UU Pelindungan Data Pribadi Indonesia: Workbook Kontrol Keamanan
Workbook ini mendukung perencanaan bukti bagi organisasi yang memroses Data Pribadi di Indonesia. Ini bukan nasihat hukum, assessment kepatuhan, atau jaminan kepatuhan. Operator dan review hukum Indonesia yang berwenang wajib menentukan penerapan, peran, dasar pemrosesan, aturan pelaksana terbaru, serta kecukupan kontrol. Sumber diperiksa pada 2026-08-13: UU No. 27 Tahun 2022 melalui rekam dan PDF resmi JDIH BPK.
Teks undang-undang, bukan klaim implementasi
Pasal 20 ayat (1) menyatakan Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi; ayat (2) memuat daftar dasar pemrosesan. Pasal 35 huruf a–b menyatakan Pengendali wajib melindungi dan memastikan keamanan Data Pribadi yang diproses dengan menyusun serta menerapkan langkah teknis operasional terhadap gangguan pemrosesan yang bertentangan dengan peraturan perundang-undangan, dan menentukan tingkat keamanan dengan memperhatikan sifat serta risiko data. Pasal 39 ayat (1)–(3) menyatakan Pengendali wajib mencegah akses tidak sah, dengan sistem keamanan terhadap data yang diproses dan/atau sistem elektronik yang andal, aman, bertanggung jawab, sesuai ketentuan peraturan perundang-undangan.
Itu adalah ketentuan undang-undang. Ketentuan tersebut tidak menetapkan workbook, framework kontrol, teknologi, masa simpan bukti, atau satu dasar pemrosesan tertentu. Tabel berikut adalah interpretasi implementasi: cara membuat fakta, owner, bukti, gap, dan pertanyaan hukum dapat direview.
Mulai dari batas pemrosesan
Untuk setiap aktivitas, identifikasi kategori data, subjek data, tujuan, jalur sistem, pertanyaan peran pengendali/prosesor, penerima, pertanyaan transfer, dan owner operasional. Jangan menganggap jabatan atau kontrak vendor sudah menentukan peran. Minta reviewer legal menetapkan karakterisasi hukumnya. Catat hal yang belum diketahui sebagai gap.
Contoh: portal rekrutmen menerima nama, email, CV, dan metadata lamaran; pelamar mengirim melalui formulir web; HR mereview dalam workflow SaaS; vendor menyimpan backup terenkripsi. Perencana bukti mencatat tujuan, jalur data, kelompok akses, owner konfigurasi, serta pertanyaan review legal tentang peran dan dasar pemrosesan. Perencana tidak menyatakan aktivitas tersebut sah atau patuh.
Workbook pemetaan kewajiban-ke-kontrol
| Ketentuan / pertanyaan perencanaan | Contoh selesai | Bukti | Owner | Lulus/gagal | Pengecualian atau remediasi |
|---|---|---|---|---|---|
| Pasal 20: dasar dicatat? | aktivitas rekrutmen memiliki kolom dasar dan tiket review penasihat hukum | register v4, LEGAL-112 | owner privasi | Terbuka | kesimpulan legal menunggu |
| Pasal 35(a): langkah terikat jalur? | MFA SaaS HR, role group, transport terenkripsi dipetakan | ekspor konfigurasi, review akses | owner sistem HR | Lulus | review setting backup jatuh tempo |
| Pasal 35(b): risiko dipertimbangkan? | CV diklasifikasikan sebagai Data Pribadi; risiko akses dicatat | risk record R-77 | owner risiko | Lulus | risiko retensi terbuka |
| Pasal 39: pencegahan akses tidak sah diuji? | akun uji mantan staf ditolak setelah deprovisioning | log tes, timestamp | owner identitas | Lulus | pengulangan triwulanan dijadwalkan |
| Kesegaran bukti | ekspor akses tanggal 2026-08-01 dan reviewer bernama | tautan repositori | owner kontrol | Gagal | ganti ekspor kedaluwarsa |
Lulus berarti kriteria perencanaan memiliki bukti terkini dan dapat diatribusikan. Lulus tidak berarti kepatuhan terhadap undang-undang. Gagal berarti bukti hilang, basi, bertentangan, atau tidak terkait batas yang dinyatakan. Terbuka berarti keputusan legal, operasional, atau risiko menunggu review berwenang.
Kualitas bukti
Utamakan bukti yang menunjukkan keadaan efektif: ekspor dari target, approval perubahan, hasil review akses, hasil tes, catatan insiden, dan keputusan yang ditandatangani. Kebijakan dapat menunjukkan niat, tetapi bukan operasi. Simpan sumber, tanggal pengambilan, versi sistem, pengumpul, redaksi, dan batas akses. Jangan menaruh kredensial, sampel Data Pribadi lengkap, atau rahasia keamanan pada repositori dengan akses luas.
Petakan kontrol ke ancaman dan batas spesifik. MFA untuk akses administrator dapat mendukung tujuan kontrol akses, tetapi tidak menjawab export job internal yang terlalu luas. Enkripsi saat transit mungkin tidak menangani akses internal berlebihan. Catat batas kontrol, kontrol kompensasi, owner pengecualian, tanggal review, tindakan remediasi, dan bukti retest.
Workflow review
Owner operasional memperbarui bukti; reviewer keamanan menguji klaim terhadap batas target; owner risiko menerima atau menolak risiko sisa; reviewer legal menentukan interpretasi hukum dan kewajiban yang berlaku. Pisahkan keputusan mereka. Jika sistem, bukti, atau otoritas berubah, buka ulang baris terkait. Jangan mengubah status lulus lama menjadi assurance yang berlaku selamanya.
Pemeriksaan penyelesaian praktis
Sebelum menandai baris workbook lulus, pastikan bukti berasal dari target yang benar, memiliki tanggal pengambilan, menyebut owner bertanggung jawab, dan dipetakan ke batas pemrosesan yang dinyatakan. Bila bukti berasal dari vendor, catat bagian yang diverifikasi independen serta bagian yang masih merupakan pernyataan vendor. Eskalasi perbedaan ke reviewer keamanan, risiko, dan legal tanpa mengubah teks undang-undang.
Gate publikasi dan output review
Jangan publikasikan pemetaan PDP sampai reviewer legal bernama dan operator yang ditunjuk menyetujui pernyataan penerapan, ketentuan yang dikutip, dan batas. Contoh output: PDP-REC-04 mencatat portal rekrutmen, kelompok akses CV, hash bukti, tanggal uji keamanan, pertanyaan pengendali/prosesor yang belum selesai, reviewer legal, dan tanggal review berikutnya. Bila bukti backup vendor tidak dapat menyebut penyimpanan atau batas akses, baris tetap Terbuka; baris tidak dapat diubah menjadi kesimpulan hukum. Gate ini menyimpan fakta operasional untuk review dan tidak menentukan kepatuhan.
Sumber
Validasi aliran pendaftaran akun
Untuk aliran pendaftaran akun, petakan tujuan pemrosesan, kategori data, penerima, masa retensi, serta pemilik kontrol akses. Uji bahwa formulir hanya meminta data yang diperlukan dan catat keputusan untuk penghapusan, koreksi, atau pembatasan akses. Perubahan pada tujuan, penerima, atau retensi memerlukan peninjauan ulang oleh pemilik privasi dan hukum; catatan ini bukan kesimpulan kepatuhan hukum.