UU PDP Sistem Informasi: Kewajiban Pemilik Website dan Aplikasi

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku sejak diundangkan pada 17 Oktober 2022, dan masa penyesuaian dua tahunnya sudah berakhir pada 17 Oktober 2024. Dalam konteks UU PDP sistem informasi, setiap website atau aplikasi yang mengumpulkan data pribadi kini wajib memenuhi empat hal utama: dasar pemrosesan yang sah, data yang diminta seperlunya, keamanan yang memadai, dan cara bagi pengguna menjalankan haknya.

Catatan: artikel ini adalah panduan teknis umum, bukan nasihat hukum. Untuk keputusan kepatuhan yang spesifik, konsultasikan dengan penasihat hukum organisasi Anda.

Siapa yang terkena kewajiban UU PDP

UU PDP membedakan dua peran. Pengendali data pribadi adalah pihak yang menentukan tujuan dan cara pemrosesan, misalnya instansi pemilik layanan publik, perusahaan pemilik toko online, atau kampus pemilik SIAKAD. Prosesor data pribadi adalah pihak yang memproses data atas nama pengendali, misalnya vendor yang mengelola server atau penyedia layanan pengiriman pesan.

Pemilik website atau aplikasi hampir selalu berperan sebagai pengendali. Vendor pengembang yang juga mengelola server setelah rilis bisa berperan sebagai prosesor, dan pembagian tanggung jawab ini sebaiknya dituangkan dalam perjanjian kerja.

UU PDP juga menetapkan kategori data pribadi spesifik yang butuh perlindungan lebih, antara lain data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Sistem seperti rekam medis klinik, absensi dengan sidik jari, atau SIAKAD sekolah memproses data jenis ini.

Dasar pemrosesan dan persetujuan

Pasal 20 UU PDP mewajibkan setiap pemrosesan punya dasar yang sah. Persetujuan eksplisit hanyalah salah satunya. Dasar lain meliputi pelaksanaan perjanjian, kewajiban hukum, kepentingan vital subjek data, pelaksanaan tugas pelayanan publik atau kewenangan berdasarkan peraturan, dan kepentingan sah lainnya.

Implikasinya bagi desain sistem:

• Tentukan dasar untuk setiap tujuan. Data pemesanan di toko online diproses untuk menjalankan perjanjian jual beli. Pengiriman newsletter promosi biasanya butuh persetujuan terpisah.
• Persetujuan harus jelas dan bisa dibuktikan. Gunakan kotak centang yang tidak tercentang otomatis, dengan kalimat yang menyebut tujuan spesifik. Simpan catatan kapan dan untuk versi kebijakan mana persetujuan diberikan.
• Persetujuan harus bisa ditarik. Sediakan cara semudah memberi persetujuan, misalnya tombol berhenti berlangganan atau pengaturan di halaman akun.
• Data anak dan penyandang disabilitas diproses secara khusus dan memerlukan persetujuan orang tua, wali, atau yang bersangkutan sesuai ketentuan.

Lengkapi website dengan kebijakan privasi yang menjelaskan data apa yang dikumpulkan, untuk apa, dasar pemrosesannya, berapa lama disimpan, dan cara menghubungi pengelola.

Minimisasi data: kumpulkan seperlunya

Prinsip pemrosesan dalam UU PDP menyebut pengumpulan data dilakukan secara terbatas dan spesifik, sah, dan transparan. Dalam praktik, ini prinsip desain yang paling mudah diterapkan sekaligus paling sering dilanggar.

• Tinjau setiap kolom formulir. Bila tidak ada proses yang memakai data itu, hapus kolomnya.
• Jangan meminta unggahan KTP bila cukup nomor identitas, atau bahkan cukup nama dan nomor ponsel.
• Tetapkan masa simpan per jenis data, lalu hapus atau anonimkan data yang sudah lewat masanya secara otomatis.
• Untuk laporan dan dashboard, gunakan data agregat atau tersamar bila identitas tidak diperlukan.
• Pisahkan data uji dari data asli. Lingkungan pengembangan sebaiknya tidak memakai salinan data pribadi sungguhan.

Semakin sedikit data yang disimpan, semakin kecil dampak bila terjadi insiden, dan semakin ringan beban pengamanannya.

Keamanan dan kewajiban saat terjadi insiden

Pengendali wajib melindungi dan memastikan keamanan data pribadi dengan langkah teknis dan operasional yang sesuai dengan risikonya. Bila terjadi kegagalan pelindungan data pribadi, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga pengawas, memuat data apa yang terungkap, kapan dan bagaimana terjadinya, serta upaya penanganannya.

Batas waktu itu hanya bisa dipenuhi bila sistem punya log yang memadai dan tim tahu harus berbuat apa. Langkah teknis dasar yang perlu ada:

• Koneksi terenkripsi (HTTPS) di semua halaman dan API.
• Kata sandi disimpan dengan hashing modern, tidak pernah dalam teks biasa.
• Enkripsi untuk kolom data spesifik, seperti data kesehatan atau keuangan.
• Hak akses berbasis peran, sehingga pengguna hanya melihat data yang menjadi tugasnya.
• Log audit yang mencatat siapa mengakses atau mengubah data, kapan, dan dari mana.
• Cadangan data terjadwal yang diuji pemulihannya, dan pembaruan keamanan rutin.
• Prosedur tanggap insiden tertulis, lengkap dengan kontak dan templat pemberitahuan.

Untuk pemrosesan berisiko tinggi, UU PDP juga mewajibkan penilaian dampak pelindungan data pribadi. Sementara itu, organisasi yang memproses data untuk pelayanan publik atau memproses data spesifik dalam skala besar perlu menunjuk pejabat atau petugas pelindungan data pribadi. Panduan pengamanan untuk sektor publik ada di artikel keamanan website instansi pemerintah.

Hak subjek data yang harus didukung sistem

Pasal 5 sampai Pasal 13 UU PDP mengatur hak subjek data. Beberapa di antaranya membutuhkan fitur atau prosedur di sisi sistem.

Sediakan satu alamat atau formulir resmi untuk permintaan hak subjek data, lalu catat setiap permintaan dan tindak lanjutnya.

Hal teknis yang perlu disiapkan bersama vendor

Bila Anda sedang membangun atau memperbarui sistem, masukkan butir berikut ke dalam kerangka acuan kerja atau perjanjian dengan vendor:

1. Inventaris data pribadi: daftar data yang dikumpulkan, tujuannya, dasar pemrosesan, lokasi penyimpanan, dan masa simpan.
2. Fitur persetujuan dengan pencatatan versi, serta halaman kebijakan privasi yang bisa diperbarui admin.
3. Hak akses berbasis peran dan log audit yang tidak bisa diubah pengguna biasa.
4. Enkripsi data spesifik, jadwal cadangan, dan pengujian pemulihan.
5. Fitur ekspor, perbaikan, dan penghapusan data pengguna.
6. Pembagian peran pengendali dan prosesor, termasuk kewajiban vendor melapor bila mengetahui insiden.
7. Serah terima akses server, kode sumber, dan dokumentasi agar Anda tetap memegang kendali atas data.

Di Rajonet, kebutuhan seperti hak akses, log audit, dan enkripsi dibahas sejak analisis kebutuhan sehingga tidak menjadi tambahan mendadak di akhir proyek.

Langkah berikutnya

Mulailah dengan menyusun inventaris data pribadi di sistem yang sudah berjalan. Dari daftar itu akan terlihat kolom yang bisa dihapus, data yang perlu dienkripsi, dan fitur hak subjek data yang belum ada. Bila ingin ditinjau bersama, Rajonet menyediakan konsultasi gratis untuk memetakan pekerjaan teknisnya.

• Lihat layanan jasa pembuatan sistem informasi dengan hak akses dan garansi.
• Baca cara memilih vendor website dan sistem informasi untuk menilai kesiapan vendor.
• Untuk sistem yang memproses data kesehatan, baca rekam medis elektronik untuk klinik.