Bayangkan Anda sedang santai di rumah, membuka aplikasi e-commerce favorit, memesan makanan, atau sekadar daftar akun baru di media sosial. Tanpa sadar, Anda sudah menyerahkan nama lengkap, nomor HP, alamat, bahkan data rekening atau foto wajah. Data itu “berjalan” ke server perusahaan, mungkin dibagikan ke mitra, atau lebih parah lagi, bocor ke pihak yang tidak bertanggung jawab. Lalu tiba-tiba ada telepon dari pinjol ilegal, spam iklan, atau bahkan penipuan yang menggunakan identitas Anda. Rasanya tidak enak, kan? Inilah realitas yang dihadapi banyak orang Indonesia sebelum adanya undang-undang khusus yang kuat.
Sebelum 17 Oktober 2022, perlindungan data pribadi di Indonesia tersebar di berbagai peraturan. Ada Pasal 26 UU ITE, ada Peraturan Menteri Komunikasi dan Informatika No. 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik, ada juga aturan sektoral di perbankan, kesehatan, dan telekomunikasi. Semuanya penting, tapi terfragmentasi. Sanksi sering kali lemah, definisi data pribadi masih longgar, dan masyarakat sulit menuntut ganti rugi secara jelas. Kasus kebocoran data e-commerce besar, jual-beli data pelanggan telekomunikasi, atau penyalahgunaan NIK untuk registrasi SIM card ilegal sering terjadi, tapi penyelesaiannya terasa “setengah hati”.
Lalu datanglah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Ini bukan sekadar peraturan teknis. Ini adalah pengakuan bahwa data pribadi adalah bagian dari hak asasi manusia, tepatnya hak atas pelindungan diri pribadi sebagaimana dijamin Pasal 28G ayat (1) UUD 1945. UU ini menjadi payung hukum tunggal yang komprehensif, mengatur hampir seluruh aspek: dari definisi data, hak pemilik data, kewajiban pengelola, transfer data ke luar negeri, hingga sanksi administratif dan pidana.
Apa Sebenarnya “Data Pribadi” Itu?
UU PDP membagi data pribadi menjadi dua:
- Data pribadi yang bersifat spesifik (lebih sensitif): data kesehatan, data biometrik (sidik jari, wajah, iris), data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain yang ditentukan peraturan.
- Data pribadi yang bersifat umum: nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang jika digabungkan bisa mengidentifikasi seseorang.
Artinya, nomor KTP, alamat rumah, riwayat penyakit di aplikasi kesehatan, atau bahkan pola belanja Anda di marketplace, semuanya dilindungi.
Hak Anda sebagai Subjek Data Pribadi
Inilah bagian yang paling “manusiawi” dari UU ini. Anda, sebagai pemilik data, punya hak-hak nyata:
- Hak untuk tahu – Siapa yang meminta data Anda, untuk apa, dan atas dasar apa.
- Hak untuk memperbaiki – Data salah? Bisa dilengkapi, diperbarui, atau dikoreksi.
- Hak akses dan salinan – Bisa minta lihat dan dapatkan salinan data tentang diri Anda.
- Hak untuk menghapus – Bisa minta data dihentikan pemrosesannya, dihapus, atau dimusnahkan (right to be forgotten).
- Hak menarik persetujuan – Sudah kasih izin dulu? Bisa dicabut kapan saja.
- Hak keberatan – Menolak keputusan yang hanya berdasarkan proses otomatis (misalnya skor kredit otomatis yang merugikan).
- Hak membatasi pemrosesan.
- Hak ganti rugi – Jika data Anda disalahgunakan, Anda bisa menggugat dan menuntut kompensasi.
- Hak portabilitas data – Bisa minta data Anda dalam format yang bisa dipindahkan ke layanan lain.
Hak-hak ini bisa dikecualikan untuk kepentingan pertahanan keamanan, penegakan hukum, kepentingan umum, atau statistik/penelitian ilmiah, tapi hanya dalam batas yang diatur undang-undang.
Kewajiban Pengendali dan Prosesor Data
Siapa yang mengelola data Anda? Ada dua peran:
- Pengendali Data Pribadi: yang menentukan tujuan dan mengendalikan pemrosesan (misalnya marketplace, bank, rumah sakit, atau bahkan individu yang menjalankan bisnis e-commerce dari rumah).
- Prosesor Data Pribadi: yang memproses data atas perintah pengendali (misalnya vendor cloud storage atau perusahaan outsourcing).
Mereka wajib:
- Memiliki dasar hukum yang sah (persetujuan eksplisit, kontrak, kewajiban hukum, kepentingan vital, tugas publik, atau kepentingan sah yang seimbang).
- Mengumpulkan data secara terbatas, spesifik, transparan, dan sesuai tujuan.
- Menjaga keamanan data dari akses, pengungkapan, perubahan, atau penghilangan yang tidak sah.
- Memberitahukan jika terjadi kegagalan pelindungan data (data breach) dalam waktu yang ditentukan.
- Menunjuk pejabat pelindungan data pribadi (Data Protection Officer) dalam kondisi tertentu.
- Bertanggung jawab penuh dan bisa membuktikan kepatuhannya.
UU ini berlaku juga bagi pihak di luar Indonesia jika aktivitas mereka berdampak pada warga negara Indonesia atau memiliki akibat hukum di Indonesia. Hanya pemrosesan data untuk keperluan pribadi/rumah tangga yang dikecualikan.
Sanksi yang Lebih Menggigit
Inilah perbedaan besar dengan aturan sebelumnya. UU PDP memperkenalkan sanksi yang lebih tegas:
Sanksi administratif (oleh lembaga pengawas):
- Peringatan tertulis
- Penghentian sementara kegiatan pemrosesan
- Penghapusan atau pemusnahan data
- Denda administratif hingga 2% dari pendapatan tahunan
Sanksi pidana:
- Memperoleh/mengumpulkan data pribadi milik orang lain secara melawan hukum: penjara maksimal 5 tahun dan/atau denda Rp5 miliar
- Mengungkapkan data pribadi milik orang lain: penjara maksimal 4 tahun dan/atau denda Rp4 miliar
- Menggunakan data pribadi milik orang lain: penjara maksimal 5 tahun dan/atau denda Rp5 miliar
- Pencurian identitas: penjara maksimal 6 tahun dan/atau denda Rp6 miliar
Sudah ada kasus nyata yang diputus berdasarkan UU ini, misalnya kasus pencurian identitas untuk penipuan dan penyalahgunaan data NIK untuk registrasi kartu SIM secara ilegal. Pelakunya divonis penjara dan denda.
Kasus Sehari-hari yang Lebih “Terjangkau”
Bayangkan skenario berikut:
- Anda daftar di aplikasi pinjol, data bocor, lalu dihubungi terus-menerus oleh debt collector ilegal. Dulu sulit menuntut. Sekarang Anda punya dasar hukum yang jelas untuk menuntut ganti rugi dan melaporkan pelanggaran.
- Seorang influencer membongkar identitas asli netizen (doxing) tanpa izin. Ini bisa masuk ranah pengungkapan data pribadi secara melawan hukum.
- Perusahaan marketplace mengalami kebocoran data jutaan pengguna. Mereka wajib memberitahu Anda dan menghadapi sanksi administratif berat, bukan sekadar “minta maaf”.
- Rumah sakit atau klinik menyimpan rekam medis digital. Data kesehatan termasuk data spesifik, jadi standar keamanannya harus lebih ketat.
- Anda ingin pindah dari satu layanan streaming ke layanan lain dan membawa riwayat tontonan. Ada hak portabilitas data.
Sebelum UU PDP, banyak kasus seperti ini “mengambang” karena aturan yang tersebar dan sanksi yang kurang mengancam. Sekarang, masyarakat punya posisi tawar yang lebih kuat.
Apa yang Berubah Setelah UU Ini?
UU PDP mulai berlaku sejak 17 Oktober 2022, dengan masa penyesuaian maksimal dua tahun (berakhir Oktober 2024). Artinya, sejak akhir 2024 kewajiban sudah harus dipenuhi secara penuh. Kemudian hadir Peraturan Pemerintah sebagai aturan pelaksana yang lebih rinci mengenai mekanisme teknis, dokumentasi, dan pengawasan.
Meski demikian, tantangan masih ada: literasi digital masyarakat masih rendah, kapasitas lembaga pengawas perlu diperkuat, dan banyak pelaku usaha (terutama UMKM) masih beradaptasi. Namun arahnya jelas: data pribadi bukan lagi “aset bebas” yang bisa digarap sesuka hati.
Data Pribadi adalah Hak, Bukan Sekadar Informasi
UU No. 27 Tahun 2022 bukan hanya tentang denda atau penjara. Ini tentang mengembalikan kontrol kepada individu. Di era di mana hampir setiap aktivitas meninggalkan jejak digital, undang-undang ini menjadi benteng yang melindungi kita dari penyalahgunaan, kebocoran, dan eksploitasi data.
Sebagai warga, kita perlu lebih sadar: baca syarat dan ketentuan, pilih aplikasi yang transparan, dan jangan ragu menuntut hak jika data disalahgunakan. Sebagai pelaku usaha, kepatuhan bukan sekadar kewajiban hukum, melainkan investasi kepercayaan jangka panjang.
Data pribadi adalah bagian dari diri kita. Melindunginya berarti melindungi martabat dan keamanan kita sehari-hari. Dan dengan UU PDP, Indonesia akhirnya punya fondasi hukum yang lebih kuat untuk itu.
Artikel ini disusun untuk keperluan edukasi dan informasi publik di website Ntjahajono&Co. Isi didasarkan pada ketentuan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi serta perkembangan implementasinya. Untuk kasus spesifik, sebaiknya konsultasikan dengan profesional hukum.
