Data Pribadi Spesifik dan Umum menurut UU PDP: Perbedaan dan Dampaknya

Apa itu data pribadi umum dan spesifik

Data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik tersendiri maupun digabung dengan informasi lain, melalui sistem elektronik atau nonelektronik. UU PDP membaginya menjadi dua.

Data pribadi yang bersifat umum mencakup, misalnya, nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Data pribadi yang bersifat spesifik adalah data yang pemrosesannya dapat berdampak lebih besar bagi pemiliknya, seperti kemungkinan diskriminasi atau kerugian besar. Undang-undang menyebut antara lain data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai ketentuan peraturan perundang-undangan.

Perhatikan bahwa agama dan status perkawinan masuk kelompok umum dalam undang-undang ini, walaupun dalam kehidupan sehari-hari terasa sensitif. Penentu kelompok adalah teks undang-undang, bukan perasaan. Karena daftar spesifik juga mengenal "data lain sesuai peraturan", periksa teks resmi dan aturan sektor untuk kasus tertentu.

Mengapa pembedaan ini penting

Data spesifik lebih berbahaya bila bocor. Riwayat penyakit yang tersebar dapat menghilangkan pekerjaan. Sidik jari atau pola wajah tidak dapat diganti seperti kata sandi. Catatan kejahatan dapat menimbulkan stigma. Data anak berpotensi dieksploitasi. Karena itu pengendali yang memproses data spesifik dikenai kewajiban tambahan.

Kewajiban tambahan yang umumnya relevan:

• melakukan penilaian dampak pelindungan data pribadi untuk pemrosesan berisiko tinggi, dan data spesifik termasuk di dalamnya;
• menunjuk pejabat atau petugas pelindungan data pribadi bila memproses data spesifik secara sistematis atau dalam skala besar;
• memperkuat pengamanan teknis dan organisasi;
• lebih berhati-hati dalam memilih dasar pemrosesan dan memperoleh persetujuan.

Rincian teknis penilaian dampak dan penunjukan petugas dapat diatur lebih lanjut dalam aturan pelaksana, sehingga periksa teks resmi terbaru.

Contoh dan implikasi tiap jenis data spesifik

Aturan yang berlaku dalam bahasa sehari-hari

Beberapa konsekuensi bagi pelaku usaha dan lembaga:

• Pengumpulan data spesifik harus punya alasan yang kuat. Misalnya, pemindaian wajah untuk absensi karyawan harus dibenarkan oleh tujuan dan dilindungi lebih ketat. Pertimbangkan alternatif yang kurang intrusif.
• Persetujuan untuk data spesifik harus jelas dan terpisah dari persetujuan umum. Jangan menyembunyikannya dalam syarat panjang.
• Penyimpanan harus aman dan akses dibatasi. Data kesehatan karyawan tidak untuk dibaca atasan langsung.
• Data spesifik yang tidak diperlukan harus dihapus. Jangan menyimpan salinan KTP, foto wajah, dan sidik jari lebih lama daripada kebutuhan.
• Bila terjadi kebocoran, pemberitahuan tertulis dalam 3 x 24 jam menjadi lebih mendesak karena risikonya besar.

Pembahasan dasar kewajiban umum ada di kewajiban pengendali data pribadi.

Perubahan aturan yang perlu Anda ketahui

Sebelum UU PDP, pembedaan semacam ini tidak diatur secara tegas dalam satu undang-undang umum. Ketentuan tersebar di aturan sektor, seperti kesehatan dan perbankan. UU PDP, yang masa penyesuaiannya berakhir pada Oktober 2024, memberi kerangka umum. Perlu dicatat pula bahwa Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan memuat ketentuan tentang rahasia kesehatan dan rekam medis, sehingga data kesehatan diatur berlapis. Status lembaga pengawas UU PDP dan aturan pelaksananya perlu dicek pada pengumuman resmi karena masih berkembang. Periksa teks resmi terbaru.

Langkah praktis bagi pelaku usaha

1. Inventarisasi. Tandai kolom data Anda yang spesifik: kesehatan, biometrik, anak, keuangan, dan sebagainya.
2. Tinjau kebutuhan. Untuk setiap data spesifik, tanyakan apakah benar-benar perlu. Hapus yang tidak.
3. Pisahkan penyimpanan. Simpan data spesifik di tempat berbeda dengan akses lebih ketat.
4. Atur persetujuan. Bila memakai persetujuan, buat terpisah dan mudah dipahami. Lihat persetujuan pemrosesan dan tombol setuju.
5. Lakukan penilaian dampak secara sederhana: risiko apa, siapa terdampak, mitigasinya apa.
6. Latih staf yang bersentuhan dengan data itu.

Langkah praktis bagi pemilik data

1. Tanyakan alasan setiap kali diminta data spesifik, seperti sidik jari atau foto wajah.
2. Minta pemberitahuan tertulis tentang tujuan dan lama penyimpanan.
3. Gunakan hak untuk meminta akses, koreksi, atau penghapusan. Lihat hak subjek data pribadi.
4. Tolak bila permintaan tidak masuk akal, misalnya warung yang meminta pemindaian wajah hanya untuk membeli barang.
5. Simpan bukti bila terjadi penyalahgunaan.

Kesalahan umum

Contoh: Sebuah pusat kebugaran memasang pemindai sidik jari untuk absensi anggota dan menyimpan templatnya di server yang sama dengan data pembayaran. Setelah peretasan, templat sidik jari ikut tercuri. Pemilik pusat kebugaran akan sulit berdalih karena data biometrik termasuk spesifik. Pendekatan yang lebih aman adalah menawarkan kartu keanggotaan sebagai alternatif, menyimpan templat terenkripsi di tempat terpisah, dan memiliki prosedur pemberitahuan kebocoran.

Berlapisnya aturan untuk kesehatan, anak, dan keuangan

Tiga kategori spesifik yang paling sering ditemui warga biasa diatur juga oleh aturan sektor. Untuk kesehatan, rahasia kedokteran dan rekam medis memiliki aturan tersendiri; fasilitas kesehatan tidak boleh membuka isi rekam medis kecuali dengan dasar yang diizinkan, seperti persetujuan pasien atau permintaan penegak hukum sesuai prosedur. Untuk anak, selain UU PDP berlaku ketentuan perlindungan anak. Untuk keuangan, bank dan lembaga keuangan terikat kewajiban kerahasiaan serta aturan Otoritas Jasa Keuangan. Praktisnya, bila Anda mengelola data jenis ini, patuhi kedua lapis aturan: UU PDP dan aturan sektor. Bila ada perbedaan, ambil standar yang lebih ketat sambil memeriksa teks resmi.

Contoh keputusan desain yang lebih aman

Bayangkan aplikasi pemesanan janji temu dokter. Rancangan yang boros data meminta riwayat penyakit lengkap sejak pendaftaran, padahal dokter hanya butuh keluhan utama. Rancangan yang lebih aman hanya meminta nama, kontak, dan keluhan singkat saat mendaftar, lalu memindahkan riwayat lengkap ke ruang konsultasi yang terlindungi. Data spesifik tidak ditampilkan di notifikasi layar kunci. Akses staf dibatasi dan setiap akses dicatat. Keputusan sederhana seperti ini mengurangi risiko tanpa mengorbankan layanan.

Hak pemilik data atas data spesifik

Pemilik data spesifik memiliki hak yang sama dengan pemilik data lain: meminta informasi, mengakses, memperbaiki, menghapus, membatasi, dan menarik persetujuan. Namun, praktiknya ada dua hal yang perlu dicatat. Pertama, pengendali boleh menolak penghapusan bila ada kewajiban hukum menyimpan, misalnya rekam medis yang wajib disimpan sekian waktu menurut aturan kesehatan. Kedua, keberatan atas pemrosesan otomatis, termasuk pembuatan profil yang berdampak signifikan, menjadi lebih penting ketika data yang dipakai bersifat spesifik, misalnya penilaian kredit berdasarkan data keuangan. Ajukan permintaan secara tertulis dan simpan jawabannya.

Istilah penting dalam pembahasan data spesifik

Data biometrik adalah data tentang karakteristik fisik, fisiologis, atau perilaku yang memungkinkan identifikasi unik seseorang, seperti sidik jari dan pola wajah. Data genetika adalah informasi tentang sifat keturunan yang diperoleh dari analisis. Pembuatan profil adalah pemrosesan otomatis untuk menilai aspek pribadi seseorang, misalnya kemampuan membayar. Anonimisasi adalah proses membuat data tidak lagi dapat dikaitkan dengan orang tertentu. Bila data benar-benar dianonimkan, ia tidak lagi menjadi data pribadi, tetapi proses anonimisasi harus sungguh-sungguh sehingga identitas tidak dapat dipulihkan. Menghapus nama saja belum tentu cukup bila kombinasi tanggal lahir, alamat, dan data lain masih dapat menunjuk orang tertentu.

Pertanyaan yang sering diajukan

Apakah nomor telepon dan alamat surel termasuk data spesifik? Menurut daftar undang-undang, tidak otomatis. Keduanya umumnya data umum, tetapi bila dikaitkan dengan informasi lain dapat menjadi bagian data yang mengidentifikasi seseorang.

Apakah foto wajah termasuk biometrik? Foto biasa belum tentu. Data biometrik adalah data yang berkaitan dengan fisik atau perilaku yang memungkinkan identifikasi unik, misalnya hasil pemindaian wajah untuk pengenalan. Periksa definisi pada teks resmi.

Apakah agama termasuk data spesifik? Dalam rumusan undang-undang, agama termasuk data umum. Namun, penyalahgunaannya tetap dapat dipermasalahkan melalui ketentuan lain.

Apakah data spesifik harus selalu berdasar persetujuan? Tidak selalu. Dasar lain dapat dipakai bila sesuai, misalnya kewajiban hukum. Namun persetujuan sering menjadi dasar paling aman bagi usaha biasa.

Ringkasan

• UU PDP membagi data pribadi menjadi umum dan spesifik.
• Data spesifik mencakup kesehatan, biometrik, genetika, catatan kejahatan, anak, keuangan pribadi, dan data lain menurut peraturan.
• Data spesifik menuntut pengamanan lebih ketat, penilaian dampak, dan kehati-hatian dasar pemrosesan.
• Kumpulkan seperlunya, simpan terpisah, dan hapus bila tidak lagi diperlukan.
• Aturan pelaksana dan lembaga pengawas masih berkembang; periksa teks resmi terbaru.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 17 Tahun 2023 tentang Kesehatan

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha
• Data Pribadi Anak dan Persetujuan Orang Tua: Panduan bagi Sekolah dan Aplikasi
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Foto KTP tidak dikirim ke akun yang tidak jelas

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.