Atur data kandidat secara proporsional sejak lamaran diterima hingga proses selesai dengan inventaris, pembatasan akses, jadwal retensi, dan komunikasi yang jelas.
Rekrutmen juga merupakan proses pemrosesan data pribadi
Curriculum vitae, nomor telepon, alamat surel, riwayat pendidikan, rekaman wawancara, dan catatan penilaian dapat mengidentifikasi seseorang secara langsung atau melalui kombinasi informasi. Karena itu, tim rekrutmen tidak seharusnya menganggap dokumen lamaran sebagai bahan bebas salin dan terus simpan. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mendefinisikan data pribadi secara luas dan menetapkan kerangka hak subjek data, pemrosesan, kewajiban pengendali dan prosesor, serta pengakhiran dan penghapusan. Artikel ini membantu HR menata proses operasional; ia bukan pendapat hukum atas keadaan perusahaan tertentu. Organisasi perlu meminta tinjauan pihak yang kompeten untuk menentukan dasar pemrosesan, kewajiban, dan penerapan aturan pada tiap kasus.
Kekeliruan umum adalah meminta semua informasi “untuk berjaga-jaga”, lalu menyimpan salinan CV dan dokumen identitas di email, folder bersama, perangkat pribadi, serta percakapan pesan. Banyak salinan menciptakan ketidakjelasan tentang versi yang benar dan memperbesar jumlah pihak yang mungkin mengaksesnya. Mulailah dengan menanyakan informasi apa yang diperlukan pada tiap tahap dan untuk tujuan spesifik apa. Data untuk menghubungi kandidat berbeda dari informasi yang diperlukan untuk menilai pengalaman kerja. Data keuangan atau kesehatan dapat memiliki sensitivitas lebih tinggi dan tidak perlu diminta pada tahap awal tanpa alasan dan dasar yang telah ditinjau. Prinsip minimisasi membantu menjaga privasi sekaligus membuat keputusan seleksi tetap fokus.
Buat peta data dan alur perpindahannya
Inventaris sederhana dapat mencatat kategori data, sumber, tujuan penggunaan, pihak yang mengakses, lokasi penyimpanan, masa simpan yang ditetapkan, dan cara penghapusan. Petakan perjalanan informasi dari formulir lamaran ke kotak masuk, folder penilaian, jadwal wawancara, keputusan, hingga arsip atau pemusnahan. Sertakan salinan yang tidak langsung terlihat seperti lampiran email, hasil unduh, dan ekspor spreadsheet. Peta ini sebaiknya dibuat bersama HR, IT, pengadaan, dan fungsi hukum atau privasi jika tersedia, karena layanan pihak ketiga dapat memproses informasi atas nama perusahaan. Tujuan peta bukan mengumpulkan lebih banyak data, melainkan mengenali aliran yang benar-benar terjadi.
Tentukan tanggung jawab yang jelas untuk mengelola tiap alur: siapa mengumpulkan, siapa meninjau, siapa menyetujui akses, dan siapa menutup proses. Jika vendor membantu perekrutan, periksa peran dan ketentuan yang berlaku melalui pihak berwenang di organisasi. UU PDP membedakan pengendali data yang menentukan tujuan dan kendali pemrosesan dari prosesor yang bekerja atas instruksi; peran aktual perlu ditentukan dari praktik, bukan hanya nama dalam kontrak. PP Nomor 71 Tahun 2019 mengatur penyelenggaraan sistem dan transaksi elektronik. Kedua regulasi adalah sumber hukum utama yang perlu dibaca dalam versi resmi dan konteks terkini, bukan diringkas hanya dari unggahan media sosial.
Jelaskan tujuan dan dasar pemrosesan
Pemberitahuan privasi bagi kandidat sebaiknya memakai bahasa mudah dan menjelaskan siapa yang mengelola data, kategori yang dikumpulkan, tujuan, pihak penerima atau kategori penerima, lama penyimpanan atau kriteria penentuannya, cara menghubungi organisasi, dan hak yang relevan. Hindari menyalin pemberitahuan umum yang tidak menyebut proses perekrutan. Kandidat akan lebih mudah memahami bagaimana CV, hasil tes, atau catatan wawancara digunakan ketika tujuan tersebut dinyatakan secara spesifik. Pemberitahuan harus selaras dengan praktik nyata. Jika perusahaan menyebut hanya menyimpan selama proses berlangsung tetapi ternyata berkas tetap ada di folder tanpa batas, masalahnya bukan sekadar pilihan kata.
Jangan menganggap persetujuan sebagai jawaban otomatis untuk semua pemrosesan. UU PDP menetapkan dasar pemrosesan dan kewajiban berbeda yang harus dinilai sesuai tujuan dan konteks. Tim HR bersama penasihat yang kompeten perlu menentukan dasar mana yang berlaku pada tiap aktivitas, apakah ada kewajiban lain, serta bagaimana permintaan kandidat ditangani. Persetujuan yang bermakna memerlukan informasi yang jelas dan pilihan yang dapat dipahami; memaksa kandidat menyetujui penggunaan di luar kebutuhan seleksi dapat merusak kepercayaan. Untuk menyimpan CV bagi kesempatan masa depan, pisahkan tujuan itu dari perekrutan yang sedang berjalan, jelaskan masa simpan dan cara menarik persetujuan jika dasar tersebut memang digunakan.
Batasi akses dan amankan catatan seleksi
Akses harus mengikuti kebutuhan kerja. Pewawancara mungkin perlu melihat profil dan bukti yang relevan, tetapi tidak otomatis perlu mengakses salinan dokumen identitas, catatan medis, atau seluruh korespondensi kandidat. Gunakan akun organisasi, penyimpanan dengan kontrol akses, kata sandi yang kuat, autentikasi yang tersedia, dan mekanisme pencatatan perubahan sesuai kemampuan organisasi. Hindari meneruskan CV ke grup obrolan besar atau menyimpannya pada perangkat bersama yang tidak dikendalikan. Bila informasi harus dipindahkan, gunakan jalur yang disetujui perusahaan dan pastikan penerima memang berwenang. Pelatihan singkat tentang penanganan data sering lebih bermanfaat daripada kebijakan panjang yang tidak diketahui tim.
UU PDP mewajibkan pengendali melindungi keamanan serta kerahasiaan data, mencegah akses tidak sah, dan mengawasi pihak yang terlibat dalam pemrosesan di bawah kendalinya. Undang-undang juga mengatur penilaian dampak untuk kondisi berisiko tinggi tertentu, termasuk pemrosesan data spesifik, skala besar, penilaian atau pemantauan sistematis, dan pemrosesan dengan teknologi baru. HR sebaiknya mengeskalasi perubahan proses yang melibatkan skoring otomatis atau penggabungan banyak sumber data kepada fungsi privasi dan hukum untuk menilai risikonya. Jangan membiarkan alat baru membuat keputusan bermakna tanpa transparansi, pemeriksaan manusia, atau mekanisme koreksi yang sesuai dengan ketentuan.
Tetapkan retensi dan penutupan proses
Masa simpan perlu didasarkan pada tujuan, kewajiban retensi yang relevan, kebutuhan pembelaan hak yang sah, dan ketentuan hukum yang sudah ditinjau. Tidak semua dokumen harus disimpan dengan durasi sama. Catatan ringkas mengenai proses dan keputusan mungkin memiliki kebutuhan retensi berbeda dari salinan dokumen yang memuat informasi berlebih. Buat jadwal yang menetapkan pemicu awal, pemilik tindakan, kategori berkas, tindakan akhir, dan pengecualian ketika ada sengketa atau kewajiban hukum. Jangan menyatakan satu angka retensi seolah berlaku universal bagi semua organisasi; aturannya bergantung pada konteks dan penilaian yang perlu didokumentasikan.
Pada penutupan, hapus atau musnahkan data ketika tujuan pemrosesan telah tercapai atau masa retensi berakhir, dengan tetap memperhatikan kewajiban dan pengecualian yang berlaku. UU PDP mengatur pengakhiran pemrosesan serta penghapusan dan pemusnahan dalam kondisi yang dijelaskan undang-undang. Prosedur perlu memperhitungkan salinan cadangan dan akses vendor, bukan hanya file utama yang tampak di folder. Jika kandidat setuju disimpan untuk peluang berikutnya, catat dasar, ruang lingkup, batas waktu, dan mekanisme keluar. Buat bukti bahwa pembersihan dijalankan tanpa menyimpan lagi konten yang seharusnya dihapus; log administratif sebaiknya tidak memuat salinan dokumen yang sama.
Siapkan respons atas pertanyaan dan insiden
Sediakan kontak yang jelas agar kandidat dapat bertanya tentang pemrosesan atau menyampaikan permintaan terkait datanya. Tetapkan alur penerimaan, pencatatan tanggal, pemeriksaan identitas secara proporsional, koordinasi dengan pemilik data, dan jawaban sesuai tenggat yang berlaku. Jangan meminta dokumen tambahan yang tidak perlu hanya untuk membuat proses terasa formal. UU PDP memberikan hak tertentu kepada subjek data dan memuat aturan mengenai permintaan akses, perbaikan, penundaan, pembatasan, penghentian, penghapusan, serta kondisi lain. Tim operasional perlu merujuk teks undang-undang dan arahan profesional agar permintaan tidak dijawab dengan template yang salah atau janji yang tidak bisa dipenuhi.
Jika file lamaran salah terkirim atau akun penyimpanan dicurigai terbuka, laporkan segera melalui kanal insiden organisasi, amankan bukti tanpa menyebarkan data lebih luas, dan batasi akses yang berisiko. Jangan menunggu sampai semua fakta diketahui sebelum mengeskalasi. UU PDP menetapkan kewajiban pemberitahuan tertulis dalam hal kegagalan pelindungan data dengan tenggat dan isi yang ditentukan undang-undang; pengambil keputusan perlu mengikuti prosedur resmi, melakukan penilaian, serta menyampaikan informasi kepada pihak yang tepat. Simulasi ringan dapat menunjukkan apakah HR tahu kontak yang harus dihubungi dan apakah sistem memiliki pemilik untuk menutup akses saat staf berganti peran.
Hubungkan kebijakan dengan alat administrasi secara jujur
Pilih perangkat berdasarkan fungsi yang benar-benar tersedia, kontrol akses, lokasi dan syarat pemrosesan data, prosedur ekspor serta penghapusan, dukungan vendor, dan kesesuaian dengan kebijakan perusahaan. Sebelum mengunggah informasi pelamar, pastikan layanan tersebut memang dirancang dan dikontrak untuk keperluan itu. Sistem kehadiran atau payroll bukan otomatis sistem pelacakan pelamar. Pemberian akses kepada banyak orang karena “lebih mudah” dapat bertentangan dengan prinsip kebutuhan kerja. Dokumentasikan keputusan pemilihan dan minta peninjauan saat tujuan atau kategori data berubah, terutama bila organisasi mulai memakai asesmen otomatis atau menyatukan data dari berbagai sumber.
Halaman fitur Kantor Kita menjelaskan layanan seperti absensi, pengajuan izin, slip gaji, tunjangan, tugas, dan laporan. Fitur tersebut relevan dengan administrasi karyawan setelah mulai bekerja, bukan bukti adanya modul rekrutmen kandidat. Organisasi dapat membaca informasi di situs Kantor Kita lalu mengevaluasi produk secara terpisah sesuai kebutuhan dan proses data internalnya. Penilaian ini bukan sertifikasi kepatuhan atau jaminan keamanan dari artikel ini; keputusan penggunaan perlu melibatkan pemilik proses dan pihak berwenang. Peta data yang rapi, pemberitahuan yang jujur, dan jadwal retensi yang benar-benar dijalankan memperkuat kepercayaan sejak kontak pertama.
Bacaan terkait
Pelajari informasi terkait untuk menyesuaikan langkah di atas dengan kebutuhan tim Anda:
