LEXmedia. Perlindungan data pribadi karyawan kini menjadi kewajiban hukum yang tidak bisa perusahaan abaikan. Setiap hari, tim sumber daya manusia mengumpulkan data pribadi karyawan, mulai dari nomor identitas hingga riwayat kesehatan. Selain itu, sistem HRIS berbasis cloud membuat data tersebut tersimpan secara digital sehingga rentan terhadap kebocoran data.
Oleh karena itu, pengusaha wajib memahami kerangka hukum yang mengatur pengelolaan data karyawan. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi rujukan utama pertama. Undang-Undang Nomor 13 Tahun 2003 tentang Ketenagakerjaan (UU Ketenagakerjaan) menjadi rujukan utama kedua.
Artikel ini menyajikan panduan hukum praktis bagi perusahaan yang ingin memastikan perlindungan data pribadi karyawan berjalan sesuai ketentuan. Dengan demikian, perusahaan dapat menghindari sanksi administratif maupun pidana yang cukup berat.
Dasar Hukum Perlindungan Data Pribadi Karyawan
Dasar hukum perlindungan data pribadi karyawan bersumber dari dua undang-undang utama. UU PDP mengatur pemrosesan data pribadi secara umum, termasuk yang perusahaan lakukan sebagai pengendali data. Berdasarkan Pasal 20 UU PDP, pengendali data wajib memiliki dasar hukum yang sah sebelum memproses data pribadi karyawan. Dasar hukum tersebut dapat berupa persetujuan karyawan, pelaksanaan perjanjian kerja, atau pemenuhan kewajiban hukum lainnya.
Selanjutnya, Pasal 27 UU PDP menegaskan bahwa pemrosesan data harus berlangsung secara terbatas, spesifik, sah, dan transparan. Menariknya, UU PDP menempatkan direksi maupun komisaris sebagai bagian dari tanggung jawab pengendali data, bukan hanya divisi teknologi informasi semata.
Di sisi lain, UU Ketenagakerjaan menjadi dasar terbentuknya hubungan kerja itu sendiri. Pasal 1 angka 15 UU Ketenagakerjaan mendefinisikan hubungan kerja sebagai hubungan antara pengusaha dan pekerja berdasarkan perjanjian kerja. Hubungan inilah yang menimbulkan kebutuhan pengumpulan data, seperti data kependudukan, keluarga, dan kesehatan karyawan. Namun demikian, pengumpulan data tersebut tetap harus tunduk pada prinsip UU PDP. Dengan kata lain, UU Ketenagakerjaan memberi konteks hubungan kerja, sedangkan UU PDP memberi batasan perlindungan datanya.
Jenis Data Pribadi Karyawan yang Wajib Dilindungi
UU PDP membagi data pribadi menjadi dua kategori besar. Kategori pertama adalah data pribadi umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, dan status perkawinan karyawan. Kategori kedua adalah data pribadi spesifik yang bersifat sensitif. Contohnya meliputi data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi.
Dalam praktik ketenagakerjaan, perusahaan biasanya menyimpan data berikut:
1. Nomor Induk Kependudukan (NIK) dan Nomor Pokok Wajib Pajak (NPWP)
2. Salinan ijazah serta riwayat pendidikan karyawan
3. Nomor rekening bank untuk keperluan penggajian
4. Data anggota keluarga untuk kepesertaan BPJS
5. Hasil pemeriksaan kesehatan atau medical check-up
Akibatnya, perusahaan wajib memberi perlakuan keamanan lebih tinggi terhadap data spesifik dibandingkan data umum karyawan. Sebagai contoh, hasil pemeriksaan kesehatan dan data biometrik absensi memerlukan pengamanan berlapis.
Kewajiban Perusahaan sebagai Pengendali Data Karyawan
Perusahaan berkedudukan sebagai pengendali data pribadi karyawan menurut UU PDP. Sebagai pengendali data, perusahaan memikul beberapa kewajiban hukum yang jelas dan terukur.
Pertama, perusahaan wajib menetapkan dasar pemrosesan yang sah untuk setiap data karyawan yang dikumpulkan.
Kedua, Pasal 35 hingga Pasal 39 UU PDP mewajibkan perusahaan menerapkan langkah keamanan teknis dan organisatoris.
Langkah ini mencakup enkripsi data, pembatasan akses sistem, serta prosedur pemulihan apabila terjadi insiden. Kewajiban ini turut berlaku bagi prosesor data, misalnya penyedia sistem penggajian atau HRIS pihak ketiga. Oleh karena itu, perusahaan perlu memastikan vendor tersebut menerapkan standar keamanan yang setara.
Notifikasi Kebocoran dan Penunjukan Pejabat Perlindungan Data Pribadi Karyawan
Apabila terjadi kegagalan perlindungan data, Pasal 46 UU PDP mewajibkan perusahaan menyampaikan notifikasi tertulis. Perusahaan wajib menyampaikan notifikasi tersebut paling lambat 3×24 jam kepada karyawan terdampak dan lembaga pengawas. Selain itu, Pasal 53 UU PDP mewajibkan penunjukan pejabat pelindungan data pribadi dalam tiga kondisi tertentu.
Ketiga kondisi tersebut meliputi pemrosesan untuk kepentingan publik, pemantauan sistematis skala besar, dan pemrosesan skala besar atas data spesifik. Akan tetapi, kewajiban ini tidak otomatis berlaku bagi seluruh perusahaan. Oleh sebab itu, setiap perusahaan sebaiknya melakukan asesmen internal terlebih dahulu.
Perlu dicatat pula, Presiden hingga kini belum menandatangani peraturan pemerintah sebagai aturan pelaksana UU PDP. Pemerintah juga belum membentuk Lembaga Pelindungan Data Pribadi secara resmi. Sebagai gantinya, Direktorat Jenderal Pengawasan Ruang Digital Komdigi menjalankan fungsi pengawasan sementara. Meskipun demikian, UU PDP tetap berlaku penuh sejak 17 Oktober 2024. Oleh karena itu, perusahaan tidak dapat menunda kepatuhan hanya karena aturan turunan belum terbit.
Hak Karyawan atas Data Pribadinya
Karyawan berkedudukan sebagai subjek data pribadi yang memiliki hak-hak tertentu. Hak tersebut antara lain hak mengetahui tujuan pemrosesan data dan hak mengakses data yang tersimpan di perusahaan. Selain itu, karyawan berhak meminta koreksi data yang keliru serta menarik persetujuan yang pernah diberikan.
Karyawan juga berhak meminta penghapusan data dalam kondisi tertentu. Namun, Pasal 33 UU PDP memberi ruang bagi perusahaan untuk menolak permintaan tersebut. Penolakan dapat terjadi apabila permintaan membahayakan keamanan atau bertentangan dengan hukum yang berlaku.
Dengan demikian, hak karyawan dan kewajiban perusahaan saling mengimbangi satu sama lain. Sebaiknya, perusahaan menyediakan kanal komunikasi khusus agar karyawan dapat mengajukan permintaan terkait datanya secara mudah dan cepat.
Sanksi atas Pelanggaran Perlindungan Data Pribadi Karyawan
Pelanggaran terhadap ketentuan UU PDP membawa konsekuensi hukum yang serius bagi perusahaan. Pasal 57 UU PDP mengatur sanksi administratif, mulai dari peringatan tertulis hingga penghentian sementara pemrosesan data. Sanksi administratif juga mencakup penghapusan data maupun denda maksimal dua persen dari pendapatan tahunan perusahaan.
Selain sanksi administratif, UU PDP mengatur ketentuan pidana pada Pasal 67 sampai Pasal 73. UU PDP mengancam pelaku pelanggaran tertentu dengan pidana penjara dan denda hingga miliaran rupiah. Contohnya, mengungkap data pribadi milik orang lain demi keuntungan pribadi termasuk pelanggaran tersebut.
Oleh karena itu, perusahaan sebaiknya memandang perlindungan data pribadi karyawan bukan sekadar formalitas administratif semata. Sebaliknya, kepatuhan ini merupakan bagian penting dari manajemen risiko hukum perusahaan secara menyeluruh.
Rekomendasi Kepatuhan Hukum bagi Perusahaan
Sebagai penutup, perusahaan perlu mengambil beberapa langkah konkret untuk memastikan kepatuhan penuh. Pertama, perusahaan sebaiknya menyusun kebijakan privasi internal yang mengatur pengelolaan data pribadi karyawan secara rinci. Kedua, perusahaan perlu melatih tim sumber daya manusia agar memahami prinsip dasar UU PDP secara menyeluruh. Ketiga, perusahaan sebaiknya melakukan audit berkala terhadap sistem penyimpanan data karyawan, termasuk sistem milik vendor pihak ketiga.
Selain itu, perusahaan disarankan menyiapkan prosedur tanggap insiden sebelum kebocoran data benar-benar terjadi. Prosedur ini penting agar perusahaan dapat memenuhi tenggat notifikasi 3×24 jam sesuai Pasal 46 UU PDP. Dengan menerapkan langkah-langkah tersebut secara konsisten, perusahaan dapat menegakkan perlindungan data pribadi karyawan sesuai ketentuan hukum yang berlaku. Pada akhirnya, kepatuhan hukum yang baik akan melindungi karyawan sekaligus menjaga reputasi perusahaan itu sendiri.
FAQ (Frequently Asked Questions)
1. Apa itu perlindungan data pribadi karyawan menurut UU PDP?
Perlindungan data pribadi karyawan adalah upaya perusahaan menjaga data karyawan sesuai UU No. 27 Tahun 2022. Perusahaan wajib memiliki dasar hukum sah sebelum memproses data, menerapkan keamanan teknis, dan menghormati hak subjek data sejak pengumpulan hingga penghapusan data karyawan.
2. Apakah perusahaan wajib menunjuk pejabat pelindungan data pribadi?
Perusahaan wajib menunjuk pejabat pelindungan data pribadi apabila memenuhi salah satu dari tiga kondisi Pasal 53 UU PDP, yaitu pemrosesan untuk kepentingan publik, pemantauan sistematis skala besar, atau pemrosesan skala besar data spesifik seperti data kesehatan dan biometrik karyawan.
3. Berapa lama batas waktu perusahaan melapor jika data karyawan bocor?
Berdasarkan Pasal 46 UU PDP, perusahaan wajib menyampaikan notifikasi tertulis paling lambat 3×24 jam sejak mengetahui kebocoran data. Notifikasi ditujukan kepada karyawan terdampak dan lembaga pengawas, serta kepada publik dalam kondisi tertentu yang menyangkut kepentingan umum.
4. Apa sanksi bagi perusahaan yang melanggar perlindungan data pribadi karyawan?
UU PDP mengenakan dua jenis sanksi. Sanksi administratif berupa peringatan tertulis hingga denda maksimal dua persen dari pendapatan tahunan. Sementara itu, pelanggaran pidana tertentu dapat dikenakan pidana penjara serta denda hingga miliaran rupiah, tergantung jenis pelanggarannya.
5. Apakah UU Ketenagakerjaan juga mengatur data pribadi karyawan?
UU Ketenagakerjaan tidak mengatur data pribadi secara khusus, namun menjadi dasar hubungan kerja yang menimbulkan kebutuhan pengumpulan data. Data seperti riwayat kesehatan, keluarga, dan pengupahan karyawan tetap tunduk pada ketentuan pelindungan UU PDP.
