PDP Awareness Scoring System (PASS-PDP)

Asesmen Kesadaran Perlindungan Data Pribadi (UU No. 27 Tahun 2022)

Pastikan semua pertanyaan diisi sesuai pemahaman Anda.

I. Informasi Demografis

Jenis Kelamin *

Rentang Usia *

Pendidikan Terakhir *

Aktivitas Utama *

Provinsi Domisili *

Apakah Anda pernah mengikuti pelatihan terkait PDP/Keamanan Siber?

Ya, Pernah

Judul Pelatihan

Penyelenggara

Waktu

II. Sikap (Attitude)

Pilih angka 1 (Sangat Tidak Setuju) sampai 5 (Sangat Setuju)

A1. Saya bersedia memberikan data pribadi hanya setelah memahami dasar hukum dan memastikan bahwa pengumpulan data tersebut dilakukan secara adil dan sesuai dengan tujuan yang jelas.

STS

A2. Saya secara aktif menyampaikan pendapat dalam diskusi tentang pentingnya kejujuran dan keterbukaan dalam pemrosesan data pribadi.

STS

A3. Saya bersedia menolong diri sendiri untuk memastikan bahwa data pribadi saya hanya digunakan sesuai dengan tujuan yang telah dijelaskan kepada saya.

STS

A4. Saya setuju bahwa data pribadi hanya boleh digunakan untuk tujuan yang telah disampaikan, dan tidak untuk keperluan lain tanpa persetujuan saya.

STS

A5. Saya bersedia menyesuaikan diri dengan kebijakan organisasi yang hanya meminta data pribadi yang relevan dan tidak berlebihan.

STS

A6. Saya mempraktekkan kebiasaan memberikan informasi pribadi lebih dari yang diperlukan saat mengisi formulir atau layanan digital.

STS

A7. Saya secara aktif memeriksa dan memperbarui data pribadi saya agar tetap akurat dan tidak menyesatkan.

STS

A8. Saya bersedia menyumbangkan peran pribadi dalam menjaga keakuratan data dengan memberikan informasi yang benar dan dapat dipertanggungjawabkan.

STS

A9. Saya mempraktekkan tindakan pengamanan, seperti menggunakan kata sandi yang kuat atau mengaktifkan verifikasi dua langkah, untuk menjaga kerahasiaan data pribadi saya.

STS

A10. Saya bersedia membantu membagikan informasi sensitif kepada pihak yang tidak berkepentingan.

STS

A11. Saya menyatakan persetujuan hanya setelah memahami informasi yang disampaikan mengenai tujuan dan cara data pribadi saya akan diproses.

STS

A12. Saya melaksanakan peninjauan kebijakan atau pengaturan privasi setelah memberikan persetujuan penggunaan data pribadi.

STS

A13. Saya bersedia menyesuaikan diri dengan aturan organisasi yang hanya menyimpan data pribadi dalam jangka waktu yang diperlukan.

STS

A14. Saya melaksanakan penghapusan data pribadi yang tidak lagi diperlukan setelah tujuan pemrosesan data selesai.

STS

A15. Saya mendiskusikan tanggung jawab pribadi dalam menjaga dan pelindungan data pribadi hanya jika diminta.

STS

A16. Saya bersedia menyumbangkan ide atau masukan untuk meningkatkan praktik akuntabilitas dan pencatatan bukti pemrosesan data pribadi.

STS

III. Pengetahuan (Knowledge)

K1. Sebuah aplikasi layanan kesehatan meminta data pribadi pengguna pada saat registrasi, dan menjelaskan tujuan penggunaan data serta meminta persetujuan eksplisit sebelum pemrosesan dilakukan. Berdasarkan prinsip lawfulness, tindakan tersebut dianggap sah karena:

A. Data pribadi dikumpulkan tanpa perlu menjelaskan tujuan kepada pengguna.

B. Persetujuan dianggap otomatis selama pengguna melanjutkan penggunaan aplikasi.

C. Data pribadi diproses berdasarkan persetujuan yang jelas dan diinformasikan kepada subjek data.

D. Aplikasi tidak perlu memberikan informasi jika data digunakan untuk perbaikan sistem internal.

K2. Sebuah toko online meminta data lokasi pengguna untuk “meningkatkan layanan,” tetapi tidak menjelaskan untuk apa lokasi digunakan, bagaimana disimpan, atau apakah akan dibagikan ke pihak lain. Berdasarkan prinsip Fairness, tindakan tersebut:

A. Sesuai prinsip fairness karena hanya mengumpulkan data lokasi.

B. Tidak sesuai prinsip transparansi karena tujuan penggunaan data tidak dijelaskan secara spesifik.

C. Sesuai prinsip transparansi karena pengguna tetap dapat menggunakan layanan.

D. Tidak masalah selama data lokasi bukan data sensitif.

K3. Sebuah aplikasi e-learning mengumpulkan alamat email peserta untuk pembuatan akun dan pengiriman informasi kelas, namun kemudian menggunakan email tersebut untuk mengirimkan promosi produk dari pihak ketiga tanpa pemberitahuan. Berdasarkan prinsip purpose limitation, penggunaan email yang sah adalah:

A. Menggunakan email peserta untuk kampanye iklan dari mitra bisnis.

B. Menggunakan email peserta untuk mengirim informasi terkait kelas dan pembelajaran.

C. Menggunakan email peserta untuk promosi internal aplikasi.

D. Mengunggah data email ke pihak lain untuk keperluan analitik.

K4. Sebuah rumah sakit mengumpulkan data pasien berupa nomor telepon untuk memberikan reminder jadwal kontrol berikutnya. Manakah contoh penggunaan data nomor telepon yang masih sesuai dengan tujuan awal pengumpulan?

A. Menjual nomor telepon pasien kepada perusahaan asuransi.

B. Menawarkan paket fisioterapi tanpa persetujuan.

C. Mengirim pengingat jadwal kontrol pasien.

D. Mengunggah nomor telepon ke vendor promosi alat kesehatan.

K5. Sebuah aplikasi pemesanan makanan membutuhkan data untuk memproses pesanan pengguna. Manakah jenis data yang paling relevan untuk dikumpulkan sesuai prinsip Data Minimization?

A. Nomor KTP dan foto wajah.

B. Riwayat pekerjaan dan slip gaji.

C. Alamat pengiriman dan nomor telepon.

D. Data biometrik sidik jari.

K6. Sebuah aplikasi e-wallet meminta data pengguna untuk proses pendaftaran akun. Manakah contoh praktik pengumpulan data yang berlebihan dan melanggar prinsip Data Minimization?

A. Meminta nomor KTP dan swafoto untuk verifikasi identitas sesuai regulasi.

B. Meminta nomor telepon untuk mengirimkan kode OTP.

C. Meminta alamat email untuk notifikasi transaksi.

D. Meminta seluruh kontak teman di ponsel untuk pemasaran tanpa alasan jelas.

K7. Sebuah perusahaan layanan internet menyimpan data alamat pelanggan untuk pengiriman tagihan bulanan. Berdasarkan prinsip Accuracy & Accountability, tindakan yang paling sesuai adalah:

A. Menyimpan data tanpa verifikasi ulang.

B. Menghapus data setelah digunakan sekali.

C. Memastikan data selalu akurat dan menyediakan mekanisme koreksi.

D. Mengumpulkan lebih banyak data untuk pencocokan.

K8. Sebuah bank tidak memperbarui data nomor telepon nasabah sehingga informasi transaksi terkirim ke nomor yang salah. Berdasarkan prinsip Accuracy & Accountability, risiko yang paling mungkin terjadi adalah:

A. Tidak ada konsekuensi selama transaksi berhasil.

B. Nasabah wajib menanggung seluruh risiko.

C. Organisasi dapat terkena tuntutan hukum karena kelalaian.

D. Kesalahan data dianggap wajar.

K9. Sebuah perusahaan menggunakan enkripsi untuk melindungi data pribadi pelanggan saat dikirim melalui jaringan internet. Berdasarkan prinsip Integrity & Confidentiality, tujuan penggunaan enkripsi adalah:

A. Mempercepat pengiriman data.

B. Mengubah data menjadi tidak dapat dibaca oleh pihak tidak berwenang.

C. Mengurangi jumlah data yang disimpan.

D. Memberikan akses data ke semua staf.

K10. Sebuah organisasi menyimpan data pelanggan tanpa autentikasi yang kuat sehingga dapat diakses melalui URL. Berdasarkan prinsip Integrity & Confidentiality, risiko utamanya adalah:

A. Efisiensi operasional meningkat.

B. Penghematan biaya keamanan.

C. Data dapat dicuri atau disalahgunakan.

D. Penurunan kecepatan sistem.

K11. Sebuah aplikasi finansial menjelaskan tujuan pemrosesan data, cara penggunaan data, dan menyediakan kebijakan privasi. Berdasarkan prinsip Transparency, tujuan tindakan ini adalah:

A. Mengurangi tanggung jawab hukum.

B. Membatasi hak pengguna.

C. Memberikan pemahaman yang jelas kepada pengguna.

D. Mengalihkan tanggung jawab keamanan.

K12. Sebuah website menampilkan pop-up persetujuan dengan pilihan setuju dan menyediakan informasi detail pemrosesan data. Manakah yang merupakan contoh persetujuan sah (valid consent)?

A. Persetujuan dianggap otomatis saat mengunjungi website.

B. Pengguna dipaksa menyetujui.

C. Pengguna memilih secara bebas setelah membaca informasi.

D. Informasi pemrosesan disembunyikan.

K13. Sebuah perusahaan e-commerce menyimpan data pelanggan meskipun tujuan pemrosesan telah tercapai. Berdasarkan prinsip Storage Limitation, tindakan yang paling tepat adalah:

A. Menyimpan data tanpa batas waktu.

B. Menghapus atau menganonimkan data.

C. Menjual data ke pihak ketiga.

D. Menyimpan minimal satu bulan.

K14. Perusahaan rekrutmen mengumpulkan CV pelamar. Berdasarkan prinsip Storage Limitation, batas waktu penyimpanan yang wajar adalah:

A. Disimpan selamanya.

B. Disimpan selama proses rekrutmen berlangsung.

C. Disimpan minimal 10 tahun.

D. Disimpan tanpa batas karena sukarela.

K15. Berdasarkan prinsip Accountability, tanggung jawab organisasi dalam pemrosesan data pribadi adalah:

A. Hanya bertanggung jawab jika viral.

B. Memastikan kepatuhan UU PDP dan menerapkan kontrol keamanan.

C. Tanggung jawab ada pada individu.

D. Hanya berlaku untuk data sensitif.

K16. Organisasi mencatat aktivitas akses data, menyimpan kebijakan privasi, dan mendokumentasikan audit. Berdasarkan prinsip Evidence, tindakan ini menunjukkan bahwa organisasi:

A. Sekadar memenuhi administrasi.

B. Mengumpulkan dokumen tanpa tujuan.

C. Memiliki bukti kepatuhan yang dapat diaudit.

D. Hanya menghindari denda.

IV. Keputusan (SJT)

SJT1. Anda sedang mendaftar untuk mengikuti seminar online yang diadakan oleh sebuah instansi pemerintah. Pada formulir pendaftaran, terdapat kolom wajib diisi berupa Nama Lengkap, Email, Nomor KTP, Nama Ibu Kandung. Panitia tidak memberikan penjelasan atau alasan mengapa Nomor KTP dan Nama ibu kandung diperlukan, dan tidak tersedia tautan ke kebijakan privasi. Manakah tindakan organisasi yang mencerminkan pemrosesan data pribadi yang sah sesuai prinsip Lawfulness & Fairness dalam UU PDP?

A. Mengumpulkan semua data, termasuk nama ibu kandung, karena semakin banyak data akan memudahkan verifikasi peserta.

B. Menghapus kolom nama ibu kandung dan memberikan penjelasan dasar hukum pengambilan Nomor KTP melalui halaman kebijakan privasi.

C. Tetap mengumpulkan data tersebut, tetapi menyatakan bahwa pengisian bersifat wajib tanpa penjelasan.

D. Menambahkan kolom tambahan seperti alamat rumah untuk berjaga-jaga jika diperlukan oleh panitia nanti.

SJT2. Sebuah aplikasi marketplace memberikan pop up berikut sebelum pengguna checkout: “Untuk meningkatkan pengalaman belanja, izinkan kami mengakses daftar kontak Anda.” Tidak ada penjelasan mengenai tujuan spesifik pengumpulan data, risiko penggunaan data, dan apakah data akan dibagikan kepada pihak ketiga. Berdasarkan prinsip Fairness & Transparency, praktik mana yang paling tepat dilakukan perusahaan?

A. Tetap melanjutkan pengumpulan data kontak tanpa penjelasan, karena pengguna dapat membaca syarat & ketentuan pada halaman lain.

B. Memberikan penjelasan rinci tujuan penggunaan data kontak, pilihan untuk keluar, dan dampaknya jika menolak memberikan akses.

C. Menonaktifkan aplikasi jika pengguna tidak memberikan akses data kontak.

D. Mengalihkan pengguna langsung ke halaman persetujuan tanpa memberikan informasi tambahan.

SJT3. Saat memasuki sebuah co-working space, Anda diminta mengisi buku tamu digital untuk keperluan kunjungan. Beberapa waktu kemudian, Anda menerima pesan promosi paket membership dari co-working space tersebut, meskipun Anda tidak pernah memberikan persetujuan untuk menerima pesan pemasaran dan tidak diinformasikan sebelumnya bahwa data akan digunakan untuk tujuan promosi. Manakah tindakan yang paling sesuai dengan prinsip Purpose Limitation?

A. Mengirimkan promosi paket membership karena data sudah terkumpul dan co-working space ingin meningkatkan penjualan.

B. Menghubungi pengunjung untuk meminta izin tambahan terlebih dahulu sebelum mengirimkan pesan promosi.

C. Menggunakan semua data pengunjung secara bebas selama masih disimpan oleh co-working space.

D. Menambahkan klausul penggunaan data untuk promosi setelah data dikumpulkan.

SJT4. Sebuah platform e-learning mengumpulkan data siswa untuk mengelola akun dan menyediakan layanan pembelajaran. Dalam kebijakan privasi disebutkan bahwa data digunakan untuk tujuan tersebut. Dalam praktiknya, platform melakukan dua tindakan berikut: (1) Menggunakan progress belajar siswa untuk memberikan rekomendasi modul yang relevan dalam platform. (2) Menjual data hasil kuis ke perusahaan perekrut untuk penawaran pekerjaan tanpa persetujuan siswa. Berdasarkan prinsip Purpose Limitation, pilih jawaban yang mengklasifikasikan penggunaan data yang tepat:

A. (1) Melanggar tujuan, (2) Sah.

B. (1) Sah, (2) Melanggar tujuan.

C. Keduanya melanggar batas tujuan awal.

D. Keduanya sah karena masih terkait pembelajaran.

SJT5. Anda akan menggunakan aplikasi e-wallet untuk melakukan pembayaran di sebuah toko ritel. Untuk proses aktivasi akun, aplikasi meminta sejumlah data pribadi, termasuk data identitas dasar dan beberapa informasi pribadi tambahan yang tidak dijelaskan relevansinya untuk layanan pembayaran. Berdasarkan prinsip Data Minimization, data mana yang relevan dan wajar untuk aktivasi e-wallet?

A. Nama lengkap, nomor telepon, dan nomor KTP.

B. Riwayat pekerjaan dan status pernikahan karena dapat digunakan untuk menentukan profil pengguna.

C. Semua data pada formulir karena semakin lengkap semakin aman.

D. Hanya nama lengkap saja.

SJT6. Sebuah platform layanan pengantaran makanan mengumpulkan data pengguna dengan tujuan utama “Memproses pesanan dan mengatur pengiriman.” Setelah Anda mendaftar, platform melakukan dua praktik: (1) Meminta akses lokasi untuk menentukan restoran terdekat dan area pengiriman. (2) Meminta akses penuh ke galeri foto untuk tujuan “pengalaman pengguna yang lebih baik” tanpa penjelasan lebih lanjut. Manakah klasifikasi yang paling tepat berdasarkan prinsip Data Minimization?

A. (1) Berlebihan, (2) Proporsional.

B. (1) Proporsional, (2) Berlebihan.

C. Keduanya proporsional.

D. Keduanya berlebihan.

SJT7. Anda mengajukan layanan internet broadband ke penyedia layanan. Saat melakukan aktivasi, petugas salah memasukkan alamat Anda ke sistem sehingga berbeda dari alamat di formulir pendaftaran. Akibat kesalahan tersebut, teknisi datang ke alamat yang salah. Setelah Anda menghubungi layanan pelanggan, mereka menjawab “Kami tidak bisa mengubah data karena sudah terdaftar di sistem. Silakan buat pengaduan baru.” Tindakan mana yang sesuai dengan prinsip Accuracy & Accountability dalam UU PDP?

A. Menolak perubahan data karena prosesnya merepotkan dan membutuhkan waktu.

B. Mengizinkan pengguna mengubah data sendiri tanpa verifikasi demi percepatan layanan.

C. Memperbarui data alamat sesuai informasi terbaru dan mencatat riwayat perubahan sebagai bentuk audit trail.

D. Menghapus seluruh data pendaftaran dan meminta pengguna mulai proses dari awal.

SJT8. Sebuah klinik swasta menyimpan data pasien, termasuk alamat dan nomor telepon. Pasien sudah memperbarui datanya setahun lalu, tetapi klinik tidak memperbarui sistem dan tetap mengirimkan hasil pemeriksaan kesehatan ke alamat lama. Hasil tersebut diterima oleh pihak lain. Apa risiko hukum yang dapat timbul bagi klinik tersebut terkait prinsip Accuracy & Accountability?

A. Tidak ada risiko, karena kesalahan terjadi bukan karena niat jahat.

B. Klinik dapat dikenakan sanksi karena kelalaian menjaga data yang akurat sehingga terjadi potensi kebocoran data pribadi.

C. Pasien bertanggung jawab penuh karena tidak memastikan klinik memperbarui data.

D. Klinik cukup meminta maaf tanpa perlu tindakan lebih lanjut.

SJT9. Sebuah aplikasi kesehatan digital menyimpan hasil lab pengguna pada server internal. Untuk mempercepat proses akses, developer ingin menghilangkan autentikasi login dan membuat hasil lab terbuka melalui tautan (URL) yang dapat diakses siapa saja yang memiliki link tersebut. Tindakan mana yang paling sesuai dengan prinsip Integrity & Confidentiality?

A. Membiarkan tautan terbuka agar hasil lab dapat diakses dengan cepat kapan saja.

B. Mengaktifkan autentikasi dan otorisasi sehingga hanya pengguna yang berhak yang dapat mengakses hasil lab.

C. Mengizinkan akses tautan terbuka selama nama pengguna disamarkan.

D. Menghapus mekanisme keamanan karena menghambat pengalaman pengguna.

SJT10. Sebuah organisasi membagikan file Excel berisi data pelanggan (nama, alamat, nomor telepon, dan riwayat pembelian) kepada vendor pihak ketiga melalui email tanpa enkripsi. Vendor kemudian meneruskan file tersebut ke beberapa staf internal lain tanpa persetujuan organisasi. Beberapa minggu kemudian, pelanggan menerima spam dan penawaran yang tidak diminta dari berbagai sumber. Apa risiko utama dari kelalaian organisasi tersebut?

A. Reputasi meningkat karena vendor proaktif menyebarkan informasi ke lebih banyak staf.

B. Terjadi risiko kebocoran data pribadi akibat kurangnya kontrol keamanan seperti enkripsi dan pembatasan akses.

C. Tidak ada risiko karena hanya data internal yang dibagikan antar organisasi.

D. Risiko hanya pada vendor, bukan pada organisasi.

SJT11. Sebuah aplikasi fitness tracking meminta akses ke data lokasi, kesehatan, dan aktivitas fisik pengguna. Pada layar persetujuan hanya tercantum pernyataan bahwa pengguna menyetujui seluruh pemrosesan data, tanpa penjelasan mengenai tujuan, durasi penyimpanan, atau kemungkinan berbagi data ke pihak lain. Tindakan mana yang paling sesuai dengan prinsip Transparansi?

A. Menampilkan informasi lengkap mengenai tujuan, ruang lingkup, dan potensi berbagi data sebelum pengguna memberikan persetujuan.

B. Menyediakan informasi setelah pengguna menekan tombol “Setuju” agar proses pendaftaran lebih cepat.

C. Tidak perlu menjelaskan secara detail, karena pengguna dapat membaca kebijakan privasi jika ingin tahu.

D. Menyederhanakan dengan hanya mencantumkan kalimat “data Anda aman.”

SJT12. Pada sebuah situs belanja online, muncul pop up “Kami akan membagikan data Anda ke mitra iklan untuk tujuan pemasaran. Klik ‘Lanjutkan’ untuk menyetujui.” Tidak ada tombol “Tolak”, dan tombol “X” di pojok atas justru tetap mengaktifkan persetujuan. Manakah bentuk consent yang sah sesuai UU PDP?

A. Memberikan pilihan jelas antara “Setuju” atau “Tolak” serta penjelasan tujuan penggunaan data.

B. Otomatis memberikan persetujuan ketika pengguna menutup pop up.

C. Memberikan persetujuan secara default selama pengguna tidak mengubah pengaturan.

D. Menganggap pengguna setuju jika mereka melanjutkan menggunakan aplikasi.

SJT13. Sebuah perusahaan e-commerce menyimpan data transaksi pengguna, termasuk data akun yang sudah tidak aktif, tanpa batas waktu dengan alasan “untuk berjaga-jaga”. Setelah terjadi insiden kebocoran data, data dari akun lama turut terdampak. Apa alasan paling sesuai mengapa perusahaan seharusnya membatasi durasi penyimpanan data pribadi?

A. Untuk mengurangi penggunaan ruang penyimpanan server yang mahal.

B. Agar perusahaan dapat menghilangkan data pelanggan yang tidak menguntungkan.

C. Untuk mematuhi prinsip retensi minimum dan mengurangi risiko kebocoran data yang tidak lagi diperlukan.

D. Agar perusahaan tidak dianggap ketinggalan data pelanggan lama.

SJT14. Sebuah lembaga pelatihan meminta data pribadi peserta (nama, email, nomor identitas) untuk keperluan administrasi dan penerbitan sertifikat pelatihan. Setelah pelatihan selesai, data tetap disimpan di sistem tanpa batas waktu. Menurut ketentuan internal organisasi, sertifikat hanya dapat diterbitkan ulang maksimal 6 bulan setelah pelatihan selesai. Berdasarkan prinsip Storage Limitation, batas waktu penyimpanan data yang paling wajar adalah:

A. Disimpan selamanya untuk keperluan arsip organisasi.

B. Dihapus segera setelah peserta menyelesaikan pelatihan.

C. Disimpan hanya selama masih dibutuhkan untuk layanan (misalnya 6 bulan), lalu dihapus atau dianonimkan.

D. Disimpan minimal 5 tahun untuk berjaga-jaga.

SJT15. Sebuah perusahaan e-commerce menerima keluhan dari pelanggan yang merasa data pribadinya (alamat dan nomor telepon) bocor ke pihak lain. Pelanggan meminta klarifikasi terkait bagaimana data diproses dan siapa saja yang memiliki akses ke datanya. Namun, perusahaan hanya menjawab “Kami selalu menjaga data Anda dengan aman. Tidak perlu khawatir.” Tidak ada penjelasan lebih lanjut, dan perusahaan tidak memiliki dokumentasi proses pemrosesan data. Tindakan mana yang mencerminkan prinsip Accountability & Evidence dalam UU PDP?

A. Menyatakan secara umum bahwa perusahaan melindungi data tanpa menunjukkan bukti.

B. Menyediakan dokumen proses pemrosesan data, catatan akses, dan bukti audit trail untuk menunjukkan kepatuhan.

C. Mengabaikan permintaan pelanggan karena dianggap tidak wajib menanggapi secara tertulis.

D. Mengarahkan pelanggan untuk mencari informasi sendiri di internet.

SJT16. Sebuah institusi pendidikan mengembangkan portal pendaftaran online. Dalam audit internal pelindungan data pribadi, auditor meminta bukti bahwa pengelolaan akses, perubahan data, dan kebijakan privasi telah diterapkan dan dapat diverifikasi. Tim IT menunjukkan beberapa dokumen dan catatan sistem. Manakah bukti (evidence) yang valid dan mencerminkan kepatuhan terhadap prinsip Accountability & Evidence?

A. Audit trail akses sistem karena menunjukkan proses pemantauan dan kontrol akses.

B. Draft kebijakan privasi yang belum dipublikasikan sudah cukup sebagai bukti kepatuhan.

C. Dokumen prosedur internal tanpa catatan pelaksanaan dianggap sebagai bukti kepatuhan penuh.

D. Tidak perlu bukti tertulis karena institusi beroperasi atas dasar kepercayaan publik.

V. Keterampilan (Skills)

P1. Anda bekerja sebagai staf administrasi di sebuah instansi pemerintah. Seorang vendor meminta Anda mengirimkan file Excel yang berisi data nomor KTP dan nomor HP peserta pelatihan melalui email agar mereka bisa membuat sertifikat. Sebelum mengunggah dan membagikan data pribadi tersebut, Anda harus memastikan bahwa tindakan ini memiliki dasar hukum pemrosesan yang sah sesuai UU PDP No. 27/2022. Urutkan langkah yang paling tepat dilakukan sebelum membagikan data pribadi tersebut ke vendor melalui MoU/PKS) Pilih urutan paling benar: a. Mengirimkan file Excel kepada vendor sesuai prosedur yang berlaku b. Memastikan adanya dasar hukum dan batasan tujuan penggunaan data (misalnya c. Meminta persetujuan eksplisit peserta pelatihan jika dasar hukum belum terpenuhi

A. B - C - A

B. A - B - C

C. C - B - A

D. B - A - C

P2. Anda membuat Formulir Google Form untuk mengumpulkan data calon peserta workshop literasi digital. Field yang diminta antara lain Nama lengkap, Email, Nomor KTP, Nomor HP. Organisasi Anda memiliki kebijakan privasi internal yang mengatur bahwa setiap pengumpulan data harus dilakukan secara transparan, termasuk pemberitahuan tujuan, pihak yang mengakses data, dan lama penyimpanan data. Urutkan langkah yang tepat sebelum form dibagikan kepada calon peserta. Pilih urutan paling benar: a. Memastikan kebijakan privasi internal dan prinsip minimisasi data diterapkan dalam desain form b. Menyampaikan informasi transparansi secara jelas pada awal form (tujuan, pihak yang mengakses, durasi penyimpanan) c. Mengatur pembatasan akses hasil form agar hanya dapat diakses oleh pihak berwenang (PIC)

A. B - C - A

B. A - B - C

C. C - B - A

D. B - A - C

P3. Anda adalah staf pengelola data peserta program pelatihan. Pada saat awal pengumpulan, peserta telah diinformasikan bahwa data email dan nomor telepon hanya akan digunakan untuk keperluan sertifikat dan konfirmasi kehadiran. Hari ini, tim marketing meminta Anda untuk menggunakan data peserta tersebut untuk mengirimkan promosi program berbayar. Urutkan langkah yang paling tepat untuk memastikan pembatasan penggunaan data hanya sesuai tujuan awal awal Pilih urutan paling benar: a. Meninjau kembali tujuan pengumpulan data yang tercantum dalam privacy notice awal b. Menolak permintaan penggunaan data karena tidak sesuai dengan tujuan awal c. Mencatat penolakan tersebut sebagai bagian dari dokumentasi pengelolaan data

A. B - C - A

B. A - B - C

C. C - B - A

D. B - A - C

P4. Seorang rekan dari divisi lain meminta akses pada file spreadsheet yang berisi nama, email, dan nomor KTP peserta, dengan alasan ingin menggunakannya untuk "Analisis segmentasi demografi dan penyusunan proposal sponsor." Anda mengetahui bahwa penggunaan data ini tidak pernah disebutkan sebagai tujuan saat data dikumpulkan dari peserta. Urutkan langkah yang paling tepat dalam merespons permintaan penggunaan data di luar tujuan awal organisasi Pilih urutan paling benar: a. Mengarahkan rekan kerja untuk mengajukan permintaan melalui prosedur resmi organisasi b. Menolak permintaan akses karena tidak sesuai dengan tujuan pengumpulan data c. Meninjau kebijakan privasi internal untuk memastikan prosedur penggunaan data

A. B - C - A

B. A - B - C

C. C - B - A

D. B - A - C

P5. Anda diminta membuat form pendaftaran pelatihan online dengan tujuan pengumpulan data untuk mengirimkan link pelatihan dan e certificate. Atasan mengusulkan agar form juga meminta Nomor KTP, Nama orang tua, Status pernikahan, Riwayat pendidikan lengkap, Nomor telepon, Email. Sebagai pengelola data, Anda harus memilih data yang paling relevan untuk tujuan layanan tersebut. Urutkan langkah yang paling tepat dilakukan untuk memastikan data yang dikumpulkan relevan dan proporsional. Pilih urutan paling benar: a. Mengidentifikasi data yang relevan dengan fungsi layanan (email dan nama untuk sertifikat) b. Menghapus atau tidak memasukkan field data yang tidak relevan (status pernikahan, nama orang tua, riwayat pendidikan lengkap) c. Mengkonfirmasi kembali kebutuhan data dengan PIC layanan untuk memastikan tidak ada data tambahan yang diperlukan

A. B - A - C

B. C - A - B

C. C - B - C

D. A - C - B

P6. Anda sedang menerima permintaan pembuatan Google Form feedback untuk peserta yang telah mengikuti layanan publik. Form tersebut diusulkan berisi pertanyaan Nama lengkap, Nomor telepon, Nomor KTP, Foto KTP, Penilaian pengalaman layanan. Tujuan form untuk mengetahui kepuasan pengguna untuk perbaikan layanan, bukan autentikasi identitas. Urutkan langkah tindakan paling tepat untuk memastikan praktik data minimization. Pilih urutan paling benar: a. Menghapus permintaan pengunggahan foto KTP karena termasuk data sensitif dan tidak relevan untuk evaluasi layanan b. Menetapkan hanya data minimum yang diperlukan (misalnya pertanyaan nama lengkap dan penilaian pengalaman layanan saja) c. Mengonfirmasi ke pemilik layanan bahwa identitas tidak diperlukan untuk feedback dan menawarkan alternatif form anonim

A. A - B - C

B. C - B - A

C. B - C - A

D. B - A - C

P7. Anda bertugas mengirimkan file Excel berisi data peserta magang ke bagian HR. Dalam tabel tersebut, Anda menemukan - Ada kolom "Email" yang sebagian kosong - Ada email yang tidak sesuai format (contoh: johndoe(at)email) - Ada dua baris duplikasi data untuk peserta yang sama Sebelum mengirim data ke HR, Anda harus memastikan file tersebut akurat, lengkap, dan mutakhir. Urutkan langkah yang paling tepat dilakukan sebelum mengirim file tersebut ke HR. Pilih urutan paling benar: a. Mengecek kelengkapan seluruh kolom penting (email tidak kosong, format sesuai) b. Menghubungi peserta untuk meminta data yang belum lengkap / salah (memperbarui data) c. Menghapus atau menggabungkan entri duplikasi setelah verifikasi

A. A - C - B

B. B - A - C

C. C - A - B

D. A - B - C

P8. Seorang peserta mengirimkan email kepada Anda “Saya ingin memperbarui email dan nomor telepon saya karena yang sebelumnya sudah tidak aktif.” Organisasi Anda memiliki prosedur resmi pembaruan data, yaitu melalui portal internal “https://update-data.org/portal” Urutkan langkah yang tepat dalam menangani permintaan pembaruan data pribadi tersebut. Pilih urutan paling benar: a. Membalas permintaan peserta dengan memberikan tautan dan prosedur resmi pembaruan data b. Mencatat permintaan pembaruan data ke sistem ticketing / log permintaan perubahan data c. Memastikan perubahan sudah dilakukan dan memperbarui database atau sistem penyimpanan utama

A. B - C - A

B. A - B - C

C. C - A - B

D. A - C - B

P9. Anda diminta mengunggah file Excel yang berisi data pribadi pegawai (nama, email, dan nomor induk pegawai) ke dalam aplikasi penyimpanan cloud organisasi. Data tersebut sangat sensitif, dan hanya pihak tertentu yang boleh mengaksesnya. Urutkan langkah yang tepat untuk mengunggah file data pribadi dengan aman. Pilih urutan paling benar: a. Mengaktifkan autentikasi dua faktor (2FA) sebelum login ke aplikasi penyimpanan cloud b. Mengatur password file Excel menggunakan kombinasi karakter kuat (huruf besar, kecil, angka, simbol) c. Mengunggah file yang telah diamankan ke cloud dan mengatur akses hanya untuk pihak yang berwenang

A. C - A - B

B. B - A - C

C. A - B - C

D. A - C - B

P10. Anda bekerja di ruang kerja bersama (coworking space). Setelah selesai memperbarui data pribadi dalam sistem aplikasi internal, Anda harus meninggalkan meja selama beberapa menit. Di layar Anda terbuka dashboard aplikasi yang menampilkan data pribadi pelanggan dan File spreadsheet yang belum ditutup. Urutkan langkah yang tepat untuk mencegah akses tidak sah saat meninggalkan perangkat login Pilih urutan paling benar: a. Menutup spreadsheet dan logout dari aplikasi yang sedang digunakan b. Mengunci layar perangkat (Lock Screen) sebelum meninggalkan meja c. Memastikan tidak ada pihak lain yang dapat melihat layar atau mengambil alih sesi login

A. C - B - A

B. B - A - C

C. A - B - C

D. A - C - B

P11. Anda hendak membuat Google Form untuk mengumpulkan data peserta webinar. Data yang akan diminta Nama, Email dan Nomor HP. Sebelum peserta mengisi form, organisasi wajib menjelaskan tujuan pengumpulan data dan meminta persetujuan yang eksplisit Urutkan langkah yang tepat ketika memulai pengumpulan data pribadi untuk memastikan transparansi dan consent. Pilih urutan paling benar: a. Menuliskan privacy notice pada bagian awal form yang menjelaskan tujuan pengumpulan, pihak yang mengolah data, serta durasi penyimpanan b. Menyediakan pilihan explicit consent berupa checkbox "Saya setuju / saya tidak setuju" c. Hanya setelah peserta memberi consent, form dapat dilanjutkan ke bagian input data pribadi

A. B - A - C

B. A - B - C

C. A - C - B

D. C - A - B

P12. Seorang pengguna yang sudah memberikan consent sebelumnya mengirim pesan kepada Anda "Saya ingin mencabut persetujuan penggunaan email saya untuk pengiriman informasi lanjutan. Mohon data saya dihapus dari daftar distribusi." Organisasi memiliki prosedur resmi pencabutan consent melalui portal internal “https://privacy/org/consent-center”, Urutkan langkah yang tepat untuk menangani pencabutan consent agar sesuai prosedur dan terdokumentasi. Pilih urutan paling benar: a. Mengarahkan pengguna untuk melakukan pencabutan consent melalui portal resmi b. Mencatat permintaan tersebut dalam log/record sistem untuk kebutuhan audit (accountability) c. Menghapus atau memperbarui status consent pada sistem distribusi data setelah verifikasi selesai

A. C - A - B

B. B - C - A

C. A - B - C

D. A - C - B

P13. Anda bertanggung jawab atas folder penyimpanan data pengguna pada sistem cloud internal organisasi. Berdasarkan kebijakan organisasi, data akun yang tidak aktif selama 12 bulan harus dihapus. Sistem memiliki fitur Penjadwalan otomatis (auto deletion scheduler) dan Log aktivitas (retention and deletion log) Urutkan langkah yang tepat dalam menyiapkan retensi dan penghapusan otomatis data pribadi. Pilih urutan paling benar a. Menentukan periode retensi (misalnya 12 bulan sesuai kebijakan dan ketentuan hukum) b. Mengaktifkan fitur auto deletion scheduler pada sistem untuk menghapus data setelah periode retensi tercapai c. Menyimpan konfigurasi retensi dan memastikan sistem mencatat jadwal di retention log

A. C - A - B

B. B - A - C

C. A - C - B

D. A - B - C

P14. Sistem mengirimkan notifikasi bahwa data personal beberapa pengguna telah melewati periode retensi dan siap untuk dimusnahkan. Langkah Anda harus memastikan Data benar-benar terhapus, Tidak dapat dipulihkan kembali, Ada bukti dokumentasi (log atau berita acara). Urutkan langkah untuk memusnahkan data dan mendokumentasikan hasilnya. Pilih Urutan Paling Benar a. Melakukan proses penghapusan permanen (secure delete / purge / shredding) pada penyimpanan data b. Mengunduh dan menyimpan bukti dokumentasi pemusnahan (log / berita acara penghapusan data) c. Memverifikasi terlebih dahulu bahwa data memang telah melewati periode retensi

A. A - B - C

B. C - A - B

C. B - C - A

D. C - B - A

P15. Anda adalah petugas pengelola data pada organisasi. Sistem internal telah mengalami pembaruan, dan Anda diminta untuk memastikan bahwa setiap aktivitas pada data pribadi (melihat, mengubah, mengekspor, menghapus data) tercatat dalam audit trail / log aktivitas. Sistem menyediakan fitur Aktivasi audit trail, Penentuan data apa saja yang dilacak, Penyimpanan log ke repositori terproteksi. Urutkan langkah yang benar untuk membangun audit trail sebagai bukti akuntabilitas. Pilih Urutan Paling benar a. Mengaktifkan fitur audit trail pada sistem dan menentukan aktivitas yang harus dicatat (view, edit, export, delete) b. Mengatur lokasi penyimpanan log pada repositori yang aman dan hanya dapat diakses oleh pihak berwenang c. Melakukan verifikasi bahwa log sudah mencatat aktivitas setiap kali pemrosesan data dilakukan

A. A - C - B

B. B - A - C

C. A - B - C

D. C - B - A

P16. Auditor pemerintah meminta bukti bahwa organisasi Anda memproses dan melindungi data pribadi secara akuntabel, dan meminta Laporan log aktivitas pemrosesan data untuk 1 bulan terakhir dan Dokumen bukti kepatuhan (SOP pemrosesan, catatan akses, daftar petugas). Anda harus menyajikan bukti tersebut secara benar dan terstruktur. Urutkan langkah yang tepat dalam menyiapkan dan menyajikan laporan audit kepada auditor/regulator. Pilih Urutan Paling Benar a. Mengumpulkan log aktivitas dan dokumen kepatuhan (SOP, daftar akses, catatan perubahan data) b. Memvalidasi bahwa dokumen yang dikumpulkan sesuai periode dan lengkap (tidak ada gap) c. Menyajikan laporan audit kepada auditor/regulator dalam format resmi yang telah ditentukan

A. A - C - B

B. B - C - A

C. C - A - B

D. A - B - C