Persyaratan Respons Insiden Data Pribadi di Indonesia
Ini adalah perencanaan bukti respons pelanggaran, bukan nasihat hukum atau konfirmasi kepatuhan. Operator dan review hukum Indonesia yang berwenang diperlukan untuk karakterisasi insiden, kewajiban yang berlaku, penerima, keputusan pemberitahuan publik, serta pemberitahuan akhir. Sumber diperiksa pada 2026-08-13: rekam dan PDF resmi JDIH BPK untuk UU No. 27 Tahun 2022.
Teks undang-undang dan interpretasi perencanaan
Pasal 46 ayat (1) menyatakan bahwa dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib memberikan pemberitahuan tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada Subjek Data Pribadi dan lembaga. Pasal 46 ayat (2) huruf a–c menyatakan isi minimum pemberitahuan: Data Pribadi yang terungkap; kapan dan bagaimana data terungkap; serta upaya penanganan dan pemulihan. Pasal 46 ayat (3) menyatakan dalam hal tertentu Pengendali wajib memberitahukan kepada masyarakat.
Teks itu tidak menyatakan clock selalu dimulai saat discovery atau konfirmasi. Teks tersebut tidak menyebut lembaga, tidak mendefinisikan keadaan tertentu pada ayat itu, tidak mewajibkan RACI, dan tidak menetapkan masa simpan bukti. Timeline, RACI, serta workflow keputusan berikut adalah interpretasi implementasi untuk menyimpan fakta dan mengarahkan pertanyaan. Ini tidak menentukan hasil hukum.
Jam pertama: simpan fakta tanpa spekulasi
Buka catatan insiden dengan ID unik, pelapor, waktu diterima, sistem, tindakan containment, dan batas akses. Simpan bukti volatil maupun tetap menurut proses forensik yang disetujui: ID alert, log relevan, cloud audit record, riwayat akses, sumber waktu sistem, screenshot, hash, dan catatan custody. Buat salinan kerja; lindungi bukti asli. Jangan mengumpulkan Data Pribadi tambahan, mengubah log, atau menyatakan data terungkap sebelum bukti mendukungnya.
Contoh: pukul 08.40 alert storage mengidentifikasi akses publik pada document bucket. Engineer menghapus rule publik pukul 08.48 lalu mengambil ekspor policy, rentang object access log, dan ID perubahan. Incident lead menandai scope paparan sebagai belum diketahui, bukan “tidak ada dampak.” Reviewer legal menerima timeline faktual serta ketidakpastian yang tepat.
Timeline dan catatan keputusan notifikasi
| Catatan | Contoh selesai | Bukti | Owner | Lulus/gagal | Pengecualian atau remediasi |
|---|---|---|---|---|---|
| Timeline kejadian | 08.40 alert, 08.48 containment, 09.05 preservasi log | case record, timestamp tersinkron | incident lead | Lulus | sumber waktu diverifikasi |
| Pertanyaan Pasal 46 | kemungkinan kegagalan dieskalasi untuk review legal | LEGAL-119, brief faktual | lead legal | Terbuka | kesimpulan hukum menunggu |
| Catatan 3 x 24 jam | redaksi undang-undang dicatat; titik mulai tidak diasumsikan | catatan counsel, timeline | owner privasi | Lulus | konfirmasi pemicu dengan counsel |
| Isi notifikasi | kolom kategori data, kapan/bagaimana, penanganan/pemulihan disiapkan | draft berversi | owner komunikasi | Terbuka | fakta belum lengkap |
| Bukti penerima | metode kirim dan rencana tanda terima dicatat | register penerima | koordinator insiden | Gagal | penerima lembaga belum jelas |
Lulus berarti bukti perencanaan ada dan dapat ditelusuri. Lulus tidak berarti kewajiban notifikasi telah dipenuhi. Terbuka berarti fakta atau keputusan berwenang belum selesai. Gagal berarti bukti yang tidak ada membutuhkan remediasi bernama.
RACI untuk jalur operasional
| Aktivitas | Responsible | Accountable | Consulted | Informed |
|---|---|---|---|---|
| Simpan bukti dan fakta containment | lead respons insiden | incident commander | owner sistem, keamanan | legal, privasi |
| Tentukan scope data dan sistem | owner sistem/data | incident commander | keamanan, vendor | privasi |
| Putuskan interpretasi hukum dan notifikasi | reviewer legal | manajemen berwenang | privasi, lead insiden | komunikasi |
| Susun pemberitahuan faktual disetujui | owner komunikasi | manajemen berwenang | legal, privasi | tim support |
| Kirim dan simpan bukti penerimaan | koordinator insiden | manajemen berwenang | legal, komunikasi | tim insiden |
Nama dan otoritas yang didelegasikan harus diisi sebelum insiden. Label peran tidak menggantikan otoritas. Bila orang responsible atau accountable tidak tersedia, catat jalur eskalasi serta waktu yang berlalu.
Workflow preservasi dan keputusan
- Stabilkan keselamatan dan lakukan containment sesuai prosedur insiden berwenang.
- Simpan bukti asli dan buat ledger fakta bertimestamp.
- Pisahkan fakta terkonfirmasi, asumsi, serta pertanyaan yang belum terjawab.
- Kirim paket fakta kepada legal dan manajemen berwenang untuk keputusan penerapan Pasal 46, penerima, waktu, serta pemberitahuan publik.
- Susun hanya konten faktual minimum yang didukung bukti; versikan setiap draft dan approval.
- Catat pengiriman, penerima, waktu transmisi, kegagalan, serta tindakan pemulihan pascanotifikasi.
- Jalankan after-action review, simpan jejak keputusan menurut kebijakan disetujui, dan buka item remediasi.
Penutupan keputusan notifikasi
Sebelum notifikasi dikirim, koordinator membandingkan draft disetujui dengan ledger fakta: kategori data tepat, waktu dan mekanisme kejadian yang didukung, aksi penanganan/pemulihan, keputusan penerima, identitas pemberi approval, catatan transmisi, dan tindak lanjut pengiriman gagal. Contoh INC-204 tetap Terbuka bila log bucket membuktikan konfigurasi publik tetapi tidak dapat membuktikan akses objek; draft hanya menyebut fakta yang didukung atau menunggu keputusan berwenang. Reviewer legal dan operator yang ditunjuk tetap menjadi gate eksplisit untuk penerapan, waktu, penerima, dan pernyataan publik. Pengiriman draft atau memulai timer tidak menutup rekam keputusan ini.
Batas
Jangan menyebut workflow ini sebagai kepatuhan hukum, aturan otomatis 72 jam sejak discovery, atau instruksi untuk memberitahu publik pada setiap insiden. Workflow ini membantu menyimpan bukti untuk pengambil keputusan berwenang. Konsultasikan penasihat hukum Indonesia yang memenuhi syarat dan operator yang ditunjuk sebelum notifikasi atau pernyataan eksternal.
Sumber
Penutupan insiden dugaan paparan data
Untuk dugaan paparan object storage, rekam kategori data, rentang waktu, tindakan containment, dan dasar keputusan notifikasi. Tim legal serta privasi menilai fakta yang telah diverifikasi, sedangkan tim teknis membuktikan akses telah dibatasi dan token relevan telah dicabut. Bukti baru yang mengubah jumlah subjek atau jenis data membuka kembali keputusan komunikasi dan tindak lanjut.
Jangan memasukkan data individu nyata ke materi latihan atau laporan awal yang dibagikan luas. Gunakan identitas sintetis dan simpan artefak sensitif pada lokasi dengan akses terbatas. Jika fakta berubah setelah containment, perbarui catatan keputusan dengan waktu dan alasan perubahan. Uji akhir: reviewer memeriksa setiap pernyataan dampak memiliki sumber bukti atau ditandai belum diketahui.