Keamanan Data Murid di Aplikasi Sekolah: 10 Hal Dicek

Keamanan data murid adalah tanggung jawab sekolah, bukan hanya penyedia aplikasi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menggolongkan data anak sebagai data pribadi yang bersifat spesifik, dan pemrosesannya diselenggarakan secara khusus dengan persetujuan orang tua atau wali. Artinya, setiap kali sekolah memakai aplikasi untuk mencatat nama, foto, nilai, kesehatan, atau tagihan murid, sekolah perlu memastikan data itu dijaga dengan benar.

Berikut 10 hal yang wajib dicek Kepala Sekolah, disusun agar bisa langsung dipakai dalam rapat dengan TU, operator, dan penyedia aplikasi.

Mengapa data murid perlu perlakuan khusus

Pasal 4 UU PDP menyebut data pribadi spesifik meliputi, antara lain, data kesehatan, data biometrik, data anak, dan data keuangan pribadi. Di sekolah, keempatnya sering tercatat sekaligus: catatan UKS (kesehatan), presensi wajah (biometrik), seluruh data murid di bawah umur (anak), serta tagihan dan tabungan (keuangan).

UU PDP juga mewajibkan pengendali data menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam bila terjadi kegagalan pelindungan data pribadi. Sekolah perlu tahu siapa yang bertindak, dan bagaimana caranya, sebelum insiden terjadi.

10 hal yang wajib dicek

1. Siapa yang bisa melihat apa

Cek apakah aplikasi membagi akses berdasarkan peran. Guru mata pelajaran tidak perlu melihat tagihan murid. Bendahara tidak perlu melihat catatan konseling. Wali murid hanya melihat anaknya sendiri. Semakin sempit akses, semakin kecil risikonya.

2. Akun pribadi untuk setiap pengguna

Satu akun bersama untuk "operator" atau "guru" adalah sumber masalah. Bila terjadi kebocoran, tidak bisa dilacak siapa pelakunya. Pastikan setiap orang punya akun sendiri.

3. Kata sandi dan perangkat

Tetapkan aturan kata sandi minimal: panjang, tidak sama dengan tanggal lahir, dan tidak dibagikan. Ingatkan guru untuk mengunci layar HP dan keluar dari akun di komputer bersama.

4. Cabut akses saat orang berhenti

Guru honorer yang pindah, operator yang berganti, atau murid yang lulus harus segera dinonaktifkan. Jadikan ini bagian dari daftar kerja TU setiap ada mutasi.

5. Persetujuan orang tua

Siapkan pernyataan persetujuan yang menjelaskan data apa yang dicatat, untuk apa, dan siapa yang dapat mengaksesnya. Untuk data biometrik seperti presensi wajah, jelaskan secara khusus dan sediakan alternatif, misalnya presensi QR, bagi keluarga yang keberatan.

6. Hanya mencatat yang perlu

Jangan mengumpulkan data yang tidak dipakai. Bila sekolah tidak membutuhkan pekerjaan dan penghasilan orang tua untuk layanan apa pun, jangan dijadikan isian wajib. Data yang tidak dikumpulkan tidak bisa bocor.

7. Kebijakan data penyedia aplikasi

Tanyakan secara tertulis: di mana data disimpan, apakah data dijual atau dipakai untuk iklan, siapa di pihak penyedia yang bisa mengakses, dan apa yang terjadi pada data bila sekolah berhenti berlangganan.

8. Jejak aktivitas

Aplikasi yang baik mencatat siapa mengubah apa dan kapan. Jejak ini penting untuk menelusuri kesalahan input nilai maupun akses yang mencurigakan.

9. Ekspor dan cetak

Banyak kebocoran justru terjadi lewat berkas ekspor: lembar kerja berisi data seluruh murid yang dikirim ke grup percakapan atau tersimpan di laptop pribadi. Batasi siapa yang boleh mengekspor, dan hapus berkas yang sudah tidak dipakai.

10. Rencana bila terjadi insiden

Tentukan siapa yang dihubungi pertama, langkah awal (misalnya mengganti kata sandi dan menonaktifkan akun yang dicurigai), serta cara memberi tahu orang tua. Tuliskan dalam satu halaman dan simpan bersama dokumen penting sekolah.

Ringkasan daftar cek

Tinjau tabel ini setiap awal tahun ajaran, saat akun guru dan murid baru dibuat. Simpan hasil tinjauan sebagai bukti bahwa sekolah sungguh-sungguh menjaga keamanan data murid, misalnya untuk keperluan supervisi atau ketika orang tua bertanya.

Contoh pernyataan singkat untuk orang tua

Sekolah bisa menyampaikan kebijakan keamanan data murid dalam bahasa sederhana, misalnya di formulir pendaftaran:

"Sekolah mencatat data identitas, kehadiran, nilai, kesehatan dasar, dan tagihan anak Bapak/Ibu untuk keperluan layanan pendidikan. Data hanya dapat diakses oleh petugas sesuai tugasnya, tidak dijual, dan tidak dipakai untuk iklan. Bapak/Ibu dapat meminta perbaikan data kapan saja melalui TU."

Pernyataan ini tidak menggantikan dokumen persetujuan yang lebih lengkap, tetapi membantu orang tua memahami inti kebijakannya.

Kesalahan yang paling sering terjadi di sekolah

Mengunggah daftar nama dan NIK ke grup. Pengumuman kelulusan atau pembagian bantuan kadang disertai lembar data lengkap. Cukup tampilkan nama dan kelas, atau umumkan secara personal.

Foto murid di media sosial tanpa izin. Dokumentasi kegiatan itu baik, tetapi minta persetujuan dan hindari menampilkan informasi tambahan seperti nama lengkap dan kelas pada foto anak tertentu.

Kata sandi ditempel di monitor. Kebiasaan ini masih ditemukan di ruang TU. Ganti dengan pengelola kata sandi atau simpan di tempat yang tidak terlihat.

Laptop operator dibawa pulang tanpa pengaman. Aktifkan kunci layar dan jangan simpan berkas ekspor di desktop.

Membangun budaya, bukan hanya aturan

Keamanan data murid tidak selesai dengan memilih aplikasi yang aman. Yang menentukan adalah kebiasaan orang yang memakainya. Beberapa langkah membangun budaya:

• Bahas pelindungan data dalam rapat dinas awal semester, cukup 15 menit.
• Beri contoh nyata: apa yang boleh dan tidak boleh dibagikan di grup.
• Hargai guru yang melaporkan kejanggalan, jangan menyalahkan.
• Libatkan komite sekolah agar orang tua memahami upaya sekolah.

Pertanyaan yang sering diajukan

Apakah sekolah termasuk pengendali data pribadi?

Sekolah menentukan tujuan dan cara pemrosesan data murid, sehingga pada praktiknya berperan sebagai pengendali data. Penyedia aplikasi umumnya berperan sebagai prosesor. Rujuk ketentuan UU PDP dan aturan turunannya yang berlaku.

Apakah presensi wajah aman dipakai di sekolah?

Bisa dipakai dengan hati-hati. Data wajah adalah data biometrik yang tergolong spesifik, sehingga perlu persetujuan, akses terbatas, dan alternatif bagi yang keberatan.

Siapa yang bertanggung jawab atas keamanan data murid?

Kepala Sekolah sebagai pimpinan, dibantu operator dan TU. Penyedia aplikasi bertanggung jawab atas keamanan sistemnya, tetapi kebiasaan pengguna di sekolah tetap tanggung jawab sekolah.

Bolehkah data murid dipakai untuk promosi sekolah?

Hanya dengan persetujuan orang tua, dan sebatas data yang diperlukan, misalnya foto kegiatan tanpa informasi pribadi tambahan.

Apa yang harus dilakukan bila data murid bocor?

Segera amankan akun yang terkait, catat kronologinya, hubungi penyedia aplikasi, dan beri tahu pihak yang terdampak sesuai ketentuan UU PDP.

ASIS: Akses Sesuai Peran, Data Tidak Dijual

Akar masalah keamanan data di sekolah sering bukan peretasan canggih, melainkan data yang tercecer: lembar kerja berisi seluruh data murid beredar di banyak laptop, satu akun dipakai bersama, dan setiap orang bisa melihat semua hal. Ketika data dicatat di banyak tempat, menjaganya menjadi mustahil.

ASIS dibangun dengan prinsip "Data dicatat sekali, dipakai berkali-kali," sehingga data murid tersimpan di satu tempat, bukan di puluhan berkas. ASIS menyediakan 45 peran pengguna, dan tiap peran hanya melihat menu dan data yang ia perlukan. Guru tidak melihat keuangan, Bendahara tidak melihat catatan BK, dan wali murid hanya melihat anaknya. Satu orang bisa memegang beberapa peran dalam satu akun, sehingga tidak perlu akun bersama. Untuk presensi, sekolah bisa memilih pindai QR atau pengenalan wajah sesuai kesepakatan dengan orang tua. Data sekolah tidak dijual dan ASIS tanpa iklan.

ASIS gratis untuk semua sekolah, dan Basmalah gratis untuk pesantren, madrasah diniyah, dan TPQ. Pelajari lebih lanjut di asis.id.

Sumber: UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, JDIH BPK