UU PDP dan Kewajiban Keamanan Data: Panduan Praktis untuk Perusahaan
UU Pelindungan Data Pribadi sudah berlaku penuh sejak Oktober 2024. Apa saja kewajiban keamanan yang melekat pada perusahaan, dan kira kira langkah teknis apa yang perlu disiapkan?
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) disahkan pada Oktober 2022 dan, setelah masa transisi dua tahun, berlaku penuh sejak 17 Oktober 2024. Sejak saat itu, setiap perusahaan yang memproses data pribadi, baik data pelanggan, karyawan, maupun mitra, memikul kewajiban hukum yang jelas.
Artikel ini tidak dimaksudkan sebagai nasihat hukum. Fokusnya adalah sisi keamanan: kewajiban apa yang bersentuhan langsung dengan sistem dan proses teknis Anda.
Kewajiban keamanan dalam UU PDP
Pengendali data pribadi wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya, termasuk dengan menyusun dan menerapkan langkah teknis operasional untuk mencegah gangguan pemrosesan yang bertentangan dengan undang-undang. Dalam bahasa sehari-hari: perusahaan harus bisa menunjukkan bahwa ada kontrol keamanan yang nyata, bukan sekadar kebijakan di atas kertas.
Selain itu, jika terjadi kegagalan pelindungan data pribadi, pengendali wajib menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga pelaksana paling lambat 3 x 24 jam. Tenggat ini sangat pendek, sehingga perusahaan perlu punya kemampuan mendeteksi insiden dan prosedur respons yang sudah disiapkan sebelumnya.
Pelanggaran terhadap kewajiban tersebut dapat dikenai sanksi administratif, mulai dari peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, hingga denda administratif paling tinggi 2% dari pendapatan tahunan.
Langkah teknis yang perlu disiapkan
Inventarisasi data: ketahui data pribadi apa saja yang Anda simpan, di mana lokasinya, siapa yang bisa mengaksesnya, dan berapa lama disimpan. Tanpa peta ini, kontrol keamanan akan bolong.
Kontrol akses: terapkan prinsip least privilege, autentikasi multi-faktor untuk akses ke sistem yang berisi data pribadi, dan tinjau hak akses secara berkala.
Enkripsi: lindungi data saat disimpan dan saat dikirim, termasuk backup.
Hardening dan patching: konfigurasi server dan aplikasi yang lemah adalah jalur kebocoran yang paling sering ditemukan.
Logging dan monitoring: tanpa log yang memadai, perusahaan tidak bisa mengetahui kapan insiden terjadi, apalagi melapor dalam 3 x 24 jam.
Rencana respons insiden: tentukan siapa yang memutuskan, siapa yang menghubungi subjek data, dan siapa yang berkoordinasi dengan penasihat hukum.
Pengujian berkala: vulnerability assessment dan penetration testing memberi bukti bahwa kontrol keamanan benar-benar bekerja.
Jangan lupakan pihak ketiga
Jika Anda memakai prosesor data, misalnya penyedia cloud, payroll, atau CRM, pastikan perjanjiannya mengatur kewajiban keamanan dan pelaporan insiden. Tanggung jawab Anda sebagai pengendali tidak hilang hanya karena data diproses oleh vendor.
Mulai dari gap analysis
Cara paling efisien untuk memulai adalah gap analysis: membandingkan kontrol yang sudah ada dengan yang dibutuhkan, lalu menyusun prioritas perbaikan. Banyak kontrol untuk UU PDP juga beririsan dengan ISO/IEC 27001, sehingga pekerjaannya bisa dimanfaatkan untuk dua tujuan sekaligus.
Tim konsultan keamanan siber iKodora membantu gap analysis dan implementasi kontrol teknis, bekerja berdampingan dengan penasihat hukum Anda untuk aspek legalnya.
