Apa Itu UU PDP dan Kenapa Website UMKM Terkena?
UU PDP (Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi) mengatur bagaimana bisnis mengumpulkan, menyimpan, memakai, dan menghapus data pribadi. Jika website UMKM Anda punya form kontak, newsletter, checkout, chat widget, atau analytics yang mengidentifikasi pengunjung — Anda sudah memproses data pribadi.
Singkatnya: kepatuhan bukan hanya urusan bank atau marketplace besar. Toko kue yang simpan nomor WhatsApp pelanggan di CRM juga masuk lingkup UU PDP.
Artikel ini memberi checklist praktis berbasis website — fokus pada halaman, form, keamanan, dan dokumen yang biasanya dilewatkan panduan hukum enterprise.
Data Pribadi Apa yang Biasa Dikumpulkan Website UMKM?
| Sumber di website | Contoh data | Risiko jika salah kelola |
|---|---|---|
| Form kontak / penawaran | Nama, email, nomor HP, pesan | Spam, kebocoran lead |
| Checkout / invoice | Nama, alamat, NPWP (jika ada) | Fraud, keluhan hak akses |
| Newsletter / popup | Kirim tanpa consent | |
| Chat WhatsApp click-to-chat | Nomor HP + isi chat | Tidak ada retensi jelas |
| Analytics / pixel | Identifier perangkat, perilaku | Tracking tanpa info jelas |
| Upload CV / lamaran | Data sensitif kandidat | Akses admin terlalu luas |
Menurut Kominfo dan kerangka UU PDP, data pribadi mencakup informasi yang mengidentifikasi individu secara langsung maupun tidak langsung. Jangan anggap “cuma nama dan WA” sebagai data sepele.
Checklist 10 Poin: Website UMKM Patuh UU PDP
1. Petakan data yang masuk lewat situs
Buat daftar sederhana (boleh spreadsheet):
- Halaman mana yang mengumpulkan data?
- Data apa saja?
- Disimpan di mana (email, Google Sheet, hosting, CRM)?
- Siapa yang bisa akses?
- Berapa lama disimpan?
Tanpa peta ini, Kebijakan Privasi Anda hanya formalitas.
2. Tentukan tujuan & dasar pemrosesan
Setiap pengumpulan harus punya tujuan jelas, misalnya: “menghubungi terkait permintaan penawaran”. Hindari klausul terlalu luas seperti “untuk keperluan apa pun di masa depan”.
3. Pasang Kebijakan Privasi yang bisa dibaca manusia
Halaman /privasi atau /kebijakan-privasi wajib:
- Jenis data
- Tujuan
- Pihak ketiga (payment gateway, email tool, analytics)
- Hak subjek data (akses, koreksi, penghapusan)
- Cara menghubungi Anda
- Masa retensi (meski perkiraan)
Tautkan dari footer dan dekat form (“Dengan mengirim, Anda menyetujui Kebijakan Privasi”).
4. Minta persetujuan yang jelas di form
Centang opsional yang sudah tercentang otomatis bukan praktik baik. Pisahkan:
- Persetujuan dihubungi terkait permintaan ini
- Persetujuan newsletter / promo (jika ada)
5. Amankan situs dengan SSL/HTTPS
Browser dan pelanggan menilai gembok sebagai sinyal dasar kepercayaan. Tanpa SSL, data form bisa lebih rentan disadap di jaringan publik. Ini fondasi teknis sekaligus sinyal kepatuhan.
6. Kunci akses admin website & CMS
- Password unik + manager password
- Aktifkan two-factor authentication di hosting, email bisnis, dan CMS
- Hapus akun staf yang sudah tidak aktif
- Jangan share login “admin123” ke banyak orang
7. Batasi siapa yang melihat data pelanggan
Jika lead masuk ke WhatsApp grup atau spreadsheet terbuka, risiko bocor naik. Gunakan CRM atau folder terbatas di managed hosting yang aksesnya terkontrol, dan catat siapa yang boleh ekspor data.
8. Siapkan mekanisme hak subjek data
Pelanggan berhak minta: akses, koreksi, penghapusan, atau penarikan persetujuan. Siapkan alur sederhana:
- Email/WA masuk ke satu inbox khusus
- Verifikasi identitas (jangan hapus data sembarangan milik orang lain)
- Proses dalam waktu wajar
- Catat tanggal permintaan & tindakan
9. Kelola cookie & pelacak pihak ketiga
Jika pakai Google Analytics / GA4, Meta Pixel, atau heatmaps:
- Jelaskan di Kebijakan Privasi
- Pertimbangkan banner/persetujuan untuk pelacak non-esensial
- Matikan fitur yang tidak Anda pakai
10. Rencana jika terjadi kebocoran
Siapkan catatan singkat: siapa dihubungi (hosting, developer), bagaimana memberitahu pengguna terdampak, dan apa yang diperbaiki. Jangan menunggu panik dulu baru berpikir.
Dokumen Minimal yang Perlu Disiapkan UMKM
| Dokumen | Wajib praktis? | Catatan |
|---|---|---|
| Kebijakan Privasi di website | Ya | Bahasa jelas, update saat tool berubah |
| Catatan pemrosesan data (RoPA sederhana) | Sangat disarankan | Boleh 1 halaman spreadsheet |
| Prosedur permintaan hak subjek | Ya | Template balasan WA/email |
| Perjanjian/ketentuan dengan vendor | Jika pakai pihak ketiga | Baca dulu sebelum pasang pixel/CRM |
| Kebijakan retensi | Disarankan | Mis. lead inactive dihapus setelah 24 bulan |
Kompetitor sering berhenti di daftar hukum umum. Gap untuk UMKM: hubungkan tiap poin ke elemen website nyata (form, footer, admin CMS, chat).
Contoh Penerapan: Toko Online Kecil
Bayangkan toko fashion lokal dengan website + form preorder:
- Form hanya minta nama, WA, ukuran — tidak lebih.
- Checkbox: setuju dihubungi terkait preorder.
- Data masuk ke sheet terbatas + backup.
- Halaman privasi menjelaskan Xendit/Midtrans sebagai prosesor pembayaran.
- Admin toko pakai 2FA.
- Pelanggan bisa WA “hapus data saya” dan diproses dalam 7 hari kerja.
Itu sudah jauh lebih baik daripada situs tanpa privasi sama sekali.
Checklist Teknis Sebelum Launch / Redesign
Gunakan bersama checklist launching website UMKM:
- HTTPS aktif di semua halaman (SSL)
- Form tidak mengirim ke email pribadi bercampur spam
- Halaman Kebijakan Privasi live & terhubung footer
- Consent newsletter terpisah
- Panel admin + email bisnis pakai 2FA
- Plugin/script pihak ketiga didaftar di privasi
- Backup & akses hosting terbatas
- Tidak menyimpan kartu kredit di server sendiri (serahkan ke payment gateway)
- Tim tahu cara menangani permintaan hapus data
Untuk fondasi keamanan lebih luas, baca juga keamanan siber untuk UMKM.
Yang Bukan Berarti “Harus Mahal”
Patuh UU PDP tidak selalu berarti hiring firma hukum besar di hari pertama. Untuk mikro/kecil:
- Mulai dari transparansi + keamanan dasar
- Jangan kumpulkan data yang tidak perlu
- Dokumentasikan praktik Anda apa adanya
- Tingkatkan seiring skala (lebih banyak user = lebih ketat kontrol)
Jika Anda membangun situs baru, jauh lebih murah memasang fondasi ini dari awal daripada retrofit setelah data sudah berserakan.
Pertanyaan yang Sering Diajukan
Apakah UMKM wajib patuh UU PDP?
Ya. UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku untuk setiap pihak yang memproses data pribadi di Indonesia, termasuk UMKM yang mengumpulkan nama, nomor HP, email, atau alamat lewat website, form, atau CRM.
Apa sanksi jika website tidak patuh?
Sanksinya bisa administratif hingga pidana untuk pelanggaran berat. Untuk UMKM, risiko praktisnya juga reputasi: pelanggan hilang percaya jika data bocor atau kebijakan privasi tidak ada.
Apakah cukup pasang halaman Kebijakan Privasi?
Belum. Kebijakan Privasi wajib, tapi Anda juga perlu dasar pemrosesan yang jelas, keamanan teknis (SSL, akses admin), prosedur permintaan data subjek, dan pencatatan sederhana data apa yang disimpan.
Apakah cookie banner wajib di Indonesia?
UU PDP menekankan transparansi dan dasar pemrosesan. Jika Anda memakai cookie analitik/iklan yang mengidentifikasi pengguna, praktik terbaik adalah memberi tahu dan meminta persetujuan yang jelas — jangan hanya menyalin banner Eropa tanpa menyesuaikan bahasa.
Mulai dari mana jika budget terbatas?
Prioritas: (1) petakan data di website, (2) pasang HTTPS/SSL, (3) tulis Kebijakan Privasi yang jujur, (4) amankan panel admin + 2FA, (5) siapkan cara pelanggan minta hapus data lewat email/WA.
Kesimpulan
Checklist UU PDP untuk website UMKM intinya sederhana: tahu data apa yang Anda kumpulkan, jelaskan dengan jujur, amankan akses, dan beri pelanggan cara mengontrol datanya. Fondasi teknis seperti SSL dan two-factor authentication adalah bagian dari kepatuhan sehari-hari — bukan tambahan kosmetik.
Mau website baru yang sudah menyertakan halaman privasi, form ber-consent, dan keamanan admin dari hari pertama? Mulai dari layanan website baru Super Kilat.
Butuh review cepat: form & kebijakan privasi situs Anda sudah aman menurut praktik UU PDP? Chat WhatsApp Super Kilat