Biaya, Model Harga & Aturan 2026
UU PDP untuk data pelanggan di CRM: dasar pemrosesan, persetujuan, kontrak prosesor, transfer ke luar negeri, dan PP 71/2019
Kewajiban UU 27/2022 bagi usaha yang menyimpan data pelanggan di CRM, dari Pasal 20 dan 22 tentang dasar dan persetujuan, Pasal 51 prosesor, Pasal 56 transfer, sampai lokasi data PP 71/2019.
Setiap nama, nomor WhatsApp, alamat, dan riwayat pembelian pelanggan perorangan di CRM adalah data pribadi menurut UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP). Usaha Anda adalah pengendali data: Anda yang menentukan tujuan dan wajib punya dasar pemrosesan untuk setiap tujuan (Pasal 20). Vendor CRM biasanya berperan sebagai prosesor, yang wajib memproses hanya sesuai perintah Anda, sementara tanggung jawabnya tetap pada Anda (Pasal 51). UU PDP diundangkan 17 Oktober 2022 dengan masa penyesuaian dua tahun, sehingga berlaku penuh sejak 17 Oktober 2024. Panduan ini menerjemahkan kewajiban itu ke keputusan praktis saat memilih dan mengisi CRM.
Panduan ini bagian dari panduan biaya CRM untuk UMKM. Fungsi CRM yang menyimpan data pribadi dijelaskan di fungsi CRM yang perlu dibayar, dan syarat opt-in WhatsApp di biaya WhatsApp Business API. Ini bukan nasihat hukum; untuk data dalam jumlah besar, data kesehatan atau keuangan, atau transfer ke luar negeri, konsultasikan dengan penasihat hukum.
Dasar pemrosesan: tidak semua butuh persetujuan
Pasal 20 ayat (2) UU PDP menyebut enam dasar pemrosesan. Yang paling relevan untuk CRM:
| Tujuan di CRM | Dasar yang mungkin | Catatan praktis |
|---|---|---|
| Mencatat pesanan dan pengiriman | Pemenuhan perjanjian (huruf b) | Data secukupnya untuk menyelesaikan transaksi |
| Menyimpan data untuk faktur pajak | Kewajiban hukum (huruf c) | Ada kewajiban simpan dokumen pajak |
| Menindaklanjuti permintaan penawaran | Langkah atas permintaan subjek sebelum perjanjian (huruf b) | Hanya sebatas yang diminta |
| Mengirim promosi berkala | Persetujuan eksplisit (huruf a) atau kepentingan sah (huruf f) yang diuji keseimbangannya | Untuk WhatsApp, kebijakan Meta juga mensyaratkan opt-in |
| Membeli atau mengimpor daftar nomor dari pihak lain | Sangat sulit dibenarkan | Hindari |
Kepentingan yang sah (huruf f) harus ditimbang dengan hak subjek data; jangan menjadikannya alasan umum untuk semua promosi. Untuk pesan promosi lewat WhatsApp, cara paling aman adalah persetujuan yang tercatat.
Syarat persetujuan dan cara mencatatnya di CRM
Pasal 22 mensyaratkan persetujuan tertulis atau terekam, boleh elektronik. Bila permintaan persetujuan digabung dengan hal lain, ia harus bisa dibedakan jelas, mudah dipahami, dan memakai bahasa sederhana. Persetujuan yang tidak memenuhi syarat itu batal demi hukum. Pasal 9 memberi pelanggan hak menarik kembali persetujuannya.
Konsekuensinya untuk CRM:
- Sediakan kolom persetujuan promosi per kontak: status, tanggal, kanal (formulir web, chat, kertas di toko), dan teks yang disetujui.
- Pisahkan persetujuan promosi dari syarat pembelian; jangan dicentang otomatis.
- Sediakan cara berhenti yang mudah, misalnya balasan "STOP", dan pastikan CRM otomatis mengecualikan kontak itu dari kampanye.
- Simpan riwayat perubahan persetujuan.
- Saat migrasi, tandai kontak lama yang tidak punya bukti persetujuan; lihat migrasi data kontak.
Vendor CRM sebagai prosesor
Pasal 51 UU PDP mengatur bahwa prosesor wajib memproses berdasarkan perintah pengendali, tanggung jawab pemrosesan tetap pada pengendali, prosesor boleh memakai prosesor lain (subprosesor) tetapi wajib mendapat persetujuan tertulis pengendali lebih dulu, dan bila prosesor memproses di luar perintah, tanggung jawabnya beralih ke prosesor. Karena itu, minta vendor menyediakan perjanjian pemrosesan data yang memuat:
- Tujuan dan jenis data yang diproses atas perintah Anda.
- Daftar subprosesor (hosting, email, layanan pesan, dukungan) dan negaranya, serta mekanisme persetujuan bila berubah.
- Langkah keamanan: enkripsi, kontrol akses per peran, autentikasi dua faktor, log audit.
- Kewajiban memberi tahu Anda bila terjadi insiden, dalam waktu jauh lebih singkat dari batas pemberitahuan pengendali 3 × 24 jam (Pasal 46).
- Pengembalian dan penghapusan data saat kontrak berakhir, dengan bukti.
Transfer data ke luar negeri dan lokasi penyimpanan
Banyak CRM global menyimpan data di luar Indonesia. Pasal 56 UU PDP menetapkan urutan: negara penerima punya pelindungan setara atau lebih tinggi; bila tidak, ada pelindungan yang memadai dan mengikat (misalnya klausul kontrak); bila tidak juga, ada persetujuan subjek data. Rincian teknisnya diserahkan ke peraturan pelaksana. Menurut ringkasan sejumlah firma hukum, peraturan pelaksananya adalah PP 33/2026, diundangkan 16 Juli 2026 dan disebut mulai berlaku 16 Januari 2027; PP ini antara lain mengatur penilaian dampak, pejabat pelindungan data, dan transfer ke luar negeri. Lembaga pengawas PDP pada September 2026 diberitakan belum terbentuk sepenuhnya. Kami belum dapat membuka teks resmi PP itu, jadi cek di JDIH dan Komdigi sebelum mengandalkan rincian.
Terpisah dari UU PDP, PP 71/2019 mengatur lokasi sistem elektronik. PSE lingkup privat boleh mengelola dan menyimpan data di dalam dan/atau di luar Indonesia dengan kewajiban memberi akses untuk pengawasan dan penegakan hukum (Pasal 21); sektor keuangan diatur otoritasnya sendiri. PSE lingkup publik wajib menyimpan di Indonesia kecuali teknologinya tidak tersedia (Pasal 20). Bila usaha Anda menjual ke instansi pemerintah atau bergerak di sektor keuangan, cek aturan sektoral dan kontrak pelanggan Anda.
Sanksi dan risiko praktis
UU PDP mengenal sanksi administratif dari peringatan sampai denda administratif paling tinggi 2% dari pendapatan tahunan (Pasal 57), serta ancaman pidana untuk perbuatan tertentu. Untuk UMKM, risiko yang lebih cepat terasa biasanya keluhan pelanggan, nomor WhatsApp yang dibatasi, dan hilangnya kepercayaan. Kebocoran sering berasal dari hal sederhana: ekspor kontak ke ponsel pribadi sales yang keluar, atau satu akun dipakai bersama.
Pertanyaan untuk vendor sebelum berlangganan
- Di negara mana data utama dan cadangan disimpan?
- Siapa subprosesor Anda dan bagaimana kami diberi tahu bila berubah?
- Apakah ada perjanjian pemrosesan data, dan tersedia dalam bahasa Indonesia?
- Bagaimana CRM mencatat persetujuan dan permintaan berhenti per kontak?
- Bisakah ekspor massal dibatasi untuk admin saja?
- Apakah vendor terdaftar sebagai PSE di Komdigi?
Masukkan jawabannya ke checklist memilih CRM. Untuk sisi pesan promosi, lanjutkan ke aturan pesan promosi, spam, dan telemarketing.
Pertanyaan yang sering diajukan
Apakah data kontak perusahaan (B2B) juga data pribadi?
Nama, nomor ponsel, dan email pribadi seorang pembeli di perusahaan tetap data pribadi orang itu. Data badan usaha murni, seperti NPWP perusahaan, tidak.
Bolehkah sales menyimpan kontak pelanggan di ponsel pribadi?
Itu memperbesar risiko kebocoran dan menyulitkan pemenuhan hak pelanggan. Tetapkan kebijakan bahwa data pelanggan dikelola di CRM dengan akses per peran.
Apa yang harus dilakukan bila pelanggan minta datanya dihapus?
Hapus atau anonimkan data yang tidak lagi punya dasar pemrosesan, tetapi simpan yang wajib disimpan karena hukum, misalnya dokumen pajak. Catat permintaannya dan tanggal penanganannya.
Apakah UMKM mikro dikecualikan dari UU PDP?
UU PDP tidak memberi pengecualian umum untuk usaha kecil. Besarnya kewajiban praktis mengikuti jenis dan skala data yang diproses.
Sumber resmi
- Pasal.id — teks UU 27/2022 (Pasal 9, 20, 22, 46, 51, 56, 57) dan PP 71/2019
- JDIH Komdigi — peraturan pelaksana dan peraturan menteri
- Portal PSE Komdigi — status pendaftaran penyelenggara sistem elektronik
- Badan Siber dan Sandi Negara — panduan keamanan siber
