungan data pribadi, sehingga meningkatkan kepercayaan pelanggan dan mitra bisnis.
- Mengoptimalkan Proses Bisnis: PIA dapat membantu organisasi mengoptimalkan proses bisnis yang melibatkan data pribadi, sehingga lebih efisien dan efektif.
Bagaimana Melakukan PIA?
Secara umum, proses melakukan PIA meliputi langkah-langkah berikut:
- Identifikasi Aktivitas: Tentukan aktivitas atau proyek mana yang akan dinilai.
- Inventarisasi Data: Identifikasi semua jenis data pribadi yang terlibat dalam aktivitas tersebut.
- Analisis Risiko: Nilai kemungkinan dan dampak dari berbagai risiko privasi yang mungkin terjadi.
- Mitigasi Risiko: Tentukan tindakan-tindakan yang perlu dilakukan untuk mengurangi atau menghilangkan risiko yang telah diidentifikasi.
- Dokumentasi: Dokumen hasil penilaian, termasuk risiko yang teridentifikasi, tindakan mitigasi, dan orang yang bertanggung jawab.
- Tinjauan Berkala: Lakukan tinjauan berkala terhadap hasil PIA untuk memastikan bahwa risiko tetap terkendali.
Contoh Risiko Privasi yang Perlu Dinilai dalam PIA:
- Akses yang tidak sah: Risiko data pribadi diakses oleh orang yang tidak berwenang.
- Pengungkapan yang tidak sah: Risiko data pribadi diungkapkan kepada pihak ketiga tanpa izin.
- Pemrosesan yang tidak sah: Risiko data pribadi diproses untuk tujuan yang tidak sesuai dengan yang telah diinformasikan kepada individu.
- Kerusakan atau kehilangan data: Risiko data pribadi rusak atau hilang akibat kesalahan teknis atau bencana alam.
Record of Processing Activities (ROPA)
Pengertian ROPA
Persyaratan ISO 27701 yang kedua adalah ROPA, sebuah dokumen atau kumpulan dokumen yang secara rinci mendeskripsikan semua aktivitas pengolahan data pribadi yang dilakukan oleh suatu organisasi. Dokumen ini berfungsi sebagai catatan yang komprehensif tentang bagaimana organisasi mengelola data pribadi individu, mulai dari pengumpulan hingga pemusnahan.
Mengapa ROPA Penting?
ROPA sangat penting karena beberapa alasan:
- Akuntabilitas: ROPA memberikan bukti bahwa organisasi telah melakukan pengolahan data pribadi secara transparan dan bertanggung jawab.
- Kepatuhan: ROPA membantu organisasi dalam memenuhi persyaratan berbagai regulasi perlindungan data, seperti GDPR dan UU PDP.
- Transparansi: ROPA memberikan informasi yang jelas kepada individu tentang bagaimana data pribadi mereka diproses.
- Pengelolaan Risiko: ROPA membantu organisasi dalam mengidentifikasi dan mengelola risiko terkait dengan pengolahan data pribadi.
Apa yang Termasuk dalam ROPA?
Secara umum, ROPA harus mencakup informasi berikut:
- Nama dan kontak pengontrol data: Siapa yang bertanggung jawab atas data pribadi.
- Tujuan pengolahan data: Mengapa data pribadi dikumpulkan dan digunakan.
- Kategori data pribadi: Jenis data pribadi apa saja yang diproses (misalnya, nama, alamat, data kesehatan).
- Subjek data: Siapa saja individu yang datanya diproses.
- Penerima data: Siapa saja pihak ketiga yang menerima data pribadi.
- Transfer data: Apakah data pribadi ditransfer ke negara lain.
- Jangka waktu penyimpanan: Berapa lama data pribadi disimpan.
- Tindakan keamanan: Tindakan apa saja yang dilakukan untuk melindungi data pribadi.
- Hak subjek data: Bagaimana individu dapat menjalankan hak-haknya (misalnya, hak akses, koreksi, penghapusan).
Contoh Elemen dalam ROPA
- Tabel yang mencantumkan semua aktivitas pengolahan data: Setiap aktivitas harus dijelaskan secara rinci, termasuk tujuan, jenis data yang terlibat, dan dasar hukumnya.
- Diagram alir: Menunjukkan alur data dari awal hingga akhir.
- Daftar pihak ketiga yang terlibat: Mencantumkan semua pihak ketiga yang memiliki akses ke data pribadi.
- Dokumen kebijakan privasi: Menjelaskan prinsip-prinsip perlindungan data yang dianut oleh organisasi.
Data Protection Officer (DPO)
Pengertian DPO
Persyaratan ISO 27701 yang terakhir adalah DPO, DPO adalah singkatan dari Data Protection Officer, atau dalam bahasa Indonesia sering disebut sebagai Petugas Perlindungan Data. Ini adalah peran penting dalam suatu organisasi yang bertanggung jawab untuk mengawasi dan memastikan bahwa organisasi tersebut mematuhi peraturan perlindungan data yang berlaku, termasuk ISO 27701. DPO bertindak sebagai penasihat internal mengenai segala hal yang berkaitan dengan privasi data.
Tugas dan Tanggung Jawab DPO
Tugas utama seorang DPO meliputi:
- Memberikan nasihat: DPO memberikan nasihat kepada manajemen dan karyawan mengenai cara memenuhi persyaratan hukum dan regulasi terkait perlindungan data.
- Momonitor kepatuhan: DPO memantau secara terus-menerus untuk memastikan bahwa organisasi mematuhi kebijakan privasi internal dan peraturan eksternal.
- Melakukan penilaian dampak: DPO melakukan penilaian dampak terhadap perlindungan data (DPIA) untuk mengidentifikasi dan mengelola risiko privasi.
- Mengelola permintaan individu: DPO menangani permintaan dari individu terkait dengan hak-hak mereka atas data pribadi, seperti hak akses, koreksi, dan penghapusan data.
- Bekerjasama dengan otoritas pengawas: DPO bertindak sebagai titik kontak utama antara organisasi dan otoritas pengawas perlindungan data.
- Mengelola insiden pelanggaran data: DPO berperan dalam mengelola insiden pelanggaran data, termasuk pemberitahuan kepada individu yang terkena dampak dan otoritas pengawas.
Mengapa DPO Penting?
- Kepatuhan: DPO memastikan organisasi mematuhi peraturan perlindungan data yang berlaku, sehingga menghindari denda dan sanksi.
- Perlindungan reputasi: DPO membantu melindungi reputasi organisasi dengan memastikan bahwa data pribadi dikelola dengan aman dan bertanggung jawab.
- Meningkatkan kepercayaan: DPO menunjukkan komitmen organisasi terhadap perlindungan data, sehingga meningkatkan kepercayaan pelanggan dan mitra bisnis.
- Efisiensi: DPO dapat membantu organisasi mengoptimalkan proses pengolahan data dan mengurangi risiko.
Kualifikasi DPO
Tidak ada kualifikasi yang sangat spesifik untuk menjadi DPO, namun umumnya seorang DPO harus memiliki:
- Pengetahuan mendalam: Pemahaman yang mendalam tentang hukum dan regulasi perlindungan data.
- Keterampilan komunikasi: Kemampuan untuk berkomunikasi secara efektif dengan berbagai pihak, termasuk manajemen, karyawan, dan individu.
- Keterampilan analitis: Kemampuan untuk menganalisis risiko dan masalah yang kompleks terkait dengan privasi data.
Kesimpulan
Meskipun PIA, ROPA, dan DPO merupakan tiga konsep kunci dalam ISO 27701, standar ini mencakup cakupan yang lebih luas. Ketiga konsep ini berperan penting dalam membantu organisasi membangun sistem manajemen informasi privasi yang efektif dan memenuhi persyaratan peraturan perlindungan data. Bagi organisasi yang ingin implementasi dan sertifikasi ISO 27701, dapat menghubungi langsung Osi Konsultan.
FAQ
Bagaimana cara menerapkan ISO 27701?
Pada ISO 27701 terapat satu perbedaan utama tentang penerapannya, yaitu ISO 27701 tidak dapat berdiri sendiri untuk implementasi dan sertifikasinya. Standar ini membutuhkan ISO 27001 untuk diimplementasikan di dalam organisasi.
Bagaimana cara menentukan ruang lingkup pada ISO 27701
ISO 27701 memiliki batasan pada penerapannya, yaitu ruang lingkup penerapan dan sertifikasinya tidak bisa lebih luas dari standar ISO 27001. Apabila ingin menerapkan ruang lingkup yang berbeda maka perlu ada perluasan ruang lingkup pada ISO 27001.
Apakah biaya sertifikasi ISO 27701 lebih murah dibanding ISO 27001?
Sebenarnya untuk biaya implementasi ataupun sertifikasi ISO 27701 tidak lebih murah dibanding ISO 27001, walaupun dia sebagai tambahan tetapi tingkat kompleksitasnya bisa sama bahkan lebih kompleks dari ISO 27001 itu sendiri.
