UU PDP Disahkan: Era Baru Praktik Pelindungan Data Pribadi di Indonesia
“Dengan berlakunya UU PDP, peran serta masyarakat hingga pemerintah diperlukan untuk mewujudkan pelindungan data pribadi di Indonesia.”
Sebelum dikeluarkannya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), pengaturan data pribadi telah diatur dalam Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik (Permenkominfo No. 20/2016).
Selain itu, pengaturan data pribadi juga disingung dalam Pasal 26 Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE). Dengan demikian, kenapa data pribadi perlu diatur secara lebih spesifik dalam UU PDP?
Diliput dari nstagram Live Hukumonline bersama Asosiasi Praktisi Pelindungan Data Indonesia (APPDI) yang berjudul “Mampukah UU PDP atasi Persoalan Keamanan Data di Indonesia?” pada Selasa, 17 Oktober 2022, Raditya Kosasih selaku Ketua APPDI mengatakan bahwa data pribadi perlu diatur lebih lanjut dalam UU PDP karena aturan data pribadi dalam UU ITE belum menjangkau ketentuan data pribadi secara menyeluruh.
“Kalau dilihat selama ini, pelindungan data pribadi bukan berarti belum ada aturannya namun sudah ada beberapa peraturan sektoral yang mengatur mengenai pelindungan data pribadi,” tutur Raditya Kosasih.
Baca Juga: Raditya Kosasih, Praktisi Hukum Teknologi Digital yang Menahkodai APPDI
Ia mencontohkan, adanya peraturan turunan UU ITE yaitu Permenkominfo No. 20/2016 juga mengatur mengenai pelindungan data pribadi. Kendati demikian, data pribadi tersebut hanya terbatas pada lingkup elektonik. Padahal pada praktiknya banyak pula data pribadi yang berbentuk non elektronik seperti saat mengisi data pada formulir untuk pendaftaran rekening bank.
“Formulir yang diisi kan dalam bentuk kertas dan ada data pribadi yang harus diisi disitu,” lanjutnya.
Selain adanya data pribadi di luar aspek elektronik yang diatur dalam UU ITE, Raditya Kosasih juga menambahkan bahwa UU PDP diperlukan untuk mengharmonisasikan peraturan-peraturan data pribadi di Indonesia yang saat ini sifatnya masih sektoral.
“Ini lah urgensi UU PDP. Yaitu untuk melakukan harmonisasi peraturan data pribadi di Indonesia. Jadi lebih dari 30 peraturan sektoral yang selama ini mengatur tentang data pribadi memiliki acuan yang sama di satu peraturan yang sama. Dimulai dari yang paling dasar misalnya, mengenai definisi data pribadi itu sendiri.” tambah Raditya Kosasih.
Tak hanya itu, disahkannya UU PDP ini menjadi era baru bagi praktik pelindungan data pribadi di Indonesia. Sehingga, pengetahuan masyarakat untuk lebih aware terhadap pelindungan data pribadi, masa transisi sektor swasta dalam jangka waktu dua tahun untuk patuh dengan ketentuan UU PDP, serta diterbitkannya peraturan turunan UU PDP oleh pemerintah menjadi faktor penting dalam pengimplementasian pelindungan data pribadi di Indonesia.
“Ini merupakan era baru bagi praktik pelindungan data pribadi di Indonesia. Sehingga kita harus sama-sama mengawal dan mendukung pemerintah utk memastikan ini [pelindungan data pribadi] dapat dilaksanakan dg baik,” tutur Raditya Kosasih.
Poin-Poin Penting dalam UU PDP
Adapun dalam UU PDP, terdapat poin-poin penting yang menarik untuk diperhatikan, yaitu:
- Pengkategorian data pribadi umum dan spesifik
Dilihat dari jenis data pribadi, kalau sebelumnya hanya ada definisi dari data pribadi saja, kini terdapat definisi yang antara data pribadi umum dan data pribadi spesifik yang mencakup keuangan, data kesehatan, data biometrik, hingga data anak.
- Eksistensi data controller dan data processor
Dalam UU PDP dikenal istilah data controller dan data processor yang dulunya belum dikenal dalam peraturan data pribadi sektoral di Indonesia. Data controller atau pengendali data pribadi merupakan pihak yang menentukan tujuan dari pemrosesan data, sebagaimana diatur dalam Pasal 1 angka 4 UU PDP. Sedangkan data processoratau prosesor data pribadi merupakan pihak yang melakukan pemrosesan data itu sendiri (Pasal 1 angka 5 UU PDP).
Perbedaan tanggung jawab antara data controller dan data processor pun telah diidentifikasi secara jelas dalam UU PDP yaitu yang memiliki tanggung ialah data controller. Namun data processor juga dapat bertanggung jawab jika ia melakukan aksi diluar instruksi data controller.
- Adanya istilah data subject rights atau hak subjek data
Namun, terkait hal ini perlu adanya peraturan turunan yang mengatur lebih lanjut mengenai pelaksanaan teknis hak subjek data karena UU PDP hanya mengatur mengenai jangka waktu pemenuhan hak subjek data, yakni dua tahun.
- Adanya data protection officer (DPO)
DPO ialah pejabat yang melakukan pelindungan data pribadi. Dalam Pasal 58 UU PDP, DPO nantinya akan berbentuk lembaga yang ditetapkan oleh presiden. Kendati demikian, ketentuan lebih lanjut mengenai pengaturan kelembagaan ini akan diatur dengan Peraturan Presiden.
FMJ
