Definisi
Pemrosesan data pribadi adalah setiap tindakan yang dilakukan terhadap data pribadi seseorang, meliputi pemerolehan dan pengumpulan, pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan atau pengungkapan, serta penghapusan atau pemusnahan. Definisi ini sangat luas — hampir setiap kali data pribadi “disentuh” dengan cara apa pun, itu sudah masuk kategori pemrosesan.
Artinya, aplikasi yang sekadar menyimpan nomor telepon pengguna di server pun sudah melakukan pemrosesan data pribadi, dan karenanya tunduk pada seluruh kewajiban UU PDP — bukan hanya perusahaan yang secara aktif menjual atau menganalisis data.
Dasar Hukum
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang berlaku penuh sejak Oktober 2024, mengatur pemrosesan data pribadi secara komprehensif. Pasal 16 mendefinisikan cakupan pemrosesan sebagaimana disebut di atas. Pasal 20 menetapkan bahwa pemrosesan hanya sah kalau memiliki salah satu dari enam dasar hukum: persetujuan eksplisit subjek data, pemenuhan kewajiban perjanjian, pemenuhan kewajiban hukum, perlindungan kepentingan vital, pelaksanaan tugas kepentingan umum, atau pemenuhan kepentingan sah dari pengendali data.
Pasal 65 melarang perolehan atau pengumpulan data pribadi secara melawan hukum yang bertujuan menguntungkan diri sendiri dan merugikan subjek data — ketentuan ini menjadi dasar pemidanaan untuk kasus seperti jual-beli data pribadi secara ilegal atau pencurian data untuk penipuan.
Prinsip-Prinsip Pemrosesan
UU PDP mewajibkan pengendali data memenuhi sejumlah prinsip dalam setiap pemrosesan, bukan sekadar punya dasar hukum yang sah:
- Pembatasan tujuan (purpose limitation) — data hanya boleh dipakai untuk tujuan yang sudah diberitahukan sejak awal, tidak boleh dipakai diam-diam untuk tujuan lain.
- Minimalisasi data (data minimization) — hanya mengumpulkan data yang benar-benar diperlukan, bukan mengumpulkan sebanyak mungkin “siapa tahu berguna nanti”.
- Akurasi — data yang diproses harus akurat dan diperbarui bila ada perubahan.
- Pembatasan penyimpanan — data tidak boleh disimpan lebih lama dari yang diperlukan untuk mencapai tujuannya.
- Integritas dan kerahasiaan — data harus dilindungi dari akses tidak sah, kebocoran, atau perubahan yang tidak semestinya.
- Akuntabilitas — pengendali data harus bisa membuktikan kepatuhannya terhadap seluruh prinsip di atas, bukan sekadar mengklaim patuh.
Pemrosesan data yang bersifat spesifik — data kesehatan, biometrik, genetika, catatan kejahatan, atau data anak — memerlukan perlindungan tambahan karena risikonya lebih tinggi bila disalahgunakan.
Hak dan Kewajiban Para Pihak
Kewajiban pengendali data meliputi: memperoleh dasar hukum yang sah sebelum memproses data, memberi informasi jelas soal tujuan pemrosesan, menjaga keamanan data, dan menyediakan mekanisme bagi subjek data untuk menggunakan hak-haknya.
Hak subjek data meliputi hak mendapat informasi soal pemrosesan datanya, hak mengakses dan memperoleh salinan datanya, hak memperbaiki data yang tidak akurat, hak menghapus dan/atau memusnahkan data, hak menarik kembali persetujuan yang pernah diberikan, serta hak mengajukan keberatan atas tindakan pemrosesan tertentu, misalnya untuk keperluan pemasaran langsung.
Consent yang diberikan subjek data harus spesifik untuk tujuan tertentu — consent untuk “membuat akun” tidak otomatis mencakup consent untuk “dibagikan ke pihak ketiga untuk pemasaran”, kecuali disebutkan secara terpisah dan jelas.
Contoh Kasus
Sebuah perusahaan e-commerce memproses data pribadi pelanggan meliputi nama, alamat, nomor telepon, dan riwayat transaksi. Perusahaan wajib memperoleh consent eksplisit sebelum menggunakan data itu untuk keperluan pemasaran di luar transaksi jual-beli. Consent harus diberikan secara spesifik, dan pelanggan berhak menarik kembali persetujuannya kapan saja tanpa dipersulit.
Sebuah startup yang mengumpulkan data lokasi pengguna untuk layanan navigasi ternyata juga memakai data lokasi itu untuk profiling dan penargetan iklan tanpa memberitahu pengguna sejak awal. Setelah berlakunya UU PDP, penggunaan data untuk tujuan yang tidak diinformasikan ini merupakan pelanggaran prinsip pembatasan tujuan dan bisa dikenai sanksi administratif oleh lembaga pengawas.
Seseorang menemukan nomor teleponnya dijual ke pihak penawar pinjaman online tanpa pernah memberi izin ke pihak mana pun. Setelah ditelusuri, kebocoran berasal dari aplikasi lain yang pernah ia gunakan dan memperjualbelikan data penggunanya secara melawan hukum — perbuatan yang bisa dijerat Pasal 65 UU PDP dengan ancaman pidana bagi pihak yang menjual data tersebut.
Kesalahpahaman Umum
Banyak yang mengira consent yang sudah dicentang sekali di awal pendaftaran aplikasi berlaku selamanya untuk semua jenis penggunaan data. Padahal consent harus spesifik per tujuan, dan subjek data berhak menarik consent tersebut kapan saja tanpa harus memberi alasan.
Kesalahpahaman lain: menganggap perusahaan boleh menyimpan data pengguna selamanya “untuk berjaga-jaga”. Prinsip pembatasan penyimpanan mewajibkan data dihapus atau dianonimkan setelah tidak lagi diperlukan untuk tujuan awal, bukan disimpan tanpa batas waktu hanya karena secara teknis masih memungkinkan.
Pertanyaan yang Sering Diajukan
Apakah semua pemrosesan data pribadi wajib pakai consent? Tidak. Consent hanyalah satu dari enam dasar hukum yang sah menurut Pasal 20 UU PDP. Pemrosesan bisa juga sah berdasarkan pemenuhan kewajiban perjanjian (misalnya data pengiriman untuk transaksi jual-beli) atau pemenuhan kewajiban hukum (misalnya pelaporan data ke otoritas pajak), tanpa perlu meminta consent tambahan.
Bagaimana kalau sebuah perusahaan memproses data tanpa dasar hukum yang jelas? Pemrosesan tanpa dasar hukum yang sah berpotensi dikenai sanksi administratif oleh lembaga pengawas perlindungan data pribadi, mulai dari teguran tertulis, penghentian sementara pemrosesan, hingga denda administratif. Untuk pelanggaran yang disertai unsur melawan hukum dan niat menguntungkan diri sendiri, ketentuan pidana dalam UU PDP juga bisa diterapkan.
Apakah pengendali data wajib punya petugas pelindungan data (DPO)? UU PDP mewajibkan penunjukan petugas pelindungan data bagi pengendali tertentu, terutama yang memproses data dalam skala besar, data spesifik, atau kegiatan pemantauan yang bersifat rutin dan sistematis. Bagi pengendali skala kecil tanpa aktivitas berisiko tinggi, kewajiban ini bisa lebih longgar, meski tetap disarankan sebagai praktik tata kelola yang baik.