UU PDP Proses Transisi, Pakar Ingatkan Mitigasi Kegagalan Perlindungan Data Pribadi

JAKARTA - Rancangan Peraturan Pemerintah tentang Peraturan Pelaksana terhadap Perlindungan Data Pribadi (RPP PDP) masih dalam proses pembahasan oleh pemerintah. Hal ini menyusul telah disahkannya Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP).

RPP PDP tersebut merupakan panduan untuk terciptanya ekosistem perlindungan data pribadi yang lebih andal dan keberlakuannya dapat mencakup seluruh pihak, baik itu pengendali data pribadi maupun prosesor data dalam sektor pemerintah maupun swasta.

Pandangan tersebut disampaikan oleh Bhredipta Socarana, Tenaga Ahli Dirjen Aptika Kementerian Kominfo dalam seminar dengan tema Data Breach Management-Pelindungan Data Pribadi dan Pengelolaan Krisis Kebocoran Data di Jakarta, Rabu 27 September 2023.

"RPP PDP masih dalam proses membahasan. Intinya, bahwa pengaturan UU PDP dan PP PDP bertujuan mengantisipasi risiko pemrosesan data pribadi, bukan untuk menghukum pengendali atau prosesor data pribadi, atau menambahkan pendapatan negara," kata Bhredipta Socarana dalam keterangannya, Kamis (28/9/2023).

Selain itu kata dia, pengaturan UU PDP dan PP PDP bertujuan untuk pengembangan ekosistem. Dalam hal ini, ekosistem Pelindungan Data Pribadi masih terus dikembangkan, dan membutuhkan kontribusi dari seluruh pemangku kepentingan terkait.

"Jadi kalau ada syarat dan masukan, bisa terus dilakukan audensi atau masukan tertulis ke Kominfo. Terutama jika ada pertanyaan mengapa pasalnya banyak, hingga 245 pasal, yang sejatinya ini memberikan kesempatan pengaturan lebih spesifik bagi Kementerian/Lembaga," ungkap Bhredipta.

Sementara pertimbangan praktis menurut Bhredipta, PP PDP memperkuat implementasi prinsip perlindungan data pribadi dalam kegiatan pemrosesan data pribadi untuk tata kelola perlindungan data pribadi yang harmonis.

Juga mempertimbangkan risiko pemrosesan data pribadi oleh pengendali data pribadi sesuai cakupan kegiatan pemrosesan data pribadi yang dilakukan. Hal lain, melalui PP PDP akan menghadirkan keseimbangan pengaturan hubungan antara subjek data, pengendali, dan prosesor.

"Hal ini mencakup kewajiban penyediaan informasi terkait pemrosesan data pribadi. Keseimbangan posisi subjek data dan pengendali data melalui pengaturan kewajiban permintaan persetujuan dan hak penolakan pemrosesan dalam kondisi tertentu," ungkapnya.

"Kami juga mempertimbakan kondisi akses pengetahuan terkait PDP dan potensi dampaknya dalam pemahaman terkait PP PDP di Indonesia,” pungkasnya.

Sementara Danny Kobrata dari Partner K&K Advocates di kesempatan yang sama menjelaskan, UU PDP saat ini masih dalam masa transisi dua tahun, sehingga saat ini adalah waktu yang tepat untuk mempelajari dengan melakukan komparasi terhadap praktik yang berkembang di Indonesia dan di dunia internasional.

"Terlebih telah terjadinya kasus-kasus kebocoran data di Indonesia atau kasus penggunaan data pribadi yang dilakukan oleh pihak-pihak yang tidak bertanggung jawab," ungkap Danny.

Denny mengingatkan, kebocoran data yang terus terjadi hingga saat ini tidak hanya dialami perusahaan kecil, tetapi juga perusahaan besar yang sejatinya memiliki resources untuk menanggulangi kebocoran data. Indonesia menurutnya sangat rentan mengalami kebocoran data pribadi.

Maka mengapa penting bagi perusahaan untuk memastikan tidak menjadi korban kebocoran data pribadi.
"Pertama dampaknya ke reputasi perusahaan karena konsumen semakin sadar akan pentingnya data pribadi mereka," tegasnya.

"Kedua dampak pada risiko potensi sanksi hukum sanksi administratif, perdata, dan pidana. Kalau nanti telah diputuskan, denda administratif itu hingga 2% dari total pendapatan tahunan (masih dalam pembahasan), lalu denda perdata-pidana bisa sampai 60 miliar," sambungnya.

Danny pun memberi tips bagaimana meminimalkan risiko hukum dalam pelanggaran data pribadi. Tentu yang pertama adalah mematuhi kewajiban hukum. Dalam hal ini perusahaan harus mematuhi standar keamanan, memelihara SOP yang berkaitan dengan keamanan siber, dan melakukan pemberitahuan kepada regulator jika terjadi pelanggaran.

"Patuhi saja kewajiban hukum yang berlaku, karena perusahaan tidak selalu harus bertanggung jawab jika terjadi pelanggaran data. Namun, perusahaan harus menunjukkan upaya serius dalam penanganan kebocoran data seperti regular training, pembentukan tim penanggulangan kebocoran data, dan melakukan penanganan kebocoran dengan cepat," jelas Danny.

Sedangkan Prof Sinta Dewi, Guru Besar Hukum Pelindungan Data Pribadi dan Ketua Cyber Law Centre Universitas Padjajaran menegaskan, Indonesia saat ini telah berpartisipasi dalam digital global. Maka satu prinsip utama adalah kepercayaan dalam menjaga akuntabiltias, transparasi data privacy.

"Saya lebih suka menggunakan istilah data privacy, karena data pribadi masuk dalam data privacy. Kita sudah memilki regulasi ini, setelah menempuh jalan yang panjang. Dan sekarang Indonesia menjadi negara ke 166 yang memiliki UU PDP," tegas Prof Sinta.

UU PDP menjadi sangat penting mengingat dalam perjanjian bisnis atau perdangan lintas negara, data privacy menjadi salah satu syarat utama yang spesifik. Maka, lanjut Prof. Sinta, dari prespektif akademis, Indoesia harus memiliki standar yang sama dengan negara lain dalam hal perlindungan data pribadi.

"Saat kita menyusun naskah akademik RUU PDP, kita melihat Afrika sudah mempunyai, padahal penetrasi internetnya masih rendah, lalu di Asean Malaysia menjadi yang pertama, diikuti Singapur, dan Thailand, lalu Indonesia kapan? Maka kami menilai kita perlu satu perlindungan tentang data pribadi," tuturnya.

"Prinsip ini harus diapliksi dalam bisnis. Karena berbicara hukum teknologi, prinsip tranparansi, akuntabilitas, kepercayan harus dijaga. Apalagi dalam iklim ekonomi digital. Kita masih berkutat soal personal data, negara lain sudah bicara soal AI. Maka harus segera direspons. Karena AI ada impact kepada data pribadi," tutupnya.