Apa itu Standar ISO/IEC 27701:2025

Standar ISO/IEC 27701:2025 menetapkan persyaratan dan panduan untuk membangun, menerapkan, memelihara, dan meningkatkan Privacy Information Management System (PIMS) atau Sistem Manajemen Informasi Privasi. Standar ini membantu organisasi mengelola informasi pribadi (Personally Identifiable Information/PII) secara sistematis dan bertanggung jawab.

ISO/IEC 27701:2025 dapat diterapkan pada berbagai jenis dan ukuran organisasi yang melakukan pemrosesan informasi pribadi, baik sebagai PII Controller maupun PII Processor. Standar ini membantu organisasi memahami kewajiban privasi, mengidentifikasi risiko terhadap informasi pribadi, menetapkan pengendalian yang sesuai, serta memastikan bahwa aktivitas pemrosesan PII dilakukan sesuai dengan persyaratan yang berlaku.

Penerapan ISO/IEC 27701 tidak hanya berfokus pada keamanan informasi, tetapi juga pada perlindungan privasi sepanjang siklus hidup informasi pribadi. Organisasi perlu memahami jenis informasi pribadi yang diproses, tujuan pemrosesan, pihak yang terlibat, dasar pemrosesan, risiko privasi, serta bagaimana informasi tersebut dikumpulkan, digunakan, disimpan, dibagikan, dan dihapus.

ISO/IEC 27701:2025 juga dapat menjadi kerangka yang mendukung organisasi dalam mengelola kewajiban berdasarkan peraturan perlindungan data dan privasi yang relevan. Namun, penerapan standar ini tidak secara otomatis berarti organisasi telah memenuhi seluruh persyaratan hukum di setiap negara atau wilayah.

Prinsip ISO/IEC 27701:2025

ISO/IEC 27701:2025 menggunakan pendekatan berbasis risiko untuk memastikan informasi pribadi dikelola secara aman, bertanggung jawab, dan sesuai dengan tujuan pemrosesannya. Prinsip-prinsip utamanya meliputi:

• Akuntabilitas: Organisasi harus mampu menunjukkan bahwa pengelolaan dan pemrosesan informasi pribadi dilakukan secara bertanggung jawab serta dapat dibuktikan melalui kebijakan, prosedur, dan rekaman yang sesuai.
• Perlindungan privasi: Organisasi harus menerapkan langkah yang sesuai untuk melindungi hak dan kebebasan individu yang informasi pribadinya diproses.
• Pendekatan berbasis risiko: Risiko terhadap privasi harus diidentifikasi, dinilai, dikendalikan, dan dipantau secara berkelanjutan.
• Transparansi: Individu harus memperoleh informasi yang memadai mengenai bagaimana informasi pribadinya dikumpulkan, digunakan, disimpan, atau dibagikan sesuai dengan persyaratan yang berlaku.
• Pembatasan tujuan: Informasi pribadi harus diproses untuk tujuan yang telah ditentukan dan sesuai dengan kebutuhan yang sah.
• Minimisasi data: Organisasi harus menghindari pengumpulan dan pemrosesan informasi pribadi yang tidak diperlukan untuk tujuan yang telah ditetapkan.
• Pengendalian akses dan keamanan: Informasi pribadi harus dilindungi dari akses, penggunaan, perubahan, pengungkapan, kehilangan, atau pemrosesan yang tidak sah.
• Pengelolaan hak individu: Organisasi harus memiliki proses untuk menangani hak individu yang berkaitan dengan informasi pribadinya sesuai dengan kewajiban yang berlaku.
• Pengelolaan pihak ketiga: Risiko privasi yang berasal dari vendor, partner, maupun pihak lain yang memproses informasi pribadi harus dikendalikan.
• Perbaikan terus-menerus: Sistem manajemen privasi harus dievaluasi dan ditingkatkan secara berkelanjutan berdasarkan perubahan risiko, teknologi, proses bisnis, insiden, dan persyaratan yang berlaku.

Manfaat Standar ISO/IEC 27701:2025

• Meningkatkan tata kelola dan pengelolaan informasi pribadi
• Memperkuat perlindungan terhadap data dan privasi individu
• Membantu organisasi mengidentifikasi dan mengendalikan risiko privasi
• Meningkatkan kemampuan organisasi dalam memenuhi kewajiban perlindungan data dan privasi
• Meningkatkan transparansi dalam aktivitas pemrosesan informasi pribadi
• Memperjelas peran dan tanggung jawab pihak yang terlibat dalam pemrosesan PII
• Meningkatkan pengendalian terhadap vendor dan pihak ketiga
• Meningkatkan kepercayaan pelanggan, karyawan, mitra bisnis, dan pihak berkepentingan
• Memperkuat kesiapan organisasi dalam menangani insiden dan pelanggaran privasi
• Mendukung integrasi pengelolaan privasi dengan sistem manajemen keamanan informasi
• Mendorong peningkatan berkelanjutan terhadap tata kelola dan perlindungan informasi pribadi

ISO/IEC 27701:2025 menekankan bahwa perlindungan privasi bukan hanya masalah keamanan teknologi informasi, tetapi merupakan bagian dari tata kelola organisasi dan proses bisnis. Penggunaan firewall, enkripsi, antivirus, atau kontrol akses saja belum cukup apabila organisasi tidak memahami mengapa informasi pribadi dikumpulkan, untuk tujuan apa digunakan, siapa yang dapat mengaksesnya, berapa lama disimpan, dan kapan harus dihapus.

Dari perspektif auditor, organisasi tidak cukup hanya menunjukkan adanya Privacy Policy atau dokumen perlindungan data. Auditor akan melihat apakah organisasi mampu menunjukkan inventarisasi dan alur pemrosesan PII, dasar dan tujuan pemrosesan, penilaian risiko privasi, pengendalian yang diterapkan, pengelolaan pihak ketiga, mekanisme pemenuhan hak individu, penanganan insiden, serta bukti evaluasi efektivitas pengendalian.

Sebagai contoh, apabila sebuah organisasi mengumpulkan data pelanggan untuk proses pendaftaran layanan, auditor dapat melihat bagaimana data tersebut dikumpulkan, tujuan penggunaannya, pihak yang menerima data, periode penyimpanannya, pengamanan yang diterapkan, serta bagaimana organisasi menangani permintaan individu terkait data pribadinya.

Dengan demikian, tujuan utama ISO/IEC 27701:2025 adalah memastikan organisasi mampu mengelola informasi pribadi secara sistematis, transparan, bertanggung jawab, dan berbasis risiko, sehingga risiko terhadap privasi dapat dikendalikan sekaligus meningkatkan kepercayaan pihak yang menyerahkan informasi pribadinya kepada organisasi.

-- Belum akreditasi KAN --