Risiko UU PDP Ketika Karyawan Menyalin Dokumen Rahasia Ke Chatbot Publik

Seorang staf penagihan menempelkan daftar 400 debitur ke chatbot publik supaya tabelnya rapi untuk rapat pagi. Daftar itu lengkap dengan NIK, nomor telepon, dan saldo tunggakan, dan hasilnya keluar dalam empat menit. Menurut Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, perusahaannya baru saja menyerahkan data pribadi 400 orang kepada pihak ketiga tanpa perjanjian, tanpa instruksi tertulis, dan hampir pasti ke server di luar Indonesia.

MASALAH

Menempelkan Data Ke Chatbot Publik Termasuk Pemrosesan Data Pribadi

Menyalin data pelanggan atau karyawan ke chatbot publik adalah pemrosesan data pribadi, karena UU PDP menghitung pengumpulan, penyimpanan, transfer, dan pengungkapan sebagai bentuk pemrosesan. Begitu teks terkirim, salinan data itu berada di sistem penyedia chatbot. Sejak saat itu perusahaan tidak lagi menentukan berapa lama data disimpan, siapa yang dapat membacanya, atau apakah data itu dipakai untuk melatih model.

Pasal 16 UU PDP (teks resmi di JDIH BPK) merinci pemrosesan mulai dari perolehan sampai penghapusan, termasuk penyimpanan, transfer, dan pengungkapan. Tidak ada pengecualian untuk data yang “hanya ditempel sebentar”. Menutup tab browser juga tidak menghapus apa pun di sisi penyedia.

Kasus ini sulit ditangani justru karena niat karyawannya baik. Mereka ingin pekerjaan selesai lebih cepat, dan chatbot memang mempercepatnya. Karena itu pemakaiannya jarang dilaporkan dan jarang tercatat, lalu baru diketahui ketika ada keluhan atau audit.

KERANGKA HUKUM

Perusahaan Tetap Menjadi Pengendali Walaupun Staf Yang Menempelkan Data

Perusahaan adalah pengendali data pribadi atas data pelanggan dan karyawannya. Tanggung jawab atas data itu tetap melekat pada perusahaan meskipun yang menekan tombol kirim adalah seorang staf. UU PDP mengizinkan pengendali memakai prosesor, dengan syarat prosesor memproses data berdasarkan perintah pengendali, sebagaimana diatur Pasal 51.

Akun chatbot gratis yang dibuat karyawan dengan email pribadinya tidak memenuhi syarat itu. Tidak ada perjanjian pemrosesan antara perusahaan dan penyedia, dan tidak ada instruksi tertulis. Syarat layanan yang berlaku hanyalah kesepakatan antara penyedia dan karyawan sebagai individu.

Dalam keadaan terbaik, penyedia berperan sebagai prosesor yang tidak pernah ditunjuk secara sah. Dalam keadaan terburuk, penyedia menentukan sendiri tujuan pemakaian data, misalnya untuk peningkatan layanan. Posisinya kemudian lebih dekat ke pengendali lain yang menerima data dari perusahaan Anda. Penafsiran mana yang berlaku untuk layanan tertentu adalah pertanyaan untuk penasihat hukum perusahaan. Kedua penafsiran sama-sama membuat perusahaan sulit membuktikan bahwa kewajibannya sebagai pengendali sudah dijalankan.

Lapisan kedua adalah transfer lintas negara. Pasal 56 mengatur pengendali yang mentransfer data pribadi ke luar wilayah hukum Indonesia. Pengendali wajib memastikan negara penerima memiliki tingkat pelindungan setara atau lebih tinggi, atau memastikan ada pelindungan yang memadai dan mengikat. Jika keduanya tidak terpenuhi, pengendali wajib memperoleh persetujuan subjek data. Staf penagihan pada contoh di atas tidak memeriksa satu pun dari tiga syarat itu.

Aturan pelaksananya kini sudah terbit. Peraturan Pemerintah Nomor 33 Tahun 2026 diundangkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. PP ini merinci kewajiban pengendali dan prosesor, penilaian dampak pelindungan data, pejabat pelindungan data, dan transfer ke luar negeri (Kompas). Perusahaan punya kurang dari empat bulan untuk merapikan praktik yang selama ini dibiarkan.

SIAPA YANG TERPAPAR

Tiga Meja Back Office Yang Paling Sering Menempelkan Data Pribadi

Keuangan, pengadaan, dan SDM adalah tiga fungsi yang paling sering menempelkan data pribadi ke chatbot publik. Pekerjaan mereka berupa dokumen panjang yang berisi nama, nomor identitas, dan angka. Sebagian data itu masuk kategori data pribadi yang bersifat spesifik menurut Pasal 4 ayat (2) UU PDP, yang menuntut perlakuan lebih ketat.

Keuangan Dan Penagihan

Daftar piutang, rekonsiliasi rekening, dan laporan kredit berisi data keuangan pribadi, yang disebut langsung sebagai data spesifik. Permintaan yang tampak sepele seperti “kelompokkan debitur ini berdasarkan umur piutang” sudah cukup untuk mengirim seluruh daftar keluar.

Pengadaan

Kontrak vendor perorangan dan usaha kecil memuat nama pemilik, NIK, NPWP, alamat rumah, dan nomor rekening. Ringkasan tender 300 halaman yang ditempel utuh membawa semua data itu. Ikut terbawa pula klausul kerahasiaan kontrak, yang biasanya melarang pengungkapan ke pihak ketiga.

SDM Dan Penggajian

Hasil medical check-up dan surat keterangan sakit termasuk data kesehatan. SKCK termasuk catatan kejahatan, dan data anak karyawan untuk tunjangan termasuk data anak. Ketiganya berstatus data spesifik. Draf surat peringatan yang ditulis dengan bantuan chatbot sering memuat ketiganya sekaligus.

SANKSI

Sanksi Dan Tenggat Yang Berlaku Bagi Pengendali

Masa transisi UU PDP berakhir pada 17 Oktober 2024, sehingga kewajiban pengendali sudah berlaku penuh. Paparan utama perusahaan adalah sanksi administratif, dengan denda sampai 2 persen dari pendapatan tahunan. Ketentuan pidana memerlukan unsur kesengajaan dan melawan hukum, sehingga lebih relevan bagi pelaku yang sengaja membocorkan data daripada bagi staf yang ceroboh.

Kewajiban pemberitahuan 3 x 24 jam patut diperhatikan. UU PDP mendefinisikan kegagalan pelindungan sebagai kegagalan menjaga kerahasiaan, integritas, dan ketersediaan data, termasuk pengungkapan dan akses tanpa hak. Tim hukum bisa saja menilai penempelan daftar debitur ke layanan publik sebagai pengungkapan tanpa hak. Jika demikian, jam mulai berjalan sejak kejadian diketahui, padahal sebagian besar perusahaan belum punya prosedur untuk mendeteksinya.

PENGENDALIAN

Larangan Tertulis Jarang Menghentikan Kebiasaan Ini

Surat edaran yang melarang chatbot publik biasanya hanya memindahkan pemakaiannya ke ponsel pribadi. Alasan karyawan memakainya tetap ada: pekerjaan yang biasanya menghabiskan sore hari selesai dalam beberapa menit. Pengendalian yang bertahan memberi karyawan jalur yang sah untuk pekerjaan yang sama.

Langkah pertama adalah inventarisasi. Tanyakan kepada tim keuangan, pengadaan, dan SDM tugas apa saja yang mereka kerjakan dengan chatbot, lalu petakan data apa yang ikut terkirim. Hasilnya menjadi bahan penilaian dampak pelindungan data, yang kini diatur lebih rinci dalam PP 33/2026.

Langkah kedua adalah memisahkan tugas menurut jenis datanya. Untuk teks tanpa data pribadi, seperti draf pengumuman internal, layanan cloud versi korporat bisa menjadi jalur yang wajar, asalkan ada perjanjian pemrosesan data dan pilihan lokasi server. Untuk banyak perusahaan, jalur itu sudah cukup. Ada tiga keadaan yang menuntut lebih: data spesifik, kontrak dengan klausul larangan transfer, dan institusi yang diwajibkan menyimpan data di dalam negeri. Dalam ketiganya, jalur yang paling mudah dipertanggungjawabkan adalah pemrosesan di infrastruktur milik sendiri, karena tidak ada pihak ketiga dan tidak ada transfer lintas negara yang perlu dijelaskan.

Langkah ketiga adalah pengawasan teknis, misalnya pemblokiran unggahan ke domain chatbot publik dari jaringan kantor. Kontrol ini hanya efektif setelah jalur yang sah tersedia.

SOLUSI

Posisi ARSA Sovereign Dalam Kerangka Ini

ARSA Sovereign adalah perangkat AI on-premise yang membaca dokumen, memprosesnya dengan model bahasa lokal, lalu menulis hasilnya ke sistem perusahaan. Saat inferensi, perangkat ini tidak memerlukan koneksi keluar. Dokumen, pertanyaan, dan hasilnya tetap berada di penyimpanan terenkripsi di dalam perangkat, dan tidak ada yang terkirim ke ARSA maupun ke pihak ketiga lain.

Bagi tim back office, perbedaannya terasa pada antarmuka. Pengguna menyatakan tujuan, misalnya mencocokkan kontrak vendor dengan standar NDA perusahaan lalu menyusun purchase order. Sistem kemudian membangun formulir langkah demi langkah untuk tugas itu. Konektor ke Odoo, SAP, dan Zoho bersifat baca saja secara bawaan, dan setiap penulisan ke ERP menunggu persetujuan manusia sebelum dieksekusi. Perangkat ini juga dapat dijalankan sepenuhnya air-gapped, dengan pembaruan model yang dikirim sebagai paket offline bertanda tangan.

Keduanya memakai 128 GB memori ECC. Harganya sudah termasuk dukungan, pembaruan model, dan manajemen armada selama tiga tahun. Angka di atas adalah harga daftar internasional dalam USD, di luar bea masuk, PPN, dan pemasangan rak. Harga domestik Indonesia dikutip terpisah dalam rupiah. Waktu tunggunya tiga sampai empat minggu, dengan pengiriman dari Surabaya.

Batasannya perlu disebut sama jelasnya. Pada tugas penalaran tersulit, model lokal ini tidak setara dengan model cloud skala terdepan. Untuk pemakaian yang jarang dan tidak menentu, layanan cloud lebih murah. Perusahaan tanpa ruang rak dan anggaran daya juga akan kesulitan. Memproses data di dalam gedung pun tidak menghapus kewajiban UU PDP lainnya: dasar pemrosesan, pembatasan akses, dan masa retensi tetap harus diatur oleh perusahaan.

FAQ

Pertanyaan Yang Sering Diajukan

Apakah Karyawan Yang Menempelkan Data Pelanggan Ke Chatbot Publik Melanggar UU PDP?

Tanggung jawab utamanya jatuh pada perusahaan sebagai pengendali data pribadi. Penempelan itu adalah pemrosesan sekaligus pengungkapan data kepada pihak ketiga. Perusahaan wajib bisa menunjukkan dasar hukumnya, perjanjian dengan penerimanya, dan pelindungan untuk transfer lintas negara. Sanksi pidana bagi individu memerlukan unsur kesengajaan dan melawan hukum, sehingga paparan yang paling nyata adalah sanksi administratif terhadap perusahaan.

Apakah Penyedia Chatbot Publik Dianggap Prosesor Data Pribadi?

Hanya jika perusahaan menunjuknya sebagai prosesor dan penyedia memproses data berdasarkan perintah perusahaan, sebagaimana disyaratkan Pasal 51. Akun gratis milik pribadi karyawan tidak memiliki hubungan itu. Jika penyedia menentukan sendiri pemakaian data, misalnya untuk pengembangan layanan, posisinya lebih dekat ke pengendali lain yang menerima data dari perusahaan.

Apakah UU PDP Sudah Berlaku Penuh Untuk Perusahaan Swasta?

Ya, kewajiban UU PDP berlaku penuh sejak masa transisi berakhir pada 17 Oktober 2024. Aturan pelaksananya, PP Nomor 33 Tahun 2026, mulai berlaku pada 16 Januari 2027. PP ini merinci kewajiban pengendali dan prosesor serta transfer data ke luar negeri.

Apakah Cukup Beralih Ke Chatbot Versi Berbayar Atau Enterprise?

Untuk banyak jenis data, versi korporat dengan perjanjian pemrosesan data dan pilihan lokasi server sudah memadai. Yang perlu diperiksa adalah isi perjanjiannya: apakah penyedia hanya memproses atas perintah perusahaan, di negara mana data disimpan, dan apakah data dipakai untuk pelatihan. Untuk data spesifik, kontrak yang melarang transfer, atau kewajiban penyimpanan di dalam negeri, pemrosesan on-premise lebih mudah dipertanggungjawabkan.

Apakah ARSA Dapat Melihat Dokumen Yang Diproses Di ARSA Sovereign?

Tidak. Ekstraksi teks, pengindeksan, dan penalaran berlangsung di dalam perangkat pada penyimpanan terenkripsi, dan tidak ada dokumen, pertanyaan, atau hasil yang dikirim ke ARSA. Saluran manajemen armada terenkripsi dan dapat dimatikan sepenuhnya untuk pemasangan air-gapped.

MULAI

Beri Tim Back Office Jalur Yang Sah

Tim keuangan, pengadaan, atau SDM Anda mungkin sudah memakai chatbot publik untuk dokumen yang berisi data pribadi. Jalur yang paling bertahan adalah memberi mereka alat yang sama cepatnya di dalam jaringan perusahaan. Spesifikasi dan batasan perangkatnya ada di halaman ARSA Sovereign.

Jika yang dibutuhkan adalah alur kerja khusus, ARSA memulai dengan feasibility assessment selama dua minggu seharga $4.500. Biaya ini dipotong dari biaya proyek bila kontrak ditandatangani dalam 90 hari, seperti dijelaskan di halaman layanan. Untuk diskusi awal, hubungi tim kami melalui halaman kontak.