Cara Efektif Menerapkan ISO 27701 untuk Kepatuhan UU PDP

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah berlaku sejak berakhirnya masa transisi pada Oktober 2024.

 Meskipun lembaga pengawas resmi belum beroperasi penuh, hal ini bukan alasan bagi perusahaan untuk menunda kepatuhan. Kewajiban hukum sudah aktif dan hak subjek data dapat dituntut kapan saja, membuat penundaan menjadi risiko bisnis yang nyata.

Alih-alih menunggu, perusahaan harus segera membangun sistem kepatuhan yang terukur. ISO 27701 hadir sebagai solusi sistematis untuk mengelola informasi pribadi, menjembatani kesenjangan antara praktik keamanan informasi yang ada dengan persyaratan spesifik dalam UU PDP.

 

Apa Itu ISO 27701?

ISO 27701 adalah standar internasional yang memperluas sistem manajemen keamanan informasi ISO 27001 dengan menambahkan persyaratan dan panduan khusus untuk pengelolaan informasi pribadi. 

Nama lengkapnya: ISO/IEC 27701:2019, Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management.

Hasil penerapannya disebut Privacy Information Management System, atau PIMS.

PIMS bukan sistem terpisah yang berdiri sendiri. Ia menempel pada ISMS yang sudah ada. Perusahaan yang belum punya ISO 27001 tidak bisa langsung melompat ke ISO 27701 tanpa membangun fondasi keamanan informasinya lebih dulu.

Konsep dasarnya bisa Anda baca pada artikel pengantar ISO 27701 yang pernah kami terbitkan sebelumnya.

 

 

Perbedaan ISO 27001 vs ISO 27701

Keduanya sering disebut bersamaan, tetapi mengurus hal yang berbeda.

ISO 27001 melindungi kerahasiaan, integritas, dan ketersediaan informasi secara umum. Cakupannya luas: kode sumber, data keuangan, rahasia dagang, catatan operasional, dan semua jenis informasi yang bernilai bagi organisasi. Penjelasan perbedaan ISO 27001 dan ISO 27002 bisa menjadi rujukan awal bila Anda ingin memahami fondasi ini.

ISO 27701 mempersempit fokus ke satu jenis informasi: data pribadi atau Personally Identifiable Information (PII). Standar ini menambahkan lapisan persyaratan yang secara spesifik mengatur bagaimana organisasi mengumpulkan, menyimpan, memproses, membagikan, dan menghapus data pribadi.

Aspek	ISO 27001	ISO 27701
Objek perlindungan	Seluruh informasi bernilai bagi organisasi	Informasi pribadi yang dapat mengidentifikasi individu
Peran yang diatur	Pemilik aset informasi	Pengendali PII dan pemroses PII
Struktur	Klausul 4–10 plus Annex A (kontrol keamanan)	Klausul 5–8 plus Annex A–F (ekstensi kontrol dan pemetaan regulasi)
Prasyarat	Tidak ada	Harus sudah menerapkan ISO 27001
Hubungan dengan regulasi	Mendukung kepatuhan umum terhadap keamanan informasi	Dirancang khusus untuk memetakan kewajiban perlindungan data pribadi

Satu hal yang sering keliru dipahami: ISO 27001 saja tidak cukup untuk menunjukkan kepatuhan terhadap regulasi privasi. Standar itu mengamankan data, tetapi tidak mengatur hak subjek data, dasar hukum pemrosesan, atau mekanisme penghapusan. ISO 27701 mengisi celah itu.

 

Baca juga : Mengapa Perlu Menerapkan ISO 27001:2013?

 

Cara ISO 27701 Membantu Perusahaan Patuh terhadap UU PDP

Kewajiban UU PDP dan Solusi Operasional ISO 27701

UU Nomor 27 Tahun 2022 menetapkan sejumlah kewajiban bagi pengendali dan prosesor data pribadi. Kewajiban ini bukan pernyataan prinsip, melainkan ketentuan yang bisa berujung pada sanksi administratif dan pidana. Berikut beberapa kewajiban utama dan cara ISO 27701 membantunya:

Kewajiban dalam UU PDP	Respons operasional lewat ISO 27701
Memiliki dasar hukum untuk setiap pemrosesan data pribadi	Klausul 7.2.2 mensyaratkan organisasi mengidentifikasi dan mendokumentasikan dasar pemrosesan yang sah
Memberitahu subjek data tentang tujuan pemrosesan	Klausul 7.3.2 mengatur penyusunan dan penyampaian pemberitahuan privasi
Memenuhi hak subjek data: akses, koreksi, penghapusan, portabilitas	Klausul 7.3.3 sampai 7.3.9 menyediakan mekanisme penanganan permintaan subjek data
Menjaga kerahasiaan dan keamanan data	Seluruh kontrol ISO 27001 plus kontrol tambahan di Annex A dan B
Memberitahu insiden kebocoran dalam waktu tertentu	Klausul 6.13 mengatur prosedur notifikasi insiden yang melibatkan data pribadi
Menunjuk petugas pelindungan data (DPO) bila dipersyaratkan	Klausul 6.3.1.1 mengatur penetapan tanggung jawab privasi
Melakukan penilaian dampak terhadap perlindungan data pribadi	Klausul 7.2.5 mengatur privacy impact assessment
Memastikan transfer data lintas negara memenuhi ketentuan	Klausul 7.5 mengatur kontrol atas transfer PII antar yurisdiksi

Urgensi Kepatuhan UU PDP di Tahun 2026

Status terkininya perlu dipahami agar perusahaan tidak salah membaca urgensi.

Masa transisi dua tahun yang diatur dalam Pasal 74 UU PDP berakhir pada Oktober 2024. Sejak saat itu, seluruh pengendali dan prosesor data seharusnya sudah memenuhi standar kepatuhan yang ditetapkan undang-undang.

Tapi di lapangan, infrastruktur penegakannya belum lengkap. Badan PDP sebagai lembaga pengawas independen yang diamanatkan UU masih dalam proses pembentukan. 

Izin prakarsa diberikan Presiden pada Maret 2025, dan pembahasannya berlanjut melalui panitia antar-kementerian dan harmonisasi di Kementerian Hukum hingga 2026. Peraturan pemerintah pelaksananya juga masih dalam tahap finalisasi.

Selama periode transisi kelembagaan ini, pengawasan di ruang digital tetap dilaksanakan oleh Kementerian Komunikasi dan Digital, berkoordinasi dengan BSSN dan kementerian sektoral terkait.

Untuk perusahaan, implikasinya jelas: jendela waktu menyiapkan kepatuhan sebelum penegakan administratif punya alamat resmi semakin sempit. Perusahaan yang sudah membangun PIMS saat ini akan punya posisi jauh lebih kuat dibanding yang baru mulai ketika Badan PDP aktif beroperasi.

 

Baca juga : Sambut UU Perlindungan Data Pribadi, Ini yang Perlu Dipersiapkan

 

Kategori Data Pribadi yang Wajib Dilindungi Sesuai UU PDP

UU PDP membagi data pribadi menjadi dua kategori. Perusahaan harus memahami keduanya karena tingkat perlindungan dan konsekuensi pelanggarannya berbeda.

Data pribadi umum

Kategori ini mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi lain yang bila dikombinasikan dapat mengidentifikasi seseorang. Dalam praktik bisnis sehari-hari, ini termasuk alamat email, nomor telepon, alamat rumah, dan data transaksi yang terkait dengan individu tertentu.

Data pribadi spesifik

Kategori ini memerlukan perlindungan lebih ketat. UU PDP menyebutnya secara eksplisit: data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, serta data lain yang ditetapkan peraturan perundang-undangan.

Apa yang sering luput

Perusahaan cenderung fokus pada data pelanggan dan mengabaikan data pribadi yang mereka pegang dari sumber lain. Padahal data karyawan, data pelamar kerja, data vendor perorangan, data peserta pelatihan, dan rekaman CCTV yang menampilkan wajah semuanya masuk lingkup perlindungan.

Langkah pertama dalam menerapkan PIMS adalah melakukan inventarisasi menyeluruh: data apa, dari siapa, disimpan di mana, diproses untuk apa, dibagikan ke siapa, dan kapan harus dihapus. Tanpa pemetaan ini, kontrol apa pun yang diterapkan tidak punya dasar.

 

Baca juga : Lanskap Siber 2025: Strategi Menerapkan 11 Kontrol Baru ISO 27001

 

7 Langkah Efektif Implementasi PIMS di Perusahaan

Bagi perusahaan yang sudah menerapkan ISO 27001, sebagian besar fondasi sudah ada. Langkah berikut fokus pada perluasan dari ISMS ke PIMS.

1. Pemetaan data pribadi dan alur pemrosesannya. Identifikasi seluruh jenis PII yang dipegang organisasi, catat sumbernya, tujuan pemrosesannya, lokasi penyimpanannya, pihak yang menerima, dan jadwal retensinya. Hasil pemetaan ini menjadi register PII yang dituntut standar.
2. Tentukan peran organisasi. Apakah perusahaan bertindak sebagai pengendali PII, pemroses PII, atau keduanya? Peran ini menentukan set kontrol mana yang berlaku. ISO 27701 menyediakan kontrol terpisah di Annex A untuk pengendali dan Annex B untuk pemroses.
3. Lakukan gap analysis. Bandingkan praktik yang berjalan dengan persyaratan klausul 5 sampai 8 dan kontrol di Annex yang relevan. Perusahaan yang ISMS-nya matang biasanya menemukan bahwa kekurangannya terkonsentrasi pada mekanisme penanganan hak subjek data, pemberitahuan privasi, dan dasar hukum pemrosesan.
4. Susun kebijakan dan prosedur privasi. Dokumen yang biasanya perlu dibuat atau diperbarui: kebijakan privasi internal, prosedur penanganan permintaan subjek data, prosedur notifikasi insiden data pribadi, prosedur privacy impact assessment, dan perjanjian pemrosesan data dengan pihak ketiga.
5. Latih seluruh personel yang menangani data pribadi. Kesadaran privasi bukan hanya urusan tim IT atau legal. Staf HR yang memproses data karyawan, tim pemasaran yang mengelola database pelanggan, dan staf layanan pelanggan yang menerima keluhan, semuanya perlu memahami batas-batas penanganan data.
6. Jalankan audit internal dan tinjauan manajemen. Audit PIMS bisa dijalankan bersamaan dengan audit ISMS. Temuan pada tahap ini memberi waktu untuk memperbaiki sebelum menghadapi audit sertifikasi atau, kelak, pemeriksaan dari Badan PDP.
7. Pilih lembaga sertifikasi. Pastikan lembaga tersebut punya kompetensi dan akreditasi untuk mengaudit ISO 27701 di atas ISO 27001 yang sudah berjalan. Verifikasi keabsahannya lewat mekanisme yang dibahas di artikel Cara Cek Keaslian Sertifikat ISO via IAF CertSearch.

Baca juga :

• Panduan Lengkap: Cara Menerapkan ISO 27701 untuk Organisasi Anda
• Regulasi Semakin Ketat: Perusahaan di Indonesia Tak Bisa Lagi Menunda Sertifikasi ISO

 

Kesimpulan

UU PDP sudah berlaku dan masa transisinya sudah berakhir. Yang belum rampung hanya infrastruktur penegakannya. Menunggu sampai Badan PDP aktif lalu baru mulai membangun sistem berarti berlomba dengan waktu di saat semua perusahaan lain juga sedang bergegas.

ISO 27701 memberi kerangka yang tidak perlu Anda rancang dari nol. Standar ini sudah menyediakan struktur, kontrol, dan panduan yang bisa langsung dipetakan ke kewajiban undang-undang. Bagi perusahaan yang sudah punya ISO 27001, jaraknya tinggal satu langkah.

ISO Center Indonesia mendampingi perusahaan dari gap analysis, penyusunan PIMS, pelatihan tim internal, sampai persiapan audit sertifikasi. Silakan hubungi tim konsultan ISO 27701 kami untuk konsultasi awal, atau lihat jadwal pelatihan yang tersedia.

FAQ: Pertanyaan Umum Seputar ISO 27701

1. Apakah ISO 27701 bisa diterapkan tanpa ISO 27001?
   Tidak. ISO 27701 dirancang sebagai ekstensi dan hanya bisa diterapkan di atas ISMS yang sudah memenuhi persyaratan ISO 27001. Perusahaan yang belum punya ISO 27001 perlu membangunnya terlebih dulu, atau menerapkan keduanya secara bersamaan dalam satu proyek.
2. Apakah sertifikasi ISO 27701 otomatis membuat perusahaan patuh terhadap UU PDP?
   Tidak secara otomatis. ISO 27701 menyediakan kerangka kerja yang sangat mendukung kepatuhan, tetapi kesesuaian penuh tetap harus dievaluasi terhadap ketentuan spesifik undang-undang. Standar ini memperkecil celah secara signifikan, bukan menutupnya tanpa sisa.
3. Apakah perusahaan yang bukan di sektor teknologi perlu ISO 27701?
   Setiap organisasi yang mengumpulkan, menyimpan, atau memproses data pribadi dalam skala yang bermakna perlu mengelolanya secara sistematis. Rumah sakit, sekolah, hotel, perusahaan ritel, dan bahkan firma hukum menyimpan data pribadi dalam jumlah besar. Sektor bukan penentu, volume dan sensitivitas data yang menentukan.
4. Apa yang terjadi kalau Badan PDP sudah aktif dan perusahaan belum siap?
   Badan PDP diproyeksikan punya kewenangan menerima pengaduan, melakukan pemeriksaan, dan menjatuhkan sanksi administratif mulai dari peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, sampai denda administratif. Perusahaan yang sistemnya belum tertata akan kesulitan menunjukkan itikad baik saat diperiksa.
5. Berapa lama waktu implementasi ISO 27701 bagi perusahaan yang sudah punya ISO 27001?
   Dengan ISMS yang sudah berjalan dan matang, implementasi PIMS biasanya memakan waktu 3 sampai 6 bulan. Durasi bergantung pada kompleksitas alur data, jumlah pihak ketiga yang memproses data, dan kesiapan dokumentasi privasi yang sudah ada.
6. Apakah ISO 27701 relevan untuk perusahaan yang hanya beroperasi di Indonesia?
   Sangat relevan. ISO 27701 dirancang agar bisa dipetakan ke regulasi privasi negara mana pun, termasuk UU PDP Indonesia. Annex D standar ini bahkan menyediakan tabel pemetaan ke GDPR yang dapat dijadikan model untuk membuat pemetaan serupa terhadap UU PDP.
7. Bagaimana ISO 27701 berhubungan dengan ISO 27018 untuk keamanan cloud?
   ISO 27018 memberikan panduan perlindungan data pribadi secara khusus di lingkungan cloud computing, sedangkan ISO 27701 mengatur manajemen privasi secara menyeluruh di seluruh operasi organisasi. Keduanya saling melengkapi. Perusahaan yang menyimpan data pribadi di cloud bisa menerapkan keduanya sebagai lapisan kontrol yang berbeda.