Kebijakan Privasi & Perangkat Kepatuhan Data Pribadi

Untuk siapa layanan ini

Untuk setiap perusahaan yang mengumpulkan atau memakai data orang: aplikasi, situs, marketplace, fintech, SaaS, klinik, sekolah, penyedia jasa berlangganan, sampai perusahaan biasa yang menyimpan data pelamar kerja dan pelanggan. Undang-undang tidak membatasi kewajiban ini pada perusahaan teknologi. Kewajibannya melekat pada peran, bukan pada ukuran usaha. Siapa pun yang menentukan tujuan dan mengendalikan pemrosesan data pribadi berkedudukan sebagai Pengendali Data Pribadi dan memikul seluruh daftar kewajiban. Siapa pun yang memroses atas perintah pihak lain berkedudukan sebagai Prosesor dan tetap memikul sebagian kewajiban itu. Tidak ada ambang omzet, jumlah karyawan, atau jumlah pengguna yang membebaskan. Berlaku juga bagi badan yang didirikan di luar negeri, sepanjang perbuatannya berakibat hukum di Indonesia atau menyangkut warga negara Indonesia di luar negeri. Paling mendesak untuk empat kelompok. Pertama, perusahaan yang memroses data spesifik — kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi — karena kelompok inilah yang paling cepat menyentuh ambang penilaian dampak dan ambang kewajiban menunjuk pejabat pelindungan data. Kedua, platform yang memantau perilaku pengguna secara teratur dan sistematis. Ketiga, perusahaan yang sedang menggalang pendanaan atau menghadapi uji tuntas, karena perangkat data pribadi kini rutin diperiksa pemodal dan pembeli. Keempat, perusahaan yang sudah memasang halaman Kebijakan Privasi hasil salinan template asing — kelompok ini sering merasa aman padahal dasar pemrosesannya belum pernah ditetapkan sama sekali.

Biaya

Harga ditetapkan setelah pemetaan lingkup — cakupannya bergantung pada jenis data yang Anda proses dan apakah perangkat kepatuhan lain (catatan pemrosesan, penilaian dampak, penunjukan petugas) ikut disusun. Mintalah penawaran; Anda menerimanya tertulis sebelum pekerjaan dimulai. Layanan ini bertingkat, dan tingkatnya berbeda jauh. Satu naskah Kebijakan Privasi untuk satu produk sederhana tidak sebanding dengan paket penuh yang mencakup pemetaan aliran data, catatan pemrosesan, penilaian dampak, paket perjanjian pemroses data untuk seluruh vendor, prosedur kebocoran, dan penunjukan pejabat pelindungan data. Tingkat mana yang dibeli wajib dinyatakan sebelum harga apa pun ditawarkan. Belum termasuk PPN. Biaya negara (PNBP atau retribusi) diteruskan apa adanya, tanpa markup — kami tidak mengambil untung dari setoran negara. Lingkup di bawah yang menentukan angka akhirnya, dan Anda menerima penawaran tertulis sebelum pekerjaan dimulai — bukan tagihan yang membengkak di tengah jalan.

Lingkup

Tahapan

1. 1

   Intake dan pemetaan aliran data: mendaftar setiap titik pengumpulan data, jenis data, tujuan, tempat penyimpanan, jangka retensi, dan setiap pihak yang menerimanya.

   Anda

   Dokumen yang disiapkan (22)

   • Deskripsi produk dan daftar fitur, termasuk fitur yang belum diluncurkan.
   • Alur pengguna dari pendaftaran sampai transaksi selesai (tangkapan layar atau prototipe)
   • Daftar formulir dan kolom data yang diminta di setiap titik.
   • Daftar seluruh pihak ketiga yang menerima atau mengakses data pengguna: pembayaran, analitik, komputasi awan, pengiriman, CRM, surel pemasaran, pemantau galat, iklan.
   • Lokasi server dan region penyimpanan untuk setiap layanan pihak ketiga.
   • Kebijakan Privasi dan Syarat & Ketentuan yang berlaku sekarang, bila ada.
   • Daftar karyawan atau vendor yang memiliki akses ke basis data produksi.
   • Keterangan apakah produk menyasar atau mungkin diakses pengguna di bawah 18 tahun.
   • Keterangan apakah ada pengambilan keputusan otomatis, penskoran, atau pemrofilan.
   • Akta pendirian dan akta perubahan terakhir, serta Nomor Induk Berusaha (NIB) perusahaan.
   • Alamat surel dan nomor kontak yang akan kami cantumkan sebagai kanal urusan data pribadi, beserta jabatan orang yang bertanggung jawab menjawabnya. Kanal ini wajib benar-benar dipantau — undang-undang mewajibkan Anda menyediakan narahubung yang mudah dihubungi.
   • Apakah situs atau aplikasi Anda memakai kuki (cookie) atau penyimpanan serupa di perangkat pengguna? Bila ya, untuk apa saja, dan apakah pengguna dapat mengubah pengaturannya?
   • Apakah Anda mengirimkan penawaran, promosi, atau buletin kepada pengguna? Apakah Anda menayangkan iklan yang dipilih berdasarkan data pengguna? Bila memakai jasa periklanan pihak ketiga, sebutkan penyedianya.
   • Di dalam produk Anda, bagaimana caranya pengguna: (a) menarik persetujuan pemasaran; (b) meminta salinan datanya; (c) meminta datanya diperbaiki; (d) meminta akunnya dihapus? Sebutkan yang sudah ada dan yang belum ada — undang-undang memberi Anda tenggat 3×24 jam untuk sebagian permintaan itu.
   • Peristiwa apa yang mengakhiri hubungan Anda dengan pengguna (mis. pengguna menutup akun, akun tidak aktif selama jangka tertentu, langganan berakhir)?
   • Berapa lama Anda menyimpan: (a) data akun setelah akun ditutup; (b) catatan transaksi dan dokumen pembukuan; (c) materi yang diunggah pengguna; (d) catatan teknis (log)? Bila belum ada kebijakannya, katakan demikian — kami usulkan angkanya, dengan catatan ada kewajiban simpan paling singkat 5 tahun yang harus dipenuhi. Lampirkan kebijakan retensi yang berlaku sekarang bila ada.
   • Apakah kegiatan usaha Anda diawasi otoritas sektoral tertentu — misalnya Otoritas Jasa Keuangan, Bank Indonesia, atau Kementerian Kesehatan? Bila ya, sebutkan mana, karena ketentuan retensi sektoral mendahului ketentuan umum.
   • Apakah Anda bersedia menayangkan dan memelihara daftar penyedia jasa yang memproses data pengguna beserta negara pemrosesannya? Ini tidak diwajibkan, tetapi menaikkan mutu dokumen dan memudahkan uji tuntas pemodal.
   • Apakah data pribadi yang Anda simpan sudah benar-benar tersimpan dalam bentuk terenkripsi? Sebutkan: (a) apa yang dienkripsi dan apa yang belum; (b) langkah keamanan lain yang sudah berjalan (pembatasan akses menurut peran, autentikasi dua langkah, pencadangan, pencatatan rekam jejak audit, uji kerentanan). Kami hanya menuliskan langkah yang benar-benar berjalan — menuliskan yang belum ada akan membuat Anda menyatakan hal yang tidak benar kepada publik. Bila Anda memasarkan klaim "kami tidak dapat membaca data Anda", sampaikan juga bagaimana mekanismenya.
   • Bila Anda mengetahui ada akun yang dimiliki anak di bawah batas usia Anda, apa yang Anda lakukan sekarang?
   • Bila ada keputusan yang diambil sistem secara otomatis dan berdampak nyata bagi pengguna (mis. penolakan transaksi, penilaian risiko, pembatasan akun), sebutkan keputusan apa saja itu dan bagaimana pengguna dapat meminta peninjauan oleh manusia.
   • Dalam berapa lama Anda dapat benar-benar menanggapi pengaduan pengguna? Sebutkan angka yang sanggup Anda penuhi, bukan angka yang terdengar baik.
2. 2

   Penetapan dasar pemrosesan untuk setiap aktivitas, dipilih dari enam dasar yang tersedia, dengan alasan tertulis; sekaligus menandai aktivitas mana yang selama ini keliru disandarkan pada persetujuan.

   Komplia

   Dokumen yang disiapkan (3)

   • Peta aliran data hasil langkah 1.
   • Anggaran dasar dan daftar KBLI aktif, untuk menguji dasar pemenuhan kewajiban hukum dan kewenangan.
   • Perjanjian dengan pengguna dan mitra yang sedang berlaku.
3. 3

   Penyusunan catatan pemrosesan data pribadi (record of processing) sebagai dokumen berdiri sendiri, beserta tata cara pemutakhirannya.

   Komplia

   Dokumen yang disiapkan (3)

   • Peta aliran data dan tabel dasar pemrosesan hasil langkah 1 dan 2.
   • Daftar sistem dan basis data yang menyimpan data pribadi.
   • Kebijakan retensi yang berlaku sekarang, bila ada.
4. 4

   Uji pemicu penilaian dampak pelindungan data pribadi terhadap tujuh kriteria risiko tinggi, dan penyusunan penilaian dampaknya bila terpicu.

   Komplia

   Dokumen yang disiapkan (4)

   • Catatan pemrosesan hasil langkah 3.
   • Keterangan volume: perkiraan jumlah subjek data, jumlah rekaman, dan cakupan geografis.
   • Keterangan teknologi yang dipakai, khususnya pemrofilan, pengenalan wajah, dan model kecerdasan buatan.
   • Dokumentasi keamanan yang ada: kendali akses, enkripsi, pencadangan.
5. 5

   Penyusunan naskah Kebijakan Privasi berbahasa Indonesia yang memuat tujuh informasi wajib satu per satu, disertai peta rujukan yang menunjukkan letak masing-masing.

   Komplia

   Dokumen yang disiapkan (3)

   • Tabel dasar pemrosesan dan catatan pemrosesan hasil langkah 2 dan 3.
   • Kebijakan retensi per jenis data yang sudah disepakati.
   • Data kontak narahubung yang benar-benar dipantau.
6. 6

   Rancangan mekanisme persetujuan yang terpisah dari persetujuan Syarat & Ketentuan, dan rancangan penyimpanan bukti persetujuan.

   Komplia

   Dokumen yang disiapkan (3)

   • Tangkapan layar alur pendaftaran dan alur pembelian yang berlaku sekarang.
   • Keterangan teknis dari tim produk tentang kemampuan menyimpan log persetujuan per versi naskah.
   • Daftar tujuan pemrosesan yang memerlukan persetujuan terpisah, misalnya pemasaran, personalisasi, dan berbagi data dengan mitra.
7. 7

   Penyusunan kanal permohonan tercatat untuk hak subjek data, berikut alur internal dan pencatatan waktu agar tenggat 3x24 jam terpenuhi dan terbukti.

   Komplia

   Dokumen yang disiapkan (3)

   • Keterangan siapa yang menerima permohonan, siapa yang mengeksekusi di sistem, dan siapa yang menjawab.
   • Kemampuan sistem untuk mengekspor, memperbaiki, membatasi, dan menghapus data per pengguna.
   • Jadwal kerja dan cakupan hari libur, karena tenggat dihitung dalam jam, bukan hari kerja.

   Paling lambat 3 x 24 jam sejak permintaan diterima.

8. 8

   Penyusunan paket vendor: daftar prosesor data, klausul perjanjian pemrosesan data, syarat persetujuan tertulis untuk sub-prosesor, dan penetapan jalur kepatuhan untuk transfer data ke luar negeri.

   Komplia

   Dokumen yang disiapkan (4)

   • Salinan perjanjian yang berlaku dengan setiap vendor pemroses.
   • Keterangan region penyimpanan dan pemrosesan untuk setiap vendor.
   • Keterangan apakah vendor memakai sub-vendor, dan siapa saja.
   • Keterangan siapa yang berwenang menandatangani adendum di pihak Anda.
9. 9

   Penyusunan prosedur penanganan kebocoran data dan templat pemberitahuan 3x24 jam kepada subjek data dan otoritas, termasuk penetapan jam mulai penghitungan tenggat.

   Komplia

   Dokumen yang disiapkan (4)

   • Daftar penanggung jawab beserta nomor kontak yang dapat dihubungi di luar jam kerja.
   • Alur deteksi insiden yang berlaku sekarang, bila ada.
   • Kanal pemberitahuan massal kepada pengguna: surel, notifikasi dalam aplikasi, atau pesan singkat.
   • Keterangan pengawas sektoral yang juga harus diberi tahu, bila Anda berada di sektor terawasi.

   Paling lambat 3 x 24 jam sejak kegagalan pelindungan data diketahui.

10. 10

    Uji ambang kewajiban menunjuk pejabat pelindungan data pribadi, penyusunan aturan internal, peninjauan advokat, serah terima, dan penyusunan kalender peninjauan berkala.

    Komplia

    Dokumen yang disiapkan (4)

    • Seluruh keluaran langkah 1 sampai 9.
    • Struktur organisasi dan keterangan siapa yang dapat ditunjuk sebagai pejabat pelindungan data.
    • Keterangan apakah Anda memilih pejabat dari dalam organisasi atau dari luar.
    • Berita acara serah terima dan daftar periksa pemasangan.

Estimasi waktu bergantung pada kelengkapan dokumen dan antrean instansi. Batas waktu yang ditandai berasal dari peraturan; sisanya estimasi praktik.

Yang perlu Anda ketahui

• Menggabungkan persetujuan Kebijakan Privasi dengan persetujuan Syarat & Ketentuan dalam satu kotak centang adalah kesalahan yang paling sering kami temukan, dan akibatnya jauh lebih besar daripada yang diduga. Persetujuan yang tidak dapat dibedakan dengan jelas dinyatakan batal demi hukum. Bila itu terjadi, data yang sudah Anda kumpulkan berubah status menjadi data yang diperoleh tanpa persetujuan, dan pengguna berhak meminta penghapusannya. Yang dipertaruhkan bukan denda, melainkan basis data pengguna Anda.
• Masa penyesuaian yang diberikan undang-undang berakhir pada 17 Oktober 2024. Per hari ini tenggat itu sudah lewat lebih dari satu tahun sembilan bulan. Banyak perusahaan masih menunggu aturan turunan sebelum bergerak. Aturan turunan memang belum lengkap, tetapi kewajiban pokoknya tidak menunggu aturan turunan — yang menunggu hanya sebagian tata caranya. Perusahaan yang belum menyesuaikan tidak sedang menunggu; secara hukum sudah berada dalam keadaan melanggar.
• Memasang halaman Kebijakan Privasi di situs tidak membuat perusahaan Anda patuh. Setidaknya tujuh kewajiban lain berdiri sendiri dan tetap terbuka: menyimpan bukti persetujuan, membuat catatan seluruh kegiatan pemrosesan, melakukan penilaian dampak bila risikonya tinggi, memberitahukan kebocoran dalam tiga kali dua puluh empat jam, memperoleh persetujuan tertulis sebelum vendor Anda memakai sub-vendor, menunjuk pejabat pelindungan data bila ambangnya terpenuhi, dan menempuh jalur yang benar untuk transfer data ke luar negeri. Bila Anda hanya membeli naskahnya, kami akan menyatakan hal itu di penawaran agar Anda tahu persis apa yang belum tertutup.
• Aturan tentang siapa yang wajib menunjuk pejabat pelindungan data pribadi berubah pada 30 Juli 2025. Sebelumnya tiga kriteria itu dibaca harus terpenuhi sekaligus, sehingga hampir tidak ada perusahaan swasta yang wajib. Sekarang memenuhi satu kriteria saja sudah cukup. Akibatnya perusahaan yang memroses data keuangan pribadi atau data anak dalam skala besar, dan platform yang memantau perilaku pengguna secara teratur, kini masuk ke dalam kewajiban ini. Nasihat atau dokumen internal yang dibuat sebelum Agustus 2025 kemungkinan besar sudah tidak akurat pada bagian ini.
• Undang-undang tidak mendefinisikan apa yang dimaksud skala besar, dan ambang angkanya masih menunggu aturan pelaksana. Karena itu kesimpulan bahwa perusahaan Anda tidak wajib menunjuk pejabat pelindungan data tidak akan kami berikan secara lisan. Kesimpulannya kami tuliskan beserta alasannya, sehingga bila ambang itu kelak ditetapkan lebih rendah, Anda memiliki catatan yang menunjukkan dasar penilaian saat itu.
• Denda administratif dihitung dari pendapatan tahunan, bukan dari laba, dengan batas tertinggi dua persen. Perusahaan yang sedang merugi tetap terpapar. Kami juga akan jujur pada sisi sebaliknya: lembaga yang berwenang menjatuhkan denda itu belum terbentuk dan tata caranya belum terbit, sehingga mesin penagihannya belum berjalan. Paparannya nyata dan terus berjalan; penagihannya yang belum. Kami tidak akan memberi Anda angka menakutkan yang tidak sesuai keadaan sebenarnya.
• Undang-undang memungkinkan pidana dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, dan pemilik manfaat, tidak hanya kepada perusahaan; denda bagi perusahaan dapat sepuluh kali lipat dari ancaman pokoknya, dan pidana tambahannya mencakup pencabutan izin sampai pembubaran perusahaan. Perlu Anda ketahui secara jujur bahwa ketentuan pidana ini ditujukan pada perbuatan mengambil, mengungkapkan, memakai, atau memalsukan data orang lain secara melawan hukum. Tidak memiliki Kebijakan Privasi bukan tindak pidana; itu berada di ranah sanksi administratif. Kami tidak akan menakut-nakuti Anda dengan ancaman pidana untuk pelanggaran yang sifatnya administratif.
• Lembaga pengawas pelindungan data pribadi memang belum terbentuk, dan itu sering dibaca sebagai tidak ada penegakan. Bacaan itu keliru. Yang tetap berjalan hari ini: pengawasan dan sanksi oleh Menteri, termasuk sanksi berupa pengumuman di situs resmi yang bagi perusahaan penggalang pendanaan kerap lebih merusak daripada denda; gugatan perdata dari pengguna yang tidak menunggu aturan pelaksana apa pun; ketentuan pidana yang penegaknya aparat penegak hukum biasa; dan pengawas sektoral seperti Otoritas Jasa Keuangan dan Bank Indonesia yang memiliki aturannya sendiri. Kekosongan lembaga menunda satu jalur, bukan semuanya.
• Kesalahan vendor tetap menjadi tanggung jawab Anda. Undang-undang menempatkan pemrosesan yang dilakukan pihak yang Anda tunjuk sebagai tanggung jawab Anda, dan mewajibkan vendor memperoleh persetujuan tertulis Anda sebelum melibatkan sub-vendor. Klausul terakhir ini hampir tidak pernah ada dalam perjanjian baku penyedia layanan asing — biasanya justru dibalik menjadi hak vendor mengganti sub-vendornya dengan pemberitahuan saja. Bila Anda memakai banyak layanan asing dengan perjanjian yang tidak dapat dinegosiasikan, kami akan menyampaikan pengaruhnya terhadap lingkup dan biaya sebelum penawaran dikunci.
• Hampir setiap perusahaan Indonesia mengirim data ke luar negeri tanpa menyadarinya: komputasi awan dengan server di luar negeri, layanan surel pemasaran, platform iklan, dan pemantau galat aplikasi. Semuanya termasuk transfer data ke luar negeri dan tunduk pada aturannya sendiri. Jalur termudah secara teori — mengirim ke negara yang tingkat pelindungannya setara — belum dapat dipakai karena daftar negaranya belum terbit. Jalur meminta persetujuan pengguna rapuh, karena persetujuan dapat ditarik sewaktu-waktu. Jalur yang realistis adalah memasang pelindungan yang mengikat di dalam kontrak vendor, dan itu perlu diputuskan secara sadar.
• Pemberitahuan kebocoran data harus dikirim tertulis dalam tiga kali dua puluh empat jam kepada dua pihak sekaligus: pengguna yang terdampak dan otoritas. Muatan minimumnya sudah ditetapkan undang-undang, yang artinya templatnya bisa dan harus disiapkan sebelum insiden terjadi. Prosedur yang belum menetapkan siapa yang memutuskan, sejak jam berapa hitungan dimulai, dan lewat kanal apa pengguna diberi tahu akan selalu terlambat. Bila prosedur atau template Anda masih menyebut tenggat empat belas hari, itu mengacu pada ketentuan yang sudah tidak berlaku pada bagian tersebut.
• Kebijakan Privasi Anda tidak boleh diubah dengan pola berlaku sejak diunggah. Undang-undang mewajibkan pemberitahuan kepada pengguna sebelum perubahan berlaku, bukan sesudahnya. Klausul yang lazim di template asing — perubahan berlaku saat dipublikasikan dan pengguna dianggap setuju bila terus memakai layanan — tidak memenuhi ketentuan ini. Konsekuensinya perlu Anda ketahui sejak awal: kecepatan Anda mengubah kebijakan menjadi terbatas, dan kami akan menyertakan prosedur pemberitahuannya.
• Naskah yang sempurna tetap tidak cukup bila produk Anda belum punya tombolnya. Menyediakan cara bagi pengguna untuk meminta penghapusan, kanal permohonan yang tercatat, kemampuan mengekspor data, dan kemampuan menyimpan bukti persetujuan per versi naskah adalah pekerjaan di dalam aplikasi, bukan di dalam dokumen. Kami menyusun spesifikasinya secara rinci; yang membangunnya adalah tim produk Anda. Bila Anda belum memiliki tim yang sanggup mengerjakannya, jadwal penyelesaian akan bergantung pada pihak lain dan kami tidak akan menjanjikannya sebagai satu paket.
• Bila perusahaan Anda sedang atau akan melakukan penggabungan, pengambilalihan, pemisahan, peleburan, atau pembubaran, ada kewajiban memberitahukan pengalihan data pribadi kepada pengguna — dua kali, sebelum dan sesudah transaksi. Kewajiban ini nyaris tidak pernah masuk daftar periksa uji tuntas dan rutin terlewat. Beri tahu kami sejak awal bila rencana seperti itu ada, agar dapat kami koordinasikan dengan penasihat transaksi Anda.
• Menyusun Kebijakan Privasi bukan mengisi template. Menetapkan dasar hukum untuk setiap kegiatan pemrosesan, menilai apakah risikonya tergolong tinggi, menilai apakah ambang pejabat pelindungan data terpenuhi, dan menyusun klausul perjanjian dengan vendor adalah penafsiran dan penerapan undang-undang. Karena itu paket tidak kami serahkan tanpa ditinjau dan ditandatangani advokat. Sebaliknya, kami juga menyatakan apa yang bukan pekerjaan kami: uji keamanan sistem, sertifikasi keamanan informasi, forensik saat insiden, dan pembangunan fitur di aplikasi Anda berada di luar lingkup.
• Undang-undang pelindungan data pribadi berlaku sejak Oktober 2022, tetapi sampai hari ini pengadilan Indonesia praktis belum pernah mengujinya. Penelusuran kami ke basis data putusan menemukan hanya belasan perkara yang menyebut pelindungan data pribadi, seluruhnya di tingkat pertama dan banding, tidak satu pun sampai ke Mahkamah Agung. Ini penting Anda ketahui karena dua hal. Pertama, siapa pun yang menyatakan dengan pasti bagaimana pengadilan akan memutus sengketa data pribadi sedang menebak, termasuk kami — yang bisa kami berikan adalah pembacaan naskah undang-undang yang cermat, bukan peta preseden. Kedua, karena batas-batasnya belum diuji, pilihan yang konservatif hampir selalu lebih murah daripada bertaruh pada penafsiran yang longgar. Kami akan menyampaikan mana bagian yang sudah jelas dari naskahnya dan mana yang masih terbuka penafsiran.
• Aturan pelaksana undang-undang ini sebagian besar belum terbit — termasuk metodologi resmi penilaian dampak, daftar negara tujuan transfer, ambang angka untuk skala besar, dan tata cara pengenaan sanksi. Artinya beberapa keluaran akan perlu disesuaikan ketika aturan itu terbit. Kami merancang dokumen Anda agar dapat disesuaikan, memberinya catatan versi dan pemicu peninjauan, dan menyatakan di penawaran apakah penyesuaian tersebut sudah termasuk dalam harga atau menjadi penugasan tersendiri.

Pertanyaan yang sering ditanyakan