UU Pelindungan Data Pribadi: kewajiban usaha yang menyimpan data pelanggan

Setiap kali pelanggan mengisi formulir di website, mengirim alamat lewat WhatsApp, atau mendaftar ke daftar pelanggan Anda, Anda sedang menyimpan data pribadi. Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku, pengelolaan data seperti ini punya aturan yang jelas. Berikut kewajiban pokoknya dalam bahasa sederhana.

Apakah usaha kecil juga terkena?

Menurut UU PDP, data pribadi adalah data tentang orang yang teridentifikasi atau dapat diidentifikasi, baik sendiri maupun jika digabung dengan informasi lain. Nama, nomor HP, alamat, dan riwayat pesanan pelanggan termasuk di dalamnya.

Pihak yang menentukan tujuan dan mengendalikan pengolahan data itu disebut pengendali data pribadi. Definisinya mencakup setiap orang, badan publik, dan organisasi internasional. Jadi pemilik usaha yang menyimpan data pelanggannya sendiri juga termasuk.

Sejak kapan berlaku?

• UU PDP diundangkan dan berlaku sejak 17 Oktober 2022 (Pasal 76).
• Pengendali data diberi waktu menyesuaikan diri paling lama 2 tahun sejak diundangkan (Pasal 74). Artinya, masa penyesuaian itu sudah berakhir pada Oktober 2024.

Empat kewajiban pokok

1. Punya dasar yang sah untuk memakai data (Pasal 20)

Anda wajib punya dasar pemrosesan. Undang-undang menyebut enam dasar, antara lain:

• persetujuan yang sah dari pemilik data untuk tujuan tertentu;
• pelaksanaan perjanjian, misalnya alamat yang diperlukan untuk mengirim pesanan.

2. Memberi tahu dengan jelas saat meminta persetujuan (Pasal 21)

Jika dasarnya persetujuan, Anda wajib menyampaikan informasi, antara lain:

• tujuan pemakaian data;
• jenis data yang dikumpulkan;
• berapa lama data disimpan;
• hak-hak pemilik data.

3. Menjaga keamanannya (Pasal 35)

Anda wajib melindungi dan mengamankan data yang Anda olah, termasuk dengan langkah teknis dan operasional yang sesuai dengan sifat dan risiko datanya.

4. Memberi tahu jika data bocor (Pasal 46)

Jika terjadi kegagalan pelindungan data, Anda wajib memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data dan kepada lembaga pengawas. Isinya minimal:

• data apa yang terungkap;
• kapan dan bagaimana kejadiannya;
• apa yang sudah dilakukan untuk menangani dan memulihkannya.

Pelanggaran terhadap sejumlah kewajiban ini, termasuk Pasal 20 ayat (1) dan Pasal 21, dapat dikenai sanksi administratif (Pasal 57).

Langkah praktis untuk website dan WhatsApp usaha

1. Minta data seperlunya. Formulir pemesanan cukup berisi data yang benar-benar dipakai, misalnya nama, nomor WhatsApp, dan alamat pengiriman.
2. Tulis kebijakan privasi singkat di website. Isinya: data apa yang Anda kumpulkan, untuk apa, berapa lama disimpan, dan cara pelanggan meminta datanya dihapus.
3. Amankan akses. Pakai kata sandi kuat dan verifikasi dua langkah untuk akun yang menyimpan data pelanggan: email, WhatsApp Business, dan panel website.
4. Hapus data yang sudah tidak diperlukan. Misalnya pesanan lama yang sudah selesai dan tidak perlu disimpan lagi.
5. Siapkan rencana jika terjadi kebocoran, termasuk siapa yang menghubungi pelanggan, supaya batas 3 x 24 jam bisa dipenuhi.

Tulisan ini informasi umum, bukan nasihat hukum. Untuk kondisi usaha Anda yang spesifik, konsultasikan dengan ahli hukum.