Memuat...
Menyiapkan Neural CorePreparing Neural Core
Masa penyesuaian dua tahun sudah lewat. Sebagian besar organisasi belum mulai bukan karena menolak, melainkan karena tidak tahu langkah pertamanya apa.The two-year transition period has passed. Most organisations have not started. Not because they refuse, but because nobody has told them what the first step is.
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi disahkan 17 Oktober 2022, dengan masa penyesuaian dua tahun. Masa itu sudah lewat.
Tulisan ini bukan ringkasan undang-undangnya. Ia daftar langkah yang bisa dimulai tanpa anggaran baru dan tanpa menunggu konsultan.
Hampir semua organisasi salah memperkirakan bagian ini, dan selalu ke arah yang sama: data pribadi lebih banyak dan lebih tersebar daripada yang dikira.
Yang dicatat per tempat penyimpanan:
Yang paling sering terlewat: spreadsheet di komputer pribadi, arsip lampiran surel, dan salinan basis data produksi yang dipakai untuk pengujian.
Setiap pemrosesan data pribadi butuh dasar. Persetujuan hanya salah satu, dan sering bukan yang paling tepat.
Yang perlu dipastikan: untuk tiap pemrosesan, dasarnya apa, dan apakah itu tercatat di suatu tempat yang bisa ditunjukkan. Dasar hukum yang hanya ada di kepala seseorang tidak bisa ditunjukkan saat diminta.
Kalau dasarnya persetujuan, tiga hal harus benar: diberikan tanpa paksaan, untuk tujuan yang jelas, dan bisa ditarik kembali semudah diberikan. Kotak centang yang sudah tercentang bukan persetujuan.
Data yang sudah tidak dibutuhkan tetapi masih disimpan adalah risiko murni: tidak ada manfaatnya, dan tetap bisa bocor.
Tetapkan masa simpan per jenis data, lalu pastikan penghapusannya benar-benar terjadi. Kebijakan retensi yang tidak pernah dijalankan lebih buruk daripada tidak punya kebijakan, sebab ia menciptakan rasa aman yang keliru.
Patokannya: orang hanya bisa mengakses data yang dibutuhkan pekerjaannya hari ini.
Dua hal yang paling sering ditemukan saat diperiksa pertama kali: akun orang yang sudah tidak bekerja di sana masih aktif, dan akses yang diberikan untuk satu proyek tidak pernah dicabut setelah proyeknya selesai.
Undang-undang mewajibkan pemberitahuan bila terjadi kebocoran. Yang menentukan bukan kebijakannya, melainkan apakah ada orang yang tahu harus berbuat apa saat itu terjadi.
Minimal yang harus jelas sebelum kejadian: siapa yang memutuskan ini kebocoran atau bukan, siapa yang menulis pemberitahuannya, dan siapa yang mengirimkannya. Menentukan ketiganya saat insiden sedang berlangsung adalah kehilangan waktu yang paling mahal.
Memindahkan pemrosesan ke pihak lain tidak memindahkan tanggung jawabnya.
Untuk tiap penyedia yang menyentuh data pribadi: data apa yang mereka terima, disimpan berapa lama, diproses di negara mana, dan apa yang terjadi saat kontraknya berakhir.
Ini termasuk layanan AI. Mengirim dokumen berisi data pribadi ke layanan AI pihak ketiga adalah pemrosesan, dan seluruh kewajiban ikut berlaku.
Perlu disebut jelas: enam langkah di atas memindahkan organisasi dari tidak tahu menjadi tahu. Itu langkah terbesar, tetapi bukan kepatuhan penuh.
Yang belum tercakup antara lain penilaian dampak untuk pemrosesan berisiko tinggi, penunjukan pejabat pelindungan data bila diwajibkan, dan penyesuaian kontrak dengan seluruh pemroses.
*Tulisan ini penjelasan umum, bukan nasihat hukum. Untuk keputusan yang mengikat, libatkan penasihat hukum yang memeriksa keadaan organisasi Anda sendiri.*
Indonesia's Personal Data Protection Law, Undang-Undang Nomor 27 Tahun 2022, known as UU PDP, was enacted on 17 October 2022 with a two-year transition period. That period has passed.
This is not a summary of the law. It is a list of steps you can begin without new budget and without waiting for a consultant.
Almost every organisation gets this part wrong, and always in the same direction: there is more personal data, in more places, than anyone expected.
For each place data is stored, record:
The ones most often missed: spreadsheets on personal laptops, email attachment archives, and copies of the production database used for testing.
Every processing activity needs a basis. Consent is only one of them, and often not the most appropriate.
What has to be true: for each activity, you know the basis, and it is written down somewhere you could show to someone. A lawful basis that exists only in one person's head cannot be produced on request.
If the basis is consent, three things must hold: it is freely given, it is for a clearly stated purpose, and it can be withdrawn as easily as it was given. A pre-ticked box is not consent.
Data you no longer need but still hold is pure risk: it earns nothing, and it can still leak.
Set a retention period for each type of data, then confirm that deletion actually happens. A retention policy that is never executed is worse than having none, because it manufactures a false sense of safety.
The standard is simple: a person can reach only the data their current job requires.
The two findings that come up in almost every first review: accounts belonging to people who no longer work there are still active, and access granted for one project was never revoked when the project ended.
The law requires notification when a breach occurs. What decides the outcome is not the policy document. It is whether anyone knows what to do the moment it happens.
The minimum that must be settled before an incident: who decides whether this is a breach, who writes the notification, and who sends it. Deciding all three while an incident is unfolding is the most expensive way to lose time.
Handing processing to someone else does not hand over the responsibility.
For every vendor that touches personal data: what they receive, how long they keep it, which country they process it in, and what happens to it when the contract ends.
This includes AI services. Sending a document containing personal data to a third-party AI service is processing, and every obligation applies.
Worth saying plainly: the six steps above move an organisation from not knowing to knowing. That is the largest single step, but it is not full compliance.
Not covered here, among others: impact assessments for high-risk processing, appointing a data protection officer where one is required, and bringing contracts with every processor into line.
*This is general explanation, not legal advice. For decisions that bind you, involve a lawyer who has looked at your own circumstances.*
Keduanya memakai model bahasa yang sama. Yang membedakan bukan kepintarannya, melainkan apakah ia boleh bertindak atau hanya boleh menjawab.Both run on the same language model. The difference is not how clever it is. It is whether it is allowed to act, or only to answer.
Harga penawaran untuk kebutuhan yang terdengar sama bisa berbeda berkali lipat. Bukan karena ada yang menipu, melainkan karena yang dihitung memang berbeda.Quotes for requirements that sound identical can differ several times over. Not because anyone is cheating, but because they are pricing different things.
Sistem lama tidak otomatis harus diganti. Yang menentukan bukan umurnya, melainkan berapa mahal ia sekarang dan berapa mahal ia tahun depan.An old system is not automatically due for replacement. What decides it is not age. It is what it costs you now, and what it will cost you next year.