Pengesahan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) pada tanggal 17 Oktober 2022 menandai babak baru dalam penataan tata kelola dan keamanan ruang siber di Indonesia. Kehadiran undang-undang ini lahir dari kebutuhan mendasar untuk melindungi data pribadi seluruh warga negara Indonesia di tengah masifnya transformasi digital. Melalui regulasi ini, negara merumuskan secara sistematis berbagai hak yang melekat pada pemilik data serta kewajiban-kewajiban mendasar yang wajib dipatuhi oleh setiap pihak yang bertindak sebagai pengendali data maupun pemroses data pribadi.
Transformasi digital yang berjalan cepat menuntut kepastian aturan hukum mengenai batasan pengelolaan informasi individu, baik di sektor publik maupun di sektor swasta. Pengendali data tidak lagi dapat mengumpulkan, menyimpan, memproses, atau mentransfer informasi perseorangan tanpa mematuhi prinsip-prinsip yang diatur dalam Undang-Undang Nomor 27 Tahun 2022. Seluruh kepatuhan operasional, pertanggungjawaban legal, mitigasi risiko siber, dan mekanisme perlindungan hak individu kini terikat secara ketat pada ketentuan yang termaktub di dalam undang-undang tersebut.
Landasan Regulasi dan Kedudukan Subjek Data Pribadi dalam UU PDP
Dalam kerangka Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, kejelasan definisi mengenai subjek hukum merupakan pondasi utama tata kelola data. Pasal 1 UU PDP menjelaskan bahwa Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi. Rumusan yuridis ini menegaskan bahwa kepemilikan hakiki atas data pribadi berada pada diri masing-masing individu, bukan pada institusi publik maupun entitas swasta yang menghimpun atau mengelolanya.
Penetapan status subjek data pribadi sebagai orang perseorangan yang memegang hak penuh menuntut adanya perlakuan yang berlandaskan transparansi dan akuntabilitas dari pihak pengendali data. Pengendali data didefinisikan sebagai pihak yang memegang wewenang untuk menetapkan tujuan serta melakukan kendali atas aktivitas pemrosesan data pribadi. Hubungan hukum ini menempatkan pengendali data pada posisi pemegang tanggung jawab hukum dalam memastikan bahwa setiap data yang melekat pada diri subjek data pribadi terlindungi dari segala bentuk pemrosesan ilegal atau penyalahgunaan.
Undang-Undang Nomor 27 Tahun 2022 yang disahkan pada 17 Oktober 2022 secara komprehensif menguraikan berbagai hak mendasar yang dimiliki oleh subjek data pribadi. Regulasi ini sekaligus membebankan kewajiban terstruktur kepada pengendali data dan pemroses data untuk menjamin terpenuhinya hak-hak tersebut dalam seluruh siklus pemrosesan data, mulai dari perolehan awal, penyimpanan, pengolahan, pemindahan, hingga penghapusan informasi pribadi milik warga negara.
Klasifikasi Data Pribadi: Kategori Umum dan Kategori Spesifik
Dalam pelaksanaan prinsip perlindungan informasi, Undang-Undang Nomor 27 Tahun 2022 menetapkan pembagian kategori data secara terperinci. Data pribadi yang dimaksud di dalam undang-undang terbagi menjadi dua jenis utama, yaitu data pribadi yang bersifat umum dan data pribadi yang bersifat spesifik. Pembedaan dua kategori ini sangat menentukan tingkat perlakuan, pengamanan, dan kepatuhan yang wajib diterapkan oleh setiap pengendali data.
Klasifikasi data pribadi umum mencakup informasi identitas mendasar yang melekat pada seorang individu, sedangkan data pribadi spesifik merupakan kategori informasi perseorangan yang memiliki derajat sensitivitas lebih tinggi. Karena sifatnya yang lebih sensitif, pemrosesan data pribadi spesifik menuntut penerapan standar perlindungan yang jauh lebih berhati-hati dan ketat oleh pengendali data guna mencegah timbulnya kerugian fatal bagi subjek data pribadi jika terjadi kegagalan keamanan sistem.
Pemisahan antara data pribadi umum dan data pribadi spesifik mengharuskan pengendali data di sektor publik maupun swasta untuk melakukan pemetaan data (data mapping) yang akurat dalam sistem informasi mereka. Pengendali data tidak diperkenankan memperlakukan semua data dengan tingkat pengamanan yang seragam tanpa memperhatikan karakteristik kategori data, melainkan wajib menerapkan mekanisme perlindungan berlapis terutama pada data pribadi yang masuk dalam kategori spesifik sesuai amanat UU PDP.
Enam Dasar Hukum Pemrosesan Data Pribadi oleh Pengendali Data
Setiap pengendali data dilarang melakukan pemrosesan data pribadi secara sewenang-wenang tanpa adanya landasan legalitas yang sah. Pemrosesan data pribadi harus didasarkan pada salah satu dari enam dasar hukum yang diatur secara limitatif di dalam UU PDP. Kepatuhan terhadap salah satu dari enam dasar hukum ini menjadi syarat mutlak agar aktivitas pemrosesan data pribadi dinilai sah di mata hukum Indonesia.
Dasar hukum pertama adalah adanya persetujuan yang sah dari subjek data pribadi. Pengendali data dapat memproses data perseorangan apabila pemilik data telah memberikan persetujuan eksplisit setelah menerima penjelasan yang memadai mengenai tujuan dan ruang lingkup pemrosesan data tersebut.
Dasar hukum kedua adalah pemenuhan kewajiban perjanjian kontrak. Pemrosesan data pribadi dapat dibenarkan apabila data tersebut diperlukan dalam rangka pelaksanaan hak dan kewajiban berdasarkan kontrak yang disepakati bersama subjek data pribadi, atau untuk memenuhi permohonan subjek data sebelum memasuki ikatan perjanjian kontraktual.
Dasar hukum ketiga adalah pemenuhan kewajiban hukum. Pengendali data memiliki dasar yang sah untuk memproses data pribadi apabila pemrosesan tersebut diwajibkan secara langsung oleh ketentuan peraturan perundang-undangan yang berlaku di Indonesia.
Pedagang Kopi di Jakut Ditipu Pria Ngaku Habis Bensin, Motor Raib Dibawa Kabur
Dasar hukum keempat berkaitan dengan pelindungan kepentingan vital individu. Pemrosesan data pribadi diperbolehkan secara hukum dalam situasi kritis atau darurat yang menyangkut kelangsungan hidup atau keselamatan fisik dari subjek data pribadi maupun individu lainnya.
Dasar hukum kelima adalah pelaksanaan tugas yang dijalankan oleh otoritas publik. Pemrosesan data dapat dilakukan oleh pengendali data apabila aktivitas tersebut merupakan bagian dari pemenuhan tugas resmi dan wewenang yang diberikan kepada otoritas publik berdasarkan ketentuan perundang-undangan.
Dasar hukum keenam adalah pemenuhan kepentingan sah (legitimate interests). Pengendali data dapat memproses data perseorangan demi mewujudkan kepentingan sah pengendali data, dengan ketentuan mutlak bahwa kepentingan tersebut harus seimbang dengan hak-hak subjek data pribadi dan tidak mengorbankan perlindungan mendasar yang dimiliki individu.
Kewajiban Notifikasi Pengendali Data Saat Terjadi Kegagalan Pelindungan Data
Selain mematuhi dasar hukum pemrosesan, pengendali data memikul tanggung jawab yang besar dalam menjaga keamanan data yang dikelolanya. Salah satu kewajiban penting yang diatur secara tegas dalam Undang-Undang Nomor 27 Tahun 2022 adalah kewajiban penanganan insiden keamanan. Jika terjadi kegagalan pelindungan data di dalam sistem yang dikelola, pengendali data wajib memberikan pemberitahuan resmi kepada Subjek Data Pribadi yang terdampak.
Kewajiban memberikan pemberitahuan kepada subjek data pribadi ini bertujuan untuk memastikan transparansi dan akuntabilitas pengendali data ketika sistem pertahanan data mengalami kompromi atau kebocoran. Pemberitahuan tersebut memungkinkan individu pemilik data untuk segera menyadari potensi bahaya yang mengancam informasi pribadi mereka, sehingga langkah-langkah mitigasi awal dapat diantisipasi.
Ketentuan kewajiban notifikasi ini mengharuskan pengendali data di sektor publik maupun privat untuk memiliki protokol respons insiden yang tanggap. Pengendali data tidak diperbolehkan menutupi atau mengabaikan terjadinya insiden kegagalan pelindungan data, melainkan harus secara bertanggung jawab menyampaikan laporan dan informasi kegagalan tersebut kepada subjek data pribadi yang hak-haknya terancam oleh insiden tersebut.
Ketentuan Ketat Pemindahan Data Pribadi Lintas Batas Negara
Perkembangan teknologi komputasi dan interkoneksi global sering kali melibatkan pemindahan atau transfer data pribadi antarnegara. Terkait hal ini, Anggota Komisi III DPR RI Bambang Soesatyo (Bamsoet) menegaskan bahwa pemindahan data pribadi lintas negara, termasuk dari Indonesia ke negara lain seperti Amerika Serikat, pada dasarnya bukanlah sebuah bentuk pelanggaran hukum. Namun, setiap transfer data pribadi hanya bisa dibenarkan dan dinilai sah apabila dilakukan untuk tujuan yang sah, terbatas, serta dapat dipertanggungjawabkan secara hukum.
Mekanisme pemindahan data lintas batas negara diatur secara ketat dalam Pasal 56 UU PDP. Pasal 56 UU PDP menyebutkan bahwa pemerintah maupun pihak pengendali data lainnya diperbolehkan mentransfer data pribadi warga negara Indonesia (WNI) ke luar negeri, tetapi transfer tersebut harus memenuhi syarat-syarat tertentu yang sangat ketat sebagaimana diatur dalam undang-undang.
Persyaratan transfer data pribadi ke luar negeri berdasarkan UU PDP mencakup tiga kondisi berjenjang:
- Negara tujuan transfer harus memiliki tingkat pelindungan data pribadi yang setara atau lebih baik (lebih tinggi) dibandingkan standar pelindungan data yang berlaku di Indonesia.
- Terdapat perjanjian internasional antarnegara atau perjanjian antarbadan pengendali data yang menjamin terlindunginya data pribadi sesuai standar yang dipersyaratkan.
- Terdapat persetujuan langsung dan eksplisit dari pemilik data pribadi, di mana persetujuan tersebut diberikan setelah subjek data mendapatkan informasi yang lengkap dan jujur terkait risiko pemindahan atau transfer data tersebut.
Dengan adanya ketentuan Pasal 56 UU PDP ini, pemerintah dan pengendali data swasta tidak dapat secara sembarangan memindahkan data pribadi WNI ke yurisdiksi asing tanpa memastikan terpenuhinya salah satu dari persyaratan ketat tersebut.
Standar Internasional dan Kerangka Data Privacy Framework
Persoalan transfer data pribadi lintas batas juga menjadi perhatian global dalam penataan hubungan antarnegara dan kawasan. Sebagai contoh tata kelola internasional, pada Juli 2023, Uni Eropa telah secara resmi mengakui Amerika Serikat sebagai yurisdiksi yang memiliki taraf pelindungan data pribadi yang memadai di bawah kerangka kerja EU-U.S. Data Privacy Framework (DPF).
Karhutla di Pekanbaru Bikin Kualitas Udara Memburuk, Siswa TK-SMP Belajar Daring
Pengakuan resmi dari Uni Eropa terhadap Amerika Serikat melalui kerangka DPF pada Juli 2023 tersebut menjadi preseden bagaimana transfer data antarwilayah yurisdiksi dapat dilakukan secara sah melalui pengakuan kesetaraan standar perlindungan privasi. Hal ini sejalan dengan prinsip yang diusung dalam regulasi perlindungan data di berbagai negara, termasuk prinsip kesetaraan tingkat perlindungan negara tujuan sebagaimana diatur dalam Pasal 56 UU PDP di Indonesia.
Pengaturan transfer data internasional membuktikan bahwa lalu lintas data lintas batas memerlukan instrumen pengawasan yang sah dan akuntabel. Bagi Indonesia, kesesuaian yurisdiksi tujuan dengan prinsip pemrosesan yang sah, terbatas, dan dapat dipertanggungjawabkan sebagaimana ditegaskan oleh Bambang Soesatyo menjadi tolok ukur utama dalam menjaga kedaulatan data dan keselamatan informasi warga negara di tingkat global.
Tantangan Implementasi UU PDP: Lembaga Pengawas dan Regulasi Teknis
Meskipun kerangka normatif telah disahkan sejak 17 Oktober 2022, implementasi Undang-Undang Nomor 27 Tahun 2022 masih menghadapi kendala operasional yang nyata. Pakar keamanan siber dari Communication and Information System Security Research Center (CISSReC), Pratama Persadha, mengkritik implementasi UU PDP yang dinilai belum terealisasi secara efektif di lapangan.
Pratama Persadha, yang telah menggeluti dunia siber sejak tahun 1999 di Akademi Sandi Negara, menyoroti bahwa Badan Pelindungan Data Pribadi (PDP) yang diamanatkan oleh Pasal 58 UU PDP seharusnya telah menjadi garda terdepan dalam memastikan kepatuhan institusi publik dan perusahaan swasta terhadap prinsip-prinsip perlindungan data. Namun, hingga kini pembentukan Badan PDP tersebut belum dilakukan oleh Presiden.
Selain belum dibentuknya Badan PDP, efektivitas undang-undang ini terhambat karena Peraturan Pemerintah (PP) yang menjadi dasar teknis implementasi UU PDP juga belum terbit. Ketiadaan Peraturan Pemerintah sebagai aturan pelaksana teknis ini menimbulkan tantangan bagi pengendali data dalam menerapkan standar operasional yang seragam serta menghambat penegakan aturan secara menyeluruh terhadap institusi yang belum patuh.
Ancaman Kejahatan Digital dan Urgensi Penegakan Regulasi
Keterlambatan pembentukan instrumen kelembagaan dan aturan teknis pelaksana UU PDP menjadi persoalan serius di tengah tingginya ancaman keamanan siber. Pratama Persadha menekankan bahwa urgensi implementasi UU PDP saat ini tidak bisa lagi ditunda. Penundaan implementasi regulasi dinilai sangat berisiko bagi keamanan masyarakat luas di ruang digital.
Urgensi tersebut dilatari oleh kenyataan bahwa dalam setahun terakhir, masyarakat Indonesia terus menjadi sasaran berbagai bentuk kejahatan digital yang merajalela. Bentuk-bentuk kejahatan digital yang menimpa masyarakat antara lain mencakup kebocoran data pribadi yang terjadi di sektor publik maupun di sektor swasta, penipuan online yang marak, maraknya praktik judi online, hingga berbagai macam modus scam yang memanfaatkan metode rekayasa sosial (social engineering) dan teknologi kecerdasan buatan (artificial intelligence).
Maraknya kebocoran data pribadi dan kejahatan siber yang memanfaatkan teknologi kecerdasan buatan tersebut mempertegas pentingnya kepatuhan penuh dari para pengendali data. Pengendali data, baik kementerian, lembaga pemerintah, maupun korporasi bisnis, wajib menyadari bahwa kegagalan dalam mengamankan data pribadi warga negara berbanding lurus dengan meningkatnya risiko kejahatan digital yang merugikan publik secara luas.
Membangun Akuntabilitas Pengendali Data dalam Praktik Pemrosesan
Untuk mewujudkan ekosistem digital yang aman dan patuh hukum, para pengendali data di Indonesia harus secara aktif menjalankan kewajiban yang diamanatkan dalam Undang-Undang Nomor 27 Tahun 2022. Pengendali data tidak boleh bersikap pasif menunggu pembentukan Badan PDP atau penerbitan Peraturan Pemerintah, melainkan harus segera membenahi tata kelola internal sistem data masing-masing.
Langkah akuntabilitas tersebut meliputi pengidentifikasian secara berkala atas data pribadi umum dan data pribadi spesifik yang tersimpan dalam sistem, memastikan setiap aktivitas pengolahan data memiliki salah satu dari enam dasar hukum yang sah, serta menyiapkan prosedur darurat untuk memberikan pemberitahuan kepada subjek data pribadi apabila terjadi insiden kegagalan pelindungan data.
Bagi entitas yang melakukan pemindahan data ke luar negeri, kepatuhan terhadap Pasal 56 UU PDP harus dipenuhi secara ketat. Selaras dengan penegasan Bambang Soesatyo dari Komisi III DPR RI, pemindahan data pribadi lintas negara hanya dapat dibenarkan apabila tujuannya sah, terbatas, dan dapat dipertanggungjawabkan secara hukum, serta memenuhi syarat kesetaraan tingkat perlindungan, perjanjian internasional, atau persetujuan jujur dari pemilik data. Dengan komitmen kepatuhan menyeluruh dari pengendali data dan percepatan pengesahan aturan pelaksana oleh pemerintah, perlindungan data pribadi masyarakat Indonesia dapat ditegakkan secara optimal.
