Klasifikasi Data Pribadi UU PDP: Spesifik dan Umum

Pasal 4 UU PDP membagi data pribadi menjadi dua kategori: data yang bersifat spesifik dan data yang bersifat umum. Hampir seluruh kewajiban turunannya, mulai dari penanganan persetujuan, langkah pengamanan, sampai tingkat keparahan insiden, bergantung pada kategori mana data itu berada.

Data pribadi spesifik adalah data yang pemrosesannya dapat menimbulkan dampak lebih besar bagi subjek data pribadi, seperti tindakan diskriminasi dan kerugian yang signifikan. Undang-undang menyebut data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, serta data lain sesuai ketentuan peraturan perundang-undangan.

Data pribadi umum mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang. Klausul terakhir itulah yang paling sering terlewat oleh organisasi.

Data pribadi umum mencakup data yang dikombinasikan untuk mengidentifikasi seseorang. Artinya klasifikasi bukan semata sifat satu kolom data. Kode pos sendiri tidak istimewa; kode pos yang digabung dengan tanggal lahir dan jabatan bisa mengidentifikasi seseorang, dan pada titik itu gabungan tersebut menjadi data pribadi.

Konsekuensi praktisnya, klasifikasi data harus dilakukan pada tingkat kumpulan data, bukan hanya tingkat kolom. Tabel analitik, ekspor ke spreadsheet, dan berkas log yang dirangkai dari beberapa sistem adalah tempat yang lazim di mana kolom-kolom yang sendirian tampak aman bergabung menjadi sesuatu yang mengidentifikasi orang.

Ini juga sebabnya klaim anonimisasi perlu diuji, bukan sekadar dinyatakan. Bila suatu kumpulan data dapat diidentifikasi ulang dengan menggabungkan kolom-kolomnya sendiri, data itu belum keluar dari lingkup undang-undang.

Klasifikasi mengubah besarnya kewajiban. Pemrosesan data pribadi spesifik dalam skala besar sebagai kegiatan inti adalah satu dari tiga kondisi yang membuat penunjukan pejabat pelindungan data wajib menurut Pasal 53. Klasifikasi juga menaikkan standar langkah pengamanan yang diharapkan, karena undang-undang meminta pelindungan yang sepadan dengan risiko, dan data spesifik menurut definisinya berisiko lebih tinggi.

Bagi lembaga keuangan Indonesia hal ini langsung terasa: data keuangan pribadi disebut secara eksplisit sebagai data pribadi spesifik. Dengan demikian kegiatan inti sebuah bank adalah pemrosesan data pribadi spesifik dalam skala besar, beserta seluruh kewajiban yang mengikutinya.

Penyedia layanan kesehatan, asuransi yang melakukan seleksi risiko medis, dan setiap organisasi yang memakai autentikasi biometrik berada pada posisi yang sama. Data sidik jari dan pemindaian wajah untuk login adalah data biometrik, dan statusnya tidak berubah hanya karena dipakai untuk tujuan keamanan.

Skema klasifikasi hanya bermanfaat bila sampai ke orang yang menangani datanya. Kegagalan yang lazim adalah kebijakan yang tersusun rapi membagi data ke dalam beberapa tingkat, berpasangan dengan karyawan yang tidak pernah diberi tahu berkas di hadapannya termasuk tingkat yang mana.

Langkah praktis yang berhasil: beri label pada sistemnya, bukan meminta staf mengklasifikasikan tiap catatan; batasi jalur ekspor dari sistem yang menyimpan data pribadi spesifik; dan buat aturan penanganan cukup konkret untuk diikuti. Instruksi seperti tangani data sensitif dengan semestinya tidak mengubah perilaku.

Setelah itu, ukur. Bila seorang karyawan masih mau meneruskan spreadsheet data keuangan nasabah ke email pribadi, atau menyerahkan kredensial pada email phishing yang meyakinkan, skema klasifikasi belum mengubah hasilnya.

Dalam tinjauan pelindungan data, klasifikasi biasanya diuji lewat tiga pertanyaan: dapatkah Anda menunjukkan kategori data pribadi apa yang dimiliki dan di mana letaknya, dapatkah Anda menunjukkan akses dibatasi sesuai kategori itu, dan dapatkah Anda menunjukkan orang yang punya akses telah dilatih menanganinya.

Pertanyaan ketiga biasanya paling tipis dokumentasinya. Catatan penyelesaian pelatihan menjawabnya secara lemah. Bukti perilaku, yang menunjukkan staf penangan data pribadi spesifik terukur lebih tahan terhadap rekayasa sosial dibanding setahun lalu, menjawabnya dengan baik.

Claro mendukung hal ini secara langsung: pelatihan kesadaran yang sadar peran dan departemen, simulasi phishing yang menyasar tim penangan data paling sensitif, skor risiko per pengguna, dan ekspor yang dipetakan ke ekspektasi UU PDP, OJK, serta ISO 27001.