Definisi
UU Perlindungan Data Pribadi, atau lazim disingkat UU PDP, adalah undang-undang khusus pertama di Indonesia yang secara menyeluruh mengatur perlindungan data pribadi warga negara, baik yang diproses secara elektronik maupun nonelektronik. Sebelum undang-undang ini ada, aturan mengenai data pribadi tersebar di berbagai undang-undang sektoral seperti UU ITE, UU Perbankan, dan UU Telekomunikasi, sehingga perlindungannya tidak seragam dan sering tumpang tindih.
UU PDP lahir sebagai respons atas maraknya kebocoran data, jual beli data pribadi secara ilegal, dan penyalahgunaan data untuk kepentingan komersial tanpa sepengetahuan pemiliknya. Undang-undang ini mengatur secara rinci siapa yang disebut subjek data, pengendali data, dan prosesor data, beserta hak dan kewajiban masing-masing pihak dalam siklus hidup data pribadi mulai dari pengumpulan hingga penghapusan.
Setelah masa transisi selama dua tahun sejak diundangkan, UU PDP mulai berlaku efektif sepenuhnya, memberi waktu bagi lembaga pemerintah dan pelaku usaha untuk menyesuaikan sistem dan praktik pengelolaan data mereka dengan standar baru yang jauh lebih ketat dibanding sebelumnya.
Kehadiran UU PDP juga mendorong lahirnya profesi baru di banyak perusahaan, yaitu petugas yang secara khusus bertanggung jawab memastikan seluruh proses bisnis yang melibatkan data pribadi berjalan sesuai ketentuan, mulai dari perancangan sistem, penyimpanan, hingga penghapusan data ketika sudah tidak diperlukan lagi.
Dasar Hukum
Data pribadi didefinisikan secara luas sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara tersendiri maupun dikombinasikan dengan informasi lain, melalui sistem elektronik maupun nonelektronik. Definisi yang luas ini penting karena mencakup bukan hanya data yang jelas seperti nama dan nomor identitas, tetapi juga data yang baru bermakna identitas ketika digabungkan dengan data lain, seperti kombinasi lokasi dan waktu aktivitas seseorang.
Aturan pidana yang paling berat mengancam siapa saja yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi bukan miliknya, dengan maksud menguntungkan diri sendiri atau orang lain sehingga menimbulkan kerugian bagi subjek data. Selain sanksi pidana, UU PDP juga mengatur sanksi administratif berjenjang bagi pengendali data yang lalai menjalankan kewajibannya, mulai dari peringatan tertulis hingga denda administratif.
Studi Kasus
Sebuah perusahaan teknologi finansial di Jakarta mengumpulkan data biometrik nasabahnya, berupa sidik jari dan hasil pengenalan wajah, tanpa meminta persetujuan eksplisit terlebih dahulu. Setelah menerima aduan dari nasabah, lembaga pengawas melakukan pemeriksaan dan menemukan pelanggaran terhadap prinsip dasar pemrosesan data, sehingga menjatuhkan sanksi administratif berupa perintah penghapusan data biometrik yang dikumpulkan secara tidak sah, disertai denda administratif.
Studi kasus lain melibatkan seorang mantan karyawan sebuah perusahaan teknologi yang menjual basis data pelanggan berisi jutaan data pribadi di forum tersembunyi di internet. Karena perbuatan ini memenuhi unsur kesengajaan memperoleh data bukan miliknya untuk keuntungan pribadi yang merugikan pemilik data, pelaku dijerat dengan ancaman pidana penjara dan denda dalam jumlah besar, menunjukkan bahwa kebocoran data yang disengaja bukan sekadar pelanggaran administratif, melainkan tindak pidana serius.
Jenis-Jenis Data Pribadi
UU PDP membagi data pribadi menjadi dua kategori besar dengan tingkat perlindungan berbeda:
- Data pribadi umum, meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
- Data pribadi spesifik, meliputi data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain yang risikonya lebih tinggi bila disalahgunakan.
Data pribadi spesifik mendapat perlindungan lebih ketat karena berpotensi menimbulkan diskriminasi atau kerugian yang lebih besar bila bocor, sehingga pemrosesannya membutuhkan dasar hukum dan persetujuan yang lebih tegas dibanding data pribadi umum.
Sanksi
Pelanggaran UU PDP dapat dikenai dua jenis sanksi yang berjalan terpisah: sanksi administratif dan sanksi pidana. Sanksi administratif dijatuhkan lembaga pengawas berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data pribadi yang diperoleh secara melawan hukum, hingga denda administratif yang besarannya dihitung berdasarkan persentase tertentu dari pendapatan tahunan pelanggar.
Sanksi pidana dijatuhkan pengadilan bagi pelanggaran yang memenuhi unsur kesengajaan dan melawan hukum, seperti memperoleh data pribadi bukan miliknya untuk keuntungan pribadi, memalsukan data pribadi, atau membocorkan data pribadi yang seharusnya dijaga kerahasiaannya. Ancaman pidana dapat berupa penjara bertahun-tahun disertai denda dalam jumlah besar, tergantung tingkat keseriusan pelanggaran.
Hak dan Kewajiban Para Pihak
Subjek data pribadi berhak mendapat informasi jelas tentang tujuan pengumpulan datanya, berhak mengakses dan memperbaiki data yang keliru, berhak menarik persetujuan kapan saja, serta berhak mengajukan keberatan atas pemrosesan data yang dianggap merugikan. Subjek data juga berhak menuntut ganti rugi bila mengalami kerugian akibat pelanggaran pemrosesan data pribadinya.
Pengendali data berkewajiban memproses data sesuai tujuan yang telah disampaikan, menjaga keamanan data dari akses tidak sah, melaporkan kepada subjek data dan otoritas bila terjadi kebocoran data, serta menunjuk petugas yang bertanggung jawab atas kepatuhan pemrosesan data di lembaganya. Kegagalan memenuhi kewajiban ini menjadi dasar bagi lembaga pengawas untuk menjatuhkan sanksi administratif.
Kewajiban ini berlaku baik bagi lembaga pemerintah maupun pelaku usaha swasta, tanpa terkecuali, karena UU PDP tidak membedakan perlakuan berdasarkan jenis atau ukuran lembaga yang memproses data. Usaha kecil yang mengumpulkan data pelanggan lewat formulir sederhana pun tetap terikat kewajiban yang sama dengan perusahaan besar, meski cara pemenuhannya bisa disesuaikan dengan skala dan kompleksitas pemrosesan data yang mereka lakukan.