Perlindungan Data Pribadi
Undang-Undang Perlindungan Data Pribadi (UU PDP) Indonesia telah disahkan oleh Bapak Presiden Joko Widodo pada tanggal 17 Oktober 2022 dan ditetapkan sebagai UU No. 27 tahun 2022 tentang Perlindungan Data Pribadi yang selanjutnya disebut “UU PDP”.
UU PDP bertujuan untuk memberikan pedoman mengenai pengolahan data pribadi dan kewajiban pengendali dan pengolah data dalam melindungi data pribadi guna menegakkan hak subjek data. UU PDP berlaku bagi Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum di wilayah hukum Negara Republik Indonesia atau di luar wilayah hukum Negara Republik Indonesia yang mempunyai akibat hukum di Indonesia atau bagi subjek data Warga Negara Indonesia.
Jenis Data Pribadi
Data pribadi adalah informasi yang berkaitan dengan individu yang teridentifikasi atau dapat diidentifikasi (orang perseorangan/subjek data), yang dapat diidentifikasi, secara langsung atau tidak langsung, tergabung atau berdiri sendiri, elektronik atau non-elektronik. UU PDP mengklasifikasikan data pribadi menjadi 2 jenis yaitu:
- Data Pribadi Spesifik: Data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
- Data Pribadi Umum: Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
Kewajiban Pengendali Data
Pengendali Data Pribadi adalah setiap orang, badan publik, atau organisasi internasional yang bertindak secara individu atau bersama-sama dalam menentukan tujuan pemrosesan data dan melakukan kendali atas aktivitas pemrosesan data pribadi. Pengendali data pribadi harus melakukan hal berikut:
- Keabsahan, keadilan dan transparansi pengolahan data.
- Pengolahan data sesuai tujuan.
- Akurasi, kelengkapan, dan konsistensi data melalui verifikasi.
Pelanggaran Data
Apabila terjadi pelanggaran, perlu dilaporkan dalam waktu 3 x 24 jam dalam bentuk pemberitahuan tertulis, memberitahukan subjek data dan otoritas terkait. Namun, dalam beberapa kasus, pengontrol data juga berkewajiban untuk memberitahukan kepada publik mengenai pelanggaran data tersebut. Pemberitahuan tertulis harus memuat rincian sebagai berikut:
- Data pribadi yang terungkap;
- Kapan dan bagaimana data pribadi terungkap; dan
- Tindakan penanganan dan pemulihan apa yang diambil.
Sanksi Pelanggaran
Pelanggaran terhadap ketentuan peraturan ini dapat dikenakan sanksi sebagai berikut:
- Sanksi teguran tertulis;
- Sanksi keuangan berupa denda pidana bagi perorangan paling banyak Rp 6 miliar dan korporasi paling banyak Rp 60 miliar;
- Denda administratif bagi korporasi paling banyak 2% dari penghasilan tahunan atau pendapatan tahunan untuk variabel pelanggaran;
- Pidana penjara paling lama 6 tahun;
- Penghentian sementara kegiatan; dan
- Pembubaran korporasi.
Tahap Implementasi Kepatuhan UU PDP
1. Inventaris Data Pribadi
Langkah pertama adalah mendapatkan pemahaman yang jelas terhadap kategori jenis data pribadi yang berada di lingkungan organisasi Anda. Data pribadi mungkin disimpan di dalam laptop di kantor Anda, disimpan di cloud, atau di smartphone dan komputer yang digunakan oleh karyawan jarak jauh. Semakin detil pemetaan penggunaan data pribadi, seperti media penyimpanan, pemrosesan dan ke mana aliran data (data flow) pribadi maka kita dapat menentukan pengendalian keamanan yang tepat.
2. Kebijakan Data Pribadi
Membuat kebijakan data pribadi yang mencakup strategi tata kelola dalam mengamankan data pribadi seperti:
- Penunjukan petugas perlindungan data pribadi;
- Transfer ke dalam / ke luar liwayah hukum Indonesia;
- Siklus hidup data pribadi;
- Kewajiban pengendali data;
- Rekam jejak pemrosesan data pribadi;
- Retensi dan penghapusan data pribadi;
- Hak subjek data pribadi. contoh;
- Manajemen insiden pelanggaran;
3. Penilaian Risiko Perlindungan Data Pribadi
Organisasi harus menerapkan tingkat keamanan yang tepat – tidak terlalu banyak, tidak terlalu sedikit – berdasarkan penilaian risiko untuk menghindari terjadinya pelanggaran perlindungan data pribadi. Hasil penilaian risiko ini akan menjadi panduan dalam menentukan skala prioritas dalam pembuatan rencana program perlindungan data pribadi.
4. Rencana & Implementasi Program Perlindungan Data Pribadi
Berbagai contoh teknologi keamanan berikut dapat diimplementasi dalam rencana program perlindungan data pribadi berdasarkan skala prioritas:
- Data Masking, Encryption atau Tokenization;
- Pencegahan Kehilangan Data (Data Loss Prevention);
- Deep Web Monitoring;
- Manajemen Pihak Ketiga (Third Party/Service Provider Management); dan
- Manajemen Persetujuan (Consent Management)
5. Sosialisasi Perlindungan Data Pribadi
Organisasi dapat menyelenggarakan sosialisasi kesadaran terhadap penanganan data pribadi secara rutin.