Pengelolaan data pribadi tidak cukup hanya dengan memiliki kebijakan privasi. Organisasi juga perlu memastikan bagaimana data dikumpulkan, digunakan, disimpan, dibagikan, hingga dihapus dapat dikendalikan dan dipertanggungjawabkan.
Di sinilah ISO/IEC 27701:2025 berperan. Standar ini menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan meningkatkan Privacy Information Management System (PIMS) secara berkelanjutan. ISO menyatakan standar ini dapat digunakan oleh organisasi yang berperan sebagai PII controller maupun PII processor.
Lantas, apa saja persyaratan ISO27701 yang perlu dipersiapkan organisasi?
Apa yang Berubah pada ISO/IEC 27701:2025?
Salah satu perubahan penting dibandingkan ISO/IEC 27701:2019 adalah kedudukannya sebagai standar sistem manajemen yang dapat digunakan secara mandiri.
Edisi 2019 merupakan ekstensi dari ISO/IEC 27001 dan ISO/IEC 27002. Sementara itu, ISO/IEC 27701:2025 menjadi independent management system standard, sehingga organisasi tidak harus terlebih dahulu memiliki sertifikasi ISO/IEC 27001 untuk menerapkannya.
ISO/IEC 27701:2025 juga menggunakan struktur sistem manajemen yang lebih jelas melalui Klausul 4–10, meliputi konteks organisasi, kepemimpinan, perencanaan, dukungan, operasi, evaluasi kinerja, dan peningkatan. Struktur ini mempermudah integrasi PIMS dengan sistem manajemen lain.
Meski dapat berdiri sendiri, organisasi yang sudah menerapkan ISO/IEC 27001 tetap dapat mengintegrasikan PIMS dengan Information Security Management System (ISMS) yang sudah berjalan.
Persyaratan ISO 27701:2025 yang Perlu Disiapkan
1. Menentukan Konteks dan Ruang Lingkup PIMS
Organisasi perlu memahami konteks internal dan eksternal yang memengaruhi pengelolaan privasi.
Persiapannya dapat meliputi:
identifikasi pihak berkepentingan;
ruang lingkup PIMS;
proses bisnis yang memproses data pribadi;
sistem, aplikasi, dan pihak ketiga yang terlibat;
kewajiban hukum, regulasi, dan kontraktual; serta
pemetaan peran sebagai PII controller, PII processor, atau keduanya.
Sebagai contoh, bank dapat bertindak sebagai controller atas data nasabah, sementara penyedia layanan tertentu dapat memproses data tersebut sebagai processor sesuai hubungan kontraktualnya.
2. Membangun Tata Kelola dan Akuntabilitas Privasi
Implementasi PIMS tidak hanya menjadi tanggung jawab tim TI.
Manajemen perlu menetapkan kebijakan privasi, peran, tanggung jawab, kewenangan, serta memastikan privasi terintegrasi dalam proses organisasi.
Karena itu, implementasi dapat melibatkan fungsi IT, Information Security, Legal, Compliance, Risk Management, HR, Procurement, Internal Audit, dan unit bisnis.
3. Melakukan Privacy Risk Assessment
ISO 27701:2025 memperkuat pendekatan berbasis risiko terhadap privasi. Organisasi perlu mengidentifikasi risiko yang timbul dari aktivitas pemrosesan PII dan menentukan penanganannya.
Alurnya dapat berupa:
aktivitas pemrosesan → identifikasi risiko privasi → analisis dampak dan kemungkinan → evaluasi risiko → penanganan risiko → kontrol → pemantauan residual risk.
Dokumen pendukung dapat mencakup privacy risk methodology, risk register, risk treatment plan, serta bukti penerapan kontrol.
4. Menyiapkan Kompetensi, Awareness, dan Dokumentasi
PIMS membutuhkan sumber daya yang memadai serta personel yang memahami tanggung jawabnya.
Organisasi perlu mempersiapkan antara lain:
kebijakan dan prosedur;
kompetensi personel;
program awareness privasi;
rekaman pelatihan;
mekanisme komunikasi; dan
pengendalian documented information.
Dokumen saja belum cukup. Organisasi harus dapat menunjukkan evidence bahwa kebijakan dan prosedur benar-benar diterapkan.
5. Mengendalikan Siklus Hidup Data Pribadi
Kontrol privasi harus terlihat pada proses operasional sehari-hari, mulai dari pengumpulan hingga penghapusan data.
Organisasi perlu mengevaluasi antara lain:
tujuan dan dasar pemrosesan;
pengumpulan serta penggunaan PII;
hak individu;
retensi dan penghapusan data;
disclosure atau transfer data;
pengelolaan vendor dan processor;
keamanan PII; serta
pencatatan aktivitas pemrosesan.
Kontrol yang diperlukan dapat berbeda sesuai peran organisasi sebagai controller atau processor.
Untuk konteks Indonesia, organisasi juga perlu memetakan penerapan PIMS dengan kewajiban perlindungan data pribadi yang berlaku. Pembahasan terkait dapat dilihat pada halaman Pendampingan Pelindungan Data Pribadi Integra.
6. Melakukan Monitoring, Audit, dan Management Review
PIMS perlu dievaluasi secara berkala untuk memastikan efektivitasnya.
Organisasi dapat menggunakan:
indikator kinerja privasi;
monitoring terhadap kontrol;
audit internal;
hasil temuan dan tindak lanjut;
management review; serta
corrective action dan continual improvement.
Dengan demikian, kesiapan ISO 27701 bukan proyek dokumentasi satu kali, melainkan proses manajemen yang berkelanjutan.
Bagaimana Menilai Kesiapan ISO 27701:2025?
Sebelum mengejar sertifikasi, organisasi sebaiknya melakukan gap assessment.
Gunakan alur:
Current State → Requirement → Gap → Risk → Remediation → Implementation → Evaluation
Gap assessment membantu mengetahui persyaratan yang sudah terpenuhi, evidence yang belum tersedia, proses yang belum konsisten, dan prioritas perbaikannya.
Bagi organisasi yang telah memiliki ISMS, proses yang sudah berjalan pada ISO 27001—seperti risk management, internal audit, document control, dan management review—dapat menjadi fondasi integrasi PIMS. Pelajari juga Pendampingan ISO 27001 Integra.
Namun, penerapan ISO 27001 tidak otomatis memenuhi seluruh kebutuhan ISO 27701 karena organisasi tetap harus memperhatikan risiko, peran, dan kontrol yang spesifik terhadap privasi.
Siapkan Implementasi ISO 27701 secara Terstruktur
ISO/IEC 27701:2025 memberikan kerangka yang lebih mandiri dan terstruktur untuk mengelola privasi. Organisasi perlu menyiapkan bukan hanya dokumen, tetapi juga governance, pemetaan pemrosesan data pribadi, privacy risk assessment, kontrol, evidence, monitoring, audit, dan perbaikan berkelanjutan.
Apabila organisasi Anda belum mengetahui tingkat kesiapannya, pendekatan yang tepat adalah memulai dari identifikasi kondisi saat ini dan gap terhadap persyaratan ISO27701.
PT Integra Teknologi Solusi dapat membantu organisasi melalui Jasa Pendampingan ISO 27701, mulai dari gap assessment, penentuan ruang lingkup, privacy risk assessment, penyesuaian dokumentasi dan kontrol, implementasi, hingga persiapan menuju sertifikasi.
Konsultasikan kebutuhan Pendampingan ISO 27701 organisasi Anda.
