Pemetaan data dan kebijakan privasi (UU 27/2022)Data mapping and privacy policies (Law 27/2022)

Hampir setiap usaha kini memproses data pribadi: nama dan nomor telepon pelanggan, data karyawan, rekaman kamera pengawas, hingga data lokasi dari aplikasi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data menjelaskan pemrosesan itu secara transparan dan menjaganya dengan baik. Jasa pembuatan kebijakan privasi yang benar tidak dimulai dari menulis dokumen, tetapi dari pemetaan data: mengetahui data apa yang Anda kumpulkan, untuk apa, disimpan di mana, dan dibagikan kepada siapa.

Mengapa pemetaan data harus didahulukan

Kebijakan privasi yang disalin dari situs lain sering menjanjikan hal yang tidak dilakukan perusahaan, atau sebaliknya, tidak menyebut pemrosesan yang sebenarnya terjadi. Keduanya berisiko. Kebijakan privasi adalah pernyataan publik, sehingga isinya harus cocok dengan praktik nyata. Satu-satunya cara memastikan kecocokan itu adalah melakukan inventarisasi data lebih dulu.

Pemetaan data juga menjadi dasar kewajiban lain menurut UU PDP, seperti menentukan dasar pemrosesan, menanggapi permintaan subjek data, menilai kebutuhan penilaian dampak, dan menyiapkan langkah bila terjadi kegagalan pelindungan data.

Apa yang dipetakan

• Jenis data. Data pribadi umum seperti nama dan alamat, serta data yang bersifat spesifik seperti data kesehatan, biometrik, data anak, dan data keuangan pribadi.
• Sumber data. Formulir daring, aplikasi, kasir, rekrutmen, mitra, atau pihak ketiga.
• Tujuan pemrosesan. Misalnya pelaksanaan kontrak, pemasaran, keamanan, atau kewajiban hukum.
• Dasar pemrosesan. Persetujuan, pelaksanaan perjanjian, kewajiban hukum, kepentingan vital, tugas publik, atau kepentingan yang sah, sesuai yang dikenal UU PDP.
• Lokasi penyimpanan. Server sendiri, layanan komputasi awan, atau berkas fisik.
• Penerima data. Vendor, prosesor, perusahaan grup, atau pihak di luar negeri.
• Masa retensi. Berapa lama data disimpan dan bagaimana dimusnahkan.
• Langkah pengamanan. Kontrol akses, enkripsi, dan pencatatan akses.

Alur kerja jasa pembuatan kebijakan privasi

1. Lokakarya awal. Tim mewawancarai pemilik proses di pemasaran, penjualan, personalia, TI, dan layanan pelanggan.
2. Penyusunan register pemrosesan. Hasil wawancara dituangkan dalam tabel aktivitas pemrosesan yang dapat diperbarui.
3. Analisis kesenjangan. Praktik yang belum memiliki dasar pemrosesan jelas, retensi berlebihan, atau transfer data tanpa perjanjian ditandai.
4. Penyusunan kebijakan privasi eksternal. Dokumen untuk pelanggan dan pengguna, ditulis dengan bahasa yang mudah dipahami.
5. Penyusunan kebijakan internal. Aturan bagi karyawan tentang akses, penyimpanan, dan pelaporan insiden.
6. Penyesuaian formulir dan persetujuan. Teks persetujuan pada formulir, aplikasi, dan situs disesuaikan dengan hasil pemetaan.
7. Serah terima dan pelatihan singkat. Tim internal dibekali cara memperbarui register saat ada proses baru.

Isi kebijakan privasi yang baik

• Identitas pengendali data dan cara menghubunginya.
• Data apa yang dikumpulkan dan dari mana.
• Tujuan serta dasar pemrosesan untuk masing-masing tujuan.
• Pihak yang menerima data, termasuk bila ada transfer ke luar negeri.
• Masa penyimpanan.
• Hak subjek data, seperti hak mengakses, memperbaiki, menghapus, dan menarik persetujuan, serta cara mengajukannya.
• Cara perusahaan mengamankan data.
• Tanggal berlaku dan cara pemberitahuan perubahan.

Kesalahan yang sering terjadi

• Satu kotak centang untuk semua tujuan, sehingga persetujuan pemasaran bercampur dengan persetujuan layanan.
• Kebijakan privasi hanya dalam bahasa Inggris untuk pengguna di Indonesia.
• Tidak menyebut vendor pihak ketiga yang menerima data, seperti penyedia analitik atau pengiriman pesan.
• Menyimpan data mantan pelamar atau mantan pelanggan tanpa batas waktu.
• Kebijakan disusun sekali lalu tidak diperbarui saat ada fitur atau vendor baru.

Siapa yang membutuhkan layanan ini

Hampir semua usaha yang mengumpulkan data pelanggan atau karyawan, terutama toko daring, aplikasi, klinik, sekolah, lembaga keuangan, penyelenggara acara, dan perusahaan dengan program loyalitas. Perusahaan yang akan menjalani uji tuntas investor juga sering diminta menunjukkan register pemrosesan dan kebijakan privasi yang rapi.

Dokumen yang perlu Anda siapkan

• Daftar sistem dan aplikasi yang dipakai.
• Formulir yang mengumpulkan data, baik cetak maupun daring.
• Daftar vendor dan perjanjian dengan mereka.
• Kebijakan TI dan keamanan informasi yang sudah ada.

Lama pengerjaan dan faktor biaya

Waktu pengerjaan bergantung pada jumlah unit bisnis, jumlah sistem, dan ketersediaan narasumber internal. Usaha dengan satu situs dan sedikit vendor dapat selesai jauh lebih cepat dibanding grup usaha dengan banyak aplikasi. Biaya dipengaruhi oleh ruang lingkup pemetaan, jumlah dokumen yang disusun, dan kebutuhan versi dwibahasa.

Bila Anda ingin memastikan kebijakan privasi sesuai dengan praktik nyata dan ketentuan UU PDP, tim ALLMAR Law & Investment dapat membantu memetakan data, menyusun kebijakan, dan menyesuaikan formulir persetujuan Anda.