GETUU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi sudah melewati masa transisinya. Penegakannya berada di bawah Komdigi, dan pemerintah menargetkan Lembaga PDP yang diamanatkan Pasal 58 mulai beroperasi — jadwal yang sudah beberapa kali bergeser, tapi arahnya jelas.
Buat bisnis yang memakai AI dan otomasi, ini bukan urusan sampingan. Hampir semua sistem yang kami bangun menyentuh data pelanggan.
Sanksinya
- Administratif — peringatan tertulis, kewajiban memperbaiki, sampai denda hingga 2% dari pendapatan tahunan.
- Pidana — untuk pelanggaran berat; pembuatan data pribadi palsu diancam pidana penjara sampai 6 tahun dan denda sampai Rp6 miliar.
- Perdata — pihak yang dirugikan bisa menuntut ganti rugi.
Kewajiban yang paling sering terlewat
- Dasar pemrosesan yang sah — persetujuan bukan satu-satunya dasar, tapi harus ada dan harus bisa ditunjukkan.
- Pemberitahuan privasi yang transparan — ditulis supaya dimengerti orang biasa, bukan cuma memenuhi format.
- Sembilan hak subjek data — termasuk hak akses, koreksi, dan penghapusan. Ini menuntut kemampuan operasional: Anda harus benar-benar bisa menemukan dan menghapus data seseorang.
- Notifikasi kebocoran dalam 72 jam — ini yang paling sulit dipenuhi mendadak. Tanpa deteksi dan alur eskalasi yang sudah disiapkan, 72 jam habis hanya untuk memastikan apa yang terjadi.
- Penunjukan DPO bila memenuhi ambang yang ditentukan.
- Penilaian dampak untuk pemrosesan berisiko tinggi — dan pemrosesan otomatis berskala besar biasanya masuk kategori ini.
Kalau alur data Anda sudah tersebar di banyak tempat, memetakannya lebih dulu jauh lebih murah daripada menambalnya saat insiden. Pendekatan yang kami pakai ada di Dashboard & Analitik.
Tulisan ini gambaran umum, bukan nasihat hukum. Untuk keputusan kepatuhan, konsultasikan dengan penasihat hukum Anda.