IMPLIKASI HUKUM PENGESAHAN UNDANG-UNDANG PELINDUNGAN DATA PRIBADI DI INDONESIA
Quo vadis Undang-Undang Pelindungan Data Pribadi di Indonesia berlangsung selama 10 tahun lamanya. Sampai pada akhirnya, Presiden Joko Widodo resmi mengesahkan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Kehadiran UU PDP menjadi sebuah harapan dalam menjaga ekosistem data pribadi, mulai dari penggunaan data pribadi, dibentuknya suatu lembaga pengawas, sanksi administrasi, dan ketentuan pidana terkait dengan pelanggaran data pribadi. Sebelum diundangkannya UU PDP, norma pelindungan data pribadi di Indonesia masih tersebar di beberapa peraturan perundang-undangan. Seperti Undang-Undang No. 11 Tahun 2008 Jo. Undang-Undang No. 19 Tahun 2016 tentang Perubahan Undang-Undang No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik Jo. PP No. 71 Tahun 2019 tentang Peyelenggaran Sistem dan Transaksi Elektronik, Permen Kominfo No. 20 Tahun 2016 tentang Pelindungan Data Pribadi dan Permen Kominfo No. 5 Tahun 2020 Jo. Permen Kominfo No. 10 Tahun 2021 tentang Perubahan atas Permen Kominfo No. 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat.
Norma PDP dalam bentuk undang-undang akan menjadi landasan hukum dalam pelindungan data pribadi di Indonesia khususnya dalam memberikan kepastian hukum. Dewasa ini anomali yang terjadi sebagai akibat dari perkembangan teknologi yang masif adalah tindak kejahatan siber (cybercrime) yang semakin canggih pula. Seperti peretasan data pribadi yang dilakukan oleh hacker dengan username “Bjorka” yang meretas berbagai macam data pribadi di Indonesia mulai dari, data konsumen PLN, data aplikasi ‘PeduliLindungi’, data pribadi pengguna aplikasi ‘MyPertamina’ dan data SIM-Card. Walaupun perkembangan teknologi melahirkan inovasi-inovasi baru dengan menciptakan teknologi yang bersifat mutakhir, unik, dan futuristik, namun hal tersebut tidak menutup kemungkinan suatu sistem elektronik akan diretas dan/atau terjadi kebocoran atau celah dalam sistem elektronik. Oleh karena itu untuk melindungi data pribadi masyarakat Indonesia diperlukan instrumen hukum dalam mengantisipasi dan memenuhi kebutuhan masyarakat digital dan sebagai akibat dari perkembangan teknologi informasi dan komunikasi (Information Communication, and Technology/ICT).
Istilah Teknologi Informasi dan Komunikasi (TIK) menggambarkan penggunaan teknologi yang modern khususnya teknologi-teknologi untuk pemrosesan data secara elektronik. (Danrivanto,2014:58). UU PDP yang sudah menjadi menjadi ius constitutum atau sebagai hukum yang berlaku saat ini (existing law) dan bukan lagi sebagai ius constituendum atau hukum yang dicita-citakan (Wijaya,2020:331), maka norma dalam UU PDP sudah seharusnya dapat mengakomodasi dan memfasilitasi konvergensi teknologi informasi dan komunikasi. Ketentuan dalam UU PDP melindungi kepentingan penyelenggara sistem elektronik dan pemilik data sebagai dari perwujudan hak privasi yang merupakan bagian dari Hak Asasi Manusia (HAM). Sehingga segala sesuatu hal yang berkaitan dengan data pribadi harus sesuai dengan ketentuan yang diatur di dalam UU PDP dan prinsip-prinsip pelindungan data pribadi.
Menurut Pasal 1 angka 2 UU PDP, yang dimaksud dengan pelindungan data pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional subjek Data Pribadi. Sementara yang dimaksud dengan data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik (Pasal 1 angka 1 UU PDP). Jenis-jenis data pribadi dalam Pasal 4 ayat (1) UU PDP terdiri atas data pribadi yang bersifat spesifik dan data pribadi yang bersifat umum.
Data pribadi yang bersifat spesifik meliputi data dan informasi kesehatan; data biometrik; data genetika; catatan kejahatan; data anak; data keuangan pribadi; dan/atau data lainnya sesuai dengan ketentuan peraturan perundangan-undangan, sebagaimana diatur dalam Pasal 4 ayat (2) UU PDP. Sementara, untuk data pribadi yang termasuk dalam jenis data pribadi yang bersifat umum meliputi nama lengkap; jenis kelamin; kewarganegaraan; agama; status perkawinan; dan/atau data pribadi yang dikombinasikan untuk mengidentifikasikan seseorang. Hal ini diatur dalam Pasal 4 ayat (3) UU PDP.
Lingkup dari pada suatu pemrosesan data pribadi meliputi kegiatan-kegiatan terkait data pribadi antara lain yaitu pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan. Implikasi dasar yang hadir dalam UU PDP adalah bahwa pemrosesan data pribadi harus dilakukan sesuai dengan prinsip pelindungan data pribadi. Prinsip-prinsip tersebut antara lain meliputi pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; pemrosesan data pribadi dilakukan sesuai dengan tujuannya; pemrosesan data pribadi dilakukan dengan menjamin hak subjek data pribadi; pemrosesan data pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, pengrusakan, dan/atau penghilangan Data Pribadi; pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan Pelindungan Data Pribadi; Data Pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan; dan pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas.
Dalam tata kelola rangkaian penggunaan data pribadi terdapat dua hal yang perlu diperhatikan dari diberlakukannya UU PDP diantaranya:
- Pengendali Data Pribadi (Data Controller)
Pasal 1 angka 5 UU PDP menyebutkan bahwa Pengendali Data Pribadi merupakan setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Artinya pengendali data pribadi berkewajiban untuk melakukan pemenuhan, pengumpulan, persetujuan penggunaan data pribadi kepada pengguna data untuk kemudian dilakukan pemrosesan data pribadi berdasarkan ketentuan yang diatur di dalam UU PDP dan prinsip-prinsip pelindungan data pribadi. Pengendali Data Pribadi ini yang kemudian wajib menjaga kerahasiaan data pengguna pribadi danmenginformasikan kepada pengguna data apabila terjadi kebocoran, pelanggaran serta hal-hal lainnya terkait dengan penggunaan data pribadi seseoarang.
Pengendali data pribadi harus menyusun langkah teknis operasional dan menentukan tingkat kemanan serta risiko dalam melakukan pemrosesan data pribadi, hal ini bertujuan untuk menjaga dan memastikan keamanan data pribadi yang diporsesnya. Apabila terjadi kegagalan pelinndungan data pribadi, pengendali data pribadi berdasarkan Pasal 46 ayat (1) dan (2) wajib memberitahukan secara tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga yang memuat data pribadi apa saja yang terungkap, waktu dan bagaimana data pribadi tersebut dapat terungkap, upaya penanganan dan pemulihan oleh pengendali data pribadi terhadap data pribadi terungkap. Kegagalan data pribadi adalah kegagalan dalam melindungi Data Pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan Data Pribadi, termasuk pelanggaran kemanan baik yang disengaja, maupun tidak sengaja, yang mengarah apda kerusakan, kehilangan, perubahan pengungkapan, atau akses yang tidak sah terhadap Data Pribadi. Lebih jauh lagi berdasarkan ketentuan Pasal 46 ayat 3 terhadap kegagalan pelindungan data pribadi tersebut mengganggu kepentingan umum, pengendali data pribadi wajib memberitahukan kepada masyarkaat mengenai kegagalan pelindungan data pribadi.
- Prosesor Data Pribadi
Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi. Sehingga dalam hal ini, prosesor data pribadi merupakan pihak yang melakukan pemrosesan data pribadi yang ditunjuk oleh pengendali data pribadi. Dimana pemrosesan data pribadi harus sesuai dengan prinsip-prinsip pelindungan data pribadi. Kewajiban prosesor juga diatur dalam Pasal 51 s.d. 52 bahwa pemrosesan data pribadi terlebih dahulu wajib mendapatkan persetujuan tertulis dari pengendali data pribadi dan pelaksanaanya berdasarkan perintah pengendali data pribadi.
UU PDP juga mengatur mengenai hak subjek data pribadi (data owner) dimana dalam hal ini adalah masing-masing individu sebagai pemilik data pribadi. Berdasarkan Pasal 5 s.d. 16 UU PDP yang pada intinya menerangkan bahwa hak subjek data pribadi diantaranya: (1) mendapatkan informasi tentang kejelasan identitas, tujuan permintaan dan penggunaan data pribadi, akuntabilitas pihak yang meminta data pribadi. (2) melengkapi, memperbaharui dan/atau memperbaiki kesalahan data pribadi tentang dirinya. (3) mengakhiri pemrosesan data pribadinya, menghapus, dan atau memusnahkan data pribadinya. (4) dapat menarik kembali persetujuan (consent) pemrosesan data pribadi tentang dirinya. (5) menggunakan data pribadi miliknya secara terbatas dengan peruntukkan yang jelas. (6) menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya.
Ketentuan sanksi administratif terhadap pelanggaran data pribadi yang diatur dalam Pasal 57 berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif. Dimana sanksi administratif paling tinggi 2 (dua) persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Kemudian, UU PDP juga tergolong pada pengaturan pelindungan data pribadi yang bersifat ketat yang mengatur larangan dan ketentuan pidana yang cukup berat. Berikut beberapa larangan beserta ketentuan pidana dalam penggunaan data pribadi yang diatur di dalam UU PDP, diantaraya:
- Setiap orang dilarang secara melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek Data Pribadi dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
- Setiap Orang yang dengan sengaja dan melawan hukum mengunglapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah).
- Setiap Orang yang dengan senqaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (3) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.00.000,00 (lima miliar rupiah).
- Setiap Orang yang dengan sengaja membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntrrngkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain sebagaimana dimaksud dalam Pasal 66 .tipidana dengan pidana penjara paling tama 6 (enam) tahun dan/atau pidana denda paling banyak Rp6.000. 000.000,00 (enam miliar rupiah).
UU PDP juga mengatur mengenai penyelesaian sengketa pelindungan data pribadi. Apabila seseorang telah merasa data pribadinya disalahgunakan, digunakan secara melawan hukum, pelanggaran pemrosesan data pribadi, dan/atau terjadi kebocoran data pribadi pada suatu aplikasi atau data base perusahaan, maka Pasal 64 UU PDP mengatur bahwa penyelesaian sengketa pelindungan data pribadi dilakukan melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif lainnya, seperti ODR. Artinya ketika data pribadi kita disalahgunakan atau digunakan secara melawan hukum kita dapat melaporkan hal tersebut kepada Polisi, sehingga kemudian dapat dilakukan tuntutan secara pidana dan/atau melakukan gugatan dan menerima ganti rugi terhadap pelanggaran data pribadi.
Kendatipun demikian UU PDP baru berlaku per 17 Oktober 2022. Sehingga berdasarkan ketentuan Pasal 74 UU PDP, baik badan publik maupun korporasi harus meyesuaikan dengan ketentuan yang diatur di dalam UU PDP. Meliputi pemrosesan data pribadi yang berlaku pada pengendali data pribadi, prosesor data dan pihak lain yang terikat dengan pemrosesan data pribadi paling lama 2 tahun sejak 17 Oktober 2022.
Pada dasarnya ketentuan yang diatur di dalam UU PDP merupakan bentuk adaptasi dari ketentuan yang diatur di dalam GDPR. Dimana GDPR merupakan pedoman norma pelindungan data pribadi di dunia dengan pengaturan yang bersifat ketat/tinggi. GDPR juga menjadi instrumen hukum internasional yang menempatkan prinsip-prinsip pelindungan data pribadi yang lebih modern dan dapat disesuaikan dengan kehidupan saat ini. UU PDP dan GDPR telah sama-sama mengatur mengenai pelindungan data pribadi yang berlaku bagi seluruh individu, perusahaan, atau organisasi yang menyimpan, mengolah, atau memproses data pribadi penduduk yang dibagi menjadi data pribadi yang bersifat spesifik dan umum.
Dengan demikian, implikasi dari ketentuan yang diatur di dalam UU PDP merupakan implementasi dari hak privasi seseorang, sebagaimana yang diatur dalam Pasal 28G ayat (1) UUD 1945 yang menyatakan bahwa: “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” Termasuk pelindungan data pribadi yang terikat pada seseorang, dimana data pribadi menunjukan identitas diri pribadi, kehormatan, dan martabat seseorang yang menjadi privasi dari seseorang. Artinya selain pelindungan data pribadi menjadi hak asasi manusia, namun juga menjadi hak konstitusi yang dijamin dalam UUD 1945. Konsekuensi logis dari hal tersebut adalah negara dalam hal ini pemerintah perlu menjamin pelindungan data pribadi warga negara Indonesia, menegakkan pelanggaran data pribadi, dan membentuk ekosistem pelindungan data pribadi yang kompatibel.
UU PDP merupakan tahap awal perjuangan pelindungan data pribadi di Indonesia guna menciptakan ekosistem jagat digital yang nyaman, tertib, dan sejahtera. Tentunya ketentuan-ketentuan tersebut perlu disesuaikan dengan budaya, perkembangan teknologi, dan dinamika yang terjadi di masyarakat. Menurut Penulis implikasi tersebut perlu direspon secara progresif dan komperhensif melalui berbagai macam pendekatan ilmu di dalam berbagai sektor, baik bisnis, ekonomi, politik, sosial dan budaya. Khususnya lembaga pengawas pelindungan data pribadi yang nantinya akan dibentuk melalui undang-undang ini dalam menjaga independensinya supaya penegakan hukum pelanggaran data pribadi dapat berjalan secara optimal.
Daftar Bacaan
Danrivanto Budhijanto, 2014, Teori Hukum Konvergensi, Bandung: Penerbit Refika Aditama;
Intan Rachmawati Dewi, “Hacker Bjorka is Back Data Apa Saja yang Dibocorkan”,2022, https://www.cnbcindonesia.com/tech/20221111075351-37-386931/hacker-bjorka-is-back-data-apa-saja-yang-pernah-dibocorkan. Diakses pada 15 November 2022;
G Wijaya. (2020). Pelindungan data pribadi di Indonesia: Ius constitutum dan ius constituendum. Law Review, 19(3), 326-361.
M. Julnis Firmansyah, “UU PDP Disahkan Pemalsu Data Pribadi Diancam Denda Hingga Rp6 Miliar,” 2022, https://nasional.tempo.co/read/1646858/uu-pdp-disahkan-pemalsu-data-pribadi-diancam-denda-hingga-rp6-miliar. Diakses pada 15 November 2022;
Artikel berupa opini ini ditulis oleh Fikra Rifat Daffadio Hakim, Chandra Ardhiansyah, dan Aria Adi Wiralaksana selaku Mahasiswa Fakultas Hukum Universitas Padjadjaran.
