UU PDP dalam Praktik — Kepatuhan Pelindungan Data Pribadi untuk Investigator

Udah setahun lebih UU Pelindungan Data Pribadi (UU No. 27 Tahun 2022) berlaku penuh. Dan dampaknya ke dunia forensik digital dan incident response? Besar.

Kalau dulu lo "cuma" investigator teknis, sekarang lo juga harus mikirin: data pribadi siapa yang terlibat? Apakah lo melanggar UU PDP saat investigasi? Gimana caranya melaporkan breach tanpa kena sanksi?

Di artikel ini, kita bakal bahas UU PDP dari perspektif praktis — bukan teori hukum yang bikin ngantuk. Lo bakal paham apa yang HARUS dilakukan saat menangani insiden yang melibatkan data pribadi, dan apa yang harus DIHINDARI.

Kenapa UU PDP Penting untuk Investigator?

Coba lo bayangin: lo investigator forensik di perusahaan fintech. Terjadi data breach — 50.000 data nasabah bocor. Lo investigasi, nemuin sumbernya, bantu pemulihan. Tapi...

1. Apakah lo secara nggak sengaja mengakses data pribadi yang nggak relevan dengan investigasi? → Pelanggaran UU PDP.
2. Apakah lo menyimpan forensic image yang berisi data pribadi tanpa pengamanan memadai? → Pelanggaran UU PDP.
3. Apakah perusahaan lo terlambat melaporkan breach? → Denda administratif sampai 2% pendapatan tahunan.

UU PDP mengubah cara investigator bekerja. Sekarang, setiap langkah investigasi harus mempertimbangkan aspek pelindungan data pribadi.

Konsep Kunci UU PDP yang Harus Lo Pahami

1. Data Pribadi vs Data Spesifik

Data Pribadi — setiap data tentang seseorang yang bisa diidentifikasi: nama, email, nomor HP, alamat IP (dalam konteks tertentu), foto.

Data Pribadi Spesifik — lebih sensitif:

• Data kesehatan
• Data biometrik
• Data genetika
• Data keuangan
• Data anak-anak
• Data kehidupan seksual/orientasi

Perlakuan untuk data spesifik lebih ketat. Kalau breach melibatkan data spesifik, dampak hukumnya lebih besar.

2. Subjek Data vs Pengendali Data vs Prosesor Data

Sebagai investigator, lo bisa jadi bagian dari pengendali data (kalau lo karyawan internal) atau prosesor data (kalau lo konsultan eksternal). Pahami posisi lo.

3. DPO (Data Protection Officer)

Pejabat yang bertanggung jawab atas kepatuhan pelindungan data. Setiap pengendali data dan prosesor data wajib menunjuk DPO kalau:

• Memproses data dalam skala besar.
• Memproses data spesifik.

Dalam konteks incident response, DPO adalah counterpart utama lo. Lo kerja bareng DPO untuk memastikan respons insiden tetap compliant.

Kewajiban Notifikasi Breach: Aturan 3×24 Jam

Ini aturan paling kritis yang harus lo inget:

Pasal 46 UU PDP:

Dalam hal terjadi kegagalan pelindungan data pribadi, pengendali data pribadi wajib menyampaikan pemberitahuan paling lambat 3×24 jam kepada subjek data dan lembaga.

Artinya:

1. Lo punya waktu 72 jam dari saat insiden diketahui.
2. Dua notifikasi: ke subjek data (yang datanya bocor) dan ke lembaga (otoritas PDP — nanti akan dibentuk).
3. Bukan dari saat breach terjadi — tapi dari saat DISADARI. Jadi kalau breach terjadi 2 minggu lalu dan baru ketauan sekarang, 72 jam dihitung dari sekarang.

Yang Harus Disiapkan Tim CSIRT:

• Template notifikasi yang sudah disetujui legal dan DPO — tinggal isi detail.
• Kontak otoritas yang siap dihubungi.
• Prosedur eskalasi — begitu insiden terkonfirmasi, DPO langsung diaktifkan.

Contoh Notifikasi ke Subjek Data:

Kepada Yth. Bapak/Ibu [Nama],

Kami ingin memberitahukan bahwa pada [tanggal], kami mendeteksi
adanya akses tidak sah terhadap sistem kami yang mungkin
melibatkan data pribadi Anda, yaitu: [jenis data].

Tindakan yang telah kami ambil:
- [Tindakan 1]
- [Tindakan 2]

Kami merekomendasikan Anda untuk:
- [Rekomendasi 1 — misal: ganti password]
- [Rekomendasi 2 — misal: waspadai phishing]

Kami sangat menyesalkan kejadian ini. Jika ada pertanyaan,
silakan hubungi: [kontak DPO].

Hormat kami,
[Nama Perusahaan]

Investigasi Forensik di Bawah UU PDP

Saat lo melakukan investigasi forensik, lo akan mengakses data — termasuk kemungkinan data pribadi. Bagaimana agar tetap compliant?

Prinsip-Prinsip Investigasi yang Patuh UU PDP:

1. Purpose Limitation — lo cuma boleh mengakses data yang relevan dengan investigasi. Nggak boleh browsing email pribadi karyawan yang nggak ada hubungannya.

2. Data Minimization — hanya ambil data yang diperlukan. Jangan imaging seluruh server kalau cukup imaging satu folder.

3. Storage Limitation — forensic image yang berisi data pribadi nggak boleh disimpan selamanya. Setelah kasus selesai (dan masa retensi hukum terpenuhi), harus dimusnahkan.

4. Security — forensic image harus disimpan dengan enkripsi dan akses terbatas. Kalau forensic image lo bocor... itu breach lagi.

5. Confidentiality — data pribadi yang lo temukan selama investigasi nggak boleh disebarkan. Hanya untuk keperluan investigasi.

Praktik Terbaik:

• Enkripsi forensic image — gunakan format E01 dengan password, atau enkripsi file image dengan VeraCrypt.
• Akses log — catat siapa yang akses forensic image, kapan, untuk apa.
• Pisahkan data — kalau investigasi menemukan data pribadi yang nggak relevan, jangan di-copy. Biarkan di image asli.
• Hapus tepat waktu — setelah investigasi selesai dan masa retensi berakhir, hapus forensic image secara permanen (bukan sekadar delete — pakai secure erase).

Data Breach Response dan UU PDP

Ketika terjadi data breach, investigator dan DPO harus bekerja sama erat. Ini alur kerjanya:

Fase 1: Deteksi (0-1 jam)

• Tim CSIRT mendeteksi atau menerima laporan breach.
• Incident Manager mengaktifkan tim.
• DPO diberitahu.

Fase 2: Investigasi dan Penilaian (0-48 jam)

• Investigator forensik menentukan: apa yang terjadi? Data apa yang terdampak? Berapa banyak subjek data?
• DPO menilai: apakah ini breach yang wajib dinotifikasi? (Tidak semua breach wajib dinotifikasi — hanya yang "berpotensi menimbulkan risiko tinggi" bagi subjek data).

Fase 3: Notifikasi (sebelum 72 jam)

• DPO mengirim notifikasi ke subjek data dan lembaga.
• Communications Lead menangani komunikasi publik (kalau diperlukan).

Fase 4: Pemulihan dan Evaluasi

• Sistem dipulihkan.
• Post-incident review dilakukan.
• DPO mengevaluasi: apakah perlu penilaian dampak (DPIA) ulang? Apakah kebijakan privasi perlu diupdate?

Sanksi UU PDP: Kenapa Lo Harus Serius

Sanksi UU PDP nggak main-main:

Untuk perusahaan besar dengan pendapatan triliunan... 2% itu angka yang sangat signifikan.

Yang bisa kena sanksi:

• Pengendali data (perusahaan).
• Prosesor data (vendor).
• Individu yang dengan sengaja mengungkapkan, menggunakan, atau memalsukan data pribadi.

Jadi sebagai investigator, kalau lo menyalahgunakan akses ke data pribadi... lo bisa kena sanksi pribadi.

DPIA: Penilaian Dampak Pelindungan Data

DPIA (Data Protection Impact Assessment) adalah proses menilai risiko pemrosesan data pribadi. Wajib dilakukan untuk pemrosesan data yang berisiko tinggi.

Kapan DPIA Diperlukan?

1. Pemrosesan data spesifik dalam skala besar.
2. Penggunaan teknologi baru (AI, biometrik, IoT).
3. Pemrosesan yang memengaruhi banyak subjek data.

Relevansi untuk Investigator:

Kalau lo investigator internal, pastikan perusahaan lo udah punya DPIA yang up-to-date. Kalau terjadi breach, DPIA ini jadi acuan: apakah breach yang terjadi adalah risiko yang sudah diantisipasi atau tidak?

UU PDP vs Investigasi Internal: Dilema

Seringkali, investigasi internal (misalnya: karyawan mencuri data) berbenturan dengan UU PDP. Contoh:

• Lo mau imaging laptop karyawan. Tapi laptop itu berisi data pribadi karyawan (foto keluarga, email pribadi, dll). Gimana?

Solusi praktis:

1. Batasi scope investigasi — imaging hanya folder yang relevan dengan dugaan pencurian data.
2. Minimum access — jangan browsing isi laptop tanpa tujuan jelas.
3. Pihak ketiga — kalau memungkinkan, gunakan pihak ketiga independen untuk investigasi.
4. Legal basis — pastikan ada dasar hukum yang kuat (kontrak kerja, kebijakan perusahaan, atau perintah pengadilan).

Penutup

UU PDP bukan sekadar regulasi yang "ada di atas kertas". Ini mengubah cara investigator forensik bekerja sehari-hari.

Ingat:

• 3×24 jam — notifikasi wajib.
• Minimum access — hanya akses data yang diperlukan.
• Security of evidence — forensic image harus diamankan.
• Kerja sama dengan DPO — jangan jalan sendiri.
• Sanksi serius — jangan anggap remeh.

Di artikel berikutnya, kita akan bahas NIST SP 800-86 — standar forensik digital internasional yang jadi acuan global. Lo bakal paham gimana investigator di seluruh dunia bekerja berdasarkan standar yang sama.

Ada pertanyaan tentang UU PDP dan investigasi? Kontak. Semua artikel regulasi di Regulasi & Standar.

Stay compliant!

Perbandingan: UU PDP Indonesia vs GDPR Eropa

Banyak yang membandingkan UU PDP dengan GDPR (General Data Protection Regulation) Eropa. Memang ada kemiripan — karena UU PDP banyak mengadopsi prinsip GDPR. Tapi ada perbedaan penting:

Yang penting dicatat: kalau perusahaan lo menangani data warga EU, lo harus comply dengan GDPR JUGA — bukan cuma UU PDP. Dua regulasi, dua kali compliance, dua kali potensi denda.

Checklist Kesiapan UU PDP untuk Tim CSIRT

• DPO ditunjuk dan contact-nya diketahui seluruh tim CSIRT
• Template notifikasi breach sudah disiapkan dan disetujui legal
• Prosedur penilaian risiko breach terdokumentasi
• Inventaris data pribadi (data mapping) up-to-date
• Kontrak dengan prosesor data mencakup klausul breach notification
• Simulasi breach notification dilakukan minimal setahun sekali
• Bukti investigasi disimpan dengan enkripsi dan akses terbatas
• Tim paham bahwa akses data pribadi selama investigasi dibatasi

Contoh Kasus: Breach Notification yang Benar vs Salah

Contoh Benar (Perusahaan A):
Insiden terdeteksi 10 Januari jam 14:00. DPO langsung dihubungi. Dalam 24 jam, investigasi forensik menyimpulkan: 5.000 data nasabah bocor (nama, email, nomor HP). DPO mengirim notifikasi ke nasabah terdampak pada 12 Januari jam 10:00 (44 jam setelah deteksi — dalam batas 3×24 jam). Notifikasi berisi: apa yang terjadi, data apa yang terdampak, langkah yang diambil, rekomendasi untuk nasabah, dan kontak DPO. Hasil: tidak ada sanksi, reputasi tetap terjaga.

Contoh Salah (Perusahaan B):
Insiden terjadi 5 Maret. Tim IT mencoba menangani sendiri tanpa melibatkan DPO. Setelah 2 minggu, pelanggan ramai di media sosial karena data mereka dijual di dark web. Perusahaan akhirnya mengakui breach... 3 minggu setelah kejadian. Hasil: denda administratif, reputasi hancur, pelanggan kabur. Pelajaran mahal.

Hubungan UU PDP dengan Standar Keamanan

UU PDP mewajibkan pengendali data untuk melindungi data pribadi — tapi tidak merinci secara teknis bagaimana caranya. Di sinilah standar seperti ISO 27001 dan NIST Cybersecurity Framework berperan:

• ISO 27001 — menyediakan kerangka Sistem Manajemen Keamanan Informasi (ISMS). Kalau perusahaan lo sudah ISO 27001 certified, banyak persyaratan UU PDP sudah terpenuhi.
• NIST CSF — framework yang lebih fleksibel: Identify, Protect, Detect, Respond, Recover.
• CIS Controls — 18 kontrol keamanan praktis yang bisa langsung diimplementasikan.

Jadi: UU PDP bilang APA yang harus dilakukan. ISO/NIST/CIS bilang BAGAIMANA melakukannya. Kombinasikan keduanya untuk compliance yang solid.

Pelindungan Data dalam Investigasi Forensik: Panduan Praktis

Bagaimana investigator forensik bisa bekerja dengan tetap mematuhi UU PDP? Ini panduan praktis langkah demi langkah:

Sebelum Investigasi:

• Verifikasi dasar hukum investigasi (perintah atasan, kontrak kerja, court order).
• Tentukan scope investigasi yang jelas — sistem mana, periode kapan, jenis data apa.
• Identifikasi apakah data pribadi akan terlibat — kalau iya, libatkan DPO sejak awal.

Selama Investigasi:

• Minimumkan akses ke data pribadi — hanya buka file yang relevan.
• Kalau menemukan data pribadi yang tidak relevan, jangan dibaca, jangan dicopy, catat saja lokasinya.
• Enkripsi semua hasil investigasi di tempat (forensic image, extracted files, notes).

Setelah Investigasi:

• Klasifikasikan temuan: mana yang mengandung data pribadi? Mana yang tidak?
• Data yang mengandung data pribadi harus disimpan terenkripsi dengan akses ketat.
• Tentukan masa retensi — setelah kasus selesai + masa retensi hukum, musnahkan data.
• Kalau hasil investigasi akan dibagikan ke pihak ketiga (misal: penegak hukum, auditor), pastikan ada dasar hukum atau perjanjian kerahasiaan.

Tips Menghadapi Audit UU PDP

Kalau perusahaan lo diaudit terkait UU PDP, investigator forensik sering dipanggil untuk menunjukkan bahwa investigasi dilakukan secara compliant. Tips dari gue:

• Simpan log semua akses ke data forensik (siapa, kapan, untuk apa).
• Enkripsi semua storage yang berisi forensic image.
• Punya SOP tertulis untuk penanganan data pribadi dalam investigasi.
• Bisa menunjukkan bahwa data dimusnahkan setelah masa retensi berakhir.