Kewajiban Pemusnahan Data Pribadi Menurut UU PDP

Undang-Undang Pelindungan Data Pribadi (UU PDP No. 27 Tahun 2022) lebih dikenal karena aturan mainnya soal pengumpulan dan pemrosesan data. Padahal ada kewajiban lain yang sering luput: organisasi juga wajib memusnahkan data pribadi begitu data itu tidak lagi diperlukan. Bagi bank, rumah sakit, dan perusahaan yang menyimpan data pelanggan, kewajiban ini punya konsekuensi teknis yang nyata. Menghapus file dari sistem belum menyelesaikan apa-apa.

Kapan Data Pribadi Wajib Dimusnahkan?

• Masa retensi (penyimpanan) data telah berakhir;
• Tujuan pemrosesan data sudah tercapai atau tidak lagi relevan;
• Pemilik data menarik persetujuan atau mengajukan permintaan penghapusan;
• Hubungan yang mendasari pemrosesan data itu berakhir.

Apa Beda Penghapusan dan Pemusnahan?

UU PDP membedakan dua tindakan ini. Penghapusan menghilangkan data dari sistem yang aktif. Pemusnahan melangkah lebih jauh: data harus tidak dapat dipulihkan lagi, termasuk yang masih tertinggal di media penyimpanan fisiknya. Perbedaannya terasa saat perangkat akan di-decommission, dijual, atau diretur ke vendor. Pada titik itu, pemusnahan yang benar berarti sanitasi medianya, bukan sekadar menghapus di level sistem operasi.

Bagaimana Memenuhinya Secara Teknis?

Praktik yang dapat dipertanggungjawabkan mengacu pada standar seperti NIST SP 800-88 dan IEEE 2883. Metodenya menyesuaikan jenis media: degaussing untuk HDD, crypto-erase atau shredding untuk SSD. Prosesnya baru lengkap bila ditutup dengan sertifikat pemusnahan dan pencatatan rantai pengawasan, karena keduanya yang menjadi bukti saat audit.

Pertanyaan yang sering diajukan

Apakah menghapus file memenuhi kewajiban UU PDP? Umumnya tidak. Data yang dihapus masih dapat dipulihkan dengan perangkat lunak recovery biasa.

Apakah perlu bukti pemusnahan? Sangat disarankan. Sertifikat pemusnahan dan chain of custody adalah bukti kepatuhan yang akan dicari auditor.

Catatan: artikel ini panduan umum, bukan nasihat hukum.