Pengelola Gedung menahan KTP Saat Masuk Gedung? Hati-hati, Bisa Langgar UU PDP!

Persyaratan penyerahan Kartu Tanda Penduduk (KTP) di meja resepsionis atau pos keamanan sebagai 'jaminan' memasuki area komersial, perkantoran, atau kompleks bisnis telah menjadi rutinitas yang diyakini sebagai standar keamanan. Dalam banyak kasus, KTP fisik pengunjung akan ditahan hingga Aktivitas kunjungan selesai.

Namun, dalam kacamata hukum terkini, khususnya sejak disahkannya Undang-undang Nomor 27 Tahun 2022 tentang perlindungan data pribadi (UU PDP), praktik ini bukan lagi sekadar prosedur, melainkan tindakan pemrosesan data ilegal yang berisiko tinggi. Pengelola Gedung atau badan usaha kini menghadapi ancaman sanksi serius karena melanggar hak fundamental subjek data.

Sebagai dokumen identitas yang melekat pada individu, KTP memuat Informasi krusial yang menuntut perlindungan maksimal. Pengelola aset, properti, dan keamanan kini wajib meninjau ulang seluruh kebijakan akses mereka. Kepatuhan terhadap UU PDP adalah prasyarat mutlak untuk menghindari denda, gugatan, dan sanksi pidana.

KTP: Data Pribadi Sensitif dalam Perspektif UU PDP

KTP bukanlah selembar kertas biasa. Dokumen ini menyimpan informasi yang sangat pribadi, menjadikannya 'Data Pribadi' yang harus dilindungi secara berlapis. Sifat dari data yang terkandung di dalamnya menempatkan perlindungan pada level tertinggi.

Kategori Data dan NIK

• Data Pribadi Spesifik: Walaupun KTP secara keseluruhan tergolong Data Pribadi Umum (berdasarkan Pasal 4 UU PDP), memuat informasi seperti Nomor Induk Kependudukan (NIK) dan data biometrik. NIK dan biometrik adalah elemen data yang sangat rentan penyalahgunaan identitas.
• Keterkaitan Risiko: NIK seringkali menjadi kunci untuk mengakses layanan perbankan, keuangan, atau data sensitif lainnya. Penahanan KTP fisik membuka peluang bagi pihak ketiga yang tidak bertanggung jawab untuk menyalin, memfoto, atau merekam data tersebut, yang bertentangan dengan prinsip keamanan (Pasal 39 UU PDP).

Prinsip Keterbatasan dan Legalitas

Pasal 20 dan Pasal 22 UU PDP mensyaratkan bahwa pemrosesan data pribadi, termasuk menahan KTP, harus didasarkan pada tujuan yang jelas, spesifik, dan sah secara hukum. Praktik penahanan KTP hanya untuk tujuan 'keamanan standar' tanpa penjelasan yang transparan dan persetujuan eksplisit dari pengunjung, dinilai melanggar prinsip legalitas dan proporsionalitas. Data yang diproses harus terbatas pada kebutuhan minimum.

Ketiadaan Dasar Hukum Kewajiban Penahanan KTP

Tantangan terbesar bagi pengelola gedung yang masih menerapkan sistem penahanan KTP adalah ketiadaan dasar hukum yang mewajibkan praktik tersebut. Kebiasaan tidak sama dengan kewajiban Regulasi.

Bukan Kewajiban Sektoral Umum

• Sektor Khusus: Kewajiban identifikasi yang sangat ketat (seperti pemindaian KTP untuk registrasi) hanya berlaku pada sektor yang diatur ketat, seperti perbankan (KYC), layanan Telekomunikasi, atau fasilitas yang dikategorikan sebagai Objek Vital Nasional (Obvitnas) yang memiliki peraturan keamanan spesifik.
• Gedung Komersial: Tidak ada peraturan sektor, baik dari Kemnaker maupun otoritas properti, yang secara eksplisit mewajibkan atau membenarkan pengelola perkantoran, mal, atau Apartemen umum untuk menahan KTP fisik pengunjung hanya demi alasan akses.

Melanggar Prinsip Proporsionalitas

Kewajiban penahanan KTP dinilai berlebihan (tidak proporsional) hanya untuk tujuan verifikasi masuk-keluar gedung. Opsi pencatatan identitas dasar, pemindaian wajah, atau penggunaan kartu akses temporer adalah alternatif yang jauh lebih minim risiko. Tanpa dasar hukum yang kuat, praktik penahanan KTP bertentangan langsung dengan Pasal 65 dan Pasal 67 UU PDP.

Risiko Hukum Serius bagi Pengelola dan Penanggung Jawab Gedung

Kegagalan dalam mematuhi prinsip-prinsip UU PDP dapat membawa konsekuensi hukum yang berlapis bagi pengelola gedung (Pengendali Data) dan pihak keamanan yang bertindak sebagai Pemroses Data.

Potensi Sanksi dan Tuntutan

• Sanksi Administratif: Jika terjadi pelanggaran, seperti menahan KTP tanpa dasar hukum yang jelas atau terjadi kebocoran data, sanksi administratif dapat dijatuhkan oleh lembaga pengawas. Sanksi ini dapat berupa denda hingga 2% dari pendapatan tahunan (Pasal 57), atau penghentian kegiatan pemrosesan data (Pasal 67 UU PDP).
• Tanggung Jawab Pidana: Jika KTP yang ditahan digunakan untuk tujuan melawan hukum (misalnya, pencurian identitas), pengelola gedung dan pihak terkait dapat dituntut secara pidana sesuai Pasal 67 hingga Pasal 68 UU PDP. Sanksi pidana ini dapat berupa pidana penjara dan denda maksimal hingga Rp 6 Miliar.
• Gugatan Perdata: Setiap pemilik data yang merasa dirugikan akibat penyalahgunaan data dari KTP yang ditahan, berhak mengajukan gugatan ganti rugi perdata kepada Pengendali Data (Pengelola Gedung).

Dengan demikian, praktik penahanan KTP secara tidak langsung menempatkan pengelola gedung pada posisi rentan dan berisiko tinggi, di mana kerugian yang ditanggung jauh melampaui manfaat keamanan yang diklaim.

Mekanisme Verifikasi Pengunjung yang Patuh UU PDP

Pengelola gedung yang berkomitmen pada keamanan dan kepatuhan hukum wajib mengganti praktik penahanan KTP dengan mekanisme verifikasi yang berorientasi pada minimasi data, transparansi, dan keamanan sesuai UU PDP.

Strategi Kepatuhan dan Minimasi Data

1. Tujuan yang Transparan: Pemasangan pemberitahuan tertulis yang jelas mengenai tujuan pemrosesan data (misalnya, hanya untuk catatan waktu masuk dan keluar), dan penyediaan formulir persetujuan eksplisit.
2. Minimasi Data (Data Minimization): Hanya mencatat informasi minimum yang diperlukan, seperti nama dan asal institusi. Tidak diperkenankan menyalin NIK atau memfoto KTP jika tujuannya hanya untuk akses masuk. Gunakan KTP hanya untuk verifikasi (memastikan kecocokan wajah dengan foto), bukan untuk ditahan.
3. Penggunaan Teknologi Terenkripsi: Implementasi sistem visitor management system digital yang mencatat data secara terenkripsi. Sistem ini harus memiliki fitur penghapusan data otomatis setelah jangka waktu yang wajar atau setelah tujuan pemrosesan (kunjungan) berakhir.
4. Pemberian Hak Subjek Data: Pengelola wajib menyediakan mekanisme bagi pengunjung untuk mengajukan hak akses atau permintaan penghapusan data pribadi mereka setelah kunjungan selesai, sesuai Pasal 15 dan Pasal 16 UU PDP.

Kesimpulan: Urgensi Audit Kebijakan Akses

Masyarakat kini lebih sadar akan hak-hak mereka di bawah UU PDP. Praktik lama penahanan KTP untuk akses gedung tidak lagi memiliki pijakan hukum yang kuat dan telah menjadi celah risiko yang sangat serius bagi pengelola properti dan aset komersial.

Penting bagi manajemen gedung, kontraktor keamanan, dan QHSE Manager untuk segera melakukan audit total terhadap kebijakan akses pengunjung. Kepatuhan terhadap prinsip legalitas, proporsionalitas, dan keamanan data tidak dapat ditawar lagi. Perlindungan data pribadi adalah tanggung jawab hukum yang harus dipenuhi untuk menghindari potensi denda yang masif dan sanksi pidana.

Pastikan kebijakan keamanan Anda telah sejalan dengan UU 27/2022.

Apakah kebijakan keamanan gedung Anda sudah sesuai dengan UU PDP? Jangan ambil risiko. Hubungi yaplegal.id sekarang juga untuk mendapatkan Konsultasi hukum mendalam dan audit kepatuhan Perlindungan Data Pribadi (PDP) yang komprehensif.