Kewajiban Perusahaan Dalam UU PDP dan Konsekuensinya

Kewajiban Perusahaan Dalam UU PDP dan Konsekuensinya

“Pelaku usaha yang melanggar ketentuan UU PDP dapat dikenakan denda hingga 2% dari pendapatan tahunan, tergantung pada jenis pelanggaran.”

Dengan diberlakukannya Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), Indonesia memasuki babak baru dalam upaya perlindungan data pribadi. 

Seiring dengan berlakunya UU tersebut, perusahaan di Indonesia kini memiliki kewajiban baru untuk menjaga dan melindungi data pribadi pelanggan, karyawan, serta pihak terkait lainnya.

UU ini bertujuan memastikan data pribadi yang dikumpulkan dan diproses perusahaan digunakan secara transparan, aman, dan menghormati hak individu. Sehingga, perusahaan diwajibkan mengambil langkah teknis dan administratif untuk melindungi data pribadi dari penyalahgunaan.

Apabila perusahaan tidak memenuhi kewajiban ini, sanksi akan dikenakan. Lantas, kewajiban apa saja yang harus dipenuhi oleh perusahaan, dan sanksi apa yang mungkin dikenakan yang dapat berdampak pada perusahaan? Simak pembahasan selengkapnya di sini!

Baca juga: Ini Dia! Kewajiban Pelaku Usaha dalam Pelindungan Data Pribadi

Apa Saja Kewajiban Perusahaan di Bawah UU PDP?

Kewajiban pelaku usaha terkait pemrosesan data pribadi, sebagaimana diatur dalam Pasal 16 UU PDP, dibagi menjadi enam tahap, yaitu:

1. Pemerolehan dan pengumpulan data;
2. Pengolahan dan analisis data;
3. Penyimpanan data;
4. Perbaikan dan pembaruan data
5. Penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan data;
6. Penghapusan atau pemusnahan data.

Di setiap tahap pemrosesan tersebut, terdapat kewajiban tertentu yang perlu dipenuhi. Namun, secara umum, pemrosesan data pribadi tersebut harus mengikuti prinsip-prinsip PDP sebagai berikut:

1. Pemrosesan dilakukan secara terbatas, sah, dan transparan: Data pribadi hanya diproses untuk tujuan yang sah dan terbatas, dengan proses yang transparan, yaitu subjek data mengetahui bagaimana dan mengapa data mereka diproses.
2. Pemrosesan harus sesuai dengan tujuan yang telah ditetapkan: Data pribadi hanya boleh diproses untuk tujuan yang jelas dan telah ditetapkan sebelumnya, sesuai dengan apa yang diinformasikan kepada subjek data saat pengumpulan data.
3. Pemrosesan harus menjamin hak-hak subjek data pribadi: Pemrosesan data harus dilakukan dengan menghormati hak-hak individu, seperti hak untuk mengakses, memperbaiki, atau menghapus data pribadi mereka.
4. Data yang diproses harus akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan: Data yang digunakan harus valid dan relevan, diperbarui jika perlu, dan dapat dibuktikan kebenarannya untuk menghindari kesalahan atau penyalahgunaan.
5. Pemrosesan harus melindungi data pribadi dari pengaksesan, pengungkapan, pengubahan, atau penghilangan yang tidak sah: Pelaku usaha wajib menjaga keamanan data pribadi dari risiko akses atau perubahan yang tidak sah dengan menerapkan langkah-langkah perlindungan yang tepat.
6. Pelaku usaha harus memberitahukan tujuan dan kegiatan pemrosesan serta potensi kegagalan dalam perlindungan data pribadi: Pelaku usaha harus transparan tentang bagaimana data pribadi akan diproses, serta memberi tahu subjek data jika terjadi masalah dalam perlindungan data mereka.
7. Data pribadi harus dimusnahkan atau dihapus setelah masa retensinya berakhir, atau atas permintaan subjek data, kecuali diatur lain oleh peraturan perundang-undangan: Data pribadi yang sudah tidak diperlukan lagi atau yang diminta oleh subjek data harus dihapus atau dimusnahkan, kecuali ada kewajiban hukum yang mengharuskan untuk menyimpannya lebih lama.
8. Pemrosesan data pribadi harus dilakukan dengan penuh tanggung jawab dan dapat dipertanggungjawabkan: Pelaku usaha harus bertanggung jawab atas setiap tindakan yang berkaitan dengan data pribadi, dan siap mempertanggungjawabkan kebijakan atau pelanggaran terkait perlindungan data pribadi sesuai dengan hukum yang berlaku.

Baca juga: Model Bisnis Shared Services, Aspek Hukum dan Prosedurnya

Tugas Pengendali, Prosesor dan Data Protection Officer

Selain kewajiban dalam memproses data, pelaku usaha juga memiliki kewajiban berdasarkan perannya, baik sebagai pengendali data pribadi, prosesor data pribadi, maupun kewajiban untuk menunjuk Data Protection Officer (DPO) sesuai dengan Pasal 52 UU PDP.

• Pengendali Data Pribadi

Berdasarkan UU PDP, Pengendali Data Pribadi memiliki sejumlah kewajiban untuk melindungi data pribadi yang dikelola. Kewajiban ini meliputi persyaratan dasar hukum yang sah sebelum memproses data, seperti persetujuan dari Subjek Data, kewajiban hukum, atau kepentingan publik (Pasal 20-23 UU PDP). 

Persetujuan harus diberikan secara jelas dan bebas, dengan hak bagi Subjek Data untuk mencabut persetujuan kapan saja tanpa mempengaruhi pemrosesan sebelumnya. Selain itu, Pengendali Data wajib memberikan informasi yang transparan terkait tujuan pemrosesan, jenis data yang dikumpulkan, serta hak-hak Subjek Data.

Di sisi lain, dalam hal perlindungan dan keamanan data, Pengendali Data diwajibkan untuk menerapkan langkah-langkah teknis dan organisasi guna mencegah akses tidak sah, kebocoran, atau kerusakan data pribadi (Pasal 34-37 UU PDP). 

Jika terjadi pelanggaran data, Pengendali Data harus segera melaporkannya kepada otoritas terkait serta Subjek Data dalam waktu maksimal tiga (3) hari sejak terjadinya pelanggaran (Pasal 35 UU PDP). Selain itu, Pengendali Data juga wajib memfasilitasi hak-hak Subjek Data, seperti hak untuk mengakses, memperbaiki, menghapus data, dan mencabut persetujuan.

Sesuai Pasal 39 UU PDP, Pengendali Data juga harus memperhatikan ketentuan terkait penyimpanan dan penghapusan data. Data pribadi hanya boleh disimpan selama diperlukan sesuai dengan tujuan awal pengumpulannya. 

Setelah tujuan pemrosesan tercapai atau persetujuan dicabut oleh Subjek Data, data harus segera dihapus kecuali terdapat kewajiban hukum yang mengharuskan penyimpanan lebih lama.

• Prosesor Data Pribadi

Berdasarkan Pasal 51 dan Pasal 52 UU PDP, Prosesor Data Pribadi memiliki kewajiban untuk memproses data pribadi sesuai dengan perintah Pengendali Data Pribadi. 

Prosesor harus mengikuti ketentuan yang diatur dalam UU ini dan tidak diperbolehkan memproses data di luar perintah yang diberikan. Apabila melibatkan Prosesor lain, persetujuan tertulis dari Pengendali wajib diperoleh terlebih dahulu. Jika Prosesor melakukan pemrosesan di luar perintah atau tujuan yang ditetapkan, tanggung jawab beralih kepada Prosesor tersebut.

Selain itu, kewajiban yang berlaku bagi Pengendali Data Pribadi seperti pengamanan data, pelaporan pelanggaran, dan penghormatan hak Subjek Data juga berlaku bagi Prosesor. Ini mencakup penerapan langkah-langkah keamanan, perlindungan hak Subjek Data, dan kewajiban transparansi dalam pengelolaan data pribadi.

• Data Protection Officer

Pelaku usaha yang mengelola data dalam skala besar atau terkait dengan data sensitif wajib menunjuk seorang DPO yang bertugas memberikan saran, memastikan kepatuhan terhadap UU PDP, serta memantau dan menjadi narahubung terkait isu perlindungan data (Pasal 54 UU PDP).

Baca juga: Petugas Perlindungan Data Pribadi: Wajibkah Dimiliki Perusahaan?

Konsekuensi Bagi yang Tidak Mematuhi UU PDP

Pelaku usaha yang melanggar ketentuan UU PDP dapat dikenakan denda hingga 2% dari pendapatan tahunan, tergantung pada jenis pelanggaran. 

Sebagai contoh, jika sebuah perusahaan melanggar ketentuan perlindungan data pribadi dan pendapatan tahunan perusahaan tersebut sebesar Rp 100 miliar, maka denda yang dapat dikenakan adalah maksimal Rp 2 miliar, tergantung pada jenis pelanggaran yang dilakukan.

Selain sanksi finansial, perusahaan juga berisiko mengalami kerusakan reputasi dan kewajiban ganti rugi kepada individu yang datanya disalahgunakan. Pelanggaran serius bisa berujung pada pencabutan izin usaha atau pembatasan operasional.

Untuk menghindari konsekuensi tersebut, pelaku usaha harus mematuhi ketentuan UU PDP dan memastikan pengelolaan data pribadi konsumen dilakukan dengan baik, sehingga memperkuat kepercayaan dan hubungan bisnis.

Sejak berlaku efektif pada 17 Oktober, pelaku usaha wajib mematuhi ketentuan UU PDP untuk melindungi data konsumen dan menghindari sanksi yang berlaku. 

Prolegal Indonesia siap membantu Anda dalam persiapan dan konsultasi hukum terkait. Hubungi kami untuk informasi lebih lanjut.

Author: Sabilla Salsabilla

Editor: Genies Wisnu Pradana