Melindungi Data Siswa dan Mahasiswa: Panduan untuk Sekolah dan Kampus

Melindungi data siswa berarti memastikan data pribadi siswa dan mahasiswa hanya dikumpulkan seperlunya, disimpan dengan aman, diakses oleh orang yang berwenang, dan dihapus bila tidak dibutuhkan lagi. Langkah ini bukan hanya urusan tim IT, tetapi tanggung jawab seluruh pengelola sekolah dan kampus.

Setiap tahun lembaga pendidikan mengumpulkan data dalam jumlah besar: formulir pendaftaran, rapor, data orang tua, sampai catatan kesehatan. Bila data ini bocor, dampaknya bisa panjang, mulai dari penipuan yang mengatasnamakan sekolah sampai perundungan terhadap siswa.

Ringkasan singkat

• Data anak tergolong data pribadi yang bersifat spesifik dan memerlukan perlindungan lebih ketat.
• Kebocoran paling sering terjadi karena kelalaian sehari-hari, bukan serangan canggih.
• Prinsip dasarnya: kumpulkan seperlunya, batasi akses, amankan sistem, dan siapkan rencana bila terjadi insiden.
• Guru, staf tata usaha, dan operator data perlu pelatihan rutin, bukan hanya tim IT.

Data siswa dan mahasiswa yang tergolong sensitif

Tidak semua data memiliki tingkat risiko yang sama. Memahami jenisnya membantu sekolah menentukan perlakuan yang tepat.

Perlu diingat, sebagian besar siswa sekolah dasar dan menengah masih tergolong anak. Dalam Undang-Undang Pelindungan Data Pribadi (UU Nomor 27 Tahun 2022), data anak termasuk data pribadi yang bersifat spesifik, sama seperti data kesehatan, biometrik, dan keuangan pribadi.

Risiko kebocoran yang sering terjadi

Banyak kasus kebocoran di lingkungan pendidikan berawal dari kebiasaan sederhana. Berikut pola yang paling umum:

• Berkas dibagikan terbuka: spreadsheet data siswa dibagikan dengan tautan yang bisa diakses siapa saja.
• Pengumuman berlebihan: daftar hasil seleksi memuat NIK, alamat, atau nama orang tua, padahal cukup nama dan nomor pendaftaran.
• Grup percakapan: foto rapor atau kartu keluarga dikirim ke grup WhatsApp yang anggotanya banyak.
• Akun bersama: satu akun admin dipakai bergantian oleh beberapa operator tanpa jejak siapa melakukan apa.
• Aplikasi tidak terawat: website atau sistem akademik lama yang tidak pernah diperbarui sehingga mudah dibobol.
• Phishing: staf tertipu email atau pesan palsu yang meminta kata sandi.
• Perangkat hilang: laptop atau flashdisk berisi data siswa tanpa enkripsi.

Praktik baik untuk pengelola sekolah dan kampus

1. Kumpulkan hanya data yang benar-benar perlu

Tinjau ulang formulir pendaftaran dan formulir lain. Bila suatu kolom tidak dipakai untuk keperluan yang jelas, hapus. Semakin sedikit data yang disimpan, semakin kecil risikonya.

2. Jelaskan tujuan dan minta persetujuan

Sampaikan kepada siswa dan orang tua data apa yang dikumpulkan, untuk apa, dan berapa lama disimpan. Untuk siswa yang masih anak, persetujuan diberikan oleh orang tua atau wali. Pemakaian foto siswa untuk promosi juga sebaiknya meminta izin tertulis.

3. Terapkan hak akses berdasarkan peran

Wali kelas cukup melihat data kelasnya. Guru BK mengakses catatan konseling, tetapi staf keuangan tidak. Sistem akademik yang baik memungkinkan pengaturan hak akses seperti ini dan mencatat riwayat aktivitas setiap pengguna.

4. Amankan akun dan sistem

Wajibkan kata sandi kuat dan verifikasi dua langkah untuk akun admin. Pastikan website dan sistem memakai HTTPS, rutin diperbarui, dan dicadangkan secara berkala di lokasi terpisah. Tips akun lebih rinci ada di artikel keamanan akun, password, dan 2FA.

5. Kurangi penyebaran berkas

Alihkan pertukaran data dari spreadsheet dan grup percakapan ke sistem terpusat. Bila berkas memang harus dibagikan, batasi penerimanya dan hapus setelah tidak dipakai.

6. Tentukan masa simpan dan cara pemusnahan

Data calon siswa yang tidak diterima, misalnya, tidak perlu disimpan bertahun-tahun. Tetapkan jadwal pemusnahan, termasuk untuk dokumen kertas.

Dokumen kertas sering terlupakan. Map pendaftaran berisi fotokopi kartu keluarga dan akta kelahiran sebaiknya disimpan di lemari terkunci, lalu dihancurkan dengan mesin penghancur kertas, bukan dibuang utuh atau dijual sebagai kertas bekas.

7. Latih seluruh staf

Ingat juga pihak ketiga. Bila sekolah memakai aplikasi atau vendor untuk mengolah data siswa, pastikan ada perjanjian tertulis tentang kerahasiaan, lokasi penyimpanan, dan apa yang terjadi pada data saat kerja sama berakhir.

Pelatihan singkat tentang mengenali phishing, berbagi berkas dengan aman, dan melapor bila ada kejanggalan sering lebih efektif daripada membeli alat keamanan baru. Materi pendukung bisa diambil dari artikel cara mengenali phishing.

Daftar periksa perlindungan data

Gunakan daftar berikut untuk menilai kondisi lembaga Anda saat ini. Butir yang belum terpenuhi bisa menjadi prioritas perbaikan tahun ajaran berikutnya.

1. Ada daftar data pribadi apa saja yang dikumpulkan dan di mana disimpan.
2. Formulir hanya meminta data yang diperlukan.
3. Ada pemberitahuan privasi untuk siswa dan orang tua.
4. Hak akses diatur per peran dan ditinjau tiap awal tahun ajaran.
5. Akun admin memakai verifikasi dua langkah dan tidak dipakai bersama.
6. Sistem memakai HTTPS, rutin diperbarui, dan memiliki cadangan data.
7. Pengumuman publik tidak memuat NIK, alamat, atau data orang tua.
8. Ada penanggung jawab perlindungan data dan prosedur bila terjadi insiden.
9. Staf mendapat pelatihan keamanan minimal sekali setahun.

Kaitan dengan UU PDP

UU PDP mengatur hak pemilik data dan kewajiban pihak yang mengelolanya, termasuk sekolah dan kampus. Lembaga pendidikan, baik negeri maupun swasta, perlu memastikan dasar pemrosesan data, keamanan sistem, dan kesiapan menangani kebocoran.

Kami tidak mengulang isi pasal di sini. Ringkasan kewajiban dan dampaknya pada perancangan sistem dapat Anda baca di artikel UU PDP untuk sistem informasi. Untuk keputusan hukum yang spesifik, konsultasikan dengan bagian hukum lembaga atau penasihat hukum.

Bila terjadi kebocoran data

Jangan panik dan jangan menutupi. Segera batasi dampaknya: ganti kata sandi yang terdampak, tutup tautan berkas yang terbuka, dan putus akses yang mencurigakan. Catat apa yang terjadi, data apa yang terdampak, dan kapan diketahui.

Setelah itu, beri tahu pimpinan, siswa, dan orang tua yang terdampak dengan bahasa yang jelas, termasuk langkah yang perlu mereka lakukan, misalnya waspada terhadap pesan yang mengatasnamakan sekolah. Gunakan kejadian ini sebagai bahan perbaikan prosedur.

Langkah berikutnya

Mulailah dengan memetakan data yang Anda kumpulkan dan siapa saja yang bisa mengaksesnya. Dari situ, prioritaskan perbaikan yang paling berisiko. Bacaan dan layanan terkait:

• AI di sekolah dan kampus
• Cara memilih SIAKAD
• Sistem informasi akademik dan LMS

Bila data siswa masih tersebar di banyak spreadsheet, sistem akademik terpusat dengan hak akses dan riwayat aktivitas dapat membantu. Rajonet terbuka untuk berdiskusi tentang kebutuhan sekolah atau kampus Anda lewat konsultasi gratis.