Pajak Belanja Dana BOS: Cara Menghitung dan Menyetor
Panduan pajak belanja dana BOS untuk Bendahara: kapan memungut PPN, PPh 21, PPh 22, PPh 23, dan PPh 4 ayat 2, contoh hitungan, belanja SIPLah, dan pelaporan.
UU PDP sekolah data murid merujuk pada kewajiban sekolah menurut Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Intinya: sekolah adalah pengendali data atas data murid, orang tua, dan pegawai, sehingga wajib punya dasar yang sah untuk memproses data, membatasi akses, menjaga keamanan, dan bertanggung jawab bila terjadi kebocoran. Data anak termasuk kategori data pribadi yang bersifat spesifik, dan pemrosesannya membutuhkan persetujuan orang tua atau wali. Artikel ini menjelaskan isi aturan yang relevan dalam bahasa sehari-hari, lalu menerjemahkannya menjadi langkah praktis untuk sekolah.
Mengapa sekolah perlu peduli
Sekolah mengelola data dalam jumlah besar: nama, tanggal lahir, NIK, alamat, nama orang tua, pekerjaan, penghasilan keluarga, riwayat kesehatan, catatan BK, nilai, foto, bahkan data wajah bila memakai presensi pengenalan wajah. Banyak di antaranya tersimpan di tempat yang rentan: lembar kerja yang dikirim lewat grup percakapan, map di meja TU, atau flashdisk yang berpindah tangan.
UU PDP disahkan pada 2022 dengan masa penyesuaian dua tahun bagi pengendali data. Masa itu sudah lewat, sehingga ketentuan undang-undang kini berlaku penuh, termasuk untuk satuan pendidikan negeri maupun swasta.
Istilah kunci dalam bahasa sekolah
| Istilah UU PDP | Artinya bagi sekolah |
|---|---|
| Subjek data pribadi | Murid, orang tua, guru, tenaga kependidikan |
| Pengendali data pribadi | Sekolah atau Yayasan yang menentukan tujuan pengolahan data |
| Prosesor data pribadi | Pihak yang mengolah data atas nama sekolah, misalnya penyedia aplikasi |
| Data pribadi umum | Nama, jenis kelamin, kewarganegaraan, agama, dan data yang dikombinasikan untuk mengidentifikasi orang |
| Data pribadi spesifik | Antara lain data kesehatan, biometrik, data anak, dan data keuangan pribadi |
| Kegagalan pelindungan | Kebocoran, akses tanpa izin, atau hilangnya data |
Perhatikan baris data spesifik. Hampir semua data murid adalah data anak, dan sekolah juga sering menyimpan data kesehatan (UKS), biometrik (presensi wajah), dan keuangan keluarga (keringanan biaya). Artinya, sebagian besar data yang dikelola sekolah berada di kategori yang menuntut kehati-hatian lebih.
Ketentuan penting tentang data anak
Undang-undang mengatur bahwa pemrosesan data pribadi anak diselenggarakan secara khusus dan wajib mendapat persetujuan dari orang tua atau wali anak. Bagi sekolah, ini berarti:
- Saat pendaftaran, jelaskan data apa yang dikumpulkan, untuk apa, dan siapa yang dapat mengaksesnya.
- Minta persetujuan tertulis atau elektronik dari orang tua untuk pemrosesan yang tidak wajib menurut aturan, misalnya pemakaian foto murid di media sosial sekolah.
- Pisahkan data yang wajib dikumpulkan karena ketentuan administrasi pendidikan dari data tambahan yang sifatnya pilihan.
Kewajiban sekolah sebagai pengendali data
Punya dasar pemrosesan yang sah
Setiap pengumpulan data harus punya dasar: persetujuan, pelaksanaan kewajiban hukum, pelaksanaan tugas pelayanan publik, atau dasar sah lain sesuai undang-undang. Data untuk Dapodik atau EMIS, misalnya, dikumpulkan karena kewajiban administrasi. Foto murid untuk brosur promosi butuh persetujuan.
Mengumpulkan secukupnya
Kumpulkan hanya data yang diperlukan. Formulir pendaftaran yang menanyakan hal di luar kebutuhan, misalnya nomor rekening orang tua untuk keperluan yang tidak jelas, menambah risiko tanpa manfaat.
Transparan
Orang tua berhak tahu data apa yang disimpan dan untuk apa. Sediakan pemberitahuan privasi yang singkat dan mudah dipahami, misalnya satu halaman di berkas pendaftaran atau situs sekolah.
Menjaga keamanan dan kerahasiaan
Batasi akses berdasarkan kebutuhan tugas. Wali kelas tidak perlu melihat penghasilan orang tua seluruh sekolah; guru mapel tidak perlu melihat catatan konseling. Gunakan kata sandi yang kuat dan jangan berbagi akun.
Memberi tahu bila terjadi kegagalan pelindungan
Bila terjadi kebocoran, pengendali data wajib menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga yang berwenang dalam batas waktu yang diatur undang-undang, yaitu paling lambat 3 x 24 jam. Sekolah perlu tahu siapa yang mengambil keputusan dan bagaimana menghubungi orang tua dengan cepat.
Memastikan prosesor patuh
Bila sekolah memakai aplikasi pihak ketiga, sekolah tetap bertanggung jawab. Pastikan penyedia aplikasi hanya memproses data sesuai perintah sekolah, tidak menjual data, dan punya pengamanan yang memadai.
Hak orang tua dan murid yang perlu dilayani
UU PDP memberi subjek data sejumlah hak, antara lain hak mendapat informasi, mengakses dan memperoleh salinan data, memperbaiki data yang keliru, serta meminta penghapusan atau penghentian pemrosesan dalam kondisi tertentu. Untuk sekolah, hak yang paling sering muncul adalah permintaan memperbaiki data (salah ejaan nama, tanggal lahir) dan permintaan agar foto anak tidak diunggah ke media sosial.
Sediakan jalur permintaan yang jelas, misalnya formulir di TU, dan catat setiap permintaan beserta tindak lanjutnya.
Langkah patuh UU PDP sekolah data murid dalam 30 hari
| Minggu | Langkah | Penanggung jawab |
|---|---|---|
| 1 | Inventarisasi data: apa saja, disimpan di mana, siapa yang akses | TU dan operator |
| 1 | Tunjuk penanggung jawab pelindungan data sekolah | Kepala Sekolah |
| 2 | Rapikan akses: hapus akun tidak aktif, batasi folder bersama | Operator |
| 2 | Susun pemberitahuan privasi dan formulir persetujuan orang tua | Kepala Sekolah dan TU |
| 3 | Sosialisasi ke guru: larangan menyebar data murid di grup | Kepala Sekolah |
| 3 | Periksa perjanjian dengan penyedia aplikasi | Yayasan atau Kepala Sekolah |
| 4 | Susun prosedur bila terjadi kebocoran | Tim kecil |
| 4 | Musnahkan salinan data lama yang tidak diperlukan sesuai ketentuan arsip | TU |
Ini titik awal, bukan sertifikasi. Rujuk juga aturan pelaksana dan arahan lembaga penyelenggara pelindungan data pribadi yang berlaku saat ini, karena perkembangan regulasinya terus berjalan.
Praktik sehari-hari yang sering melanggar tanpa disadari
Mengirim daftar nilai satu kelas ke grup orang tua. Setiap orang tua melihat nilai anak lain. Kirim nilai secara individual.
Mengunggah foto murid lengkap dengan nama dan kelas. Untuk anak, kombinasi wajah dan identitas sebaiknya dihindari tanpa persetujuan.
Mengumumkan nama penunggak SPP. Selain mempermalukan, ini membuka data keuangan keluarga.
Menyimpan data di laptop pribadi tanpa kata sandi. Laptop hilang berarti data seluruh sekolah ikut hilang.
Memakai akun bersama untuk aplikasi sekolah. Bila terjadi masalah, tidak ada jejak siapa yang mengakses apa.
Memasukkan data murid ke alat AI publik. Data bisa tersimpan di luar kendali sekolah. Bahas lebih lanjut di artikel risiko data pribadi di aplikasi AI.
Pertanyaan untuk penyedia aplikasi sekolah
Sebelum memilih aplikasi, tanyakan:
- Apakah data sekolah dijual atau dipakai untuk iklan?
- Apakah akses bisa dibatasi per peran?
- Apakah sekolah dapat mengekspor dan meminta penghapusan data?
- Di mana data disimpan dan bagaimana pengamanannya?
- Bagaimana prosedur bila terjadi insiden?
Panduan teknis pengamanan lebih rinci ada di artikel keamanan data murid.
Pertanyaan yang sering diajukan
Apakah aturan UU PDP sekolah data murid berlaku untuk sekolah swasta kecil?
Ya. UU PDP berlaku untuk setiap orang, badan publik, dan organisasi yang memproses data pribadi, termasuk sekolah negeri maupun swasta, besar maupun kecil.
Apakah sekolah wajib meminta persetujuan untuk data Dapodik?
Data yang dikumpulkan untuk memenuhi kewajiban administrasi pendidikan punya dasar kewajiban hukum. Meski begitu, sekolah tetap wajib transparan kepada orang tua tentang data yang dikumpulkan dan tujuannya.
Bolehkah sekolah memasang foto murid di situs sekolah?
Sebaiknya dengan persetujuan orang tua, terutama bila foto disertai nama dan kelas. Untuk dokumentasi kegiatan, pilih foto kelompok tanpa keterangan identitas.
Siapa yang bertanggung jawab bila aplikasi pihak ketiga bocor?
Sekolah sebagai pengendali data tetap bertanggung jawab kepada orang tua, sementara penyedia aplikasi bertanggung jawab sebagai prosesor sesuai perjanjian dan undang-undang. Karena itu, perjanjian dengan penyedia penting.
Apa sanksi bila sekolah melanggar UU PDP?
Undang-undang mengatur sanksi administratif seperti peringatan, penghentian pemrosesan, penghapusan data, dan denda administratif, serta ketentuan pidana untuk perbuatan tertentu. Rujuk naskah resmi untuk rinciannya.
ASIS: Akses Sesuai Peran, Data Sekolah Tidak Dijual
Risiko terbesar terhadap data murid jarang datang dari peretas canggih. Biasanya dari kebiasaan kecil: lembar kerja berisi data seluruh murid dikirim ke grup, satu akun dipakai bersama, atau data disalin ke banyak laptop karena tidak ada satu tempat yang aman. Kewajiban UU PDP sekolah data murid sulit dipenuhi bila datanya tercecer.
ASIS menyimpan data sekolah di satu sistem dengan 45 peran pengguna. Setiap peran hanya melihat menu dan data yang ia perlukan: wali kelas melihat kelasnya, guru BK melihat catatan konseling, Bendahara melihat keuangan. Data dari Dapodik atau EMIS cukup diimpor dari file ekspor yang sudah dimiliki sekolah, dan ASIS tidak mengirim data balik ke sistem lain. Data sekolah tidak dijual dan tanpa iklan.
ASIS gratis untuk semua sekolah, dan Basmalah gratis untuk pesantren, madrasah diniyah, dan TPQ. Rapikan pengelolaan data sekolah di asis.id.
Sumber: UU Nomor 27 Tahun 2022 di Pasal.id; Wikisource, UU Nomor 27 Tahun 2022
