KTP Difoto di Lobi, Praktik Rutin yang Ternyata Melanggar Hukum

Setiap hari, jutaan orang melangkah masuk ke gedung perkantoran, pusat perbelanjaan, dan ruang kerja bersama. Di meja resepsionis, mereka diminta menyerahkan Kartu Tanda Penduduk (KTP) untuk difotokopi atau difoto menggunakan kamera ponsel petugas. Tidak sedikit yang menganggap prosedur ini wajar—sekadar formalitas administrasi sebelum bertemu klien atau rekan bisnis. Namun di balik rutinitas yang tampak sepele ini, tersimpan persoalan hukum serius yang belum banyak disadari: praktik tersebut berpotensi melanggar Undang-Undang Perlindungan Data Pribadi (UU PDP) yang telah berlaku di Indonesia.

Ketentuan UU PDP yang Kerap Diabaikan

Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi menetapkan kerangka hukum yang ketat terhadap setiap aktivitas pengumpulan, penyimpanan, dan pemrosesan data personal. Dalam aturan ini, KTP tergolong sebagai data pribadi spesifik yang memerlukan perlindungan lebih tinggi karena memuat informasi sensitif seperti Nomor Induk Kependudukan (NIK), alamat lengkap, tanda tangan, dan foto wajah. Setiap entitas yang mengumpulkan data semacam ini wajib memiliki dasar hukum yang sah, memperoleh persetujuan eksplisit dari pemilik data, serta menjelaskan tujuan pengumpulan secara transparan. Ketika petugas keamanan atau resepsionis gedung begitu saja memfotokopi KTP tanpa memberikan penjelasan memadai tentang bagaimana data itu akan digunakan, disimpan, dan dimusnahkan, maka prinsip dasar UU PDP sudah tercederai sejak awal.

Persoalan semakin kompleks ketika praktik ini dilakukan secara massal setiap hari. Bayangkan satu gedung perkantoran menerima ratusan tamu dalam sepekan. Ratusan salinan KTP menumpuk tanpa sistem pengelolaan yang jelas. Padahal UU PDP menuntut setiap pengendali data untuk melakukan penilaian dampak perlindungan data, menerapkan standar keamanan yang layak, dan membatasi masa retensi data. Tanpa kepatuhan terhadap ketentuan ini, pengelola gedung bukan hanya menjalankan prosedur yang cacat secara hukum, melainkan juga membuka pintu lebar bagi potensi kebocoran informasi pribadi dalam skala besar.

Kebocoran Data: Ancaman Nyata yang Sering Diremehkan

Bahaya dari pengumpulan KTP secara tidak terkendali bukanlah isapan jempol. Sepanjang beberapa tahun terakhir, Indonesia berkali-kali diguncang oleh insiden kebocoran data besar-besaran yang melibatkan jutaan data pribadi warga. Ketika salinan KTP tersimpan di perangkat petugas keamanan tanpa enkripsi, atau ditumpuk di laci meja tanpa pengawasan ketat, peluang penyalahgunaan meningkat drastis. Data tersebut dapat dijual ke pihak tidak bertanggung jawab, digunakan untuk mengajukan pinjaman daring ilegal, mendaftarkan kartu seluler secara curang, atau bahkan dimanfaatkan dalam skema penipuan identitas yang semakin marak.

Ibarat menitipkan kunci rumah kepada orang asing tanpa tahu di mana kunci itu akan disimpan, menyerahkan KTP tanpa memahami alur pengelolaannya adalah tindakan berisiko tinggi. Pemilik data sering kali tidak pernah diberi tahu apakah salinan KTP mereka akan dimusnahkan setelah kunjungan selesai, atau justru diarsipkan tanpa batas waktu. Dalam konteks UU PDP, setiap individu berhak menghubungi pengendali data untuk meminta informasi tentang nasib data pribadinya, termasuk hak untuk meminta pemusnahan. Namun dalam praktik di lapangan, hak-hak ini hampir mustahil dijalankan karena tidak adanya saluran komunikasi yang jelas antara tamu dan pengelola gedung.

Antara Kebutuhan Keamanan dan Kewajiban Hukum

Tentu ada argumen bahwa pendataan identitas tamu diperlukan demi keamanan dan ketertiban. Pengelola gedung ingin mengetahui siapa yang masuk dan keluar, mencatat waktu kunjungan, serta memiliki rekam jejak jika terjadi insiden. Kebutuhan ini sah dan dapat dimengerti. Namun yang menjadi masalah adalah metode yang digunakan tidak proporsional dan tidak memenuhi standar minimal perlindungan data. Mengumpulkan seluruh informasi pada KTP—termasuk NIK dan alamat rumah—jauh melampaui informasi yang benar-benar diperlukan untuk verifikasi identitas pengunjung.

Prinsip minimalisasi data dalam UU PDP menegaskan bahwa pengumpulan data pribadi harus dibatasi pada informasi yang relevan dan tidak berlebihan. Untuk keperluan pencatatan tamu, nama lengkap dan nomor kontak mungkin sudah mencukupi. Memfotokopi seluruh permukaan KTP merupakan tindakan yang tidak sejalan dengan prinsip ini. Solusi teknis pun sebenarnya tersedia: sistem visitor management berbasis digital yang hanya mencatat nama, waktu kunjungan, dan pihak yang ditemui, tanpa harus menyimpan salinan dokumen identitas secara permanen. Beberapa platform bahkan sudah menerapkan sistem pindai kode QR tamu yang tidak menyimpan data biometrik atau informasi sensitif lainnya.

Perusahaan dan pengelola gedung perlu segera mengevaluasi prosedur penerimaan tamu mereka. Langkah pertama adalah melakukan audit kepatuhan terhadap UU PDP, menilai apakah praktik pengumpulan data yang selama ini berjalan memiliki dasar hukum yang kuat. Selanjutnya, mereka wajib merancang ulang alur pendataan tamu dengan mengedepankan prinsip transparansi, minimalisasi data, dan keamanan penyimpanan. Setiap tamu berhak mendapatkan informasi yang jelas tentang data apa yang dikumpulkan, untuk apa data itu digunakan, berapa lama akan disimpan, dan bagaimana cara meminta penghapusannya. Tanpa perbaikan fundamental ini, pengelola gedung membuka diri terhadap potensi gugatan hukum maupun sanksi administratif yang dapat mencapai dua persen dari pendapatan tahunan, sesuai ketentuan UU PDP.