UU PDP dan Software Bisnis Anda: Checklist Praktis untuk Perusahaan di Indonesia

Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, atau UU PDP, mulai berlaku pada Oktober 2022 dengan masa transisi dua tahun yang berakhir pada Oktober 2024. Sejak itu, setiap perusahaan yang mengumpulkan nama, nomor HP, NIK, alamat, atau data gaji wajib mengelolanya sesuai undang-undang. Artinya hampir semua bisnis yang punya daftar pelanggan atau penggajian.

Sebagian besar pekerjaannya bukan dokumen hukum, melainkan di software Anda: di mana data disimpan, siapa yang bisa melihatnya, berapa lama disimpan, dan apa yang terjadi kalau ada masalah. Artikel ini membahas sisi praktisnya. Ini bukan nasihat hukum, jadi pastikan detailnya dengan konsultan hukum sesuai kondisi Anda.

Apa saja yang termasuk data pribadi

UU PDP membagi data pribadi menjadi dua kelompok:

• Data umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan kombinasi data yang bisa mengidentifikasi seseorang, misalnya nomor HP ditambah alamat.
• Data spesifik, yang risikonya lebih tinggi: data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.

Slip gaji, nomor rekening, dan data BPJS di sistem HR termasuk yang paling sensitif, jadi sistem HR dan payroll butuh kontrol paling ketat.

Di mana data pribadi tersimpan di bisnis pada umumnya

• CRM dan pipeline penjualan: nama, nomor HP, email, riwayat pembelian.
• POS dan e-commerce: alamat pengiriman, riwayat pesanan, kadang foto KTP untuk kredit atau sewa.
• Chat WhatsApp dan spreadsheet hasil ekspor yang tersimpan di laptop staf.
• HR dan payroll: KTP, NPWP, data keluarga, gaji, rekening bank, surat sakit.
• Backup dan database testing yang merupakan salinan penuh data produksi.

Spreadsheet dan backup biasanya titik terlemah, karena tidak ada yang menganggapnya sebagai sistem.

Apa yang diminta undang-undang, secara sederhana

1. Dasar pemrosesan yang sah. Persetujuan adalah salah satunya, tapi ada juga pemenuhan kontrak, kewajiban hukum, dan kepentingan yang sah. Anda perlu tahu dasar mana yang berlaku untuk setiap jenis data.
2. Pembatasan tujuan. Data yang dikumpulkan untuk mengirim pesanan tidak boleh diam-diam menjadi daftar marketing.
3. Retensi terbatas. Simpan data hanya selama tujuannya, atau aturan lain, memerlukannya.
4. Hak subjek data. Orang berhak meminta akses, perbaikan, atau penghapusan datanya, menarik persetujuan, dan menolak sebagian keputusan otomatis.
5. Keamanan. Langkah teknis dan organisasi yang wajar untuk mencegah kebocoran dan akses tanpa izin.
6. Notifikasi kebocoran. Kalau data bocor, subjek data dan lembaga terkait wajib diberi tahu secara tertulis paling lambat 3 x 24 jam, berisi data apa yang terungkap, kapan dan bagaimana terjadinya, serta upaya penanganannya.
7. Vendor. Developer, penyedia hosting, atau SaaS yang memproses data untuk Anda berperan sebagai prosesor dan sebaiknya terikat kontrak.

Sanksinya meliputi sanksi administratif, mulai dari peringatan tertulis sampai denda hingga 2% dari pendapatan tahunan. Mengumpulkan, mengungkapkan, atau menggunakan data pribadi orang lain secara melawan hukum juga merupakan tindak pidana, dengan ancaman penjara paling lama empat sampai enam tahun dan denda paling banyak Rp4 sampai 6 miliar untuk perseorangan. Denda untuk korporasi bisa mencapai sepuluh kali lipat.

Aturan pelaksananya sudah terbit

Aturan rincinya terbit tahun ini. Peraturan Pemerintah (PP) No. 33 Tahun 2026 diundangkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. PP ini merinci kewajiban pengendali dan prosesor data, termasuk penilaian dampak pelindungan data, pejabat pelindungan data pribadi, transfer data ke luar negeri, dan sanksi administratif. PP ini juga memperjelas bahwa hitungan 3 x 24 jam dimulai setelah kegagalan pelindungan data dipastikan, berdasarkan bukti seperti log sistem atau laporan forensik.

Lembaga pengawasnya, Lembaga PDP, belum terbentuk sepenuhnya per Oktober 2026. Para konsultan hukum menegaskan hal ini bukan alasan untuk menunggu: kewajiban dalam undang-undang sudah berlaku, dan perusahaan punya waktu sampai Januari 2027 untuk bersiap menghadapi PP.

Checklist untuk sistem Anda

• Inventaris data. Catat sistem mana yang menyimpan data pribadi apa, untuk apa, dan berapa lama.
• Persetujuan yang tercatat. Kalau dasarnya persetujuan, simpan apa yang disetujui, kapan, dan versi teks mana yang dilihat.
• Akses berbasis peran. Kasir tidak perlu ekspor seluruh pelanggan; sales tidak perlu melihat gaji.
• Audit log. Catat siapa yang melihat, mengekspor, atau mengubah data sensitif.
• Enkripsi. HTTPS di semua tempat, database terenkripsi, dan backup terenkripsi.
• Job retensi. Tugas terjadwal yang menghapus atau menganonimkan data lama, bukan mengandalkan ingatan seseorang.
• Permintaan akses dan penghapusan. Cara mengekspor data satu orang, dan menghapusnya tanpa merusak faktur yang wajib disimpan.
• Deteksi kebocoran. Peringatan untuk login mencurigakan dan ekspor massal, agar tenggat notifikasi bisa dipenuhi.
• Data testing yang bersih. Developer sebaiknya memakai data dummy atau yang disamarkan, bukan salinan produksi.

Mulai dari mana

Mulailah dari inventaris. Kebanyakan perusahaan menemukan dua atau tiga tempat yang menyimpan data pribadi jauh lebih banyak dari dugaan, biasanya file ekspor dan backup lama. Benahi akses dan retensinya dulu, lalu lanjut ke pencatatan persetujuan dan penanganan permintaan. Kalau Anda memang sedang membangun atau mengganti sistem, masukkan fitur-fitur ini ke dalam brief sejak awal daripada menambahkannya belakangan.

Butuh bantuan meninjau cara CRM, POS, atau sistem HR Anda menangani data pribadi, atau membangun bagian yang belum ada? Hubungi CodeWorks dan kita petakan bersama.