Cara Menyusun Privacy Notice Sesuai Ketentuan Pelindungan Data Pribadi

Cara Menyusun Privacy Notice Sesuai Ketentuan Pelindungan Data Pribadi

”Menyusun Privacy Notice bukan sekadar formalitas hukum, melainkan bentuk komitmen etis terhadap hak privasi konsumen dan pengguna.”

Perusahaan yang beroperasi saat ini sedang menghadapi tantangan yang semakin kompleks dalam hal pengelolaan data pribadi. Pengumpulan informasi dari pengguna, pelanggan, atau mitra bisnis menjadi bagian penting dari operasional sehari-hari, namun risiko penyalahgunaan data pribadi juga semakin tinggi.

Kepercayaan publik dapat dengan mudah hilang apabila data pribadi digunakan tanpa dasar hukum yang sah atau tanpa sepengetahuan pemilik data. Oleh karena itu, transparansi dalam pengelolaan data pribadi menjadi sangat penting sebagaimana halnya diatur dalam Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (UU PDP).

UU PDP menjadi kerangka hukum utama sebagai upaya negara menjaga hak individu atas data pribadinya. UU PDP mewajibkan perusahaan sebagai pengendali atau prosesor data pribadi untuk menyampaikan informasi secara jelas kepada pemilik data. Penyampaian informasi tersebut biasanya dilakukan melalui dokumen bernama privacy notice dan/atau privacy policy.

Baca juga: Hati-hati Menyerahkan Akta PT: Waspadai Risiko Kebocoran Data Pribadi

Perbedaan Privacy Notice dan Privacy Policy

Perusahaan di Indonesia perlu memahami bahwa privacy notice dan privacy policy bukanlah dua istilah yang dapat dipertukarkan. Keduanya memang sama-sama berkaitan dengan pengelolaan data pribadi, namun memiliki peran, isi, dan sasaran yang berbeda.

Privacy notice adalah bentuk informasi yang disampaikan oleh perusahaan kepada subjek data pribadi atau individu yang datanya dikumpulkan atau diproses. Dokumen tersebut bersifat publik dan wajib tersedia sebelum atau pada saat data pribadi dikumpulkan.

Tujuannya adalah memberikan transparansi kepada pengguna mengenai bagaimana data mereka akan digunakan. Privacy notice memuat informasi yang diwajibkan oleh Pasal 21 ayat (1) UU PDP, termasuk dasar hukum pemrosesan, tujuan pengumpulan data, jenis data yang diproses, periode retensi, jangka waktu pemrosesan, dan hak-hak pemilik data.

Sementara itu, privacy policy bersifat internal. Dokumen ini digunakan untuk mengatur prosedur dan kebijakan perusahaan dalam mengelola data pribadi secara menyeluruh. Adapun Pasal 16 ayat (2) huruf h UU PDP mengharuskan perusahaan dalam memproses data pribadi untuk melakukan pemrosesan data pribadi dengan bertanggungjawab dan dapat dibuktikan secara jelas.

Disitulah peran privacy policy menjadi penting. Meskipun tidak wajib diumumkan ke publik, dokumen tersebut dapat diminta dalam proses audit, permintaan oleh badan yang berwenang, atau sebagai bagian dari laporan kepatuhan.

Baca juga: Ketentuan Pelindungan Data Pribadi dalam Bisnis Kesehatan

Informasi yang Wajib Ada dalam Menyusun Privacy Notice

Pasal 21 ayat (1) UU PDP secara eksplisit mensyaratkan tujuh jenis informasi yang harus disampaikan kepada subjek data. Informasi-informasi tersebut meliputi: 

1. legalitas dari pemrosesan data pribadi;
2. tujuan pemrosesan data pribadi; 
3. jenis dan relevansi data pribadi yang akan diproses; 
4. jangka waktu retensi dokumen yang memuat data pribadi; 
5. rincian mengenai Informasi yang dikumpulkan; 
6. jangka waktu pemrosesan data pribadi; dan
7. hak subjek data pribadi.

Jika terjadi perubahan dalam informasi di atas, Pasal 21 ayat (2) UU PDP mengharuskan pengendali data memberitahukan perubahan tersebut kepada subjek data sebelum perubahan diterapkan.

Hingga saat ini ketentuan teknis pelaksanaan UU PDP masih dalam proses pengaturan. Pemerintah sedang menyusun Peraturan Pemerintah (PP) Pelaksana UU PDP serta Peraturan Presiden untuk pembentukan Badan Pengawas PDP.

Setelah terbit, peraturan turunan ini akan memperjelas mekanisme pelaksanaan kewajiban pengendali data pribadi. Sementara itu, perusahaan harus mematuhi ketentuan UU PDP yang sudah berlaku sejak 17 Oktober 2024. terutama memastikan privacy notice mencantumkan semua informasi wajib sesuai Pasal 21 UU PDP.

Baca juga: Awas! Ini Sanksi terhadap Perusahaan yang Tidak Menerapkan Pelindungan Data Pribadi

Sanksi atas Kelalaian

Pelanggaran terhadap kewajiban menyampaikan informasi yang diwajibkan Pasal 21 UU PDP dapat dikenai sanksi administratif. Adapun Pasal 57 UU PDP menyebutkan bahwa pelanggaran kewajiban ini antara lain dapat berakibat pada peringatan tertulis, penghentian sementara pemrosesan data, penghapusan/pemusnahan data pribadi, dan/atau denda administratif.

Sebagai contoh, jika sebuah perusahaan tidak mencantumkan jenis data yang diproses atau tidak menyatakan hak-hak subjek data dalam privacy notice, maka ia akan berisiko mendapat sanksi peringatan hingga denda sesuai aturan. 

Dengan demikian, sangat penting bagi perusahaan memeriksa dan memperbarui privacy notice agar sudah lengkap memuat informasi yang diwajibkan oleh UU PDP.

Pastikan Perusahaan Anda Telah Menerapkan Perlindungan Data Pribadi Yang Sesuai! Hubungi Konsultan Kami Melalui email ask@bplawyers.co.id

Penulis: Sekar Ayu/Arivigo Pranata

Editor: Genies Wisnu Pradana

Artikel ini telah mendapat persetujuan untuk dipublikasikan oleh Partner BP Lawyers Counselors at Law.