Kewajiban Pemusnahan Data Pribadi Menurut UU PDP

Undang-Undang Pelindungan Data Pribadi (UU PDP No. 27 Tahun 2022) tidak hanya mengatur cara mengumpulkan dan memproses data pribadi — ia juga mewajibkan organisasi memusnahkan data pribadi ketika sudah tidak lagi diperlukan. Bagi bank, rumah sakit, dan perusahaan yang menyimpan data pelanggan, kewajiban ini punya konsekuensi teknis nyata: menghapus file saja tidak cukup.

Kapan Data Pribadi Wajib Dimusnahkan?

• Masa retensi (penyimpanan) data telah berakhir;
• Tujuan pemrosesan data telah tercapai atau tidak lagi relevan;
• Pemilik data menarik persetujuan atau mengajukan permintaan penghapusan;
• Terjadi pengakhiran hubungan yang mendasari pemrosesan.

Apa Beda Penghapusan dan Pemusnahan?

UU PDP membedakan dua tindakan. Penghapusan berfokus menghilangkan data dari sistem aktif. Pemusnahan memastikan data — termasuk yang tersimpan di media penyimpanan fisik — tidak dapat dipulihkan kembali. Untuk perangkat yang akan di-decommission, dijual, atau diretur, pemusnahan yang benar berarti sanitasi media, bukan sekadar hapus di level sistem operasi.

Bagaimana Memenuhinya Secara Teknis?

Pemusnahan yang dapat dipertanggungjawabkan mengikuti standar seperti NIST SP 800-88 dan IEEE 2883, dengan metode yang sesuai jenis media (degaussing untuk HDD, crypto-erase atau shredding untuk SSD), dan diakhiri dengan sertifikat pemusnahan serta pencatatan rantai pengawasan sebagai bukti audit.

Pertanyaan yang sering diajukan

Apakah menghapus file memenuhi kewajiban UU PDP? Umumnya tidak, karena data masih dapat dipulihkan.

Apakah perlu bukti pemusnahan? Sangat disarankan. Sertifikat pemusnahan dan chain of custody menjadi bukti kepatuhan saat audit.

Catatan: artikel ini panduan umum, bukan nasihat hukum.