UU PDP dan kirim file data pribadi: apa yang diwajibkan undang-undang

Menurut UU PDP, mengirim file yang berisi data pribadi adalah bagian dari pemrosesan data, sehingga Anda wajib mengirim hanya yang perlu, melindunginya dengan langkah keamanan yang sesuai risikonya, menghapusnya saat tidak lagi diperlukan, memakai prosesor yang bekerja atas perintah Anda, dan memberi tahu secara tertulis paling lambat 3 x 24 jam jika terjadi kegagalan pelindungan data. UU PDP tidak memberi sertifikat untuk aplikasi: kewajibannya ada pada pihak yang mengirim data, dan layanan yang tepat membuat kewajiban itu jauh lebih mudah dipenuhi.

Panduan ini memetakan pasal-pasal Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang berlaku saat Anda mengirim file seperti CV, slip gaji, hasil lab, foto orang, scan KTP, atau daftar pelanggan, lalu mengubahnya menjadi checklist. Isinya informasi umum per Oktober 2026, bukan nasihat hukum; untuk kasus Anda, pejabat pelindungan data pribadi atau konsultan hukum perusahaan yang punya kata akhir. Kutipan pasal kami ambil dari salinan resmi di JDIH BPK (peraturan.bpk.go.id).

UU PDP adalah apa, dan kapan mulai berlaku?

UU PDP adalah singkatan dari Undang-Undang Pelindungan Data Pribadi. Sebelumnya, aturan tentang data pribadi tersebar di beberapa peraturan; bagian Menimbang UU PDP menyebut perlunya pengaturan dalam satu undang-undang agar pelaksanaannya lebih efektif. Undang-undang ini disahkan dan diundangkan pada 17 Oktober 2022 (Lembaran Negara Tahun 2022 Nomor 196) dan berlaku sejak tanggal diundangkan. Pasal 74 memberi masa penyesuaian: pengendali data, prosesor data, dan pihak lain yang terkait wajib menyesuaikan diri paling lama 2 tahun sejak diundangkan, artinya sejak 17 Oktober 2024 seluruh ketentuannya harus sudah dipatuhi.

UU PDP berlaku untuk setiap orang, badan publik, dan organisasi internasional di wilayah Indonesia, dan juga di luar Indonesia jika perbuatannya berakibat hukum di Indonesia atau bagi warga negara Indonesia di luar negeri (Pasal 2 ayat 1). Satu pengecualian penting: undang-undang ini tidak berlaku untuk pemrosesan oleh perseorangan dalam kegiatan pribadi atau rumah tangga (Pasal 2 ayat 2). Mengirim foto liburan ke keluarga tidak termasuk; mengirim data karyawan atau klien dalam pekerjaan termasuk.

Kapan UU PDP berlaku saat Anda kirim file?

Setiap kali file berisi data pribadi, yaitu data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sendiri atau dikombinasikan dengan informasi lain (Pasal 1 angka 1). Kontrak dengan nama dan alamat, spreadsheet pelanggan, scan KTP atau KK, foto yang wajah orangnya dikenali: semuanya termasuk. Pasal 16 ayat 1 menyebut pemrosesan meliputi antara lain penyimpanan, transfer, penyebarluasan, dan penghapusan, jadi mengirim file adalah pemrosesan, begitu juga penyimpanan sementara oleh layanan transfer.

Hati-hati dengan data pribadi yang bersifat spesifik (Pasal 4 ayat 2): data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Hasil lab, rekam medis, atau mutasi rekening yang dilampirkan di email masuk kategori ini, dan pemrosesan data spesifik termasuk yang berpotensi risiko tinggi sehingga perlu penilaian dampak (Pasal 34).

Pasal UU PDP yang penting saat mengirim file

Pengendali dan prosesor data: siapa bertanggung jawab atas apa

Dalam UU PDP, perusahaan atau orang yang menentukan tujuan dan mengendalikan pemrosesan adalah pengendali data pribadi (Pasal 1 angka 4). Layanan transfer yang menyimpan file atas nama Anda bertindak sebagai prosesor data pribadi, yang memproses data “atas nama Pengendali Data Pribadi” (Pasal 1 angka 5). Pasal 51 mengatur hubungannya: prosesor wajib memproses berdasarkan perintah pengendali, pemrosesan itu tetap menjadi tanggung jawab pengendali, dan prosesor wajib mendapat persetujuan tertulis dari pengendali sebelum melibatkan prosesor lain. Jika prosesor bertindak di luar perintah, tanggung jawabnya beralih ke prosesor.

Pasal 52 menambahkan bahwa kewajiban pengendali soal keamanan, kerahasiaan, pengawasan, dan pencegahan akses tidak sah (Pasal 35 sampai 39) juga berlaku bagi prosesor. Untuk pemakaian bisnis, periksa apakah penyedia layanan punya kebijakan privasi yang jelas, menyebut lokasi penyimpanan file, dan menjelaskan pihak lain yang ikut memproses data.

Apakah UU PDP mewajibkan enkripsi?

Kata enkripsi tidak muncul sebagai kewajiban dalam teks undang-undang. Pasal 35 meminta pengendali menyusun dan menerapkan langkah teknis operasional untuk melindungi data, serta menentukan tingkat keamanan dengan memperhatikan sifat dan risiko data. Pasal 39 meminta pencegahan akses tidak sah lewat sistem keamanan dan sistem elektronik yang andal, aman, dan bertanggung jawab. Dalam praktik, enkripsi adalah standar minimal yang wajar untuk mengirim data pribadi lewat internet.

Ada satu perbedaan penting dengan GDPR. Di Eropa, data yang dienkripsi dengan benar bisa membebaskan perusahaan dari kewajiban memberi tahu individu setelah kebocoran (GDPR Pasal 34 ayat 3 huruf a). Teks Pasal 46 UU PDP tidak menyebut pengecualian seperti itu. Enkripsi tetap sangat bernilai karena mengurangi dampak nyata bagi orang yang datanya bocor, dan enkripsi end-to-end, di mana penyedia layanan pun tidak bisa membaca file, adalah bentuk yang paling kuat; baca arti enkripsi end to end.

Berapa lama file boleh tersedia?

Folder berbagi yang terbuka bertahun-tahun bertentangan dengan prinsip UU PDP: data pribadi dihapus atau dimusnahkan setelah masa retensi berakhir (Pasal 16 ayat 2 huruf g), dan pengendali wajib menghapus data yang tidak lagi diperlukan untuk mencapai tujuan pemrosesan (Pasal 43). Link transfer yang kedaluwarsa setelah beberapa hari, dengan file yang terhapus saat kedaluwarsa, menerapkan prinsip ini secara otomatis tanpa ada yang perlu ingat membersihkannya. Panduan link dengan password dan masa berlaku menyarankan durasi untuk tiap situasi.

Jika terjadi kebocoran: pemberitahuan 3 x 24 jam

Penjelasan Pasal 46 mendefinisikan kegagalan pelindungan data pribadi sebagai kegagalan melindungi kerahasiaan, integritas, dan ketersediaan data, termasuk pelanggaran keamanan yang disengaja maupun tidak, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses tidak sah terhadap data yang dikirim, disimpan, atau diproses. File berisi data pribadi yang terkirim ke orang yang salah jelas masuk ke wilayah ini.

Dalam hal itu, pengendali wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan kepada lembaga (Pasal 46 ayat 1). Isinya minimal: data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihannya (ayat 2). Dalam hal tertentu, misalnya jika kegagalan mengganggu pelayanan publik atau berdampak serius pada kepentingan masyarakat, pengendali juga wajib memberi tahu masyarakat (ayat 3 dan penjelasannya).

Langkah pertama yang praktis: cabut link saat itu juga, periksa apakah file sudah diunduh, lalu nilai risikonya bagi orang yang datanya ada di file. Itulah kenapa notifikasi download dan kemampuan menghapus transfer dengan cepat sangat berguna. Checklist kirim file dengan aman membantu mencegahnya sejak awal.

Transfer data pribadi ke luar negeri: bagaimana jika server di Eropa atau Amerika?

Menyimpan file berisi data pribadi di server luar negeri termasuk transfer data pribadi ke luar wilayah hukum Indonesia, yang diatur Pasal 56 dengan tiga lapis syarat. Pertama, pengendali wajib memastikan negara tempat penerima data memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari UU PDP. Jika tidak terpenuhi, wajib ada pelindungan data pribadi yang memadai dan bersifat mengikat. Jika keduanya tidak terpenuhi, pengendali wajib mendapatkan persetujuan subjek data. Detailnya diserahkan ke Peraturan Pemerintah (ayat 5), dan lembaga berwenang menilai pemenuhan persyaratan transfer ke luar negeri (Pasal 60 huruf f).

UU PDP dan GDPR: apa bedanya?

Banyak konsep UU PDP mirip dengan General Data Protection Regulation (GDPR) Uni Eropa, Regulasi (EU) 2016/679: pengendali dan prosesor, prinsip pembatasan, keamanan, retensi, dan transfer lintas negara. GDPR menjadi relevan bagi Anda jika bisnis Anda menawarkan layanan kepada orang di Uni Eropa, atau jika Anda memakai penyedia yang menyimpan data di Eropa. Perbedaan yang paling terasa saat mengirim file:

UU PDP juga memuat ketentuan pidana. Misalnya, orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya diancam pidana penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar (Pasal 67 ayat 2), dan denda untuk korporasi bisa mencapai 10 kali lipat (Pasal 70). Ketentuan ini menyasar pengungkapan yang disengaja dan melawan hukum, bukan salah kirim yang tidak disengaja, tetapi menunjukkan betapa seriusnya undang-undang ini memandang data pribadi.

Checklist: memilih layanan kirim file yang sesuai UU PDP

• Kebijakan privasi yang jelas yang menyebut siapa memproses data, untuk apa, dan dengan pihak mana saja.
• Lokasi penyimpanan yang disebutkan, dan dasar yang jelas untuk transfer jika file disimpan di luar Indonesia (Pasal 56).
• Enkripsi saat transit dan saat disimpan, serta enkripsi end-to-end untuk file sensitif.
• Masa berlaku dengan penghapusan otomatis, password, dan batas jumlah download.
• Kontrol akses di sisi pengirim: verifikasi dua langkah, peran dalam tim.
• Cara untuk menghapus transfer seketika jika terkirim ke orang yang salah.

Checklist: memakai layanan kirim file sesuai UU PDP

1. 1

   Langkah 1

   Kirim seperlunya

   Kirim hanya dokumen dan data yang dibutuhkan penerima; sensor sisanya, misalnya NIK atau nomor rekening yang tidak diperlukan.

2. 2

   Langkah 2

   Lindungi

   Pakai password yang dikirim lewat saluran lain, dan enkripsi end-to-end untuk data pribadi spesifik seperti data kesehatan, atau dokumen identitas.

3. 3

   Langkah 3

   Batasi waktunya

   Pilih masa berlaku pendek dan batas download sesuai jumlah penerima.

4. 4

   Langkah 4

   Cek penerima

   Periksa alamat email atau nomor tujuan; salah kirim adalah penyebab klasik kebocoran data.

5. 5

   Langkah 5

   Bersihkan

   Hapus salinan lokal, lampiran terkirim, dan file di chat yang sudah tidak diperlukan.

6. 6

   Langkah 6

   Dokumentasikan

   Catat alat yang dipakai dalam rekaman kegiatan pemrosesan (Pasal 31) dan buat aturan internal yang singkat dan dikenal semua orang.

Situasi umum dan pengaturan yang disarankan

Untuk melihat bagaimana fitur-fitur ini bekerja bersama di Transfr, buka halaman transfer file aman, atau langsung kirim file dan atur password serta masa berlakunya sebelum mengirim.