Cara Menyusun Kebijakan Privasi Sesuai UU PDP
Panduan per bagian menyusun kebijakan privasi dan permintaan persetujuan untuk website dan aplikasi, mengikuti dasar pemrosesan dan hak subjek data UU PDP.
Jawaban singkat
Kebijakan privasi yang sejalan dengan UU 27/2022 menjelaskan data apa yang dikumpulkan, untuk tujuan apa, dasar pemrosesannya (Pasal 20), berapa lama disimpan, dengan siapa dibagikan, hak subjek data (Pasal 5 sampai 13), cara mengajukan hak, dan kontak yang bisa dihubungi.
Daftar isi
Website tokomu sudah jalan, formulir kontak berfungsi, dan tombol checkout aktif. Di bagian bawah halaman ada tautan "Kebijakan Privasi" yang isinya disalin dari template luar negeri, lengkap dengan nama undang-undang negara lain dan alamat email yang sudah tidak dipakai. Pengunjung jarang membacanya, sampai suatu hari ada pelanggan yang bertanya, "Data saya dipakai untuk apa saja, dan bagaimana cara menghapusnya?"
Kebijakan privasi yang baik menjawab pertanyaan itu dengan bahasa yang jelas. Untuk website dan aplikasi yang melayani pengguna di Indonesia, acuannya adalah UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Panduan ini membahas isi kebijakan per bagian beserta pasal yang mendasarinya. Per 4 November 2026, pemerintah juga sudah menerbitkan PP Nomor 33 Tahun 2026 sebagai peraturan pelaksana UU PDP, yang mulai berlaku 16 Januari 2027 dan merinci lebih lanjut soal persetujuan dan pemberitahuan kepada subjek data. Cocokkan drafmu dengan naskah resmi PP itu. Ini bukan nasihat hukum, jadi untuk bisnis dengan data sensitif, minta tinjauan konsultan hukum sebelum menerbitkannya.
Mulai dari peta data, bukan dari template
Kebijakan privasi adalah cermin dari apa yang benar-benar terjadi pada data. Kalau isinya tidak sesuai praktik, dokumen itu justru menjadi bukti ketidakpatuhan. Sebelum menulis satu kalimat pun, catat setiap titik pengumpulan data: formulir kontak, pendaftaran akun, checkout, newsletter, live chat, cookie analitik, piksel iklan, dan integrasi pihak ketiga seperti gateway pembayaran atau layanan pengiriman.
Untuk setiap titik, jawab lima hal: data apa yang diambil, untuk apa, disimpan di mana, berapa lama, dan dibagikan ke siapa. Jawaban inilah bahan utama kebijakanmu. Prinsip UU PDP dalam Pasal 16 ayat (2) juga menuntut pengumpulan yang terbatas dan spesifik, jadi peta ini sering memunculkan data yang sebenarnya tidak perlu dikumpulkan sama sekali.
Bagian yang perlu ada di kebijakan privasi
Tabel berikut merangkum bagian inti dan dasar hukumnya. Penjelasan tiap bagian ada di bawahnya.
| Bagian | Isi yang dijelaskan | Dasar di UU PDP |
|---|---|---|
| Identitas pengendali | Nama usaha, alamat, kontak | Pasal 5 (hak atas informasi identitas pihak yang meminta data) |
| Data yang dikumpulkan | Jenis data per titik pengumpulan, termasuk data spesifik bila ada | Pasal 4, Pasal 21 ayat (1) huruf c dan e |
| Tujuan pemrosesan | Untuk apa setiap jenis data dipakai | Pasal 21 ayat (1) huruf b, Pasal 28 |
| Dasar pemrosesan | Persetujuan, perjanjian, kewajiban hukum, dan lainnya | Pasal 20 ayat (2) |
| Retensi | Berapa lama data disimpan dan kapan dihapus | Pasal 21 ayat (1) huruf d dan f |
| Pembagian dan transfer | Pihak ketiga, prosesor, transfer ke luar negeri | Pasal 51, Pasal 56 |
| Hak subjek data | Akses, perbaikan, penghapusan, penarikan persetujuan, dan lainnya | Pasal 5 sampai 13 |
| Cara mengajukan hak | Kanal permohonan dan waktu respons | Pasal 14, Pasal 30, 32, 40 |
| Keamanan | Langkah umum pelindungan data | Pasal 35, Pasal 39 |
| Data anak | Perlakuan khusus dan persetujuan orang tua atau wali | Pasal 25 |
| Perubahan kebijakan | Cara dan waktu pemberitahuan perubahan | Pasal 21 ayat (2) |
Data yang dikumpulkan dan tujuannya. Tulis per kelompok, misalnya "Saat checkout kami mengumpulkan nama, alamat, dan nomor telepon untuk mengirim pesanan." Hindari kalimat umum seperti "untuk meningkatkan layanan" tanpa penjelasan. Bila kamu memproses data spesifik (kesehatan, biometrik, data anak, data keuangan pribadi, dan lainnya menurut Pasal 4 ayat (2)), sebutkan dengan jelas.
Dasar pemrosesan. Pasal 20 ayat (2) menyebut enam dasar: persetujuan eksplisit yang sah; pemenuhan kewajiban perjanjian; pemenuhan kewajiban hukum; pelindungan kepentingan vital subjek data; pelaksanaan tugas untuk kepentingan umum, pelayanan publik, atau kewenangan berdasarkan peraturan; dan kepentingan yang sah lainnya. Sebutkan dasar mana yang dipakai untuk setiap tujuan. Mengirim pesanan biasanya bertumpu pada perjanjian jual beli, sedangkan newsletter promosi bertumpu pada persetujuan.
Retensi. Tulis jangka waktu atau kriterianya, misalnya "selama akun aktif dan sampai sekian waktu setelah ditutup, kecuali peraturan lain mewajibkan penyimpanan lebih lama". Angka pastinya kamu tentukan sesuai kebutuhan dan kewajiban hukum lain, seperti aturan pembukuan.
Pembagian dan transfer. Sebutkan kategori penerima: penyedia pembayaran, jasa pengiriman, penyedia hosting, alat analitik. Bila data disimpan atau diproses di luar Indonesia, misalnya layanan email marketing yang servernya di luar negeri, jelaskan. Pasal 56 mengatur syarat transfer ke luar wilayah hukum Indonesia, termasuk memastikan tingkat pelindungan di negara tujuan.
Menulis permintaan persetujuan yang sah
Bila dasar pemrosesanmu adalah persetujuan, Pasal 21 ayat (1) mewajibkan kamu menyampaikan informasi tentang legalitas pemrosesan, tujuan, jenis dan relevansi data, jangka waktu retensi, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak subjek data. Kebijakan privasi bisa memuat semua ini, lalu permintaan persetujuan di formulir merujuk ke bagian yang relevan.
Pasal 22 memberi syarat bentuknya. Persetujuan dilakukan secara tertulis atau terekam, bisa elektronik maupun nonelektronik. Bila permintaan persetujuan juga memuat tujuan lain, permintaan itu harus dapat dibedakan dengan jelas, dibuat dalam format yang mudah dipahami dan diakses, serta memakai bahasa yang sederhana. Persetujuan yang tidak memenuhi syarat itu dinyatakan batal demi hukum.
Dalam praktik website, artinya:
- Pisahkan centang persetujuan untuk tujuan berbeda. Persetujuan menerima promosi jangan digabung dengan persetujuan syarat layanan.
- Jangan pakai kotak yang sudah tercentang otomatis untuk tujuan yang bertumpu pada persetujuan.
- Simpan catatan persetujuan: siapa, kapan, versi teks yang disetujui. Pasal 24 mewajibkan pengendali menunjukkan bukti persetujuan.
- Sediakan cara menarik persetujuan yang sama mudahnya dengan memberikannya, misalnya tautan berhenti berlangganan.
Untuk pengguna anak, Pasal 25 mensyaratkan persetujuan dari orang tua dan/atau wali. Kalau layananmu tidak ditujukan untuk anak, katakan itu dengan jelas di kebijakan.
Bagaimana menjelaskan hak subjek data dan cara mengajukannya?
UU PDP memberi subjek data sejumlah hak, antara lain hak mendapatkan informasi (Pasal 5), memperbaiki data (Pasal 6), mengakses dan memperoleh salinan (Pasal 7), mengakhiri pemrosesan, menghapus, atau memusnahkan data (Pasal 8), menarik persetujuan (Pasal 9), keberatan atas keputusan otomatis termasuk pemrofilan yang berdampak signifikan (Pasal 10), menunda atau membatasi pemrosesan (Pasal 11), menggugat ganti rugi (Pasal 12), dan memperoleh data dalam format yang dapat dibaca mesin serta memindahkannya (Pasal 13).
Tuliskan hak-hak ini dengan bahasa sehari-hari, lalu jelaskan cara mengajukannya. Pasal 14 menyebut pelaksanaan hak dalam Pasal 6 sampai Pasal 11 diajukan lewat permohonan tercatat, secara elektronik atau nonelektronik. Sediakan alamat email khusus atau formulir, dan sebutkan bahwa kamu mungkin perlu memverifikasi identitas pemohon agar data tidak jatuh ke orang yang salah.
Perhatikan tenggat dalam undang-undang. Beberapa kewajiban punya batas 3 x 24 jam sejak permintaan diterima, misalnya memperbarui atau memperbaiki data (Pasal 30), memberikan akses (Pasal 32), menghentikan pemrosesan setelah persetujuan ditarik (Pasal 40), dan menunda atau membatasi pemrosesan (Pasal 41). Pastikan proses internalmu sanggup memenuhinya sebelum menuliskan janji di kebijakan.
Menjaga kebijakan tetap hidup
Setiap kali kamu menambah alat analitik, plugin chat, atau integrasi baru, peta data berubah dan kebijakan perlu ikut diperbarui. Pasal 21 ayat (2) mewajibkan pemberitahuan kepada subjek data sebelum perubahan informasi terjadi, bila pemrosesan berdasarkan persetujuan. Cantumkan tanggal berlaku dan simpan versi lama.
Letakkan tautan kebijakan di footer setiap halaman dan di dekat setiap formulir. Halaman wajib lain untuk website bisnis dibahas di isi website company profile. Bila ada petugas pelindungan data, cantumkan kontaknya; kapan peran itu wajib ada dijelaskan di petugas pelindungan data pribadi. Siapkan juga alur saat terjadi insiden, seperti dibahas di kewajiban lapor kebocoran data 3x24 jam.
Ringkasan
Kebijakan privasi yang sesuai UU PDP dimulai dari peta data yang jujur, lalu menjelaskan data, tujuan, dasar pemrosesan, retensi, penerima, hak subjek data, dan cara mengajukannya dengan bahasa sederhana. Permintaan persetujuan harus terpisah per tujuan, mudah dipahami, dan tercatat. Perbarui dokumennya setiap kali cara kamu mengolah data berubah.
