Data Pribadi Menjadi Bagian Penting dalam Kegiatan Usaha
Hampir setiap perusahaan memproses data pribadi. Data tersebut dapat berasal dari pekerja, pelamar kerja, pelanggan, pengguna aplikasi, pemasok, atau mitra bisnis.
Nama, nomor telepon, alamat, nomor identitas, data keuangan, rekam kesehatan, lokasi, dan data biometrik dapat termasuk data pribadi. Pemrosesan yang tidak tertib dapat menimbulkan kerugian bagi pemilik data dan risiko hukum bagi perusahaan.
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur hak subjek data, pemrosesan data, kewajiban pengendali dan prosesor, transfer data, sanksi administratif, penyelesaian sengketa, serta ketentuan pidana.
Data Pribadi Umum dan Spesifik
UU PDP membedakan data pribadi yang bersifat umum dan spesifik.
Data spesifik mencakup data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Data tersebut memerlukan perlindungan lebih ketat karena penyalahgunaannya dapat menimbulkan dampak serius.
Kewajiban Perusahaan
Dalam mengelola data pribadi, perusahaan perlu:
- Menentukan tujuan pemrosesan.
- Memastikan adanya dasar pemrosesan yang sah.
- Mengumpulkan data yang relevan.
- Memberikan informasi kepada pemilik data.
- Menjaga akurasi data.
- Membatasi akses internal.
- Melindungi sistem dan penyimpanan.
- Mengatur penggunaan penyedia layanan.
- Menyusun masa penyimpanan dan penghapusan.
- Menyiapkan prosedur penanganan insiden.
Persetujuan bukan satu-satunya dasar pemrosesan. Dasar yang digunakan perlu dipilih sesuai hubungan dan tujuan pemrosesan.
Kesalahan yang Sering Terjadi
Beberapa kesalahan yang perlu dihindari yaitu:
- Mengumpulkan data tanpa tujuan yang jelas.
- Menggunakan data untuk tujuan baru tanpa dasar.
- Meminta terlalu banyak data.
- Membagikan data kepada pihak ketiga tanpa pengaturan.
- Menyimpan data tanpa batas waktu.
- Tidak membatasi akses pegawai.
- Tidak memiliki kebijakan privasi.
- Tidak mengatur tanggung jawab vendor.
- Tidak menyiapkan prosedur kebocoran data.
Langkah Membangun Kepatuhan
Perusahaan dapat memulai dengan membuat pemetaan data. Pemetaan tersebut mencatat jenis data, sumber data, tujuan penggunaan, lokasi penyimpanan, pihak yang menerima, dan jangka waktu penyimpanan.
Setelah itu, perusahaan dapat menyusun kebijakan privasi, prosedur internal, klausul kontrak, pengamanan teknologi, serta pelatihan bagi pekerja.
Kesimpulan
Pelindungan data pribadi bukan hanya urusan teknologi informasi. Kepatuhan membutuhkan koordinasi antara manajemen, hukum, sumber daya manusia, pemasaran, teknologi, dan keamanan informasi.
Audit perlindungan data membantu perusahaan menemukan kesenjangan dan menentukan langkah perbaikan sesuai tingkat risiko.
