Persetujuan Pemrosesan Data Pribadi: Hak dan Kewajiban

Perkembangan teknologi digital membawa perubahan besar terhadap cara masyarakat menjalankan aktivitas sehari-hari. Mulai dari transaksi perbankan, belanja daring, penggunaan media sosial, hingga pendaftaran layanan publik, hampir seluruh aktivitas tersebut melibatkan pertukaran informasi pribadi. Kondisi ini membuat data pribadi memiliki nilai yang semakin penting, baik bagi individu maupun perusahaan. Namun, semakin luas penggunaan data pribadi, semakin besar pula risiko penyalahgunaan informasi, kebocoran data, dan pelanggaran privasi.

Oleh karena itu, persetujuan pemrosesan data pribadi menjadi salah satu aspek penting dalam penyelenggaraan aktivitas digital. Persetujuan tersebut memberikan kendali kepada seseorang atas penggunaan informasi yang berkaitan dengan dirinya. Selain itu, persetujuan juga menjadi salah satu landasan hukum bagi organisasi ketika mereka ingin mengumpulkan, menyimpan, menggunakan, atau mengungkapkan data pribadi.

Di Indonesia, pemerintah mengatur persoalan tersebut melalui Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Regulasi ini mengatur hak subjek data pribadi, dasar pemrosesan data, serta tanggung jawab pihak yang mengelola informasi pribadi.

Dengan demikian, pemahaman mengenai persetujuan pemrosesan data pribadi tidak hanya penting bagi perusahaan, tetapi juga bagi masyarakat. Pengetahuan tersebut membantu setiap pihak memahami batas kewenangan, menjaga keamanan informasi, serta mencegah tindakan yang berpotensi melanggar hukum.

Baca juga : Privasi Data Pribadi: Pengertian, Prinsip, dan Perlindungannya

Pengertian Persetujuan Pemrosesan Data Pribadi

Persetujuan pemrosesan data pribadi merupakan bentuk persetujuan seseorang sebagai subjek data pribadi terhadap aktivitas pengelolaan informasi yang berkaitan dengan dirinya. Aktivitas tersebut mencakup pengumpulan, pencatatan, penyimpanan, perbaikan, penggunaan, pengiriman, pengungkapan, hingga penghapusan data pribadi.

Dalam praktiknya, persetujuan memberikan kewenangan kepada pengendali data pribadi untuk menjalankan pemrosesan sesuai tujuan yang telah mereka jelaskan kepada pemilik data. Namun, kewenangan tersebut tidak bersifat tanpa batas. Pengendali tetap harus memperhatikan tujuan, kebutuhan, relevansi, serta ketentuan hukum yang berlaku.

UU PDP menempatkan persetujuan sebagai salah satu dari 6 dasar pemrosesan data pribadi. Artinya, organisasi tidak selalu membutuhkan persetujuan apabila mereka memiliki dasar hukum lain yang sesuai dengan ketentuan undang-undang.

Meskipun demikian, ketika organisasi memilih persetujuan sebagai dasar pemrosesan, mereka harus memastikan bahwa pemilik data memahami informasi yang mereka berikan. Dengan cara tersebut, persetujuan benar-benar mencerminkan kehendak seseorang, bukan sekadar formalitas untuk memenuhi persyaratan administrasi.

Baca juga : Perlindungan Data Pribadi di Indonesia dan Ketentuan Hukumnya

Dasar Hukum Persetujuan Pemrosesan Data Pribadi di Indonesia

Indonesia memiliki landasan hukum khusus yang mengatur pengelolaan dan pelindungan informasi pribadi melalui UU Nomor 27 Tahun 2022. Undang-undang tersebut memberikan kepastian hukum sekaligus memperkuat hak masyarakat atas privasi.

Secara khusus, Pasal 20 UU PDP mengatur 6 dasar pemrosesan data pribadi, yaitu:

1. Persetujuan yang sah secara eksplisit dari subjek data pribadi untuk tujuan tertentu.
2. Pemenuhan kewajiban perjanjian yang melibatkan subjek data pribadi.
3. Pemenuhan kewajiban hukum pengendali data pribadi.
4. Pelindungan kepentingan vital subjek data pribadi.
5. Pelaksanaan tugas untuk kepentingan umum, pelayanan publik, atau kewenangan berdasarkan peraturan perundang-undangan.
6. Pemenuhan kepentingan sah lainnya dengan mempertimbangkan tujuan, kebutuhan, serta keseimbangan antara kepentingan pengendali dan hak subjek data.

Selain itu, Pasal 21 dan Pasal 22 mengatur kewajiban penyampaian informasi serta mekanisme persetujuan. Kedua pasal tersebut menegaskan bahwa pengendali harus menjelaskan tujuan pemrosesan dan memperoleh persetujuan melalui mekanisme tertulis atau terekam.

Dengan demikian, perusahaan tidak cukup hanya mengumpulkan tanda persetujuan. Mereka juga harus memastikan bahwa proses tersebut memenuhi ketentuan hukum dan memberikan pemahaman yang memadai kepada pemilik data.

Baca juga : Jenis Data Pribadi yang Wajib Dilindungi dan Contoh Informasinya

Syarat Persetujuan Pemrosesan Data Pribadi yang Sah

Tidak semua bentuk persetujuan otomatis memiliki kekuatan hukum. UU PDP menetapkan sejumlah persyaratan agar persetujuan benar-benar mencerminkan kehendak subjek data pribadi.

1. Persetujuan Harus Bersifat Jelas dan Eksplisit

Pengendali data pribadi harus memperoleh persetujuan yang menunjukkan kehendak nyata dari pemilik data. Artinya, seseorang harus memahami tindakan yang mereka setujui sebelum organisasi menjalankan pemrosesan.

Sebagai contoh, perusahaan aplikasi tidak seharusnya menganggap seseorang telah menyetujui penggunaan data untuk pemasaran hanya karena orang tersebut membuat akun. Perusahaan perlu memberikan pilihan persetujuan yang jelas apabila mereka ingin menggunakan data untuk tujuan tambahan tersebut.

2. Tujuan Pemrosesan Harus Spesifik

Selanjutnya, pengendali wajib menjelaskan tujuan pengumpulan dan penggunaan data secara terperinci. Penjelasan tersebut membantu pemilik data memahami alasan organisasi membutuhkan informasi pribadi mereka.

Misalnya, toko daring dapat meminta nama, alamat, dan nomor telepon untuk memproses pesanan serta mengirimkan produk. Namun, penggunaan informasi tersebut untuk promosi pihak ketiga membutuhkan dasar pemrosesan tersendiri yang sesuai dengan ketentuan hukum.

Baca juga : Cara Melindungi Data Pribadi dari Pencurian dan Kebocoran

3. Informasi Harus Mudah Dipahami

Pengendali perlu menyampaikan informasi menggunakan bahasa yang sederhana, jelas, dan mudah diakses. Hindari penggunaan istilah teknis yang berlebihan karena hal tersebut dapat menghambat pemahaman pemilik data.

Selain itu, apabila permintaan persetujuan mencakup tujuan lain, Pasal 22 UU PDP mengharuskan organisasi membedakan permintaan tersebut secara jelas dari hal lainnya.

4. Persetujuan Harus Memiliki Bukti

Pengendali wajib menyimpan bukti persetujuan yang telah mereka peroleh. Bukti tersebut dapat berupa dokumen tertulis, rekaman elektronik, atau catatan digital yang mampu menunjukkan waktu, identitas pemberi persetujuan, dan ruang lingkup persetujuan.

Dengan adanya bukti tersebut, organisasi dapat menunjukkan kepatuhan ketika muncul pemeriksaan, pengaduan, atau sengketa terkait pemrosesan data pribadi.

Baca juga : Tanggung Jawab Perusahaan dalam Menjaga Data Pribadi

Hak Subjek Data Pribadi dalam Proses Pemrosesan

Selain mengatur kewajiban organisasi, UU PDP memberikan berbagai hak kepada masyarakat sebagai pemilik data pribadi. Hak tersebut memungkinkan seseorang mengawasi penggunaan informasi pribadinya sekaligus mengambil tindakan ketika organisasi melakukan pemrosesan yang tidak sesuai ketentuan.

Berikut beberapa hak penting yang perlu masyarakat pahami.

1. Hak Mendapatkan Informasi

Setiap subjek data pribadi berhak mengetahui identitas pihak yang mengumpulkan informasi, dasar hukum pemrosesan, tujuan penggunaan, serta pertanggungjawaban pengelola data.

Hak ini membantu masyarakat memahami siapa yang menguasai informasi pribadi mereka dan untuk kepentingan apa organisasi menggunakan informasi tersebut.

2. Hak Memperbarui dan Memperbaiki Data

Selanjutnya, seseorang berhak melengkapi, memperbarui, atau memperbaiki informasi yang tidak akurat. Hak tersebut sangat penting karena kesalahan data dapat menimbulkan berbagai kerugian.

Sebagai contoh, kesalahan nomor identitas atau alamat dapat menghambat proses administrasi, transaksi keuangan, maupun akses terhadap layanan tertentu.

Baca juga : Kebocoran Data Pribadi: Penyebab, Dampak, dan Solusinya

3. Hak Mengakses dan Memperoleh Salinan Data

Subjek data pribadi berhak mengakses serta memperoleh salinan informasi pribadi yang berkaitan dengan dirinya sesuai ketentuan peraturan perundang-undangan.

Melalui hak tersebut, seseorang dapat mengetahui informasi apa saja yang organisasi kelola dan memastikan kesesuaiannya dengan kondisi sebenarnya.

4. Hak Mengakhiri Pemrosesan dan Menghapus Data

Selain hak akses, pemilik data juga berhak meminta penghentian pemrosesan, penghapusan, atau pemusnahan data pribadi sesuai ketentuan hukum.

Namun, hak ini tetap memperhatikan dasar hukum dan kewajiban tertentu yang mungkin mengharuskan organisasi menyimpan informasi untuk jangka waktu tertentu.

5. Hak Menarik Kembali Persetujuan

Pasal 9 UU PDP memberikan hak kepada subjek data pribadi untuk menarik kembali persetujuan yang sebelumnya mereka berikan.

Oleh karena itu, organisasi perlu menyediakan mekanisme penarikan persetujuan yang mudah dan jelas. Setelah menerima permintaan tersebut, pengendali harus menghentikan pemrosesan yang bergantung pada persetujuan sesuai ketentuan hukum.

6. Hak Mengajukan Keberatan dan Menuntut Ganti Rugi

UU PDP juga memberikan hak kepada masyarakat untuk mengajukan keberatan atas keputusan yang hanya mengandalkan pemrosesan otomatis dan menimbulkan dampak hukum atau pengaruh signifikan.

Selain itu, subjek data pribadi dapat mengajukan gugatan serta meminta ganti rugi apabila pelanggaran pemrosesan data menimbulkan kerugian sesuai ketentuan peraturan perundang-undangan.

Baca juga : Transfer Data Pribadi ke Luar Negeri: Syarat dan Prosedur

Kewajiban Pengendali dan Prosesor Data Pribadi

Pemrosesan data pribadi tidak hanya memberikan hak kepada pemilik informasi, tetapi juga menuntut tanggung jawab dari pihak yang mengelolanya. Dalam UU PDP, terdapat 2 pihak utama yang memiliki peran berbeda, yaitu pengendali data pribadi dan prosesor data pribadi.

Pengendali data pribadi merupakan pihak yang menentukan tujuan dan mengendalikan pemrosesan informasi. Sementara itu, prosesor data pribadi menjalankan pemrosesan atas nama pengendali berdasarkan instruksi yang mereka terima.

1. Kewajiban Pengendali Data Pribadi

Pengendali memiliki tanggung jawab utama untuk memastikan seluruh aktivitas pemrosesan berjalan sesuai ketentuan hukum. Beberapa kewajibannya meliputi:

1. Menentukan dan memiliki dasar hukum pemrosesan data pribadi.
2. Menjelaskan tujuan, jenis, dan jangka waktu pemrosesan kepada subjek data.
3. Memastikan keakuratan, kelengkapan, serta konsistensi data pribadi.
4. Menjaga keamanan dan kerahasiaan informasi pribadi.
5. Mencegah akses tanpa hak terhadap data pribadi.
6. Menyimpan bukti persetujuan apabila organisasi menggunakan persetujuan sebagai dasar pemrosesan.
7. Menyediakan mekanisme bagi pemilik data untuk menjalankan haknya.
8. Menangani insiden pelindungan data sesuai ketentuan undang-undang.

Selain itu, pengendali harus mengevaluasi setiap aktivitas pengelolaan informasi agar tidak melampaui tujuan awal pemrosesan.

Baca juga : Petugas Perlindungan Data Pribadi : Fungsi dan Tanggung Jawab

2. Kewajiban Prosesor Data Pribadi

Sementara itu, prosesor bertanggung jawab menjalankan instruksi pengendali sesuai ruang lingkup kerja sama. Prosesor tidak boleh menggunakan informasi pribadi untuk kepentingannya sendiri tanpa dasar hukum yang sesuai.

Apabila prosesor ingin melibatkan prosesor lain, mereka harus memperoleh persetujuan tertulis dari pengendali. Selanjutnya, prosesor juga wajib menjaga keamanan informasi dan mematuhi ketentuan pelindungan data pribadi.

Pembagian tanggung jawab ini sangat penting, terutama bagi perusahaan yang menggunakan layanan penyimpanan awan, penyedia sistem pembayaran, atau penyedia teknologi pihak ketiga.

Risiko dan Konsekuensi Pelanggaran Persetujuan Data Pribadi

Pelanggaran persetujuan pemrosesan data pribadi dapat menimbulkan konsekuensi hukum, kerugian finansial, dan penurunan kepercayaan masyarakat. Oleh sebab itu, setiap organisasi perlu memahami risiko yang muncul ketika mereka mengabaikan ketentuan UU PDP.

Salah satu konsekuensi penting berkaitan dengan keabsahan persetujuan. Pasal 22 ayat (5) menyatakan bahwa persetujuan yang tidak memenuhi ketentuan sebagaimana ayat (1) dan ayat (4) batal demi hukum. Selain itu, Pasal 23 juga menyatakan bahwa klausul perjanjian yang meminta pemrosesan data tanpa persetujuan sah secara eksplisit batal demi hukum.

UU PDP juga mengatur sanksi administratif, seperti peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, hingga denda administratif. Besaran denda dapat mencapai 2% dari pendapatan tahunan atau penerimaan tahunan sesuai variabel pelanggaran.

Lebih lanjut, undang-undang tersebut memuat ketentuan pidana untuk sejumlah perbuatan terlarang, termasuk memperoleh, mengungkapkan, atau menggunakan data pribadi secara melawan hukum.

Dengan demikian, organisasi perlu memperlakukan kepatuhan terhadap pelindungan data sebagai bagian penting dari manajemen risiko perusahaan, bukan sekadar kewajiban administratif.

Baca juga : Data Protection Impact Assessment: Tujuan dan Tahapannya

Langkah Menerapkan Persetujuan Pemrosesan Data Pribadi secara Bertanggung Jawab

Agar aktivitas pemrosesan berjalan sesuai ketentuan, perusahaan perlu membangun sistem persetujuan yang transparan dan mudah dipahami. Penerapan tersebut juga harus melibatkan seluruh bagian organisasi yang memiliki akses terhadap informasi pribadi.

Berikut beberapa langkah yang dapat perusahaan terapkan:

1. Identifikasi jenis data pribadi. Perusahaan perlu memetakan informasi yang mereka kumpulkan, mulai dari identitas dasar hingga data pribadi yang bersifat spesifik.
2. Tentukan dasar pemrosesan. Pastikan setiap aktivitas memiliki dasar hukum yang sesuai dengan Pasal 20 UU PDP. Jangan selalu menggunakan persetujuan apabila dasar hukum lain lebih tepat.
3. Susun pemberitahuan privasi. Jelaskan tujuan, jenis data, jangka waktu penyimpanan, dan hak pemilik data menggunakan bahasa sederhana.
4. Sediakan pilihan persetujuan yang jelas. Pisahkan persetujuan untuk tujuan utama dan tujuan tambahan agar seseorang dapat menentukan pilihannya secara mandiri.
5. Simpan bukti persetujuan. Bangun sistem pencatatan yang mampu menunjukkan waktu, ruang lingkup, serta perubahan status persetujuan.
6. Sediakan mekanisme penarikan persetujuan. Pastikan pemilik data dapat mengajukan permintaan melalui saluran yang mudah mereka akses.
7. Evaluasi keamanan secara berkala. Lakukan pemeriksaan terhadap sistem penyimpanan, akses karyawan, serta kerja sama dengan pihak ketiga.

Melalui langkah tersebut, perusahaan dapat memperkuat kepatuhan sekaligus membangun hubungan yang lebih sehat dengan pelanggan dan mitra bisnis.

Baca juga : Audit Data Pribadi Perusahaan: Prosedur dan Kepatuhan

kegunaan Persetujuan pemrosesan data

Persetujuan pemrosesan data pribadi memiliki peran penting dalam menjaga keseimbangan antara kebutuhan organisasi dan hak individu atas privasi. Melalui persetujuan yang sah, seseorang dapat memahami tujuan penggunaan informasi sekaligus menentukan apakah mereka bersedia memberikan kewenangan kepada pengendali data.

Namun, persetujuan bukan satu-satunya dasar hukum pemrosesan. UU Nomor 27 Tahun 2022 juga mengakui 5 dasar lainnya, sehingga setiap organisasi harus menentukan landasan hukum yang tepat sebelum mengelola informasi pribadi.

Di sisi lain, masyarakat perlu memahami hak untuk memperoleh informasi, memperbaiki data, mengakses salinan, menarik persetujuan, serta mengajukan keberatan atau tuntutan ganti rugi sesuai ketentuan hukum.

Pada akhirnya, pelindungan data pribadi membutuhkan tanggung jawab bersama. Perusahaan harus mengutamakan transparansi, keamanan, dan kepatuhan, sedangkan masyarakat perlu meningkatkan kesadaran sebelum memberikan informasi pribadi kepada pihak lain. Dengan demikian, persetujuan pemrosesan data pribadi tidak hanya menjadi formalitas hukum, tetapi juga menjadi landasan penting bagi terciptanya ekosistem digital yang aman, terpercaya, dan bertanggung jawab.

Konsultasikan Pengurusan Dokumen Anda Sekarang