Kebijakan Retensi Data: Pengertian dan Cara Menyusunnya

Hampir setiap perusahaan punya satu folder di server file bernama “arsip lama” yang tidak berani dihapus siapa pun. Isinya bisa berupa salinan KTP calon nasabah dari 2016, ekspor CRM dari vendor yang kontraknya sudah lama selesai, atau tumpukan tape backup yang labelnya sudah pudar. Persoalannya bukan kapasitas penyimpanan. Persoalannya, tidak ada dokumen yang menjawab dua pertanyaan sederhana: berapa lama data ini harus disimpan, dan apa yang dilakukan setelah masa simpannya habis. Dokumen yang menjawab kedua pertanyaan itu adalah kebijakan retensi data.

Apa itu kebijakan retensi data, dan mengapa pemusnahan termasuk di dalamnya

Kebijakan retensi data adalah aturan internal yang menetapkan, untuk setiap kategori data, berapa lama data disimpan, atas dasar hukum apa, di mana disimpan, siapa pemiliknya, dan bagaimana data itu diakhiri ketika masa simpannya habis. Bagian terakhir inilah yang paling sering terlewat. Banyak perusahaan sudah punya jadwal retensi yang rapi, tetapi berhenti di kalimat “dimusnahkan sesuai prosedur” tanpa pernah menuliskan prosedurnya.

Retensi dan pemusnahan sebaiknya diperlakukan sebagai satu siklus. Jadwal retensi menentukan kapan. Standar sanitasi menentukan bagaimana. Bukti pemusnahan menunjukkan bahwa keduanya benar-benar dijalankan. Untuk urusan “bagaimana”, perusahaan memerlukan proses data sanitization yang terdokumentasi, bukan sekadar format ulang disk atau mengosongkan recycle bin.

Dasar hukum yang membentuk masa retensi

Di Indonesia tidak ada satu peraturan yang menetapkan masa simpan untuk semua jenis data. Masa retensi dirangkai dari beberapa sumber, dan arahnya kadang berlawanan.

• UU No. 8 Tahun 1997 tentang Dokumen Perusahaan mewajibkan catatan, bukti pembukuan, dan data pendukung administrasi keuangan disimpan selama 10 tahun.
• UU Ketentuan Umum dan Tata Cara Perpajakan mewajibkan buku, catatan, dan dokumen dasar pembukuan disimpan 10 tahun.
• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi bergerak ke arah sebaliknya: data pribadi tidak boleh disimpan melebihi kebutuhan tujuan pemrosesannya, dan pengendali wajib menghapus atau memusnahkannya ketika masa retensi berakhir atau tujuan sudah tercapai.
• PP No. 71 Tahun 2019 mewajibkan Penyelenggara Sistem Elektronik menghapus informasi elektronik yang tidak relevan, termasuk atas permintaan orang yang bersangkutan.
• Permenkes No. 24 Tahun 2022 tentang Rekam Medis menetapkan rekam medis elektronik di fasilitas pelayanan kesehatan disimpan paling singkat 25 tahun sejak kunjungan terakhir pasien.
• UU No. 43 Tahun 2009 tentang Kearsipan mengenalkan Jadwal Retensi Arsip (JRA) yang wajib diikuti lembaga negara, pemerintah daerah, dan BUMN.

Ketegangan muncul ketika satu dokumen jatuh di dua rezim sekaligus. Formulir pembukaan rekening memuat data pribadi yang tunduk pada UU PDP, tetapi juga merupakan dokumen pendukung transaksi keuangan yang tunduk pada UU Dokumen Perusahaan. Kebijakan yang baik tidak memilih salah satunya secara asal. Ia mencatat kewajiban simpan terpanjang yang berlaku sebagai masa retensi, lalu mempersempit akses ke data tersebut selama sisa periode itu. Sisi kewajiban berdasarkan UU PDP kami bahas lebih rinci di artikel kewajiban pemusnahan data pribadi menurut UU PDP.

Cara menyusun kebijakan retensi data, langkah demi langkah

1. Inventarisasi data, termasuk yang tidak kelihatan

Mulailah dari catatan aktivitas pemrosesan bila Anda sudah menyusunnya untuk kepentingan UU PDP. Lalu tambahkan lokasi yang biasanya terlewat: snapshot virtual machine, log aplikasi yang ikut merekam nomor telepon, salinan database di laptop developer, hard disk di dalam mesin fotokopi multifungsi, rekaman CCTV, dan disk di dalam mesin ATM atau kios layanan mandiri yang sudah ditarik dari lapangan. Data di media semacam inilah yang paling sering keluar dari perusahaan bersama aset bekas.

2. Klasifikasikan dan tunjuk pemilik

Setiap kategori data perlu satu pemilik dari sisi bisnis, bukan dari TI. Divisi kredit yang tahu kapan berkas agunan tidak diperlukan lagi; tim TI menjalankan eksekusinya. Tanpa pemilik yang jelas, setiap usulan pemusnahan akan berhenti di status “menunggu konfirmasi” yang tidak pernah datang.

3. Susun jadwal retensi

Jadwal retensi memuat kategori data, dasar hukum, pemicu awal hitungan (tanggal transaksi, berakhirnya hubungan dengan nasabah, kunjungan terakhir pasien), durasi, dan tindakan di akhir masa simpan. Tabel berikut hanya ilustrasi. Angka finalnya harus diverifikasi oleh fungsi legal dan kepatuhan di perusahaan Anda.

4. Tentukan metode pemusnahan untuk tiap jenis media

Di bagian ini kebijakan sering terlalu umum. Kalimat “dimusnahkan secara aman” tidak bisa diaudit. Banyak organisasi memakai kerangka NIST SP 800-88, yang membagi sanitasi menjadi tiga tingkat: Clear, Purge, dan Destroy. Perlu dicatat, NIST bukan peraturan Indonesia dan UU PDP tidak mewajibkannya. Kerangka ini dipakai karena memberi bahasa yang sama antara tim TI, auditor, dan vendor.

Metodenya bergantung pada media. Degaussing efektif untuk HDD dan tape magnetik, tetapi tidak berpengaruh pada SSD. Untuk SSD, purge melalui perintah sanitize bawaan perangkat atau crypto-erase lebih tepat, sedangkan penghancuran fisik dipilih bila media tidak akan dipakai lagi. Perbandingan ketiganya kami uraikan dalam panduan degaussing, penghancuran fisik, dan crypto-erase.

Data di cloud dan backup perlu aturan tersendiri. Di cloud, Anda tidak memegang disk fisiknya, jadi kendali yang tersisa adalah penghapusan kunci enkripsi yang Anda kelola sendiri serta klausul pemusnahan dalam kontrak dengan penyedia. Untuk backup, putuskan apakah data yang lewat masa retensi dibiarkan kedaluwarsa mengikuti siklus rotasi backup atau dihapus secara selektif. Keduanya dapat dipertanggungjawabkan selama keputusannya tertulis.

5. Tetapkan bukti dan chain-of-custody

Kebijakan harus menyebut bukti apa yang dihasilkan setiap kali pemusnahan dilakukan: nomor seri media, metode, tanggal, pelaksana, saksi, hasil verifikasi, dan sertifikat. Jika media dibawa ke luar gedung untuk diproses vendor, setiap perpindahan tangan dicatat, dari ruang server, kendaraan pengangkut, sampai fasilitas penghancuran. Unsur yang membuat sertifikat layak dipegang saat audit kami jabarkan di anatomi sertifikat pemusnahan data.

6. Siapkan mekanisme legal hold

Ketika ada sengketa, pemeriksaan pajak, atau permintaan dari penyidik, pemusnahan data yang terkait harus ditangguhkan meskipun masa retensinya sudah lewat. Kebijakan perlu menyebut siapa yang berwenang menerbitkan legal hold, bagaimana ia dicatat, dan kapan dicabut. Tanpa mekanisme ini, pemusnahan yang sebenarnya berjalan sesuai jadwal bisa ditafsirkan sebagai upaya menghilangkan bukti.

Agar kebijakan tidak berhenti di atas kertas

Dokumen yang sudah ditandatangani direksi baru separuh pekerjaan. Beberapa kebiasaan berikut yang membuatnya benar-benar berjalan:

• Jadwalkan siklus pemusnahan berkala, misalnya tiap semester, bukan menunggu gudang penuh.
• Kaitkan dekomisioning aset TI dengan kebijakan ini. Tidak ada laptop, server, atau perangkat ATM yang dihapus dari daftar aset sebelum ada bukti sanitasi medianya.
• Otomatiskan retensi di sistem yang mendukungnya, seperti aturan lifecycle di object storage atau purge job terjadwal di database, supaya tidak bergantung pada ingatan orang.
• Uji sampel. Ambil beberapa media yang sudah disanitasi secara acak, lalu coba pulihkan isinya dengan perangkat forensik.
• Tinjau ulang kebijakan setiap tahun, atau lebih cepat bila terbit regulasi baru seperti aturan pelaksana UU PDP.

Sektor tertentu punya lapisan tambahan. Bank, misalnya, perlu menyelaraskan kebijakan ini dengan kewajiban pengelolaan risiko teknologi informasi dalam POJK No. 11/POJK.03/2022, sementara rumah sakit perlu memperhitungkan arsip PACS yang ukurannya bisa mencapai ratusan terabyte dan ikut terikat masa simpan rekam medis.

Kesalahan yang paling sering terjadi

Pertama, menyalin jadwal retensi milik perusahaan lain. Masa simpan bergantung pada jenis usaha, izin yang dipegang, dan kontrak dengan pihak ketiga; jadwal pinjaman jarang cocok. Kedua, memilih retensi “selamanya” karena dianggap paling aman. Di bawah UU PDP, menyimpan data pribadi tanpa batas justru memperbesar eksposur, sebab setiap insiden kebocoran akan ikut melibatkan data yang seharusnya sudah tidak ada. Ketiga, menyamakan format ulang dengan pemusnahan. Quick format pada HDD hanya menghapus struktur sistem berkas, sedangkan isi sektornya masih bisa dipulihkan dengan perangkat lunak yang mudah didapat.

Pertanyaan yang sering diajukan

Berapa lama data pribadi boleh disimpan menurut UU PDP?

UU PDP tidak menetapkan angka tunggal. Data pribadi disimpan sepanjang diperlukan untuk tujuan pemrosesannya atau sepanjang diwajibkan peraturan lain. Karena itu durasinya ditetapkan per kategori dalam jadwal retensi, dengan dasar hukum yang dicatat untuk masing-masing.

Apakah menghapus file sudah memenuhi kewajiban pemusnahan?

Untuk data yang tetap berada di sistem aktif, penghapusan logis bisa memadai selama tidak ada salinan yang tertinggal. Untuk media yang akan dibuang, dijual, atau dikembalikan ke vendor sewa, penghapusan file tidak cukup karena datanya masih dapat dipulihkan. Media semacam itu perlu disanitasi dengan metode yang sesuai jenisnya.

Apakah NIST SP 800-88 wajib diterapkan di Indonesia?

Tidak. Belum ada regulasi Indonesia yang mewajibkan standar tersebut secara eksplisit. NIST SP 800-88 dipakai sebagai acuan praktik baik karena memberi kategori metode yang jelas dan mudah diverifikasi oleh auditor.

Siapa yang seharusnya menyusun dan menyetujui kebijakan retensi data?

Penyusunannya melibatkan legal, kepatuhan, TI, keamanan informasi, dan pemilik data di unit bisnis, termasuk pejabat pelindungan data pribadi bila sudah ditunjuk. Persetujuannya sebaiknya di tingkat direksi, karena kebijakan ini menyangkut risiko hukum dan menentukan anggaran pemusnahan.