Sebelum sebuah sistem AI menyentuh data karyawan atau kandidat, ada satu pertanyaan yang perlu terjawab: atas dasar apa data itu boleh diproses untuk keperluan ini?
Jawaban yang paling sering muncul adalah “kan sudah ada persetujuan”. Jawaban itu paling sering keliru — dan justru dalam hubungan kerja ia paling lemah.
Kenapa persetujuan sering bukan jawabannya
UU PDP menuntut persetujuan yang sah secara eksplisit, untuk satu atau beberapa tujuan tertentu yang sudah disampaikan lebih dulu kepada orang yang bersangkutan, dan disampaikan secara tertulis atau terekam.
Ketiga syarat itu jarang terpenuhi oleh apa yang biasa disebut “persetujuan” di lingkungan kerja:
- Eksplisit. Satu kotak centang di akhir formulir lamaran yang berbunyi “saya menyetujui pemrosesan data saya” tidak menyebut tujuan tertentu apa pun.
- Tujuan tertentu. Persetujuan yang diberikan untuk memproses lamaran tidak dengan sendirinya mencakup penilaian ulang oleh model AI dua tahun kemudian.
- Bebas. Ini yang paling menentukan. Pelamar yang diminta menyetujui sesuatu agar lamarannya diproses, dan karyawan yang diminta menyetujui sesuatu oleh atasannya, tidak berada pada kedudukan yang setara. Persetujuan yang tidak benar-benar bisa ditolak sulit disebut persetujuan.
Ada konsekuensi lain yang jarang dipikirkan: persetujuan dapat ditarik. Bila seluruh sistem penilaian Anda berdiri di atas persetujuan, maka setiap penarikan mencabut dasar pemrosesan untuk orang itu — dan sistem Anda harus bisa menanganinya.
Enam dasar yang tersedia
Pasal 20 UU PDP menyediakan enam dasar pemrosesan. Persetujuan hanya satu di antaranya:
- Persetujuan yang sah secara eksplisit untuk tujuan tertentu.
- Pemenuhan kewajiban perjanjian, ketika orang itu adalah pihak dalam perjanjian, atau untuk memenuhi permintaannya sebelum perjanjian dibuat.
- Pemenuhan kewajiban hukum.
- Pelindungan kepentingan vital.
- Pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau kewenangan.
- Pemenuhan kepentingan yang sah lainnya, dengan memperhatikan tujuan, kebutuhan, serta keseimbangan kepentingan pengendali data dan hak subjek data.
Mana yang biasanya cocok untuk data karyawan
Pemrosesan yang memang diperlukan untuk menjalankan hubungan kerja — menghitung gaji, mengelola cuti, memenuhi kewajiban pelaporan — umumnya bersandar pada dasar kedua atau ketiga, bukan pada persetujuan. Keduanya lebih kokoh justru karena tidak bisa ditarik sewaktu-waktu.
Untuk pemrosesan yang tidak diperlukan menjalankan perjanjian kerja tetapi masuk akal bagi perusahaan — dan penilaian kandidat berbantuan AI biasanya jatuh di sini — dasar keenam adalah yang paling mungkin cocok.
Dasar keenam bukan jalan pintas
“Kepentingan yang sah” terdengar seperti pintu terbuka, dan bukan. Undang-undangnya menuntut tiga hal sekaligus dipertimbangkan: tujuannya, kebutuhannya, dan keseimbangan antara kepentingan perusahaan dengan hak orang yang datanya diproses.
Kata “keseimbangan” itu yang menuntut pekerjaan. Ia berarti Anda pernah menimbang, dan bisa menunjukkan hasil timbangannya. Tiga pertanyaan yang menyusun timbangan itu:
- Apakah tujuannya bisa dicapai dengan data yang lebih sedikit? Bila ya, kebutuhannya belum terbukti.
- Apakah orang yang bersangkutan akan terkejut mengetahui datanya dipakai begini? Keterkejutan adalah tanda keseimbangannya miring.
- Apa akibatnya bagi orang itu bila sistemnya salah? Semakin besar akibatnya, semakin berat sisi haknya di timbangan.
Timbangan yang tidak pernah ditulis sama saja dengan timbangan yang tidak pernah dilakukan, karena tidak ada yang bisa ditunjukkan ketika ditanya.
Data spesifik, dan satu penggolongan yang mengejutkan
UU PDP membagi data pribadi menjadi dua: spesifik dan umum. Yang spesifik meliputi data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Yang umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta gabungan data yang bisa mengidentifikasi seseorang.
Dua hal di daftar itu layak diperhatikan tim HR, karena keduanya berlawanan dengan dugaan umum.
Agama tergolong data umum di UU PDP — berbeda dari GDPR Eropa yang memperlakukannya sebagai data sensitif. Tim yang menyalin kerangka kepatuhan Eropa apa adanya akan salah membaca di sini.
Data keuangan pribadi tergolong spesifik. Riwayat gaji dan informasi keuangan pelamar bukan data biasa, padahal keduanya rutin diminta dalam proses rekrutmen dan rutin ikut terkirim ketika berkas lamaran dimasukkan ke sistem AI.
Satu peringatan yang perlu jelas: “umum” tidak berarti bebas dipakai. Data umum tetap menuntut dasar pemrosesan yang sah dan tunduk pada seluruh kewajiban lainnya. Yang berbeda adalah tingkat kehati-hatian yang diminta, bukan ada atau tidaknya kewajiban.
Dasar terikat pada tujuan, dan AI sering membawa tujuan baru
Inilah simpul yang paling sering terlewat. Dasar pemrosesan tidak melekat pada datanya; ia melekat pada pasangan data dan tujuan.
Data pelamar yang dikumpulkan untuk memproses lamaran punya dasar yang jelas untuk tujuan itu. Memakai kumpulan data yang sama untuk melatih atau menguji sebuah model, untuk menilai ulang pelamar lama, atau untuk membangun profil kandidat adalah tujuan-tujuan yang berbeda. Masing-masing perlu diperiksa dasarnya sendiri.
Menariknya, pemeriksaan ini justru paling murah dilakukan di tahap perancangan, ketika mengubah apa yang masuk ke sistem masih semudah mengubah satu keputusan. Setelah berjalan setahun, pertanyaan yang sama menjadi pekerjaan penataan ulang. Itu sebabnya kami memperlakukannya sebagai bagian dari pengembangan solusi AI, bukan lampiran kepatuhan di akhir proyek.
Yang layak dituliskan, sekali, untuk setiap sistem
Satu halaman per sistem AI sudah cukup, memuat empat hal:
- Data pribadi apa yang masuk, dan mana di antaranya yang tergolong spesifik.
- Untuk tujuan apa persisnya — ditulis sebagai kalimat, bukan sebagai nama proyek.
- Dasar pemrosesan mana yang dipakai untuk tujuan itu, dan alasannya.
- Bila dasarnya kepentingan yang sah: hasil penimbangannya.
Halaman ini bukan dokumen hukum dan tidak perlu berbahasa hukum. Nilainya terletak pada memaksa pertanyaannya terjawab sebelum sistemnya menyala, bukan setelah ada yang bertanya.
Bila datanya juga berpindah ke penyedia model di luar negeri, ada satu lapis lagi yang berlaku bersamaan — dibahas terpisah di tulisan tentang data yang keluar dari Indonesia. Gambaran utuh kewajibannya ada di tulisan tentang UU PDP dan AI.
Batas tulisan ini
Ini penjelasan, bukan nasihat hukum. Memilih dasar pemrosesan untuk keadaan konkret perusahaan Anda — termasuk menimbang kepentingan yang sah — perlu ditimbang bersama penasihat hukum Anda. Naskah lengkap Undang-Undang Nomor 27 Tahun 2022 tersedia di JDIH resmi.