Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) memuat kerangka yuridis bagi tata kelola informasi personal di Indonesia sejak disahkan pada 2022. Penerapan payung hukum ini menuntut keselarasan antara kesiapan kelembagaan, kepatuhan teknis pengelola sistem, pemahaman aparat penegak hukum, serta mitigasi ancaman siber yang terus berulang di berbagai sektor.
Pelaksanaan regulasi ini menghadapi dinamika di lapangan, mulai dari belum terbentuknya lembaga pengawas definitif, kerancuan penafsiran objek pidana data pribadi pada sengketa hukum sehari-hari, hingga tingginya angka kebocoran basis data milik lembaga publik.
Struktur Kelembagaan dan Mandat Pengawasan Sementara
Penegakan standar UU PDP mensyaratkan hadirnya lembaga pengawas independen. Hingga periode transisi pemerintahan Presiden Prabowo Subianto yang mulai menjabat pada Minggu, 20 Oktober, badan perlindungan data spesifik yang diamanatkan oleh undang-undang belum resmi dibentuk oleh pemerintah.
Untuk mengisi kekosongan operasional tersebut, fungsi pengelolaan dan pengawasan pelindungan data pribadi dijalankan sementara waktu oleh Kementerian Komunikasi dan Digital. Otoritas sementara ini bertugas menjembatani penerapan aturan teknis sampai badan pengawas resmi dibentuk dan beroperasi secara penuh.
Tuntutan Pengawasan Berbasis Risiko dan Uji Ketahanan Siber
Dari ranah legislatif, Komisi XI DPR RI menyoroti urgensi pembaruan metode pengawasan terhadap pengendali data, khususnya di sektor perbankan dan jasa keuangan. Wakil Ketua Komisi XI DPR M Hanif Dhakiri menyatakan bahwa pelaksanaan UU PDP harus didukung oleh pengawasan yang proaktif dan berorientasi pada tata kelola risiko, bukan semata-mata pemeriksaan administratif formal.
Langkah Pengendali Data Hadapi Penerapan Sanksi Kepatuhan Perlindungan Data Pribadi UU PDP
Pengawasan tersebut mencakup:
- Pelaksanaan stress test atau uji ketahanan siber secara berkala terhadap infrastruktur pengendali data.
- Kewajiban bank dan pengelola data untuk memperkuat tata kelola risiko dan perlindungan data nasabah.
- Peran aktif Otoritas Jasa Keuangan (OJK) dalam memastikan audit berjalan efektif dan standar keamanan diterapkan secara ketat.
Batasan Objek Data Pribadi dalam Praktik Penegakan Hukum
Penerapan pasal-pasal pidana UU PDP kerap memicu perdebatan terkait interpretasi data personal. Komisi III DPR RI mengingatkan agar penggunaan UU PDP tidak disalahartikan dalam penanganan laporan polisi yang tidak memenuhi unsur yuridis data pribadi.
Ketua Komisi III DPR Habiburokhman mencontohkan sengketa hukum ketika mantan istri Andre Taulany, Rien Wartia Trigina (Erin), didampingi kuasa hukum Sunan Kalijaga melaporkan mantan asisten rumah tangganya, Hera, ke Polres Metro Jakarta Selatan dengan jeratan UU PDP. Komisi III menilai penggunaan UU PDP dalam laporan tersebut tidak tepat karena objek yang dipermasalahkan, seperti foto rumah dan foto bersama anak, tidak masuk ke dalam kategori data pribadi yang dimaksud dalam undang-undang.
Berdasarkan prinsip UU No. 27 Tahun 2022, data pribadi berkaitan langsung dengan identitas personal yang terdefinisi, antara lain:
Aturan dan Penegakan Kewajiban Pendaftaran Penyelenggara Sistem Elektronik PSE di Kementerian Komdigi
- Nomor identitas kependudukan (KTP)
- Kartu Keluarga (KK)
- Nomor Pokok Wajib Pajak (NPWP)
- Data kesehatan
- Nomor rekening bank
- Data biometrik
Realitas Ancaman Keamanan Siber Pascapengesahan Regulasi
Pemberlakuan kerangka hukum perlindungan data berjalan beriringan dengan intensitas insiden keamanan siber yang menimpa institusi pemerintah. Serangan ransomware berskala besar sempat melumpuhkan pusat data nasional sementara pada Juli, yang berdampak pada sistem sekitar 280 instansi di tingkat pusat dan daerah serta mengganggu layanan publik termasuk keimigrasian.
Pada Agustus, peretas dengan nama samaran TopiAx mengklaim telah membobol 4,7 juta data pegawai negeri sipil dari Badan Kepegawaian Negara (BKN) lalu menjualnya di forum peretasan BreachForums.
Lembaga pemantau hak digital Southeast Asia Freedom of Expression Network (SAFEnet) mencatat sedikitnya 133 insiden kebocoran data pribadi terjadi di Indonesia sejak regulasi ini disahkan oleh DPR. Pada kurun waktu yang sama, riset perusahaan keamanan siber Surfshark menunjukkan bahwa 13,2 juta akun internet di Indonesia tercatat mengalami pembobolan, menegaskan tingginya kerentanan yang harus dijawab melalui penegakan hukum dan audit ketahanan siber yang konsisten.
