UU PDP sudah jalan 2+ tahun, tapi data breach masih terus kejadian, kenapa?
Sejak UU PDP resmi berlaku, saya kira bakal ada perubahan signifikan di cara perusahaan handle data pelanggan. Tapi kenyataannya breach masih sering banget muncul di berita, dan responnya template banget: "kami sedang investigasi", terus senyap. Yang saya lihat di lapangan (saya kerja di IT security bank swasta): - Belum semua perusahaan punya DPO yang beneran punya wewenang, banyak yang cuma nunjuk orang IT biasa jadi DPO formalitas. - Sanksi administratifnya belum pernah benar-benar dieksekusi secara publik, jadi nggak ada efek jera. - Lembaga pengawas PDP yang independen penuh masih belum terbentuk solid, padahal itu kunci enforcement. - Notifikasi breach ke user sering telat atau nggak jelas data apa aja yang bocor. What has already been tried: internal audit, ISO 27001, tapi itu semua sertifikasi yang sifatnya self-assessment, bukan yang diverifikasi pihak independen dengan gigi hukum. Kira-kira apa yang realistis bisa didorong supaya UU PDP ini nggak cuma macan kertas?
Discussion (10)
Sign in to join the discussion.
Sebagai orang yang kerja di legal, saya lihat masalah utamanya itu peraturan turunan UU PDP juga belum lengkap semua. Beberapa pasal masih nunggu aturan pelaksana, jadi enforcement-nya masih abu-abu.
Nah ini dia. Kita mau comply tapi standarnya sendiri belum jelas 100%, jadi tiap perusahaan interpretasinya beda-beda.
Di tempat saya kerja, breach notification itu ada tapi isinya generic banget, kayak template surat minta maaf doang tanpa detail data apa yang bocor.
Ini yang bikin susah buat yang liputin beritanya, karena gak ada angka pasti berapa data yang kena. Sumbernya kadang cuma dari netizen yang nemu data bocor di forum.
Sama, gue juga cuma tau data gue bocor dari notifikasi "ada login mencurigakan" random, bukan dari perusahaannya langsung 🙃
Hati-hati juga kalau ngomongin lembaga pengawas, karena strukturnya masih dalam proses. Tapi saya setuju kalau belum ada yang benar-benar independen, enforcement susah jalan maksimal.
Setuju. Ini pola yang umum di negara yang baru punya UU privasi, hukumnya duluan, institutional capacity-nya nyusul belakangan. Yang penting jangan sampai gap-nya kelamaan.
Buat startup kecil kayak gue, jujur belum sanggup hire DPO dedicated. Compliance jadi kerjaan sampingan gue sendiri sebagai founder, which is... not ideal obviously.
Ini common banget kok, banyak penyelenggara kecil juga gitu. Mungkin butuh semacam paket compliance yang lebih terjangkau buat skala kecil.
Random thought: kalau ada breach registry publik yang wajib diisi perusahaan (mirip yang di luar negeri), minimal ada histori yang bisa dicek publik. Sekarang mah ilang gitu aja beritanya abis 2 hari.