Pengumpulan data juga bisa dilakukan atas dasar perjanjian, seperti ketika perusahaan meminta identitas diri kepada karyawan. Contoh lain landasan hukum pengumpulan data adalah obligasi hukum (seperti data untuk KTP), pelaksanaan kewenangan (data untuk SIM), atau pelayanan publik.
Data pribadi yang diminta pun harus memenuhi prinsip terbatas dan spesifik. Contohnya sebuah perusahaan transportasi hanya boleh meminta data nama dan alamat penumpang sebagai pemilik data. Perusahaan transportasi tersebut tidak boleh menanyakan, misalnya, jumlah anak penumpang karena tidak sesuai dengan kepentingan menggunakan layanan transportasi.
Apa saja hak pemilik data?
Individu pemilik data tetap memiliki hak atas data pribadi yang telah dikumpulkan oleh pengumpul data. Kita bisa menarik persetujuan yang telah dilakukan, meminta pengumpul data menghapus data pribadi kita, serta membatasi pemrosesan data pribadi.
Yang tak kalah penting, pemilik data bisa menggugat ganti rugi jika data pribadi kita bocor atau disalahgunakan.
Siapa yang bertanggung jawab atas data pribadi yang terkumpul?
Setiap pengumpul dan prosesor data pribadi harus memiliki DPO (Data Protection Officer). DPO ini bertugas memastikan organisasi mematuhi aturan yang berlaku, mengidentifikasi data pribadi yang disimpan/diolah/digunakan perusahaan, serta meningkatkan kesadaran organisasi atas perlindungan data pribadi.
DPO ini juga menjadi perantara perusahaan saat berkoordinasi dengan pihak berwajib. DPO ini sendiri bisa berasal dari perusahaan atau rekanan/konsultan yang membantu sebuah perusahaan.
Siapa yang mengawasi UU PDP ini?
Di dalam UU PDP ini, seharusnya ada lembaga pengawas atau Data Protection Authority (DPA). Namun saat pembahasan RUU PDP ini, ada tarik-menarik antara Pemerintah (yang menginginkan Kementerian Kominfo RI sebagai lembaga pengawas) dengan DPR (yang menginginkan lembaga independen).
Akhirnya diputuskan lembaga pengawas ini adalah organisasi independen di bawah Presiden RI, meski belum jelas bentuk organisasinya seperti apa.