Perbedaan Data Privacy dan Data Protection serta Pengaturannya pada RUU Pelindungan Data Pribadi
Sering disamakan, data privacy dan data protection adalah dua aspek yang berbeda, namun berkaitan erat satu sama lain dalam tataran pelindungan data pribadi. Pelaku usaha membutuhkan keduanya dalam menyusun dan menerapkan mekanisme kontrol data yang optimal.
Rancangan Undang-Undang Pelindungan Data Pribadi (RUU PDP) tidak kunjung disahkan, di sisi lain, kasus kebocoran data pribadi terus terjadi di Indonesia.
Pada 2020 lalu, publik digegerkan dengan adanya kebocoran 91 juta data pengguna dan 7 juta data merchant Tokopedia. Data ini diunggah di Facebook dan RaidForums, bahkan dapat diunduh secara gratis. Di tahun yang sama, juga terjadi kebocoran 2,3 juta data pemilih Pemilihan Umum (Pemilu) 2014 dan 230 ribu data pasien COVID-19.
Sementara pada Mei lalu, 279 juta data peserta BPJS Kesehatan diperjualbelikan, lagi-lagi di RaidForums. Baru-baru ini, juga ada kasus kebocoran data yang menimpa 1,3 juta data pengguna aplikasi electronic Health Alert Card (eHAC) yang dikembangkan oleh Kementerian Kesehatan.
Ancaman kebocoran data tidak hanya datang dari peretasan terhadap sistem milik pengendali data, seperti perusahaan swasta maupun lembaga negara. Namun, juga dari penyebaran oleh pemilik data itu sendiri.
Sekarang ini, sertifikat vaksin bagaikan “kartu sakti” untuk dapat memasuki berbagai fasilitas umum, juga menjadi syarat bepergian dengan moda transportasi pesawat. Masyarakat berlomba-lomba “berkreasi” dengan sertifikat vaksin. Usaha pencetakan kartu vaksin mulai menjamur di platform e-commerce. Ada pula yang menjadikan QR code vaksin sebagai tato, gambar sablon di kaos, dan sebagainya.
Namun, di balik euforia vaksin tersebut, ada ancaman kebocoran data pribadi. Dalam QR code sertifikat vaksin, tidak hanya tercantum informasi tentang vaksin yang digunakan, tanggal vaksin, juga berapa kali orang bersangkutan telah melakukan vaksinasi. Namun, juga data pribadi, meliputi NIK, tanggal lahir, alamat rumah, alamat email, dan nomor telepon. Data-data ini menjadi rentan untuk terekspos.
Presiden Direktur PT ITSEC Asia, Andri Hutama Putra, mengatakan, “Saya melihat beberapa kasus seperti, ada yang mencetak sertifikat vaksinnya, memamerkan sertifikatnya di media sosial, bahkan ada yang sampai menyablon sertifikat vaksin mereka di baju. Hal ini yang perlu diperhatikan secara khusus, karena akibat dari kebocoran data pribadi kita sangat fatal dan merugikan.”
Permasalahan-permasalahan di atas semakin mendorong urgensi pengesahan RUU PDP. Dalam tataran pelindungan data pribadi itu sendiri, dikenal diantaranya dua aspek, yakni data privacy dan data protection. Lantas, apakah itu data privacy dan data protection? Bagaimana pengaturan dua hal tersebut dalam RUU PDP?
Data Privacy vs Data Protection
Meski istilah data privacy dan data protection sekilas terdengar mirip, dua istilah tersebut memiliki sejumlah perbedaan. Berikut perbedaan-perbedaannya, dilansir dari publikasi Forbes, yang ditulis Forbes Technology Council, yang beranggotakan praktisi-praktisi teknologi dan bisnis yang sukses di bidangnya.
Perbedaan pertama, data privacy adalah perihal siapa saja yang memiliki akses resmi terhadap suatu data, dengan kata lain, data privacy menentukan pihak-pihak yang diizinkan untuk mengakses suatu data. Sedangkan, data protection adalah mengenai mekanisme pelindungan data dari akses tidak resmi.
Perbedaan kedua, data privacy lebih mengenai seperangkat aturan yang mengatur tentang penggunaan data ketika telah dibagikan dengan entitas manapun. Di sisi lain, data protection lebih mengenai mekanisme, yang terdiri atas perangkat dan prosedur, untuk melaksanakan aturan, termasuk mekanisme pencegahan akses data tidak resmi dan penyalahgunaan data.
Perbedaan ketiga terletak pada siapa pihak yang mengontrol. Pada data privacy, pihak yang berhak mengontrol data adalah pemilik data atau pengguna. Pemilik berhak menentukan standar privasi yang mereka inginkan untuk data mereka. Sementara, pihak yang bertanggung jawab dalam data protection adalah lembaga atau perusahaan pengendali data. Pengendali data merupakan pihak yang bertugas mengimplementasi mekanisme pelindungan data mereka, juga memastikan standar yang telah ditetapkan oleh pemilik data terpenuhi.
Contohnya, dalam aplikasi Whatasapp, pengguna dapat memilih opsi untuk menunjukkan display picture profil mereka, hanya kepada kontak, kepada semua orang, maupun hanya kepada diri sendiri. Di sisi lain, Whatsapp berkewajiban memastikan preferensi yang dipilih pengguna terpenuhi dengan baik. Contohnya, display picture yang hanya ditujukan pengguna untuk dirinya saja, tidak tiba-tiba dapat dilihat pengguna lainnya.
Perbedaan keempat, data privacy berfokus pada penjagaan data dari penyebaran tidak resmi dan jual beli data, sementara data protection pada penjagaan data dari peretasan.
Perbedaan kelima, data privacy adalah mengenai apa yang dapat dan harus dilakukan oleh lembaga atau perusahaan yang telah mengumpulkan data pribadi seseorang secara sah, dan kontrol apa yang pemilik data miliki atas penyimpanan dan penggunaan data tersebut. Sementara, data protection memastikan bahwa data terlindungi dari akses yang tidak sah oleh pihak yang tidak berwenang. Oleh karena itu, agar privasi data dapat tercapai, data perlu dilindungi.
Meski berbeda, data privacy dan data protection berkaitan erat satu sama lain dalam tataran pelindungan data pribadi. Data privacy menjadi salah satu aspek yang harus dilindungi dalam data protection.
Guna menciptakan dan mengimplementasi mekanisme kontrol pelindungan data yang memadai, perusahaan maupun lembaga pengendali data, tidak hanya cukup menerapkan salah satu dari data privacy dan data protection. Namun, harus menerapkan keduanya. Hal ini ditegaskan Sameer Shelke, Co-Founder dan CEO dari Aujas Cybersecurity, “One doesn’t ensure the other, and we need both to work together as a proper control mechanism.”
Data Privacy dan Data Protection pada RUU PDP
Hak atas privasi diakui sebagai salah satu hak-hak asasi manusia, di bawah Pasal 12 Deklarasi Umum Hak Asasi Manusia dan Pasal 17 Kovenan Internasional tentang Hak-Hak Sipil dan Politik. Meski hak ini merupakan hak mendasar, sayangnya pemenuhan hak ini tidak selalu berjalan mulus. Telah terjadi berbagai kasus kebocoran dan penyalahgunaan data pribadi sebagaimana diuraikan sebelumnya.
Di Indonesia, pelindungan data pribadi telah diatur sejumlah peraturan perundang-perundangan. Namun, diantara peraturan perundang-undangan tersebut belum ada yang setingkat undang-undang. Menyadari hal tersebut, pemerintah tengah menyiapkan RUU PDP.
Sebelum menelaah aspek data privacy dan data protection pada RUU PDP, perlu diuraikan terlebih dahulu beberapa hal mendasar dalam RUU PDP, guna memudahkan pemahaman atas aspek-aspek yang lebih khusus. Sebagai catatan, tulisan ini ditulis berdasarkan draf RUU PDP per Januari 2020.
Pertama-tama, menurut RUU PDP, data pribadi adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik dan/atau nonelektronik.
Adapun, data pribadi dikategorikan menjadi yang bersifat umum dan yang bersifat spesifik. Data pribadi yang bersifat umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
Sementara data pribadi yang bersifat spesifik, terdiri dari data dan informasi kesehatan, data biometrik, data genetika, kehidupan/orientasi seksual, pandangan politik, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
Selanjutnya, menurut RUU PDP, terdapat tiga pihak yang terlibat dalam pelindungan data pribadi. Pertama, pengendali data pribadi, ialah pihak yang menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Kedua, prosesor data pribadi, ialah pihak yang melakukan pemrosesan data pribadi atas nama pengendali data pribadi.
Pengendali data pribadi dan prosesor data pribadi dapat berupa, orang perseorangan, korporasi, badan publik, organisasi, atau institusi. Ketiga, pemilik data pribadi, ialah orang perseorangan selaku subyek data yang memiliki data pribadi yang melekat pada dirinya.
Terhadap data pribadi yang diminta oleh pengendali data kepada pemilik data, dilakukan pemrosesan data. Pemrosesan data tersebut harus sesuai dengan prinsip pelindungan data pribadi yang tercantum pada Pasal 17 ayat (2) RUU PDP, yakni:
- Pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, patut, dan transparan;
- Pemrosesan data pribadi dilakukan sesuai dengan tujuannya;
- Pemrosesan data pribadi dilakukan dengan menjamin hak pemilik data pribadi;
- Pemrosesan data pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan;
- Pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau kehilangan data pribadi;
- Pemrosesan data pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan data pribadi;
- Data pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan pemilik data pribadi kecuali ditentukan lain oleh peraturan perundang-undangan; dan
- Pemrosesan data pribadi dilakukan secara bertanggung jawab dengan memenuhi pelaksanaan prinsip pelindungan data pribadi dan dapat dibuktikan secara jelas.
Pada RUU PDP, hak-hak pemilik data pribadi, diatur pada Pasal 4 hingga Pasal 16. Dari pasal-pasal tersebut diketahui, pemilik data pribadi memiliki sejumlah hak sebagai berikut:
- Meminta informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, dan akuntabilitas pihak yang meminta data pribadi.
- Mengakses, melengkapi, memperbarui, dan/atau memperbaiki data pribadi miliknya.
- Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi miliknya.
- Menarik kembali persetujuan pemrosesan data pribadi miliknya yang telah diberikan kepada pengendali data pribadi.
- Mengajukan keberatan atas pengambilan keputusan yang hanya didasarkan pada pemrosesan otomatis terkait profil seseorang (profiling).
- Memilih atau tidak memilih pemrosesan data pribadi secara pseudonim untuk tujuan tertentu.
- Menunda atau membatasi pemrosesan data pribadi secara proporsional sesuai dengan tujuan pemrosesan data pribadi.
- Menuntut dan menerima ganti rugi atas pelanggaran data pribadi miliknya.
- Mendapatkan dan/atau menggunakan data pribadi miliknya dari pengendali data pribadi dalam format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
- Menggunakan dan mengirimkan data pribadi miliknya ke pengendali data pribadi lainnya.
Hak-hak tersebut melahirkan kewajiban-kewajiban bagi pengendali data, seperti memberikan informasi yang diperlukan guna mendapatkan persetujuan pemilik data; menghentikan, menunda, atau membatasi pemrosesan data, jika pemilik data memintanya; memberikan akses kepada pemilik data; memproses data sesuai tujuan yang disetujui pemilik data; dan mengakhiri pemrosesan, menghapus, atau memusnahkan data dalam hal-hal tertentu.
Kewajiban pengendali data tidak terbatas pada itu saja, masih ada kewajiban lainnya yang berkaitan dengan pelindungan data. Diantaranya, melindungi dan memastikan keamanan data pribadi yang diprosesnya. Hal itu dilakukan melalui, penyusunan dan penerapan prosedur pelindungan data pribadi dari gangguan pemrosesan yang bertentangan dengan ketentuan peraturan perundang-undangan. Juga melalui, penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi bersangkutan.
Selain itu, pengendali data pribadi berkewajiban, mengawasi setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya. Juga memastikan pelindungan data pribadi dari pemrosesan yang tidak sah.
Pengendali data pribadi juga berkewajiban, mencegah data pribadi diakses secara tidak sah. Pencegahan dilakukan dengan menggunakan sistem keamanan pada data pribadi yang diprosesnya dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab. Kewajiban-kewajiban pengendali data pribadi ini oleh RUU PDP, diatur pada Pasal 24 hingga Pasal 42.
Jika terjadi kegagalan pelindungan data pribadi, RUU PDP melalui Pasal 40 juga mewajibkan pengendali data memberitahukan hal tersebut secara tertulis maksimal 3×24 jam kepada pemilik data dan Menteri Komunikasi dan Informatika (Menkominfo). Pemberitahuan tersebut memuat data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan yang dilakukan pengendali data.
Namun, dalam kasus-kasus tertentu pengendali data juga dapat diwajibkan untuk menyampaikan pemberitahuan, tidak hanya kepada pemilik data dan menteri, tetapi juga kepada khalayak, perihal kegagalan pelindungan data di bawah kendalinya.
Dari uraian di atas dapat diketahui bahwa, RUU PDP telah memuat aspek data privacy dan data protection. Memuat data privacy melalui pemberian hak-hak kepada pemilik data dalam mengontrol data miliknya, dalam hal siapa yang dapat mengakses datanya, untuk apa datanya dibagikan, dan sebagainya. Juga memberikan kewajiban-kewajiban kepada pengendali data sebagai konsekuensi dari hak-hak pemilik data.
Kemudian, memuat data protection dengan membebani pengendali data kewajiban-kewajiban pelindungan data. Diantaranya melalui, penyusunan dan penerapan kebijakan teknis pelindungan data, pengklasifikasian data, pengawasan pihak yang terlibat, dan penggunaan sistem keamanan.
Namun, RUU PDP memang tidak memuat ketentuan-ketentuan teknis, sebab RUU PDP mengamanatkan ketentuan-ketentuan teknis terkait pemrosesan data lebih lanjut diatur Peraturan Menteri Komunikasi dan Informatika (Permenkominfo).
Standar Minimal
Eryk Budi Pratama, seorang praktisi Keamanan Siber dan Privasi Data, di suatu perusahaan konsultan global ternama, berpendapat terdapat enam hal yang perlu diatur Permenkominfo tersebut. “Pertama, terkait inventarisasi pemrosesan data pribadi, Menkominfo perlu menentukan standar minimal pencatatan data pribadi. Pada Pasal 31 (RUU PDPD) sudah disebutkan, namun perlu dibuat lebih detail, jadi pelaku usaha terutama yang menengah ke bawah punya panduan, juga untuk perusahaan besar yang memproses banyak data, dapat mengetahui standar minimalnya (seperti) apa, sehingga bisa improve.”
Ia menambahkan aturan tersebut perlu memperhatikan keseimbangan, antara risiko pemrosesan, aspek aturan hukum, dan aspek bisnis. “Jadi, jangan sampai aturan ini menghambat bisnis,” ujarnya ketika diwawancarai oleh KlikLegal pada Sabtu (28/08/2021).
Kedua, terkait analisis risiko pemrosesan data. Pada RUU PDP sebenarnya telah diatur, tapi tidak secara eksplisit, hal ini dapat dilihat pada Pasal 27. Eryk membandingkan, jika pada General Data Protection Regulation (GDPR) yang diadopsi Uni Eropa, telah ditentukan kategori pemrosesan data yang berisiko tinggi. Sementara, pada RUU PDP, belum diatur secara spesifik. Eryk mengusulkan agar pada Perkominfo tersebut dimuat kriteria, standar minimal, dan mekanisme untuk melakukan Data Processing Agreement (DPA).
Ketiga, terkait manajemen akses permintaan data. “Kita ‘kan punya hak untuk mengakses data, mendapatkan informasi data kita diproses untuk apa, dan sebagainya. Kalau di RUU PDP ada di Pasal 32, yang mengatur mengenai permintaan akses, yakni pengendali data wajib memberikan akses kepada pemilik data maksimal 3×24 jam (sejak pengendali data menerima permintaan akses). Ini yang perlu diatur mekanismenya seperti apa,” ujar Eryk.
Eryk juga mengkomparasikan dengan ketentuan GDPR, yang apabila pengendali data tidak memberikan akses kepada pemilik data sesuai dengan ketentuan, dapat dituntut oleh pemilik data atau dapat disanksi.
Keempat, terkait data protection officer (DPO) atau pejabat pelindungan data pribadi. Menurutnya, pada Permenkominfo tersebut perlu diatur mengenai, standar kompetensi DPO di Indonesia, perlunya sertifikasi atau tidak, serta mekanisme peran dan tanggung jawab DPO dalam ekosistem pelindungan data di Indonesia.
Kelima, terkait manajemen persetujuan. Pada Pasal 18 dan Pasal 19 RUU PDP telah diatur mengenai explicit consent (persetujuan eksplisit atau persetujuan yang dinyatakan), serta beberapa kondisi tertentu dimana pemrosesan data tidak perlu membutuhkan persetujuan eksplisit dari pemilik data. Menurut Eryk, kondisi-kondisi tersebut yang perlu diperjelas oleh Menkominfo, yakni merincikan apa yang termasuk dalam vital interest, public interest, atau kepentingan yang sah lainnya.
Keenam, terkait pelaporan insiden, jika terjadi data breach (pelanggaran data). Eryk mengungkapkan bahwa berbeda dari asumsi umum, sebetulnya data breach tidak hanya meliputi kebocoran data, tapi juga pelanggaran terhadap prinsip-prinsip pelindungan data dan hak-hak pemilik data. Misalnya, terdapat ketidakakuratan data. Eryk berpendapat hal tersebut perlu diatur lebih detail pada Permenkominfo.
Selanjutnya, Eryk menilai, jika UU PDP belum disahkan dan aturan turunannya tidak spesifik atau jelas, maka berpotensi (membuat) perusahaan tidak sadar, kalau perusahaan tidak hanya perlu memastikan data aman, tetapi juga harus menjalankan etika dalam memproses data.
“Kesadaran (perusahaan) akan kurang, karena regulasi yang mengatur praktik pemrosesan data yang sah dan beretika belum cukup. Meski (sebagian) telah diatur oleh Permenkominfo Nomor 20 Tahun 2016 (tentang Pelindungan Data Pribadi dalam Sistem Elektronik), tapi belum cukup. Kalau ada (aturan) di tingkat undang-undang, pelaksanaannya akan lebih mudah dan berlaku bagi semua industri, tidak hanya industri tertentu,” imbuhnya.
Sebaliknya, jika pelaku usaha sebagai pengendali data, tidak bisa dipaksa meningkatkan keamanan informasi dan praktik-praktik pemrosesan data yang baik, dampaknya akan berimbas kepada pemilik data. Sehingga, tidak kunjung disahkannya UU PDP, tidak hanya memberikan ancaman bagi pengendali data, namun juga bagi pemilik data.
AAB
