Harga, Fitur Wajib & Aturan 2026
UU PDP dan PP 33/2026 untuk data karyawan di software payroll dan HRIS: biometrik, gaji, akses, dan vendor
Kewajiban pelindungan data karyawan saat memakai software payroll dan HRIS di Indonesia: data spesifik seperti biometrik dan keuangan, perjanjian dengan vendor, kebocoran 3 × 24 jam, dan PP 33/2026.
Software payroll dan HRIS menyimpan data yang paling sensitif di perusahaan: NIK, nomor rekening, gaji, status keluarga, data kesehatan dari izin sakit, dan, bila memakai mesin absensi sidik jari atau wajah, data biometrik. UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) menggolongkan data biometrik, data kesehatan, data keuangan pribadi, dan data anak sebagai data pribadi yang bersifat spesifik (Pasal 4 ayat (2)). Perusahaan Anda adalah pengendali data, vendor software adalah prosesor data, dan tanggung jawab utama tetap pada Anda. Peraturan pelaksananya, PP 33/2026, diundangkan 16 Juli 2026 dan berlaku 16 Januari 2027, jadi 2026 adalah waktu untuk menyiapkan kontrak dan pengaturan software.
Panduan ini bagian dari panduan harga software payroll dan HRIS. Ini bukan nasihat hukum; untuk penilaian kepatuhan, konsultasikan dengan praktisi hukum pelindungan data.
Data apa yang ada di software HR, dan golongannya
| Data | Contoh | Golongan menurut UU 27/2022 |
|---|---|---|
| Identitas | Nama, NIK, alamat, tanggal lahir | Data pribadi umum |
| Keuangan | Gaji, rekening bank, pinjaman karyawan | Data keuangan pribadi (spesifik) |
| Kesehatan | Surat dokter, status BPJS, riwayat cuti sakit | Data kesehatan (spesifik) |
| Biometrik | Sidik jari, wajah dari mesin absensi | Data biometrik (spesifik) |
| Keluarga | Status kawin, tanggungan, data anak untuk PTKP | Data anak (spesifik) |
| Lokasi | Titik absensi mobile | Data pribadi umum, tetapi sensitif dalam praktik |
Data spesifik menuntut perlakuan lebih hati-hati. UU PDP Pasal 34 mewajibkan penilaian dampak pelindungan data bila pemrosesan berisiko tinggi, antara lain pemrosesan data spesifik dan pemrosesan berskala besar. Untuk UMKM dengan mesin absensi biometrik, tanyakan kepada penasihat hukum apakah penilaian dampak diperlukan.
Dasar pemrosesan: tidak semua harus dengan persetujuan
Banyak data payroll diproses karena kewajiban hukum: PPh 21, BPJS, dan upah minimum mengharuskan perusahaan memproses NIK, gaji, dan status keluarga. Data lain diproses untuk melaksanakan perjanjian kerja. Biometrik untuk absensi adalah wilayah yang lebih abu-abu: bila karyawan bisa memakai cara lain (kartu, PIN, aplikasi), lebih aman menyediakan alternatif dan mencatat dasar pemrosesannya secara tertulis.
Hubungan dengan vendor: pengendali dan prosesor
Vendor SaaS memproses data atas perintah Anda. UU PDP Pasal 51 mengatur bahwa prosesor bertindak berdasarkan perintah pengendali, dan subprosesor (misalnya penyedia cloud vendor) memerlukan persetujuan tertulis dari pengendali. Kontrak atau perjanjian pemrosesan data dengan vendor sebaiknya memuat:
- Jenis data dan tujuan pemrosesan
- Lokasi penyimpanan dan daftar subprosesor
- Langkah keamanan: enkripsi, kontrol akses, cadangan
- Kewajiban memberi tahu Anda bila terjadi kebocoran
- Pengembalian dan penghapusan data saat kontrak berakhir
- Hak audit atau laporan keamanan berkala
PP 71/2019 mengatur bahwa penyelenggara sistem elektronik lingkup privat boleh menyimpan data di dalam atau di luar Indonesia, dengan menjamin akses untuk pengawasan. Transfer data ke luar negeri tunduk pada UU PDP Pasal 56. Bila vendor memakai server di luar negeri, mintalah penjelasan tertulis tentang dasar transfer dan pelindungannya. Lihat juga kontrak SaaS HR, ekspor data, dan SLA.
Kebocoran data: 3 × 24 jam
Bila terjadi kegagalan pelindungan data, UU PDP Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 × 24 jam kepada subjek data (karyawan) dan lembaga pelaksana. PP 33/2026 Pasal 114 merinci isi pemberitahuan dan menyebut jam mulai dihitung sejak kegagalan diketahui secara pasti, patut, dan wajar; prosesor wajib melapor kepada pengendali pada kesempatan pertama (Pasal 118). Lembaga PDP belum terbentuk sepenuhnya per laporan September–Oktober 2026, dan fungsi pengawasan untuk sementara dijalankan Komdigi; pantau kanal pemberitahuan resminya.
Bagi software, artinya:
- Log akses yang mencatat siapa membuka data gaji dan kapan
- Notifikasi dari vendor yang cepat, tertulis di kontrak
- Kontak penanggung jawab di kedua pihak
Sanksi administratif UU PDP Pasal 57 mencakup peringatan, penghentian sementara, penghapusan data, dan denda sampai 2% dari pendapatan tahunan terhadap variabel pelanggaran.
Pengaturan software yang mendukung kepatuhan
- Hak akses berdasarkan peran: staf admin tidak perlu melihat gaji direksi; manajer hanya melihat timnya.
- Masking: nomor rekening dan NIK disembunyikan sebagian di layar.
- Log aktivitas yang tidak bisa dihapus pengguna biasa.
- Autentikasi dua langkah untuk akun admin dan HR.
- Ekspor terbatas: hanya peran tertentu yang bisa mengunduh seluruh data.
- Retensi: data karyawan yang sudah keluar disimpan sesuai kewajiban (dokumen pajak 10 tahun menurut UU KUP Pasal 28 ayat (11)), lalu dihapus atau dianonimkan.
- Self-service: karyawan bisa melihat dan meminta perbaikan datanya sendiri, sejalan dengan hak subjek data.
Pertanyaan untuk vendor
- Di mana data disimpan, dan siapa subprosesornya?
- Apakah data dienkripsi saat disimpan dan saat dikirim?
- Bagaimana data biometrik disimpan: di mesin, di server vendor, atau sebagai templat yang tidak bisa dibalik?
- Berapa lama vendor memberi tahu Anda setelah mengetahui insiden?
- Bagaimana data dikembalikan dan dihapus saat berhenti berlangganan?
- Apakah ada laporan audit keamanan pihak ketiga yang bisa dibagikan?
Masukkan jawabannya ke checklist memilih software payroll.
Panduan terkait di kategori ini: fitur wajib payroll Indonesia 2026, iuran BPJS dan batas upah 2026, jasa payroll outsourcing vs software.
Pertanyaan yang sering diajukan
Apakah perlu persetujuan karyawan untuk memproses data gaji?
Untuk kewajiban hukum seperti PPh 21 dan BPJS, dasar pemrosesannya adalah kewajiban hukum, bukan persetujuan. Tetapi karyawan tetap berhak mendapat informasi tentang tujuan dan cara pemrosesan.
Apakah UMKM wajib menunjuk pejabat pelindungan data?
UU PDP Pasal 53 mewajibkan penunjukan dalam kondisi tertentu, misalnya pemrosesan data spesifik berskala besar. PP 33/2026 Pasal 144 ayat (2) menyebut pejabat itu bisa berasal dari dalam dan/atau luar organisasi. Tanyakan penasihat hukum apakah usaha Anda termasuk.
Bolehkah memakai absensi wajah dari vendor luar negeri?
Boleh selama dasar pemrosesan, keamanan, dan transfer data dipenuhi. Karena biometrik termasuk data spesifik, mintalah penjelasan tertulis tentang lokasi penyimpanan.
Apa yang berubah saat PP 33/2026 berlaku Januari 2027?
PP itu merinci banyak kewajiban UU PDP, termasuk isi pemberitahuan kebocoran dan pejabat pelindungan data. Gunakan sisa 2026 untuk memperbarui kontrak vendor dan pengaturan akses.
Sumber resmi
- Pasal.id — UU 27/2022 (Pasal 4, 34, 46, 51, 53, 56, 57), PP 71/2019
- JDIH Sekretariat Negara — teks PP 33/2026
- Komdigi — pengawasan sementara pelindungan data pribadi
- Peraturan.go.id — basis data peraturan pemerintah
