Definisi
Perlindungan data pribadi adalah upaya hukum untuk menjaga data yang dapat mengidentifikasi seseorang dari pengumpulan, pemrosesan, dan pemanfaatan yang tidak sah atau melanggar hak pemilik data tersebut. Di Indonesia, kerangka hukumnya diatur komprehensif lewat UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang disahkan Oktober 2022 dan berlaku efektif penuh sejak Oktober 2024 setelah masa transisi dua tahun bagi pengendali data untuk menyesuaikan sistemnya.
UU PDP membagi data pribadi menjadi dua kategori dengan tingkat perlindungan berbeda. Data pribadi bersifat umum mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, dan data identitas dasar lainnya. Data pribadi bersifat spesifik mencakup data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain yang berpotensi menimbulkan diskriminasi atau kerugian lebih besar jika disalahgunakan — kategori ini memerlukan dasar pemrosesan dan pengamanan yang lebih ketat.
Yang membuat UU PDP berbeda dari sekadar aturan keamanan siber biasa adalah fokusnya pada hak subjek data sebagai individu, bukan hanya kewajiban teknis bagi perusahaan. Filosofi ini yang mendasari pembentukan hak-hak yang bisa dituntut langsung oleh pemilik data.
Dasar Hukum
UU PDP menjadi rujukan utama, dilengkapi UU ITE untuk aspek keamanan sistem elektronik tempat data pribadi diproses, serta berbagai aturan sektoral seperti ketentuan OJK untuk data nasabah keuangan dan ketentuan Kominfo untuk penyelenggara sistem elektronik. UU PDP mengatur enam asas yang mendasari seluruh pemrosesan data pribadi: pelindungan, kepastian hukum, kepentingan subjek data, kemanfaatan, kehati-hatian, keseimbangan, pertanggungjawaban, dan kerahasiaan — asas-asas ini yang dipakai hakim atau otoritas pengawas ketika menilai apakah suatu pemrosesan data sudah sesuai hukum atau belum.
Berbeda dari banyak negara yang sudah punya otoritas pengawas independen sejak awal, Indonesia masih dalam proses membentuk lembaga pengawas PDP yang mandiri, sehingga dalam masa transisi pengawasan dan penegakan banyak dijalankan lewat koordinasi antar-kementerian dan lembaga terkait.
Hak dan Kewajiban Para Pihak
UU PDP memberi subjek data serangkaian hak yang bisa ditagih langsung ke pengendali data: hak mendapatkan informasi yang jelas tentang tujuan pemrosesan datanya, hak mengakses data yang dimiliki pengendali, hak memperbaiki data yang tidak akurat, hak menghapus data dalam kondisi tertentu, hak menarik kembali persetujuan yang pernah diberikan, hak mengajukan keberatan atas keputusan otomatis yang berdampak signifikan, serta hak menggugat ganti rugi jika terjadi pelanggaran.
Di sisi lain, pengendali data pribadi wajib memiliki dasar pemrosesan yang sah — bisa berupa persetujuan eksplisit, kewajiban kontraktual, kewajiban hukum, atau kepentingan yang sah lainnya — menjaga kerahasiaan data yang diprosesnya, menerapkan langkah keamanan teknis dan organisatoris yang memadai, serta memberitahukan subjek data dan otoritas berwenang bila terjadi kegagalan perlindungan data (data breach).
Praktik di Pengadilan
Sejak UU PDP berlaku efektif, gugatan perdata terkait kebocoran atau penyalahgunaan data pribadi mulai bermunculan di pengadilan, meski jumlahnya belum sebanyak gugatan perdata konvensional karena masyarakat masih dalam tahap memahami hak-haknya. Dalam praktiknya, pembuktian kerugian akibat kebocoran data pribadi sering menjadi tantangan tersendiri, karena penggugat harus menunjukkan hubungan sebab-akibat yang jelas antara kebocoran data dan kerugian yang dialami, seperti penipuan yang menyasar dirinya menggunakan data yang bocor tersebut.
Pengadilan pada beberapa perkara awal cenderung memprioritaskan penyelesaian lewat mediasi atau kesepakatan ganti rugi di luar persidangan penuh, terutama ketika pengendali data mengakui kelalaiannya dan bersedia memberi kompensasi kepada subjek data yang terdampak.
Sanksi
Pelanggaran UU PDP oleh pengendali data dapat dikenai sanksi administratif bertingkat, mulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data, hingga denda administratif yang besarannya dihitung berdasarkan persentase pendapatan tahunan pelanggar. Selain sanksi administratif, UU PDP juga memuat ketentuan pidana bagi pihak yang dengan sengaja dan melawan hukum memperoleh, mengungkapkan, atau menggunakan data pribadi milik orang lain untuk kepentingan yang tidak sah, dengan ancaman pidana penjara dan denda yang cukup berat.
Cara Melapor
Subjek data yang merasa dirugikan bisa memulai dengan mengajukan keberatan atau permintaan langsung kepada pengendali data yang bersangkutan, misalnya lewat kanal layanan pelanggan atau petugas pelindungan data yang wajib disediakan pengendali data berskala tertentu. Jika tidak ditanggapi, subjek data dapat melaporkan ke kementerian yang membidangi komunikasi dan informatika, atau mengajukan gugatan perdata ke pengadilan untuk menuntut ganti rugi. Untuk kasus yang mengandung unsur pidana, seperti pencurian atau perdagangan data pribadi secara ilegal, laporan bisa diajukan ke kepolisian dengan melampirkan bukti kebocoran atau penyalahgunaan data yang dialami.
Pertanyaan yang Sering Diajukan
Apakah persetujuan yang pernah diberikan bisa ditarik kembali kapan saja? Bisa, subjek data berhak menarik persetujuannya kapan saja, meski penarikan tersebut tidak membatalkan keabsahan pemrosesan data yang sudah terjadi sebelum penarikan dilakukan.
Apakah semua perusahaan wajib punya petugas pelindungan data? Kewajiban ini umumnya berlaku bagi pengendali data yang memproses data dalam skala besar, data bersifat spesifik, atau berkaitan langsung dengan pelayanan publik, bukan berlaku merata untuk seluruh jenis usaha.
Bagaimana jika data pribadi bocor tapi perusahaan tidak memberitahukannya? Kelalaian memberitahukan kegagalan perlindungan data merupakan pelanggaran tersendiri yang bisa menambah beban sanksi administratif, terlepas dari sanksi atas kebocoran data itu sendiri.
Apakah UU PDP berlaku untuk data yang diproses perusahaan asing tentang warga Indonesia? Ya, UU PDP berlaku juga bagi pihak di luar wilayah Indonesia yang pemrosesan datanya menimbulkan akibat hukum bagi subjek data yang berada di Indonesia.