Data Subject Request (DSR) Adalah: Definisi, Jenis, dan Cara Menanganinya Secara Tepat

Bayangkan tim legal sebuah startup fintech tiba-tiba menerima surel dari mantan pengguna yang meminta seluruh datanya dihapus dari sistem. Tenggat waktu hukum sudah berjalan, sementara data pengguna tersebut ternyata tersebar di lebih dari lima sistem berbeda, mulai dari CRM, database transaksi, hingga cadangan di cloud.

Situasi semacam ini bukan kasus langka. Menurut laporan tahunan resmi Information Commissioner’s Office (ICO) Inggris untuk periode 2025/26, jumlah pengaduan perlindungan data yang diterima regulator melonjak dari 42.315 menjadi 76.743 dalam satu tahun, dan sebagian besar pengaduan tersebut dipicu oleh permintaan akses data yang tidak direspons dengan baik.

Tekanan ini juga terasa dari sisi anggaran perusahaan. Cisco 2026 Data and Privacy Benchmark Study mencatat 38 persen organisasi di 12 negara kini mengalokasikan minimal USD 5 juta untuk program privasi data mereka, naik tajam dari hanya 14 persen pada tahun sebelumnya.

Lonjakan pengaduan dan investasi ini punya satu akar yang sama, yaitu meningkatnya jumlah data subject request (DSR) yang harus dikelola perusahaan. Artikel ini akan membedah tuntas apa itu DSR, jenis-jenisnya, dasar hukumnya, hingga cara menanganinya tanpa membuat tim legal panik setiap kali email permintaan masuk.

Apa Itu Data Subject Request (DSR)?

Data subject request (DSR) adalah permintaan resmi yang diajukan oleh individu, yang disebut subjek data, kepada organisasi yang menyimpan atau mengolah data pribadinya. Permintaan ini bisa berupa permohonan untuk melihat data yang dimiliki perusahaan, memperbaiki data yang keliru, atau bahkan menghapus data tersebut sepenuhnya.

Yang membedakan DSR dari sekadar keluhan pelanggan biasa adalah dasar hukumnya. Setiap DSR berpijak pada regulasi perlindungan data yang berlaku, seperti General Data Protection Regulation (GDPR) di Uni Eropa atau Undang-Undang Perlindungan Data Pribadi (UU PDP) di Indonesia, sehingga perusahaan wajib meresponsnya dalam jangka waktu tertentu, bukan sekadar opsional.

Ada tiga elemen yang membuat sebuah permintaan tergolong DSR secara hukum. Pemohonnya harus pemilik data yang sah, permintaannya berkaitan dengan salah satu hak yang diatur undang-undang, dan perusahaan yang dituju memang menyimpan atau memproses data tersebut.

Banyak orang menyamakan DSR dengan DSAR (data subject access request), padahal keduanya tidak identik. DSAR secara spesifik merujuk pada hak untuk mengakses data, sementara DSR adalah payung yang lebih luas, mencakup akses, koreksi, penghapusan, pembatasan pemrosesan, portabilitas, hingga hak menolak.

Contohnya begini. Seorang mantan karyawan yang resign dua tahun lalu tiba-tiba mengirim surel ke HRD, meminta agar seluruh data slip gaji dan riwayat kesehatannya dihapus dari sistem perusahaan, dan secara hukum permintaan itu sudah memenuhi syarat sebagai DSR meski tidak mencantumkan istilah “data subject request” sama sekali.

Jenis-Jenis Data Subject Request yang Wajib Diketahui Perusahaan

Sebelum menyusun prosedur internal, tim legal dan IT perlu memahami bahwa DSR bukan permintaan tunggal, melainkan kumpulan hak yang berbeda-beda konsekuensinya. Berikut enam jenis DSR yang paling sering muncul dalam praktik, lengkap dengan gambaran situasinya.

Hak Akses (Right to Access)

Hak ini memungkinkan individu meminta salinan seluruh data pribadi yang disimpan perusahaan tentang dirinya. Contohnya, seorang nasabah bank meminta rincian data transaksi dan profil risikonya yang tersimpan di sistem bank selama lima tahun terakhir.

Hak Koreksi (Right to Rectification)

Hak ini berlaku ketika data yang tersimpan ternyata tidak akurat atau sudah usang. Misalnya, pelanggan e-commerce mendapati alamat pengirimannya masih tercatat di kota lama padahal sudah pindah delapan bulan lalu, sehingga ia berhak meminta data itu diperbarui.

Hak Penghapusan (Right to Erasure)

Dikenal juga sebagai “right to be forgotten”, hak ini memungkinkan individu meminta datanya dihapus permanen jika tidak ada lagi dasar hukum untuk menyimpannya. Contoh konkretnya, pengguna aplikasi kencan yang sudah menghapus akun tiga tahun lalu tapi masih menerima notifikasi promosi, berhak menuntut data kontaknya benar-benar dihapus, bukan sekadar dinonaktifkan.

Hak Pembatasan Pemrosesan (Right to Restriction)

Berbeda dari penghapusan, hak ini hanya membekukan penggunaan data untuk sementara tanpa menghapusnya. Contohnya terjadi saat ada sengketa soal keakuratan data gaji karyawan, sehingga data tersebut dibekukan penggunaannya sampai investigasi internal selesai.

Hak Portabilitas Data (Right to Data Portability)

Hak ini memberi individu kemampuan memindahkan datanya dari satu penyedia layanan ke penyedia lain dalam format yang bisa dibaca mesin. Contohnya, pengguna platform streaming musik meminta riwayat playlist dan preferensinya diekspor, agar bisa langsung diunggah ke aplikasi kompetitor.

Hak Menolak Pemrosesan (Right to Object)

Hak ini memberi ruang bagi individu untuk menolak pengolahan datanya, terutama untuk kepentingan pemasaran langsung. Contohnya, pelanggan yang lelah menerima email promosi setiap hari berhak mengajukan penolakan, dan perusahaan wajib menghentikan pengiriman begitu permintaan diterima.

Dasar Hukum yang Mengatur Data Subject Request

Kewajiban merespons DSR tidak muncul begitu saja, melainkan diatur secara eksplisit dalam berbagai regulasi perlindungan data di dunia. Dua kerangka hukum berikut menjadi rujukan paling relevan bagi perusahaan yang beroperasi secara global maupun lokal.

General Data Protection Regulation (GDPR)

GDPR, yang berlaku di Uni Eropa sejak 2018, mengatur delapan hak subjek data dalam Pasal 15 hingga 22, termasuk hak akses, koreksi, penghapusan, dan portabilitas. Perusahaan yang gagal menaatinya menghadapi risiko denda besar, dan menurut survei tahunan DLA Piper edisi Januari 2026, akumulasi total denda GDPR sejak regulasi ini berlaku telah mencapai EUR 7,1 miliar.

Undang-Undang Perlindungan Data Pribadi (UU PDP)

Di Indonesia, kewajiban serupa diatur dalam UU PDP yang memberi hak kepada subjek data untuk mengakses, memperbarui, atau meminta penghapusan datanya dari pengendali data. Contohnya, seorang pengguna aplikasi pinjaman daring berhak meminta salinan data pribadinya yang dipakai untuk penilaian skor kredit, dan pengendali data wajib memenuhinya sesuai batas waktu yang ditentukan peraturan turunan.

Mengapa Menangani DSR dengan Tepat Itu Krusial bagi Bisnis

Menangani DSR bukan sekadar kepatuhan administratif, melainkan taruhan langsung terhadap reputasi dan keuangan perusahaan. Ketika permintaan diabaikan atau direspons terlambat, dampaknya jarang berhenti pada satu keluhan saja.

Data dari Cisco 2026 Data and Privacy Benchmark Study menunjukkan 93 persen organisasi berencana menambah investasi privasi tahun ini, sinyal bahwa kompetitor sudah bergerak lebih dulu. Jika perusahaan lain sudah punya sistem DSR yang rapi sementara tim internal Anda masih mengandalkan spreadsheet manual, kesenjangan kepercayaan pelanggan akan makin lebar.

Contoh nyatanya bisa dilihat dari beberapa kasus perusahaan yang gagal merespons permintaan penghapusan data pelanggan dalam tenggat waktu, lalu berujung pada teguran publik dari regulator. Selain denda, nama perusahaan tersebut juga mencuat di pemberitaan, sesuatu yang jelas lebih sulit dipulihkan daripada sekadar membayar sanksi.

Ada pula risiko yang lebih halus tapi tak kalah mahal, yaitu hilangnya efisiensi operasional. Tim legal yang harus mencari data pelanggan secara manual di belasan sistem berbeda setiap kali ada DSR masuk, jelas kehilangan waktu yang seharusnya bisa dipakai untuk pekerjaan strategis lain.

Tahapan Menangani Data Subject Request Secara Efektif

Supaya proses DSR tidak menjadi pemadam kebakaran dadakan, perusahaan perlu alur kerja yang jelas dan konsisten. Berikut lima tahapan yang bisa dijadikan kerangka dasar, masing-masing dengan contoh penerapannya.

1. Verifikasi Identitas Pemohon

Sebelum data diberikan atau diubah, pastikan permintaan benar-benar berasal dari pemilik data yang sah. Misalnya, minta pemohon mengonfirmasi identitas lewat email terdaftar atau dokumen pendukung, agar data tidak salah kirim ke pihak yang tidak berhak.

2. Klasifikasikan Jenis Permintaan

Tentukan apakah permintaan tersebut termasuk akses, koreksi, penghapusan, atau jenis lain, karena masing-masing punya prosedur teknis berbeda. Contohnya, permintaan penghapusan biasanya memerlukan pengecekan tambahan untuk memastikan tidak ada kewajiban hukum lain yang mengharuskan data tetap disimpan, seperti catatan pajak.

3. Lakukan Pencarian Data Secara Menyeluruh

Telusuri seluruh sistem yang mungkin menyimpan data terkait, mulai dari database utama, cadangan data, hingga alat pemasaran pihak ketiga. Sebagai contoh, data satu pelanggan e-commerce bisa tersebar di sistem CRM, platform email marketing, dan aplikasi layanan pelanggan sekaligus.

4. Respons dalam Tenggat Waktu yang Ditentukan

Sebagian besar regulasi memberi batas waktu satu bulan untuk merespons DSR, meski bisa diperpanjang jika kasusnya kompleks. Jika perusahaan memperkirakan tidak akan selesai tepat waktu, sebaiknya beri tahu pemohon lebih awal beserta alasan dan estimasi waktu barunya.

5. Dokumentasikan Setiap Proses

Catat setiap langkah penanganan DSR, mulai dari tanggal masuk, jenis permintaan, hingga tanggal penyelesaian. Dokumentasi ini penting bukan hanya untuk audit internal, tapi juga sebagai bukti kepatuhan jika suatu saat regulator meminta klarifikasi.

Tantangan Umum dalam Mengelola Data Subject Request

Meski alurnya terdengar sederhana di atas kertas, banyak perusahaan justru kesulitan menjalankannya secara konsisten. Berikut beberapa tantangan yang paling sering muncul, beserta contoh situasinya.

• Data tersebar di banyak sistem yang tidak saling terhubung. Ketika data pelanggan tersimpan terpisah di CRM, gudang data, dan aplikasi pihak ketiga, mencari semuanya secara manual bisa memakan waktu berhari-hari. Contohnya, tim layanan pelanggan butuh koordinasi dengan tiga divisi berbeda hanya untuk memastikan satu permintaan penghapusan benar-benar tuntas di semua sistem.
• Volume permintaan yang terus meningkat. Semakin sadar hak privasinya, semakin banyak pula individu yang mengajukan DSR, tren yang tercermin dari lonjakan pengaduan di berbagai regulator dunia. Perusahaan yang masih menangani permintaan satu per satu secara manual akan kewalahan begitu volumenya naik drastis.
• Minimnya standar operasional yang jelas. Tanpa panduan internal yang baku, setiap tim bisa menangani DSR dengan cara berbeda-beda, sehingga rawan inkonsistensi. Misalnya, tim di satu cabang merespons dalam sepuluh hari, sementara cabang lain baru merespons setelah tiga minggu karena tidak tahu ada tenggat waktu resmi.
• Keterbatasan sumber daya untuk verifikasi dan audit. Proses verifikasi identitas dan pencarian data membutuhkan orang serta alat yang memadai, sesuatu yang sering luput dari anggaran perusahaan kecil dan menengah. Akibatnya, permintaan yang seharusnya bisa selesai dalam hitungan hari malah tertunda berminggu-minggu.

Kesimpulan

Data subject request adalah bukti nyata bahwa individu kini punya kendali lebih besar atas data pribadinya, dan perusahaan tidak bisa lagi menganggapnya sebagai urusan sampingan. Dari hak akses hingga hak penghapusan, setiap jenis DSR menuntut respons yang cepat, akurat, dan terdokumentasi dengan baik.

Kegagalan menangani DSR bukan cuma soal denda, melainkan juga soal kepercayaan pelanggan yang sulit dibangun kembali begitu retak. Semakin kompleks sistem data sebuah perusahaan, semakin besar pula kebutuhan akan proses DSR yang terstruktur dan bisa diandalkan setiap saat.

FAQ