Kewajiban Perusahaan Menurut UU PDP: Panduan Kepatuhan Data Pribadi

Mengapa Perusahaan Perlu Memahami UU PDP?

Perusahaan mengelola beragam informasi, seperti data pelanggan, karyawan, pemasok, dan pengguna layanan. Informasi tersebut dapat digunakan untuk menjalankan operasional, memberikan layanan, atau memenuhi kewajiban hukum.

Namun, pengumpulan dan penggunaan data pribadi membawa tanggung jawab. UU Nomor 27 Tahun 2022 mengatur kewajiban pihak yang berperan sebagai pengendali dan prosesor data pribadi.

Kepatuhan terhadap UU PDP bukan sekadar memasang sistem keamanan. Perusahaan juga perlu memastikan tujuan pemrosesan jelas, memiliki dasar pemrosesan yang sah, membatasi akses, dan mengelola data sesuai ketentuan yang berlaku.

Memahami Perbedaan Pengendali dan Prosesor Data Pribadi

Sebelum membuat program kepatuhan, perusahaan perlu memahami perannya.

Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi. Dalam praktiknya, perusahaan yang menentukan data pelanggan apa yang diperlukan dan untuk tujuan apa dapat berperan sebagai pengendali.

Prosesor Data Pribadi adalah pihak yang memproses data pribadi atas nama pengendali. Contohnya dapat berupa penyedia layanan teknologi yang mengelola data sesuai instruksi klien.

Satu organisasi dapat memiliki peran berbeda dalam kegiatan pemrosesan yang berbeda. Kewajiban yang berlaku perlu dinilai berdasarkan peran dan aktivitas sebenarnya.

Kewajiban Perusahaan dalam Mengelola Data Pribadi

1. Menentukan dasar pemrosesan yang sah

Perusahaan perlu memastikan setiap kegiatan pemrosesan memiliki dasar yang sah menurut UU PDP. Persetujuan merupakan salah satu dasar, tetapi bukan satu-satunya dasar yang diakui undang-undang.

Karena itu, perusahaan sebaiknya tidak menganggap bahwa satu kotak centang persetujuan dapat menjadi dasar bagi seluruh aktivitas pemrosesan tanpa batas.

2. Menjelaskan tujuan pemrosesan

Perusahaan perlu menjelaskan informasi yang relevan mengenai pemrosesan data, termasuk tujuan dan dasar pemrosesannya sesuai ketentuan.

Misalnya, formulir pendaftaran pelanggan sebaiknya menjelaskan mengapa informasi kontak diperlukan dan bagaimana informasi tersebut digunakan.

3. Memastikan data yang dikumpulkan relevan

Pengumpulan data perlu disesuaikan dengan tujuan yang sah. Hindari meminta informasi yang tidak diperlukan hanya karena sistem memungkinkan perusahaan mengumpulkannya.

Semakin banyak data yang disimpan tanpa kebutuhan yang jelas, semakin besar pula beban pengelolaan dan risiko yang perlu ditangani.

4. Menjaga keamanan dan kerahasiaan

UU PDP mewajibkan pengendali melindungi data pribadi dan memastikan keamanan pemrosesannya. Langkah teknis dan operasional perlu disesuaikan dengan sifat data serta risiko yang dihadapi.

Contoh tindakan yang dapat dipertimbangkan meliputi:

• Membatasi akses berdasarkan kebutuhan pekerjaan.
• Menggunakan autentikasi yang kuat.
• Melakukan pembaruan sistem keamanan.
• Membuat cadangan data secara terkelola.
• Mencatat dan meninjau akses terhadap data penting.
• Melatih karyawan mengenai penanganan data pribadi.

Daftar ini merupakan contoh kontrol praktis, bukan pengganti penilaian risiko dan kewajiban spesifik menurut hukum.

5. Mengelola hubungan dengan prosesor data

Jika perusahaan menggunakan vendor untuk memproses data, tanggung jawab tidak seharusnya berhenti pada penandatanganan kontrak pembelian layanan.

Perusahaan perlu menilai peran vendor, instruksi pemrosesan, pengamanan data, pembatasan akses, dan prosedur penanganan insiden. Perjanjian perlu disusun sesuai kewajiban hukum dan hubungan para pihak.

6. Menangani permintaan subjek data

Perusahaan perlu memiliki prosedur untuk menerima dan menindaklanjuti permintaan yang berkaitan dengan hak subjek data pribadi. Prosedur tersebut dapat mencakup verifikasi identitas secara aman, pencatatan permintaan, penilaian dasar hukum, dan pemberian tanggapan sesuai tenggat yang berlaku.

7. Mengelola insiden dan kegagalan pelindungan data

Perusahaan perlu menyiapkan prosedur untuk mendeteksi, menilai, mendokumentasikan, dan menangani insiden yang melibatkan data pribadi.

UU PDP mengatur kewajiban pemberitahuan tertulis dalam hal terjadi kegagalan pelindungan data pribadi, dengan ketentuan waktu, isi pemberitahuan, dan pihak penerima sebagaimana ditentukan undang-undang.

8. Mengevaluasi kebutuhan pejabat atau fungsi pelindungan data

UU PDP mengatur penunjukan pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi untuk kondisi tertentu, termasuk berdasarkan sifat, skala, dan tujuan pemrosesan.

Perusahaan perlu menilai apakah aktivitasnya memenuhi kriteria yang relevan, bukan sekadar menganggap semua organisasi memiliki kewajiban identik.

Checklist Kepatuhan UU PDP untuk Perusahaan

Gunakan daftar berikut sebagai pemeriksaan awal.

• Memetakan jenis data pribadi yang dikumpulkan dan disimpan.
• Mengidentifikasi tujuan dan dasar pemrosesan untuk setiap aktivitas.
• Meninjau pemberitahuan privasi dan formulir pengumpulan data.
• Membatasi akses data sesuai kebutuhan pekerjaan.
• Menetapkan prosedur permintaan hak subjek data.
• Menilai vendor yang memproses data pribadi.
• Menetapkan prosedur penanganan insiden data.
• Meninjau masa penyimpanan dan proses penghapusan data.
• Melatih karyawan yang menangani data pribadi.
• Menilai kebutuhan penunjukan fungsi atau petugas pelindungan data.

Checklist ini merupakan titik awal. Perusahaan perlu melakukan penilaian lebih lanjut sesuai industri, skala pemrosesan, dan peraturan yang berlaku.

Apa Risiko Jika Perusahaan Tidak Patuh?

Ketidakpatuhan dapat menimbulkan risiko hukum, operasional, finansial, dan reputasi. UU PDP memuat sanksi administratif untuk pelanggaran kewajiban tertentu serta ketentuan pidana bagi perbuatan tertentu yang memenuhi unsur yang diatur undang-undang.

Selain sanksi hukum, insiden data dapat menurunkan kepercayaan pelanggan, mengganggu operasional, dan menambah biaya pemulihan.

Besarnya risiko bergantung pada fakta kasus, jenis pelanggaran, ketentuan yang berlaku, dan hasil proses hukum yang relevan.

Langkah Awal Membangun Program Kepatuhan

Perusahaan dapat memulai dari empat langkah.

1. Pemetaan: inventarisasi data, tujuan penggunaan, sistem penyimpanan, dan pihak yang memiliki akses.
2. Analisis kesenjangan: bandingkan praktik saat ini dengan kewajiban yang relevan.
3. Perbaikan: prioritaskan kelemahan berisiko tinggi dan tetapkan penanggung jawab.
4. Evaluasi berkala: perbarui prosedur ketika layanan, sistem, atau aturan berubah.

Jika perusahaan memproses data sensitif atau dalam skala besar, pertimbangkan penilaian risiko yang lebih mendalam dan konsultasi dengan ahli hukum serta keamanan informasi.

Kesimpulan

Kewajiban perusahaan menurut UU PDP mencakup aspek hukum, tata kelola, proses kerja, dan keamanan informasi. Kepatuhan yang baik dimulai dari pemahaman peran, penentuan dasar pemrosesan, transparansi, perlindungan data, dan kesiapan menangani insiden.

Dengan pemetaan dan evaluasi yang teratur, perusahaan dapat membangun pengelolaan data pribadi yang lebih bertanggung jawab serta mengurangi risiko ketidakpatuhan.