HRD dan Data Karyawan: Menyiapkan Kepatuhan PP 33/2026 dari Rekrutmen sampai Berhenti Bekerja

Data karyawan di tangan HRD

HRD memegang KTP, KK, ijazah, rekening bank, NPWP, nomor BPJS, hasil pemeriksaan kesehatan, dan penilaian kinerja. Data ini dipakai untuk penggajian, pajak, jaminan sosial, dan administrasi.

Setiap pemakaian perlu tujuan yang jelas. Data yang dikumpulkan saat rekrutmen tidak otomatis boleh dipakai untuk keperluan lain tanpa dasar.

Perlakukan berkas pegawai seperti berkas pelanggan: ada pemilik data yang berhak atas perlindungan.

Sebagian HRD juga menyimpan data keluarga karyawan untuk tunjangan, seperti nama pasangan dan anak. Data pihak ketiga ini memerlukan perhatian sama, karena pemiliknya tidak ikut menandatangani apa pun.

Dasar pemrosesan dan persetujuan

Banyak data diproses karena kewajiban hukum atau perjanjian kerja, misalnya data untuk pajak dan BPJS. Dasar semacam ini berbeda dari persetujuan.

Meminta persetujuan karyawan untuk semua hal bisa bermasalah karena posisi karyawan tidak seimbang. Ini analisis redaksi; apakah persetujuan di hubungan kerja dianggap bebas, perlu dicek pada naskah resmi.

Pemberitahuan jelas tentang data apa yang diproses dan untuk apa dapat dimasukkan ke peraturan perusahaan atau pemberitahuan privasi karyawan.

Praktik yang aman adalah memisahkan dasar. Data yang diperlukan untuk gaji dan pajak diproses karena kewajiban, sedangkan penggunaan foto karyawan untuk materi promosi sebaiknya melalui izin tersendiri yang dapat ditolak tanpa konsekuensi.

Data spesifik dan biometrik

Data kesehatan, biometrik, dan sebagainya termasuk data spesifik. Absensi sidik jari atau wajah, misalnya, memproses data biometrik, sehingga perlu alasan kuat, pengamanan lebih, dan pemberitahuan jelas.

Menurut ulasan, pemrosesan skala besar atas data spesifik dapat memicu kewajiban petugas pelindungan data. DPIA juga mungkin diperlukan untuk pemrosesan berisiko tinggi.

Bila ada alternatif yang tidak biometrik, misalnya kartu akses, pertimbangkan apakah biometrik memang diperlukan.

Karyawan sebaiknya diberi tahu secara tertulis tentang data biometrik apa yang dikumpulkan, berapa lama disimpan, dan siapa yang dapat mengaksesnya.

• Hasil medical check-up
• Sidik jari dan wajah
• Catatan disiplin
• Data keluarga dan tanggungan

Pembatasan akses internal

Tidak semua manajer perlu melihat gaji seluruh karyawan. Atur hak akses sesuai peran, dan catat siapa saja yang membuka berkas sensitif.

Hindari menyimpan berkas pegawai di folder bersama tanpa kata sandi atau mengirim data gaji lewat grup pesan. Kebocoran internal sama merugikannya dengan serangan luar.

Tinjau daftar pengguna sistem HR minimal sekali setahun dan cabut akses orang yang sudah pindah bagian.

Pertimbangkan pula pencatatan akses pada sistem HR. Jejak akses membantu menelusuri siapa membuka berkas tertentu bila terjadi kebocoran, dan menjadi bukti kehati-hatian perusahaan.

Vendor penggajian dan aplikasi HR

Aplikasi penggajian, absensi, dan tunjangan biasanya dikelola vendor sehingga berstatus prosesor. Kontrak perlu memuat keamanan, batas tujuan, dan kewajiban melapor insiden.

Ketika karyawan meminta salinan datanya atau koreksi, HRD sebaiknya punya prosedur jelas, karena hak subjek data berlaku bagi karyawan juga.

Catat permintaan karyawan beserta tanggapan HRD agar prosesnya dapat ditelusuri.

Bila perusahaan memakai konsultan atau kantor akuntan untuk penggajian, mereka juga memegang data karyawan dan perlu diikat dengan perjanjian kerahasiaan serta kontrak pemrosesan.

Eks karyawan dan penghapusan

Setelah hubungan kerja berakhir, data tidak boleh disimpan tanpa batas. Sebagian data wajib disimpan untuk keperluan pajak dan ketenagakerjaan sesuai aturan lain, sementara sisanya sebaiknya dihapus.

Tetapkan jadwal retensi per jenis data, lalu hapus secara terdokumentasi. Menurut ulasan, penghapusan data juga dapat menjadi salah satu sanksi administratif bila pemrosesan tidak sah.

Penghapusan dapat berupa penghapusan permanen atau anonimisasi, bergantung pada kebutuhan dan aturan lain.

Pertimbangkan membuat tabel satu halaman berisi jenis berkas, lama simpan, dasar penyimpanan, dan penanggung jawab. Tabel itu mudah diperbarui dan mudah ditunjukkan bila ditanya.

Insiden dan sanksi

Menurut ulasan, kebocoran harus diberitahukan tertulis paling lambat 3x24 jam kepada subjek data dan Lembaga. Sanksi administratif mencakup peringatan, penghentian sementara, penghapusan data, dan denda maksimal 2 persen pendapatan tahunan.

Libatkan HRD, hukum, dan IT dalam rencana tanggap insiden, karena data karyawan sering menjadi korban pertama dan dampaknya ke moral kerja besar.

Pelatihan untuk tim HR menjadi bagian penting karena merekalah yang paling sering menangani data sensitif.

Ingat pula bahwa karyawan yang merasa datanya disalahgunakan dapat melapor atau menggugat, sehingga hubungan industrial ikut terpengaruh bila praktik HRD ceroboh.

Contoh kasus

Contoh: Sebuah perusahaan manufaktur fiktif menyimpan pindaian KTP, ijazah, dan slip gaji karyawan di satu folder jaringan yang dapat dibuka seluruh bagian. Setelah audit internal, HRD memindahkan berkas ke sistem dengan hak akses, menetapkan jadwal retensi, dan menandatangani kontrak pemrosesan dengan vendor penggajian. Langkah ini menurunkan risiko dan memudahkan HRD menjelaskan praktiknya. Kasus ini hanya ilustrasi. Tidak lama kemudian seorang karyawan meminta salinan datanya, dan HRD dapat memenuhi permintaan itu dalam beberapa hari karena catatan sudah rapi.

Hal yang sering keliru

• Mengira data karyawan boleh dipakai bebas karena karyawan sudah dibayar.
• Menyimpan berkas eks karyawan tanpa batas waktu.
• Mengirim data gaji lewat grup pesan terbuka.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)
• Undang-Undang tentang Ketenagakerjaan beserta perubahannya (konteks umum, tanpa nomor pasal)

Dalam kategori yang sama

• Kepatuhan PP 33/2026 bagi Rumah Sakit dan Klinik: Menjaga Data Pasien dan Data Kesehatan
• Kepatuhan PP 33/2026 bagi Sekolah dan Kampus: Data Siswa dan Mahasiswa Mulai 2027
• Kepemilikan Data Tetap pada Produsen Data: Apa Artinya dalam UU Satu Data Indonesia

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.