KI: Perlindungan Data Pribadi

Dari Hukum ke Keyboard

Banyak orang mengira Perlindungan Data Pribadi (PDP) adalah urusan hukum semata—dokumen, pasal, tanda tangan, dan audit. Padahal, di dunia nyata, pelanggaran data hampir selalu terjadi karena kegagalan teknis dan operasional, bukan karena kurangnya pasal.

Di pertemuan ini, kita akan mengubah cara pandang tersebut. UU PDP bukan dibaca untuk dihafal, tetapi untuk diterjemahkan menjadi keputusan teknis sehari-hari:

bagaimana menyimpan data, siapa yang boleh mengakses, berapa lama data disimpan, dan bagaimana data dihapus dengan benar.

Regulasi adalah “KENAPA”,
Implementasi teknis adalah “BAGAIMANA”.

Teori 1 — UU Perlindungan Data Pribadi Indonesia (UU PDP)

UU PDP Indonesia hadir untuk menjawab satu realitas penting: data pribadi adalah aset, dan penyalahgunaannya berdampak langsung pada manusia nyata—bukan sekadar sistem.

Dalam konteks teknis, UU PDP memperkenalkan perubahan besar:

• Data bukan lagi sekadar field di database
• Data melekat pada hak subjek data
• Setiap pemrosesan harus punya alasan yang sah

Secara sederhana, UU PDP menegaskan bahwa:

• Tidak semua data boleh dikumpulkan
• Tidak semua data boleh disimpan selamanya
• Tidak semua orang boleh mengakses data

Bagi engineer, admin sistem, dan developer, ini berarti:

“Bisa secara teknis” ≠ “Boleh secara hukum”

Prinsip Kunci UU PDP (Versi Teknis)

Tanpa masuk ke bahasa hukum yang berat, prinsip UU PDP bisa diterjemahkan menjadi aturan teknis berikut:

• Purpose limitation.

Data hanya boleh diproses untuk tujuan yang jelas → jangan simpan data “siapa tahu nanti kepakai”

• Data minimization

Simpan data yang benar-benar perlu saja → kalau email cukup, jangan minta NIK

• Security by design

Keamanan bukan tambahan, tapi bagian dari desain awal → enkripsi, kontrol akses, logging sejak hari pertama

• Accountability

Harus bisa menjawab:

“Siapa mengakses data ini, kapan, dan untuk apa?”

Log adalah bukti kepatuhan. Tanpa log, kepatuhan tidak bisa dibuktikan.

Teori 2 — Data Lifecycle: Hidup, Digunakan, Lalu Dihapus

Salah satu kesalahan paling umum dalam sistem IT adalah menganggap data itu statis. Padahal, dalam perspektif PDP, data punya siklus hidup (data lifecycle).

Tahap 1 — Data Collection (Pengumpulan)

Data pribadi lahir ketika:

• User mengisi formulir
• Mahasiswa mendaftar
• Pelanggan membuat akun

Di tahap ini, pertanyaan paling penting bukan:

“Data apa yang bisa kita ambil?”

melainkan:

“Data apa yang boleh kita ambil?”

Implikasi teknis:

• Form harus minimal
• Field sensitif harus punya justifikasi
• Tidak boleh ada silent collection (pengumpulan diam-diam)

Tahap 2 — Consent (Persetujuan)

Consent bukan sekadar checkbox.

Dalam UU PDP, consent harus:

• Explicit (jelas)
• Informed (pengguna tahu datanya dipakai untuk apa)
• Revocable (bisa ditarik kembali)

Secara teknis, ini berarti:

• Consent harus tersimpan
• Versi consent harus tercatat
• Perubahan consent harus berdampak ke sistem

Contoh nyata:

• Jika user mencabut izin email marketing

→ sistem tidak boleh lagi mengirim email, bukan cuma “niatnya berhenti”

Consent tanpa enforcement hanyalah formalitas.

Tahap 3 — Data Processing & Storage

Di tahap ini, data:

• Diproses
• Disimpan
• Diakses oleh sistem atau manusia

Di sinilah keamanan teknis menjadi sangat krusial:

• Enkripsi data sensitif
• Role-based access
• Segmentasi database

Pertanyaan reflektif penting:

• Apakah admin benar-benar perlu melihat data ini?
• Apakah data ini tersimpan dalam bentuk plain text?
• Jika database bocor, apa dampaknya ke manusia?

Tahap 4 — Data Sharing (Jika Ada)

Berbagi data adalah titik risiko tertinggi.

Setiap kali data keluar dari sistem:

• Risiko bertambah
• Kontrol berkurang
• Tanggung jawab tetap melekat

Implementasi teknis yang baik:

• API dengan scope terbatas
• Masking data
• Audit log untuk setiap akses eksternal

Jika data bocor dari vendor, publik tetap menyalahkan pemilik data.

Tahap 5 — Data Retention & Deletion

Ini tahap yang paling sering diabaikan.

Banyak sistem:

• Menyimpan data selamanya
• Tidak punya mekanisme penghapusan
• Mengandalkan “nanti juga lupa”

Dalam PDP:

• Data harus dihapus ketika tujuan tercapai
• Penghapusan harus nyata, bukan hanya “tidak ditampilkan”

Secara teknis:

• Delete ≠ hide
• Backup juga harus diperhitungkan
• Log penghapusan penting sebagai bukti kepatuhan

Data yang tidak perlu disimpan adalah risiko yang tidak perlu diambil.

Penutup: PDP adalah Soal Etika Teknis

Pada akhirnya, Perlindungan Data Pribadi bukan tentang takut sanksi, tetapi tentang tanggung jawab profesional.

Sebagai technical person:

• Kita membangun sistem yang mempengaruhi hidup orang lain
• Kesalahan desain bisa berdampak jangka panjang

Keamanan adalah keputusan, bukan fitur

Engineer yang baik membuat sistem berjalan.
Engineer yang bertanggung jawab membuat sistem aman dan manusiawi.

Pranala Menarik

• Keamanan Informasi: Kuliah