Undang-undang Pelindungan Data Pribadi disahkan pada 2022 dan memberi masa transisi dua tahun. Masa itu berakhir pada Oktober 2024. Sejak saat itu, kewajiban di dalamnya berlaku penuh, termasuk sanksi administratif dan pidana.
Yang belum ada adalah lembaga pengawas independen. Hingga Mei 2026, kekosongan itu masih dibahas terbuka, termasuk dalam uji materi di Mahkamah Konstitusi. Aturan pelaksanaannya juga baru terbit pada 2026.
Bagi perusahaan, dua fakta itu mudah disalahartikan menjadi "belum perlu". Itu keliru. Yang belum ada adalah pengawasnya, bukan kewajibannya.
Apa yang sebenarnya harus siap
Kewajiban paling dasar tidak menunggu lembaga. Anda harus tahu data apa yang Anda pegang, untuk apa, berapa lama, dan siapa yang bisa melihatnya.
Praktiknya, itu berarti satu berkas yang memetakan alur data: dari formulir pendaftaran, dari surel, dari pesan WhatsApp, dari berkas rekrutmen, sampai ke tempat penyimpanannya. Untuk tiap kolom, tuliskan dasar pemrosesan, masa simpan, dan pihak yang menerima salinannya.
Kalau berkas itu belum ada, Anda belum bisa menjawab pertanyaan paling sederhana dari pelanggan: data saya disimpan di mana dan sampai kapan.
Tiga hal yang bisa dikerjakan tanpa menunggu aturan turunan
Pertama, penghentian penyimpanan yang tidak perlu. Banyak perusahaan menyimpan berkas lamaran kerja, salinan kartu identitas pelanggan, dan riwayat obrolan bertahun-tahun karena tidak ada yang pernah memutuskan untuk menghapus. Menetapkan masa simpan dan menjalankannya adalah pekerjaan kebijakan, bukan pekerjaan hukum.
Kedua, perjanjian dengan pemasok. Setiap layanan yang menyentuh data pelanggan, dari pengiriman surel sampai penyimpanan berkas, adalah pemroses. Perjanjiannya perlu menyebut instruksi, kerahasiaan, lokasi penyimpanan, dan apa yang terjadi saat kerja sama berakhir. Sebagian besar kontrak lama tidak memuat satu pun.
Ketiga, jalur pelaporan insiden. Undang-undang memberi batas tiga kali dua puluh empat jam untuk memberi tahu subjek data dan pengawas jika terjadi kebocoran. Batas itu tidak realistis kalau nomor kontak, daftar pihak yang harus memutuskan, dan format pemberitahuannya baru dicari saat insiden terjadi.
Yang sering ditunda, dan akibatnya
Hak subjek data sering dianggap urusan formulir. Padahal permintaan salinan data, koreksi, atau penghapusan datang lewat saluran yang tidak resmi: pesan singkat ke staf, surel ke alamat umum, atau komentar di media sosial.
Kalau tidak ada satu pintu masuk dan satu catatan, permintaan itu hilang di percakapan pribadi. Itu masalah kepatuhan, dan juga masalah kepercayaan, karena pelanggan menganggap permintaannya diabaikan.
Solusinya tidak harus sistem mahal: satu alamat surel, satu templat jawaban, satu catatan dengan tanggal masuk dan tanggal selesai. Yang penting, ada yang bertanggung jawab.
Kenapa tidak perlu menunggu lembaga
Pengawas akan menilai hal yang sama seperti auditor: bukti bahwa keputusan dibuat, dijalankan, dan diperiksa. Perusahaan yang baru mulai menyiapkan semuanya setelah lembaga terbentuk akan menghadapi dua pekerjaan sekaligus, yaitu membangun catatan dan menjelaskan mengapa catatan itu tidak ada.
Mulailah dari yang paling terlihat: peta data, masa simpan, perjanjian pemroses, dan jalur insiden. Empat hal itu cukup untuk melewati pertanyaan pertama, dan semuanya bisa dikerjakan tanpa menunggu peraturan apa pun.