Perusahaan boleh memakai AI screening menurut UU PDP, selama punya dasar pemrosesan yang sah, memberi tahu pelamar bagaimana datanya dipakai, dan menyediakan jalur tinjauan manusia bagi pelamar yang keberatan atas keputusan otomatis. UU No. 27 Tahun 2022 sudah berlaku penuh sejak Oktober 2024, dan peraturan pelaksananya, PP 33 Tahun 2026, mulai berlaku 16 Januari 2027. Panduan ini menjelaskan apa artinya untuk tim HR yang memakai atau sedang memilih AI screening.
Artikel ini bukan nasihat hukum. Pakai sebagai daftar periksa, lalu pastikan detailnya dengan tim legal atau konsultan hukum Anda.
Apa yang diatur UU PDP soal data pelamar?
Data pelamar adalah data pribadi. Nama, nomor HP, riwayat pendidikan, riwayat kerja, rekaman interview, dan hasil tes semuanya masuk. Perusahaan yang menentukan tujuan rekrutmen dan cara memproses data itu berperan sebagai pengendali data pribadi. Vendor software yang memproses data atas instruksi perusahaan berperan sebagai prosesor.
UU PDP mulai berlaku saat diundangkan pada 17 Oktober 2022, dengan masa penyesuaian paling lama dua tahun (Pasal 74). Sejak Oktober 2024, kewajibannya berlaku penuh. Teks lengkapnya tersedia di JDIH BPK.
Data umum dan data spesifik dalam rekrutmen
Pasal 4 UU PDP membagi data pribadi menjadi data umum dan data spesifik. Pembedaan ini penting karena data spesifik membawa risiko lebih tinggi dan termasuk pemicu penilaian dampak.
| Jenis data | Contoh dalam rekrutmen |
|---|---|
| Data umum | Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan kombinasi data yang bisa mengidentifikasi seseorang |
| Data spesifik: catatan kejahatan | SKCK |
| Data spesifik: kesehatan | Hasil MCU, surat keterangan sehat, tes bebas narkoba |
| Data spesifik: keuangan pribadi | Slip gaji dari tempat kerja sebelumnya, nomor rekening |
| Data spesifik: biometrik | Sidik jari atau data pengenalan wajah, jika dipakai untuk identifikasi |
| Data spesifik: data anak | Pelamar magang yang belum dewasa |
Cara paling sederhana menurunkan risiko adalah tidak meminta data spesifik di tahap awal. SKCK dan MCU baru dibutuhkan setelah kandidat terpilih, bukan saat ratusan orang baru mengirim lamaran.
Apa dasar pemrosesan data pelamar?
Pasal 20 UU PDP mewajibkan pengendali punya dasar pemrosesan. Pilihannya antara lain persetujuan eksplisit dari subjek data, pemenuhan perjanjian atau permintaan subjek data sebelum perjanjian dibuat, kewajiban hukum, dan kepentingan sah lainnya.
Dalam rekrutmen, dasar yang paling mudah dibuktikan adalah persetujuan eksplisit saat pelamar mengirim lamaran, dengan penjelasan tujuan yang spesifik. Kalau Anda ingin menyimpan data pelamar untuk lowongan lain di masa depan (talent pool), tujuan itu perlu disebut terpisah. Persetujuan untuk melamar satu posisi belum tentu mencakup penyimpanan untuk lowongan lain.
Keputusan otomatis: hak pelamar untuk keberatan
Pasal 10 UU PDP memberi subjek data hak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan. Pasal 10 ayat (2) menyerahkan tata cara keberatan ke peraturan pemerintah. PP 33 Tahun 2026 adalah peraturan pelaksana UU PDP, jadi cek pasal yang mengatur keberatan ini bersama tim legal.
Penolakan lamaran kerja bisa dianggap berdampak signifikan bagi pelamar. Cek apakah ada lamaran yang ditolak tanpa pernah dilihat manusia. Kalau Anda memakai ambang skor yang otomatis menggugurkan pelamar, siapkan tiga hal:
- Pemberitahuan kepada pelamar bahwa screening tahap awal dibantu AI, dan kriteria apa yang dipakai.
- Jalur bagi pelamar untuk meminta tinjauan ulang oleh rekruter.
- Catatan alasan setiap skor, supaya rekruter bisa meninjau dengan dasar yang jelas.
Kapan perlu penilaian dampak (DPIA) dan petugas PDP?
Pasal 34 UU PDP mewajibkan penilaian dampak pelindungan data pribadi untuk pemrosesan berisiko tinggi. Pasal itu menyebut antara lain pengambilan keputusan otomatis yang berakibat hukum atau berdampak signifikan, pemrosesan data spesifik, pemrosesan skala besar, serta evaluasi, penskoran, atau pemantauan sistematis terhadap subjek data. AI screening untuk rekrutmen volume tinggi bisa memenuhi beberapa kriteria itu sekaligus. PP 33/2026 merinci penilaian dampak di Pasal 120 sampai 122 (ringkasan Veritask, September 2026).
Pasal 53 UU PDP mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi dalam kondisi tertentu, misalnya ketika kegiatan inti pengendali memerlukan pemantauan teratur dan sistematis atas data skala besar, atau pemrosesan data spesifik dalam skala besar. Perusahaan outsourcing yang memproses ribuan pelamar setiap bulan sebaiknya menanyakan ke tim legal apakah kondisi ini berlaku untuk mereka.
Checklist UU PDP untuk HR yang memakai AI screening
Kewajiban di bawah sudah berlaku sejak Oktober 2024. Lengkapi sebelum PP 33 Tahun 2026 berlaku pada 16 Januari 2027.
| Kewajiban | Artinya di rekrutmen | Bukti yang disimpan |
|---|---|---|
| Dasar pemrosesan (Pasal 20) | Pelamar menyetujui pemrosesan data dengan tujuan yang jelas | Teks persetujuan dan catatan waktu persetujuan per pelamar |
| Hanya data yang relevan | Formulir tahap awal tidak meminta SKCK, MCU, atau data spesifik lain | Daftar data yang diminta per tahap rekrutmen |
| Hak keberatan atas keputusan otomatis (Pasal 10) | Ada jalur tinjauan manusia untuk pelamar yang keberatan | Prosedur tertulis dan catatan permintaan tinjauan |
| Penilaian dampak (Pasal 34) | Penilaian risiko sebelum AI screening dipakai untuk volume besar | Dokumen penilaian dampak yang ditinjau ulang saat proses berubah |
| Hak subjek data | Pelamar bisa meminta akses, koreksi, atau penghapusan data | Kontak untuk permintaan dan catatan penanganannya |
| Penghapusan (Pasal 43) | Data dihapus ketika tidak lagi diperlukan atau diminta pelamar | Kebijakan masa simpan tertulis dan catatan penghapusan |
| Transfer ke luar negeri (Pasal 56) | Tahu apakah vendor memproses data di luar Indonesia | Jawaban tertulis vendor soal lokasi pemrosesan dan subprosesor |
| Notifikasi kegagalan pelindungan (Pasal 46) | Pemberitahuan tertulis paling lambat 3 x 24 jam ke subjek data dan lembaga | Prosedur insiden, termasuk kewajiban vendor memberi tahu Anda |
Berapa lama data pelamar boleh disimpan?
UU PDP tidak menyebut angka untuk data pelamar. Pasal 43 mewajibkan pengendali menghapus data ketika tidak lagi diperlukan untuk tujuan pemrosesan, ketika persetujuan ditarik, ketika subjek data meminta, atau ketika data diperoleh secara melawan hukum.
Artinya, perusahaan harus menetapkan masa simpan sendiri dan bisa menjelaskan alasannya. Contohnya, data pelamar yang tidak lolos disimpan sampai lowongan ditutup ditambah waktu tertentu untuk menangani pertanyaan atau keberatan. Data talent pool disimpan lebih lama hanya jika pelamar setuju. Tulis kebijakan ini, cantumkan di pemberitahuan privasi untuk pelamar, dan pastikan software yang Anda pakai bisa menjalankannya.
Pertanyaan untuk vendor AI screening
Sebelum memilih vendor, minta jawaban tertulis untuk pertanyaan berikut. Jawaban yang jelas lebih berguna daripada klaim umum seperti "aman" atau "sudah sesuai regulasi".
- Di negara mana data pelamar disimpan, dan di mana data diproses oleh model AI?
- Siapa saja subprosesor yang dipakai (hosting, penyimpanan file, email, layanan suara, model AI), dan bagaimana Anda diberi tahu kalau daftarnya berubah?
- Apakah data perusahaan Anda dipisahkan dari data pelanggan lain?
- Bagaimana data dienkripsi saat disimpan dan saat dikirim?
- Apakah masa simpan data bisa diatur, dan apa yang terjadi saat data dihapus: dihapus permanen atau hanya disembunyikan?
- Apakah AI bisa menggugurkan pelamar secara otomatis, dan bisakah fitur itu dimatikan atau diberi tinjauan manusia?
- Apakah ada alasan tertulis untuk setiap skor yang bisa ditunjukkan ke pelamar yang keberatan?
- Bagaimana vendor menangani permintaan akses, koreksi, dan penghapusan dari pelamar?
- Berapa lama vendor akan memberi tahu Anda jika terjadi insiden kebocoran data?
- Apakah vendor menyediakan perjanjian pemrosesan data (DPA)?
Sebagian sistem melakukan soft delete, yaitu data disembunyikan dari tampilan tetapi masih tersimpan. Tanyakan langsung mana yang berlaku.
Bagaimana Inhire mendukung proses ini
Inhire (inhireai.app) adalah platform AI screening dan AI interview untuk rekrutmen volume tinggi. Beberapa hal di Inhire yang berkaitan dengan checklist di atas:
- Saat pelamar melamar lewat halaman karier, Inhire menyimpan tanda persetujuan beserta waktu persetujuannya untuk setiap kandidat.
- Data setiap perusahaan dipisahkan dari perusahaan lain di tingkat database.
- Menurut kebijakan privasi Inhire, data dienkripsi saat disimpan dan saat dikirim (TLS).
- Rekruter menentukan rubrik penilaian, ambang lolos, dan syarat gugur per lowongan. AI memberi skor, alasan, dan shortlist, lalu rekruter bisa melihat alasan itu dan memindahkan kandidat mana pun.
- Rekruter bisa mengekspor data kandidat.
- Kandidat berhak mengakses, mengoreksi, menghapus, atau mengekspor datanya. Permintaan dikirim ke hi@ideact.id, sesuai kebijakan privasi.
- Inhire memakai penyedia pihak ketiga untuk hosting, penyimpanan file, interview suara, email, dan penilaian AI, seperti dijelaskan di kebijakan privasi.
Perusahaan juga bisa memakai ambang skor otomatis. Kalau fitur ini dipakai, pastikan prosedur tinjauan manusia untuk pelamar yang keberatan sudah siap. Untuk pertanyaan seperti lokasi pemrosesan data dan masa simpan, minta jawaban tertulis dari tim Inhire, sama seperti ke vendor lain.
Gambaran lengkap alur screening ada di halaman AI candidate screening, dan pembagian tugas antara AI dan rekruter dibahas di screening kandidat otomatis. Kalau Anda sedang membandingkan vendor, lihat juga cara memilih software AI interview.
Status regulasi per Oktober 2026
PP 33 Tahun 2026 ditetapkan pada 16 Juli 2026 dan berlaku enam bulan kemudian, pada 16 Januari 2027 (Katadata, 3 September 2026). Lembaga pengawas pelindungan data pribadi belum terbentuk per September 2026, dan pengamat yang dikutip Bisnis.com menilai aturan ini belum bisa berjalan efektif tanpa lembaga itu (Bisnis.com, 8 September 2026). Kewajiban di UU PDP tetap berlaku, dan denda administratifnya paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran (Pasal 57 ayat 3).
Kami akan memperbarui artikel ini ketika lembaga pengawas terbentuk atau ketika ada aturan turunan baru.
