Banyak perusahaan mengaku sudah patuh pada Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. Tapi begitu ditanya buktinya, jawaban sering berhenti di “kami punya privacy policy di website”. Padahal kebijakan privasi cuma etalase. Beban kepatuhan yang sebenarnya ada di dua dokumen yang jarang dilihat publik: RoPA dan DPIA.
Keduanya tidak sepopuler privacy policy karena sifatnya internal. Justru di situ letak nilainya. Saat regulator atau auditor datang, dua dokumen inilah yang biasanya ditanya lebih dulu.
RoPA, Catatan yang Diminta Pasal 31
UU PDP lewat Pasal 31 mewajibkan pengendali data merekam seluruh kegiatan pemrosesan data pribadi. Undang-undang memang tidak menyebut istilah Record of Processing Activities secara harfiah, tapi praktiknya mengarah ke sana. Catatan itu harus memuat jenis data yang diproses, kategori subjek data, pihak yang menerima data, dasar hukum pemrosesan, dan langkah pengamanan yang diterapkan. Tanpa RoPA, perusahaan sebenarnya tidak benar-benar tahu data apa saja yang mereka pegang. Itu masalah yang lebih besar dari kelihatannya.
DPIA, Menilai Risiko Sebelum Terlambat
DPIA atau Data Protection Impact Assessment adalah analisis untuk memetakan risiko terhadap data pribadi sebelum pemrosesan dijalankan. Dokumen ini menjadi wajib, atau setidaknya sangat dianjurkan, ketika pemrosesan berisiko tinggi. Contohnya melibatkan data sensitif dalam skala besar atau teknologi baru yang invasif. Logikanya sederhana. Menambal celah di fase desain jauh lebih murah daripada menambalnya setelah jadi temuan auditor atau insiden kebocoran.
Ingin mendalaminya lebih terstruktur? Taalenta punya kelas Indonesian Privacy Law (UU PDP) Masterclass: Ensuring Compliance through ISO 27001 Best Practices.
Kenapa Keduanya Sering Diabaikan
RoPA dan DPIA menuntut kerja lintas divisi dan tidak menghasilkan apa pun yang terlihat di permukaan. Tidak ada halaman cantik untuk dipamerkan ke pelanggan. Karena itu sering ditunda sampai ada pemicu, biasanya audit atau permintaan dari mitra bisnis. Sanksi administratif UU PDP yang bisa mencapai dua persen dari pendapatan tahunan membuat penundaan semacam ini jadi taruhan yang mahal.
Kepatuhan yang Bisa Dibuktikan
Kepatuhan data pribadi bukan soal punya kebijakan yang enak dibaca, melainkan soal bisa menunjukkan jejak yang rapi saat diminta. Perusahaan yang memperlakukan RoPA dan DPIA sebagai beban administratif biasanya baru berubah pikiran setelah satu insiden. Dan saat itu terjadi, ongkosnya sudah jauh lebih besar daripada menyiapkannya dari awal.
Referensi:
- Peraturan BPK – UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi → peraturan.bpk.go.id
- Hukumonline – Ketentuan Record of Processing Activities dalam UU PDP → hukumonline.com
- Fakultas Hukum Universitas Tarumanagara – Implementasi UU No. 27 Tahun 2022 dan Tantangan Penegakannya → fh.untar.ac.id