Kesalahan karyawan Anda dalam mengelola data pribadi konsumen—yang menyebabkan terjadinya penyalahgunaan data pribadi—bisa membuat Anda dan perusahaan Anda terkena pidana. 

Sebagai referensi, Anda bisa mempelajari Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 Tentang Perlindungan Data Pribadi (UU PDP), khususnya Pasal 70. Dimana salah satu ayatnya menyatakan, jika tindak pidana dilakukan oleh korporasi, maka ketentuan pidana bisa dijatuhkan kepada berbagai pihak di dalam korporasi, termasuk terhadap korporasi itu sendiri.

Baca Juga: Doxing dan Dampaknya Bagi Privasi Secara Online

Tapi, kesalahan bisa saja terjadi karena Anda, karyawan Anda, atau perusahaan Anda secara umum, tidak tahu jika data konsumen yang ada di tangan Anda merupakan data pribadi.

Baca Juga: Modus-modus Kejahatan Siber Keuangan yang Harus Anda Waspadai

Nah, di bawah ini ada beberapa hal yang perlu Anda tahu terkait perlindungan data pribadi, agar Anda bisa melindungi konsumen Anda, dan tidak terjerat kasus pidana.

 

Pengertian Data Pribadi

Mengutip UU PDP, secara hukum, definisi data pribadi adalah data tentang orang perseorangan yang teridentifikasi, atau dapat diidentifikasi, secara tersendiri atau dikombinasi dengan informasi lainnya, baik secara langsung maupun tidak langsung, melalui sistem elektronik atau nonelektronik.

Bingung? Oke, untuk memperjelas definisi di atas, berikut ini yang termasuk ke dalam data pribadi, di bagi ke dalam dua kategori.

 

1.    Data Pribadi yang Bersifat Spesifik

Yaitu, data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lainnya sesuai dengan ketentuan peraturan perundang-undangan.

 

2.    Data Pribadi yang Bersifat Umum

Yaitu, nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.  
Ya, sebagian Anda mungkin menganggap beberapa data di atas bukan sesuatu yang rahasia. Tapi tetap saja, secara hukum, data-data tersebut termasuk dalam data pribadi. Selain itu, selalu ada risiko penyalahgunaan data oleh pelaku kejahatan. Kombinasi nama lengkap dengan data anak, ditambah data kontak pribadi, bisa membuat konsumen Anda menjadi target kejahatan. Misalnya, pemerasan dan penipuan.

Maka itu, alangkah lebih baik jika dalam proses permintaan data pribadi konsumen, Anda hanya meminta data sesuai kebutuhan usaha, untuk meminimalisir risiko. Selain itu, pastikan Anda bisa menjamin perlindungan dan keamanan terhadap data tersebut, agar tidak disalahgunakan, atau bocor ke pihak lain. 

Oh ya, mengutip Pasal 5 UU PDP, subyek data pribadi, dalam hal ini konsumen, berhak meminta informasi tentang tujuan permintaan data, dan kejelasan terkait akuntabilitas peminta data. Bahkan Pasal 9 menyatakan, mereka juga berhak menarik kembali persetujuan pemrosesan data pribadi.

Selain itu, Pasal 20 ayat 1 menyatakan, pengendali data pribadi, dalam hal ini perusahaan Anda, wajib memiliki persetujuan yang sah secara eksplisit dari subyek—dalam hal ini konsumen—sebagai dasar pemrosesan data pribadi. Lalu di Pasal 22 ayat 1, menyatakan, persetujuan dilakukan secara tertulis atau terekam.

Ribet ya? Ya… Anda mungkin perlu membaca UU PDP untuk mengetahui ada banyak lagi ketentuan hukum yang perlu Anda antisipasi. Tapi, sejatinya, semua itu untuk melindungi hak asasi kita semua. Apalagi di zaman modern dengan perkembangan teknologi pengolahan data yang kian canggih, perlindungan data pribadi bisa jadi perlindungan dasar terhadap keselamatan dan keamanan pribadi.

 

Sanksi Pidana Pencurian Data Pribadi oleh Perusahaan

Seperti yang kita bahas di atas, pemrosesan data pribadi harus sudah mendapat persetujuan dari pribadi bersangkutan, baik secara tertulis atau terekam. Pemrosesan di sini termasuk pengumpulan data. Jadi, jika perusahaan Anda mengumpulkan data tanpa persetujuan dari subyek data, maka perusahaan Anda berisiko terkena sanksi pidana. Apa sanksinya? 

Sebelum bicara sanksi, berikut ini 3 larangan penggunaan data pribadi, seperti diatur di Pasal 65 UU PDP:

1. Memperoleh dan mengumpulkan data pribadi yang bisa merugikan pemilik data tersebut
2. Mengungkapkan data pribadi yang bukan miliknya
3. Menggunakan data pribadi yang bukan miliknya

Nah, untuk sanksi pidana, bisa Anda baca di Pasal 67 dan Pasal 68 UU PDP. Tapi ketentuan di kedua pasal ini mengatur tindakan pidana yang dilakukan oleh orang. Sementara untuk korporasi, ada penjelasan tambahan yang bisa Anda baca di Pasal 70. 

Apa bedanya? Tindakan pidana yang dilakukan orang, bisa terkena sanksi penjara atau denda. Sementara tindakan yang oleh korporasi, hanya berupa denda. Tapi bisa dengan tambahan sanksi lain, termasuk pembubaran korporasi.

Sanksi denda terhadap korporasi bisa dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, atau korporasi. Dan denda tersebut paling banyak 10 kali dari maksimal pidana denda yang diancamkan.

 

1.    Sanksi Denda

• Untuk pelanggaran pengumpulan data pribadi yang bisa merugikan, denda paling banyak Rp5 miliar
• Untuk pelanggaran pengungkapan data pribadi yang bukan miliknya, denda paling banyak Rp4 miliar
• Untuk pelanggaran penggunaan data pribadi yang bukan miliknya, denda paling banyak Rp5 miliar

2.    Sanksi Tambahan

• Perampasan keuntungan atau harta kekayaan yang diperoleh atau hasil dari tindak pidana
• Pembekuan seluruh atau sebagian usaha korporasi
• Pelarangan permanen melakukan perbuatan tertentu
• Penutupan seluruh atau sebagian tempat usaha atau kegiatan korporasi
• Melaksanakan kewajiban yang telah dilalaikan
• Pembayaran ganti kerugian
• Pencabutan izin
• Pembubaran korporasi

Ayo jalankan proses pengumpulan, pengungkapan, dan penggunaan data pribadi konsumen sesuai UU PDP, agar Anda, perusahaan Anda, atau orang-orang di dalamnya tidak terkena sanksi pidana denda, atau sanksi tambahan lainnya. Jika Anda butuh penjelasan lebih lanjut, silakan berkonsultasi dengan pakar hukum di Tanya Ahli. Daftarkan juga diri Anda untuk akses penuh di Daya.id.