UU PDP untuk Toko Online: Kewajiban Data Pelanggan

Pelindungan data pribadi, menurut UU Nomor 27 Tahun 2022 (UU PDP), adalah seluruh upaya melindungi data seseorang di sepanjang pemrosesannya: saat dikumpulkan, disimpan, dipakai, dibagikan, sampai dihapus. Bagi toko online, data itu ada di mana-mana: nama dan alamat di label pengiriman, nomor WhatsApp di daftar broadcast, email di akun pelanggan, sampai bukti transfer yang tersimpan di galeri HP admin.

Sanksi hanya satu sisi persoalan. Kebocoran daftar pelanggan bisa dipakai penipu untuk mengirim tagihan palsu atas nama tokomu, dan kepercayaan pembeli yang hilang jauh lebih sulit dipulihkan. UU PDP berlaku penuh sejak 17 Oktober 2024, dan tidak ada pengecualian khusus karena usahamu kecil.

Siapa yang terkena dan data apa saja?

Dalam istilah UU PDP, tokomu adalah pengendali data pribadi: pihak yang menentukan tujuan dan cara data pelanggan diproses. Penyedia layanan yang memproses data atas perintahmu, misalnya penyedia hosting, layanan email marketing, atau aplikasi kasir, berperan sebagai prosesor data pribadi. Tanggung jawab utama tetap ada di pengendali.

UU membagi data pribadi menjadi dua jenis. Data pribadi umum mencakup nama, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta data yang dikombinasikan untuk mengidentifikasi seseorang, seperti nomor HP dan alamat. Data pribadi yang bersifat spesifik lebih sensitif, antara lain data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Toko yang menjual produk kesehatan atau menyimpan foto KTP pembeli perlu ekstra hati-hati, karena masuk ke wilayah data spesifik.

Kewajiban inti dan cara menerapkannya

Punya dasar yang sah untuk memproses data

Pasal 20 menyebut beberapa dasar pemrosesan, antara lain persetujuan yang sah dan eksplisit, pemenuhan perjanjian dengan pelanggan, kewajiban hukum, dan kepentingan yang sah. Untuk toko online, alamat pengiriman biasanya berdasar pada pemenuhan perjanjian jual beli. Mengirim promo lewat WhatsApp atau email di luar transaksi lebih aman bila didasarkan pada persetujuan yang terpisah, misalnya kotak centang "saya mau menerima info promo" yang tidak tercentang otomatis.

Kumpulkan secukupnya

Prinsip pemrosesan dalam UU PDP mengharuskan data dikumpulkan secara terbatas dan spesifik sesuai tujuan. Tanyakan pada diri sendiri: apakah tokomu benar-benar butuh tanggal lahir, foto KTP, atau nama ibu kandung pembeli? Kalau tidak, hapus kolom itu dari formulir. Data yang tidak kamu simpan tidak bisa bocor.

Jelaskan lewat kebijakan privasi

Pelanggan berhak tahu data apa yang dikumpulkan, untuk apa, berapa lama disimpan, dan dibagikan ke siapa, misalnya kurir dan payment gateway. Tulis kebijakan privasi dengan bahasa sederhana dan pasang tautannya di footer serta di halaman checkout. Hindari menyalin kebijakan toko lain mentah-mentah, karena isinya harus sesuai dengan cara kerja tokomu sendiri.

Penuhi hak pelanggan

UU PDP memberi subjek data hak untuk mengakses datanya, memperbaiki data yang salah, menarik persetujuan, dan meminta data dihapus. Siapkan satu jalur yang jelas, misalnya alamat email khusus, dan catat setiap permintaan yang masuk beserta tindakanmu.

Amankan data dan lapor bila bocor

Pengendali wajib melindungi dan memastikan keamanan data yang diprosesnya. Bila terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga. Pemberitahuan itu minimal memuat data apa yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihannya.

Langkah keamanan praktis untuk toko kecil

Keamanan yang memadai untuk toko kecil tidak harus mahal. Pastikan website memakai HTTPS di semua halaman, terutama halaman login dan checkout. Gunakan password unik dan autentikasi dua langkah untuk akun admin, email, marketplace, dan panel hosting. Panduan password manager untuk tim membantu kalau adminmu lebih dari satu orang.

Batasi siapa yang bisa melihat data pelanggan. Admin pengiriman tidak perlu akses ke laporan keuangan, dan freelancer desain tidak perlu akses ke database. Cabut akses orang yang sudah tidak bekerja denganmu.

Rapikan juga data di luar sistem: tangkapan layar bukti transfer di HP pribadi, file Excel daftar pelanggan di laptop, dan grup WhatsApp lama yang berisi alamat pembeli. Buat jadwal untuk menghapus data yang sudah tidak diperlukan. Terakhir, siapkan backup yang terenkripsi dan uji pemulihannya. Kalau ada tanda peretasan, tanda website diretas menjelaskan langkah pertama yang aman, termasuk menyimpan bukti yang nanti dibutuhkan untuk pemberitahuan.

Mana yang cukup, mana yang berlebihan?

Tabel berikut membandingkan praktik umum di toko online dengan versi yang lebih sejalan dengan UU PDP.

Kapan langkah sederhana sudah cukup? Untuk toko yang hanya menyimpan nama, kontak, dan alamat kirim, fokus pada lima hal: data secukupnya, kebijakan privasi, akses terbatas, HTTPS dan 2FA, serta prosedur kebocoran. Kapan perlu langkah lebih serius? Bila kamu memproses data spesifik seperti data kesehatan atau keuangan, memantau perilaku pengguna secara sistematis dalam skala besar, atau berbagi data ke banyak pihak. UU PDP mewajibkan penunjukan pejabat pelindungan data pribadi dalam kondisi tertentu, misalnya pemrosesan data spesifik dalam skala besar, sehingga usaha seperti ini sebaiknya berkonsultasi dengan ahli hukum.

Apa sanksinya?

Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan atau pemusnahan data, dan denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga yang dibentuk berdasarkan UU PDP. Selain itu, UU juga memuat ketentuan pidana untuk perbuatan seperti mengumpulkan atau mengungkapkan data pribadi milik orang lain secara melawan hukum.

Bagi toko online, risiko yang lebih dekat sering kali justru gugatan atau keluhan pelanggan, serta kerusakan reputasi setelah kebocoran. Dokumentasi yang rapi, mulai dari kebijakan privasi sampai catatan insiden, adalah bukti bahwa kamu sudah berupaya mematuhi aturan.