Kedua, data pribadi yang dikumpulkan harus digunakan untuk tujuan yang spesifik dan jelas. Perusahaan tidak boleh lagi menggunakan alasan yang terlalu umum seperti ‘kepentingan usaha’ tanpa menjelaskan tujuan spesifiknya.
Co-Founder Asosiasi Praktisi Perlindungan Data Indonesia (APPDI), Danny Kobrata. Foto: RES
“Misalnya, jika kita mengumpulkan data pribadi untuk keperluan verifikasi identitas (KYC) atau untuk memberikan layanan tertentu, maka tujuan tersebut harus dijelaskan secara detail kepada subjek data,” jelas Danny.
Ketiga, setiap subjek data pribadi kini memiliki hak-hak yang harus dijamin oleh perusahaan. Hak tersebut meliputi hak akses, hak perbaikan, hak penghapusan, hingga hak keberatan. Perusahaan, kata dia, harus memastikan bahwa ketika subjek data ingin melaksanakan haknya, mereka dapat difasilitasi dengan baik.
“Jangan sampai ada kasus di mana subjek data ingin menghapus datanya, tetapi perusahaan tidak menyediakan mekanisme untuk itu,” kata dia.
Keempat, aspek penting dalam UU PDP adalah kebijakan retensi data. Danny menjelaskan perusahaan harus menetapkan jangka waktu penyimpanan data pribadi dan tidak boleh menyimpan data tersebut selamanya. Jika masa retensi data sudah habis, data tersebut harus dihapus atau dianonimkan. Hal ini penting untuk mencegah penyalahgunaan data di kemudian hari.
Semua Sektor Merujuk UU PDP
Saat ini semua sektor harus merujuk pada UU PDP. Meski begitu, aturan-aturan sektoral tetap harus diperhatikan. Dalam sektor keuangan, misalnya, Danny mengingatkan ada aturan-aturan sektoral yang tetap berlaku, seperti UU No.4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UU P2SK) dan POJK Nomor 22 Tahun 2023 tentang Perlindungan Konsumen.
Di dalam UU P2SK, ada ketentuan perlindungan data pribadi di sektor keuangan dengan ketentuan yang spesifik. Salah satu aturan penting yang perlu diperhatikan adalah terkait persetujuan dalam pertukaran data pribadi.
