Perlindungan Data Pelanggan Restoran: Kewajiban UU PDP dan Cara Mematuhinya

Setiap kali seorang tamu memesan meja, restoran Anda menerima data pribadi: nama, nomor telepon, kadang alamat email, jumlah rombongan, bahkan catatan alergi atau permintaan khusus. Data itu tersebar di buku tulis, ponsel kasir, riwayat chat WhatsApp, dan ingatan staf. Sejak 17 Oktober 2024, semua itu berada di bawah payung UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), dan hukumnya berlaku penuh untuk restoran sekecil apa pun.

Kabar baiknya: untuk operasional reservasi sehari-hari, kepatuhan dasarnya tidak serumit yang dibayangkan. Menerima dan mengelola pemesanan meja tidak membutuhkan formulir persetujuan apa pun, karena dasar hukumnya adalah pelaksanaan kontrak. Yang membutuhkan kehati-hatian adalah apa yang Anda lakukan dengan data itu setelahnya: promosi lewat WhatsApp, daftar pelanggan yang bisa dibuka siapa saja, atau chat tamu yang menumpuk di ponsel pribadi karyawan.

Panduan ini menjelaskan apa saja yang dihitung sebagai data pribadi di meja reservasi Anda, kapan Anda perlu persetujuan dan kapan tidak, apa kewajiban praktisnya, bagaimana kondisi penegakan hukumnya per Oktober 2026, dan checklist sederhana yang bisa diterapkan minggu ini. Mengelola data dengan rapi paling mudah jika pencatatannya terpusat sejak awal, misalnya dengan aplikasi manajemen reservasi dengan paket gratis alih-alih catatan yang tercecer di banyak ponsel.

Data pribadi apa saja yang dikelola restoran?

UU PDP mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sendiri maupun dikombinasikan dengan informasi lain. Dalam operasional restoran, itu mencakup lebih banyak hal daripada yang sering disadari:

• Nama dan nomor telepon tamu di buku reservasi atau riwayat panggilan.
• Riwayat chat WhatsApp dan DM Instagram: setiap percakapan pemesanan berisi identitas, preferensi, kadang keluhan tamu.
• Alamat email yang dikumpulkan untuk konfirmasi atau promosi.
• Catatan alergi dan pantangan makanan. Hati-hati di sini: data kesehatan termasuk kategori data pribadi yang bersifat spesifik menurut Pasal 4 UU PDP, dengan perlindungan lebih ketat. Catatan "alergi udang, meja 5" tetap sah untuk melayani tamu, tetapi jangan biarkan daftar seperti itu beredar bebas.
• Tanggal ulang tahun atau anniversary yang dicatat untuk kejutan di meja.
• Data pembayaran pada bukti transfer DP atau riwayat payment link.
• Rekaman CCTV area restoran.

Intinya: restoran bukan sekadar bisnis makanan. Begitu reservasi masuk, Anda adalah pengendali data pribadi dengan kewajiban hukum yang menyertainya, sebagaimana dirangkum Prolegal dalam uraian kewajiban pelaku usaha di bawah UU PDP (komentar hukum).

Apakah UU PDP berlaku untuk restoran kecil dan UMKM?

Ya, tanpa pengecualian. UU PDP berlaku penuh sejak 17 Oktober 2024 setelah masa transisi dua tahun, dan tidak memuat pengecualian untuk UMKM atau usaha kecil. Satu-satunya pemrosesan yang dikecualikan adalah pemrosesan oleh orang perseorangan untuk kegiatan pribadi atau rumah tangga. Warung dengan lima meja dan restoran berjaringan tunduk pada undang-undang yang sama.

Yang berbeda adalah proporsi kewajibannya dalam praktik. Pengamat keamanan siber yang dikutip ANTARA pada September 2026 menilai penerapan UU PDP pada UMKM perlu disesuaikan dengan skala usaha, jenis data, dan tingkat risikonya, dan menyarankan UMKM membatasi pengumpulan data pelanggan hanya pada yang benar-benar diperlukan. Untuk restoran, itu berarti: kumpulkan nama dan nomor telepon untuk reservasi, dan jangan meminta data lain tanpa alasan yang jelas.

Kewajiban menunjuk pejabat pelindungan data (DPO) pun hampir pasti tidak menyentuh restoran tunggal. Setelah putusan MK No. 151/PUU-XXII/2024, kriteria wajib DPO di Pasal 53 dibaca sebagai alternatif, bukan kumulatif, sebagaimana diulas Hukumonline, tetapi kriterianya tetap menyasar pemrosesan skala besar atau data spesifik secara sistematis. Restoran dengan satu outlet sangat kecil kemungkinannya masuk kategori itu.

Kapan restoran perlu persetujuan tamu, dan kapan tidak?

Di sinilah banyak konten kepatuhan menyesatkan dengan menyamaratakan "semua butuh consent". UU PDP mengenal beberapa dasar pemrosesan di Pasal 20 ayat (2), dan persetujuan hanyalah salah satunya.

Menerima dan mengelola reservasi: tidak perlu persetujuan

Ketika tamu memesan meja, pemrosesan nama dan nomor teleponnya diperlukan untuk memenuhi perjanjian yang diminta tamu itu sendiri: menyiapkan meja, menghubungi jika ada perubahan, mengirim konfirmasi. Dasar hukumnya adalah pelaksanaan perjanjian, bukan persetujuan. Anda tidak perlu menyodorkan formulir atau mencentang kotak apa pun untuk sekadar mencatat dan mengelola pemesanan.

Konsekuensi praktisnya menyenangkan: pesan konfirmasi reservasi dan pengingat jadwal datang termasuk komunikasi transaksional yang melekat pada reservasi itu, sehingga boleh dikirim tanpa opt-in terpisah.

Promosi lewat WhatsApp, SMS, atau email: wajib persetujuan eksplisit

Begitu tujuannya berubah dari melayani reservasi menjadi memasarkan, dasarnya berubah menjadi persetujuan. Mengirim promo paket bukber ke semua nomor yang pernah reservasi, tanpa pernah bertanya, adalah pemrosesan di luar tujuan semula. Pasal 20-22 UU PDP mensyaratkan persetujuan yang eksplisit, terinformasi, dan dapat ditarik kembali kapan saja. Jauh sebelum UU PDP pun, Pasal 26 UU ITE sudah mensyaratkan persetujuan untuk penggunaan data pribadi dalam promosi via SMS, dengan risiko gugatan perdata.

Praktik yang benar sederhana: saat tamu reservasi, tawarkan secara terpisah "bersedia menerima info promo?" dan catat jawabannya. Yang menjawab tidak tetap dilayani seperti biasa, dan yang pernah setuju bisa berhenti kapan pun dengan satu balasan. Jangan membeli daftar nomor, dan jangan memindahkan kontak tamu ke blast promosi hanya karena nomornya "sudah ada di ponsel".

Kewajiban praktis lain yang perlu Anda tahu

Dua kewajiban UU PDP yang paling relevan untuk restoran di luar dasar pemrosesan:

• Pemberitahuan kebocoran data maksimal 3×24 jam. Jika data tamu bocor, misalnya ponsel kasir berisi ribuan chat reservasi hilang atau akun WhatsApp Business dibajak, Pasal 46 UU PDP mewajibkan pemberitahuan tertulis paling lambat 3×24 jam kepada tamu yang terdampak dan lembaga pengawas, berisi data apa yang terungkap, kapan dan bagaimana, serta upaya penanganannya.
• Tahu di mana data Anda berada. Pasal 31 mewajibkan pengendali melakukan perekaman kegiatan pemrosesan. Untuk restoran, versi membumunya: Anda harus bisa menjawab di mana daftar tamu tersimpan, siapa yang bisa membukanya, dan kapan data lama dihapus. Kalau jawabannya "di ponsel masing-masing staf", itu tanda bahaya.

Bagaimana penegakan UU PDP per Oktober 2026?

Kondisinya timpang, dan penting dipahami apa adanya.

Di jalur administratif, penegakan praktis belum berjalan. Peraturan pelaksananya, PP No. 33 Tahun 2026, baru diundangkan 16 Juli 2026 dan baru berlaku 16 Januari 2027 (ulasan firma hukum). Lembaga pengawas khusus (Badan PDP) belum juga dibentuk per September 2026, pengawasan sementara dipegang Komdigi, dan belum pernah ada denda administratif yang dijatuhkan.

Namun menyimpulkan "berarti aman" adalah kesalahan, karena jalur pidananya sudah berjalan lewat polisi dan pengadilan biasa. Pasal 67 UU PDP mengancam perolehan atau penggunaan data pribadi secara melawan hukum dengan pidana hingga 5 tahun penjara atau denda Rp5 miliar, dan pengungkapan data pribadi secara melawan hukum dengan hingga 4 tahun atau Rp4 miliar. Vonis sudah ada: firma K&K Advocates mencatat putusan PN Karanganyar (Maret 2023) dan PN Tangerang (April 2024) sebagai kasus-kasus awal penerapan sanksi pidana UU PDP.

Untuk restoran, skenario pidana yang paling realistis bukan soal server canggih, melainkan perilaku sehari-hari: karyawan menyebarkan nomor tamu, menyalahgunakan kontak pelanggan untuk kepentingan pribadi, atau membocorkan data pesanan tokoh publik ke media sosial. Itu semua bentuk pengungkapan atau penggunaan melawan hukum, dan pelaku maupun pemilik usaha yang lalai sama-sama terseret masalah.

Checklist perlindungan data untuk restoran Anda

Tujuh langkah yang proporsional untuk skala restoran, bisa mulai dikerjakan minggu ini:

1. Audit di mana data tamu berada. Buku tulis, spreadsheet, ponsel kasir, WhatsApp pribadi staf, draf DM Instagram. Tuliskan semuanya; Anda tidak bisa melindungi yang tidak Anda ketahui.
2. Batasi siapa yang bisa melihat daftar reservasi. Buku reservasi fisik terbuka di meja kasir bisa dibaca siapa pun yang lewat. Sistem digital dengan akun per staf jauh lebih terkendali; perbandingannya kami bahas di buku reservasi digital vs buku tulis.
3. Keluarkan data tamu dari ponsel pribadi. Jika reservasi masuk lewat WhatsApp, gunakan satu nomor bisnis milik restoran, bukan ponsel pribadi karyawan yang membawa seluruh riwayat chat tamu saat resign.
4. Kumpulkan seperlunya. Nama, nomor telepon, jumlah tamu, catatan khusus. Jangan meminta data lain tanpa tujuan yang bisa Anda jelaskan.
5. Pisahkan izin promosi dari reservasi. Opt-in tertulis atau tercatat untuk promo; tanpa opt-in, nomor tamu hanya dipakai untuk urusan reservasinya.
6. Tetapkan masa simpan. Data reservasi yang sudah lewat bertahun-tahun tanpa tujuan jelas sebaiknya dihapus berkala, misalnya setiap akhir tahun untuk tamu yang tidak pernah kembali dan tidak pernah opt-in promosi.
7. Pasang pemberitahuan privasi sederhana. Beberapa kalimat di halaman reservasi atau balasan otomatis: data apa yang dikumpulkan, untuk apa, berapa lama disimpan, dan ke mana tamu menghubungi untuk meminta penghapusan. Transparansi adalah prinsip inti UU PDP, dan bagi tamu ini justru terlihat profesional.

Data tamu Anda seharusnya milik Anda

Ada dimensi bisnis yang jarang dibahas dalam konten kepatuhan: kendali atas data tamu bukan hanya kewajiban, melainkan aset. Restoran yang menerima reservasi lewat marketplace pihak ketiga pada dasarnya membangun basis pelanggan di rumah orang lain: relasi tamu, riwayat kunjungan, dan kanal komunikasinya dikelola platform, dan Anda membayar komisi untuk tamu yang sebagian adalah pelanggan setia Anda sendiri.

Dengan sistem reservasi milik sendiri, data tamu masuk langsung ke tangan Anda sebagai pengendali data: Anda yang menentukan siapa mengaksesnya, berapa lama disimpan, dan bagaimana meminta izin promosinya, persis seperti yang dituntut UU PDP. Pengamat yang dikutip ANTARA menyebut kepatuhan UU PDP sebagai investasi membangun loyalitas pelanggan, dan itu masuk akal: tamu yang yakin datanya aman lebih mudah kembali.

ViteUneTable dibangun di atas logika itu. Paket gratisnya menerima reservasi online tanpa batas dengan komisi 0% selamanya, data tamu sepenuhnya milik restoran Anda, dan setiap reservasi otomatis tercatat rapi di satu tempat dengan konfirmasi serta pengingat email transaksional, bukan blast promosi. Untuk kebutuhan lebih lanjut ada paket Standard di €29 belum PPN per bulan, sekitar Rp580.000 dengan kurs awal Oktober 2026. Jujur saja: ViteUneTable tidak mengirim pesan WhatsApp atau SMS; pengingatnya berbasis email. Namun justru karena semua data terpusat di sistem, bukan tersebar di ponsel staf, checklist di atas jauh lebih mudah dipenuhi.

Pertanyaan yang sering diajukan

Apakah restoran kecil wajib patuh pada UU PDP?

Ya. UU PDP berlaku sejak 17 Oktober 2024 untuk semua pengendali data tanpa pengecualian skala usaha. Hanya pemrosesan untuk kepentingan pribadi atau rumah tangga yang dikecualikan, dan mengelola data tamu restoran jelas bukan keduanya.

Apakah mencatat nama dan nomor telepon tamu untuk reservasi butuh persetujuan?

Tidak. Dasar hukumnya adalah pelaksanaan perjanjian: data itu diperlukan untuk memenuhi pemesanan yang diminta tamu sendiri. Konfirmasi dan pengingat reservasi juga termasuk komunikasi transaksional. Persetujuan eksplisit baru wajib ketika data dipakai untuk promosi.

Bolehkah mengirim promo WhatsApp ke tamu yang pernah reservasi?

Hanya jika tamu itu pernah memberikan persetujuan eksplisit untuk menerima promosi, dan persetujuan itu bisa ditarik kapan saja. Memakai nomor reservasi untuk blast promo tanpa opt-in melanggar prinsip pembatasan tujuan UU PDP dan Pasal 26 UU ITE.

Apa yang harus dilakukan jika data tamu bocor?

Pasal 46 UU PDP mewajibkan pemberitahuan tertulis paling lambat 3×24 jam kepada tamu yang terdampak dan lembaga pengawas, menjelaskan data apa yang bocor serta langkah penanganannya. Siapkan prosedurnya sekarang, bukan saat insiden terjadi.

Apakah catatan alergi tamu boleh disimpan?

Boleh, karena diperlukan untuk melayani tamu dengan aman. Namun data kesehatan termasuk data pribadi spesifik dengan perlindungan lebih ketat, jadi batasi aksesnya pada staf yang membutuhkan dan jangan menyimpannya lebih lama dari perlunya.

Apakah benar belum ada denda UU PDP yang dijatuhkan?

Per Oktober 2026 belum ada denda administratif, karena Badan PDP belum dibentuk dan PP 33/2026 baru berlaku 16 Januari 2027. Namun jalur pidananya sudah menghasilkan vonis: penyalahgunaan atau pengungkapan data secara melawan hukum diancam hingga 5 tahun penjara atau denda Rp5 miliar.