ISO 27001 menutup sebagian kewajiban UU PDP, terutama sisi pengamanan: penilaian risiko, kontrol akses, penghapusan data, dan penanganan insiden. Kewajiban hukumnya (dasar pemrosesan, pemenuhan hak subjek data, penunjukan pejabat pelindungan data) tidak tersentuh standar ini. Sertifikat ISO 27001 memudahkan Anda membuktikan kepatuhan, tetapi sertifikat itu sendiri belum berarti patuh.
Artikel ini memetakan kewajiban UU PDP mana yang terjawab oleh klausul dan kontrol ISO/IEC 27001:2022, mana yang tidak, dan di mana celahnya: perilaku karyawan.
Gambaran dasarnya sudah kami bahas di kewajiban dan sanksi UU PDP bagi bisnis dan pengertian ISO 27001 serta manfaatnya untuk bisnis.
UU PDP berlaku penuh sejak 17 Oktober 2024, setelah masa transisi dua tahun yang diatur Pasal 74 UU No. 27 Tahun 2022. Sejak itu, dokumen kebijakan privasi saja tidak cukup. Regulator meminta bukti bahwa kebijakan tersebut benar-benar dijalankan. Taruhannya nyata. Pasal 57 ayat (3) membuka denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Pasal 67 dan Pasal 68 mengatur pidana sampai enam tahun penjara dan denda sampai Rp6 miliar, sementara Pasal 70 ayat (3) membolehkan denda korporasi hingga sepuluh kali lipat ancaman maksimalnya.
Di sinilah ISO 27001 masuk. Kata "ISO" tidak muncul sekali pun di dalam UU PDP, tetapi kerangka standar ini menghasilkan jenis bukti yang diminta Pasal 47: pertanggungjawaban yang bisa ditunjukkan.
Pemetaan berikut memakai pasal UU No. 27 Tahun 2022 dan elemen ISO/IEC 27001:2022, standar sistem manajemen keamanan informasi.
| Kewajiban UU PDP | Isi kewajiban | Elemen ISO/IEC 27001:2022 yang menjawab |
|---|---|---|
| Pasal 34 | Penilaian dampak untuk pemrosesan berisiko tinggi | Klausul 6.1.2, penilaian risiko keamanan informasi |
| Pasal 35 dan Pasal 39 | Langkah teknis operasional dan pencegahan akses tidak sah | Kontrol Annex A tema teknologi: 8.2 sampai 8.5 kendali akses teknis, 8.10 penghapusan informasi, 8.11 data masking, 8.12 pencegahan kebocoran data |
| Pasal 36 | Menjaga kerahasiaan data pribadi | Kontrol Annex A 5.34 privasi dan perlindungan PII |
| Pasal 37 | Mengawasi setiap pihak yang terlibat dalam pemrosesan | Kontrol Annex A tema manusia (kelompok 6), dari seleksi sampai proses disipliner |
| Pasal 46 | Memberitahukan kegagalan pelindungan data dalam 3 x 24 jam | Kontrol Annex A manajemen insiden keamanan informasi |
| Pasal 47 | Menunjukkan pertanggungjawaban | Audit internal, tinjauan manajemen, dan rekaman ISMS |
Dua hal tidak terlihat dari tabel ini. Pertama, ISO 27001 memberi Anda metode, bukan jawaban: klausul 6.1.2 mewajibkan penilaian risiko, tetapi tidak menetapkan bahwa data pribadi spesifik menurut Pasal 4 UU PDP harus diperlakukan lebih ketat. Kedua, bukti itu terbatas pada ruang lingkup sertifikasi. Jika sistem HR di luar ruang lingkup, sertifikat Anda tidak berkata apa pun tentang data karyawan.
Pasal 37 UU PDP mewajibkan pengendali data mengawasi setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya. Kalimatnya pendek, cakupannya luas: karyawan tetap, staf kontrak, magang, sampai vendor yang memegang akun di sistem Anda.
Angkanya mendukung. Data Breach Investigations Report 2026 dari Verizon mencatat unsur manusia hadir dalam 62% pelanggaran data secara global, dan 71% di kawasan Asia-Pasifik yang mencakup Indonesia.
ISO/IEC 27001:2022 punya satu tema kontrol khusus untuk ini: kontrol manusia (people controls). Isinya mengikuti siklus kerja: seleksi calon karyawan, ketentuan kerja, kesadaran dan pelatihan keamanan informasi (kontrol 6.3), proses disipliner, sampai tanggung jawab setelah karyawan keluar.
Kontrol 6.3 paling sering diperlakukan sebagai formalitas tahunan. Padahal kontrol inilah yang menjawab pertanyaan auditor maupun regulator: bagaimana Anda memastikan orang yang memegang data pribadi paham batasannya? Daftar hadir pelatihan tidak menjawabnya; bukti perubahan perilaku yang menjawab. Anda bisa mengumpulkannya dengan mengukur tingkat security awareness karyawan secara objektif dan menetapkan dengan jelas peran karyawan dalam menyimpan dan menghapus data pribadi.
Tiga kewajiban UU PDP berikut tidak punya padanan di ISO 27001.
Untuk lapisan privasinya, ISO/IEC 27701 adalah standar yang tepat. Standar ini mengatur peran pengendali dan prosesor PII, dua istilah yang bersesuaian dengan Pengendali dan Prosesor Data Pribadi di UU PDP, sekaligus menanam prinsip privacy by design ke dalam sistem sejak tahap perancangan.
Tidak. UU No. 27 Tahun 2022 tidak menyebut ISO 27001 maupun standar sertifikasi lain. Sertifikasi bersifat sukarela dan berfungsi sebagai bukti independen bahwa sistem keamanan informasi Anda berjalan.
UU PDP adalah undang-undang Indonesia, yaitu UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, dan bukan standar ISO. Standar ISO yang paling relevan untuk mendukungnya adalah ISO/IEC 27001 (keamanan informasi) dan ISO/IEC 27701 (manajemen privasi).
ISO 27001 mengelola risiko keamanan informasi secara umum, sedangkan ISO 27701 menambahkan persyaratan khusus untuk data pribadi, termasuk manajemen persetujuan dan pemenuhan hak subjek data. Banyak organisasi menerapkan ISO 27001 lebih dulu, lalu menambah ISO 27701 saat volume data pribadi bertambah.
UU PDP tidak mencantumkan pelatihan sebagai kewajiban tersendiri bagi pengendali data. Namun Pasal 37 mewajibkan pengawasan atas setiap pihak yang terlibat dalam pemrosesan, dan pelatihan beserta pengukurannya adalah cara paling praktis membuktikan pengawasan itu berjalan. Di ISO/IEC 27001:2022, kewajiban ini bersesuaian dengan kontrol 6.3.
Tidak ada lagi. Masa transisi dua tahun pada Pasal 74 berakhir 17 Oktober 2024 dan UU PDP berlaku penuh sejak tanggal itu. Klaim bahwa tenggatnya jatuh pada Oktober 2026 keliru.
Urutannya menentukan. Mulai dari inventaris data pribadi: apa yang Anda kumpulkan, di mana disimpan, siapa yang bisa mengaksesnya, dan berapa lama. Tanpa inventaris, penilaian risiko ISO 27001 hanya menebak.
Setelah itu, bandingkan kondisi sekarang dengan dua daftar sekaligus: kewajiban UU PDP per pasal, dan kontrol Annex A yang relevan. Hasilnya satu daftar celah untuk satu program kerja.
Baru pada tahap berikutnya Anda memutuskan soal sertifikasi. Di SiberMate, celah yang paling sering kami temukan pada tahap ini justru ada di kontrol manusia: pelatihan tercatat rapi, dampaknya tidak pernah diukur.