Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha

Apa itu pengendali data pribadi dan siapa yang terkena

UU PDP membedakan tiga pihak. Subjek data pribadi adalah orang yang datanya diproses. Pengendali data pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data. Prosesor data pribadi adalah pihak yang memproses data atas nama pengendali. Pengendali bisa orang, badan usaha, organisasi, atau badan publik.

Artinya, warung daring yang menyimpan alamat pembeli adalah pengendali. Begitu pula klinik yang mencatat riwayat pasien, sekolah yang menyimpan data murid, dan perusahaan yang mengumpulkan data karyawan. Pengecualian ada untuk pemrosesan data oleh perorangan untuk kegiatan pribadi atau rumah tangga, misalnya buku alamat di ponsel Anda.

Pembedaan peran ini dibahas lebih lanjut di pengendali dan prosesor data pribadi. Jangan keliru: kewajiban utama ada pada pengendali, termasuk ketika sebagian pekerjaan diserahkan kepada pihak lain.

Aturan inti dalam bahasa sehari-hari

Beberapa kewajiban pokok yang dapat dipahami tanpa membaca pasal satu per satu:

• Punya dasar pemrosesan yang sah. Memproses data harus berdasar salah satu dasar yang disebut undang-undang. Persetujuan hanyalah satu dasar. Dasar lain mencakup pemenuhan perjanjian dengan pemilik data, kewajiban hukum pengendali, pelindungan kepentingan vital pemilik data, pelaksanaan tugas kepentingan umum, dan pemenuhan kepentingan yang sah lainnya dengan memperhatikan keseimbangan hak pemilik data.
• Transparan. Pengendali harus memberi tahu pemilik data tentang kejelasan identitas, dasar hukum, tujuan, jenis data, jangka waktu penyimpanan, dan hak-haknya.
• Memproses sesuai tujuan. Data yang dikumpulkan untuk pengiriman barang tidak boleh diam-diam dipakai untuk iklan pihak lain.
• Menjaga akurasi. Data harus diperbarui atau dikoreksi bila keliru.
• Mengamankan data. Pengendali wajib melindungi keamanan data dari akses tanpa izin, pengungkapan, perubahan, dan kehilangan.
• Menjaga kerahasiaan. Orang yang terlibat dalam pemrosesan wajib menjaga kerahasiaan.
• Memenuhi hak pemilik data. Pemilik data berhak meminta akses, koreksi, penghapusan, penarikan persetujuan, dan keberatan atas hal tertentu. Pembahasannya ada pada hak subjek data pribadi.
• Memusnahkan atau menghapus data bila masa retensi habis, tujuan tercapai, atau pemilik menarik persetujuan, kecuali ada kewajiban hukum menyimpannya.
• Memberitahukan kegagalan pelindungan data. Bila terjadi kebocoran, pengendali wajib menyampaikan pemberitahuan tertulis kepada pemilik data dan lembaga yang berwenang paling lambat 3 x 24 jam, dengan isi yang diatur undang-undang.
• Menunjuk pejabat pelindungan data pada kondisi tertentu, misalnya pemrosesan skala besar atau data spesifik secara sistematis.
• Membuat penilaian dampak pelindungan data untuk pemrosesan berisiko tinggi.

Persetujuan dan dasar pemrosesan

Banyak pelaku usaha menganggap semua pemrosesan butuh kotak centang "saya setuju". Itu keliru. Bila data diperlukan untuk menjalankan perjanjian, misalnya alamat untuk mengirim paket, dasar yang tepat adalah pemenuhan perjanjian. Persetujuan lebih relevan untuk tujuan tambahan seperti newsletter atau berbagi data dengan mitra pemasaran.

Persetujuan yang sah harus eksplisit, dapat dibuktikan, dan dibuat dengan cara yang jelas. Pemilik data dapat menarik persetujuan. Pembahasan terperinci ada di persetujuan pemrosesan data pribadi dan tombol setuju.

Perubahan aturan yang perlu Anda ketahui

Undang-undang ini disahkan pada Oktober 2022 dengan masa transisi dua tahun, sehingga kewajiban pengendali berlaku penuh sejak Oktober 2024. Pada saat artikel ini ditulis, status lembaga pengawas pelindungan data pribadi yang disebut dalam undang-undang dan peraturan pelaksananya masih berkembang dan perlu dicek pada pengumuman resmi. Dampaknya, pelaku usaha tetap wajib patuh pada norma undang-undang, meski tata cara teknis seperti format pelaporan kebocoran dan penilaian dampak dapat menunggu aturan turunan. Periksa pengumuman resmi terbaru sebelum menyusun kebijakan internal.

Selain itu, sektor tertentu memiliki aturan data tersendiri, misalnya keuangan, kesehatan, dan telekomunikasi. Bila usaha Anda berada di sektor itu, kewajiban sektoral berlaku bersamaan.

Langkah praktis memenuhi kewajiban pengendali

1. Petakan data. Buat daftar: data apa, dari siapa, untuk apa, disimpan di mana, dan siapa yang bisa mengakses.
2. Tentukan dasar tiap pemrosesan. Tulis di samping setiap jenis data: perjanjian, kewajiban hukum, persetujuan, atau dasar lain.
3. Susun pemberitahuan privasi. Gunakan bahasa mudah dan letakkan di situs, aplikasi, atau formulir fisik.
4. Kurangi data. Kumpulkan hanya yang diperlukan. Data yang tidak Anda simpan tidak dapat bocor.
5. Amankan. Gunakan kata sandi kuat, autentikasi dua langkah, pembatasan akses menurut peran, enkripsi bila memungkinkan, dan cadangan.
6. Atur kerja sama dengan prosesor. Buat perjanjian tertulis yang menegaskan bahwa pihak ketiga hanya boleh memproses sesuai instruksi.
7. Siapkan prosedur insiden. Tetapkan siapa yang menilai kebocoran, menghubungi pemilik data, dan membuat laporan.
8. Siapkan saluran hak pemilik data, misalnya surel khusus, dan catat setiap permintaan.
9. Latih staf dan tinjau kebijakan secara berkala.

Kesalahan umum

Contoh: Sebuah toko daring kecil menyimpan nama, alamat, dan nomor telepon pembeli dalam satu lembar kerja yang dibagikan kepada tiga staf gudang. Salah satu staf keluar dan masih memegang akses. Beberapa pekan kemudian muncul pesan penipuan yang menyebut detail pesanan pembeli. Toko wajib menilai kebocoran, memberi tahu pembeli, dan memperbaiki sistemnya. Mereka sebaiknya sejak awal membatasi akses menurut peran dan segera mencabut akses karyawan yang keluar.

Pengendali di berbagai jenis usaha

Cara kewajiban ini terlihat berbeda menurut jenis kegiatan. Pada toko daring, data utama adalah identitas pembeli, alamat, dan riwayat pesanan; risiko terbesar ada pada berkas pesanan yang dibagikan terlalu luas. Pada klinik atau praktik kesehatan, data kesehatan termasuk data spesifik sehingga pengamanannya perlu lebih ketat, dan sering ada aturan sektor tambahan. Pada sekolah atau lembaga kursus, data anak memerlukan perhatian khusus, seperti dibahas di data pribadi anak dan persetujuan orang tua. Pada kantor atau perusahaan, data karyawan seperti nomor rekening, data keluarga, dan hasil pemeriksaan kesehatan perlu dibatasi aksesnya pada bagian sumber daya manusia saja.

Prinsip yang sama berlaku: ketahui data apa yang Anda pegang, kurangi yang tidak perlu, dan kunci yang tersisa.

Menggunakan pihak ketiga dan penyimpanan awan

Banyak usaha memakai layanan penyimpanan awan, perangkat lunak pembukuan, atau jasa pengiriman. Pihak-pihak itu umumnya berperan sebagai prosesor, dan sebagian mungkin berperan sebagai pengendali untuk data tertentu. Sebelum memakainya, bacalah syarat layanannya: di mana data disimpan, siapa yang dapat mengakses, dan apa yang terjadi bila ada kebocoran. Jangan menaruh data pelanggan di layanan gratis yang syaratnya mengizinkan pemakaian data untuk tujuan lain. Bila data dikirim ke luar negeri, undang-undang mensyaratkan tingkat pelindungan yang setara atau memadai, atau dasar lain yang diatur; periksa teks resmi dan aturan pelaksana terbaru.

Hak pemilik data yang harus dijawab pengendali

Pengendali perlu siap menerima permintaan dari pemilik data: meminta salinan, meminta koreksi, meminta penghapusan, atau menarik persetujuan. Sediakan satu pintu, misalnya satu alamat surel, dan catat tanggal permintaan serta jawabannya. Jawab tepat waktu sesuai ketentuan yang berlaku dan jelaskan alasan bila permintaan ditolak, misalnya karena ada kewajiban hukum menyimpan data. Praktik pencatatan ini juga menjadi bukti itikad baik bila terjadi sengketa.

Gambaran contoh pemetaan data untuk usaha kecil

Agar kewajiban terasa konkret, bayangkan pemetaan sederhana sebuah kedai kopi dengan aplikasi pemesanan sendiri. Data yang dikumpulkan: nama dan nomor telepon pelanggan (dasar pemrosesan: perjanjian pemesanan), alamat pengantaran (perjanjian), riwayat pesanan untuk rekomendasi (persetujuan), foto profil (persetujuan), serta data karyawan seperti rekening gaji (perjanjian kerja dan kewajiban hukum). Untuk tiap baris, kedai mencatat siapa yang boleh mengakses, di mana data disimpan, dan kapan dihapus. Tabel satu halaman seperti itu sudah merupakan dasar dokumentasi yang berguna bila ada pemeriksaan atau permintaan pemilik data.

Perhatikan pula prinsip pembatasan penyimpanan. Data pelanggan yang tidak aktif bertahun-tahun sebaiknya dihapus atau dianonimkan. Semakin sedikit data yang Anda simpan, semakin kecil dampak bila terjadi insiden.

Pertanyaan yang sering diajukan

Apakah usaha rumahan wajib patuh UU PDP? Ya, bila memproses data pribadi pelanggan dalam kegiatan usaha. Skalanya mempengaruhi cara memenuhinya, bukan ada atau tidaknya kewajiban.

Apakah harus selalu meminta persetujuan? Tidak. Persetujuan hanya satu dari beberapa dasar pemrosesan. Pilih dasar yang paling sesuai dan dokumentasikan.

Berapa lama saya boleh menyimpan data pelanggan? Selama masih diperlukan untuk tujuan awal atau diwajibkan peraturan lain. Tetapkan masa retensi tertulis, lalu hapus atau anonimkan setelah habis. Periksa aturan sektor Anda.

Siapa yang mengawasi? Undang-undang menyebut lembaga pengawas; status pembentukan dan kewenangannya perlu dicek pada pengumuman resmi. Periksa pengumuman resmi terbaru.

Ringkasan

• Pengendali data adalah pihak yang menentukan tujuan dan cara pemrosesan; kewajiban utama padanya.
• Pemrosesan harus berdasar dasar yang sah; persetujuan hanya salah satunya.
• Wajib transparan, mengamankan data, memenuhi hak pemilik data, dan memberitahu kebocoran dalam 3 x 24 jam.
• Lembaga pengawas dan aturan teknis masih berkembang; periksa teks resmi terbaru.
• Mulai dari pemetaan data dan prosedur insiden sederhana.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Pengendali dan Prosesor Data Pribadi: Bedanya dan Contoh bagi Usaha Kecil
• Sanksi Administratif dan Pidana dalam UU PDP: Jenis, Pihak Berwenang, dan Contoh
• Data pelanggan yang bocor dari usaha kecil

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.