UU PDP: Kewajiban Perekaman Data yang Harus Dipenuhi

UU PDP: Kewajiban Perekaman Data yang Harus Dipenuhi

”Perekaman data pribadi oleh Pengendali atau Prosesor Data Pribadi dilakukan untuk memenuhi prinsip akuntabilitas dan kepatuhan atas UU PDP.”

Berbagai negara telah mengadopsi aturan yang mewajibkan pengendali data untuk mencatat dan mendokumentasikan aktivitas pemrosesan data pribadi. Hal tersebut tentunya bertujuan untuk meningkatkan transparansi, akuntabilitas, dan kepatuhan hukum terhadap regulasi yang berlaku.

Salah satu prinsip utama dalam perlindungan data pribadi adalah akuntabilitas. Pengendali maupun Prosesor data diwajibkan untuk mencatat berbagai aspek dalam pemrosesan data, termasuk jenis data yang dikumpulkan, tujuan pemrosesan, pihak yang memiliki akses, durasi penyimpanan, serta langkah-langkah keamanan yang diterapkan.

Dengan menerapkan sistem perekaman yang sesuai dengan regulasi, Pengendali atau Prosesor data pribadi tidak hanya menghindari risiko hukum, namun juga membangun kepercayaan pelanggan atau mitra bisnis serta meningkatkan keamanan data secara keseluruhan.

Baca juga: Kewajiban Pelindungan Data Pribadi Saat Perusahaan Sedang Diakuisisi

Kewajiban Melakukan Perekaman Data dalam UU PDP

Perusahaan atau organisasi yang memproses data pribadi, sesuai dengan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), memiliki kewajiban untuk merekam seluruh aktivitas pemrosesan data tersebut. 

Berdasarkan Pasal 31 jo. Pasal 52 UU PDP, kewajiban tersebut berlaku baik bagi Pengendali Data Pribadi, yang menentukan tujuan dan cara pemrosesan, maupun bagi Prosesor Data Pribadi, yang memproses data berdasarkan instruksi dari Pengendali. 

Namun, UU PDP belum memberikan definisi atau panduan teknis terkait ruang lingkup dan pelaksanaan kewajiban perekaman tersebut. Kemungkinan, panduan lebih lanjut akan diatur dalam peraturan pemerintah terkait.​

Secara umum, “perekaman” dapat dipahami sebagai proses mencatat aktivitas pemrosesan data pribadi hingga menghasilkan rekaman tertentu. 

Aktivitas pemrosesan yang wajib direkam meliputi pemerolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, penampilan, pengumuman, transfer, penyebarluasan, pengungkapan, penghapusan, atau pemusnahan data pribadi. 

Dengan demikian, satu atau lebih dari aktivitas tersebut yang dilakukan oleh Pengendali atau Prosesor Data Pribadi harus direkam.​ Dalam praktiknya, dikenal konsep Record of Processing Activities (ROPA), yaitu dokumen yang mencatat seluruh aktivitas pemrosesan data pribadi oleh suatu organisasi atau perusahaan. 

ROPA biasanya berbentuk spreadsheet dan membantu organisasi memulai proses perekaman data. Selain ROPA, organisasi juga harus memastikan bahwa sistem elektronik yang digunakan mampu merekam aktivitas pemrosesan data pribadi. 

Rekaman tersebut berguna untuk keperluan pengawasan pihak yang berwenang, penegakan hukum, penyelesaian sengketa, verifikasi, pengujian, dan keperluan lainnya. 

Namun, penting untuk memastikan bahwa perekaman aktivitas pemrosesan data pribadi memiliki dasar hukum yang jelas, terutama jika data pribadi subjek data direkam di dalamnya. Perekaman dapat dilakukan tanpa menyimpan data pribadi spesifik milik subjek data.​

Baca juga: Bank DKI Diduga Alami Kebocoran Data, Bagaimana Pertanggungjawabannya?

Kerangka Regulasi Menurut RPP PDP

Hingga artikel ini ditulis, Peraturan Pemerintah yang diamanatkan dibentuk oleh UU PDP masih belum diundangkan oleh pemerintah, oleh karena itu pemerintah telah merilis draft pada tanggal 31 Agustus 2023 tentang Rancangan Peraturan Pemerintah UU PDP (RPP PDP). 

Berdasarkan ketentuan Pasal 87 RPP PDP, kegiatan perekaman oleh Pengendali maupun Prosesor data pribadi paling sedikit memuat:

1. nama dan detail kontak pengendali data pribadi, pengendali data pribadi bersama, dan/atau prosesor data pribadi; 
2. kontak pejabat pelindung data pribadi; 
3. sumber pengumpulan dan tujuan pengiriman data pribadi; 
4. dasar pemrosesan data pribadi; 
5. tujuan pemrosesan data pribadi; 
6. jenis data pribadi; 
7. kategori subjek data pribadi; 
8. pihak selain pengendali data pribadi yang dapat mengakses data pribadi;
9. pemenuhan hak subjek data pribadi; 
10. pemetaan aliran data pribadi; 
11. masa retensi; dan 
12. langkah teknis dan organisasi dalam rangka pengamanan data pribadi.

Adapun hasil perekaman kegiatan pemrosesan data pribadi wajib disimpan dalam bentuk tertulis secara elektronik dan/atau non elektronik serta apabila diminta oleh Lembaga PDP, maka Pengendali Data Pribadi wajib memberikan dokumen hasil perekaman kegiatan pemrosesan Data Pribadi.

Anda mengelola data pribadi dan ingin mengetahui kepatuhan dan kewajibannya? Konsultasikan saja dengan menghubungi Kami melalui email ask@bplawyers.co.id

Penulis: Sekar Ayu/Arivigo Pranata

Editor: Genies Wisnu Pradana

Artikel ini telah mendapat persetujuan untuk dipublikasikan oleh Partner BP Lawyers Counselors at Law.