Kesiapan UU PDP: Panduan Praktis Kesadaran Karyawan dan Pelaporan Insiden Kebocoran Data

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) merupakan undang-undang pelindungan data komprehensif pertama di Indonesia. UU ini disahkan pada Oktober 2022 dengan masa transisi dua tahun, sehingga kewajiban intinya kini berlaku penuh bagi organisasi yang memproses data pribadi individu di Indonesia.

UU ini mengatur dasar pemrosesan yang sah, hak subjek data, kewajiban pengendali dan prosesor data, kewajiban keamanan dan akuntabilitas, serta sanksi administratif atas ketidakpatuhan. Bagi sebagian besar pemimpin keamanan dan kepatuhan, tekanan sehari-hari muncul di dua titik: membuktikan bahwa karyawan menangani data pribadi dengan benar, dan siap melaporkan kebocoran data pribadi secara cepat dan akurat.

Panduan ini berfokus pada kedua hal tersebut. Panduan ini tidak menggantikan nasihat hukum, dan kewajiban Anda bergantung pada sektor usaha. Lembaga keuangan juga tunduk pada ketentuan OJK, dan insiden yang menyentuh sistem elektronik dapat melibatkan BSSN. Perlakukan UU PDP sebagai dasar, lalu tambahkan aturan sektoral di atasnya.

UU PDP mewajibkan pengendali data untuk memberitahukan kepada subjek data yang terdampak sekaligus kepada lembaga yang berwenang atas kegagalan pelindungan data pribadi paling lambat 3x24 jam (72 jam) sejak kebocoran diketahui. Notifikasi tersebut sekurang-kurangnya harus menjelaskan data pribadi yang terungkap, kapan dan bagaimana kegagalan terjadi, serta langkah penanganan dan pemulihan yang sedang diambil.

Tujuh puluh dua jam terdengar longgar hingga sebuah insiden benar-benar terjadi. Hitungan waktu dimulai saat kebocoran diketahui, bukan saat investigasi Anda sudah rapi. Artinya deteksi, triase, penentuan cakupan, dan draf notifikasi awal harus terjadi dalam rentang waktu ketika fakta masih belum lengkap. Organisasi yang berhasil memenuhi tenggat ini adalah yang telah melatihnya: penanggung jawab insiden yang jelas, pohon keputusan untuk menentukan apa yang tergolong kebocoran wajib lapor, jalur kontak ke lembaga berwenang, dan templat notifikasi berbahasa Indonesia yang sudah disetujui.

Susun runbook sebelum Anda membutuhkannya. Tetapkan siapa yang menyatakan terjadinya kebocoran, siapa yang menyusun pemberitahuan ke subjek data, siapa yang menyetujui, dan di mana bukti disimpan. Lakukan latihan simulasi (tabletop) minimal setahun sekali agar alur 72 jam menjadi kebiasaan, bukan kepanikan.

Sebagian besar kebocoran yang wajib dilaporkan berawal dari manusia, bukan dari firewall. Seorang karyawan yang mengeklik tautan pencuri kredensial, membalas permintaan pengalihan pembayaran faktur yang meyakinkan, atau mengirim berkas berisi data pelanggan ke alamat yang salah dapat memicu kewajiban notifikasi yang sama seperti serangan canggih. Prinsip akuntabilitas dalam UU PDP menuntut pengendali untuk mengambil langkah organisasi dan teknis yang sebanding dengan risiko, dan kompetensi karyawan jelas merupakan langkah organisasi.

Kesadaran yang memuaskan regulator bersifat spesifik dan terbukti. Paparan tahunan yang umum tidak menunjukkan bahwa karyawan mampu mengenali serangan yang benar-benar dihadapi organisasi Anda, seperti rekayasa sosial melalui WhatsApp, panggilan vishing yang menyamar sebagai TI internal, atau phishing lokal bertema bank dan layanan pemerintah Indonesia. Perilaku yang terukur, bukan kehadiran, itulah yang membuktikan kontrol benar-benar berjalan.

Kaitkan kesadaran dengan peran. Karyawan yang menangani data pribadi dalam jumlah besar, seperti tim layanan pelanggan, SDM, dan keuangan, memiliki risiko bawaan yang lebih tinggi dan layak mendapat penguatan yang lebih sering serta lebih tertarget.

Ketika regulator atau auditor meninjau program Anda, mereka mengajukan satu pertanyaan sederhana: tunjukkan buktinya. Bukti yang dapat dipertanggungjawabkan berarti catatan yang bisa Anda sajikan saat diminta, bukan sekadar pernyataan. Untuk kesadaran, itu berarti riwayat per karyawan tentang simulasi yang dikirim, hasilnya, pelatihan yang diberikan setelah kegagalan, serta penyelesaiannya. Untuk penanganan kebocoran, itu berupa catatan bertanggal mengenai deteksi, keputusan, notifikasi yang dikirim, dan pemulihan.

Jaga jejaknya tetap berkelanjutan. Sertifikat sesaat hanya membuktikan seseorang pernah hadir satu kali. Catatan berjalan tentang hasil simulasi phishing, tingkat pelaporan, dan skor risiko dari waktu ke waktu membuktikan bahwa kontrol memang beroperasi. Yang kedua jauh lebih meyakinkan ketika Anda menjelaskan mengapa sebuah insiden tetap terjadi meskipun langkah yang wajar telah diambil.

Pastikan bukti Anda menghormati hukum yang ditopangnya. Catatan tentang karyawan itu sendiri adalah data pribadi, jadi terapkan batas penyimpanan, kontrol akses, dan keamanan yang sama seperti yang Anda harapkan di tempat lain. Enkripsi saat disimpan dan kebijakan retensi yang jelas mencegah bukti kepatuhan Anda berubah menjadi sumber risiko baru.

Hari ke-1 hingga ke-30, bangun garis dasar. Petakan di mana data pribadi berada dan siapa yang menanganinya, identifikasi peran berisiko tertinggi, dan jalankan simulasi phishing awal untuk melihat posisi sebenarnya karyawan Anda. Susun atau perbarui runbook tanggap kebocoran serta pastikan jalur kontak ke lembaga berwenang.

Hari ke-31 hingga ke-60, tutup celah yang paling jelas. Tugaskan mikro-pelatihan tertarget kepada karyawan yang gagal pada simulasi awal, sediakan tombol lapor satu klik agar karyawan mudah menandai pesan mencurigakan, dan lakukan latihan tabletop pertama untuk alur notifikasi 3x24 jam. Terjemahkan setiap pesan dan pemberitahuan untuk karyawan ke dalam bahasa Indonesia yang alami, bukan terjemahan harfiah.

Hari ke-61 hingga ke-90, buktikan bahwa program berjalan. Jalankan simulasi kedua untuk mengukur perbaikan, periksa apakah tingkat pelaporan meningkat dan jumlah karyawan yang berulang kali terjebak menurun, lalu susun paket bukti yang mencakup metrik kesadaran dan runbook kebocoran Anda. Tujuannya bukan nilai sempurna, melainkan program yang dapat Anda pertanggungjawabkan dengan catatan.

Claro dirancang khusus untuk persoalan ini dalam konteks Indonesia. Claro menjalankan simulasi phishing, vishing, dan WhatsApp bertema pola serangan lokal, menugaskan mikro-pelatihan tepat waktu ketika seseorang terpancing umpan, serta melacak skor risiko dan tingkat pelaporan per karyawan dari waktu ke waktu.

Setiap antarmuka yang dihadapi karyawan tersedia dalam bahasa Inggris dan bahasa Indonesia sejak awal, dan data pribadi dienkripsi saat disimpan dengan kunci terpisah per tenant. Pelaporan kepatuhan memetakan aktivitas dan hasil kesadaran ke ekspektasi UU PDP, OJK, dan ISO 27001, sehingga paket bukti yang diminta regulator hanya berjarak beberapa klik, bukan sebulan menelusuri lembar kerja.

Kesadaran dan kesiapan kebocoran adalah program, bukan acara sesaat. Organisasi yang menangani UU PDP dengan baik adalah yang menjadikan keduanya operasional dan menyimpan setiap buktinya.