Coba hitung berapa tempat data satu karyawan Anda tersimpan. Fotokopi KTP dan KK di map personalia. Scan ijazah di folder bersama. Nomor rekening di file gaji. Hasil medical check-up di laptop staf K3. Foto dan nomor telepon di grup WhatsApp divisi. Belum lagi data absensi sidik jari.
Di banyak perusahaan, data itu tersebar tanpa aturan siapa boleh akses, berapa lama disimpan, dan apa yang terjadi kalau bocor. Padahal sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) disahkan, urusan ini bukan lagi sekadar kerapian administrasi. Ada kewajiban hukum yang melekat pada perusahaan sebagai pengendali data.
Tulisan ini membahas apa saja yang perlu dibereskan tim HR, mulai dari pemetaan data sampai respons saat terjadi kebocoran. Bukan nasihat hukum; untuk kasus spesifik, tetap konsultasikan ke penasihat hukum perusahaan.
Siapa Pemilik Data, Siapa Pengendali
UU PDP memakai beberapa istilah yang perlu dipahami HR:
- Subjek data pribadi: orang yang datanya diproses. Dalam konteks kita: pelamar, karyawan, mantan karyawan, keluarga yang tercantum sebagai tanggungan atau kontak darurat.
- Pengendali data pribadi: pihak yang menentukan tujuan dan cara pemrosesan. Itu perusahaan Anda.
- Prosesor data pribadi: pihak yang memproses atas nama pengendali, misalnya penyedia aplikasi payroll, vendor absensi, atau klinik rekanan yang menerima daftar karyawan untuk medical check-up.
Artinya, kalau vendor payroll Anda bocor, tanggung jawab perusahaan tidak otomatis hilang. Karena itu kontrak dengan vendor perlu memuat kewajiban pengamanan data, bukan hanya harga dan SLA.
Data Karyawan: Mana yang Umum, Mana yang Spesifik
UU PDP membedakan data pribadi yang bersifat umum dan yang bersifat spesifik. Data spesifik mendapat perlakuan lebih ketat. Menurut undang-undang, yang termasuk data spesifik antara lain data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai ketentuan peraturan.
Terapkan ke dunia HR:
| Jenis data | Contoh di perusahaan | Kategori |
|---|---|---|
| Nama, jenis kelamin, kewarganegaraan, status perkawinan | Biodata karyawan | Umum |
| NIK, alamat, nomor telepon, email | Formulir masuk, kontrak kerja | Data pribadi yang dikombinasikan untuk identifikasi |
| Hasil medical check-up, riwayat penyakit akibat kerja | Arsip K3 dan klinik | Spesifik (kesehatan) |
| Sidik jari atau wajah untuk absensi | Mesin absensi biometrik | Spesifik (biometrik) |
| Nomor rekening, slip gaji | Payroll | Spesifik (keuangan pribadi) |
| SKCK | Berkas rekrutmen | Spesifik (catatan kejahatan) |
| Data anak karyawan | Klaim tunjangan, BPJS | Spesifik (data anak) |
Dua baris terakhir sering terlewat. Perusahaan yang menyimpan SKCK dan data anak tanggungan memegang data spesifik, meski tidak pernah menganggapnya begitu.
Langkah 1: Petakan Dulu, Jangan Langsung Beli Software
Sebelum bicara enkripsi atau aplikasi baru, buat peta data sederhana. Cukup spreadsheet dengan kolom berikut:
- Jenis data (misalnya KTP, ijazah, hasil MCU).
- Tujuan penggunaan (administrasi kepegawaian, penggajian, K3, BPJS).
- Lokasi simpan (map fisik, folder server, aplikasi, email, ponsel pribadi staf).
- Siapa yang boleh akses.
- Dibagikan ke pihak lain? (BPJS, bank, klinik, auditor, vendor).
- Berapa lama disimpan, dan kapan dimusnahkan.
Latihan ini biasanya membuka kejutan. Contoh yang sering muncul: data MCU ternyata bisa dibuka oleh seluruh tim HR, padahal yang perlu hanya petugas K3 dan dokter. Atau fotokopi KTP pelamar yang tidak diterima masih menumpuk di laci dua tahun kemudian.
Langkah 2: Punya Dasar yang Jelas untuk Setiap Pemrosesan
UU PDP mengenal beberapa dasar pemrosesan data: persetujuan yang sah, pemenuhan kewajiban perjanjian, pemenuhan kewajiban hukum, pelindungan kepentingan vital, tugas kepentingan umum, dan kepentingan yang sah lainnya.
Di HR, banyak pemrosesan sebenarnya berdiri di atas kewajiban perjanjian (kontrak kerja, penggajian) dan kewajiban hukum (pelaporan BPJS, pajak, K3). Untuk itu Anda tidak perlu meminta "persetujuan" tambahan. Tetapi pemrosesan di luar itu, misalnya memajang foto dan ulang tahun karyawan di media sosial perusahaan, lebih aman diberi persetujuan tertulis yang spesifik.
Beberapa catatan praktis:
- Persetujuan sebaiknya terpisah dari kontrak kerja, bukan klausul "setuju atas segalanya" yang terselip di halaman tujuh.
- Jelaskan tujuan dengan bahasa awam: data apa, untuk apa, berapa lama.
- Karyawan berhak menarik persetujuan untuk pemrosesan yang memang berbasis persetujuan.
Langkah 3: Batasi Akses dan Kurangi yang Tidak Perlu
Prinsip yang mudah dijalankan: kumpulkan seperlunya, simpan seperlunya, buka seperlunya.
- Pisahkan arsip sensitif. Data kesehatan di bawah pengelolaan petugas K3 atau klinik, bukan bercampur di map personalia. Pembahasan terkait ada di artikel pemeriksaan kesehatan berkala dan K3 preventif.
- Kunci fisik dan digital. Lemari berkunci untuk arsip kertas, kata sandi dan pembatasan akses pada folder digital, serta akun individual (bukan satu akun HR yang dipakai bersama).
- Hentikan kebiasaan kirim dokumen lewat chat pribadi. Foto KTP di grup WhatsApp itu menyebar ke ponsel puluhan orang, dan tidak bisa ditarik kembali.
- Cek kebutuhan data biometrik. Kalau absensi manual atau kartu sudah cukup, tidak perlu mengumpulkan sidik jari. Kalau tetap dipakai, pastikan tujuan dan penyimpanannya jelas.
- Sensor seperlunya. Untuk keperluan audit atau sertifikasi internal, tampilkan hanya data yang dibutuhkan, bukan seluruh berkas.
Langkah 4: Siapkan Jalur untuk Hak Karyawan
UU PDP memberi subjek data sejumlah hak, di antaranya meminta informasi tentang kejelasan identitas dan tujuan pemrosesan, melengkapi atau memperbarui data, mengakses dan memperoleh salinan datanya, mengakhiri pemrosesan atau menghapus data dalam kondisi tertentu, serta menarik persetujuan.
Tidak semua permintaan wajib dituruti mentah-mentah. Data yang harus disimpan karena kewajiban hukum tidak bisa dihapus hanya karena diminta. Tetapi perusahaan perlu punya jalur yang jelas: siapa penerima permintaan, formatnya apa, berapa lama dibalas, siapa memutuskan. Satu alamat email khusus dan satu SOP satu halaman sudah jauh lebih baik daripada tidak ada sama sekali.
Langkah 5: Rencana Saat Data Bocor
Kebocoran bisa terjadi dari hal sederhana: laptop staf HR hilang, email berisi lampiran gaji salah kirim, atau akun payroll diretas. Menurut UU PDP, jika terjadi kegagalan pelindungan data pribadi, pengendali wajib memberitahukan secara tertulis kepada subjek data dan lembaga yang berwenang paling lambat 3 x 24 jam. Dalam kondisi tertentu, masyarakat juga perlu diberi tahu.
Siapkan sebelum kejadian:
- Tentukan siapa yang memimpin penanganan (biasanya HR bersama TI dan hukum).
- Susun templat pemberitahuan ke karyawan: apa yang terjadi, data apa yang terdampak, langkah yang sudah diambil, kontak yang bisa dihubungi.
- Catat setiap kejadian, termasuk yang tampak sepele, agar pola terlihat.
- Latih staf HR mengenali insiden: salah kirim email, kehilangan perangkat, dan akun yang diakses orang tak berwenang.
Perusahaan juga perlu mempertimbangkan penunjukan pejabat atau petugas pelindungan data pribadi. UU PDP mewajibkannya pada kondisi tertentu, misalnya pemrosesan data spesifik dalam skala besar. Cek kondisi perusahaan Anda dan peraturan pelaksana terbaru sebelum memutuskan.
Sanksi: Kenapa Ini Bukan Urusan Sepele
UU PDP mengatur sanksi administratif, antara lain peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan data, dan denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Ada pula ketentuan pidana untuk perbuatan tertentu, misalnya memperoleh atau mengumpulkan data pribadi yang bukan miliknya secara melawan hukum.
Masa transisi dua tahun sejak pengesahan (17 Oktober 2022) sudah berlalu. Jadi alasan "belum berlaku" tidak lagi bisa dipakai.
Peta Singkat: Siapa Mengerjakan Apa
| Fungsi | Tanggung jawab utama |
|---|---|
| HR | Peta data, SOP karyawan, persetujuan, penanganan permintaan hak |
| TI | Akses, enkripsi, backup, log, penanganan insiden teknis |
| K3 / klinik | Pengamanan data kesehatan dan hasil MCU |
| Hukum / pihak legal | Kontrak vendor, dasar pemrosesan, pemberitahuan resmi |
| Pimpinan | Menetapkan kebijakan dan alokasi sumber daya |
Kalau perusahaan belum punya fungsi hukum sendiri, libatkan konsultan. Untuk sisi kebijakan SDM yang lebih luas, baca juga kode etik karyawan dan konflik kepentingan agar kebijakan data selaras dengan aturan perilaku.
Checklist 10 Menit untuk Hari Ini
- [ ] Siapa saja yang bisa membuka folder gaji dan data kesehatan? Catat namanya.
- [ ] Adakah berkas pelamar lama yang bisa dimusnahkan sesuai kebijakan?
- [ ] Apakah ada KTP atau ijazah karyawan di grup chat? Minta hapus dan hentikan kebiasaan itu.
- [ ] Apakah vendor payroll dan absensi punya klausul pengamanan data?
- [ ] Apakah ada nama yang bertanggung jawab jika terjadi kebocoran?
- [ ] Apakah staf HR sudah tahu batas waktu 3 x 24 jam?
Setiap centang yang masih kosong adalah pekerjaan rumah untuk bulan ini.
Membangun Kapasitas Tim HR
Pengelolaan data karyawan menuntut kompetensi yang jelas: HR tidak cukup hanya paham administrasi, tetapi juga etika dan tata kelola informasi. Bagi HR yang ingin memperkuat kompetensi secara formal, tersedia program sertifikasi human capital BNSP di Rindu Tenang Indonesia untuk jenjang staf, supervisor, hingga manajer. Untuk kebutuhan lain seperti pengembangan tim dan kegiatan perusahaan, kunjungi rindutenangindonesia.id.
Penutup
Perlindungan data karyawan dimulai dari hal membosankan: tahu data apa yang dipegang, siapa yang boleh membuka, dan apa yang dilakukan kalau salah. Mulailah dari peta data dan pembatasan akses. Dua langkah itu saja sudah menutup sebagian besar risiko harian di kantor HR.
Rujukan: Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Periksa peraturan pelaksana dan pembaruan resmi sebelum menyusun kebijakan final.
