Kewajiban Perlindungan Data Pribadi bagi Perusahaan

Kewajiban perlindungan data pribadi bagi perusahaan dan penyedia jasa menjadi hal penting di tengah meningkatnya penggunaan teknologi digital dan layanan berbasis data. Maka, Dalam menjalankan kegiatan usaha, perusahaan sering mengumpulkan informasi pelanggan, karyawan, mitra bisnis, hingga calon pengguna layanan. Data tersebut dapat berupa nama lengkap, nomor telepon, alamat, NIK, informasi rekening, dokumen identitas, dan informasi lain yang berkaitan dengan seseorang.

Pengumpulan dan penggunaan data pribadi memang dapat di perlukan untuk menjalankan layanan. Namun, perusahaan tidak boleh menggunakan informasi tersebut secara sembarangan. Maka, Data harus di proses berdasarkan dasar yang sah, di gunakan sesuai tujuan, dan di lindungi dari akses maupun penggunaan yang tidak berwenang.

Di Indonesia, perlindungan data pribadi di atur melalui Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Maka, Aturan ini mengatur hak pemilik data serta kewajiban pihak yang menentukan tujuan dan mengendalikan pemrosesan data maupun pihak yang memproses data atas nama pihak lain.

Artikel ini membahas kewajiban perlindungan data pribadi bagi perusahaan dan penyedia jasa, mulai dari pengumpulan data, persetujuan, keamanan penyimpanan, kerja sama dengan pihak ketiga, hingga penanganan kebocoran data.

Baca Juga : Cara Melaporkan Kebocoran Data Pribadi di Indonesia

Apa Itu Kewajiban Perlindungan Data Pribadi bagi Perusahaan?

Kewajiban perlindungan data pribadi adalah tanggung jawab hukum dan operasional untuk memastikan data pribadi di proses secara sah, transparan, aman, dan sesuai dengan ketentuan yang berlaku.

Dalam kegiatan bisnis, kewajiban ini tidak hanya berlaku bagi perusahaan teknologi atau platform digital. Perusahaan di bidang perdagangan, keuangan, pendidikan, kesehatan, perjalanan, pengurusan dokumen, hingga penyedia jasa profesional juga perlu memperhatikan perlindungan data pribadi apabila melakukan pemrosesan data.

Contoh kegiatan yang melibatkan pemrosesan data pribadi antara lain:

• Mengumpulkan nama dan nomor telepon pelanggan.
• Menyimpan data karyawan untuk keperluan administrasi penggajian.
• Meminta salinan KTP atau paspor untuk proses verifikasi.
• Menggunakan alamat email untuk mengirim informasi layanan.
• Mengelola dokumen pelanggan untuk keperluan legalisasi atau penerjemahan.
• Membagikan data kepada mitra yang terlibat dalam pelaksanaan layanan.
• Menyimpan riwayat transaksi atau komunikasi dengan pelanggan.

Perusahaan perlu memahami perannya dalam setiap kegiatan tersebut. Jika perusahaan menentukan tujuan dan melakukan kendali atas pemrosesan, perusahaan dapat berkedudukan sebagai pengendali data pribadi. Jika perusahaan memproses data atas nama pengendali, perusahaan dapat berkedudukan sebagai prosesor data pribadi.

Kedudukan tersebut penting karena menentukan tanggung jawab dan kewajiban yang harus di penuhi berdasarkan UU PDP.

Baca Juga : Perlindungan Data Pribadi dalam Pengurusan Dokumen Resmi

Dasar Hukum Perlindungan Data Pribadi bagi Perusahaan dan Penyedia Jasa

Dasar hukum utama perlindungan data pribadi di Indonesia adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

UU PDP mengatur berbagai aspek pemrosesan data, termasuk dasar pemrosesan yang sah, hak subjek data pribadi, kewajiban pengendali dan prosesor data, keamanan data, serta penanganan kegagalan pelindungan data pribadi.

Dalam penerapannya, perusahaan perlu memperhatikan beberapa prinsip berikut:

• Dasar pemrosesan yang sah: Data pribadi harus di proses berdasarkan salah satu dasar yang di akui undang-undang.
• Kesesuaian tujuan: Data di gunakan sesuai tujuan pemrosesan yang sah dan telah di jelaskan sebagaimana di wajibkan.
• Keamanan data: Data harus di lindungi melalui langkah teknis dan organisasi yang sesuai dengan risiko.
• Akuntabilitas: Perusahaan perlu mampu menunjukkan bahwa kewajiban pelindungan data telah di jalankan.
• Pemenuhan hak pemilik data: Permintaan akses, koreksi, atau tindakan lain harus di tangani sesuai ketentuan hukum.

Persetujuan merupakan salah satu dasar pemrosesan data pribadi, tetapi bukan satu-satunya. Dasar lain dapat mencakup pelaksanaan perjanjian, pemenuhan kewajiban hukum, kepentingan vital, pelaksanaan tugas untuk kepentingan umum atau kewenangan berdasarkan hukum, serta kepentingan sah sesuai persyaratan undang-undang.

Karena itu, perusahaan tidak cukup hanya mencantumkan kalimat persetujuan pada formulir. Perusahaan juga perlu memastikan bahwa pemrosesan data memiliki dasar yang tepat dan di laksanakan sesuai ketentuan yang berlaku.

Naskah resmi UU PDP dapat di baca melalui situs Badan Pemeriksa Keuangan.

Baca Juga : Apa yang Harus Dilakukan Jika Data Pribadi Disalahgunakan?

Kewajiban Perusahaan dalam Mengumpulkan Data Pribadi

Perusahaan perlu memastikan bahwa pengumpulan data pribadi di lakukan secara sah dan sesuai kebutuhan layanan. Mengumpulkan data sebanyak mungkin tanpa tujuan yang jelas dapat meningkatkan risiko kebocoran serta penyalahgunaan informasi.

Beberapa kewajiban dan langkah yang perlu di perhatikan meliputi:

• Menentukan tujuan pengumpulan data sebelum meminta informasi dari pelanggan atau karyawan.
• Menentukan dasar pemrosesan yang sah sesuai UU PDP.
• Memberikan informasi yang di wajibkan mengenai identitas pengendali, tujuan pemrosesan, dan hal relevan lainnya.
• Mengumpulkan data yang relevan dengan kebutuhan dan tujuan yang sah.
• Memastikan data yang di kumpulkan akurat dan di perbarui apabila di perlukan.
• Membatasi akses terhadap data hanya kepada pihak yang membutuhkannya.
• Menyimpan catatan pemrosesan sesuai kewajiban yang berlaku.

Sebagai contoh, penyedia jasa pengurusan dokumen mungkin memerlukan salinan paspor untuk memproses permohonan visa. Namun, perusahaan tetap perlu menjelaskan alasan dokumen tersebut dibutuhkan, bagaimana dokumen akan di gunakan, dan kepada siapa data akan di serahkan jika melibatkan pihak lain.

Apabila informasi tambahan di minta, perusahaan sebaiknya dapat menjelaskan hubungan informasi tersebut dengan tujuan layanan. Pendekatan ini membantu menjaga kepercayaan pelanggan sekaligus mengurangi risiko pengumpulan data yang tidak di perlukan.

Baca Juga : Hak Subjek Data Pribadi dan Penghapusan Data

Kewajiban Menjaga Keamanan dan Kerahasiaan Data Pribadi

Keamanan data pribadi merupakan salah satu aspek penting dalam operasional perusahaan. Data yang terkumpul dapat berisiko apabila di simpan tanpa perlindungan memadai, di akses oleh pihak yang tidak berwenang, atau di kirim melalui saluran yang tidak aman.

Perusahaan perlu menerapkan langkah teknis dan organisasi yang sesuai dengan sifat, jumlah, serta risiko pemrosesan data.

Contoh langkah perlindungan yang dapat di terapkan adalah:

• Menggunakan kata sandi yang kuat dan autentikasi multifaktor.
• Membatasi hak akses karyawan berdasarkan tanggung jawab pekerjaan.
• Mengenkripsi data ketika di perlukan berdasarkan penilaian risiko.
• Melakukan pencadangan data dan menguji pemulihannya secara berkala.
• Memperbarui sistem operasi, aplikasi, dan perangkat lunak keamanan.
• Menggunakan sistem penyimpanan yang memiliki pengamanan memadai.
• Mencatat dan memantau akses terhadap informasi penting.
• Memberikan pelatihan kepada karyawan mengenai keamanan informasi.
• Menyediakan prosedur penanganan insiden keamanan.

Perlindungan tidak hanya berlaku untuk sistem digital. Dokumen fisik seperti KTP, KK, paspor, kontrak, dan formulir pelanggan juga harus di simpan di tempat yang aman serta tidak di biarkan terbuka untuk orang yang tidak berkepentingan.

Perusahaan juga perlu memiliki prosedur pengembalian, pemusnahan, atau penghapusan data ketika data tidak lagi diperlukan, dengan tetap memperhatikan kewajiban penyimpanan berdasarkan hukum yang berlaku.

Baca Juga : Cara Mencegah Kebocoran Data Pribadi dan Pencurian Identitas

Kewajiban Mengelola Persetujuan Penggunaan Data Pribadi

Dalam kondisi ketika persetujuan menjadi dasar pemrosesan, perusahaan wajib memperhatikan ketentuan mengenai persetujuan yang sah berdasarkan UU PDP.

Persetujuan seharusnya di berikan secara sah, eksplisit, dan dapat di buktikan sesuai ketentuan yang berlaku. Pemilik data juga perlu memperoleh informasi yang memadai agar memahami tujuan penggunaan datanya.

Hal-hal yang perlu di perhatikan perusahaan antara lain:

• Menjelaskan tujuan pemrosesan dengan bahasa yang mudah di pahami.
• Memisahkan tujuan yang berbeda apabila di perlukan agar persetujuan tidak membingungkan.
• Menyimpan bukti persetujuan sesuai kebutuhan dan ketentuan hukum.
• Menyediakan mekanisme untuk menarik persetujuan jika persetujuan menjadi dasar pemrosesan.
• Menindaklanjuti penarikan persetujuan sesuai ketentuan dan dampaknya terhadap pemrosesan.
• Tidak menganggap persetujuan sebagai pembenaran untuk penggunaan data di luar tujuan yang sah.

Sebagai contoh, pelanggan memberikan data kepada perusahaan untuk menyelesaikan transaksi. Data tersebut tidak otomatis boleh di gunakan untuk tujuan pemasaran yang tidak berkaitan apabila tidak terdapat dasar pemrosesan yang sah untuk tujuan tambahan tersebut.

Perusahaan juga perlu memahami bahwa penarikan persetujuan tidak selalu mengharuskan seluruh data di hapus seketika. Pengelolaan data setelah penarikan harus memperhatikan dasar pemrosesan lain yang mungkin berlaku serta kewajiban hukum perusahaan.

Baca Juga : UU Perlindungan Data Pribadi Hak dan Kewajiban Menurut UU

Kewajiban Perusahaan dalam Menyimpan dan Menghapus Data Pribadi

Data pribadi tidak seharusnya di simpan tanpa batas waktu hanya karena perusahaan memiliki kapasitas penyimpanan. Perusahaan perlu menentukan masa retensi berdasarkan tujuan pemrosesan, kebutuhan operasional yang sah, dan kewajiban hukum yang berlaku.

Beberapa langkah yang dapat di lakukan meliputi:

• Menetapkan kebijakan retensi data untuk setiap kategori informasi.
• Mengidentifikasi data yang masih di butuhkan untuk layanan atau kewajiban hukum.
• Membatasi akses terhadap arsip yang sudah tidak di gunakan secara aktif.
• Menghapus atau memusnahkan data yang tidak lagi di perlukan apabila tidak ada kewajiban sah untuk menyimpannya.
• Memastikan penghapusan dilakukan secara aman, termasuk terhadap salinan yang berada dalam sistem lain sesuai kebijakan dan kemampuan teknis.
• Mendokumentasikan proses penghapusan apabila di perlukan untuk akuntabilitas.

Sebagai contoh, perusahaan pengurusan dokumen mungkin menyimpan salinan paspor pelanggan selama proses visa berlangsung. Setelah layanan selesai, perusahaan perlu menilai apakah dokumen masih harus di simpan untuk memenuhi kewajiban tertentu atau dapat di hapus sesuai kebijakan retensi yang sah.

Perlu di ingat bahwa hak untuk meminta penghapusan data pribadi memiliki persyaratan dan batasan berdasarkan undang-undang. Perusahaan harus menilai setiap permintaan sesuai keadaan, bukan otomatis menolak atau mengabulkan seluruh permintaan tanpa pemeriksaan.

Baca Juga : Cara Melindungi Data Pribadi pada KTP, NIK, dan Kartu Keluarga

Tanggung Jawab Perusahaan saat Bekerja Sama dengan Penyedia Jasa Pihak Ketiga

Banyak perusahaan menggunakan pihak ketiga untuk menjalankan kegiatan operasional. Contohnya adalah penyedia layanan cloud, perusahaan penggajian, pusat layanan pelanggan, biro pengurusan dokumen, penerjemah tersumpah, atau mitra pemasaran.

Kerja sama tersebut dapat melibatkan akses terhadap data pelanggan maupun karyawan. Oleh karena itu, perusahaan perlu memastikan pembagian peran dan tanggung jawab perlindungan data jelas.

Langkah yang dapat dilakukan antara lain:

• Memeriksa reputasi dan kemampuan keamanan penyedia jasa.
• Menentukan data apa saja yang boleh di akses atau di proses.
• Menetapkan tujuan dan batas penggunaan data dalam perjanjian.
• Mengatur kewajiban kerahasiaan serta langkah keamanan yang harus di terapkan.
• Menentukan prosedur pelaporan insiden dan kerja sama penanganannya.
• Mengatur pengembalian atau penghapusan data setelah layanan berakhir.
• Memastikan akses pihak ketiga di hentikan ketika tidak lagi di butuhkan.
• Memperhatikan ketentuan transfer data pribadi jika data di kirim atau di akses dari luar Indonesia.

Perusahaan tidak seharusnya menganggap bahwa tanggung jawab perlindungan data otomatis beralih seluruhnya kepada penyedia jasa hanya karena pengolahan di lakukan oleh pihak ketiga.

Tanggung jawab setiap pihak perlu di tentukan berdasarkan peran dan ketentuan UU PDP. Perjanjian tertulis dapat membantu memperjelas kewajiban, tetapi tidak dapat menghapus kewajiban hukum yang tetap melekat pada masing-masing pihak.

Baca Juga : Perlindungan Data Pribadi, Dasar Hukum dan Cara Melindunginya

Kewajiban Menangani Kebocoran Data Pribadi

Perusahaan perlu memiliki prosedur untuk menghadapi kegagalan pelindungan data pribadi. Insiden dapat berupa akses tanpa izin, pencurian perangkat, kesalahan pengiriman berkas, peretasan sistem, atau terbukanya dokumen yang seharusnya di batasi.

Langkah penanganan yang dapat di terapkan meliputi:

• Mengidentifikasi dan membatasi sumber insiden.
• Mengamankan sistem, akun, dan dokumen yang terdampak.
• Menilai jenis data, jumlah subjek data, dan potensi dampak insiden.
• Menyimpan bukti untuk keperluan pemeriksaan.
• Menentukan langkah pemulihan dan pencegahan insiden berulang.
• Menyiapkan komunikasi dengan pihak yang terdampak.
• Melakukan evaluasi dan memperbaiki kelemahan sistem atau prosedur.

Pasal 46 UU PDP mengatur bahwa pengendali data pribadi wajib memberikan pemberitahuan tertulis mengenai kegagalan pelindungan data pribadi paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga yang berwenang sesuai ketentuan undang-undang.

Pemberitahuan tersebut sekurang-kurangnya mencakup data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan. Karena itu, perusahaan perlu memiliki prosedur internal yang memungkinkan insiden segera di nilai dan di tindaklanjuti.

Perusahaan juga tidak seharusnya menunggu sampai seluruh penyelidikan teknis selesai sebelum memulai proses yang di perlukan untuk memenuhi kewajiban hukum. Penanganan harus dilakukan secara cepat, terukur, dan berdasarkan informasi yang dapat di pertanggungjawabkan.

Baca Juga : Persetujuan Penggunaan Data Pribadi Tujuan, dan Batasannya

Hak Pelanggan dan Karyawan atas Data Pribadi

Perusahaan perlu menghormati hak subjek data pribadi, baik pelanggan, karyawan, calon pelanggan, maupun pihak lain yang datanya di proses.

Hak-hak yang di atur dalam UU PDP mencakup sejumlah hal, seperti memperoleh informasi tentang pemrosesan, mengakses data pribadi, memperbaiki data yang tidak akurat, menarik persetujuan apabila persetujuan menjadi dasar pemrosesan, serta meminta penghentian pemrosesan atau penghapusan dalam kondisi yang di atur undang-undang.

Pemilik data juga memiliki hak tertentu untuk mengajukan keberatan terhadap keputusan yang hanya di dasarkan pada pemrosesan otomatis, mengajukan pengaduan, dan menempuh upaya hukum sesuai ketentuan yang berlaku.

Agar hak tersebut dapat di gunakan, perusahaan sebaiknya menyediakan mekanisme permintaan yang jelas, misalnya melalui alamat email khusus, formulir pengaduan, atau unit layanan yang bertanggung jawab.

Prosedur internal idealnya mencakup:

• Cara menerima dan memverifikasi permintaan.
• Cara menentukan apakah permintaan dapat di penuhi berdasarkan hukum.
• Batas waktu penanganan sesuai ketentuan yang berlaku.
• Cara menyampaikan hasil kepada pemohon.
• Prosedur eskalasi jika terjadi perselisihan atau permintaan yang kompleks.

Verifikasi identitas pemohon perlu dilakukan secara proporsional. Perusahaan harus menghindari meminta data tambahan yang berlebihan hanya untuk memproses permintaan terkait hak subjek data.

Baca Juga : Perlindungan Data Pribadi dalam Pengiriman Dokumen

Sanksi dan Risiko Jika Perusahaan Tidak Melindungi Data Pribadi

Kegagalan memenuhi kewajiban pelindungan data pribadi dapat menimbulkan konsekuensi hukum, finansial, dan reputasi bagi perusahaan maupun pihak terkait.

UU PDP mengatur sanksi administratif, termasuk peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi dalam kondisi yang di tentukan, serta denda administratif sesuai ketentuan undang-undang.

UU PDP juga memuat ketentuan pidana untuk perbuatan tertentu yang memenuhi unsur pelanggaran pidana. Namun, tidak setiap insiden kebocoran otomatis merupakan tindak pidana. Penentuan tanggung jawab dan sanksi bergantung pada fakta, peran pihak terkait, serta ketentuan hukum yang berlaku.

Selain konsekuensi hukum, perusahaan dapat menghadapi risiko lain, seperti:

• Hilangnya kepercayaan pelanggan.
• Penghentian atau terganggunya operasional.
• Biaya investigasi dan pemulihan sistem.
• Sengketa dengan pelanggan atau mitra.
• Kerugian finansial akibat penipuan atau tuntutan.
• Kerusakan reputasi perusahaan dalam jangka panjang.

Untuk mengurangi risiko tersebut, perusahaan sebaiknya melakukan evaluasi berkala terhadap kebijakan privasi, pengamanan sistem, kontrak dengan pihak ketiga, dan prosedur penanganan insiden. Kebutuhan pengawasan khusus atau pejabat pelindungan data pribadi juga perlu di nilai sesuai kriteria yang di tentukan UU PDP.

Kewajiban perlindungan data pribadi bagi perusahaan dan penyedia jasa mencakup seluruh proses pengelolaan data, mulai dari pengumpulan, penggunaan, penyimpanan, pembagian kepada pihak ketiga, hingga penghapusan dan penanganan insiden.

Melalui UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, perusahaan perlu memastikan pemrosesan data memiliki dasar yang sah, tujuan yang jelas, pengamanan yang memadai, serta mekanisme untuk memenuhi hak pemilik data.

Perusahaan juga perlu menetapkan kebijakan internal, melatih karyawan, mengawasi penyedia jasa, dan menyiapkan prosedur penanganan kebocoran data. Upaya tersebut bukan hanya membantu memenuhi kewajiban hukum, tetapi juga menjaga kepercayaan pelanggan, karyawan, dan mitra bisnis.

Dengan menerapkan perlindungan data pribadi secara konsisten, perusahaan dan penyedia jasa dapat menjalankan kegiatan usaha dengan lebih bertanggung jawab sekaligus mengurangi risiko penyalahgunaan informasi.

Konsultasikan Permasalahan Data Pribadi Anda sekarang.