Email dan UU PDP: kewajiban dan cara memilih penyedia

Kotak masuk diam-diam menumpuk data pribadi: nama, alamat, rincian pesanan, lamaran kerja, kadang catatan kesehatan yang diteruskan "sekali ini saja". Menurut UU Pelindungan Data Pribadi (UU 27/2022), korespondensi semacam itu adalah pemrosesan data pribadi seperti pemrosesan lainnya, dengan kewajiban yang sama seperti pada basis data.

Yang sebenarnya diminta undang-undang

Tidak ada "sertifikat UU PDP" untuk penyedia email, dan vendor yang mengklaimnya menjanjikan lebih dari yang bisa dipenuhi. Yang diminta undang-undang adalah dasar pemrosesan yang sah, pengumpulan terbatas dan sesuai tujuan, penyimpanan tidak lebih lama dari yang diperlukan, langkah pengamanan yang memadai, serta pemenuhan hak subjek data.

Diterapkan pada email, wujudnya beberapa hal konkret:

• Enkripsi saat transit (TLS) antara server dan klien.
• Kendali akses: kata sandi kuat, verifikasi dua langkah, aturan untuk kotak surat bersama.
• Batas retensi. Email yang tak lagi punya tujuan tidak seharusnya tersimpan selamanya.
• Perjanjian dengan prosesor yang mengatur apa yang boleh dilakukan penyedia atas data itu.
• Kesiapan insiden. Bila terjadi kegagalan pelindungan data pribadi, pemberitahuan tertulis kepada subjek data dan lembaga berwenang wajib disampaikan paling lambat 3x24 jam.

Satu hal lagi yang penting saat memilih penyedia luar negeri: pengiriman data pribadi ke luar wilayah Indonesia mensyaratkan tingkat pelindungan yang setara, atau pengamanan yang memadai, atau persetujuan subjek data. Pastikan dulu bersama tim hukum Anda.

Pertanyaan untuk penyedia

• Di mana server dan cadangannya berada?
• Apakah isi pesan dianalisis untuk iklan? (Jika ya, jangan dipakai untuk kerja.)
• Apakah perjanjian pemrosesan data tersedia sebagai standar?
• Apakah subprosesor dicantumkan dan perubahannya diberitahukan?
• Berapa lama tenggat penghapusan setelah akun ditutup?
• Apakah SPF, DKIM, dan DMARC didukung agar email atas nama Anda bisa diverifikasi?

Kebiasaan menentukan sebagian besar

• Jangan mengirim data pribadi ke lingkaran yang lebih luas dari perlunya; periksa baris salinan sebelum mengirim.
• Untuk dokumen sensitif, pakai tautan berbatas waktu, bukan lampiran.
• Gunakan alias dan alamat peran agar data yang masuk sampai ke tim yang bertanggung jawab.
• Hapus atau arsipkan korespondensi lama berdasarkan aturan, bukan kebetulan.
• Latih tim mengenali phishing: sebagian besar insiden bermula dari kata sandi yang dicuri, bukan enkripsi yang jebol. Awali dengan cara mengenali email phishing.

Enkripsi: jalur atau isi

TLS melindungi pesan dalam perjalanan dan kini hampir universal — tetapi tidak melindungi pesan yang tersimpan dan tidak menjamin konfigurasi server penerima. Untuk materi yang benar-benar sensitif, tambahkan lapisan pada isinya: berkas berkata sandi atau tautan berbatas waktu, dengan kata sandi dikirim lewat kanal lain. Pilihannya dibahas di cara mengirim email terenkripsi.

Pertanyaan umum

Apakah UU PDP berlaku bagi perusahaan di luar Indonesia? Bisa berlaku. Undang-undang ini juga menjangkau pemrosesan di luar wilayah Indonesia yang berakibat hukum di Indonesia atau menyasar subjek data warga negara Indonesia.

Cukupkah kotak surat pribadi gratis untuk email kerja? Jarang cocok. Anda tidak bisa membuat perjanjian pemrosesan atas akun pribadi karyawan, dan aksesnya tidak terkendali.

Perlukah mengenkripsi setiap pesan? Tidak. Enkripsi transit adalah dasarnya; perlindungan isi ditambahkan bila materinya menuntut.

Berapa lama email lama boleh disimpan? Selama tujuannya masih ada dan sesuai kewajiban retensi yang berlaku. "Selamanya" bukan kebijakan — tetapkan aturan dan jalankan.

Privasi di imail.com.tr

imail.com.tr dioperasikan dari Türkiye dan tanpa iklan: email Anda tidak dianalisis untuk penargetan iklan. Koneksi memakai TLS, dan email keluar diautentikasi dengan SPF, DKIM, serta DMARC. Layanan ini tunduk pada undang-undang pelindungan data Türkiye (KVKK). Rincian pemrosesan ada di kebijakan privasi.

> Tulisan ini bersifat informasi umum, bukan nasihat hukum. Untuk program kepatuhan, konsultasikan dengan ahli pelindungan data.