- Data sovereignty adalah prinsip bahwa data tunduk pada hukum dan yurisdiksi yang berlaku ketika data dihasilkan, disimpan, diproses, atau ditransmisikan dalam suatu wilayah.
- Data sovereignty, data residency, dan data localization memiliki fokus yang berbeda, sehingga perusahaan dapat menentukan pemeriksaan dan kontrol yang sesuai.
- Cloud dan SaaS membuat data sovereignty semakin relevan karena satu layanan dapat melibatkan lokasi penyimpanan, pemrosesan, akses, dan pihak ketiga di beberapa wilayah.
- Data sovereignty dapat diterapkan melalui pemeriksaan lokasi data, akses, subprocessor, transfer lintas negara, keamanan, dan ketentuan vendor sejak tahap evaluasi.
- Dokumen dan kewajiban kontrak terkait pengelolaan data dapat dikelola lebih terstruktur melalui software contract lifecycle management (CLM).
Data perusahaan dapat tersimpan di satu negara, diproses melalui layanan di negara lain, lalu melibatkan pihak ketiga untuk fungsi tertentu. Bagi tim Legal, Compliance, dan IT, kondisi tersebut membuat lokasi data, pihak yang memprosesnya, serta hukum yang berlaku menjadi bagian dari evaluasi vendor.
Pertanyaan tersebut berkaitan dengan data sovereignty. Bagi perusahaan, konsep ini membantu menentukan hukum yang berlaku atas data sekaligus memahami siapa yang dapat mengakses, menyimpan, memproses, dan memindahkannya.
Cloud, SaaS, dan vendor pihak ketiga membuat perjalanan data semakin beragam. Satu layanan dapat menggunakan infrastruktur di satu lokasi, memproses data melalui layanan pendukung, lalu melibatkan pihak lain untuk fungsi tertentu.
Lalu, apa itu data sovereignty, apa bedanya dengan data residency dan data localization, serta apa yang perlu diperiksa saat memilih vendor? Pembahasannya dimulai dari konsep dasarnya.
Apa Itu Data Sovereignty?
Data sovereignty adalah prinsip bahwa data tunduk pada hukum dan regulasi dari negara atau wilayah yang memiliki yurisdiksi atas data tersebut. IBM menjelaskan kedaulatan data sebagai konsep bahwa data tunduk pada hukum negara atau wilayah tempat data dihasilkan.
Dalam praktiknya, data sovereignty berkaitan dengan posisi data di bawah yurisdiksi tertentu serta aturan yang mengatur akses, penyimpanan, pemrosesan, dan perpindahannya. Lokasi server memberi gambaran awal, sedangkan alur data secara keseluruhan membantu menentukan yurisdiksi yang berkaitan.
Contohnya, perusahaan dapat mengumpulkan data pelanggan di Indonesia, menggunakan layanan SaaS untuk memprosesnya, lalu mengandalkan subprocessor untuk fungsi tertentu. Setiap tahap tersebut dapat mempertemukan data dengan wilayah, pihak, dan aturan yang berbeda.
Mengapa Data Sovereignty Penting bagi Perusahaan?
Saat Data Melintasi Beberapa Yurisdiksi
Satu data dapat berhadapan dengan persyaratan hukum yang berbeda ketika perusahaan menyimpan atau memprosesnya di wilayah berbeda. Tim Legal, Compliance, dan IT perlu memahami aturan pada setiap tahap agar dapat menentukan kewajiban yang relevan.
Vendor juga dapat menjalankan layanan melalui infrastruktur dan pihak pemroses di beberapa wilayah. Informasi mengenai lokasi pemrosesan dan pihak yang terlibat membantu tim menilai kewajiban yang muncul dari penggunaan layanan.
Kaitan dengan Kepatuhan di Indonesia
Dalam konteks Indonesia, UU Pelindungan Data Pribadi mengatur transfer Data Pribadi ke luar wilayah hukum Indonesia melalui Pasal 56. Ketentuan tersebut menjadi salah satu dasar ketika vendor memproses data pribadi lintas negara.
Pengelolaan data juga berkaitan dengan kebutuhan data compliance. Dokumen kebijakan, informasi vendor, dan ketentuan kontrak membantu tim menelusuri kewajiban yang berkaitan dengan data tersebut.
Dalam proses vendor assessment, tim dapat memeriksa lokasi data, alur pemrosesan, pihak yang terlibat, kontrol keamanan, dan kewajiban kontraktual. Hasil pemeriksaan tersebut menjadi bahan pertimbangan sebelum perusahaan menggunakan suatu layanan.
Data Sovereignty vs Data Residency vs Data Localization
Ketiga istilah ini sering muncul dalam pembahasan cloud, SaaS, dan pengelolaan data lintas wilayah. Fokusnya berbeda, sehingga perusahaan dapat menentukan pemeriksaan dan kontrol yang sesuai.
| Konsep | Fokus Utama |
|---|---|
| Data Sovereignty | Hukum dan yurisdiksi yang berlaku atas data. |
| Data Residency | Lokasi fisik tempat data berada atau disimpan. |
| Data Localization | Upaya memenuhi persyaratan hukum yang mengatur lokasi penyimpanan atau pemrosesan data. |
Data residency menjawab pertanyaan “di mana data berada?”, sedangkan data sovereignty berkaitan dengan hukum yang berlaku atas data tersebut. AWS dan IBM menggunakan pembedaan ini ketika menjelaskan pengelolaan data di lingkungan cloud.
Perbedaan tersebut membantu tim menentukan pemeriksaan yang tepat. Data residency berfokus pada lokasi penyimpanan, sedangkan data sovereignty mengarahkan perhatian pada hukum dan yurisdiksi yang berlaku.
Bagaimana Data Sovereignty Berpengaruh pada Cloud dan SaaS?
Cloud dan SaaS membuat perusahaan perlu melihat data sebagai bagian dari alur yang lebih panjang. Satu layanan dapat menggunakan infrastruktur di satu lokasi, memproses data melalui layanan pendukung, lalu melibatkan subprocessor untuk fungsi tertentu.
Alur Data dan Subprocessor
Lokasi penyimpanan menunjukkan tempat data berada, sedangkan lokasi pemrosesan menunjukkan wilayah tempat sistem atau pihak tertentu mengolah data. Kedua informasi tersebut membantu tim memahami wilayah yang berkaitan dengan data selama layanan berjalan.
Vendor utama juga dapat menggunakan subprocessor untuk menjalankan fungsi tertentu. Karena itu, daftar subprocessor, jenis layanan, lokasi pemrosesan, dan mekanisme pengelolaannya menjadi bagian penting dari evaluasi vendor.
Kontrol Akses dan Keamanan
Data sovereignty juga berkaitan dengan pihak yang dapat mengakses data dan kontrol yang melindunginya. AWS menempatkan kontrol akses, enkripsi, dan ketahanan sebagai bagian dari pertimbangan sovereignty dalam lingkungan cloud.
Tim evaluasi dapat memeriksa hak akses, mekanisme enkripsi, pengelolaan kunci, pencatatan aktivitas, serta prosedur pemulihan. Informasi tersebut membantu perusahaan menilai cara vendor mengendalikan data selama layanan digunakan.
Ketentuan Layanan dan Pemulihan
Persyaratan pengelolaan data juga dapat berkaitan dengan ketentuan layanan vendor. Perusahaan dapat menetapkan lokasi pemrosesan, ketersediaan layanan, pengelolaan insiden, dan mekanisme pemulihan dalam SLA Management atau dokumen layanan terkait.
Apa yang Perlu Dicek untuk Menjaga Data Sovereignty?
Data sovereignty menjadi lebih mudah dikelola ketika perusahaan menerjemahkannya menjadi pemeriksaan yang konkret. Checklist berikut membantu tim Legal, Compliance, Procurement, dan IT mengevaluasi vendor dari sisi lokasi, akses, pemrosesan, keamanan, dan kontrak.
| Aspek | Pertanyaan yang Perlu Dicek |
|---|---|
| Data location | Di mana data pelanggan disimpan? |
| Processing location | Di mana data diproses selama layanan berjalan? |
| Access control | Siapa yang dapat mengakses data dan bagaimana akses tersebut dikendalikan? |
| Jurisdiction | Hukum atau yurisdiksi apa yang berkaitan dengan data? |
| Cross-border transfer | Kapan dan berdasarkan mekanisme apa data dapat ditransfer ke wilayah lain? |
| Subprocessor | Pihak mana yang ikut memproses data dan di wilayah mana? |
| Security controls | Kontrol apa yang digunakan untuk melindungi data? |
| Contract terms | Apa kewajiban vendor terkait pengelolaan dan pelindungan data? |
| Data deletion | Bagaimana data dikelola setelah layanan atau kontrak berakhir? |
Checklist tersebut sebaiknya dibaca sebagai satu rangkaian. Lokasi penyimpanan memberi gambaran awal, sedangkan lokasi pemrosesan, subprocessor, hak akses, dan mekanisme transfer membantu tim memahami keseluruhan perjalanan data.
Tim juga dapat melengkapi pemeriksaan tersebut dengan dokumentasi keamanan data dan informasi keamanan lain yang disediakan vendor. Hasilnya dapat menjadi dasar perbandingan sebelum perusahaan memilih penyedia layanan.
Bagaimana Regulasi Indonesia Mengatur Transfer Data ke Luar Negeri?
Dalam konteks data pribadi, UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menjadi salah satu rujukan utama untuk transfer Data Pribadi ke luar wilayah hukum Indonesia.
Ketentuan Pasal 56
Pasal 56 ayat (1) mengatur bahwa Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan dalam undang-undang.
Ayat (2) mengatur bahwa Pengendali Data Pribadi wajib memastikan negara penerima memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi. Ayat (3) dan ayat (4) mengatur mekanisme pelindungan yang memadai dan mengikat serta persetujuan Subjek Data Pribadi dalam kondisi yang ditentukan undang-undang.
Apa Artinya bagi Perusahaan?
Dalam proses evaluasi vendor, tim dapat memeriksa lokasi penerima data, mekanisme transfer, pihak yang terlibat, serta dokumen yang menjadi dasar pengelolaan data.
Dokumen kebijakan, perjanjian, dan ketentuan vendor membantu tim menelusuri tanggung jawab masing-masing pihak. Dokumentasi yang konsisten juga memudahkan review ketika perusahaan menambah subprocessor, mengubah layanan, atau mengganti vendor.
Jenis data yang dikelola juga menentukan konteks kepatuhannya. Pelajari lebih lanjut mengenai Data Pribadi, jenis, contoh, dan cara melindunginya.
Bagaimana Data Sovereignty Berhubungan dengan Data Governance?
Data governance membantu organisasi menetapkan kepemilikan, akses, kebijakan, dan kontrol atas data. Data sovereignty menambahkan pertimbangan mengenai hukum dan yurisdiksi yang berlaku terhadap data tersebut.
Keduanya bertemu ketika perusahaan menentukan siapa yang boleh mengakses data, vendor mana yang dapat memprosesnya, wilayah pemrosesan yang sesuai, dan kondisi transfer yang berlaku. Pengaturan tersebut juga berkaitan dengan privasi data karena kebijakan akses ikut menentukan cara perusahaan melindungi informasi yang dikelolanya.
Bagaimana Data Sovereignty Perlu Dituangkan dalam Kontrak Vendor?
Ketika perusahaan menggunakan vendor untuk mengelola data, persyaratan sovereignty dapat dituangkan dalam hubungan kontraktual. Lokasi data, pemrosesan, subprocessor, transfer, keamanan, dan penghapusan menjadi bagian yang dapat diperiksa bersama dokumen vendor.
Apa yang Perlu Dituangkan dalam Kontrak?
| Aspek | Hal yang Perlu Diatur |
|---|---|
| Lokasi data | Wilayah penyimpanan dan pemrosesan data. |
| Subprocessor | Pihak yang terlibat dan mekanisme pemberitahuan perubahan. |
| Transfer data | Kondisi, mekanisme, dan dasar transfer lintas wilayah. |
| Keamanan | Kewajiban perlindungan dan kontrol keamanan data. |
| Penghapusan data | Perlakuan data setelah layanan atau kontrak berakhir. |
Ketentuan tersebut memberi perusahaan dasar yang lebih jelas ketika melakukan vendor review, audit, atau perubahan layanan. Tim Legal dan Procurement juga dapat menelusuri dokumen yang menjadi dasar setiap kewajiban.
Saat organisasi mengelola banyak kontrak dengan kewajiban data yang berbeda, struktur dokumen membantu tim menemukan informasi yang relevan saat diperlukan. Software contract lifecycle management (CLM) dapat membantu menjaga dokumen, tahapan, dan kewajiban kontrak tetap terstruktur.
Contoh Penilaian Vendor
Tim Procurement sedang mengevaluasi platform SaaS untuk menyimpan dokumen pelanggan. Vendor menyebutkan data pelanggan disimpan di Indonesia, tetapi juga menggunakan subprocessor untuk fungsi tertentu.
Tim Legal, Compliance, dan IT kemudian memeriksa lokasi penyimpanan, lokasi pemrosesan, daftar subprocessor, ketentuan transfer, kontrol keamanan, serta dokumen perlindungan data. Pemeriksaan tersebut membantu tim melihat alur data secara utuh sebelum kontrak ditandatangani.
Sebagai contoh dokumentasi vendor, Mekari Sign mencantumkan dalam Trust Center bahwa data pelanggan diproses dan disimpan di Indonesia. Dokumentasi tersebut juga menjelaskan penggunaan subprocessor dan pengaturan Data Processing Agreement.
Kesimpulan
Data sovereignty berkaitan dengan hukum dan yurisdiksi yang berlaku atas data. Konsep ini relevan ketika perusahaan menggunakan cloud, SaaS, vendor, atau layanan yang melibatkan beberapa wilayah.
Perusahaan dapat membedakan data sovereignty dari data residency dan data localization untuk menentukan kontrol yang sesuai. Evaluasi vendor juga mencakup lokasi data, pemrosesan, akses, subprocessor, transfer lintas negara, keamanan, dan ketentuan kontrak.
Dalam konteks Indonesia, UU Nomor 27 Tahun 2022 mengatur transfer Data Pribadi ke luar wilayah hukum Indonesia melalui Pasal 56. Ketentuan tersebut menjadi salah satu pertimbangan ketika perusahaan mengevaluasi layanan yang melibatkan pemrosesan data lintas negara.
Pada akhirnya, data sovereignty membantu perusahaan membuat keputusan yang lebih jelas tentang vendor dan pengelolaan data. Tim dapat melihat lokasi data, alur pemrosesan, pihak yang terlibat, yurisdiksi yang berlaku, serta kewajiban yang perlu dituangkan dalam kontrak.
Referensi
-
- IBM. Apa itu Data Sovereignty?
- IBM. Data Sovereignty vs Data Residency
- Amazon Web Services. Apa itu Data Sovereignty?
- Komdigi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
