ilustrasi : Unsplash.com
Oleh: Muhammad Ardiansyah Arifin
Data adalah aset penting bagi masyarakat karena setiap orang umumnya memiliki informasi yang tidak ingin diketahui umum. Contohnya seperti nomor kartu kredit, nomor Personal Identification Number (PIN), dan riwayat penyakit. Pada esai ini, penulis akan menjawab pertanyaan tentang kondisi perlindungan data di Indonesia yang dibahas dari peraturan yang sudah ada, institusi, dan prospek masa depan perlindungan data di Indonesia. Menurut Peraturan Menteri Komunikasi dan Informatika no. 20/2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik (Perkeminfo PDPSE), data pribadi adalah data perseorangan tertentu yang disimpan, dirawat, dan dijaga kebenaran serta dilindungi kerahasiaannya.[1] Perlindungan data pribadi mencakup perlindungan terhadap perolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, penampilan, pengumuman, pengiriman, penyebarluasan, dan pemusnahan data pribadi.[2]
Indonesia memiliki instrumen hukum yang relevan terhadap perlindungan data pribadi. Pertama, adanya jaminan konstitusional yang tertulis pada UUD 1945 amandemen 2002 dalam Pasal 28G ayat (1) “Setiap orang berhak atas perlindungan atas diri pribadi….. Serta berhak atas rasa aman dan perlindungan dari ancaman….. Yang merupakan hak asasi”. Kedua, dalam Undang-Undang no. 39/1999 tentang Hak Asasi Manusia (UU HAM) terdapat Pasal 32 yang tertulis “Kemerdekaan dan rahasia dalam hubungan surat-menyurat termasuk hubungan komunikasi melalui sarana elektronik tidak boleh diganggu, kecuali atas perintah hakim atau kekuasaan lain yang sah sesuai dengan ketentuan peraturan perundang-undangan.” Artinya rahasia informasi yang terdapat dalam surat maupun sarana elektronik tidak dapat dicabut kerahasiaannya kecuali atas putusan hakim atau dengan otoritas lain sesuai dengan peraturan perundang-undangan.[3] Ketiga, secara khusus Undang-Undang Informasi, dan Transaksi Elektronik (UU ITE) juga mengatur pada Pasal 26 ayat (1), (2), dan (3) yang mana penggunaan data pribadi harus dengan persetujuan pemilik data tersebut, harus dihapus apabila diminta oleh pemilik data pribadi atas penetapan peradilan, dan/atau apabila data yang disimpan oleh penyedia sistem elektronik sudah tidak relevan.[4]
Sebagai peraturan pelaksanaan dari UU ITE, Perkominfo PDPSE melakukan perlindungan terhadap data pribadi dalam segi penyelenggaraan sistem perolehan dan pengumpulan data pribadi, pengolahan dan penganalisisan, pemusnahan, dan penyimpanan, pengumuman, pengiriman, penyebarluasan, serta akses data.[5] Sejauh ini pelanggaran atas penyalahgunaan data pribadi hanya dapat dihukum dengan sanksi administratif oleh pemerintah sesuai dengan Perkeminfo PDPSE Pasal 36 yang sanksinya berupa peringatan lisan, peringatan tertulis, penghentian kegiatan sementara, dan pengumuman situs jaringan. Sanksi tersebut tidak menutup kemungkinan litigasi oleh masyarakat yang dirugikan karena masyarakat dapat menuntut atas dasar Perbuatan Melawan Hukum (PMH).[6]
Peraturan-peraturan yang ada kurang dapat memenuhi kebutuhan dan kurang komprehensif terhadap perkembangan zaman. Hal ini dikarenakan zaman yang semakin maju berkaitan dengan naiknya keberhargaan data untuk para penyedia jasa, maupun institusi lain sebagai bahan untuk berkomunikasi dan melakukan evaluasi terhadap pelanggan.[7] Akibatnya, peraturan komprehensif khusus untuk perlindungan data diperlukan di Indonesia. Sebagai perbandingan di Uni Eropa terdapat peraturan khusus tentang perlindungan data yaitu General Data Protection Regulation (GDPR). Menurut GDPR Pasal 4 ayat (1), secara ringkas data pribadi adalah segala informasi yang dapat membuat perseorangan teridentifikasi atau tentang orang yang teridentifikasi. Contohnya seperti alamat IP dan cookies internet.[8] GDPR ini merupakan turunan dari Pasal 8(1) European Convention on Human Rights (ECHR) yang menjamin kehidupan keluarga dan pribadi setiap orang, termasuk menjamin akses file orang tersebut walaupun menjadi rahasia negara (Leander v. Sweden).[9]
Sedangkan di Amerika Serikat terdapat juga peraturan perihal perlindungan data pribadi. Namun, tidak seperti Uni Eropa karena peraturan-peraturan tersebut tidak terkodifikasi secara federal.[10] Misalnya, di Negara Bagian California terdapat Undang-Undang Perlindungan Data Konsumen (CCPA), dan di Negara Bagian New York terdapat Undang-Undang Hentikan Peretasan dan Tingkatkan Keamanan Data Elektronik (SHIELD Act). Secara ringkas perlindungan terhadap data pribadi di Amerika Serikat ada tujuh. Yaitu hak untuk diberitahu tentang pengumpulan data, hak subjek data untuk mengakses data, hak subjek data untuk memperbaiki data, hak untuk subjek data dalam menolak proses data, hak untuk dijaga kegunaan datanya walaupun dipindahkan tempat penyimpanannya, dan hak untuk menolak datanya digunakan oleh penyimpan data.[11] Perlindungan data di Amerika Serikat memiliki sumber dari Federal Privacy Act 1974 yang mendefinisikan ‘informasi pribadi’ secara luas,[12] dan tidak mencangkup informasi yang sebelumnya pernah disebarkan ke public (FDIC v. Dye, Lee v. Dearment, etc.).[13]
Untuk institusi di Indonesia yang menangani penyalahgunaan data belum ada secara khusus. Penanganan masih dibebankan melalui kepolisian dan penuntutan perdata melalui pengadilan umum, bahkan dari pengadilan sendiri pernah secara tidak sengaja melanggar perlindungan data pribadi berdasarkan kasus yang terjadi di Aceh.[14] Sedangkan untuk implementasi, sampai 2018 baru ada satu perkara gugatan di pengadilan Indonesia tentang penyalahgunaan data pribadi.[15] Hal ini terjadi karena kurangnya pemahaman masyarakat tentang nilai dan pentingnya data pribadi. Pemerintah tidak tinggal diam dalam kasus data pribadi. Sampai saat ini Undang-Undang Perlindungan Data Pribadi masih dalam tahap promulgasi. Berdasarkan versi Januari 2020, Rumusan Undang-Undang ini adalah sebuah kemajuan di Indonesia karena perlindungan data pribadi akan semakin komprehensif. RUU Perlindungan data pribadi (RUU PDP) versi Januari 2020 memperluas proteksi jenis data pribadi dengan membagi jenis data pribadi menjadi data pribadi umum dan data pribadi spesifik dalam Pasal 3(1) RUU PDP, memperjelas hak-hak pemilik data pribadi di BAB III Pasal 4-16 RUU PDP, dan lebih tegas terhadap pelanggaran dengan memberikan sanksi pidana penjara dan denda maksimal miliaran rupiah di antara kemajuan-kemajuan lainnya seperti yang tertulis di BAB XIII Pasal 61-69 RUU PDP, dimana denda tertinggi bisa mencapai 70 miliar rupiah di Pasal 61(3) RUU PDP untuk penggunaan data pribadi secara melawan hukum yang bukan milik pengguna.[16]
Dapat disimpulkan bahwa pengaturan data pribadi di Indonesia masih kurang tegas, dan kurang komprehensif dibandingkan dengan GDPR maupun peraturan di Amerika Serikat, serta kurang memadainya institusi dan implementasi yang ada karena kurangnya kesadaran masyarakat. Namun, prospek perlindungan data di Indonesia diharapkan membaik dengan adanya RUU Perlindungan Data Pribadi sehingga urgensi penerapannya besar untuk Indonesia.