Definisi
Data pribadi adalah setiap informasi tentang orang perseorangan yang membuat orang itu dapat dikenali, baik langsung maupun setelah digabung dengan informasi lain. Nama, nomor induk kependudukan, nomor ponsel, alamat surel, sidik jari, riwayat lokasi, dan nomor rekening semuanya termasuk.
Kata kunci yang sering terlewat adalah dikombinasi. Satu potong informasi bisa terasa tidak berarti sendirian, misalnya tanggal lahir. Tetapi begitu digabung dengan nama dan kode pos, kombinasi itu bisa menunjuk satu orang tertentu, dan karena itu tetap dilindungi.
Jenis-Jenis
UU Pelindungan Data Pribadi membagi data pribadi menjadi dua golongan dengan tingkat perlindungan berbeda.
| Golongan | Contoh | Konsekuensi |
|---|---|---|
| Data umum | Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta data yang dikombinasikan sehingga mengidentifikasi seseorang | Tetap wajib dilindungi dan diproses dengan dasar yang sah |
| Data spesifik | Data kesehatan, data biometrik seperti wajah dan sidik jari, data genetika, catatan kejahatan, data anak, data keuangan pribadi | Perlindungan lebih ketat, penilaian dampak wajib dilakukan, risiko sanksi lebih besar jika bocor |
Pembagian ini menentukan seberapa hati-hati sebuah perusahaan harus bertindak. Aplikasi kesehatan yang menyimpan hasil laboratorium menanggung kewajiban jauh lebih berat daripada aplikasi yang hanya menyimpan nama dan surel.
Hak dan Kewajiban Para Pihak
Ada tiga pihak dalam ekosistem ini. Subjek data adalah orang yang datanya diproses. Pengendali data menentukan tujuan dan cara pemrosesan. Prosesor data memproses atas perintah pengendali.
Hak subjek data antara lain:
- Mendapat informasi tentang tujuan, dasar hukum, dan jangka waktu penyimpanan datanya.
- Mengakses dan memperoleh salinan datanya.
- Meminta pembetulan data yang keliru.
- Mengakhiri pemrosesan, menghapus, atau memusnahkan datanya.
- Menarik kembali persetujuan yang pernah diberikan.
- Menuntut ganti rugi atas pelanggaran pemrosesan.
- Menolak keputusan yang semata-mata dibuat secara otomatis dan berdampak hukum baginya.
Kewajiban pengendali data antara lain memastikan dasar pemrosesan yang sah, menjaga keamanan data, membatasi penyimpanan sesuai kebutuhan, menunjuk pejabat pelindungan data untuk kegiatan berisiko tinggi, dan memberitahukan kebocoran data kepada subjek data serta lembaga berwenang dalam waktu paling lama 3x24 jam.
Dasar Hukum
Rujukan utamanya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang diundangkan pada 17 Oktober 2022 dan berlaku penuh setelah masa transisi dua tahun, yakni sejak 17 Oktober 2024. Sejak tanggal itu, semua pengendali data di Indonesia wajib patuh sepenuhnya.
Sebelum UU PDP ada, perlindungan data pribadi bertumpu pada Pasal 26 UU ITE dan peraturan menteri. Ketentuan UU ITE itu belum dicabut dan masih dipakai, terutama untuk perkara yang berkaitan dengan penyelenggaraan sistem elektronik. Namun untuk sengketa data pribadi, UU PDP adalah aturan khususnya.
Sektor tertentu punya lapisan tambahan. Data nasabah tunduk pada aturan rahasia bank dan aturan perlindungan konsumen sektor keuangan. Data kesehatan tunduk pada aturan rahasia medis.
Contoh Kasus
Sebuah aplikasi belanja meminta pengguna mengunggah foto kartu tanda penduduk untuk verifikasi. Setahun kemudian pengguna bernama Fitri mendapat telepon dari perusahaan asuransi yang menyebut nama lengkap, tanggal lahir, dan alamatnya dengan tepat, padahal ia tidak pernah menjadi nasabah di sana.
Persoalannya bukan hanya kebocoran. Kalau ternyata aplikasi belanja itu membagikan data ke mitra pemasaran tanpa persetujuan terpisah, dasar pemrosesannya cacat sejak awal. Fitri berhak meminta penjelasan, meminta penghapusan datanya, dan menuntut ganti rugi. Ia juga dapat mengadu ke lembaga yang berwenang mengawasi pelindungan data pribadi.
Sanksi
Pelanggaran UU PDP dijerat dua lapis. Lapis administratif berupa teguran tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, sampai denda administratif yang besarannya paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Lapis pidana berlaku untuk perbuatan yang lebih berat. Memperoleh atau mengumpulkan data pribadi orang lain secara melawan hukum diancam penjara paling lama 5 tahun dan denda paling banyak Rp5 miliar. Mengungkapkannya diancam penjara paling lama 4 tahun dan denda paling banyak Rp4 miliar. Membuat data pribadi palsu untuk menguntungkan diri sendiri diancam ancaman yang lebih berat lagi. Korporasi yang melanggar dapat dikenai denda serta pidana tambahan seperti perampasan keuntungan dan pembekuan usaha.