Keamanan Data Siswa dan UU PDP: Bagaimana SiTuntas Menjaganya

Tim SiTuntas · 10 Juli 2026

Ditulis oleh Isep Nursamsi, S.T. · guru Informatika yang membangun dan memakai SiTuntas setiap hari di sekolah negeri.

Sekolah hari ini menyimpan lebih banyak data siswa daripada yang kita sadari. Ada kehadiran harian, nilai ujian, catatan pembinaan BK, nomor WhatsApp orang tua, sampai pola wajah untuk absensi. Pertanyaannya sederhana tetapi penting: siapa yang menjamin data itu aman, dan apa yang terjadi kalau bocor? Sejak Undang-Undang Pelindungan Data Pribadi berlaku penuh, jawabannya tidak lagi bergantung pada itikad baik. Sudah ada aturan tertulis, dan sekolah termasuk pihak yang wajib mematuhinya.

Apa itu UU PDP dan kenapa menyangkut sekolah

UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Undang-undang ini mengatur dua sisi sekaligus: hak setiap orang atas data pribadinya, dan kewajiban pihak yang mengelola data itu. Yang sering belum disadari, masa transisinya sudah berakhir. Sejak 17 Oktober 2024 seluruh ketentuannya berlaku penuh, termasuk sanksi. Jadi ini bukan lagi rencana yang bisa ditunda-tunda.

Dalam kacamata undang-undang ini, sekolah berkedudukan sebagai pengendali data, yaitu pihak yang menentukan data apa yang dikumpulkan dan untuk apa dipakai. Kedudukan itu membawa tanggung jawab. Sekolah tetap bertanggung jawab atas keamanan data siswanya meskipun data itu disimpan di aplikasi milik pihak ketiga. Untuk pelanggaran, undang-undang menyediakan sanksi administratif berupa teguran, penghentian pemrosesan, sampai denda hingga 2 persen dari pendapatan tahunan, di samping kemungkinan tuntutan pidana dan gugatan perdata dari pihak yang dirugikan.

Data siswa itu bukan data biasa

UU PDP membedakan dua jenis data. Yang pertama data pribadi umum seperti nama, alamat, dan nomor telepon. Yang kedua data pribadi spesifik, yang perlindungannya harus lebih ketat. Data biometrik seperti pola wajah dan sidik jari masuk kategori spesifik ini, begitu pula data kesehatan dan data anak.

Karena mayoritas siswa masih di bawah umur, hampir semua data siswa otomatis tergolong data yang butuh perlakuan ekstra hati-hati. Konsekuensinya jelas: memproses data anak tidak boleh menjadi keputusan sepihak sekolah atau vendor, melainkan harus berdasar persetujuan orang tua atau wali. Ini juga alasan mengapa fitur seperti absensi wajah tidak bisa dinyalakan begitu saja untuk semua siswa tanpa izin.

Persetujuan orang tua adalah fondasinya

Untuk data anak dan data spesifik, jalur yang paling aman menurut undang-undang adalah persetujuan yang sah dari orang tua atau wali. Persetujuan yang sah bukan sekadar centang otomatis di halaman pendaftaran. Ia harus diberikan secara sadar, untuk tujuan yang dijelaskan lebih dulu, dan bisa ditarik kembali kapan saja. Artinya, sekolah perlu mampu menjawab dengan jujur: data apa yang diminta, untuk keperluan apa, disimpan berapa lama, dan siapa saja yang boleh mengaksesnya.

Lima hal yang wajib dipegang sekolah

Punya dasar yang sah. Untuk data anak dan data spesifik, jalur paling aman adalah persetujuan tertulis dari orang tua.
Secukupnya saja. Kumpulkan dan tampilkan data seperlunya untuk tujuan yang jelas. Tidak semua staf perlu melihat semua data.
Dijaga dengan benar. Data sensitif dilindungi, dan akses dibatasi menurut peran masing-masing staf.
Hormati hak pemilik data. Orang tua dan siswa berhak tahu, memperbaiki, menghapus, bahkan menarik persetujuan yang pernah diberikan.
Siap bertanggung jawab. Bila terjadi kebocoran, sekolah wajib memberi tahu pemilik data dan lembaga berwenang paling lambat 3 kali 24 jam, bukan menyembunyikannya.

Hak orang tua dan siswa atas data

Sederhananya begini. Orang tua berhak bertanya, "Data anak saya apa saja yang disimpan, dan dipakai untuk apa?" lalu sekolah harus bisa menjawabnya. Kalau ada data yang keliru, orang tua berhak minta diperbaiki. Kalau tidak lagi setuju datanya dipakai, ia berhak menariknya. Undang-undang juga memberi hak meminta salinan data dalam bentuk yang bisa dibaca. Hak-hak ini melekat pada pemilik data, bukan pemberian yang bisa ditahan sekolah.

Kalau data siswa bocor, taruhannya nyata

Kebocoran data siswa bukan sekadar urusan teknis. Nomor telepon orang tua yang tersebar bisa menjadi sasaran penipuan. Catatan pembinaan yang bocor bisa mempermalukan anak yang seharusnya justru dilindungi. Di luar kerugian pada keluarga, sekolah menghadapi kewajiban pelaporan, potensi sanksi, dan yang paling terasa, hilangnya kepercayaan wali murid. Karena itu keamanan data jauh lebih murah dijaga di depan daripada dipulihkan setelah terlanjur.

Vendor aplikasi bukan pemilik data

Ini bagian yang sering kabur. Saat sekolah memakai aplikasi seperti SiTuntas, kedudukan kami adalah prosesor data, yaitu pihak yang mengolah data atas perintah dan untuk kepentingan sekolah. Data siswa tetap milik siswa, dan sekolah tetap menjadi pengendalinya. Kami tidak memperjualbelikan data siswa, tidak memakainya untuk iklan, dan tidak menjadikannya milik kami. Peran kami adalah menyediakan alat yang membuat sekolah lebih mudah memenuhi kewajibannya, bukan mengambil alih tanggung jawab itu.

Bagaimana SiTuntas menerapkannya

Prinsip-prinsip di atas kami pasang sejak awal desain, bukan tambalan setelah ramai. Beberapa contoh konkretnya:

Database tiap sekolah berdiri sendiri. Data SMP A tidak satu wadah dengan SMP B, sehingga tidak mungkin tercampur atau saling terlihat.
Data wajah bukan foto. Yang disimpan adalah rangkaian angka hasil olahan, semacam sidik matematis yang tidak bisa dikembalikan menjadi gambar wajah, dikirim lewat sambungan terenkripsi, dan tidak pernah ditayangkan di layar mana pun.
Akses menurut peran. Wali kelas melihat kelasnya sendiri, guru BK melihat siswa binaannya. Papan peringkat hanya menampilkan prestasi, sedangkan catatan pelanggaran tidak pernah dipajang di depan umum.
Berbasis persetujuan. Fitur wajah hanya aktif untuk siswa yang orang tuanya menyetujui. Notifikasi WhatsApp pun bisa diatur sendiri oleh orang tua dari portal, mau menerima atau tidak.
Data bisa diminta, dikoreksi, dan dihapus. Orang tua dapat mengunduh salinan data anaknya dari Portal Orang Tua, mengajukan koreksi bila ada yang keliru, dan setiap permintaan itu ditinjau sekolah dengan catatan tanggapan.

Yang jujur perlu kami sampaikan

Kami tidak akan mengaku sempurna. Tidak ada sistem yang bisa berjanji seratus persen kebal, dan siapa pun yang menjanjikan itu sebaiknya diragukan. Kepatuhan data adalah pekerjaan yang terus berjalan, mengikuti aturan yang juga masih berkembang lewat peraturan turunannya. Yang bisa kami pegang: setiap fitur baru ditimbang lebih dulu dari sisi perlindungan data anak, termasuk menyelaraskan pendekatan pembinaan siswa dengan semangat disiplin positif pada Permendikbudristek Nomor 46 Tahun 2023, bukan hukuman yang mempermalukan. Untuk bahasan khusus keamanan data wajah, sudah kami tulis terpisah di Apakah Absensi Wajah Aman dan Sesuai UU PDP?

Pertanyaan yang sering diajukan

Apakah sekolah benar-benar terikat UU PDP?

Ya. Sekolah mengumpulkan dan mengolah data pribadi siswa serta orang tua, sehingga berkedudukan sebagai pengendali data. Sejak 17 Oktober 2024 seluruh ketentuan UU PDP berlaku penuh, termasuk sanksi administratif, jadi kepatuhan bukan lagi pilihan.

Apakah wajah siswa untuk absensi disimpan sebagai foto?

Tidak. Yang disimpan adalah rangkaian angka hasil olahan yang tidak bisa dikembalikan menjadi gambar wajah, bukan foto siswa. Data ini tidak ditampilkan di layar dan hanya dipakai untuk mencocokkan kehadiran, itu pun setelah orang tua menyetujuinya.

Bisakah orang tua meminta data anaknya dihapus atau menolak absensi wajah?

Bisa. Absensi wajah hanya aktif untuk siswa yang orang tuanya menyetujui, dan persetujuan itu dapat ditarik. Orang tua juga berhak meminta salinan, koreksi, atau penghapusan data anaknya, dan sekolah wajib menindaklanjuti permintaan tersebut.

Kalau data siswa bocor, apa kewajiban sekolah?

Sekolah wajib memberi tahu pemilik data dan lembaga berwenang paling lambat 3 kali 24 jam sejak kebocoran diketahui, bukan menutupinya. Karena itu penting memilih penyedia aplikasi yang memisahkan data antar sekolah dan membatasi akses menurut peran, agar risiko ditekan sejak awal.

Referensi

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, JDIH BPK RI
Salinan UU PDP di JDIH Kementerian Komunikasi dan Informatika
Sanksi UU PDP berlaku penuh sejak 17 Oktober 2024, ANTARA News
Permendikbudristek No. 46 Tahun 2023 tentang Pencegahan dan Penanganan Kekerasan di Lingkungan Satuan Pendidikan, JDIH BPK RI