– Selain dikenai denda Rp 70 miliar, pelaku bisa dikenai pidana tambahan berupa perampasan harta kekayaan yang diperoleh dari penyalahgunaan data pribadi –
Presiden Joko Widodo (Jokowi) telah menandatangani Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP) pada 24 Januari 2020. RUU tersebut segera dibahas pemerintah bersama Dewan Perwakilan Rakyat (DPR) setelah selesai pembahasan RUU Omnibus Law.
Berdasarkan draf per Desember 2019, RUU PDP memuat 72 pasal dan 15 bab. Beleid itu mengatur tentang definisi data pribadi, jenis, hak kepemilikan, pemrosesan, pengecualian, pengendali dan prosesor, pengiriman, lembaga berwenang yang mengatur data pribadi, serta penyelesaian sengketa. Selain itu, RUU tersebut juga akan mengatur kerja sama internasional hingga sanksi yang dikenakan atas penyalahgunaan data pribadi.
Apa saja poin-poin yang dijabarkan di dalam RUU PDP tersebut?, Berikut ini poin-poin RUU PDP yang kami rangkum dari berbagai sumber.
1. Definisi data pribadi
Draf RUU PDP menyebutkan, definisi data pribadi adalah setiap data tentang seseorang, baik yang teridentifikasi dan dapat diidentifikasi tersendiri atau dikombinasikan dengan informasi lainnya, secara langsung maupun tidak langsung melalui sistem elektronik dan nonelektronik.
2. Jenis-jenis data pribadi
Ada dua jenis data pribadi, yakni data yang bersifat umum dan spesifik. Data dikategorikan data umum bila melalui akses pelayanan publik atau tercantum dalam identitas resmi. Misalnya, nama lengkap, jenis kelamin, kewarganegaraan, agama, dan data pribadi yang harus dikombinasikan sehingga memungkinkan untuk mengidentifikasi seseorang.
Data pribadi terdiri atas:
- Data Pribadi yang bersifat umum
- Data Pribadi yang bersifat spesifik
Data Pribadi yang bersifat umum sebagaimana dimaksud pada ayat (1) huruf a meliputi:
- Nama lengkap
- Jenis kelamin
- Kewarganegaraan
- Agama
- Data pribadi yang dikombinasikan untuk mengidentifikasi seseorang
Data Pribadi yang bersifat spesifik sebagaimana dimaksud pada ayat (1) huruf b meliputi:
- Data dan informasi kesehatan
- Data biometrik
- Data genetika
- Kehidupan/orientasi seksual
- Pandangan politik
- Catatan kejahatan
- Data anak
- Data keuangan pribadi
- Data lainnya sesuai dengan ketentuan peraturan perundang undangan
3. Penghapusan data pribadi
Pengendali data pribadi wajib memusnahkan informasi itu jika data sudah tidak memiliki nilai guna lagi atau habis retensinya. Jika pemilik data meminta datanya dihapus, pengendali harus menghapus informasi itu.
4. Kegagalan perlindungan data pribadi
Dalam RUU PDP disebutkan, jika terjadi kegagalan perlindungan terhadap data pribadi, misalnya data bocor ke pihak-pihak lain, pengendali data wajib menyampaikan pemberitahuan tertulis paling lambat 3×24 jam kepada pemilik data dan menteri atau instansi pengawas. Pengumuman itu memuat data pribadi yang bocor, kapan dan kronologinya, serta upaya penanganan dan pemulihannya.
5. Sanksi pidana atas pelanggaran penggunaan data pribadi
RUU PDP juga mengenakan sanksi atas pelanggaran data pribadi. Pelaku yang mengungkapkan atau menggunakan data pribadi yang bukan miliknya secara melawan hukum akan dikenakan pidana penjara tujuh tahun atau denda maksimal Rp 70 miliar.
Direktur Jenderal Aplikasi Informatika Kominfo Semuel Pangerapan mengatakan, denda yang bisa diterapkan maksimal Rp 100 miliar. Namun, terkait perlindungan data pribadi ini ditetapkan Rp 70 miliar. “Kami harus menghitung dampak ekonominya,” katanya. Selain dijatuhi pidana pokok, terdakwa juga dapat dijatuhi pidana tambahan berupa perampasan pendapatan dan harta kekayaan yang diperoleh atau hasil dari tindak pidana.
Secara terperinci, RUU Perlindungan Data Pribadi mengatur tentang:
- Jenis data pribadi
- Hak pemilik data pribadi
- Pemrosesan data pribadi
- Kewajiban pengendali data pribadi dan prosesor data pribadi dalam pemrosesan data pribadi
- Transfer data pribadi
- Sanksi administratif
- Larangan dalam penggunaan data pribadi
- Pembentukan pedoman perilaku pengendali data pribadi
- Penyelesaian sengketa dan hukum acara
- Kerja sama internasional
- Peran pemerintah dan masyarakat
- Ketentuan pidana
Urgensi Perlindungan Data Pribadi dalam Menjamin Hak Privasi
Perlindungan data pribadi itu menjadi sangat penting karena jika disalahgunakan oleh pihak penyedia data atau pihak ketiga, maka hal ini dapat bertentangan dengan hak dasar manusia untuk mendapatkan perlindungan privasi terhadap data pribadi.
Sayangnya, kebutuhan aturan perlindungan data pribadi yang komprehensif tersebut belum dibarengi dengan tumbuhnya kesadaran publik dalam melindungi data pribadi.
Meski survei Mastel dan APJII pada 2017 menyebutkan, 79% dari responden survey tersebut keberatan data pribadinya dipindahtangankan tanpa izin. Bahkan 98% diantaranya menginginkan agar segera dibentuk Undang-undang Perlindungan Data Pribadi (UU PDP). Namun praktik di lapangan kurang menunjukan perhatian tersebut.
Publik umumnya belum menempatkan data pribadi sebagai bagian dari properti yang harus dilindungi. Hal ini salah satunya dapat dilacak dari banyaknya postingan yang mengandung konten data pribadi, baik di sejumlah platform media sosial, maupun di berbagai grup jejaring sosial.
Selain itu, ketika akan menggunakan sejumlah platform sistem elektronik (e‐commerce, transportasi online, fintech, dan lain-lain) umumnya pengguna juga belum secara utuh memahami kebijakan privasi, syarat-syarat dan ketentuan layanan dari setiap aplikasi tersebut, khususnya yang terkait dengan penggunaan data pribadi.
Belum adanya UU PDP menjadi alasan utama mereka belum selaras dengan aturan perlindungan data. Selain itu, juga masalah rendahnya pemahaman perusahaan mengenai konsep privasi dan perlindungan data konsumen.
Padahal menurut Rudiantara, Menteri Komunikasi dan Informatika yang menjabat tahun 2014-2019, mengatakan bahwa percepatan proses pembahasan RUU PDP diperlukan, agar e‐commerce Indonesia juga dapat mengembangkan pasarnya, hingga negara‐negara yang telah mempersyaratkan perlindungan data pribadi, dalam hubungan dagangnya.
Ancaman Kebocoran Data Pribadi dan Urgensi pada Prakteknya
Ancaman kebocoran data pribadi juga kian mengemuka dengan kian berkembangnya sektor e‐commerce di Indonesia. Gerakan 1000 Start Up yang diluncurkan oleh Presiden Joko Widodo, sebagai salah satu pilar dalam pengembangan ekonomi digital, setidaknya telah berhasil mendorong tumbuhnya empat startup Unicorn yang berasal dari Indonesia: Go‐Jek, Tokopedia, Traveloka, dan Bukalapak.
Tumbuhnya startup digital ini juga telah memicu pengumpulan data pribadi konsumen secara besar‐besaran, tidak hanya data pribadi, tetapi juga data perilaku (belanja/aktivitas) dari konsumen. Mengacu pada term of services sejumlah e‐commerce di Indonesia, mereka mengumpulkan data pribadi konsumen.
Bahkan, hampir semua aplikasi bila ingin dijalankan oleh calon penggunanya maka akan memaksa user-nya untuk memberikan akses ke data lainnya, misalnya akses identitas diri, daftar kontak, lokasi, SMS, foto/media/file. Sehingga, bila user betul-betul ingin menjalankan aplikasi tersebut tidak memiliki pilihan kecuali harus menyetujui akses terhadap data-data tersebut.
Sayangnya, belum adanya UU Perlindungan Data Pribadi berakibat pada tidak adanya standardisasi prinsip perlindungan data, yang menyebabkan minimnya pengakuan terhadap right of data subject.
Kita dapat melihat kasus yang tidak lama terjadi pada bulan mei tahun 2020, tokopedia, salah satu website online shop terbesar di Indonesia, dibobol oleh seorang hacker yang mengakibatkan 91 juta data pengguna bocor. Data yang berhasil dibobol adalah seperti nama pengguna, alamat e-mail, hingga nomor telepon dengan sisa data seperti data pembayaran pengguna tokopedia yaitu kartu kredit ataupun keuangan digital seperti OVO tetap aman.
Meski peretas tidak mendapatkan data yang berkaitan dengan keuangan, peretas ini dapat menjual datanya untuk seharga $5000 dollar atau 70 juta rupiah dalam darkweb, karena peretas tahu bahwa data pribadi bisa digunakan untuk bermacam-macam penipuan online.
Menurut International Business Machines Corporation (IBM), Kerugian per tahun yang diakibatkan data terbobol adalah 3.86 miliar dollar atau 44 trilliun rupiah.Dengan itulah mengapa perlu adanya Undang-undang Perlindungan Data Pribadi untuk menjagakan atau setidaknya memberikan tembok yang jelas untuk keamanan data pribadi kita.
