Batasan Akses Data Pribadi Karyawan oleh Perusahaan

PERTANYAAN

Sejauh mana batasan mengakses data pribadi pegawai oleh perusahaan?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran dari artikel dengan judul Batasan Akses Data Pribadi Pegawai oleh Perusahaan yang dibuat oleh Dimas Hutomo, S.H. dan pertama kali dipublikasikan pada Kamis, 20 Juni 2019, lalu pertama kali dimutakhirkan oleh Dian Dwi Jayanti, S.H. pada 17 November 2022.

KLINIK TERKAIT

Sanksi Pidana Menggunakan Identitas WNA Tanpa Izin

16 Sep, 2026

Hukum Membuat Akun Palsu Pakai Foto Artis

18 Jul, 2025

Apakah Trading Sama dengan Judi?

12 Feb, 2024

Mantan Pacar Ancam Sebar Aib ke Medsos, Ini Jerat Hukumnya

24 Mei, 2023

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Pemrosesan Data Pribadi

Saat ini Indonesia telah memiliki peraturan perundang-undangan khusus yang mengatur tentang pelindungan data pribadi, yaitu UU PDP dan peraturan pelaksanaannya yaitu PP 33/2026.

Berdasarkan Pasal 1 angka 1 UU PDP, data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.

Adapun, jenis data pribadi menurut Pasal 4 UU PDP terdiri atas data pribadi yang bersifat spesifik dan data pribadi yang bersifat umum. Data pribadi yang bersifat spesifik meliputi data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data lainnya. Sedangkan data pribadi yang bersifat umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Mengakses data pribadi karyawan, termasuk ke dalam bentuk pemrosesan data pribadi. Pemrosesan data pribadi menurut UU PDP mencakup tindakan-tindakan berupa:[1]

1. pemerolehan dan pengumpulan;
2. pengolahan dan penganalisisan;
3. penyimpanan;
4. perbaikan dan pembaruan;
5. penampilan, pengumuman, transfer, penyebarluasan, pengungkapan; dan/atau
6. penghapusan atau pemusnahan.

Batasan Akses Data Pribadi Pegawai oleh Perusahaan

Perusahaan dalam melakukan akses data pribadi karyawan setidaknya ada 3 aspek yang perlu diperhatikan, antara lain:

1. Harus Memiliki Dasar Pemrosesan Data Pribadi

Untuk melakukan pemrosesan data pribadi, maka perusahaan selaku pengendali data pribadi harus mempunyai dasar pemrosesan data pribadi sebelum pemrosesan dilakukan.[2] Dasar pemrosesan data pribadi tersebut dapat berupa:[3]

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk satu atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

Kami kurang mendapatkan informasi mengenai bagaimana cara perusahaan mengakses data pribadi karyawan yang Anda maksud, apakah dengan mengakses email pribadi tanpa izin, melalui sistem elektronik milik siapa, atau dengan cara lain, serta data pribadi jenis apa yang Anda maksud. Namun, kami mengasumsikan bahwa data pribadi yang Anda maksud adalah data pribadi yang didefinisikan oleh UU PDP, sehingga perusahaan tunduk pada ketentuan dalam UU PDP dan PP 33/2026.

Sebagaimana dijelaskan di atas, tindakan mengakses data pribadi karyawan oleh pihak perusahaan hanya dapat dilakukan jika perusahaan memiliki dasar pemrosesan data pribadi. Misalnya, perusahaan mendapatkan persetujuan yang sah secara eksplisit dari karyawan untuk melakukan akses data pribadi.[4]

Persetujuan tersebut harus didapatkan dari karyawan secara bebas, sadar, spesifik, dan tidak ambigu.[5] Perusahaan juga harus menyampaikan informasi berikut sebelum mendapatkan persetujuan dari karyawan.[6]

1. legalitas dari pemrosesan data pribadi;
2. tujuan pemrosesan data pribadi;
3. jenis dan relevansi data pribadi yang akan diproses;
4. masa retensi data pribadi;
5. rincian mengenai informasi yang dikumpulkan;
6. jangka waktu pemrosesan data pribadi; dan
7. hak subjek data pribadi.

2. Dilakukan secara Terbatas dan Spesifik, Sah secara Hukum, dan Transparan

Kemudian, salah satu prinsip pelindungan data pribadi atau kewajiban yang harus diperhatikan oleh perusahaan sebagai pengendali data pribadi adalah kewajiban untuk melakukan pemrosesan data pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan.[7]

‘Terbatas dan spesifik’ artinya meminimalisasi data pribadi yang diproses, dengan mempertimbangkan:[8]

1. hubungan antara data pribadi yang diproses dan tujuan pemrosesan data pribadi;
2. kecukupan data pribadi yang diproses untuk mencapai tujuan pemrosesan data pribadi; dan
3. data pribadi yang diproses tidak melebihi dari yang dibutuhkan untuk mencapai tujuan pemrosesan data pribadi.

‘Transparan’ dilakukan dengan memastikan karyawan (subjek data pribadi) mengetahui data yang diproses, tahu cara pemrosesannya, dan mendapatkan informasi dan komunikasi terkait pemrosesan yang mudah diakses, dipahami, serta menggunakan bahasa yang jelas. Pemrosesan juga harus dilakukan secara jujur dan dengan iktikad baik.[9]

3. Harus Dilakukan Sesuai dengan Tujuan

Perusahaan wajib melakukan pemrosesan data pribadi sesuai dengan tujuan pemrosesan, yaitu harus:[10]

1. terbatas untuk memenuhi tujuan tertentu yang disampaikan kepada karyawan (subjek data pribadi) secara eksplisit dan tegas; dan
2. mempertimbangkan keseimbangan kepentingan subjek data pribadi dengan tujuan pemrosesan data pribadi.

Jerat Hukum Mengakses Data Pribadi Karyawan Tanpa Hak

Jika perusahaan tidak memiliki dasar pemrosesan data pribadi ketika mengakses data pribadi karyawan, maka perusahaan dapat dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif maksimal 2% dari pendapatan tahunan/penerimaan tahunan terhadap variabel pelanggaran.[11]

Karyawan juga dapat menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi, sebagaimana diatur dalam Pasal 12 UU PDP.

Selain itu, perusahaan yang mengakses data pribadi tanpa hak dapat dijerat sanksi pidana berdasarkan Pasal 67 ayat (1) UU PDP jo. Pasal II ayat (5) huruf d UU 1/2026 yang menyatakan bahwa setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi dipidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[12]

Jika pelaku adalah korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi itu sendiri. Namun, untuk pidana yang dijatuhkan kepada korporasi hanyalah pidana denda paling banyak 10 kali dari maksimal pidana denda yang diancamkan.[13]

Selain dijatuhi pidana denda, korporasi juga dapat dijatuhi pidana tambahan berupa:[14]

1. perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana;
2. pembekuan seluruh atau sebagian usaha korporasi;
3. pelarangan permanen melakukan perbuatan tertentu;
4. penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan korporasi;
5. melaksanakan kewajiban yang telah dilalaikan;
6. pembayaran ganti kerugian;
7. pencabutan izin; dan/atau
8. pembubaran korporasi.

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
2. Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana;
3. Undang-Undang Nomor 1 Tahun 2026 tentan Penyesuaian Pidana;
4. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

---

[1] Pasal 16 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (“UU PDP”).

[2] Pasal 30 ayat (1) dan (2) Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”).

[3] Pasal 20 ayat (2) UU PDP.

[4] Pasal 32 ayat (1) PP 33/2026

[5] Pasal 32 ayat (2) PP 33/2026.

[6] Pasal 33 ayat (1) dan (2) jo. Pasal 62 ayat (1) PP 33/2026

[7] Pasal 58 PP 33/2026.

[8] Pasal 59 PP 33/2026.

[9] Pasal 60 PP 33/2026.

[10] Pasal 67 ayat (1) dan (2) PP 33/2026.

[11] Pasal 57 ayat (1), (2), dan (3) UU PDP.

[12] Pasal 79 ayat (1) huruf d Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana.

[13] Pasal 70 ayat (1), (2), dan (3) UU PDP.

[14] Pasal 70 ayat (4) UU PDP