Data pribadi bukan barang yang seharusnya disimpan selamanya tanpa alasan. Ketika tujuan penggunaannya sudah tercapai, apa yang semestinya terjadi pada data tersebut?
Cerita sehari-hari: Formulir yang tak pernah benar-benar selesai
Andi pernah mengikuti sebuah kegiatan pelatihan. Saat mendaftar, ia mengisi formulir berisi nama lengkap, nomor telepon, alamat email, dan informasi lain yang dibutuhkan panitia.
Kegiatannya selesai. Sertifikat sudah diterima, dokumentasi sudah dibagikan, dan Andi kembali menjalani aktivitas sehari-hari.
Beberapa bulan kemudian, ia masih menerima pesan dari penyelenggara. Sesekali, ia juga melihat bahwa informasi yang pernah diberikan saat pendaftaran masih digunakan untuk keperluan komunikasi lain.
Andi lalu berpikir, “Kalau kegiatannya sudah selesai, kenapa data gue masih disimpan?”
Pertanyaan itu masuk akal. Kita sering mengisi formulir untuk acara, mendaftar layanan, mengikuti pelatihan, atau membuat akun. Setelah urusan selesai, kita jarang mengetahui apakah data kita masih diperlukan, berapa lama data tersebut disimpan, atau kapan data akan dihapus.
Padahal, menyimpan data pribadi juga merupakan bagian dari pemrosesan data yang perlu memiliki tujuan dan dilakukan sesuai ketentuan.
Apakah data boleh disimpan selamanya?
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak memberikan satu angka masa penyimpanan yang berlaku untuk seluruh jenis data dan semua organisasi.
Lama penyimpanan bergantung pada tujuan pemrosesan, ketentuan yang berlaku, dan kondisi yang relevan. Data pendaftaran sebuah kegiatan, misalnya, bisa memiliki kebutuhan penyimpanan yang berbeda dari dokumen transaksi atau catatan yang wajib disimpan berdasarkan peraturan tertentu.
Pasal 16 UU PDP menetapkan bahwa pemrosesan data pribadi harus dilakukan secara terbatas dan spesifik, sah secara hukum, transparan, serta sesuai dengan tujuannya. Pemrosesan juga harus menjamin hak Subjek Data Pribadi dan menjaga agar data akurat, lengkap, tidak menyesatkan, mutakhir, serta dapat dipertanggungjawabkan.
Ketentuan tentang pengakhiran pemrosesan, penghapusan, dan pemusnahan data diatur lebih lanjut dalam Pasal 43 sampai dengan Pasal 45.
Secara sederhana, data pribadi perlu disimpan sesuai kebutuhan dan ketentuan yang berlaku, bukan sekadar karena masih tersedia di dalam sistem.
Namun, ini bukan berarti setiap data harus langsung dihapus begitu sebuah kegiatan selesai. Ada kemungkinan sebagian data masih diperlukan untuk tujuan yang sah atau wajib disimpan berdasarkan peraturan perundang-undangan.
Yang perlu diperhatikan adalah alasan dan ketentuan penyimpanannya.
Memahami perbedaan penyimpanan, penghapusan, dan pemusnahan
Ketiga istilah ini sering dianggap sama, padahal tidak sepenuhnya demikian.
Penyimpanan berarti data masih dipertahankan dalam suatu sistem atau media. Data tersebut mungkin masih diperlukan untuk tujuan tertentu, sepanjang penyimpanannya memiliki dasar yang sesuai dan memenuhi ketentuan hukum.
Penghapusan merupakan tindakan menghapus data sesuai ketentuan yang berlaku. Dalam praktiknya, pelaksanaannya perlu memperhatikan sistem dan salinan data yang relevan.
Sementara itu, pemusnahan menurut penjelasan UU PDP merupakan tindakan menghilangkan, melenyapkan, atau menghancurkan data pribadi sehingga tidak lagi dapat digunakan untuk mengidentifikasi Subjek Data Pribadi.
Pasal 43 mengatur pengakhiran pemrosesan data pribadi ketika masa retensi berakhir atau tujuan pemrosesan telah tercapai. Pasal 44 mengatur kondisi yang berkaitan dengan pemusnahan data pribadi, termasuk ketika data tidak lagi diperlukan untuk tujuan pemrosesan, terdapat permintaan Subjek Data Pribadi, atau data diperoleh dan/atau diproses secara melawan hukum, dengan tetap memperhatikan ketentuan yang berlaku.
Pasal 45 juga mewajibkan Pengendali Data Pribadi memberitahukan penghapusan dan/atau pemusnahan data pribadi kepada Subjek Data Pribadi.
Jadi, akhir suatu kegiatan tidak otomatis berarti seluruh data harus dimusnahkan saat itu juga. Pengelola perlu menilai tujuan, masa retensi, kewajiban hukum, dan kondisi yang diatur dalam undang-undang.
Contoh kasus: Pendaftaran acara sudah selesai
Bayangkan sebuah organisasi menyelenggarakan seminar. Panitia mengumpulkan nama dan alamat email peserta untuk mengirimkan informasi acara serta sertifikat.
Setelah seminar selesai, sertifikat telah dikirim dan kebutuhan administrasi utama telah dipenuhi. Panitia kemudian perlu meninjau data yang tersimpan.
Apakah semua data masih dibutuhkan? Apakah ada dokumen yang wajib dipertahankan untuk keperluan administrasi atau kewajiban hukum? Apakah daftar peserta masih digunakan untuk tujuan yang telah dijelaskan kepada mereka?
Jika sebagian data tidak lagi diperlukan dan tidak ada ketentuan yang mengharuskan penyimpanannya, pengelola perlu mempertimbangkan pengakhiran pemrosesan atau penghapusan sesuai ketentuan UU PDP.
Sebaliknya, jika dokumen tertentu masih wajib disimpan berdasarkan peraturan yang berlaku, penyimpanan itu perlu dilakukan sesuai kewajiban tersebut. Data tidak boleh begitu saja dihapus jika penghapusan bertentangan dengan kewajiban hukum yang berlaku.
Bagi Andi sebagai peserta, langkah yang bisa dilakukan adalah menghubungi penyelenggara melalui kanal resmi. Ia dapat menanyakan tujuan penyimpanan data, apakah data masih digunakan, dan apakah data yang tidak lagi diperlukan dapat dihapus sesuai ketentuan.
Dengan demikian, pembicaraan tentang masa penyimpanan bukan hanya urusan teknis pengelola sistem. Ini juga berkaitan dengan transparansi dan hak orang yang datanya disimpan.
Checklist: Apa yang perlu kita tanyakan?
Ketika memberikan data kepada sebuah layanan atau organisasi, coba periksa beberapa hal berikut.
- Untuk apa data dikumpulkan? Pahami tujuan yang dijelaskan oleh pengelola.
- Berapa lama data akan disimpan? Cari informasi masa retensi atau kriteria penentuannya.
- Apakah data masih diperlukan? Tujuan yang telah tercapai perlu menjadi bahan evaluasi pengelola.
- Apakah ada kewajiban penyimpanan? Beberapa dokumen mungkin harus dipertahankan berdasarkan peraturan yang berlaku.
- Bagaimana mengajukan permintaan? Gunakan kanal resmi untuk menanyakan penyimpanan atau meminta penghapusan sesuai ketentuan.
- Apakah permintaan sudah ditindaklanjuti? Simpan bukti komunikasi dan minta penjelasan jika data masih perlu dipertahankan.
Bagi organisasi, pengelolaan masa retensi juga sebaiknya menjadi bagian dari prosedur kerja. Data perlu ditinjau secara berkala, akses dibatasi sesuai kebutuhan, dan penghapusan atau pemusnahan dilakukan secara aman ketika syaratnya terpenuhi.
Penutup: Data yang tidak lagi diperlukan tetap perlu diperhatikan
Kita mungkin tidak pernah melihat tempat penyimpanan data yang kita berikan. Namun, setiap data yang tersimpan tetap perlu dikelola dengan alasan dan tanggung jawab yang jelas.
UU PDP mengatur bahwa pemrosesan data harus sesuai tujuan dan menyediakan ketentuan tentang pengakhiran pemrosesan, penghapusan, serta pemusnahan data. Masa penyimpanan bukan keputusan yang semestinya diabaikan begitu saja.
Sebagai pengguna, kita dapat mulai dengan menanyakan berapa lama data disimpan dan untuk apa data tersebut masih dibutuhkan. Sebagai pengelola, kita perlu memastikan bahwa data tidak dipertahankan tanpa pertimbangan yang sesuai.
Data pribadi bukan untuk disimpan selamanya tanpa alasan. Data perlu dijaga selama memang dibutuhkan, lalu dikelola sesuai ketentuan ketika kebutuhannya berakhir.
Pernahkah kamu bertanya kepada sebuah layanan, berapa lama data pribadimu akan mereka simpan?