Panduan Menyusun Kebijakan Privasi dan Persetujuan Data Pribadi untuk Usaha

Apa itu kebijakan privasi dan siapa yang wajib memilikinya

Kebijakan privasi adalah dokumen yang menjelaskan kepada pelanggan data apa yang dikumpulkan, untuk apa, bagaimana disimpan, kepada siapa dibagikan, dan bagaimana mereka dapat menggunakan hak atas datanya. Persetujuan adalah pernyataan kehendak pemilik data bahwa ia mengizinkan pemrosesan tertentu.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi membedakan beberapa peran.

• Subjek data: orang yang datanya diproses, misalnya pelanggan Anda.
• Pengendali data: pihak yang menentukan tujuan dan cara pemrosesan. Usaha Anda biasanya berada di sini.
• Prosesor data: pihak yang memproses data atas nama pengendali, misalnya penyedia layanan penyimpanan awan atau aplikasi kasir.

Undang-undang berlaku bagi orang, badan usaha, dan organisasi yang memproses data pribadi, termasuk usaha kecil. Masa penyesuaian dua tahun sejak pengundangan sudah berakhir. Jadi, usaha tidak lagi dapat menunda dengan alasan peraturan belum berlaku.

Pelindungan hak orang atas datanya dibahas pada hak subjek data pribadi UU PDP. Kewajiban perusahaan saat terjadi kebocoran ada pada kebocoran data perusahaan dan kewajiban lapor.

Aturan yang berlaku dalam bahasa sehari-hari

Prinsip yang perlu dipegang usaha.

1. Ada dasar yang sah. Pemrosesan data harus punya dasar, misalnya persetujuan, pelaksanaan perjanjian dengan pelanggan, kewajiban hukum, atau kepentingan yang sah menurut undang-undang. Persetujuan bukan satu-satunya dasar.
2. Tujuan jelas dan terbatas. Kumpulkan hanya data yang dibutuhkan. Toko kue tidak perlu meminta foto KTP untuk pesanan biasa.
3. Persetujuan eksplisit. Bila memakai persetujuan, pelanggan harus tahu apa yang disetujui. Pernyataan disusun terpisah dan mudah dipahami, tidak disembunyikan di tengah syarat panjang.
4. Transparansi. Pelanggan berhak tahu identitas pengendali, tujuan, dan hak mereka.
5. Keamanan. Usaha wajib melindungi data dari akses tidak sah, kehilangan, dan kebocoran.
6. Hak subjek data. Pelanggan dapat meminta akses, perbaikan, penghentian pemrosesan, atau penghapusan sesuai ketentuan.
7. Pemberitahuan insiden. Bila terjadi kegagalan pelindungan data, pengendali harus memberi tahu subjek data dan lembaga yang berwenang dalam jangka waktu singkat menurut undang-undang. Periksa teks resmi untuk jangka dan syaratnya.
8. Data sensitif. Data kesehatan, biometrik, keuangan pribadi, dan data anak mendapat perlindungan lebih ketat. Pemrosesan data anak mensyaratkan persetujuan orang tua atau wali.

Sanksi pelanggaran mencakup sanksi administratif dan, untuk perbuatan tertentu, pidana. Besaran dan syaratnya perlu dicek pada teks resmi. Karena penyesuaian pidana berlangsung lewat UU No. 1 Tahun 2026, periksa versi terbaru sebelum menyebut angka.

Langkah praktis menyusun kebijakan privasi

1. Petakan data. Buat daftar: data apa yang diminta (nama, nomor telepon, alamat, foto, data pembayaran), dari mana (formulir, aplikasi, kasir, pesan), disimpan di mana, dan siapa yang dapat mengakses.
2. Tentukan tujuan tiap data. Contoh: alamat untuk pengiriman, nomor telepon untuk konfirmasi pesanan, surel untuk struk. Hapus data yang tidak punya tujuan.
3. Tentukan dasar pemrosesan. Untuk data pesanan, dasarnya pelaksanaan perjanjian jual beli. Untuk iklan atau buletin, biasanya persetujuan.
4. Tentukan masa simpan. Tulis berapa lama data disimpan dan kapan dihapus atau dianonimkan. Sesuaikan dengan kewajiban pembukuan dan hukum lain yang berlaku.
5. Identifikasi pihak ketiga: penyedia pembayaran, kurir, penyedia penyimpanan, atau alat analitik. Pastikan perjanjian dengan mereka mengatur perlindungan data.
6. Tulis kebijakan privasi dalam bahasa sederhana (kerangka di bawah).
7. Tempatkan kebijakan di tempat yang mudah ditemukan: situs, aplikasi, atau papan di toko.
8. Siapkan formulir persetujuan terpisah untuk pemrosesan yang membutuhkannya.
9. Tetapkan penanggung jawab, yaitu satu orang yang menangani permintaan pelanggan dan insiden.
10. Latih karyawan agar tidak menyebarkan data lewat grup percakapan.
11. Tinjau kebijakan paling sedikit setahun sekali atau saat ada perubahan layanan.

Kerangka isi kebijakan privasi

Menyusun formulir persetujuan

Persetujuan yang baik memenuhi beberapa ciri.

• Dibuat spesifik. Satu kotak untuk satu tujuan: "Saya setuju menerima promosi lewat pesan singkat."
• Tidak dicentang sebelumnya. Pelanggan harus memilih sendiri.
• Terpisah dari syarat dan ketentuan transaksi, supaya pelanggan tidak merasa dipaksa.
• Mudah ditarik. Sediakan cara sederhana untuk mencabut persetujuan.
• Tercatat. Simpan bukti kapan dan bagaimana persetujuan diberikan.
• Dalam bahasa Indonesia yang jelas.

Untuk usaha offline, formulir kertas dengan kotak pilihan dan tanda tangan cukup. Untuk usaha daring, simpan catatan waktu dan versi kebijakan yang disetujui.

Contoh kalimat persetujuan: "Saya mengizinkan [nama usaha] menggunakan nomor telepon saya untuk mengirim informasi promo. Saya dapat mencabut persetujuan kapan saja dengan menghubungi [kontak]."

Perubahan aturan yang perlu Anda ketahui

Perubahan terpenting adalah berakhirnya masa penyesuaian UU PDP, sehingga kewajiban kini berlaku penuh. Peraturan pelaksana dan lembaga pengawas masih berkembang; lembaga pengawas pelindungan data pribadi belum terbentuk per akhir September 2026. Karena itu, pantau pengumuman resmi tentang peraturan pelaksana, tata cara pemberitahuan insiden, dan kewajiban pejabat pelindungan data.

KUHP baru (UU No. 1 Tahun 2023) dan KUHAP baru (UU No. 20 Tahun 2025) berlaku sejak 2 Januari 2026. Bila terjadi penyalahgunaan data, proses pidananya mengikuti hukum acara yang baru. Periksa teks resmi dan pengumuman instansi.

Kesalahan umum

Contoh: Toko aksesori daring milik Pak Dimas, tokoh fiktif, mengumpulkan nama, alamat, dan nomor telepon pembeli. Ia memetakan data, menghapus kolom tanggal lahir yang tidak diperlukan, dan menulis kebijakan privasi satu halaman. Ia menambahkan kotak persetujuan terpisah untuk promosi dan menetapkan satu karyawan sebagai penanggung jawab permintaan pelanggan. Ketika seorang pembeli meminta datanya dihapus, toko dapat memproses permintaan itu dengan catatan jelas. Kisah ini fiktif.

Contoh pengaturan keamanan untuk usaha kecil

Kebijakan hanya bermakna jika disertai tindakan. Beberapa langkah sederhana yang realistis bagi usaha kecil:

• Gunakan kata sandi unik dan aktifkan verifikasi dua langkah pada akun surel, kasir, dan marketplace.
• Batasi siapa yang boleh melihat data pelanggan. Karyawan baru tidak perlu akses penuh.
• Jangan menyimpan foto KTP pelanggan di galeri ponsel pribadi.
• Cadangkan data secara berkala dan simpan di tempat yang aman.
• Hapus data pelanggan yang sudah melewati masa simpan.
• Perbarui perangkat lunak dan hindari jaringan Wi-Fi publik untuk mengakses data pelanggan.
• Jika karyawan berhenti, cabut akses mereka pada hari yang sama.

Catat langkah-langkah ini dalam satu halaman prosedur internal. Catatan itu berguna sebagai bukti bahwa usaha berusaha menjaga data, dan membantu bila terjadi sengketa atau pemeriksaan.

Pihak ketiga dan penyimpanan data

Banyak usaha memakai layanan pihak ketiga: aplikasi kasir, penyedia pembayaran, layanan surel massal, dan penyimpanan awan. Meski datanya berada di sistem mereka, usaha tetap perlu memastikan layanan itu andal. Baca syarat penggunaannya, cari tahu di mana data disimpan, dan cek apakah ada klausul yang membolehkan mereka memakai data untuk tujuan sendiri. Jika memungkinkan, minta penyedia menyatakan secara tertulis bahwa mereka memproses data hanya atas instruksi Anda. Untuk transfer data ke luar negeri, periksa syarat yang ditetapkan undang-undang dan peraturan pelaksananya.

Pertanyaan yang sering diajukan

Apakah usaha kecil dan rumahan wajib punya kebijakan privasi? Undang-undang tidak membedakan besar-kecil usaha untuk kewajiban dasar. Skalanya memengaruhi langkah praktis, tetapi transparansi dan keamanan tetap diperlukan.

Apakah semua pemrosesan memerlukan persetujuan? Tidak. Ada dasar lain, seperti pelaksanaan perjanjian dan kewajiban hukum. Persetujuan perlu untuk pemrosesan di luar dasar itu, misalnya promosi.

Bolehkah data pelanggan disimpan selamanya? Sebaiknya tidak. Simpan selama diperlukan untuk tujuan dan kewajiban hukum, lalu hapus atau anonimkan.

Apakah perlu pejabat pelindungan data? Kewajiban ini berlaku pada kondisi tertentu menurut undang-undang. Periksa teks resmi dan peraturan pelaksana untuk menentukan apakah usaha Anda termasuk.

Ringkasan

• Usaha biasanya berperan sebagai pengendali data dan bertanggung jawab atas pemrosesan.
• Mulai dengan memetakan data, tujuan, dasar, masa simpan, dan pihak ketiga.
• Kebijakan privasi harus jelas, mudah ditemukan, dan sesuai praktik nyata.
• Persetujuan harus spesifik, terpisah, tidak dicentang otomatis, dan dapat ditarik.
• Siapkan prosedur permintaan pelanggan dan penanganan insiden.
• Pantau peraturan pelaksana dan periksa teks resmi terbaru.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2026 tentang Penyesuaian Pidana

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Kebocoran Data Perusahaan: Kewajiban Lapor dan Langkah Penanganan
• Studi Kasus: Data Pelanggan Toko Dijual ke Pihak Ketiga
• Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.