UKOMNAS PDPA cheat sheet

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) disahkan 17 Oktober 2022; masa transisi penerapan berakhir 17 Oktober 2024.

UU PDP menggantikan ketentuan data pribadi yang tersebar di UU ITE, PP 71/2019, dan peraturan sektoral; PDP adalah hak privasi yang diakui konstitusi (Pasal 28G UUD 1945).

Data pribadi bersifat umum meliputi nama, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengidentifikasi; data pribadi bersifat spesifik meliputi data kesehatan, biometrik, genetika, catatan kejahatan, data anak, data keuangan, dan data pribadi lainnya sesuai peraturan.

Subjek data adalah individu yang melekat padanya data pribadi; pengendali menentukan tujuan dan kendali pemrosesan; prosesor memproses atas nama pengendali.

Dasar pemrosesan sah: persetujuan eksplisit, pemenuhan kewajiban hukum, pemenuhan kontrak, kepentingan vital, pelaksanaan kewenangan publik, atau kepentingan sah lainnya.

Sanksi administratif: teguran tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda administratif maksimal 2% dari pendapatan tahunan. Sanksi pidana mencakup penjara hingga 6 tahun dan/atau denda hingga Rp6 miliar untuk pelanggaran pengumpulan data secara melawan hukum.

Pengendali wajib menunjuk DPO jika pemrosesan dilakukan untuk layanan publik, kegiatan pemrosesan berskala besar, atau pemrosesan data spesifik/sensitif dan berdampak tinggi.

Regulator pengawasan adalah lembaga yang ditetapkan Presiden; hingga pengumuman resmi, koordinasi pengawasan dilakukan melalui Kementerian Komunikasi dan Digital (sebelumnya Kominfo).

Prinsip pengumpulan data terbatas: data dikumpulkan untuk tujuan yang spesifik, sah, dan transparan, serta terbatas pada data yang relevan dan minimal.

Prinsip akurasi: pengendali wajib memastikan data pribadi akurat, lengkap, dan mutakhir; pembaruan dilakukan saat subjek data meminta atau ketika diketahui ada perubahan.

Prinsip penyimpanan terbatas: data disimpan hanya selama diperlukan untuk tujuan pemrosesan, setelah itu dihapus atau dianonimkan.

Persetujuan harus eksplisit, diberikan secara sadar, dan dapat ditarik kembali sewaktu-waktu; penarikan tidak memengaruhi keabsahan pemrosesan sebelumnya.

Kepentingan sah (legitimate interest) harus melalui uji keseimbangan: kepentingan pengendali vs hak dan ekspektasi subjek data, dengan dokumentasi uji.

Pemrosesan data pribadi spesifik (kesehatan, biometrik, genetika, keuangan, data anak) memerlukan perlindungan tambahan dan umumnya membutuhkan persetujuan eksplisit.

Prinsip akuntabilitas: pengendali harus mampu membuktikan kepatuhan melalui catatan pemrosesan, kebijakan, dan dokumentasi uji kepentingan.

Transparansi: informasi tujuan, dasar hukum, retensi, dan hak subjek data wajib disampaikan sebelum atau pada saat pengumpulan.

Hak informasi: subjek data berhak mengetahui identitas pengendali, tujuan pemrosesan, dasar hukum, dan periode retensi.

Hak akses dan salinan: subjek data dapat meminta salinan data pribadinya; pengendali wajib menanggapi dalam batas waktu yang wajar (umumnya 30 hari).

Hak perbaikan dan pembaruan: subjek data dapat meminta koreksi data yang tidak akurat atau tidak lengkap.

Hak penghapusan dan pembatasan pemrosesan: berlaku ketika tujuan telah tercapai, persetujuan ditarik, atau pemrosesan melanggar hukum.

Hak portabilitas: subjek data berhak memperoleh data dalam format terstruktur dan dapat mentransfernya ke pengendali lain.

Hak keberatan: subjek data dapat menolak pemrosesan berbasis kepentingan sah atau pemrosesan untuk pemasaran langsung.

Persetujuan harus dapat dibuktikan: pengendali menyimpan catatan waktu, cara, dan konteks persetujuan; persetujuan anak memerlukan persetujuan orang tua/wali.

Permintaan hak subjek data dicatat dalam log, diverifikasi identitasnya, dan diselesaikan sesuai SLA yang ditetapkan dalam kebijakan.

DPIA wajib dilakukan untuk pemrosesan berisiko tinggi: data sensitif berskala besar, pemantauan sistematis, profiling otomatis, atau penggunaan teknologi baru.

Langkah DPIA: deskripsi pemrosesan, penilaian kebutuhan dan proporsionalitas, identifikasi risiko terhadap subjek data, dan mitigasi.

Matriks risiko menggunakan skala kemungkinan × dampak; risiko dihitung sebelum dan sesudah mitigasi (residual risk).

Ambang risiko tinggi mencakup pemrosesan data anak, data kesehatan, biometrik, dan pengambilan keputusan otomatis yang berdampak hukum.

DPIA melibatkan DPO dan pemangku kepentingan terkait; hasilnya didokumentasikan dan ditinjau ulang saat ada perubahan material.

Jika risiko residual tetap tinggi, pengendali wajib berkonsultasi dengan regulator sebelum memulai pemrosesan.

Register risiko diperbarui berkala; setiap risiko memiliki pemilik, kontrol, dan tanggal tinjauan.

Risiko pihak ketiga (vendor) dinilai melalui due diligence keamanan dan klausul kontrak perlindungan data.

Kontrol keamanan minimum: enkripsi data saat transit dan saat disimpan, kontrol akses berbasis peran, autentikasi multifaktor, dan pencatatan log akses.

Prinsip least privilege dan segregation of duties diterapkan pada akses data pribadi; akses dicabut saat karyawan keluar.

Insiden pelanggaran data pribadi wajib dilaporkan ke regulator dan subjek data terdampak paling lambat 3×24 jam sejak diketahui.

Laporan insiden memuat jenis data, kronologi, dampak, dan langkah mitigasi; kegagalan melapor dapat dikenai sanksi.

Tim respons insiden menjalankan siklus: identifikasi, containment, eradication, recovery, dan lessons learned.

Bukti insiden disimpan dalam chain of custody untuk keperluan investigasi dan audit.

Uji tabletop dan simulasi insiden dilakukan minimal setahun sekali; hasilnya memperbarui playbook respons.

Backup data diuji restorasinya secara berkala; enkripsi backup dan pemisahan lokasi penyimpanan diterapkan.

Transfer data pribadi ke luar Indonesia hanya sah jika negara tujuan memiliki tingkat perlindungan data yang setara atau lebih tinggi.

Jika tingkat perlindungan tidak setara, transfer dapat dilakukan dengan perlindungan yang memadai dan mengikat (SCC/BCR) atau persetujuan eksplisit subjek data.

Kontrak pemrosesan data (DPA) wajib memuat instruksi pemrosesan, kerahasiaan, keamanan, sub-prosesor, audit, dan pengembalian/penghapusan data.

Pengendali tetap bertanggung jawab atas kepatuhan prosesor dan sub-prosesor (prinsip accountability).

Due diligence vendor mencakup sertifikasi keamanan, riwayat insiden, lokasi penyimpanan data, dan kemampuan audit.

Klausul audit memberi hak pengendali untuk mengaudit prosesor dan mengakses log pemrosesan.

Transfer data ke negara tanpa perlindungan setara memerlukan persetujuan eksplisit dan dokumentasi penilaian risiko transfer.

Daftar vendor dan lokasi data dipelihara sebagai bagian dari register pemrosesan.

DPO bertugas memantau kepatuhan, memberikan saran DPIA, menjadi titik kontak regulator dan subjek data, serta melatih organisasi.

DPO harus independen, tidak menerima instruksi terkait pelaksanaan tugas, dan melapor langsung ke manajemen puncak.

DPO dapat merangkap fungsi lain selama tidak menimbulkan konflik kepentingan (misalnya bukan kepala IT yang mengelola sistem pemrosesan).

Struktur tata kelola mencakup komite perlindungan data, kebijakan tertulis, register pemrosesan, dan program pelatihan berkala.

Akuntabilitas dibuktikan melalui dokumentasi: kebijakan, catatan pemrosesan, log persetujuan, hasil DPIA, dan laporan audit.

Pelatihan kesadaran data pribadi wajib bagi seluruh karyawan; karyawan dengan akses data sensitif mendapat pelatihan lanjutan.

Kebijakan retensi dan penghapusan data ditetapkan per jenis data dan diselaraskan dengan kewajiban hukum sektoral.

Manajemen puncak menetapkan risk appetite dan meninjau laporan kepatuhan secara berkala.

Program audit mencakup audit kepatuhan internal, audit vendor, dan penilaian kesenjangan terhadap UU PDP.

Rencana audit berbasis risiko: frekuensi dan cakupan ditentukan oleh tingkat risiko pemrosesan dan hasil audit sebelumnya.

Bukti audit meliputi register pemrosesan, log akses, catatan persetujuan, hasil DPIA, dan laporan insiden.

Temuan audit diklasifikasikan berdasarkan tingkat keparahan dan memiliki tenggat perbaikan yang dipantau.

KPI kepatuhan mencakup waktu penyelesaian permintaan subjek data, tingkat pelaporan insiden tepat waktu, dan cakupan pelatihan.

Pemantauan berkelanjutan menggunakan indikator otomatis (misalnya peringatan akses tidak wajar) dan tinjauan berkala.

Audit pihak ketiga dilakukan sebelum kontrak dan secara berkala selama hubungan berjalan.

Laporan audit disampaikan kepada manajemen dan DPO; tindak lanjut diverifikasi melalui audit ulang.