Privasi Data di Asia Tenggara: Apa yang Perlu Dipahami HR

Artikel-artikel sebelumnya dalam seri ini telah membahas bagaimana data HR bergerak, di mana data tersebut disimpan, siapa saja yang dapat mengaksesnya, dan bagaimana organisasi dapat membangun percakapan yang lebih jelas tentang keamanan data. Jika dilihat bersama, semua topik tersebut membentuk sisi operasional dari perlindungan informasi karyawan.

Namun, di balik semua pembahasan tersebut, ada satu pertanyaan lain yang semakin sering dihadapi organisasi: sebenarnya, apa yang diharapkan oleh regulasi?

Bagi organisasi yang hanya beroperasi di satu negara, jawabannya biasanya masih cukup mudah dikelola. Namun, bagi pemimpin HR regional yang bertanggung jawab atas karyawan di beberapa pasar Asia Tenggara, situasinya bisa terlihat jauh lebih kompleks. Tidak sedikit organisasi yang kemudian berasumsi bahwa beroperasi lintas negara berarti harus menghadapi regulasi privasi yang sepenuhnya berbeda di setiap negara, dengan pendekatan compliance yang berbeda dan risiko yang juga harus dipantau secara terpisah.

Kabar baiknya, logika dasar dari berbagai kerangka privasi tersebut sebenarnya jauh lebih konsisten daripada yang sering dibayangkan. Sebagian besar regulasi privasi di kawasan ini, baik UU PDP di Indonesia, PDPA di Singapura, Data Privacy Act di Filipina, kerangka PDPA di Malaysia dan Thailand, maupun Decree 13 di Vietnam, pada dasarnya berusaha menjawab masalah yang sama: memastikan organisasi mengelola data pribadi secara bertanggung jawab.

Meskipun detailnya berbeda, sebagian besar regulasi privasi di kawasan ini cenderung berpusat pada perhatian yang serupa. Regulasi tersebut melihat data apa yang dikumpulkan, mengapa data tersebut dikumpulkan, siapa yang dapat mengaksesnya, bagaimana data dilindungi, berapa lama data disimpan, dan hak apa yang dimiliki individu atas informasi pribadinya.

Perbedaan antar-regulasi memang sering menjadi fokus utama. Namun dalam praktik operasional, kesamaannya sering kali justru lebih penting.

Bagi pemimpin HR, memahami pola umum ini biasanya lebih bermanfaat daripada sekadar menghafal ketentuan spesifik di setiap negara. Nasihat hukum lokal tetap penting untuk menafsirkan kewajiban di yurisdiksi tertentu. Namun, memahami prinsip dasarnya dapat memberikan kerangka berpikir yang lebih mudah diterapkan lintas negara.

Pergeseran dari Keamanan ke Akuntabilitas

Salah satu cara untuk memahami regulasi privasi adalah dengan melihatnya sebagai sesuatu yang berjalan berdampingan dengan keamanan, bukan sebagai pengganti keamanan.

Kedua topik ini saling berkaitan erat, tetapi keduanya tidak sama.

Sebuah organisasi bisa saja memiliki keamanan teknis yang sangat baik, tetapi tetap menghadapi persoalan privasi jika organisasi tersebut mengumpulkan informasi yang sebenarnya tidak diperlukan, menggunakan data untuk tujuan yang tidak secara wajar diharapkan oleh karyawan, atau menyimpan data lebih lama dari yang seharusnya. Sebaliknya, organisasi juga bisa memiliki kebijakan privasi yang tertulis dengan baik, tetapi tetap mengekspos informasi karyawan apabila kontrol keamanan yang tepat tidak diterapkan.

Inilah mengapa regulasi privasi semakin relevan bagi fungsi HR. Data karyawan merupakan salah satu kumpulan data pribadi terbesar yang dimiliki oleh banyak organisasi. Catatan payroll, riwayat pekerjaan, evaluasi kinerja, tindakan disipliner, catatan pelatihan, informasi kehadiran, data benefit, dan dalam beberapa kasus, informasi biometrik, semuanya berada dalam lingkungan HR.

Dengan kata lain, regulasi privasi mencerminkan pergeseran dari sekadar keamanan data menuju akuntabilitas.

Ekspektasi yang Hampir Selalu Muncul

Meskipun setiap negara memiliki istilah dan struktur hukum masing-masing, sebagian besar kerangka privasi di Asia Tenggara mengharapkan organisasi mampu menunjukkan kemampuan yang relatif serupa.

Ekspektasi pertama adalah memahami data karyawan apa saja yang dikumpulkan

Hal ini terdengar sederhana, tetapi banyak organisasi baru menyadari bahwa mereka menyimpan jauh lebih banyak informasi karyawan daripada yang awalnya mereka perkirakan. Seiring waktu, sistem dapat menumpuk lampiran, catatan historis, spreadsheet, ekspor email, dokumen hasil pemindaian, serta salinan informasi yang tersimpan di berbagai lokasi. Sebelum pertanyaan tentang compliance dapat dijawab, organisasi perlu memiliki gambaran yang jelas tentang informasi apa saja yang benar-benar mereka miliki.

Ekspektasi kedua adalah memiliki alasan yang sah untuk mengumpulkan dan memproses informasi tersebut.

Data payroll ada karena karyawan perlu dibayar. Informasi pajak ada karena perusahaan memiliki kewajiban pelaporan sesuai ketentuan hukum. Catatan kehadiran mendukung manajemen tenaga kerja dan kepatuhan ketenagakerjaan. Catatan pelatihan mendukung kebutuhan sertifikasi dan pengembangan karyawan.

Sebagian besar kerangka privasi mengharapkan organisasi mampu menghubungkan data yang dikumpulkan dengan tujuan bisnis, kontraktual, atau hukum yang sah. Dasar hukum yang digunakan dapat berbeda di setiap negara, tetapi ekspektasi dasarnya tetap sama: organisasi harus dapat menjelaskan mengapa mereka memiliki data tersebut.

Ekspektasi ketiga adalah melindungi informasi tersebut dengan tepat.

Di sinilah banyak topik dari artikel sebelumnya menjadi relevan. Kontrol akses, autentikasi, enkripsi, audit log, prosedur backup, pengawasan vendor, dan keamanan infrastruktur merupakan mekanisme yang digunakan untuk melindungi informasi karyawan sepanjang siklus hidup data.

Ekspektasi keempat adalah merespons dengan tepat ketika karyawan menggunakan haknya.

Di berbagai negara di kawasan ini, karyawan umumnya memiliki hak tertentu untuk mengetahui informasi apa yang disimpan tentang dirinya, meminta koreksi apabila informasi tersebut tidak akurat, dan dalam banyak yurisdiksi, meminta pembatasan atas bagaimana informasi tersebut digunakan.

Ekspektasi kelima adalah memahami bagaimana pihak ketiga berinteraksi dengan data karyawan.

Operasional HR modern sangat bergantung pada vendor software, penyedia payroll, platform rekrutmen, sistem pelatihan, administrator benefit, dan penyedia layanan lainnya. Kerangka privasi semakin mengharapkan organisasi untuk memahami siapa saja pihak tersebut, informasi apa yang mereka terima, dan perlindungan apa yang mengatur hubungan dengan pihak-pihak tersebut.

Tidak satu pun dari ekspektasi ini hanya berlaku untuk satu negara tertentu. Semua ini mencerminkan arah besar regulasi privasi di kawasan ini. Semakin lama, ini juga menjadi pertanyaan yang diharapkan dapat dibantu jawabannya oleh teknologi HR.

Persamaan dan Perbedaan yang Privasi Data di Asia Tenggara

Kesamaan di antara berbagai kerangka privasi di Asia Tenggara sering kali lebih besar daripada perbedaannya. Namun, perbedaan yang ada juga tidak muncul tanpa alasan. Biasanya, perbedaan tersebut mencerminkan sejarah regulasi, tingkat kematangan digital, prioritas ekonomi, dan pendekatan tata kelola di masing-masing negara.

Bagi pemimpin HR yang beroperasi di kawasan ini, memahami area yang serupa dan area yang berbeda sering kali lebih berguna daripada menghafal setiap ketentuan hukum secara terpisah.

Notifikasi Pelanggaran Data

Notifikasi pelanggaran data adalah salah satu area paling jelas yang menunjukkan arah serupa di banyak kerangka privasi Asia Tenggara. Organisasi semakin diharapkan untuk menilai insiden pelanggaran data dengan cepat dan memberi tahu regulator serta individu yang terdampak dalam jangka waktu yang relatif singkat, terutama ketika pelanggaran tersebut memenuhi ambang batas risiko atau potensi dampak tertentu. Respons terhadap pelanggaran data kini semakin terikat pada tenggat waktu hukum yang ketat, sehingga organisasi membutuhkan proses penilaian dan eskalasi yang cepat.

Namun, detailnya tetap berbeda. Di Indonesia, Filipina, Thailand, dan Vietnam, lini waktu notifikasi umumnya dimulai sejak organisasi mengetahui adanya pelanggaran. Sementara itu, sistem di Singapura umumnya dipahami sebagai sistem yang mengharuskan organisasi melakukan penilaian terlebih dahulu sebelum kewajiban notifikasi terpicu.

Bagi organisasi yang beroperasi di beberapa pasar tersebut, pendekatan yang paling aman adalah membangun proses internal berdasarkan pemicu paling awal yang mungkin terjadi, yaitu saat insiden ditemukan, bukan dengan asumsi bahwa organisasi selalu memiliki lebih banyak waktu.

Bagi tim HR, penting untuk memahami bahwa respons terhadap pelanggaran data kini telah menjadi proses yang harus dikelola secara terstruktur, bukan sesuatu yang bisa dilakukan secara improvisasi. Kemampuan untuk mengidentifikasi, menilai, dan mengeskalasi insiden dengan cepat sering kali lebih penting daripada sekadar memahami bunyi spesifik dari satu regulasi tertentu.

Jangkauan Ekstrateritorial

Area lain yang semakin menunjukkan kesamaan di Asia Tenggara adalah gagasan bahwa kewajiban privasi tidak selalu berhenti di batas negara. Organisasi terkadang berasumsi bahwa regulasi privasi hanya berlaku bagi organisasi yang secara fisik berbasis di negara tersebut. Namun, sebagian besar kerangka privasi di kawasan ini tidak hanya melihat di mana kantor pusat organisasi berada, tetapi juga data pribadi siapa yang sedang diproses.

Implikasinya cukup penting. Organisasi yang beroperasi di luar suatu negara tidak dapat berasumsi bahwa menyimpan data di satu negara secara otomatis membuat data tersebut keluar dari cakupan pertimbangan privasi negara lain. Jika informasi karyawan bergerak lintas negara, perusahaan regional perlu mengantisipasi bahwa kewajiban privasi dapat mengikuti data tersebut sampai tingkat tertentu, terlepas dari lokasi infrastruktur yang digunakan.

Detailnya tentu berbeda di setiap yurisdiksi, dan pemicu hukumnya tidak selalu sama. Namun, tren besarnya cukup jelas: regulasi privasi semakin berfokus pada perlindungan individu, bukan sekadar mengatur organisasi yang berada di dalam batas negara tertentu.

Dasar Hukum Pemrosesan Data

Salah satu area paling penting bagi pimpinan HR adalah memahami mengapa data karyawan diproses sejak awal.

Kesalahpahaman yang cukup umum adalah menganggap kepatuhan privasi terutama bergantung pada persetujuan. Pada praktiknya, sebagian besar kerangka privasi di kawasan ini mengakui beberapa dasar hukum untuk memproses data pribadi. Dasar tersebut biasanya mencakup persetujuan, kebutuhan kontraktual, kepatuhan terhadap kewajiban hukum, serta berbagai bentuk kepentingan bisnis atau kepentingan organisasi yang sah.

Pembedaan ini sangat penting dalam hubungan kerja. Data karyawan diproses untuk payroll, perpajakan, administrasi benefit, manajemen kinerja, perencanaan tenaga kerja, dan berbagai kebutuhan operasional lainnya. Dalam konteks ini, persetujuan sering kali bukan mekanisme yang paling tepat, terutama karena karyawan memiliki ruang yang terbatas secara praktis untuk menolak.

Karena itu, diskusi privasi di lingkungan HR secara bertahap bergeser dari penggunaan formulir persetujuan yang terlalu umum menuju pemahaman yang lebih jelas tentang mengapa kategori data karyawan tertentu dikumpulkan dan dasar hukum apa yang mendukung penggunaannya.

Transfer Data Antarnegara dan Isu Kedaulatan Data

Area ini masih menjadi salah satu sumber perbedaan yang paling terlihat di kawasan Asia Tenggara.

Sebagian besar kerangka privasi mengizinkan transfer data lintas negara dalam bentuk tertentu, selama terdapat perlindungan yang sesuai. Namun, setiap yurisdiksi dapat memiliki pendekatan yang berbeda terhadap data localization, penilaian transfer data, perlindungan kontraktual, dan pengawasan regulator.

Beberapa negara seperti Singapura secara historis mendorong perdagangan digital internasional dan secara umum mendukung perpindahan data ketika perlindungan yang memadai sudah tersedia. Sementara itu, beberapa yurisdiksi lain memberikan perhatian lebih besar pada ekspektasi lokalisasi, pengawasan pemerintah, atau kondisi tertentu yang mengatur kapan informasi boleh ditransfer atau disimpan di luar batas negara.

Bagi organisasi yang menggunakan platform HR regional, shared service center, atau infrastruktur cloud multinasional, perbedaan ini dapat memengaruhi pemilihan vendor, keputusan hosting, dan arsitektur sistem dengan cara yang tidak selalu langsung terlihat oleh tim HR.

Kematangan Regulasi

Salah satu perbedaan yang sering diremehkan di Asia Tenggara bukan hanya apa yang tertulis dalam regulasi, tetapi sudah berapa lama regulasi tersebut diterapkan.

PDPA Singapura telah berlaku lebih dari satu dekade dan didukung oleh banyak panduan regulator, keputusan penegakan, serta interpretasi praktis. Organisasi yang beroperasi di Singapura sering kali dapat merujuk pada preseden yang telah terbentuk selama bertahun-tahun ketika menghadapi pertanyaan terkait privasi.

Kerangka privasi lain masih lebih baru. UU PDP Indonesia baru berlaku sepenuhnya pada tahun 2024, dan interpretasi praktis atas beberapa ketentuannya masih terus berkembang. Kerangka privasi komprehensif Vietnam bahkan lebih baru lagi. Hal ini tidak membuat regulasi tersebut menjadi kurang penting atau kurang mengikat. Artinya, mungkin masih tersedia lebih sedikit contoh yang dipublikasikan, keputusan regulator, atau praktik yang sudah mapan ketika organisasi menghadapi situasi yang ambigu.

Bagi pemimpin HR, perbedaan ini penting karena kerangka yang lebih matang sering kali memberikan rujukan yang lebih jelas. Sementara itu, kerangka yang lebih baru mungkin membutuhkan pendekatan yang lebih hati-hati sampai ada panduan tambahan yang lebih berkembang.

Mengapa Sistem HR Menjadi Titik Fokus?

Menariknya, banyak kewajiban privasi yang terlihat seperti isu legal pada akhirnya berubah menjadi pertanyaan operasional.

• Jika karyawan bertanya informasi apa yang disimpan tentang dirinya, dari mana informasi tersebut berasal?
• Jika karyawan meminta koreksi data, di mana catatan resmi yang menjadi rujukan disimpan?
• Jika akses harus dibatasi, siapa yang mengatur izin tersebut?
• Jika informasi harus disimpan, dihapus, atau dianonimkan, di mana proses itu dilakukan?

IDalam praktiknya, jawabannya sering kali ada pada sistem HR.

Inilah salah satu alasan mengapa teknologi HR menjadi semakin penting dalam diskusi privasi. Platform HRIS bukan sekadar tempat penyimpanan informasi karyawan. Dalam banyak kasus, HRIS menjadi mekanisme untuk menjalankan kewajiban privasi secara nyata.

Kontrol akses memengaruhi siapa yang dapat melihat informasi. Audit log membantu menunjukkan tindakan apa saja yang telah terjadi. Pengaturan retensi memengaruhi berapa lama informasi tetap tersedia. Perjanjian dengan vendor memengaruhi bagaimana informasi diproses dan dilindungi.

Seiring matangnya ekspektasi privasi, organisasi semakin menyadari bahwa compliance tidak bisa dicapai hanya melalui dokumen kebijakan. Compliance juga bergantung pada seberapa efektif sistem operasional mendukung kewajiban organisasi.

Regulasi menetapkan kewajiban. Sistem HR sering kali menjadi tempat kewajiban tersebut dijalankan..

Dilema Menghapus Data yang Sebenarnya Bukan Sebuah Dilema

Salah satu area yang sering menimbulkan kebingungan adalah permintaan penghapusan data oleh karyawan.

Banyak orang mengenal hak privasi melalui pembahasan tentang “right to be forgotten” atau hak untuk meminta penghapusan informasi pribadi. Karena itu, wajar jika muncul asumsi bahwa karyawan dapat meminta agar seluruh informasi tentang dirinya dihapus dari sistem perusahaan.

Pada kenyataannya, situasinya biasanya lebih kompleks. Ini juga menjadi contoh yang jelas mengapa isu ini tidak cukup hanya dijawab melalui dokumen kebijakan. Sistem HR adalah tempat di mana keputusan tersebut pada akhirnya harus dijalankan: data mana yang tetap disimpan, data mana yang dibatasi, dan data mana yang dapat dihapus. Perusahaan sering kali memiliki kewajiban yang sah untuk menyimpan catatan tertentu untuk keperluan pajak, audit, ketenagakerjaan, jaminan sosial, atau kepatuhan regulasi. Informasi payroll mungkin perlu disimpan selama bertahun-tahun setelah karyawan meninggalkan perusahaan. Catatan ketenagakerjaan juga mungkin perlu tetap tersedia jika suatu saat muncul perselisihan atau proses tinjauan compliance.

Sekilas, kewajiban-kewajiban tersebut terlihat saling bertentangan. Karyawan memiliki hak atas informasi pribadinya. Di sisi lain, perusahaan memiliki kewajiban untuk menyimpan informasi tertentu.

Namun dalam praktiknya, kerangka privasi umumnya mengakui bahwa kedua kepentingan tersebut dapat berjalan bersamaan. Tantangan sebenarnya bukan memilih antara menghapus atau menyimpan data. Tantangannya adalah memahami informasi mana yang harus disimpan, berapa lama harus disimpan, untuk tujuan apa data tersebut disimpan, dan apa yang harus dilakukan ketika tujuan tersebut sudah tidak lagi relevan.

Di sinilah konsep seperti data minimization, retention management, anonymization, dan purpose limitation menjadi penting. Topik-topik ini sering kali tidak terlihat sepopuler pembahasan tentang persetujuan, tetapi justru sering memiliki dampak operasional yang lebih besar bagi tim HR.

Kita akan membahas isu-isu tersebut secara lebih detail dalam artikel berikutnya di seri ini.

Hal yang Perlu Dipahami Pimpinan HR Regional

Banyak pemimpin HR khawatir bahwa beroperasi di banyak negara berarti mereka harus menjadi ahli dalam banyak regulasi privasi sekaligus. Dalam praktiknya, pendekatan tersebut jarang menjadi cara yang paling efektif. Yang lebih penting adalah memiliki pemahaman yang cukup untuk mengenali pertanyaan apa saja yang perlu diajukan.

Pertanyaan-pertanyaan tersebut tetap relevan di berbagai yurisdiksi.

Inilah salah satu alasan mengapa regulasi privasi tidak seharusnya dilihat sebagai topik legal semata. Ini juga merupakan topik HR, topik operasional, dan semakin lama menjadi topik teknologi.

Regulasinya dapat berbeda antarnegara, tetapi tanggung jawab HR di baliknya cenderung mengikuti pola yang sama: mengetahui data apa yang dimiliki, menjelaskan mengapa data tersebut disimpan, mengendalikan siapa yang dapat melihatnya, mengelola retensi, dan siap merespons ketika hak karyawan atau insiden muncul. Kontrol dalam HRIS sering kali menjadi mekanisme praktis yang membuat compliance dapat dijalankan.

Bagi pemimpin HR regional, tantangannya bukan menghafal setiap aturan lokal, melainkan membangun sistem yang dapat beradaptasi dengan persyaratan yang berbeda. Mereka juga perlu mampu berdiskusi secara bermakna dengan tim legal, teknologi, dan compliance, di pasar Asia Tenggara mana pun organisasi beroperasi.

Di kawasan di mana semakin banyak organisasi mengelola tenaga kerja lintas yurisdiksi, pemahaman seperti ini menjadi kemampuan yang semakin penting.