Kode Data Pribadi dan UU PDP

UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) adalah undang-undang komprehensif pertama Indonesia yang mengatur pemrosesan data pribadi oleh pengendali data (data controller) dan prosesor data (data processor). UU PDP mengadopsi kerangka serupa dengan GDPR Eropa, mewajibkan pengendali data untuk memiliki dasar pemrosesan yang sah (persetujuan, kontrak, kewajiban hukum, kepentingan vital, tugas publik, atau kepentingan sah) sebelum memproses data pribadi.

Kewajiban utama berdasarkan UU PDP meliputi: memperoleh persetujuan eksplisit untuk data sensitif (kesehatan, keuangan, biometrik, genetik, orientasi seksual, pandangan politik/agama), menunjuk Data Protection Officer (DPO) bagi pengendali skala besar, melaporkan kebocoran data kepada lembaga pengawas dan subjek data dalam 14 hari kerja, melaksanakan Penilaian Dampak Perlindungan Data Pribadi (PDPD) untuk pemrosesan berisiko tinggi, dan memenuhi hak-hak subjek data (akses, koreksi, penghapusan, portabilitas). Sanksi administratif mencapai 2% dari pendapatan tahunan.

Dalam praktik kepatuhan UU PDP, perusahaan e-commerce, fintech, kesehatan digital, dan platform digital wajib segera melakukan audit pemrosesan data (data mapping), memperbarui kebijakan privasi dan formulir persetujuan, mereview kontrak dengan vendor pemrosesan data, serta membangun prosedur respons insiden kebocoran data. Pengalihan data pribadi ke luar negeri hanya dapat dilakukan ke negara yang memiliki tingkat perlindungan setara atau berdasarkan mekanisme perlindungan tambahan yang disetujui lembaga pengawas PDP.