Digitalisasi layanan keuangan telah menyebabkan peningkatan pengolahan data pribadi oleh perusahaan pembiayaan, termasuk melalui keterlibatan pihak ketiga sebagai pengolah data. Fenomena ini menimbulkan kekhawatiran serius terkait transparansi, akuntabilitas, dan perlindungan hukum bagi pengguna sebagai subjek data, terutama ketika perjanjian bisnis antara perusahaan dan pihak ketiga tidak secara komprehensif mengatur kewajiban perlindungan data. Studi ini bertujuan untuk menganalisis kerangka hukum perlindungan data pribadi berdasarkan Undang-Undang Nomor 27 Tahun 2022 dan mengevaluasi sejauh mana perjanjian kerja sama telah menerapkan prinsip-prinsip tersebut. Penelitian ini menggunakan metode hukum normatif-empiris dengan analisis kualitatif, didukung oleh data primer yang dikumpulkan melalui studi literatur dan wawancara dengan Petugas Perlindungan Data, Petugas Hukum, dan Manajer Produk dari sebuah perusahaan pembiayaan. Temuan menunjukkan bahwa meskipun Undang-Undang Perlindungan Data Pribadi menyediakan kerangka hukum yang jelas, implementasinya di sektor pembiayaan masih menghadapi tantangan signifikan, seperti resistensi vendor terhadap klausul audit, mekanisme pelaporan insiden yang lemah, dan ketidakhadiran kontrak pemrosesan data yang sepenuhnya mencerminkan prinsip kehati-hatian dan pertanggungjawaban. Dalam praktiknya, banyak perusahaan masih mengandalkan Perjanjian Kerahasiaan sebagai dasar utama pertukaran data, tanpa cukup memperhatikan substansi teknis perlindungan data. Studi ini menyimpulkan bahwa perlindungan data pribadi tidak hanya harus dijamin oleh undang-undang, tetapi juga harus diimplementasikan melalui perjanjian kerja sama seperti Perjanjian Pengolahan Data yang dirancang untuk fleksibel, transparan, dan akuntabel guna memastikan kepatuhan pihak ketiga dalam pengolahan data pribadi pengguna. / The digitalization of financial services has led to an increase in the processing of personal data by financing companies, including through the involvement of third parties as data processors. This phenomenon raises serious concerns regarding transparency, accountability, and legal protection for users as data subjects, particularly when business contracts between companies and third parties fail to comprehensively regulate data protection obligations. This study aims to analyze the legal framework for personal data protection under Law No. 27 of 2022 and to evaluate the extent to which cooperation agreements have implemented these principles. The research employs a normative-empirical legal method with qualitative analysis, supported by primary data collected through literature studies and interviews with the Data Protection Officer, Legal Officer, and Product Manager of a financing company. The findings reveal that although the Personal Data Protection Law provides a clear legal framework, its implementation in the financing sector still faces significant challenges, such as vendor resistance to audit clauses, weak incident reporting mechanisms, and the absence of data processing contracts that fully reflect the principles of prudence and accountability. In practice, many companies continue to rely on NDAs as the primary basis for data exchange, without adequately addressing the technical substance of data protection. The study concludes that personal data protection must not only be guaranteed by law but must also be operationalized through cooperation agreements like a Data Processing Agreement that are designed to be adaptive, transparent, and accountable to ensure third-party compliance in the processing of users' personal data.