Definisi
Hak subjek data adalah kumpulan hak yang melekat pada setiap orang atas data pribadi miliknya sendiri, yang wajib dihormati dan dipenuhi oleh pihak yang mengumpulkan atau mengolah data itu, biasa disebut pengendali data. Hak ini berangkat dari gagasan sederhana: nomor telepon, alamat, riwayat belanja, sampai data kesehatan seseorang tetap menjadi milik orang itu, meskipun secara fisik datanya tersimpan di server aplikasi, bank, atau instansi lain.
UU Pelindungan Data Pribadi menjadikan gagasan itu sebagai kewajiban hukum, bukan sekadar etika perusahaan. Sebelum UU ini berlaku, banyak pengguna aplikasi tidak menyadari bahwa mereka sebenarnya berhak menolak datanya dipakai untuk kepentingan tertentu, atau meminta datanya dihapus setelah tidak lagi diperlukan. Sesudahnya, pengendali data terikat kewajiban merespons permintaan subjek data dalam jangka waktu tertentu, dan tidak boleh mendiamkan permintaan itu begitu saja.
Penting dipahami, hak subjek data bukan hak tanpa batas. Ada situasi tertentu di mana pengendali data boleh menolak sebagian permintaan, misalnya karena ada kewajiban hukum lain yang mengharuskan data tetap disimpan untuk sementara waktu. Namun penolakan tersebut harus disampaikan secara tertulis dan disertai alasan, bukan sekadar diabaikan.
Dasar Hukum
UU PDP mengatur hak subjek data sebagai satu paket hak yang saling melengkapi. Pasal 5 menegaskan hak atas informasi: setiap orang berhak tahu identitas pihak yang meminta datanya, untuk apa data itu dipakai, dan dasar hukum apa yang melandasi permintaan tersebut. Pasal 8 kemudian memberi hak akses — subjek data berhak meminta salinan seluruh data pribadinya yang tersimpan pada suatu sistem.
Di luar dua pasal itu, UU PDP juga mengatur hak-hak lain yang menjadi satu kesatuan dengan hak akses, yaitu hak memperbarui data yang tidak akurat, hak meminta penghapusan data, hak menarik kembali persetujuan yang pernah diberikan, hak menolak pemrosesan data yang bersifat otomatis semata (misalnya profiling untuk menolak pengajuan kredit tanpa campur tangan manusia), serta hak atas portabilitas data agar data bisa dipindahkan ke penyelenggara lain. Pengendali data wajib menyediakan kanal yang mudah diakses untuk pelaksanaan seluruh hak tersebut, dan kegagalan memenuhinya dapat berujung sanksi administratif dari lembaga pengawas.
Jenis-Jenis Hak Subjek Data
Secara garis besar, hak subjek data terbagi menjadi beberapa kelompok yang sering dipakai dalam praktik:
- Hak atas informasi — mengetahui data apa saja yang dikumpulkan dan untuk tujuan apa.
- Hak akses dan salinan — meminta dan menerima salinan data pribadi yang tersimpan.
- Hak koreksi — memperbaiki data yang keliru atau sudah tidak sesuai.
- Hak hapus — meminta data dihapus ketika sudah tidak ada dasar hukum untuk menyimpannya.
- Hak menarik persetujuan — membatalkan izin yang pernah diberikan, misalnya izin pemasaran.
- Hak menolak keputusan otomatis — menolak keputusan yang berdampak signifikan bagi dirinya bila keputusan itu diambil murni oleh sistem otomatis.
- Hak portabilitas — memindahkan data ke penyelenggara lain dalam format yang bisa dibaca mesin.
Tidak semua hak ini berlaku sama kuat di setiap situasi. Hak hapus, misalnya, bisa tertunda bila data itu masih dibutuhkan untuk kewajiban hukum lain, seperti kewajiban perbankan menyimpan data transaksi untuk keperluan anti pencucian uang.
Syarat dan Prosedur
Untuk melaksanakan hak subjek data, langkah paling praktis adalah mengajukan permintaan tertulis kepada pengendali data — bisa lewat fitur pengaturan privasi di aplikasi, formulir khusus, atau surat resmi ke bagian yang menangani perlindungan data. Permintaan sebaiknya menyebutkan hak spesifik yang ingin dilaksanakan (akses, koreksi, atau hapus) agar pengendali data bisa langsung memprosesnya tanpa bolak-balik klarifikasi.
Pengendali data wajib merespons dalam jangka waktu yang wajar dan memberi penjelasan bila permintaan ditolak. Bila permintaan diabaikan atau ditolak tanpa alasan yang masuk akal, subjek data dapat mengadukan hal ini ke lembaga pengawas perlindungan data pribadi, atau menempuh jalur gugatan perdata untuk menuntut ganti rugi bila kelalaian itu menimbulkan kerugian nyata.
Ilustrasi Kasus
Sari, pengguna aplikasi belanja daring, memutuskan berhenti memakai aplikasi tersebut setelah tiga tahun. Ia mengajukan permintaan penghapusan seluruh data pribadinya lewat fitur pengaduan di aplikasi. Perusahaan merespons dengan menghapus data profil dan riwayat pencarian, tetapi tetap menyimpan data transaksi pembayaran selama periode tertentu karena ada kewajiban pencatatan keuangan yang mengharuskannya — sebuah pengecualian yang sah dan dijelaskan secara tertulis kepada Sari.
Kasus berbeda dialami Pak Anwar, nasabah sebuah aplikasi pinjaman daring, yang mendapati skor kreditnya rendah karena data pekerjaannya salah dicatat sistem. Ia mengajukan hak koreksi dengan melampirkan slip gaji sebagai bukti. Setelah diverifikasi, perusahaan memperbaiki data tersebut dan skor kredit Pak Anwar ikut disesuaikan, membuktikan bahwa hak koreksi bukan sekadar formalitas melainkan bisa berdampak langsung pada keputusan finansial yang diterima seseorang.
Batas dan Pengecualian
Hak subjek data tidak berlaku mutlak dalam segala keadaan. Pengendali data dapat menunda atau menolak sebagian permintaan bila ada kewajiban hukum lain yang lebih spesifik, misalnya kewajiban menyimpan data transaksi untuk kepentingan perpajakan atau anti pencucian uang, atau bila data itu sedang menjadi bagian dari alat bukti dalam suatu perkara yang berjalan. Penolakan atas dasar kepentingan umum, seperti penegakan hukum, juga dimungkinkan selama disertai penjelasan yang jelas.
Yang tidak dibenarkan adalah menolak permintaan tanpa alasan, atau mempersulit prosedur pengajuan hak subjek data sedemikian rupa sehingga pengguna kesulitan melaksanakan haknya. Praktik semacam ini justru bisa dianggap sebagai bentuk ketidakpatuhan yang berujung sanksi bagi pengendali data.