Pengesahan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) pada 17 Oktober 2022 menetapkan standar baru bagi pengelolaan informasi personal di Indonesia. Setiap organisasi, lembaga publik, maupun korporasi yang bertindak sebagai pengendali data memikul tanggung jawab hukum untuk mengamankan data milik Subjek Data Pribadi鈥攜akni orang perseorangan yang pada dirinya melekat data pribadi tersebut.
Ketiadaan tata kelola yang memadai dapat memicu risiko kebocoran data dan sanksi hukum. Untuk menjalankan kewajiban kepatuhan pengendali data terhadap Undang-Undang Perlindungan Data Pribadi secara menyeluruh, sejumlah langkah teknis dan prosedural perlu diterapkan secara berurutan.
Menentukan Dasar Hukum Pemrosesan Data
Setiap aktivitas pengumpulan dan pemrosesan informasi tidak boleh dilakukan tanpa landasan legal yang sah. Pasal-pasal dalam UU PDP menetapkan bahwa pemrosesan data pribadi wajib bersandar pada setidaknya satu dari enam dasar hukum berikut:
Registrasi Resmi Perangkat Guna Menghindari Kebijakan Pemblokiran IMEI Ilegal Perangkat Ponsel Kemenperin dan Ditjen Bea Cukai
- Persetujuan yang sah dan eksplisit dari subjek data.
- Pemenuhan kewajiban perjanjian kontrak kerja sama.
- Pelaksanaan kewajiban hukum yang diatur dalam peraturan perundang-undangan.
- Perlindungan kepentingan vital bagi keselamatan hidup individu.
- Pelaksanaan tugas kedinasan atau kewenangan oleh otoritas publik.
- Pemenuhan kepentingan sah pengendali data dengan tetap mengedepankan keseimbangan hak subjek data.
Mengelompokkan Kategori Data Berdasarkan Tingkat Sensitivitas
Pengendali data harus melakukan inventarisasi dan klasifikasi terhadap jenis informasi yang dikelola. Regulasi membagi data pribadi menjadi dua kategori utama:
- Data Pribadi Umum: Informasi dasar identitas individu yang tidak masuk dalam kategori rahasia khusus.
- Data Pribadi Spesifik: Informasi yang memiliki sifat lebih sensitif sehingga menuntut standar keamanan dan mekanisme pelindungan yang jauh lebih ketat agar tidak disalahgunakan.
Menerapkan Prosedur Notifikasi Kegagalan Pelindungan Data
Pengendali data diwajibkan menyusun rencana kontingensi keamanan siber dan penanganan insiden. Apabila terjadi insiden keamanan atau kegagalan pelindungan data di dalam sistem, pengendali data memikul kewajiban untuk menyampaikan pemberitahuan resmi secara langsung kepada Subjek Data Pribadi yang terdampak.
Pemberlakuan Penegakan Hukum UU Perlindungan Data Pribadi PDP, Batasan Aturan, Pengawasan, dan Tantangannya
Menjalankan Prosedur Transfer Data Pribadi Lintas Negara
Pengiriman data ke luar wilayah yurisdiksi Indonesia diatur secara ketat dalam Pasal 56 UU PDP. Pengendali data yang memindahkan data WNI ke server atau mitra luar negeri wajib memenuhi persyaratan kumulatif berikut:
- Memastikan negara tujuan memiliki standar pelindungan data yang setara atau lebih tinggi dibandingkan standar perlindungan di Indonesia (sebagaimana komparasi pengakuan kecukupan standar, misalnya pengakuan Uni Eropa terhadap kerangka data Amerika Serikat pada Juli 2023).
- Memiliki instrumen perjanjian internasional antarnegara atau perjanjian kontraktual antarbadan pengendali data yang mengikat secara hukum.
- Mengantongi persetujuan langsung dari pemilik data setelah memberikan penjelasan yang lengkap, transparan, dan jujur mengenai potensi risiko transfer lintas batas.
Memperhatikan Batasan Implementasi Regulasi Teknis
Dalam pelaksanaan operasional kepatuhan, pengendali data perlu mencermati perkembangan regulasi teknis. Sebagaimana disorot oleh lembaga riset keamanan siber CISSReC, Peraturan Pemerintah (PP) pelaksana sebagai panduan teknis operasional dan pembentukan Badan Pelindungan Data Pribadi (Badan PDP) yang diamanatkan Pasal 58 UU PDP saat ini masih dalam proses penuntasan oleh pemerintah. Meskipun demikian, kewajiban mendasar untuk mengamankan data dan mematuhi prinsip-prinsip pemrosesan tetap berlaku bagi seluruh entitas pengelola data di Indonesia.
