Apa itu UU PDP dan apa kewajiban organisasi yang mengelola data pribadi

Hampir setiap organisasi mengelola data pribadi: data pegawai, data pelanggan, data peserta, atau data warga yang dilayani. Sejak Indonesia memiliki undang-undang khusus tentang pelindungan data pribadi, mengelola data seperti ini tidak lagi sekadar urusan teknis, melainkan kewajiban hukum

Artikel ini menjelaskan UU PDP secara ringkas dan apa saja yang perlu disiapkan organisasi

Apa itu UU PDP?

UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang disahkan pada Oktober 2022. Undang-undang ini memberi masa penyesuaian dua tahun sejak diundangkan, sehingga sejak Oktober 2024 semua pihak yang memproses data pribadi wajib mematuhinya

Aturan pelaksananya, yaitu Peraturan Pemerintah Nomor 33 Tahun 2026, ditetapkan pada 16 Juli 2026 dan mulai berlaku pada 16 Januari 2027. PP ini merinci tata cara pemenuhan hak pemilik data, penilaian dampak, pejabat pelindungan data, transfer data ke luar negeri, dan pemberitahuan kebocoran

Istilah yang perlu dipahami

• Data pribadi: data tentang orang perseorangan yang bisa dikenali, baik secara langsung maupun jika digabungkan dengan informasi lain
• Subjek data pribadi: orang yang datanya diproses, misalnya pegawai, pelanggan, atau warga
• Pengendali data pribadi: pihak yang menentukan tujuan dan cara pemrosesan data, biasanya organisasi itu sendiri
• Prosesor data pribadi: pihak yang memproses data atas nama pengendali, misalnya penyedia aplikasi atau layanan cloud

Data umum dan data spesifik

UU PDP membagi data pribadi menjadi dua jenis:

• Data umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengidentifikasi seseorang
• Data spesifik, yaitu data kesehatan, biometrik, genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai peraturan

Data spesifik membutuhkan perlindungan yang lebih ketat karena dampaknya lebih besar bila bocor atau disalahgunakan

Kewajiban utama organisasi

Sebagai pengendali data pribadi, organisasi antara lain wajib:

1. Memiliki dasar yang sah untuk memproses data, misalnya persetujuan, perjanjian, atau kewajiban hukum
2. Transparan tentang data apa yang dikumpulkan, untuk apa, dan berapa lama disimpan
3. Menjaga keamanan data dari akses, perubahan, dan pengungkapan yang tidak sah
4. Memenuhi hak pemilik data, seperti hak mengakses, memperbaiki, dan menarik persetujuan
5. Memberitahukan kegagalan pelindungan data secara tertulis paling lambat 3 × 24 jam kepada pemilik data dan lembaga pengawas
6. Melakukan penilaian dampak sebelum pemrosesan yang berisiko tinggi
7. Menunjuk pejabat pelindungan data pribadi dalam kondisi tertentu, termasuk pemrosesan data untuk pelayanan publik
8. Mencatat aktivitas pemrosesan dan memastikan prosesor yang ditunjuk juga menjaga data dengan baik

Sanksinya

UU PDP mengatur sanksi administratif, mulai dari peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, sampai denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan. Selain itu ada ancaman pidana bagi perbuatan seperti memperoleh, mengungkapkan, atau menggunakan data pribadi orang lain secara melawan hukum

Pengawasan dilakukan oleh lembaga yang dibentuk Presiden. Sebagian aturan teknisnya masih akan diatur lebih lanjut oleh lembaga tersebut, jadi perkembangannya perlu terus dipantau

Langkah praktis yang bisa dimulai sekarang

1. Inventaris data: catat data pribadi apa saja yang dikelola, di aplikasi mana, dan siapa yang bisa mengaksesnya
2. Petakan alur data: dari mana data masuk, ke mana data dikirim, dan kapan dihapus
3. Perbarui pemberitahuan privasi dan formulir persetujuan
4. Perkuat keamanan sistem: hak akses sesuai kebutuhan, enkripsi, pencatatan akses, dan backup
5. Siapkan prosedur insiden agar kebocoran bisa ditangani dan dilaporkan dalam batas waktu
6. Latih pegawai, karena banyak kebocoran berawal dari kelalaian, seperti dibahas di artikel cara mengenali email phishing
7. Tinjau kontrak dengan penyedia layanan yang ikut memproses data

Peran sistem dan aplikasi

Banyak kewajiban UU PDP hanya bisa dipenuhi bila sistemnya mendukung: pencatatan persetujuan, pembatasan hak akses, log aktivitas, penghapusan data sesuai jadwal, dan kemampuan menampilkan data milik seseorang ketika diminta. Aplikasi lama sering belum memiliki fitur ini

Kami membantu organisasi membangun aplikasi yang mendukung pelindungan data sejak awal lewat layanan pengembangan software custom, dan memperbarui aplikasi yang sudah berjalan lewat layanan modernisasi dan integrasi sistem

Catatan

Artikel ini adalah penjelasan umum, bukan nasihat hukum. Untuk kepastian, rujuk teks resmi UU Nomor 27 Tahun 2022 dan PP Nomor 33 Tahun 2026 di laman JDIH seperti peraturan.go.id atau peraturan.bpk.go.id, atau konsultasikan dengan ahli hukum