RUU PDP Belum Disahkan, Bagaimana Aturan dan Praktik Transfer Data Pribadi Lintas Batas Negara di Indonesia?
Transfer data pribadi lintas batas negara sudah tak lagi dapat dihindari. Namun Indonesia belum memiliki aturan terkait hal itu. Lantas apakah dapat berpedoman pada GDPR?
Perkembangan teknologi informasi yang begitu cepat semakin mengeliminir batas-batas antar negara. Dalam hitungan menit, bahkan secara live, masyarakat di suatu belahan dunia mampu mendapatkan informasi yang terjadi di belahan dunia lainnya.
Tidak terkecuali informasi yang tergolong sebagai data pribadi. Sekarang ini pertukaran, pengiriman, atau transfer data pribadi lintas batas negara sudah tidak dapat dihindari lagi. Pengguna Instagram, Twitter, dan Tik Tok sudah menjamur di tanah air. Nama, alamat email, nomor handphone, bahkan informasi-informasi yang lebih sensitif sudah tidak jarang dibagikan kepada platform-platform media sosial yang berkantor pusat di luar Indonesia itu.
Akan tetapi, karena bersifat pribadi, tentunya data-data pribadi tidak dapat sembarangan ditransfer dari suatu negara ke negara lainnya, mengingat setiap negara memiliki aturan yang beragam satu sama lain.
Berbagai instrumen pelindungan data pribadi kini mulai diterbitkan oleh negara-negara maupun organisasi regional. Salah satunya, yang diperhitungkan sebagai gold standard, ialah General Data Protection Regulation (GDPR) yang diadopsi oleh Uni Eropa (European Union atau EU). GDPR juga mengatur perihal transfer data pribadi ke negara ketiga atau organisasi internasional, namun negara atau organisasi terkait harus memiliki dan menerapkan aturan pelindungan data pribadi yang setingkat dengan GDPR.
Sementara di Indonesia, aturan serupa masih berbentuk rancangan undang-undang. Lantas, saat ini bagaimana organisasi-organisasi, perusahaan-perusahaan, atau lembaga-lembaga yang berkedudukan di Indonesia menghadapi pertukaran data dengan negara lain? Adakah aturan lain yang mengaturnya? Atau bisa jadi, praktik ini tidak dapat dilakukan sama sekali di Indonesia? Mari cari tahu bersama-sama!
Transfer Data Pribadi termasuk Pemrosesan Data Pribadi
Sebelum mendalami perihal transfer data pribadi lintas batas negara, perlu diketahui beberapa hal mendasar terkait transfer data pribadi itu sendiri. Aturan mengenai transfer data pribadi dapat ditemukan pada Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE).
PP PSTE ini mencabut Peraturan Pemerintah Nomor 82 Tahun 2012 (PP 82/2012), yang lebih dulu membahas hal yang sama. Kedua PP ini merupakan aturan-aturan turunan dari Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE).
Baik UU ITE maupun undang-undang perubahannya, yakni Undang-Undang Nomor 19 Tahun 2016, sama-sama tidak membahas mengenai data pribadi secara mendetail, termasuk transfer data pribadi. Bahkan UU ITE juga belum mendefinisikan apa itu data pribadi.
UU ITE hanya mengatur bahwa, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang, harus dilakukan atas persetujuan orang bersangkutan, kecuali ditentukan lain oleh peraturan perundang-undangan (Pasal 26 (1)).
Kemudian, setiap orang yang dilanggar haknya tersebut dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan undang-undang ini. Penjelasan Pasal 26 ayat (1) menyatakan bahwa, perlindungan data pribadi termasuk hak pribadi atau privacy rights.
Barulah data pribadi dibahas lebih mendetail pada PP 82/2012. Menurut PP tersebut, data pribadi adalah:
“Data perseorangan tertentu yang disimpan, dirawat, dan dijaga kebenaran serta dilindungi kerahasiaannya” (Pasal 1 angka 27).
Kemudian, menurut Pasal 15 ayat (1), terkait dengan data pribadi, Penyelenggara Sistem Elektronik (PSE) wajib menjamin perolehan, penggunaan, pemanfaatan, penggunaan, dan/atau pengungkapan data pribadi, berdasarkan persetujuan pemilik data, kecuali ditentukan lain oleh peraturan perundang-undangan. Sehingga, dapat diketahui belum diatur terkait transfer data pribadi oleh peraturan yang ada kala itu.
PP 82/2012 kemudian dicabut dengan terbitnya PP PSTE. Dengan terbitnya PP PSTE, hadirlah definisi data pribadi yang lebih lengkap, yang menurut Pasal 1 angka 29 adalah:
“Setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui Sistem Elektronik dan/atau nonelektronik.”
Dalam PP PSTE ini mulai dikenal istilah “pemrosesan data pribadi”. Pemrosesan data pribadi oleh PSE, meliputi diantaranya penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan (Pasal 14 ayat (2) huruf (e)). Pemrosesan data pribadi, termasuk transfer, harus dilakukan berdasarkan persetujuan yang sah dari pemilik data (Pasal 14 ayat (3)).
Selain persetujuan, pemrosesan data pribadi juga dapat berdasarkan alasan-alasan berikut, yakni pemenuhan kewajiban terkait perjanjian, hukum, vital interest, kewenangan publik, public interest, dan/atau legitimate interest (kepentingan yang sah) lainnya (Pasal 14 ayat (4)).
Dalam melakukan pemrosesan data pribadi, PSE juga wajib melaksanakan prinsip-prinsip pelindungan data pribadi yang secara lengkap diatur pada Pasal 14 ayat (1). Diantaranya, pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, adil, dengan sepengetahuan dan persetujuan pemilik data.
Penyimpanan Data dan Transfer Data
Selain mengatur hal-hal di atas, PP PSTE juga membedakan PSE berdasarkan lingkupnya, menjadi PSE Lingkup Publik dan PSE Lingkup Privat. Adapun, PSE Lingkup Publik terdiri dari instansi (penyelenggara negara) dan institusi yang ditunjuk instansi. Sementara, PSE Lingkup Privat merupakan PSE-PSE di luar itu (PSE dari masyarakat atau swasta).
Terdapat ketentuan yang berbeda bagi PSE Lingkup Publik dan PSE Lingkup Privat, terkait lokasi pengelolaan, pemrosesan, dan penyimpanan sistem dan data elektroniknya.
Bagi PSE Lingkup Publik wajib mengelola, memroses, dan menyimpan sistem dan data elektronik di wilayah Indonesia (Pasal 20 ayat (2)). Sementara, bagi PSE Lingkup Privat tidak wajib melokalisasi data dan sistemnya, karena diperbolehkan untuk menempatkan data dan sistem elektronik, baik di dalam maupun di luar wilayah Indonesia (Pasal 21 ayat (1)).
Meski demikian, jika PSE Lingkup Privat menempatkan data dan sistemnya di luar negeri, PSE tetap wajib memastikan efektivitas pengawasan dan penegakan hukum otoritas Indonesia. PSE wajib memberikan akses terhadap data dan sistemnya dalam rangka pengawasan dan penegakan hukum sesuai dengan ketentuan berlaku, termasuk untuk kepentingan penyidikan, penuntutan, atau persidangan tindak pidana di wilayah Indonesia (Pasal 34 Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat).
Hal serupa diatur pada Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik (PM Kominfo 20/2016). Disebutkan pada Pasal 17 ayat (1), bahwa pusat data (data center) dan pusat pemulihan bencana (disaster recovery center) PSE untuk pelayanan publik yang digunakan untuk proses perlindungan data pribadi wajib ditempatkan di Indonesia.
Adapun, data center merupakan fasilitas penempatan sistem elektronik dan komponen terkaitnya untuk kepentingan penempatan, penyimpanan, dan pengolahan data. Sementara, disaster recovery center merupakan fasilitas pemulihan data atau informasi serta fungsi-fungsi penting sistem elektronik yang terganggu atau rusak akibat bencana.
Sedangkan terkait transfer data, Pasal 21 PM Kominfo 20/2016 sudah mengatur terkait hal tersebut, namun lebih cenderung dalam konteks transfer data dalam negeri, baik antar PSE, antara PSE dan pengguna, atau antar pengguna.
Kembali ditegaskan, transfer data harus berdasarkan persetujuan kecuali ditentukan lain oleh peraturan perundang-undangan. Syarat lainnya adalah dapat dilakukan hanya setelah diverifikasi keakuratan dan kesesuaiannya dengan tujuan perolehan dan pengumpulan data pribadi bersangkutan.
Lantas, bagaimana dengan transfer data lintas batas negara? Hal tersebut diatur secara singkat pada Pasal 22 PM Kominfo 20/2016.
Dalam beleid tersebut, disebutkan pengiriman data pribadi, baik yang dikelola PSE pada instansi pemerintah dan pemerintahan daerah, maupun masyarakat atau swasta, yang berdomisili di Indonesia, ke luar Indonesia harus:
- Berkoordinasi dengan Menteri Komunikasi dan Informatika atau pejabat/lembaga yang diberi wewenang untuk itu; dan
- Menerapkan ketentuan peraturan perundang-undangan terkait pertukaran data pribadi lintas batas negara.
Pelaksanaan koordinasi tersebut berupa:
- Melaporkan rencana pelaksanaan pengiriman data pribadi, minimal memuat nama jelas negara tujuan dan subjek penerima, tanggal pelaksanaan, serta alasan atau tujuan pengiriman;
- Meminta advokasi, jika diperlukan; dan
- Melaporkan hasil pelaksanaan kegiatan.
Sebagaimana diuraikan di atas, salah satu syarat transfer data lintas batas negara, yakni harus menerapkan ketentuan peraturan perundang-undangan terkait pertukaran data pribadi lintas batas negara. Nyatanya, hingga kini belum terdapat ketentuan mengenai hal tersebut.
Dari aturan-aturan di atas juga dapat dilihat, bahwa data pribadi yang banyak diatur mengenai pemrosesannya, termasuk pengirimannya di dalam maupun di luar negeri, merupakan data pribadi dalam sistem elektronik. Belum ada aturan komprehensif yang mencakup, baik data pribadi dalam sistem elektronik, maupun yang tidak (offline data).
RUU PDP akan Isi Kekosongan Hukum
Kini pemerintah Indonesia tengah menyiapkan instrumen hukum yang digadang-gadang akan mencakup secara komprehensif terkait pelindungan data pribadi, baik data pribadi dalam sistem elektronik maupun yang tidak. Tidak terkecuali, juga mengatur mengenai transfer data pribadi lintas batas negara, yang aturan hukumnya masih absen hingga kini.
Instrumen tersebut masih berbentuk rancangan, yakni Rancangan Undang-Undang Pelindungan Data Pribadi (RUU PDP). Draf RUU PDP dapat diakses di situs Kominfo. Dari draf tersebut dapat dilihat bahwa RUU PDP telah banyak “berupaya” mengisi kekosongan aturan-aturan.
Adapun, ketentuan terkait transfer data pribadi lintas batas negara diatur pada Pasal 49. Diatur bahwa, pengendali data pribadi dapat mentransfer data pribadi kepada pengendali data pribadi di luar wilayah Indonesia jika:
- Negara tempat kedudukan pengendali data pribadi atau organisasi internasional yang menerima transfer data pribadi memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari yang diatur dalam undang-undang ini;
- Terdapat perjanjian internasional antarnegara;
- Terdapat kontrak antar pengendali data pribadi yang memiliki standar dan/atau jaminan pelindungan data pribadi sesuai dengan yang diatur dalam undang-undang ini; dan/atau
- Mendapat persetujuan pemilik data pribadi.
Ketentuan lebih lanjut terkait transfer data pribadi lintas batas negara ini direncanakan nantinya diatur dalam sebuah Peraturan Pemerintah.
Ketentuan ini termasuk dari kebanyakan ketentuan-ketentuan RUU PDP yang terpengaruh dari regulasi pelindungan data pribadi yang dimiliki EU, yakni GDPR. GDPR yang diterbitkan EU pada 14 April 2016 and mulai berlaku pada 25 Mei 2018 ini, disebut-sebut sebagai golden standar bagi aturan pelindungan data pribadi di dunia. Sebab memuat aturan-aturan privasi dengan standar tertinggi di dunia.
Inspirasi GDPR
Dalam kondisi belum disahkannya RUU PDP dan tidak ada aturan yang mengatur secara jelas terkait hal ini. Praktisi Keamanan Siber dan Privasi Data, Eryk Budi Pratama, memaparkan bagaimana praktik transfer data pribadi lintas batas negara yang dapat diterapkan oleh organisasi di Indonesia saat ini.
Eryk mengatakan untuk sektor jasa keuangan sudah memiliki aturan yang cukup ketat. Menurutnya, hal ini secara tidak langsung membatasi pertukaran data di sektor tersebut. “Saat ini, sektor industri yang diatur cukup ketat adalah keuangan melalui OJK dan BI, khususnya terkait data residency. OJK dan BI mewajibkan sistem yang menyimpan data nasabah harus berada di Indonesia. Perusahaan dapat meletakkan data di luar Indonesia atas seizin OJK dan BI,” tuturnya kepada KlikLegal, Rabu.
Sementara untuk sektor lainnya, di luar sektor keuangan, dapat mengacu pada Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP 71/2019 atau PP PSTE). Yang mengatur bahwa, PSE Lingkup Privat dapat melakukan pengelolaan, pemrosesan, dan/atau penyimpanan sistem dan data elektronik di wilayah Indonesia dan/atau di luar wilayah Indonesia.
Menurut Eryk, perlu disadari bahwa PP 71/2019 (PP PSTE) ini memuat ketentuan-ketentuan yang lebih longgar, jika dibandingkan dengan PP 82/2012. Hal ini menjadi tantangan dalam penerapan perlindungan data pribadi ketika RUU PDP disahkan, karena belum ada aturan dan petunjuk teknis yang jelas dari pemerintah, terkait transfer data, khususnya data pribadi, lintas batas negara.
Tidak hanya itu, Eryk juga sedikit menyinggung perihal GDPR. “Namun, jika kita mengacu pada praktik yang terjadi di Eropa, Pasal 46 GDPR menyatakan bahwa organisasi harus menerapkan ‘appropriate safeguards’ atau perlindungan data yang memadai ketika melakukan transfer data. Sebelum melakukan transfer, organisasi perlu melakukan Transfer Impact Assessment (TIA) untuk melihat apakah dari risiko-risiko yang ada, pengiriman data ke negara tertentu diizinkan atau tidak.”
Pada GDPR, transfer data pribadi lintas batas, ke negara ketiga atau ke organisasi internasional, diatur pada Bab V, tepatnya mulai dari Pasal 44 hingga Pasal 49. Pasal 45 mengatur transfer berbasis adequacy decision; Pasal 46 mengatur transfer berbasis appropriate safeguards, jika tidak ada adequacy decision untuk negara ketiga atau organisasi internasional tertentu; Pasal 47 mengatur transfer berbasis Binding Corporate Rules (BCR); Pasal 48 mengatur transfer atau pengungkapan data pribadi yang tidak diizinkan oleh hukum EU; dan Pasal 49 mengatur pengecualian-pengecualian dalam kondisi-kondisi tertentu.
Hanya jika, data ditransfer ke negara ketiga atau organisasi internasional yang tidak dianggap “memadai”, pengendali atau pemroses data pribadi dapat memilih opsi-opsi lain untuk tetap dapat mentransfer data pribadi. Kemudian, GDPR tidak hanya memungkinkan transfer data pribadi ke negara ketiga atau ke organisasi internasional, tetapi juga ke wilayah atau sektor tertentu di negara ketiga.
Menurut Pasal 45 GDPR, European Commission (EC) akan memutuskan dan membuat daftar negara ketiga dan organisasi internasional yang memastikan tingkat perlindungan data pribadi yang memadai. Transfer data pribadi ke negara-negara atau organisasi-organisasi ini, tidak memerlukan otorisasi lebih lanjut.
Dalam menilai kecukupan tingkat perlindungan, EC mempertimbangkan beberapa unsur, yaitu: supremasi hukum, penghormatan terhadap hak asasi manusia dan kebebasan fundamental, serta undang-undang yang relevan, baik secara umum maupun sektoral; keberadaan dan efektivitas lembaga pengawas; dan kewajiban atau komitmen internasional dari negara atau organisasi terkait pelindungan data pribadi.
Namun, jika negara ketiga atau organisasi internasional tertentu belum ditetapkan memiliki tingkat pelindungan data pribadi yang cukup oleh EC, transfer data pribadi ke negara atau organisasi tersebut masih dimungkinkan, dengan harus menerapkan appropriate safeguards (tindakan-tindakan pengamanan yang tepat). Hal ini diatur Pasal 46.
Transfer diizinkan hanya jika, pengendali atau pemroses data pribadi telah menerapkan tindakan-tindakan pengamanan yang tepat, dan dengan syarat tersedianya hak-hak pemilik data yang dapat ditegakkan dan upaya-upaya hukum yang efektif untuk pemilik data.
Tindakan-tindakan pengamanan yang diterapkan berdasarkan hal-hal ini, tidak memerlukan otorisasi lebih lanjut oleh lembaga pengawas GDPR, yakni:
- Instrumen yang mengikat secara hukum antara otoritas atau badan publik;
- Binding Corporate Rules (BCR) sesuai dengan Pasal 47;
- Klausul kontrak perlindungan data standar (Standard Contractual Clauses atau SCC) yang diadopsi EC, sesuai dengan prosedur pemeriksaan sebagaimana dimaksud dalam Pasal 93 ayat (2);
- Klausul kontrak perlindungan data standar (SCC) yang diadopsi lembaga pengawas dan disetujui EC, sesuai dengan prosedur pemeriksaan sebagaimana dimaksud dalam Pasal 93 ayat (2);
- Kode etik yang disetujui sesuai dengan Pasal 40, bersama dengan komitmen yang mengikat dan dapat dilaksanakan oleh pengendali atau pemroses di negara ketiga untuk menerapkan pengamanan yang sesuai, termasuk yang berkaitan dengan hak subjek data; atau
- Mekanisme sertifikasi yang disetujui sesuai dengan Pasal 42, bersama dengan komitmen yang mengikat dan dapat dilaksanakan oleh pengontrol atau pemroses di negara ketiga untuk menerapkan pengamanan yang tepat, termasuk yang berkaitan dengan hak subjek data.
Sementara, tindakan-tindakan pengamanan yang berdasarkan klausul-klausul kontrak ad hoc tunduk pada otorisasi lembaga pengawas. Seperti, klausul kontrak antara pengendali atau pemroses data pribadi dengan pengendali, pemroses, atau penerima data pribadi di negara ketiga atau organisasi internasional.
Kemudian, aturan transfer data berbasis BCR diatur lebih lanjut pada Pasal 47. Ketentuan tersebut menetapkan bahwa BCR memerlukan persetujuan dari lembaga pengawas dan mengatur hal-hal yang setidaknya harus dimuat dalam suatu BCR, seperti informasi tentang data dan proses transfer, prosedur pengaduan, dan mekanisme kepatuhan.
Sementara, Pasal 48 mengatur bahwa, setiap keputusan pengadilan atau tribunal dan keputusan otoritas administratif negara ketiga, yang mewajibkan pengendali atau pemroses data pribadi untuk mentransfer atau mengungkapkan data pribadi, hanya dapat diakui atau ditegakkan jika terdapat perjanjian internasional, yang berlaku antara negara ketiga dengan EU atau negara anggotanya. Seperti perjanjian Mutual Legal Assistance (MLA).
Terkait sejumlah tindakan pengamanan (safeguards) di atas, Eryk memaparkan, keseluruhannya belum tentu dapat diterapkan di Indonesia. “GDPR telah menentukan beberapa legal safeguards, seperti adanya Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), Ad Hoc Contractual Clauses, International Agreements, Approved Codes of Conduct and Certification Mechanisms, dan instrumen-instrumen hukum mengikat antara otoritas publik, namun belum tentu hal tersebut secara keseluruhan dapat diterapkan di Indonesia. Nantinya pemerintah perlu melakukan kajian lebih lanjut untuk menetapkan mekanisme TIA yang cocok digunakan oleh Indonesia,” usulnya.
Eryk juga menuturkan, sejumlah kendala yang mungkin dihadapi dalam mentransfer maupun menerima data pribadi lintas batas negara, “Bagi organisasi di Indonesia, tantangan terbesar adalah jika melakukan transfer data warga Eropa dari dan ke Indonesia (dalam hal ini kantor pusat atau cabang ada di Eropa). Saat ini Indonesia belum masuk ke daftar negara yang telah mendapatkan status kecukupan (adequacy) dari European Commission.”
Sehingga jika legal safeguards yang diterapkan tidak memadai, maka transfer data pribadi tidak boleh dilakukan. Jika transfer tetap dilakukan, maka organisasi dapat dikenakan sanksi oleh lembaga pengawas.
Namun, transfer data tetap dimungkinkan jika berdasarkan kepentingan-kepentingan sah (legitimate interests) lainnya. “Dengan asumsi yang saya sebutkan, maka organisasi masih dapat melakukan transfer data dengan menggunakan dasar hukum atau legal basis, seperti persetujuan (consent), pemenuhan kontrak, kepentingan publik, perlindungan terhadap kepentingan vital, dan legitimate interest,” papar Eryk.
Pengecualian-pengecualian untuk kondisi-kondisi tertentu ini diatur pada Pasal 49 GDPR, yang menyatakan bahwa jika tidak terdapat adequacy decision ataupun appropriate safeguards, transfer data masih dimungkinkan. Yakni jika berdasarkan atau berkaitan dengan hal-hal berikut: persetujuan eksplisit pemilik data pribadi; pemenuhan kontrak; terkait tuntutan hukum; terkait public interest; pelindungan vital interests; atau transfer dilakukan dari daftar, yang menurut hukum EU atau negara anggotanya, dimaksudkan untuk memberikan informasi kepada publik dan yang terbuka untuk konsultasi baik oleh publik secara umum atau oleh siapa pun yang dapat menunjukkan kepentingan yang sah.
Apabila tidak juga memenuhi salah satu alasan dari alasan-alasan di atas, dapat berdasarkan kepentingan-kepentingan sah lainnya.
Namun tidak semudah itu, karena masih banyak syarat yang perlu dipenuhi pengendali data pribadi, termasuk: tidak mengesampingkan kepentingan atau hak dan kebebasan pemilik data pribadi; transfer data tidak berulang; melibatkan jumlah pemilik data pribadi yang terbatas; melakukan penilaian risiko; berdasarkan penilaian tersebut, menyediakan safeguards yang memadai; menginformasikan ke lembaga pengawas; dan menginformasikan kepada pemilik data pribadi terkait transfer datanya dan kepentingan sah yang mendasarinya.
AAB
