Definisi
Transfer data lintas batas (cross-border data transfer) adalah pemindahan atau pengiriman data pribadi dari wilayah hukum Negara Republik Indonesia ke negara lain, baik dilakukan melalui sistem elektronik maupun cara nonelektronik. Yang dimaksud “transfer” di sini bukan cuma pengiriman file secara sengaja — menyimpan data pelanggan Indonesia di server luar negeri, memakai layanan cloud yang pusat datanya ada di Singapura atau Amerika Serikat, atau membagikan data karyawan ke kantor pusat perusahaan multinasional di luar negeri, semuanya termasuk transfer data lintas batas yang tunduk pada aturan ini.
Konsep ini penting karena begitu data keluar dari yurisdiksi Indonesia, kemampuan hukum Indonesia untuk menegakkan hak-hak subjek data ikut melemah. Itu sebabnya UU Pelindungan Data Pribadi tidak melarang transfer data ke luar negeri, tapi mensyaratkan pengendali data untuk memastikan perlindungan yang setara tetap menyertai data tersebut ke mana pun ia berpindah.
Ketentuan ini paling sering menyentuh perusahaan teknologi, penyedia layanan cloud computing, platform e-commerce, dan perusahaan multinasional yang menyimpan data karyawan atau pelanggan Indonesia di server luar negeri. Bagi perusahaan kecil pun ketentuan ini relevan begitu mereka memakai layanan pihak ketiga — email marketing, payment gateway, atau software HR — yang servernya berada di luar negeri.
Dasar Hukum
UU PDP mensyaratkan bahwa transfer data ke negara yang tingkat perlindungan data pribadinya sudah dinilai setara atau lebih tinggi dari Indonesia dapat dilakukan secara relatif bebas. Persoalan muncul saat negara tujuan belum punya tingkat perlindungan yang setara — dalam situasi ini, pengendali data wajib memastikan sendiri ada perlindungan yang memadai dan mengikat secara hukum, meski otoritas negara tujuan tidak mewajibkannya.
Perlindungan yang memadai itu bisa diwujudkan lewat beberapa jalur: kontrak yang mengikat kedua pihak dengan klausul perlindungan data standar, aturan korporasi mengikat (binding corporate rules) untuk transfer data antar-entitas dalam grup usaha yang sama, atau mekanisme sertifikasi yang diakui. Selain itu, transfer tetap bisa dilakukan atas dasar persetujuan eksplisit dari subjek data, meski jalur ini biasanya jadi opsi terakhir karena sulit dibuktikan konsistensinya untuk transfer data dalam jumlah besar dan berkelanjutan.
Contoh Kasus
Sebuah perusahaan startup Indonesia menggunakan layanan cloud computing dari penyedia asal Amerika Serikat untuk menyimpan data pelanggannya. Karena data pribadi pelanggan Indonesia disimpan di server di luar negeri, perusahaan tersebut wajib memastikan bahwa penyedia cloud memiliki mekanisme perlindungan data yang memadai. Perusahaan membuat Data Processing Agreement (DPA) dengan penyedia cloud yang memuat klausul perlindungan data pribadi, termasuk kewajiban kerahasiaan, pembatasan tujuan pemrosesan, dan mekanisme penghapusan data setelah hubungan kontraktual berakhir.
Kasus lain dialami Sari, staf HR di sebuah perusahaan manufaktur yang kantor pusatnya berada di Jepang. Data gaji dan riwayat kepegawaian karyawan Indonesia rutin dikirim ke sistem HR terpusat di Jepang untuk keperluan pelaporan grup. Karena transfer ini bersifat rutin dan menyangkut data spesifik seperti data keuangan, perusahaan menyusun kebijakan intra-grup yang mengatur pembatasan akses, enkripsi selama pengiriman, dan audit berkala, alih-alih hanya mengandalkan persetujuan karyawan yang sifatnya sekali ditandatangani saat rekrutmen.
Jenis-Jenis
Ada beberapa jalur yang lazim dipakai untuk memenuhi syarat perlindungan memadai saat transfer data lintas batas:
- Adequacy-based — mengandalkan penilaian bahwa negara tujuan memiliki rezim perlindungan data yang setara.
- Kontrak standar (standard contractual clauses) — perjanjian tertulis antara pengirim dan penerima data yang memuat kewajiban perlindungan data secara rinci.
- Aturan korporasi mengikat (binding corporate rules) — kebijakan internal grup usaha multinasional yang mengikat seluruh entitas anak dan cabang di berbagai negara.
- Sertifikasi atau kode etik — standar yang diakui yang menunjukkan penerima data mematuhi prinsip perlindungan data tertentu.
- Persetujuan eksplisit subjek data — dipakai untuk transfer yang sifatnya insidental atau atas permintaan subjek data sendiri, bukan untuk transfer rutin skala besar.
Syarat dan Prosedur
Sebelum melakukan transfer data lintas batas, pengendali data idealnya menempuh beberapa langkah: pertama, memetakan data apa saja yang akan ditransfer dan ke negara mana; kedua, menilai tingkat perlindungan data di negara tujuan; ketiga, jika perlindungan belum setara, menyiapkan instrumen hukum seperti DPA atau kebijakan intra-grup; dan keempat, mendokumentasikan seluruh proses ini sebagai bagian dari rekam aktivitas pemrosesan data yang bisa ditunjukkan kepada otoritas jika sewaktu-waktu diperiksa.
Dalam praktiknya, banyak perusahaan kecil melewatkan langkah ini karena menganggap “kan cuma pakai server luar negeri, bukan menjual data ke pihak lain.” Padahal penggunaan layanan pihak ketiga di luar negeri — termasuk layanan email, penyimpanan file, atau software akuntansi berbasis cloud — tetap terhitung transfer data lintas batas selama data pribadi ada di dalamnya.
Sanksi
Pelanggaran ketentuan transfer data lintas batas dapat dikenai sanksi administratif, mulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data pribadi, hingga denda administratif. Dalam kondisi tertentu, pelanggaran yang disengaja dan menimbulkan kerugian bagi subjek data juga dapat berujung pada tuntutan pidana, di samping gugatan ganti rugi perdata dari pihak yang dirugikan.
Bagi perusahaan, konsekuensi praktis yang sering lebih terasa justru bukan sanksi hukum itu sendiri, melainkan reputasi. Kebocoran atau penyalahgunaan data lintas batas yang terekspos ke publik dapat merusak kepercayaan pelanggan jauh lebih cepat daripada proses hukum yang membutuhkan waktu bertahun-tahun untuk selesai.