UU Perlindungan Data Pribadi Hak dan Kewajiban Menurut UU

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memberikan dasar hukum bagi perlindungan informasi pribadi di Indonesia. Undang-undang ini mengatur hak masyarakat sebagai subjek data, dasar pemrosesan yang sah, kewajiban pengendali dan prosesor, penanganan kegagalan pelindungan data, serta sanksi atas pelanggaran tertentu.

Perlindungan data pribadi menjadi hal penting di tengah meningkatnya penggunaan layanan digital, transaksi elektronik, dan pengurusan dokumen secara online. Maka, Berbagai informasi seperti nama lengkap, nomor induk kependudukan (NIK), alamat, nomor telepon, data keuangan, hingga informasi kesehatan dapat di kumpulkan dan di gunakan oleh perusahaan, lembaga pemerintah, maupun penyedia layanan lainnya.

Untuk memberikan kepastian hukum dalam pengelolaan informasi tersebut, Indonesia memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Maka, Undang-undang ini mengatur hak pemilik data, kewajiban pihak yang memproses data, dasar pemrosesan yang sah, hingga sanksi atas pelanggaran tertentu. UU tersebut mulai berlaku pada 17 Oktober 2022.

Artikel ini membahas isi UU Perlindungan Data Pribadi, hak masyarakat sebagai pemilik data, kewajiban perusahaan atau lembaga, serta langkah yang dapat di lakukan apabila data pribadi di salahgunakan.

Baca Juga : Cara Melindungi Data Pribadi pada KTP, NIK, dan Kartu Keluarga

Apa Itu UU Perlindungan Data Pribadi Nomor 27 Tahun 2022?

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi merupakan landasan hukum yang mengatur perlindungan informasi pribadi dalam rangkaian pemrosesan data. Maka, Tujuannya adalah menjamin hak individu atas perlindungan diri pribadi sekaligus memberikan aturan mengenai cara data pribadi di kumpulkan, di gunakan, di simpan, di bagikan, dan di hapus.

Undang-undang ini berlaku dalam berbagai kegiatan pemrosesan data pribadi yang di lakukan oleh individu, badan publik, badan usaha, dan organisasi internasional sesuai ketentuan yang berlaku.

Beberapa hal utama yang di atur dalam UU PDP meliputi:

• Jenis dan kategori data pribadi.
• Hak subjek data pribadi.
• Dasar hukum pemrosesan data pribadi.
• Kewajiban pengendali dan prosesor data pribadi.
• Pengiriman data pribadi ke luar wilayah Indonesia.
• Penanganan kegagalan pelindungan data pribadi.
• Penyelesaian sengketa dan ganti rugi.
• Sanksi administratif dan ketentuan pidana atas pelanggaran tertentu.

Dengan adanya undang-undang ini, pengumpulan data tidak boleh di lakukan secara sembarangan. Maka, Pihak yang memproses data harus memiliki dasar pemrosesan yang sah dan menjalankan kewajibannya sesuai ketentuan hukum.

Baca Juga : Perlindungan Data Pribadi, Dasar Hukum dan Cara Melindunginya

Jenis Data Pribadi Menurut UU PDP

UU Nomor 27 Tahun 2022 membagi data pribadi menjadi dua kategori utama, yaitu data pribadi yang bersifat spesifik dan data pribadi yang bersifat umum.

Data pribadi yang bersifat spesifik merupakan informasi yang membutuhkan perhatian khusus karena sifat atau risiko penggunaannya. Maka, Contohnya meliputi:

• Data dan informasi kesehatan.
• Data biometrik, seperti karakteristik fisik yang di gunakan untuk mengenali seseorang.
• Data genetika.
• Catatan kejahatan.
• Data anak.
• Data keuangan pribadi.
• Data lainnya yang di tetapkan sebagai data pribadi spesifik berdasarkan peraturan perundang-undangan.

Sementara itu, data pribadi yang bersifat umum antara lain:

• Nama lengkap.
• Jenis kelamin.
• Kewarganegaraan.
• Agama.
• Status perkawinan.
• Informasi lain yang di kombinasikan sehingga dapat mengidentifikasi seseorang.

Contoh lainnya adalah NIK, alamat, nomor telepon, dan informasi pada dokumen identitas yang dapat mengarah pada identifikasi seseorang. Maka, Penggolongan dan perlakuan terhadap setiap informasi tetap perlu memperhatikan definisi serta ketentuan hukum yang berlaku.

Memahami jenis data pribadi membantu masyarakat lebih berhati-hati ketika menyerahkan salinan KTP, kartu keluarga, paspor, rekening bank, atau dokumen lain kepada pihak yang meminta.

Baca Juga : Cara Mencegah Kebocoran Data Pribadi dan Pencurian Identitas

Hak Subjek Data Pribadi Menurut UU Nomor 27 Tahun 2022

Subjek data pribadi adalah orang perseorangan yang data pribadinya di proses. Maka, UU PDP memberikan sejumlah hak kepada pemilik data agar dapat mengetahui dan mengendalikan penggunaan informasi tentang dirinya sesuai ketentuan hukum.

Berikut beberapa hak yang di atur dalam undang-undang tersebut:

• Hak mendapatkan informasi: mengetahui kejelasan identitas pihak yang meminta data, dasar kepentingan hukum, tujuan permintaan, dan pertanggungjawaban pihak tersebut.
• Hak memperbaiki data: melengkapi, memperbarui, atau memperbaiki kesalahan dan ketidakakuratan data pribadi.
• Hak mengakses data: memperoleh akses dan salinan data pribadi tentang dirinya sesuai ketentuan yang berlaku.
• Hak meminta pengakhiran pemrosesan atau penghapusan data: mengajukan permintaan penghentian pemrosesan, penghapusan, atau pemusnahan data sesuai persyaratan hukum.
• Hak menarik persetujuan: menarik kembali persetujuan pemrosesan data apabila pemrosesan tersebut di dasarkan pada persetujuan.
• Hak membatasi pemrosesan: meminta penundaan atau pembatasan pemrosesan secara proporsional sesuai tujuan pemrosesan.
• Hak mengajukan keberatan atas keputusan otomatis: mengajukan keberatan terhadap keputusan yang semata-mata di dasarkan pada pemrosesan otomatis, termasuk pemrofilan, apabila menimbulkan akibat hukum atau dampak signifikan.
• Hak memperoleh atau memindahkan data: mendapatkan dan menggunakan data dalam format yang lazim di gunakan atau dapat di baca sistem elektronik serta mengirimkannya kepada pengendali lain sesuai persyaratan undang-undang.
• Hak menggugat dan meminta ganti rugi: menempuh upaya hukum apabila terjadi pelanggaran pemrosesan data pribadi sesuai ketentuan yang berlaku.

Hak-hak tersebut tidak selalu berarti setiap permintaan harus di kabulkan tanpa syarat. Misalnya, penghapusan data dapat di batasi oleh kewajiban penyimpanan berdasarkan peraturan perundang-undangan atau alasan hukum lain yang sah.

Baca Juga : Hak Subjek Data Pribadi dan Penghapusan Data

Kewajiban Perusahaan dan Lembaga dalam Melindungi Data Pribadi

Pihak yang menentukan tujuan dan kendali pemrosesan data di sebut pengendali data pribadi. Maka, Sementara itu, prosesor data pribadi adalah pihak yang memproses data atas nama pengendali, sesuai instruksi dan ketentuan hukum.

UU PDP menetapkan sejumlah kewajiban bagi pengendali data pribadi, antara lain:

• Memiliki dasar pemrosesan data pribadi yang sah.
• Menjelaskan tujuan dan informasi yang relevan mengenai pemrosesan data sesuai ketentuan.
• Memproses data secara terbatas, spesifik, sah, dan transparan.
• Menjaga keakuratan, kelengkapan, dan kemutakhiran data sesuai tujuan pemrosesan.
• Melindungi kerahasiaan dan keamanan data pribadi.
• Mencegah akses, penggunaan, atau pengungkapan data secara tidak sah.
• Mengawasi pihak yang terlibat dalam pemrosesan data di bawah kendalinya.
• Menangani permintaan pemilik data sesuai hak dan ketentuan hukum.
• Memenuhi kewajiban pemberitahuan apabila terjadi kegagalan pelindungan data pribadi.
• Menunjukkan pertanggungjawaban atas pelaksanaan prinsip pelindungan data pribadi.

Perusahaan tidak cukup hanya mengumpulkan persetujuan pengguna. Maka, Mereka juga perlu memastikan bahwa pemrosesan di lakukan berdasarkan dasar hukum yang tepat dan di sertai langkah pengamanan yang sesuai dengan risiko data.

Baca Juga : Persetujuan Penggunaan Data Pribadi Tujuan, dan Batasannya

Apakah Penggunaan Data Pribadi Harus Mendapatkan Persetujuan?

Persetujuan merupakan salah satu dasar pemrosesan data pribadi menurut UU PDP, tetapi bukan satu-satunya dasar yang di akui undang-undang.

Pasal 20 UU PDP mencantumkan beberapa dasar pemrosesan data pribadi, yaitu:

• Persetujuan yang sah secara eksplisit untuk tujuan tertentu yang telah di sampaikan.
• Pemenuhan kewajiban perjanjian atau permintaan seseorang sebelum perjanjian di lakukan.
• Pemenuhan kewajiban hukum pengendali data.
• Pelindungan kepentingan vital subjek data pribadi.
• Pelaksanaan tugas untuk kepentingan umum, pelayanan publik, atau kewenangan berdasarkan peraturan perundang-undangan.
• Pemenuhan kepentingan sah lainnya dengan memperhatikan tujuan, kebutuhan, keseimbangan kepentingan, dan hak subjek data.

Artinya, tidak semua pemrosesan data harus selalu bergantung pada persetujuan. Sebagai contoh, lembaga tertentu mungkin perlu memproses informasi untuk memenuhi kewajiban hukum atau melaksanakan pelayanan publik.

Namun, apabila pemrosesan menggunakan persetujuan sebagai dasarnya, persetujuan harus memenuhi ketentuan hukum. Maka, Pihak yang mengumpulkan data juga harus menyampaikan informasi yang relevan mengenai tujuan, jenis data, jangka waktu pemrosesan, dan hak pemilik data.

Masyarakat sebaiknya membaca kebijakan privasi sebelum menyetujui penggunaan data, terutama ketika mengisi formulir online, menggunakan aplikasi, atau menyerahkan dokumen identitas.

Baca Juga : Apa yang Harus Dilakukan Jika Data Pribadi Disalahgunakan?

Kewajiban Prosesor Data Pribadi dalam Pemrosesan Informasi

Prosesor data pribadi dapat berupa perusahaan teknologi, penyedia penyimpanan data, penyedia layanan administrasi, atau pihak lain yang memproses data atas nama pengendali.

Menurut UU PDP, prosesor wajib menjalankan pemrosesan berdasarkan perintah pengendali data pribadi dan mematuhi ketentuan pelindungan data pribadi. Maka, Penunjukan prosesor tidak serta-merta menghilangkan tanggung jawab pengendali atas pemrosesan yang berada dalam kendalinya.

Dalam praktiknya, hubungan antara pengendali dan prosesor perlu di atur dengan jelas, termasuk mengenai:

• Jenis data yang boleh di proses.
• Tujuan dan instruksi pemrosesan.
• Pengamanan data dan pembatasan akses.
• Kerahasiaan informasi.
• Penanganan insiden keamanan.
• Pengembalian, penghapusan, atau pemusnahan data sesuai instruksi dan ketentuan hukum.

Pengaturan tersebut penting agar data pelanggan, pegawai, pengguna aplikasi, atau pemohon layanan tidak di gunakan di luar tujuan yang telah di tentukan secara sah.

Baca Juga : Perlindungan Data Pribadi dalam Pengurusan Dokumen Resmi

Apa Kewajiban Pengendali Jika Terjadi Kebocoran Data?

Kegagalan pelindungan data pribadi dapat terjadi akibat serangan siber, kesalahan konfigurasi sistem, pencurian perangkat, pengiriman dokumen kepada penerima yang salah, atau akses internal tanpa kewenangan.

Pasal 46 UU PDP mengatur bahwa apabila terjadi kegagalan pelindungan data pribadi, pengendali wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga yang berwenang sesuai ketentuan undang-undang.

Pemberitahuan tersebut sekurang-kurangnya memuat:

• Data pribadi yang terungkap.
• Waktu dan cara data pribadi terungkap.
• Upaya penanganan dan pemulihan yang di lakukan pengendali.

Dalam keadaan tertentu, pengendali juga wajib memberitahukan kegagalan pelindungan data kepada masyarakat.

Bagi pemilik data yang menerima pemberitahuan kebocoran, langkah yang dapat di lakukan antara lain mengganti kata sandi akun yang terdampak, mengaktifkan autentikasi multifaktor, memantau transaksi keuangan, dan mewaspadai pesan atau telepon yang meminta kode OTP maupun informasi rahasia.

Jika terdapat indikasi penyalahgunaan, simpan bukti komunikasi, tangkapan layar, notifikasi, atau transaksi terkait untuk membantu proses pengaduan dan penanganan lebih lanjut.

Baca Juga : Cara Melaporkan Kebocoran Data Pribadi di Indonesia

Larangan dan Sanksi atas Penyalahgunaan Data Pribadi

UU PDP juga memuat larangan terhadap tindakan tertentu yang di lakukan secara melawan hukum. Pasal 65, misalnya, melarang perbuatan memperoleh atau mengumpulkan data pribadi milik orang lain secara melawan hukum dengan maksud menguntungkan diri sendiri atau orang lain dan berpotensi merugikan subjek data. Maka, Pasal tersebut juga melarang pengungkapan dan penggunaan data pribadi orang lain secara melawan hukum serta pemalsuan data pribadi dalam kondisi yang di tentukan undang-undang.

Sanksi yang dapat di terapkan bergantung pada jenis pelanggaran, unsur perbuatan, dan ketentuan yang di langgar. Maka, UU PDP mengatur sanksi administratif bagi pelanggaran kewajiban tertentu, serta ketentuan pidana untuk perbuatan yang memenuhi unsur tindak pidana.

Sanksi administratif dapat mencakup:

• Peringatan tertulis.
• Penghentian sementara kegiatan pemrosesan data pribadi.
• Penghapusan atau pemusnahan data pribadi sesuai ketentuan.
• Denda administratif sesuai ketentuan undang-undang.

Untuk tindak pidana tertentu, UU PDP mengatur ancaman pidana penjara dan/atau denda dengan besaran yang berbeda sesuai jenis perbuatannya.

Meski demikian, tidak setiap insiden kebocoran otomatis berarti seseorang telah melakukan tindak pidana. Penentuan pelanggaran dan sanksi perlu mempertimbangkan fakta, bukti, unsur hukum, serta proses yang berlaku.

Baca Juga : Kewajiban Perlindungan Data Pribadi bagi Perusahaan

Cara Menggunakan Hak Perlindungan Data Pribadi

Apabila ingin mengakses, memperbaiki, membatasi, atau meminta penghapusan data pribadi, masyarakat dapat memulai dengan menghubungi pihak yang mengendalikan data tersebut.

Berikut langkah yang dapat dilakukan:

• Identifikasi pihak pengendali: cari tahu perusahaan, lembaga, atau penyedia layanan yang menyimpan dan memproses data.
• Baca kebijakan privasi: periksa tujuan penggunaan data dan kanal komunikasi yang disediakan untuk permintaan terkait privasi.
• Ajukan permintaan secara tertulis: jelaskan data yang di maksud, tindakan yang diminta, dan alasan permintaan jika relevan.
• Siapkan verifikasi identitas secara aman: berikan informasi yang benar-benar diperlukan melalui kanal resmi, bukan melalui akun atau nomor yang tidak terverifikasi.
• Simpan bukti permintaan: simpan nomor tiket, email, surat, atau bukti komunikasi lainnya.
• Tindak lanjuti jika belum ada penyelesaian: gunakan mekanisme pengaduan internal atau jalur penyelesaian sengketa yang sesuai dengan ketentuan hukum.

Untuk permintaan penghapusan, jelaskan data yang ingin di hapus dan minta penjelasan apabila permintaan tidak dapat dipenuhi. Maka, Pengendali mungkin memiliki kewajiban hukum untuk menyimpan informasi tertentu sehingga penghapusan tidak selalu dapat dilakukan secara langsung.

Jika merasa dirugikan akibat pelanggaran pemrosesan data pribadi, pemilik data dapat mempertimbangkan jalur pengaduan, penyelesaian sengketa, atau upaya hukum sesuai peraturan yang berlaku.

Baca Juga : Perlindungan Data Pribadi dalam Pengiriman Dokumen

Cara Menerapkan UU PDP dalam Kehidupan Sehari-hari

Perlindungan data pribadi bukan hanya kewajiban perusahaan dan lembaga. Maka, Masyarakat juga perlu menjaga informasi pribadi agar tidak mudah di manfaatkan oleh pihak yang tidak bertanggung jawab.

Beberapa langkah praktis yang dapat di terapkan antara lain:

• Hindari membagikan foto KTP, paspor, kartu keluarga, atau dokumen keuangan di media sosial.
• Pastikan tujuan dan identitas penerima sebelum mengirim dokumen pribadi.
• Gunakan kata sandi yang kuat dan berbeda untuk setiap akun penting.
• Aktifkan autentikasi multifaktor jika tersedia.
• Jangan memberikan PIN, kata sandi, atau kode OTP kepada orang lain.
• Periksa izin akses aplikasi terhadap kontak, kamera, lokasi, dan berkas.
• Waspadai tautan mencurigakan yang meminta informasi pribadi.
• Gunakan kanal resmi ketika mengurus dokumen atau menyampaikan permintaan terkait data.
• Simpan dokumen digital dengan pengamanan yang memadai.
• Segera tindak lanjuti pemberitahuan transaksi atau aktivitas akun yang tidak dikenal.

Apabila menyerahkan dokumen kepada penyedia jasa administrasi, pengurusan visa, legalisasi, atau layanan lainnya, pastikan pihak tersebut jelas identitasnya dan memahami tujuan penggunaan dokumen. Tanyakan pula bagaimana data di simpan, siapa yang dapat mengaksesnya, dan kapan data akan di hapus apabila tidak lagi di perlukan serta tidak ada kewajiban hukum untuk menyimpannya.

Masyarakat berhak mengetahui penggunaan datanya dan dapat mengajukan permintaan akses, koreksi, pembatasan, atau penghapusan sesuai ketentuan yang berlaku. Di sisi lain, perusahaan dan lembaga wajib menjaga keamanan serta kerahasiaan data dan bertanggung jawab atas pemrosesannya.

Memahami UU PDP membantu masyarakat lebih berhati-hati saat menyerahkan dokumen dan menggunakan layanan digital. Apabila terjadi dugaan penyalahgunaan data, simpan bukti yang relevan, hubungi pihak pengendali melalui kanal resmi, dan pertimbangkan mekanisme pengaduan atau upaya hukum yang tersedia.

Konsultasikan Permasalahan Data Pribadi Anda sekarang.