UU PDP : Perseroan Sebagai Pengendali Data Pribadi

UNDANG-UNDANG PELINDUNGAN DATA PRIBADI MENJADI PENUNJANG KEMAJUAN ENVIRONMENT DIGITAL DI INDONESIA

Setelah kurang lebih 3 tahun RUU Pelindungan Data Pribadi kemudian pada Selasa 20-september-2022 akhirnya DPR RI menyetujui Rancangan Undang-undang Pelindungan Data Pribadi (UU PDP) menjadi Undang-Undang pada rapat paripurna DPR. Seperti yang diketahui bahwa data pribadi adalah hal yang krusial dalam era digital. Setiap individu diminta untuk memberikan data pribadi ketika menggunakan layanan online, membeli produk online, mendaftarkan akun surat elektronik, membuat janji dokter, membayar pajak, menandatangani kontrak, dll. Data-data pribadi tersebut seringkali dikumpulkan tanpa sepengetahuan individu yang bersangkutan dan dilakukan oleh perusahaan atau lembaga yang tidak berinteraksi langsung dengan orang tersebut (Privacy International, 2013). Data mereka dapat digunakan tanpa kuasa pemiliknya untuk menuntut jawaban dari pihak yang memproses data mereka dan ketika data pribadi pemilik diproses tanpa persetujuan secara eksplisit sebelumnya. Padahal, persetujuan dalam kegiatan pertukaran data adalah fitur penting kerahasiaan data. Oleh karenanya UU PDP diharapkan dapat menjadi payung hukum bagi masyarakat terkait dengan Pelindungan data pribadinya.

Tok! Era baru pelindungan data pribadi di Indonesia telah dimulai dengan disahkannya RUU Pelindungan Data Pribadi menjadi Undang-Undang, berikut Poin Penting dalam UU PDP.

KLASIFIKASI DATA PRIBADI

Sebelum hadirnya UU PDP, tidak ada pengaturan terkait yang menjelaskan apa saja yang termasuk klasifikasi data pribadi karena menyebar di berbagai undang-undang. Kemudian hadirnya UU PDP memperjelas objek dari Data Pribadi dan segala yang terkait dalam diri data pribadi. Berikut klasifikasi data Pribadi yang terdiri atas: Data Pribadi yang bersifat spesifik dan Data Pribadi yang bersifat umum.

Data Pribadi yang bersifat spesifik	Data Pribadi yang bersifat umum
1)    data dan informasi kesehatan,2)    data biometrik,3)    data genetika,4)    catatan kejahatan;5)    data anak;6)    data keuangan pribadi; dan/atau data lainnya.	1)    nama lengkap;2)    jenis kelamin;3)    kewarganegaraan;4)    agama;5)    status perkawinan; dan/atau6)    Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang

 HAK SUBJEK DATA PRIBADI SEBAGAI KONSUMEN

 Data pribadi adalah hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi yang mana dalam hal ini subjek data pribadi berhak atas rasa aman dan pelindungan data dirinya dalam era digital. UU PDP menjelaskan bahwa Subjek Data Pribadi berhak:

• Mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, maksud dan tujuan penggunaan data pribadi, dan akuntabilitas pihak yang meminta Data Pribadi.
• Memperbaiki kesalahan atas ketidakakuratan Data Pribadi tentang dirinya
• Mendapatkan akses serta salinan Data Pribadi tentang dirinya
• Menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya
• Menarik persetujuan pemrosesan Data Pribadi yang telah diberikan kepada Pengendali Data Pribadi.
• Mengajukan keberatan atas tindakan Pengendali Data Pribadi yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan dan menimbulkan akibat hukum pada subjek data pribadi
• Menunda atau membatasi pemrosesan Data Pribadi sesuai dengan tujuan pemrosesannya
• Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
• Mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
• Menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya yang lebih lanjut akan diatur dalam Peraturan Pemerintah.

Berdasarkan uraian diatas, dapat dikatakan bahwa UU PDP menjamin hak individu sebagai konsumen, yang mana atas hak-hak tersebut diatas diharapkan masyarakat dan/ atau konsumen menjadi lebih sadar akan pentingnya data pribadi miliknya. Namun, perlu diketahui bahwa atas hak-hak tersebut diatas terdapat pengecualian yang mana tidak diperlukannya persetujuan subjek data atau pemilik data terkait masalah:

• pertahanan dan keamanan nasional;
• proses penegakan hukum;
• kepentingan umum dalam rangka penyelenggaraan negara;
• pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
• kepentingan statistik dan penelitian ilmiah.

 PENGENDALI DATA PRIBADI

Dalam UU PDP telah diatur secara tegas mengenai kewajiban Pengendali Data Pribadi pada saat akan melakukan pemrosesan data pribadi. Pemrosesan data oleh Pengendali Data Pribadi wajib memenuhi syarat sah pemrosesan data, yakni:

• Persetujuan
• Perjanjian
• Pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan
• Pemenihan Kepentingan Vital Subjek Data Pribadi
• Pelaksanaan Kewenangan dan Pelayanan Publik
• Pemenuhan Kepentingan dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi

Kemudian hal yang patut diperhatikan ialah bahwa Pengedali Data Pribadi dalam melakukan pemrosesan data pribadi wajib dituangkan dalam bentuk perjanjian, dalam hal tidak terdapat perjanjian untuk mendapatkan persetujuan dari Subjek Data Pribadi maka tindakan pengendali data pribadi dinyatakan batal demi hukum.

PERSEROAN SEBAGAI PENGENDALI DATA PRIBADI

Seperti yang sudah dijelaskan sebelumnya, dalam hal Perseroan yang merupakan Pengendali Data Pribadi berhak melakukan kendali pemrosesan Data Pribadi. Namun, perlu diingatkan bahwa dalam melakukan pemrosesan data pribadi perseroan memerlukan persetujuan yang wajib dituangkan dalam bentuk perjanjian.

Memang pembentukan perjanjian ini sebenarnya bukanlah hal yang baru dilaksanakan oleh Perseroan. Namun, pencantuman perjanjian dalam UU PDP menjadi suatu kewajiban, yang dengan demikian diharapkan dapat memberikan kepastian hukum bagi Subjek Data Pribadi kemudian Pengendali Data Pribadi wajib menyampaikan beberapa hal untuk mendapatkan persetujuan dari pemilik data yakni informasi mengenai:  

1. legalitas dari pemrosesan Data Pribadi
2. tujuan pemrosesan Data Pribadi;
3. jenis dan relevansi Data Pribadi yang akan diproses
4. jangka waktu retensi dokumen yang memuat Data Pribadi
5. rincian mengenai Informasi yang dikumpulkan
6. jangka waktu pemrosesan Data Pribadi dan
7. hak Subjek Data Pribadi.

Dengan adanya ketentuan ini memberikan Pelindungan bagi konsumen serta memberikan pembatasan kewenangan perseroan atas akses data pribadi konsumen, yang mana dapat menjadi langkah maju dari sistem digital di Indonesia.

PELAKSANA FUNGSI PELINDUNGAN DATA PRIBADI

UU PDP mengatur lembaga yang berperan dalam mewujudkan penyelenggaraan Pelindungan data pribadi. Lembaga tersebut dalam melaksanakan fungsi Pelindungan Data Pribadi, terkait hal:

• pemrosesan Data Pribadi untuk kepentingan pelayanan publik
• kegiatan Pengendali Data Pribadi yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan
• kegiatan Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana

 Dalam UU PDP belum mengatur siapa pejabat atau petugas yang menjalankan fungsi Pelindungan data pribadi, apakah kementrian terkait, badan independen atau dibawah pengawasan Pemerintah? Masih menjadi pertanyaan terkait hal tersebut karena UU Pelindungan data pribadi hanya menjelaskan dalam pasal 54 ayat (3) bahwa fungsi Pelindungan data pribadi akan diatur dalam Peraturan Pemerintah. Berdasarkan Siaran Pers No. 426/HM/KOMINFO/09/2022 pada hari Rabu, 21 September 2022 Menkominfo Johnny G. Plate mengatakan bahwa “Khusus Lembaga Pengawas PDP, PDP berada di bawah Presiden dan bertanggung jawab kepada Presiden sebagai pengejawantahan sistem Pemerintahan Presidensial di Indonesia”. Dalam hal fungsi Pelindungan data pribadi ada di bawah kewenangan presiden, diharapkan kinerja badan pengawas tersebut tidak terpengaruh oleh sisi pemerintah dan tetap profesional dalam melaksanakan pengawasan.

 LARANGAN DALAM PENGGUNAAN DATA PRIBADI

UU PDP menjelaskan bahwa terdapat hal yang dilarang terkait pengelolaan data pribadi, yakni:

• Setiap orang dilarang secara melawan hukum untuk memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian pemilik data pribadi dipidana penjara maksimal 5 tahun dan denda paling banyak Rp 5 miliar.
• Setiap orang dilarang secara melawan hukum mengungkapkan data pribadi yang bukan miliknya; dipidana penjara paling lama 4 tahun atau denda paling banyak Rp 4 miliar.
• Setiap orang dilarang secara melawan hukum menggunakan data pribadi yang bukan miliknya; dipidana penjara paling lama 5 tahun dan atau pidana denda paling banyak Rp 5 miliar. Dan
• Setiap orang dilarang membuat data pribadi palsu untuk memalsukan data pribadi dengan maksud menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain, dipidana dengan hukuman penjara 6 tahun atau pidana denda paling besar Rp 6 miliar.

Serta Selain daripada diatas, setiap orang yang melakukan pelanggaran juga dapat dikenakan pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh dan pembayaran ganti kerugian.

Dengan demikian lahirnya UU PDP guna melindungi dan menjamin hak dasar warga negara terkait dengan pelindungan diri pribadi, menjamin masyarakat untuk mendapatkan pelayanan dari Korporasi, Badan Publik, Organisasi Internasional, dan Pemerintah, mendorong pertumbuhan ekonomi digital dan industri teknologi informasi dan komunikasi serta memberikan pembatasan bagi Perseroan/ Korporasi sebagai Pengendali Data Pribadi dalam memperoleh, memiliki, menyimpan dan mengolah subjek data pribadi atau konsumen dengan diperlukannya terlebih dahulu persetujuan dari subjek data pribadi sehingga memberikan jaminan keamanan dan hak dari konsumen/ pemilik data.

Sebagai pengolah data pribadi, Korporasi, Badan Publik, Organisasi Internasional dan Pemerintah wajib memperhatikan dan melaksanakan setiap pengaturan pada UU PDP ini sehingga environment digital Indonesia dapat dipercaya dan berkembang seiring pertumbuhan pengetahuan dan kesadaran masyarakat.