Ditinjau oleh Hampir semua bisnis digital mengumpulkan data pribadi pelanggan. Toko online butuh nama dan alamat pengiriman. Aplikasi keuangan butuh KTP untuk verifikasi identitas. Layanan berlangganan butuh nomor kontak dan email untuk notifikasi.
Semua proses ini terlihat biasa, tapi sejak UU Perlindungan Data Pribadi, yakni UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), berlaku, mengumpulkan data pelanggan bukan lagi sekadar aktivitas operasional. Ada kewajiban hukum yang mengikat, dan ada sanksi kalau kamu lalai memenuhinya.
Di artikel ini kamu akan lihat isi pokok UU PDP, siapa yang wajib tunduk, hak pelanggan sebagai subjek data, kewajiban konkret yang harus kamu penuhi sebagai pemilik bisnis, sanksi kalau lalai, dan langkah praktis untuk mulai menyesuaikan diri.
Satu catatan sebelum lanjut bahwa penjelasan ini disusun untuk membantu kamu memahami arah kewajiban hukummu secara praktis, bukan nasihat hukum yang mengikat untuk kasus spesifikmu.
Isi Pokok UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
UU PDP berlaku untuk setiap orang, badan publik, dan organisasi internasional yang memproses data pribadi, baik yang beroperasi di wilayah hukum Indonesia maupun yang berkedudukan di luar negeri tapi aktivitasnya berdampak hukum ke Indonesia atau ke warga negara Indonesia.
Artinya, bisnis digitalmu tetap tunduk pada UU ini meskipun servermu ada di luar negeri, selama pelangganmu ada di Indonesia. Teks resminya bisa kamu baca langsung di salinan UU No. 27 Tahun 2022 di peraturan.bpk.go.id.
UU ini mendefinisikan data pribadi secara luas, yaitu data tentang orang yang teridentifikasi atau bisa diidentifikasi, baik sendiri maupun dikombinasikan dengan informasi lain.
Data pribadi dibagi jadi dua kategori.
- Data pribadi umum mencakup hal seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan kombinasi data yang bisa mengidentifikasi seseorang.
- Data pribadi spesifik mencakup data yang risikonya lebih tinggi kalau bocor, misalnya data kesehatan, data biometrik, data genetika, catatan kejahatan, dan data anak, sehingga wajib dilindungi lebih ketat.
Sebagai gambaran konkret, KTP menyimpan banyak field yang masuk kategori data pribadi, dari NIK sampai alamat lengkap. Kalau kamu ingin tahu field apa saja yang ada di KTP dan cara memvalidasi NIK 16 digit, kamu bisa baca Data OCR KTP yang Bisa Diambil dan Cara Memvalidasi NIK 16 Digit.
Siapa Itu Pengendali Data dan Prosesor Data, dan Kenapa Bedanya Penting
UU PDP mengenal dua peran kunci dalam pemrosesan data pribadi. Pengendali data pribadi adalah pihak yang menentukan tujuan dan cara pemrosesan data, biasanya bisnismu sendiri. Prosesor data pribadi adalah pihak yang memproses data pribadi atas nama pengendali, misalnya vendor teknologi yang kamu sewa untuk menyimpan data atau memverifikasi identitas pelanggan.
Bedanya penting secara praktis. Sebagian besar kewajiban hukum di UU PDP melekat ke pengendali data, tapi pengendali tetap bertanggung jawab atas pemrosesan yang dilakukan prosesornya, selama prosesor itu bekerja sesuai perintah dan tujuan yang kamu tetapkan.
Kalau kamu memakai vendor eksternal untuk verifikasi identitas atau penyimpanan data, kamu tidak bisa lepas tangan begitu saja kalau vendor itu bermasalah. Untuk gambaran lebih konkret soal kerja sama pengendali dengan penyedia teknologi verifikasi identitas, kamu bisa baca eKYC Adalah: Cara Kerja Verifikasi Identitas Digital.
Hak-Hak Subjek Data yang Wajib Difasilitasi Bisnis
Pelanggan, sebagai subjek data, punya sejumlah hak atas data pribadinya sendiri. Secara umum, hak-hak ini mencakup hak untuk tahu tujuan dan dasar hukum pengumpulan datanya, hak mengakses dan memperbaiki data yang salah atau tidak akurat, hak menarik kembali persetujuan yang pernah diberikan, hak meminta penghentian pemrosesan atau penghapusan data dalam kondisi tertentu, sampai hak mengajukan keberatan atas keputusan yang diambil semata-mata dari pemrosesan otomatis.
Detail lengkap tiap hak, termasuk syarat dan pengecualiannya, diatur pasal per pasal di UU PDP. Kalau kamu butuh rujukan hukum yang presisi untuk kasus tertentu, sebaiknya cek langsung teks UU atau konsultasikan ke penasihat hukum.
Implikasi praktisnya buat bisnismu: sediakan kanal yang jelas, misalnya kontak layanan pelanggan atau formulir khusus, supaya pelanggan benar-benar bisa menggunakan hak-hak ini. Mencantumkan hak-hak itu di kebijakan privasi saja tidak cukup kalau tidak ada mekanisme nyata untuk menjalankannya.
Kewajiban Konkret Pemilik Bisnis sebagai Pengendali Data
Ada tiga kelompok kewajiban dasar yang perlu kamu penuhi sebagai pengendali data:
- Pertama, kamu wajib memperoleh persetujuan (consent) yang sah dan eksplisit dari pelanggan sebelum memproses data pribadinya, membatasi penggunaan data hanya untuk tujuan yang sudah kamu beritahukan di awal, dan tidak menyimpan data lebih lama dari yang benar-benar diperlukan.
- Kedua, kamu wajib menerapkan langkah teknis dan organisatoris untuk melindungi data dari akses tidak sah, kebocoran, atau penyalahgunaan data pribadi. Kewajiban ini berlaku juga kalau bisnismu menyimpan dokumen identitas pelanggan seperti foto KTP, yang risikonya lebih tinggi kalau sampai bocor. UU PDP bahkan mengatur tenggat konkret soal ini: kalau terjadi kegagalan pelindungan data, kamu wajib memberi tahu subjek data dan lembaga terkait secara tertulis paling lambat 3×24 jam sejak kegagalan itu terjadi (Pasal 46 UU PDP). Kalau kamu ingin tahu risiko konkret menyimpan dokumen identitas pelanggan dan cara menekannya, baca Bisnis Anda Menyimpan Foto KTP Pelanggan? Ini Risiko dan Cara Menekannya.
- Ketiga, salah satu cara menekan risiko sekaligus memenuhi prinsip minimalisasi data adalah hanya mengambil field yang benar-benar kamu butuhkan, misalnya NIK dan nama untuk keperluan verifikasi, lewat ekstraksi data otomatis dari foto KTP, alih-alih menyimpan dan menyalin seluruh berkas KTP secara manual.
Ini satu opsi teknis, bukan solusi tunggal atau jaminan kepatuhan penuh terhadap UU PDP. Kalau kamu ingin tahu lebih lanjut soal cara kerjanya, lihat OCR KTP API.
Sanksi Kalau Lalai Memenuhi Kewajiban
UU Data Pribadi ini mengatur sanksi berjenjang buat pengendali dan prosesor data yang melanggar kewajibannya. Sanksi administratif dimulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data, sampai denda administratif.
Berdasarkan Pasal 57 UU PDP, denda administratif ini paling tinggi 2 persen dari pendapatan atau penerimaan tahunan yang terkait dengan variabel pelanggaran yang terjadi, jadi besarannya berjenjang tergantung skala dan jenis pelanggaran, bukan angka tetap untuk semua kasus.
Di luar sanksi administratif, UU PDP juga mengatur ketentuan pidana, tapi ini berlaku untuk pelanggaran yang dilakukan dengan sengaja dan melawan hukum, misalnya sengaja memperoleh, mengungkapkan, atau menyalahgunakan data pribadi orang lain tanpa hak untuk kepentingan pribadi, bukan sekadar kelalaian administratif biasa.
Menurut Pasal 67 dan Pasal 68 UU PDP, ancamannya berupa pidana penjara 4 sampai 6 tahun dan/atau denda sampai Rp4 miliar hingga Rp6 miliar, tergantung jenis pelanggarannya. Kalau pelanggaran itu dilakukan atas nama korporasi, dendanya bisa dijatuhkan sampai 10 kali lipat dari ancaman maksimal itu.
Satu hal yang perlu kamu tahu: UU PDP menyebutkan bahwa penyelenggaraan pelindungan data pribadi dijalankan oleh sebuah lembaga yang dibentuk dan ditetapkan oleh Presiden, termasuk kewenangan menjatuhkan sanksi administratif di atas.
Sampai artikel ini ditulis, lembaga tersebut masih dalam proses pembentukan resmi, sehingga nama definitif dan status operasionalnya belum final. Kewajiban dan ancaman sanksi di atas tetap berlaku sejak UU ini disahkan, terlepas dari kapan lembaga pengawasnya benar-benar beroperasi penuh.
Langkah Praktis Mulai Menyesuaikan Bisnis dengan UU PDP
Kamu tidak perlu menyelesaikan semuanya sekaligus. Berikut langkah yang bisa kamu mulai dari sekarang.
- Inventarisasi data pribadi apa saja yang bisnismu kumpulkan, dan dari proses mana saja data itu masuk, misalnya pendaftaran, checkout, atau verifikasi akun.
- Susun atau perbarui kebijakan privasi yang menjelaskan tujuan pengumpulan data secara jujur dan mudah dipahami, bukan sekadar salinan template.
- Pastikan ada mekanisme persetujuan (consent) yang eksplisit, bukan default tercentang atau tersembunyi di syarat dan ketentuan.
- Terapkan kontrol akses dan keamanan dasar untuk data yang kamu simpan, termasuk dokumen identitas pelanggan.
- Siapkan kanal bagi pelanggan untuk menggunakan hak-haknya, seperti akses, koreksi, dan penarikan persetujuan.
Langkah-langkah ini juga sejalan dengan kepatuhan KYC yang lebih luas kalau bisnismu bergerak di sektor yang memang wajib verifikasi identitas pelanggan. Kamu bisa baca konteksnya di Regulasi KYC di Indonesia: Panduan Kepatuhan Bisnis Digital.
Penutup
UU PDP mengubah cara bisnis digital wajib memperlakukan data pelanggan. Data yang dulu sekadar dikumpulkan untuk kebutuhan operasional, sekarang jadi tanggung jawab hukum dengan kewajiban dan sanksi yang jelas.
Kamu tidak perlu langsung memikirkan solusi teknis yang canggih. Mulai dari langkah kecil dulu, inventarisasi data yang kamu kumpulkan dan perbarui kebijakan privasimu, baru pikirkan solusi teknis yang kamu butuhkan setelahnya.
Penjelasan di artikel ini disusun untuk membantu kamu memahami arah kewajiban hukummu sebagai pemilik bisnis digital secara praktis, bukan nasihat hukum yang mengikat. Untuk kasus spesifik bisnismu, sebaiknya kamu berkonsultasi ke penasihat hukum atau merujuk langsung ke sumber resmi.
