Kewajiban Perlindungan Data Pribadi bagi Perusahaan

Undang-Undang Pelindungan Data Pribadi menetapkan kewajiban bagi setiap pihak yang memproses data pribadi, termasuk perusahaan yang mengelola data karyawan, pelanggan, dan mitra. Kewajiban pokoknya mencakup memiliki dasar pemrosesan yang sah, memberitahukan tujuan pemrosesan, menjaga keamanan data, menghormati hak subjek data, serta menangani dan memberitahukan kegagalan pelindungan data.

Dasar Pemrosesan yang Sah

• Persetujuan yang sah dari subjek data untuk tujuan yang telah disampaikan
• Pemenuhan kewajiban perjanjian, misalnya data yang diperlukan untuk melaksanakan kontrak
• Pemenuhan kewajiban hukum, misalnya data karyawan untuk keperluan perpajakan dan jaminan sosial
• Pelindungan kepentingan vital subjek data
• Pelaksanaan kepentingan yang sah dengan memperhatikan hak subjek data

Persetujuan bukan satu-satunya dasar, dan tidak selalu dasar yang paling tepat. Menentukan dasar yang benar untuk setiap jenis pemrosesan adalah langkah pertama yang sering dilewati.

Hak Subjek Data

Subjek data berhak memperoleh informasi mengenai pemrosesan datanya, mengakses dan memperoleh salinannya, memperbaiki data yang keliru, mengakhiri pemrosesan dan menghapus datanya dalam hal tertentu, menarik persetujuan, serta menyampaikan keberatan atas pengambilan keputusan yang semata-mata otomatis. Perusahaan perlu memiliki cara yang jelas bagi subjek data untuk menyampaikan permintaan tersebut dan menanganinya dalam waktu yang wajar.

Langkah Praktis untuk Perusahaan

1. Menyusun inventaris data: data apa saja yang dikumpulkan, dari siapa, untuk apa, disimpan di mana, dan berapa lama
2. Menetapkan dasar pemrosesan untuk masing-masing kegiatan
3. Menyusun pemberitahuan privasi yang mudah dipahami dan menempatkannya di titik pengumpulan data
4. Membatasi akses internal hanya kepada yang memerlukan
5. Menetapkan jangka waktu penyimpanan dan prosedur pemusnahan
6. Mengatur hubungan dengan pihak ketiga yang mengolah data atas nama perusahaan melalui perjanjian
7. Menyiapkan prosedur penanganan kegagalan pelindungan data, termasuk pemberitahuannya

Kegagalan Pelindungan Data

Bila terjadi kebocoran atau kegagalan pelindungan data, perusahaan wajib memberitahukan kepada subjek data dan lembaga yang berwenang dalam jangka waktu yang ditentukan, dengan memuat informasi mengenai data yang terungkap, kapan dan bagaimana terjadi, serta upaya penanganannya. Menyiapkan prosedur ini sebelum insiden terjadi jauh lebih baik daripada menyusunnya dalam kepanikan.

Hubungannya dengan Keamanan Informasi

Kepatuhan pelindungan data pribadi menyangkut aspek hukum dan tata kelola, sedangkan keamanan informasi menyangkut pengendalian teknis dan organisasi. Keduanya saling melengkapi: kebijakan yang baik tanpa pengendalian teknis tidak mencegah kebocoran, sedangkan pengendalian teknis tanpa dasar hukum yang benar tetap menimbulkan pelanggaran. Perusahaan yang mengolah data dalam jumlah besar sebaiknya menangani keduanya secara terpadu.