Kebijakan retensi data perusahaan adalah aturan internal yang menentukan berapa lama setiap kategori data pribadi boleh disimpan sebelum harus dihapus atau dimusnahkan. Kebijakan ini bukan sekadar dokumen administratif, karena jadi acuan utama saat menentukan data mana yang wajib dijaga dan data mana yang sudah waktunya dibuang.
Masalahnya, aturan yang mengatur berapa lama data harus disimpan sering saling tarik-menarik. Pasal 28 ayat (11) UU Ketentuan Umum dan Tata Cara Perpajakan mewajibkan dokumen pembukuan disimpan selama 10 tahun, sementara UU PDP justru mendorong penghapusan data begitu tujuan pemrosesannya selesai.
Menyusun kebijakan retensi data perusahaan yang benar berarti mendamaikan kedua kepentingan ini, bukan sekadar memilih salah satu aturan yang terasa lebih mudah dijalankan. Artikel ini membahas cara melakukannya, mulai dari dasar hukum sampai langkah praktis menyusunnya.
Apa Itu Kebijakan Retensi Data Perusahaan?
Kebijakan retensi data perusahaan biasanya berbentuk dokumen yang memetakan setiap kategori data pribadi yang dikelola, berapa lama data itu boleh disimpan, dan pemicu kapan data tersebut harus dihapus atau dimusnahkan. Dokumen ini menjadi rujukan bersama, supaya keputusan “boleh dihapus atau belum” tidak bergantung pada ingatan atau kebijakan masing-masing individu di tim.
Dasar Hukumnya dalam UU PDP
Dasar hukumnya ada di Pasal 16 ayat (2) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang menjadikan penghapusan data setelah masa retensi berakhir sebagai salah satu dari 8 prinsip wajib dalam setiap pemrosesan data pribadi. Prinsip ini berlaku kecuali ditentukan lain oleh peraturan perundang-undangan lain, celah yang justru jadi sumber kerumitan yang akan dibahas di bagian selanjutnya.
Kewajiban ini juga tidak berhenti di urusan internal saja. Pasal 21 ayat (1) huruf d UU PDP mewajibkan Pengendali menyampaikan jangka waktu retensi data kepada subjek data saat meminta persetujuan, sehingga jangka waktu retensi harus sudah ditentukan sejak awal, bukan ditentukan belakangan saat dibutuhkan.
Baca juga: Data Compliance: Strategi Wajib Agar Bisnis Tidak Tersandung Regulasi
Kenapa Retensi Data Sering Jadi Rumit: Aturan yang Saling Tarik-Menarik
Kerumitan retensi data biasanya muncul karena UU PDP bukan satu-satunya aturan yang mengatur soal ini. Tabel berikut membandingkan bagaimana UU PDP dan dua aturan sektor lain memperlakukan jangka waktu penyimpanan data yang sama.
| Jenis Data atau Dokumen | Aturan yang Mewajibkan | Lama Retensi |
|---|---|---|
| Data pribadi secara umum | Pasal 16 ayat (2) UU PDP | Selama masih diperlukan untuk tujuan pemrosesan, lalu wajib dihapus |
| Dokumen pembukuan (termasuk data karyawan dalam payroll, data klien dalam faktur) | Pasal 28 ayat (11) UU KUP | 10 tahun |
| Data dan dokumen transaksi nasabah jasa keuangan | Pasal 35 POJK No. 39/POJK.05/2015 | 10 tahun sejak hubungan usaha berakhir |
Ahli hukum digital, Adhi, dalam diskusi publik SafeNet yang dimuat NU Online pada 21 November 2025, mengangkat langsung tantangan ini. Ia menjelaskan bahwa UU PDP mewajibkan data dihapus begitu masa penyimpanan berakhir, sementara aturan kearsipan nasional justru bisa mengharuskan sebagian data disimpan sampai puluhan tahun.
5 Langkah Menyusun Kebijakan Retensi Data Perusahaan
Menyusun kebijakan retensi data perusahaan mengikuti 5 langkah berurutan: inventarisasi kategori data, cek aturan sektor lain, tetapkan jangka waktu per kategori, cantumkan dalam kebijakan privasi, lalu otomatiskan penghapusannya. Penjelasan tiap langkah ada di bawah ini.
1. Inventarisasi Kategori Data dan Tujuan Pemrosesannya
Kelompokkan data pribadi yang dikelola perusahaan berdasarkan tujuannya, misalnya data karyawan untuk payroll, data pelanggan untuk transaksi, atau data pelamar kerja untuk rekrutmen. Tanpa pengelompokan ini, kebijakan retensi hanya akan jadi angka tunggal yang dipaksakan ke semua jenis data.
2. Identifikasi Aturan Sektor yang Mewajibkan Retensi Lebih Lama
Untuk tiap kategori data, cek apakah ada aturan di luar UU PDP yang mewajibkan retensi lebih panjang, seperti ketentuan pajak, jasa keuangan, atau ketenagakerjaan. Langkah ini yang paling sering dilewati, padahal justru jadi penentu jangka waktu retensi yang benar.
3. Tetapkan Jangka Waktu Retensi per Kategori Data
Setelah aturan sektor teridentifikasi, tetapkan jangka waktu retensi spesifik untuk tiap kategori, bukan satu angka pukul rata untuk seluruh data perusahaan. Data payroll bisa punya masa retensi berbeda dari data marketing, meski keduanya sama-sama data pribadi.
4. Cantumkan Jangka Waktu Retensi dalam Kebijakan Privasi
Masukkan jangka waktu retensi tiap kategori data ke dalam kebijakan privasi atau formulir persetujuan yang diberikan ke subjek data. Tahap ini memenuhi kewajiban Pasal 21 ayat (1) huruf d UU PDP sekaligus membangun transparansi ke pelanggan.
5. Otomatiskan Proses Penghapusan dan Tinjau Secara Berkala
Otoritas privasi Inggris, ICO, merekomendasikan peninjauan berkala terhadap data yang disimpan, lalu menghapus atau menganonimkan data begitu tidak diperlukan lagi. Mengandalkan penghapusan manual biasanya berujung pada data yang menumpuk bertahun-tahun karena tidak ada yang sempat mengeksekusinya.
Kesalahan Umum dalam Menyusun Kebijakan Retensi Data
Setidaknya ada 5 kesalahan yang membuat kebijakan retensi data gagal berjalan efektif. Mengenali polanya membantu perusahaan menghindari celah yang sama.
- Menetapkan satu jangka waktu retensi untuk semua jenis data tanpa membedakan kategorinya.
- Tidak mengecek aturan sektor lain, seperti pajak atau jasa keuangan, yang bisa mewajibkan retensi lebih lama dari UU PDP.
- Menyimpan data tanpa tujuan pemrosesan yang jelas, hanya karena mungkin berguna di kemudian hari.
- Tidak mencantumkan jangka waktu retensi dalam kebijakan privasi yang diberikan kepada pengguna.
- Tidak punya proses otomatis untuk menghapus data setelah masa retensi berakhir, sehingga bergantung pada penghapusan manual yang sering terlewat.
Kesimpulan
Kebijakan retensi data perusahaan yang baik tidak berhenti pada satu aturan saja, karena harus mendamaikan prinsip penghapusan UU PDP dengan kewajiban retensi dari aturan sektor lain seperti pajak dan jasa keuangan. Inventarisasi data per kategori, pengecekan aturan sektor, dan otomatisasi penghapusan adalah rangkaian yang menentukan apakah kebijakan ini benar-benar berjalan atau hanya jadi dokumen yang tidak pernah diikuti.
Semakin banyak kategori data yang dikelola perusahaan, semakin sulit pula menjaga konsistensi retensi tanpa bantuan sistem yang memantau otomatis. Mengandalkan pengecekan manual biasanya baru terasa masalahnya setelah data menumpuk bertahun-tahun tanpa ada yang menyadarinya.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
Tidak. UU PDP hanya mewajibkan data dihapus setelah masa retensi berakhir, sementara jangka waktu spesifiknya ditentukan oleh tujuan pemrosesan dan aturan sektor yang berlaku.
Permintaan itu tetap harus dipertimbangkan, kecuali data tersebut masih wajib disimpan berdasarkan aturan lain seperti ketentuan pajak. Jika demikian, perusahaan perlu menjelaskan dasar hukum kenapa data belum bisa dihapus.
Wajib, minimal jangka waktunya harus dicantumkan dalam kebijakan privasi atau formulir persetujuan. Ini bagian dari kewajiban transparansi Pengendali menurut UU PDP.
Biasanya tim compliance atau Pejabat Pelindung Data Pribadi, dengan masukan dari tim legal dan pemilik proses bisnis terkait. Keterlibatan pemilik proses penting karena merekalah yang paling tahu kegunaan data tersebut sehari-hari.
Perusahaan berisiko dianggap melanggar prinsip pemrosesan data pribadi dalam UU PDP, meski belum tentu langsung berujung sanksi. Risiko ini makin besar jika data yang menumpuk itu kemudian bocor atau disalahgunakan.
