CCTV di Kantor: Boleh Sampai Mana Menurut UU PDP?

Banyak perusahaan memasang kamera untuk mengamankan aset, lalu berhenti berpikir begitu perangkat menyala. Padahal hubungan antara CCTV dan UU PDP menyentuh keputusan yang muncul setiap hari: kamera diarahkan kemana, siapa yang boleh memutar ulang rekaman, dan berapa lama file disimpan. Rekaman wajah seseorang adalah data pribadi, dan data pribadi membawa tanggung jawab bagi siapa pun yang mengelolanya.

Kenapa Rekaman CCTV Masuk Kategori Data Pribadi?

Rekaman CCTV masuk kategori data pribadi karena UU PDP mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik sendiri maupun jika digabung dengan informasi lain. Wajah, postur, dan pola gerak seseorang dalam video memenuhi unsur tersebut.

Identifikasi tidak selalu memerlukan nama. Rekaman yang menampilkan seorang karyawan masuk pukul 08.02, dicocokkan dengan log kartu akses atau daftar hadir, sudah cukup untuk mengenali siapa orangnya. Karena itu, kegiatan seperti merekam, menyimpan, memutar ulang, dan membagikan rekaman termasuk pemrosesan data pribadi.

Apakah Rekaman CCTV Termasuk Data Biometrik?

Rekaman biasa pada umumnya diperlukan sebagai data pribadi yang dapat mengidentifikasi seseorang. Situasinya berubah ketika rekaman diproses untuk mengenali wajah secara otomatis. Data biometrik dikategorikan sebagai data pribadi yang bersifat spesifik, dengan tingkat perlindungan lebih tinggi. Batas tepat antara “rekaman wajah” dan “data biometrik” dalam praktik masih akan dipertegas oleh peraturan turunan dan lembaga pengawas, sehingga fitur sebagai face recognition dan analitik perilaku sebaiknya dinilai lebih dulu, bukan diaktifkan begitu saja.

PP 33/2026 mewajibkan penilaian dampak perlindungan data pribadi sebelum pemrosesan berisiko tinggi, antara lain yang melibatkan data spesifik, skala besar, teknologi baru, atau pemantauan sistematis. Kamera dengan analitik cerdas di lingkungan kerja layak diperiksa terhadap kriteria ini.

Dasar Hukum Apa yang Berlaku, dan Siapa yang Bertanggung Jawab Atas Rekamannya?

Kerangka utamanya adalah UU No. 27 Tahun 2022, dilengkapi PP No. 33 Tahun 2026 yang berlaku mulai 16 Januari 2027. Tanggung jawab atas rekaman ada pada pengendali data pribadi, yaitu pihak yang menentukan tujuan dan cara pemrosesan, biasanya perusahaan pemilik atau pengelola kamera.

Beberapa rujukan yang relevan:

• UU PDP Pasal 17 mengatur pemasangan alat pemroses data visual di tempat umum dan/atau fasilitas pelayanan publik. Syaratnya: untuk tujuan keamanan, pencegahan bencana, atau lalu lintas; disertai informasi pada area yang dipasangi; dan tidak digunakan untuk mengidentifikasi seseorang. Dua syarat terakhir dikecualikan untuk pencegahan tindak pidana dan penegakan hukum.

• UU PDP Pasal 20 menetapkan bahwa pemrosesan data pribadi harus memiliki dasar yang sah, seperti persetujuan kewajiban hukum, atau kepentingan sah lainnya. PP 33/2026 menegaskan bahwa kepentingan sah harus memperhatikan keseimbangan antara hak subjek data dan kepentingan pengendali.

• Peraturan lain yang bersinggungan, misalnya UU ITE mengenai informais elektronik sebagai alat bukti.

Satu hal yang sering luput: Pasal 17 secara tekstual menyebut tempat umum dan fasilitas pelayanan publik. Apakah lobi kantor atau area resepsi yang dapat dimasuki tamu termasuk cakupannya adalah pertanyaan tafsir. Pendekatan yang lebih aman adalah menerapkan prinsipnya (tujuan jelas, pemberitahuan, tidak berlebihan) pada seluruh area kerja, karena prinsip pemrosesa yang sah dalam UU PDP berlaku terlepas dari lokasi.

Bagaimana dengan Vendor CCTV dan Pengelola Gedung?

Perusahaan yang menunjuk pihak ketiga untuk mengelola sistem atau pemantauan pada dasarnya menempatkan vendor sebagai prosesor data pribadi. Tanggung jawab pengendali tidak berpindah ke vendor. Dalam skema tertentu, misalnya penyewa dan pengelola gedung yang sama-sama menentukan tujuan pemrosesan. PP 33/2026 mengatur pengendali bersama yang memerlukan perjanjian tentang peran dan tanggung jawab masing-masing. Pastikan kontrak layanan Anda mencerminkan pembagian peran tersebut.

Apakah CCTV Melanggar Privasi Karyawan?

Tidak dengan sendirinya, CCTV untuk tujuan keamanan yang jelas, dipasang secara proporsional, diberitahukan, dan dikelola dengan disiplin dapat sejalan dengan prinsip perlindungan data. Masalah muncul ketika kamera dipasang tanpa tujuan yang terdokumentasi, menjangkau area yang seharusnya privat, atau rekamannya dipakai untuk hal di luar tujuan awal. TIga pertanyaan uji yang berguna: apa tujuannya, apakah ada cara yang kurang intrusif, dan apakah orang yang terekam sudah diberi tahu.

Area Mana yang Boleh dan Tidak Boleh Dipasangi Kamera?

Tidak ada daftar tunggal yang berlaku untuk semua kantor. Prinsipnya: pasang kamera pada area yang tujuan keamanannya jelas dan proporsional, dan hindari atas yang menurut kewajaran bersifat privat, seperti toilet, ruang ganti, dan ruang laktasi.

Sebagai panduan awal untuk diskusi internal:

Bagaimana dengan CCTV di Ruang Karyawan?

Kami tidak menemukan aturan yang secara eksplisit melarang atau mengizinkan kamera di ruang istirahat. Yang tersedia adalah prinsip umum: pemrosesan harus punya tujuan yang sah dan tidak berlebihan. Kamera yang menyorot orang beristirahat sulit dijustifikasi sebagai tujuan keamanan. Jika ada alasan konkret, misalnya ruang tersebut menyimpan barang berharga, arahkan kamera ke pintu atau lemari penyimpanan, bukan ke area duduk, dan catat penilaian Anda secara tertulis.

Waspadai juga penggeseran tujuan. Kamera yang dipasang untuk keamanan lalu dipakai menilai produktivitas adalah tujuan baru yang perlu dasar dan pemberitahuan tersendiri. Perekaman suara menambah lapisan risiko hukum lain di luar UU PDP dan sebaiknya dibahas dengan penasihat hukum sebelum diaktifkan.

Apa Kewajiban Pemberitahuan kepada Karyawan dan Tamu?

Orang yang direkam berhak tahu bahwa mereka direkam. Praktik minimalnya: tanda peringatan CCTV yang terlihat di area terpasang, ditambah kebijakan tertulis yang menjelaskan tujuan, pihak yang mengakses, dan jangka waktu penyimpanan rekaman.

Pasal 17 ayat (1) huruf b mensyaratkan informasi di area yang dipasangi alat pemroses data visual. Untuk lingkungan kerja, pemberitahuan yang baik biasanya berlapis:

1. Tandai di lokasi. Pasang di pintu masuk dan area terpantau, dengan bahasa yang jelas dan pihak yang dapat dihubungi.

2. Kebijakan tertulis untuk karyawan. Cantumkan dalam peraturan perusahaan, lampiran perjanjian kerja, atau memo resmi, lengkap dengan tanda terima. Isinya: tujuan, lokasi umum kamera, siapa yang mengakses, masa simpan, dan cara mengajukan pertanyaan.

3. Informasi untuk tamu dan kontraktor. Tanda di lobi, dan bila memungkinkan pernyataan singkat pada formulir tamu atau sistem manajemen pengunjung.

Ayat (2) Pasal 17 mengecualikan syarat pemberitahuan untuk pencegahan tindak pidana dan penegakan hukum. Rumusan ini ditujukan untuk kepentingan penegakan hukum. Menjadikannya alasan untuk memasang kamera tersembunyi di kantor adalah tafsir yang berisiko dan wajib dikonsultasikan lebih dulu kepada penasihat hukum.

Siapa yang Boleh Mengakses Rekaman, dan Bagaimana Aksesnya Dicatat?

Akses rekaman harus dibatasi pada orang yang menbutuhkannya untuk tujuan yang sudah diterapkan, dan setiap tindakan, mulai dari melihat, memutar ulang, hingga mengekspor, sebaiknya tercatat dalam log yang dapat ditelusuri.

UU PDP menuntut pengendali menjaga keamanan dan kerahasiaan data pribadi, dan PP 33/2026 merinci pengamanan tersebut lebih operasional. Untuk CCTV, ini diterjemahkan menjadi pemisahan hak akses. Contoh struktur yang kerap dipakai:

Beberapa praktik yang membedakan sistem yang tertata dari yang sekadar terpasang:

• Akun individual dengan autentikasi kuat, tanpa kata sandi bersama di perekam

• Log yang mencatat siapa, kapan, kamera mana, dan untuk keperluan apa

• Larangan tertulis memotret layar monitor atau meneruskan potongan video ke grup pesan

• Enkripsi penyimpanan dan jaringan, serta peninjauan hak akses secara berkala

Di sinilah aspek manusia sama pentingnya dengan teknologi. Sistem dengan kontrol akses yang rapi bergantung pada disiplin orang yang mengoperasikannya. Pendekatan Man-Machine SECOM memadukan teknologi pemantauan dengan personel yang terlatih dan terikat prosedur kerahasiaan, termasuk operator di Control Center SECOM.

Bila terjadi kegagalan perlindungan, misalnya rekaman bocor ke publik, PP 33/2026 dan UU PDP mengatur kewajiban pemberitahuan tertulis dalam 3x24 jam kepada subjek data dan lembaga pengawas. Prosedur respons insiden sebaiknya disiapkan sebelum kejadian.

Bagaimana Jika Pihak Luar, termasuk Aparat, Meminta Rekaman?

Jangan menyerahkan rekaman hanya berdasarkan permintaan lisan. Minta surat permintaan resmi tertulis, verifikasi identitas dan kewenangan peminta, libatkan tim legal, batasi rekaman pada kamera dan rentang waktu yang diminta, lalu catat penyerahannya.

Rekaman CCTV dapat menjadi alat bukti elektronik. Putusan Mahkamah Konstitusi No. 20/PUU-XIV/2016 menekankan bahwa rekaman elektronik sah sebagai alat bukti jika diperoleh secara sah, yaitu atas permintaan penegak hukum dalam rangka penegakan hukum. Dalam proses penyitaan, penyidik menyampaikan surat perintah penyitaan dan surat izin dari ektua pengadilan (Dikutip dari Klinik Hukumonline). Hukum acara pidana Indonesia kini juga memiliki KUHAP baru, sehingga detail prosedur sebaiknya dikonfirmasi ke penasihat hukum.

Langkah praktis yang dapat dilakukan dalam SOP:

1. Tetapkan satu pintu (misalnya legal atau kepala keamanan) yang berwenang menerima permintaan.

2. Minta dokumen resmi dan salin identitas petugas.

3. Serahkan salinan yang relevan saja, bukan akses langsung ke sistem. Simpan master.

4. Catat: siapa meminta, dasar permintaan, apa yang diserahkan, kapan, dan siapa yang menyerahkan.

5. Untuk permintaan dari pihak swasta seperti asuransi, kuasa hukum, atau pihak yang kehilangan barang, perlakukan sebagai pengungkapan data yang memerlukan dasar dan penilaian tersendiri. Arahkan pemohon melalui laporan resmi bila relevan.

Bagaimana Bila Karyawan atau Tamu Meminta Rekaman Dirinya Sendiri?

Orang yang terekam memiliki hak sebagai subjek data pribadi, termasuk mengakses data tentang dirinya. Menurut pemberitaan, PP 33/2026 menetapkan tenggat pelaksanaan hak subjek data yang singkat, yaitu 3x24 jam, dengan kewajiban verifikasi lebih dahulu. Siapkan alur penerimaan dan verifikasi permintaan, serta pertimbangkan cara melindungi orang lain yang tampil dalam rekaman yang sama, misalnya dengan penyamaran wajah.

Apa Kesalahan yang Paling Sering Terjadi?

Kesalahan yang paling umum bukan pada perangkat, melainkan pada tata kelola: kamera dipasang lebih dulu, kebijakan menyusul belakangan, atau tidak sama sekali.

1. Memasang dulu, menulis kebijakan kemudian. Tanpa tujuan tertulis, semua keputusan berikutnya sulit dipertanggungjawabkan.

2. Tidak ada pemberitahuan. Tanda CCTV tidak terpasang, atau karyawan tidak pernah diberi tahu tentang kebijakan rekaman.

3. Sudut kamera tidak pernah dievaluasi ulang. Tata ruang berubah, kamera tetap menghadap ke area yang kini sensitif.

4. Akses terlalu longgar. Banyak orang memegang kata sandi yang sama, dan tidak ada log.

5. Penyimpanan tanpa batas. Kami tidak menemukan angka retensi buku khusus rekaman CCTV swasta, sehingga waktu perlu ditetapkan sendiri berdasarkan tujuan dan didokumentasikan. Menyimpan tanpa batas dan tanpa alasan sulit dibela.

6. Rekaman beredar lewat aplikasi pesan atau flashdisk tanpa catatan siapa menerima apa.

7. Fitur analitik diaktifkan tanpa penilaian. Pengenalan wajah atau deteksi perilaku dihidupkan karena tersedia, bukan karena kebutuhan yang sudah diuji.

Membangun Sistem CCTV yang Selaras dengan Tata Kelola Data

Kepatuhan dimulai dari desain, bukan dari denda. Sistem yang baik memudahkan Anda melakukan hal yang benar: hak akses berbasis peran, log yang otomatis, masa simpan yang dapat diatur, dan prosedur yang dipahami oleh setiap orang yang menyentuh rekaman.

Dengan pengalaman lebih dari 30 tahun di Indonesia dan standar Jepang yang menjadi pondasi SECOM, kami membantu perusahaan menyusun konfigurasi CCTV yang mendukung kebijakan perlindungan data yang sudah Anda tetapkan bersama tim legal. SECOM tidak menggantikan konsultan hukum Anda, tetapi kami dapat memastikan sisi teknis dan operasionalnya siap dijalankan.

Konsultasikan kebutuhan keamanan Anda dengan SECOM sekarang.