Perusahaan Rekrutmen dan Data Pelamar: Kepatuhan PP 33/2026 untuk CV, Wawancara, dan Basis Data Kandidat

Data pelamar adalah data pribadi

CV memuat nama, alamat, nomor telepon, riwayat pendidikan dan pekerjaan, serta kadang foto, status perkawinan, dan agama. Data ini menjadi bahan baku bisnis perusahaan rekrutmen, tetapi tetap milik orang yang bersangkutan dalam arti hak atasnya.

Dalam proses seleksi, perusahaan rekrutmen juga mengumpulkan hasil tes, catatan wawancara, dan referensi, yang dapat memuat penilaian subjektif tentang pelamar.

Karena kandidat sering melamar di banyak tempat, kebocoran satu biro rekrutmen dapat memengaruhi banyak proses lamaran sekaligus.

Penilaian seperti itu dapat memengaruhi peluang kerja seseorang. Karena itu akurasinya penting, dan pelamar mungkin ingin mengetahui apa yang dicatat tentang dirinya.

Asal data dan dasar pemrosesan

Data bisa datang langsung dari pelamar, dari situs lowongan, atau dari profil publik di jejaring profesional. Mengumpulkan profil publik tidak otomatis membuat pemakaiannya bebas. Tujuan pemakaian tetap harus jelas dan wajar.

Pelamar sebaiknya diberi tahu bahwa datanya akan disimpan dalam basis data dan dapat dibagikan kepada klien potensial. Beri pilihan jelas untuk menolak penyimpanan jangka panjang.

Hindari meminta data yang tidak relevan dengan pekerjaan, seperti detail keluarga atau agama, kecuali ada kebutuhan yang sah.

Meski sebuah profil tampil publik, orang yang membuatnya biasanya punya tujuan terbatas, misalnya jejaring profesional. Memakainya untuk tujuan lain, seperti dijual ke pihak ketiga, patut dipertanyakan.

• Lamaran langsung
• Situs lowongan
• Profil publik daring
• Rujukan dari pihak lain

Berbagi ke perusahaan klien

Mengirim CV kepada klien sering dilakukan tanpa menanyakan izin pelamar untuk tiap klien. Praktik yang lebih hati-hati adalah menanyakan izin sebelum profil dikirim, terutama bila identitas penuh dan kontak pelamar ikut dikirim.

Perusahaan klien yang menerima data juga berstatus pengendali atas data yang diterimanya. Kontrak antara perusahaan rekrutmen dan klien sebaiknya mengatur tujuan, penyimpanan, dan penghapusan.

Beri klien pedoman tertulis bahwa profil hanya untuk lowongan yang dibicarakan dan harus dihapus bila pelamar tidak dipilih.

Basis data kandidat dan retensi

Basis data kandidat berumur bertahun-tahun adalah risiko. Data yang tidak lagi relevan, misalnya CV lima tahun lalu, sebaiknya dihapus atau diperbarui dengan izin pelamar.

Tetapkan jadwal retensi, misalnya meninjau basis data setiap tahun. Menurut ulasan, penghapusan data juga dapat menjadi sanksi administratif bila pemrosesan tidak sah.

Beri pelamar kemudahan mengajukan penghapusan lewat satu alamat email yang tercantum jelas.

Pelamar yang ingin dihapus dari basis data perlu dijawab dalam waktu wajar dan permintaannya dicatat.

Basis data kandidat yang rapi justru lebih bernilai bagi bisnis, karena isinya mutakhir dan dikumpulkan dengan izin yang jelas.

Alat seleksi otomatis

Beberapa perusahaan memakai perangkat lunak penyaring CV berbasis AI. Menurut ulasan, pemrosesan dengan AI dan pembelajaran mesin adalah contoh yang memerlukan DPIA bila berisiko tinggi.

Alat seperti ini dapat membawa bias. Menteri Bappenas dalam konteks lain memperingatkan soal bias algoritma, dan pandangan itu masuk akal dipakai sebagai kehati-hatian. Ini analisis redaksi.

Catat bagaimana alat seleksi diuji, termasuk pemeriksaan hasilnya terhadap kelompok pelamar yang berbeda.

Bila vendor perangkat lunak menyimpan CV di servernya, pastikan kontrak mengatur siapa yang bertanggung jawab atas keamanan dan penghapusannya.

Kebocoran dan transfer lintas negara

Menurut ulasan, kebocoran perlu diberitahukan tertulis paling lambat 3x24 jam kepada subjek data dan Lembaga. Bila basis data disimpan di server luar negeri atau dibagikan kepada klien di luar negeri, jenjang syarat transfer lintas negara menurut ulasan perlu diperhatikan.

Pelamar yang datanya bocor rentan terkena penipuan lowongan palsu, sehingga komunikasi cepat sangat penting.

Latih konsultan agar tidak mengirim CV lewat grup pesan atau akun pribadi, karena cara itu sulit dikendalikan.

Kebocoran basis data rekrutmen juga dapat dipakai penipu untuk menyamar sebagai perekrut dan meminta uang dari pelamar.

Sanksi dan persiapan

Sanksi administratif menurut ulasan meliputi peringatan, penghentian sementara, penghapusan data, dan denda maksimal 2 persen pendapatan tahunan. Pengumuman sanksi dapat menurunkan kepercayaan pelamar dan klien.

Persiapan awal: pemetaan basis data, kebijakan privasi pelamar, kontrak dengan klien, jadwal retensi, dan pelatihan konsultan rekrutmen.

Libatkan juga mitra penyedia platform lowongan dalam tinjauan kepatuhan.

Kumpulkan juga umpan balik pelamar mengenai kejelasan pemberitahuan privasi, sehingga praktik dapat diperbaiki.

Pelamar sendiri juga dapat berhati-hati: kirim CV hanya ke perusahaan yang jelas identitasnya dan hindari menyertakan nomor KTP pada tahap awal.

Contoh kasus

Contoh: Sebuah biro rekrutmen fiktif menyimpan puluhan ribu CV dalam satu basis data tanpa batas waktu dan mengirimkan CV kandidat ke klien tanpa memberi tahu. Setelah mereview, biro menambahkan pemberitahuan privasi pada formulir lamaran, meminta izin sebelum mengirim profil, dan menghapus CV yang lebih dari lima tahun. Langkah itu memperbaiki kepercayaan pelamar. Kasus ini hanya ilustrasi. Biro itu juga menyediakan halaman bagi pelamar untuk memperbarui atau menghapus profilnya sendiri. Biro mencatat bahwa jumlah pelamar yang meminta penghapusan ternyata kecil.

Hal yang sering keliru

• Mengira CV dari profil publik boleh dipakai untuk apa saja.
• Menyimpan basis data kandidat tanpa batas waktu.
• Mengirim CV ke klien tanpa memberi tahu pelamar.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)

Dalam kategori yang sama

• Pidana Korporasi dan Pengurus dalam UU Satu Data: Apa Isi Pasal 135?
• Pidana Memalsukan Data Pribadi untuk Keuntungan: Apa yang Dilarang UU PDP
• Menjual atau Membeli Data Pribadi: Apa yang Dilarang UU PDP dan Risiko Pidananya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.