Penilaian Risiko Privasi Vendor: Cara Menilai Postur Privasi Pemasok
CyberRank Research
Bagian dari: Rating Keamanan Gratis
Penilaian risiko privasi vendor memeriksa seberapa baik pemasok melindungi data pribadi yang Anda serahkan, mulai dari kebijakan yang dipublikasikan hingga lokasi hosting sistemnya. Menurut General Data Protection Regulation (GDPR) Uni Eropa dan Undang-Undang Pelindungan Data Pribadi (UU PDP) Indonesia, Anda bertanggung jawab atas prosesor yang Anda pilih. CyberRank menilai postur privasi pemasok dari alamat webnya, berdampingan dengan postur keamanannya, dalam satu skala AAA–D.
Intisari
- Penilaian risiko privasi vendor mencakup kebijakan privasi, praktik persetujuan, ketentuan hukum, lokasi hosting, hukum yang berlaku, dan riwayat kebocoran pemasok.
- Pasal 28 GDPR dan Pasal 51 UU PDP membuat pengendali bertanggung jawab memilih prosesor yang melindungi data pribadi dengan baik.
- Kuesioner hanya menangkap apa yang dikatakan vendor pada satu titik waktu, sehingga kebijakan yang lemah dan lokasi data berisiko bisa tersembunyi.
- Bukti outside-in memungkinkan Anda memeriksa klaim privasi sebelum tanda tangan, dan memeriksanya ulang selama kontrak.
- CyberRank menambahkan sub-rating Privasi pada setiap penilaian, mencakup kebijakan, persetujuan, ketentuan hukum, residensi data, dan kedaulatan data.
Apa itu penilaian risiko privasi vendor?
Penilaian risiko privasi vendor adalah tinjauan terstruktur atas cara pihak ketiga mengumpulkan, menggunakan, menyimpan, dan mengungkapkan data pribadi atas nama Anda.
Penilaian ini berada di antara due diligence keamanan dan review hukum. Due diligence keamanan bertanya apakah pemasok mampu menahan penyerang. Review privasi bertanya apakah pemasok menangani data secara sah dan transparan, serta menyimpannya di tempat yang Anda harapkan. Keduanya bagian dari manajemen risiko pihak ketiga.
Keduanya beririsan, tetapi gagal dengan cara berbeda. Pemasok bisa menjalankan platform yang diperkuat dengan baik sambil menggabungkan persetujuan, menyembunyikan sub-prosesornya, atau menyimpan data di negara yang dilarang kebijakan Anda. Tabel di bawah memisahkan jenis penilaian yang umum.
Cara CyberRank membantu: CyberRank melaporkan privasi sebagai sub-rating Privasi tersendiri, sehingga skor keamanan yang kuat tidak bisa menutupi postur privasi yang lemah.
| Jenis penilaian | Pertanyaan utama | Bukti umum | Celah utama | Cara CyberRank membantu |
|---|---|---|---|---|
| Security rating | Pertanyaan utamaApakah aset vendor yang terhubung ke internet terpapar? | Bukti umumKerentanan, TLS, keamanan email, kredensial bocor | Celah utamaBiasanya tidak membahas penanganan data yang sah | Cara CyberRank membantuMenilai keamanan dan privasi berdampingan |
| Kuesioner privasi | Pertanyaan utamaApa yang dikatakan vendor tentang penggunaan data? | Bukti umumJawaban mandiri, kebijakan | Celah utamaBergantung pada keterangan vendor sendiri | Cara CyberRank membantuMengirim kuesioner ke vendor di bawah baseline Anda |
| Penilaian dampak pelindungan data (DPIA) | Pertanyaan utamaApakah suatu pemrosesan menimbulkan risiko tinggi bagi orang? | Bukti umumReview desain dan proses internal | Celah utamaMencakup pemrosesan Anda, bukan postur vendor | Cara CyberRank membantuTidak dicakup: DPIA tetap proses Anda |
| Penilaian risiko privasi vendor | Pertanyaan utamaApakah postur privasi vendor yang teramati sesuai kebutuhan Anda? | Bukti umumKebijakan, ketentuan, hosting, yurisdiksi, riwayat kebocoran yang dipublikasikan | Celah utamaTidak bisa melihat praktik internal | Cara CyberRank membantuMengotomatiskan pemeriksaan outside-in |
Mengapa risiko privasi vendor adalah kewajiban hukum?
Sebagian besar undang-undang privasi membebankan pemilihan prosesor kepada organisasi yang mengendalikan data, sehingga privasi vendor menjadi kewajiban kepatuhan, bukan sekadar praktik baik.
Cara CyberRank membantu: laporan siap audit memberikan catatan bertanggal tentang postur privasi pemasok yang teramati pada saat Anda menilainya, yang menjadi bukti cara Anda memilih dan memantau setiap prosesor.
| Undang-undang | Persyaratan | Rujukan | Cara CyberRank membantu |
|---|---|---|---|
| GDPR (UE) | PersyaratanPengendali hanya boleh memakai prosesor yang memberi jaminan memadai atas langkah teknis dan organisasi yang tepat | RujukanPasal 28(1) GDPR | Cara CyberRank membantuMemberi bukti outside-in atas jaminan tersebut |
| GDPR (UE) | PersyaratanProsesor memerlukan otorisasi tertulis sebelumnya dari pengendali untuk melibatkan sub-prosesor | RujukanPasal 28(2) GDPR | Cara CyberRank membantuMenandai kebijakan yang tidak mencantumkan sub-prosesor |
| GDPR (UE) | PersyaratanTransfer ke luar UE harus memenuhi syarat Bab V | RujukanPasal 44–49 GDPR | Cara CyberRank membantuMenunjukkan lokasi host publik |
| UU PDP (Indonesia) | PersyaratanProsesor wajib memproses data pribadi sesuai perintah pengendali | RujukanPasal 51 ayat (1) UU PDP | Cara CyberRank membantuMemeriksa indikator UU PDP dalam kebijakan |
| UU PDP (Indonesia) | PersyaratanProsesor memerlukan persetujuan tertulis pengendali sebelum melibatkan prosesor lain | RujukanPasal 51 UU PDP | Cara CyberRank membantuMenandai pengungkapan sub-prosesor yang hilang |
| UU PDP (Indonesia) | PersyaratanTransfer lintas negara hanya diperbolehkan dengan syarat yang ditetapkan undang-undang | RujukanPasal 56 UU PDP | Cara CyberRank membantuMembandingkan hosting dengan negara pilihan Anda |
Konteks Indonesia
UU PDP (Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi) memiliki 76 pasal, dan masa transisinya berakhir pada 17 Oktober 2024. Peraturan pelaksananya, PP No. 33/2026, dilaporkan sudah berlaku. Per November 2026, lembaga pelindungan data independen yang diamanatkan undang-undang belum dibentuk; Komdigi menyampaikan pada 5 November 2026 bahwa Peraturan Presiden pembentukannya sudah di tahap final, dan sampai saat itu Komdigi menjalankan fungsi pengawasan.
Dalam praktiknya, pengendali di Indonesia sudah memikul kewajiban terkait prosesor, meskipun aturan teknis terperinci dari lembaga tersebut masih ditunggu. Bank juga memiliki kewajiban terkait pemasok menurut aturan OJK tentang penyedia jasa TI.
Apa saja yang harus dicakup penilaian risiko privasi vendor?
Penilaian yang lengkap mencakup tujuh area, dan masing-masing dapat diperiksa setidaknya sebagian dari bukti publik.
Area-area ini saling terkait. Pemasok yang di-hosting di negara tak terduga, tunduk pada pengadilan asing, dengan kebijakan yang tidak mencantumkan sub-prosesor, membawa risiko gabungan yang lebih besar daripada temuan tunggal mana pun. Untuk dua area pertama, lihat jawaban singkat kami tentang cara memeriksa kebijakan privasi vendor menurut UU PDP dan GDPR. Untuk dua pertanyaan lokasi, lihat residensi data vs kedaulatan data.
Cara CyberRank membantu: CyberRank menilai privasi dengan struktur yang sama setiap kali, sehingga hasilnya dapat dibandingkan antar-vendor.
| Area | Yang diperiksa | Mengapa penting | Cara CyberRank membantu |
|---|---|---|---|
| Kebijakan privasi | Yang diperiksaTujuan, dasar hukum, retensi, hak subjek data, sub-prosesor, kontak | Mengapa pentingKebijakan yang samar sering menandakan praktik yang samar | Cara CyberRank membantuMembagi kebijakan ke dalam 15+ area dan menandai celah, dengan saran perbaikan |
| Persetujuan dan cookie | Yang diperiksaApakah persetujuan spesifik, terinformasi, dan mudah ditolak | Mengapa pentingPersetujuan yang digabung adalah kelemahan umum menurut GDPR dan UU PDP | Cara CyberRank membantuMenilai persetujuan cookie serta indikator GDPR dan UU PDP |
| Ketentuan hukum | Yang diperiksaKlausul pelindungan data dan pemberitahuan kebocoran dalam ketentuan untuk pelanggan | Mengapa pentingKlausul yang hilang melemahkan posisi kontraktual Anda | Cara CyberRank membantuMembaca ketentuan portal login dan pembayaran untuk klausul perlindungan pelanggan |
| Residensi data | Yang diperiksaNegara tempat sistem publik pemasok di-hosting | Mengapa pentingHosting di luar negara yang disetujui dapat memicu aturan transfer | Cara CyberRank membantuMenentukan geolokasi host dan membandingkannya dengan negara pilihan Anda |
| Kedaulatan data | Yang diperiksaHukum yang berlaku dan pengadilan yang disebut dalam ketentuan pemasok | Mengapa pentingMenentukan di mana sengketa dan permintaan akses data ditangani | Cara CyberRank membantuMengidentifikasi hukum dan pengadilan yang berlaku dan membandingkannya dengan yurisdiksi yang Anda terima |
| Riwayat kebocoran | Yang diperiksaInsiden sebelumnya, jenis data yang terpapar, kredensial staf yang bocor | Mengapa pentingMenunjukkan seberapa terpapar pemasok selama ini | Cara CyberRank membantuMemeriksa basis data kebocoran dan sumber kebocoran kredensial |
| Sertifikasi | Yang diperiksaISO/IEC 27701, ISO/IEC 27001, SOC 2, dan sejenisnya | Mengapa pentingMenandakan program privasi atau keamanan yang dikelola | Cara CyberRank membantuMendeteksi sertifikasi dan memungkinkan vendor mengunggah bukti |
Mengapa privasi harus berada dalam rating yang sama dengan keamanan?
Karena pandangan privasi yang hanya dibangun dari kuesioner cepat usang dan tidak bisa dibandingkan dengan skor keamanan, sehingga satu rating dengan dua bagian terpisah memberi satu dasar keputusan.
Program risiko pihak ketiga sering menilai keamanan dengan alat outside-in dan menangani privasi lewat kuesioner dan review kontrak. Kuesioner yang dijawab saat onboarding tidak mengatakan apa pun tentang kebijakan yang ditulis ulang enam bulan kemudian, dan skor keamanan 82 di samping kuesioner bertanda "lengkap" tidak menghasilkan satu keputusan.
Menempatkan privasi pada skala yang sama menyelesaikan keduanya. Temuan privasi diperbarui di setiap penilaian ulang, dan tim pengadaan melihat satu rating dengan dua bagian yang jelas terpisah. Metodologi 360 poin CyberRank yang dipublikasikan membagi anggaran secara seimbang antara keamanan dan privasi, sehingga tidak ada dimensi yang mendominasi nilai keseluruhan. Kelemahan mengurangi poin dengan batas maksimum, dan sertifikasi terverifikasi seperti ISO/IEC 27701 menambah kredit dengan batas maksimum. Hal yang sama berlaku untuk pemasok AI, seperti dijelaskan dalam artikel kami tentang risiko pihak ketiga EU AI Act.
Cara CyberRank membantu: jika alat risiko vendor Anda hanya melaporkan sinyal keamanan, pandangan privasi Anda sepenuhnya bergantung pada keterangan vendor; CyberRank menjadikan privasi setengah dari setiap rating.
Cara menjalankan penilaian risiko privasi vendor
Klasifikasikan data, tetapkan aturan penerimaan, jalankan penilaian outside-in, bandingkan temuan dengan aturan Anda, ajukan pertanyaan terarah, sepakati ketentuan kontrak, dan terus pantau.
Cara CyberRank membantu: langkah 3, 4, dan 7 diotomatiskan; langkah 1, 2, 5, dan 6 tetap menjadi tugas tim privasi, pengadaan, dan hukum Anda. Penilaian ulang setiap malam adalah alasan pemantauan berkelanjutan lebih baik daripada review sekali jalan.
- Klasifikasikan data. Daftar kategori data pribadi yang akan diproses vendor, termasuk data pribadi yang bersifat spesifik menurut UU PDP atau data kategori khusus menurut GDPR. Tim Anda yang memiliki langkah ini.
- Tetapkan aturan penerimaan. Putuskan negara hosting dan yurisdiksi hukum yang Anda terima, serta sertifikasi yang Anda harapkan untuk setiap tingkat dampak. Catat sekali dan terapkan ke setiap vendor.
- Jalankan penilaian outside-in. Periksa kebijakan, praktik persetujuan, ketentuan hukum, hosting, dan riwayat kebocoran vendor. CyberRank mengotomatiskan langkah ini dari alamat web vendor dalam hitungan menit.
- Bandingkan temuan dengan aturan Anda. Tandai ketidaksesuaian, seperti hosting di luar negara yang disetujui atau klausul pemberitahuan kebocoran yang hilang. CyberRank membandingkan residensi dan yurisdiksi dengan daftar yang Anda tetapkan.
- Ajukan pertanyaan terarah. Gunakan kuesioner untuk menutup celah yang tidak bisa dijangkau bukti publik, seperti kontrol akses internal atau praktik retensi. Pertanyaan berdasarkan temuan nyata menghasilkan jawaban yang lebih baik daripada templat umum.
- Sepakati ketentuan kontrak. Ubah risiko yang tersisa menjadi klausul perjanjian pemrosesan: persetujuan sub-prosesor, tenggat pemberitahuan kebocoran, hak audit, dan pengaman transfer. Review hukum yang memiliki langkah ini.
- Pantau selama kontrak. Periksa ulang kebijakan, hosting, dan riwayat kebocoran sesuai jadwal yang cocok dengan tingkat dampak vendor. CyberRank menilai ulang vendor yang dipantau setiap malam dan memberi peringatan atas perubahan kebijakan privasi dan kebocoran baru.
Cara CyberRank membantu menangani risiko privasi vendor
CyberRank menilai organisasi mana pun dari alamat webnya, tanpa kuesioner, agen, atau akses ke sistemnya, dan setiap penilaian mencakup sub-rating Privasi di samping sub-rating Keamanan, yang digabung menjadi rating IISRI® dari AAA hingga D.
Temuan privasi masuk ke model risiko yang sama dengan temuan keamanan. Anda menetapkan tingkat dampak setiap vendor dari T1 (kritis) hingga T4 (rendah), dan CyberRank menggabungkannya dengan kemungkinan kejadian merugikan pada heat map risiko. Vendor yang dipantau dinilai ulang setiap malam, dan perubahan kebijakan privasi vendor memicu sebuah event.
Vendor dapat melihat temuannya sendiri, mengunggah sertifikat seperti ISO/IEC 27701, dan meminta evaluasi ulang melalui portal swalayan. Gambaran produk lengkap ada di halaman rating keamanan siber dan privasi, dan setelah registrasi Anda mendapat penilaian gratis atas organisasi Anda sendiri; alat security rating gratis tidak memerlukan registrasi.
- Kebijakan privasi dan persetujuan: kebijakan dibagi ke dalam 15+ area, persetujuan cookie diperiksa, dan indikator GDPR serta UU PDP dinilai. Setiap masalah dilengkapi penjelasan sederhana dan saran perbaikan kalimat.
- Ketentuan hukum: ketentuan untuk pelanggan dibaca untuk klausul pelindungan data dan pemberitahuan kebocoran.
- Residensi data: geolokasi host publik ditentukan dan dibandingkan dengan negara pilihan Anda.
- Kedaulatan data: hukum yang berlaku dan pengadilan dalam ketentuan pemasok diidentifikasi dan dibandingkan dengan yurisdiksi yang Anda terima.
Di mana CyberRank tidak membantu
CyberRank menilai apa yang dipublikasikan dan diekspos pemasok. Ia tidak dapat melihat cara staf benar-benar menangani data di dalam vendor, apakah jadwal retensi dipatuhi, atau isi kontrak yang Anda tandatangani. Ia tidak memutuskan apakah suatu pemrosesan sah, dan tidak melakukan DPIA untuk Anda.
Sub-rating Privasi adalah bukti postur, bukan bukti kepatuhan terhadap GDPR atau UU PDP. Tutup celah ini dengan kuesioner terarah, perjanjian pemrosesan, audit, dan review hukum; untuk kesiapan UU PDP organisasi Anda sendiri, lihat panduan audit kepatuhan privasi data.
Kesimpulan
Penilaian risiko privasi vendor menjawab pertanyaan yang biasanya dilewatkan review keamanan: apakah pemasok ini akan menangani data pribadi sesuai kewajiban Anda? Pasal 28 GDPR dan Pasal 51 UU PDP membebankan pilihan itu kepada Anda, dan buktinya harus tetap mutakhir sepanjang masa kontrak.
Tetapkan aturan penerimaan untuk hosting dan yurisdiksi, nilai setiap pemasok berdasarkan aturan itu, dan fokuskan kuesioner pada hal yang tidak dapat ditunjukkan bukti publik. CyberRank memberi rating privasi untuk setiap vendor, pada skala yang sama dengan keamanan, diperbarui setiap malam untuk pemasok yang dipantau.
Tentang artikel ini
Seluruh teks dalam artikel ini mencerminkan perspektif CyberRank sendiri dan disediakan sebagai informasi umum, bukan nasihat hukum. Kemampuan produk dijelaskan per 15 November 2026; fitur bertanda Beta dapat berubah.
Referensi
- European Union, Regulation (EU) 2016/679 (General Data Protection Regulation), Articles 28 and 44–49 (27 April 2016)
- Republic of Indonesia, Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, Articles 51, 56 and 74 (17 October 2022)
- Hukumonline, Perbedaan Pengendali dan Prosesor Data Pribadi Menurut UU PDP (accessed 15 November 2026)
- Katadata, Komdigi: Perpres Lembaga Pengawas PDP Masuk Tahap Final (5 November 2026)
- Bisnis.com, UU dan PP Sudah Ada, Pengamat: Aturan PDP Belum Efektif Tanpa Lembaga (8 September 2026)
Jawaban singkat
Jawaban singkat dan langsung untuk pertanyaan yang muncul dari artikel ini.
- Jawaban singkatCara Memeriksa Kebijakan Privasi VendorHal yang perlu dicari dalam kebijakan privasi pemasok menurut UU PDP dan GDPR, celah umum, dan cara CyberRank menandainya dari alamat web.
- Jawaban singkatResidensi Data vs Kedaulatan Data VendorPerbedaan residensi data dan kedaulatan data, mengapa keduanya penting untuk vendor, dan cara CyberRank memeriksa hosting dan hukum yang berlaku.
Pertanyaan yang sering diajukan
Nilai postur privasi vendor Anda
Lihat sub-rating Privasi di samping security rating untuk setiap pemasok, hanya dari alamat web.
Nilai postur privasi vendor Anda