Cadangan Data Sekolah: Backup Dapodik dan Arsip Digital

Satu komputer operator rusak, satu laptop hilang, satu flash disk terlipat di saku: ketiganya cukup untuk membuat data siswa yang dikumpulkan bertahun-tahun tidak bisa dibuka. Pengamanan data sekolah biasanya dibicarakan sebagai soal kebocoran, padahal kehilangan data sama seriusnya. Artikel ini membahas apa yang disarankan panduan resmi Dapodik tentang backup, apa yang dibebankan peraturan pelindungan data pribadi dan kearsipan, dan langkah teknis yang dapat dikerjakan operator dan kepala sekolah. Pembahasan hak subjek data, persetujuan orang tua, dan retensi ada di pelindungan data pribadi siswa; artikel ini berfokus pada keamanan teknis dan cadangan. Status aturan per Oktober 2026.

Apa yang disarankan panduan resmi Dapodik soal keamanan dan backup?

Panduan Aplikasi Dapodik versi 2027 (v.1.0, Juli 2026) menyarankan pencadangan data secara berkala, tetapi tidak menjelaskan prosedurnya. Pada bagian 2.7 Rekomendasi Penggunaan, panduan itu menyarankan satu komputer khusus sebagai perangkat utama pengelolaan Dapodik, menutup aplikasi lain, melakukan pencadangan (backup) data secara berkala, memastikan kapasitas penyimpanan perangkat mencukupi, memakai koneksi internet stabil, dan memperbarui aplikasi segera setelah versi baru dirilis. Langkah rinci cara membuat dan memulihkan backup, termasuk lokasi berkas, tidak ditemukan pada panduan yang kami baca.

Bagian 2.6 Pengaturan Keamanan memuat saran lain yang bersifat mendasar:

1. Memakai perangkat yang terlindungi antivirus aktif dan diperbarui.
2. Memastikan sistem operasi memperoleh pembaruan keamanan berkala.
3. Tidak menonaktifkan fitur keamanan sistem operasi selama aplikasi dipakai.
4. Menggunakan akun sesuai hak akses dan kewenangan.
5. Menjaga kerahasiaan username, kata sandi, dan kode registrasi satuan pendidikan.
6. Tidak membagikan akun kepada pihak yang tidak berwenang.

Bagian 3.8 menambahkan agar pengguna keluar dari aplikasi setelah selesai, terutama bila perangkat dipakai bersama. Pengaturan akun operator dan hak aksesnya dibahas di akun operator sekolah: Dapodik, ARKAS, dan SIPLah.

Apakah data di server pusat cukup sebagai cadangan?

Tidak bisa dijadikan satu-satunya cadangan, karena server hanya memiliki apa yang sudah disinkronkan. Bagian 3.6 panduan Dapodik 2027 menjelaskan fitur Tarik Data mengambil data terbaru satuan pendidikan dari server Dapodik ke dalam aplikasi, dan dipakai antara lain pada instalasi di perangkat baru, instalasi ulang, dan pemulihan data setelah penggantian perangkat. Catatannya menyebut proses ini hanya mengambil data dari server ke aplikasi dan tidak mengirimkan perubahan dari aplikasi ke server.

Dari alur itu, kesimpulan kami (bukan pernyataan eksplisit panduan): data yang sudah sinkron dapat dipulihkan lewat Tarik Data, sedangkan data yang baru diketik dan belum disinkronkan tidak ada di server. Jadi jeda antara sinkronisasi dan kerusakan perangkat adalah jendela kehilangan data. Kebiasaan menyinkronkan sesudah satu blok pekerjaan selesai, ditambah cadangan lokal berkala, memperkecil jendela itu. Panduan yang sama menyebut registrasi ulang dilakukan pada instalasi ulang atau perpindahan perangkat, sehingga kode registrasi satuan pendidikan perlu disimpan dengan aman namun dapat ditemukan penggantinya bila operator berganti.

Data di luar Dapodik, seperti berkas pindai ijazah, SK, dan dokumen guru, tidak tercakup oleh Tarik Data sama sekali; itu tanggung jawab sekolah.

Apa yang dituntut UU Pelindungan Data Pribadi?

UU 27/2022 menuntut pengendali data melindungi keamanan data yang diprosesnya dan menjaga kerahasiaan, dengan tingkat keamanan yang sesuai risiko. Pasal 35 mewajibkan pengendali melindungi dan memastikan keamanan data pribadi dengan menyusun dan menerapkan langkah teknis operasional serta menentukan tingkat keamanan dengan memperhatikan sifat dan risiko data. Pasal 36 mewajibkan menjaga kerahasiaan, Pasal 37 mewajibkan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan di bawah kendali pengendali, Pasal 38 mewajibkan perlindungan dari pemrosesan yang tidak sah, dan Pasal 39 ayat (1) sampai (3) mewajibkan pencegahan akses tidak sah dengan sistem keamanan yang andal, aman, dan bertanggung jawab. Pasal 47 menambahkan bahwa pengendali bertanggung jawab dan harus dapat menunjukkan pertanggungjawabannya.

Pasal-pasal itu tidak menyebut kata backup. Tetapi data siswa yang hilang tanpa cadangan adalah kegagalan yang dalam PP 33/2026 dirumuskan lebih jelas, seperti dibahas berikut.

Apa tambahan PP 33/2026 untuk keamanan dan pemulihan?

PP 33/2026 menjadi peraturan pelaksana UU PDP dan menyebut langkah teknis yang lebih konkret, termasuk kemampuan memulihkan akses data. PP ini ditetapkan dan diundangkan 16 Juli 2026 (Lembaran Negara 2026 Nomor 88) dan mulai berlaku setelah 6 bulan sejak diundangkan (Pasal 225), yakni sekitar 16 Januari 2027 menurut hitungan kami. Pasal 123 ayat (2) menyebut penyusunan dan penerapan langkah teknis operasional dilakukan dengan menerapkan:

• pseudonimisasi, enkripsi data pribadi, dan/atau langkah teknis lain yang mampu mencegah atau melindungi risiko kegagalan pelindungan data pribadi (huruf a);
• memastikan sistem dan layanan yang digunakan memiliki keamanan data pribadi dan ketahanan secara konsisten (huruf b);
• memastikan sistem dan layanan memiliki kemampuan untuk mengembalikan akses dan ketersediaan data pribadi secara tepat waktu bila terjadi insiden fisik atau teknis (huruf c); dan/atau
• memiliki proses pengujian, evaluasi, dan penilaian berkala atas efektivitas langkah teknis dan operasional (huruf d).

Rumusan huruf c itulah yang dekat dengan backup dan pemulihan. Pasal 123 ayat (3) mengaitkan penentuan tingkat keamanan dengan potensi dampak pada subjek data, termasuk pemusnahan, kehilangan, perubahan, atau pembukaan data tanpa hak. Pasal 124 ayat (2) meminta pengendali mempertimbangkan teknologi, biaya implementasi, sifat, ruang lingkup, dan risiko, memastikan data yang diproses terbatas pada yang diperlukan, dan mengevaluasi risiko secara berkala. Pasal 125 dan 126 menegaskan kerahasiaan serta pengawasan terhadap pihak yang terlibat, termasuk prosesor.

Kata “dan/atau” pada Pasal 123 ayat (2) menunjukkan huruf a sampai d tidak harus diterapkan sekaligus untuk setiap kondisi. Sekolah perlu memilih langkah yang sesuai dengan risiko data yang dikelolanya, lalu mendokumentasikan alasan pilihan itu. PP ini belum berlaku penuh pada Oktober 2026, dan lembaga pengawasnya belum kami temukan telah dibentuk.

Bagaimana bila terjadi kebocoran atau kehilangan data?

Pengendali wajib memberitahukan secara tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga. UU 27/2022 Pasal 46 ayat (1) sampai (3) mengatur kewajiban ini, minimal memuat data yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihan. PP 33/2026 Pasal 114 mengulang tenggat itu, menghitungnya sejak kegagalan diketahui secara pasti, patut, dan wajar (ayat 2), dan menambahkan informasi narahubung (ayat 4). Pasal 116 mewajibkan dokumentasi kejadian, sedangkan Pasal 117 mewajibkan kebijakan, prosedur, atau pedoman internal untuk pencegahan dan penanganan, termasuk pembagian peran, mekanisme analisis dan penanganan, dokumentasi, serta peninjauan berkala.

Bagi sekolah, kewajiban di atas berarti perlu ada prosedur tertulis sebelum kejadian. Lembaga pengawas belum kami temukan telah dibentuk per Oktober 2026, sehingga cara penyampaian pemberitahuan ke lembaga belum dapat kami rujuk; tanyakan kepada dinas pendidikan.

Bagaimana dengan arsip digital dan sistem elektronik sekolah?

Arsip digital tunduk pada prinsip kearsipan yang sama dengan arsip kertas. UU 43/2009 Pasal 40 ayat (5) menyatakan pejabat atau orang yang bertanggung jawab dalam pengelolaan arsip dinamis wajib menjaga keautentikan, keutuhan, keamanan, dan keselamatan arsip. Pasal 68 ayat (1) mengizinkan arsip dibuat dalam bentuk dan media elektronik serta melalui alih media. Untuk ijazah, Permendikbudristek 58/2024 Pasal 8 mengharuskan sekolah menyimpan hasil pindai ijazah dan transkrip bertanda tangan basah serta dokumen elektronik bertanda tangan elektronik, dan Pasal 13 menjadikan hasil pindai itu dasar penerbitan ulang ijazah hilang atau rusak. Artinya berkas pindai ijazah adalah salah satu cadangan paling penting yang dimiliki sekolah, dan kehilangannya berdampak langsung pada alumni. Alur penggantiannya diuraikan di surat keterangan pengganti ijazah, legalisir, dan verifikasi.

PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, yang berstatus Berlaku di JDIH BPK, mewajibkan penyelenggara sistem elektronik memiliki dan menjalankan prosedur dan sarana pengamanan untuk menghindari gangguan, kegagalan, dan kerugian (Pasal 24 ayat 1), serta menjaga kerahasiaan, keutuhan, keautentikan, keteraksesan, ketersediaan, dan dapat ditelusurinya informasi elektronik (Pasal 26 ayat 1). Apakah sebuah sekolah tertentu termasuk penyelenggara sistem elektronik untuk sistem yang dikelolanya sendiri tidak kami pastikan; gunakan ketentuan ini sebagai pembanding standar, bukan klaim kewajiban hukum bagi sekolah.

Bagaimana membuat rencana cadangan yang dapat dikerjakan sekolah?

Rencana cadangan berikut adalah saran praktik, bukan kutipan aturan, dan disesuaikan dengan sumber daya sekolah.

1. Daftar data: catat apa yang perlu dicadangkan (basis data Dapodik di perangkat, berkas pindai ijazah dan SK, buku induk digital, data keuangan, dokumen guru) beserta penanggung jawab dan lokasi aslinya.
2. Beberapa salinan: simpan sedikitnya satu salinan di media atau lokasi yang berbeda dari komputer utama. Cadangan yang berada di komputer yang sama tidak membantu bila komputer itu rusak atau hilang.
3. Jadwal: tetapkan jadwal tetap, misalnya setelah setiap sinkronisasi besar, setelah penetapan kelulusan, dan menjelang pergantian semester, lalu catat tanggal dan pelakunya.
4. Perlindungan salinan: lindungi cadangan yang memuat NIK dan alamat dengan kata sandi atau enkripsi (Pasal 123 ayat 2 huruf a PP 33/2026 menyebut enkripsi sebagai salah satu langkah), dan batasi siapa yang dapat membukanya.
5. Uji pemulihan: coba pulihkan satu berkas atau satu pemasangan pada perangkat lain sekali setahun. Cadangan yang belum pernah diuji belum dapat dianggap berfungsi; ini sejalan dengan huruf d Pasal 123 ayat (2) tentang pengujian berkala.
6. Akun dan serah terima: simpan kode registrasi dan akun pengelola di tempat yang diketahui kepala sekolah, dan lakukan serah terima tertulis saat operator berganti.
7. Perangkat: patuhi saran panduan Dapodik 2027, yaitu antivirus aktif, sistem operasi yang diperbarui, dan satu komputer khusus.
8. Pembuangan: bila perangkat atau media cadangan tidak dipakai lagi, hapus datanya secara aman sebelum dilepas.
9. Pemusnahan arsip: jangan menghapus cadangan arsip sebelum arsip aslinya boleh dimusnahkan menurut UU 43/2009 Pasal 51 dan 52.

Apa kesalahan umum soal cadangan dan keamanan data?

• Cadangan disimpan di komputer yang sama atau di folder yang sama dengan data aslinya.
• Cadangan memuat NIK, alamat, dan data keluarga siswa tetapi dikirim lewat grup pesan atau surel pribadi tanpa perlindungan.
• Operator berbagi satu akun dengan guru atau staf lain, padahal panduan menyarankan tidak membagikan akun.
• Tidak pernah menguji apakah cadangan bisa dibuka.
• Menganggap sinkronisasi sama dengan cadangan, padahal perubahan yang belum disinkronkan tidak ada di server.
• Kode registrasi atau kata sandi hanya diketahui satu orang.
• Tidak ada prosedur tertulis bila terjadi kebocoran, sehingga tenggat 3 x 24 jam terlewat.
• Menghapus cadangan arsip lama demi ruang penyimpanan tanpa memeriksa masa simpan.

Apa daftar periksa untuk kepala sekolah dan operator?

1. Apakah ada daftar data penting dan penanggung jawabnya?
2. Apakah ada paling sedikit satu salinan di luar perangkat utama?
3. Apakah salinan yang memuat data pribadi dilindungi kata sandi atau enkripsi?
4. Kapan terakhir kali cadangan diuji dipulihkan?
5. Apakah antivirus dan pembaruan sistem operasi aktif pada komputer Dapodik?
6. Apakah akun dan kode registrasi tercatat dan dapat diserahterimakan?
7. Apakah ada prosedur tertulis bila terjadi kebocoran, termasuk siapa yang menghubungi dinas pendidikan dan orang tua?
8. Apakah berkas pindai ijazah dan SK tersimpan di lebih dari satu tempat?

Ketentuan apa yang diperiksa per Oktober 2026?

Per Oktober 2026 yang kami periksa: Panduan Aplikasi Dapodik versi 2027 v.1.0 (Juli 2026) bagian 2.6, 2.7, dan 3.6; UU 27/2022 Pasal 35 sampai 39, 46, dan 47; PP 33/2026 Pasal 114, 116, 117, 123 sampai 126, dan 225 (berlaku setelah 6 bulan sejak diundangkan, yakni sekitar 16 Januari 2027 menurut hitungan kami); UU 43/2009 Pasal 40, 51, 52, dan 68; PP 71/2019 Pasal 24 dan 26 yang berstatus Berlaku; serta Permendikbudristek 58/2024 Pasal 8 dan 13.

Tidak ditemukan di sumber resmi yang kami baca: kewajiban backup Dapodik dalam peraturan, langkah rinci backup dan pemulihan pada panduan Dapodik 2027, jadwal retensi nasional khusus arsip sekolah, dan lembaga pengawas pelindungan data pribadi yang sudah dibentuk beserta tata cara pemberitahuan kepadanya. Dalam hal itu, ikuti edaran dinas pendidikan setempat.

Bagaimana Skolain membantu

Skolain tidak menggantikan Dapodik, yang tetap menjadi sumber data pokok dan memiliki mekanisme sinkronisasinya sendiri, serta tidak menetapkan kebijakan cadangan sekolah. Yang dapat membantu pada sisi data siswa adalah impor Dapodik dengan pratinjau, yang memperlihatkan perubahan sebelum disimpan, dan hak akses per peran yang membatasi siapa yang boleh melihat dan mengubah data. Bila ingin melihat alurnya pada data sekolah Anda, jadwalkan demo.