Perbesar

Petugas mengecek data diri warga penerima manfaat saat penyaluran Bantuan Langsung Tunai (BLT) bahan bakar minyak (BBM) dan sembako di Kantor Pos Palangka Raya, Kalimantan Tengah, 8 September 2022. ANTARA/Makna Zaezar

Baca berita dengan sedikit iklan, klik di sini

Poin penting

Badan otoritas penyelenggara PDP yang akan dibentuk dinilai tidak independen.
Pembahasan RUU PDP terhitung lama.
Masalah lain berhubungan dengan penyelesaian sengketa di luar pengadilan atau adjudikasi non-litigasi

JAKARTA – Pengamat hak asasi manusia dan teknologi menilai tanggung jawab pemerintah dalam menjamin pelindungan data pribadi (PDP) dalam Rancangan Undang-Undang PDP masih lemah. Dalam draf RUU pengesahan tahap 1 yang disepakati pemerintah dengan Komisi I Dewan Perwakilan Rakyat pada Rabu lalu, badan otoritas penyelenggara PDP yang akan dibentuk dinilai tidak independen dan justru berpotensi memunculkan konflik kepentingan.

Baca berita dengan sedikit iklan, klik di sini

Pasal 58 ayat 1 RUU ini menyebutkan wewenang penyelenggaraan PDP dan pengawasannya ada pada pemerintah. Dalam Pasal 61 disebutkan bahwa badan otoritas akan dibentuk lewat peraturan presiden dan bertanggung jawab langsung kepada presiden. Ketentuan tersebut membuat badan ini selevel dengan kementerian, seperti halnya Badan Siber dan Sandi Negara (BSSN) ataupun Badan Pengawas Obat dan Makanan (BPOM).

Baca berita dengan sedikit iklan, klik di sini

"Tampaknya bakal badan otoritas PDP di Indonesia adalah lembaga yang ada di bawah pemerintah. Pemerintah akan memiliki dua persona, yaitu pengawas sekaligus yang diawasi," kata Direktur Eksekutif Lembaga Studi dan Advokasi Masyarakat (Elsam), Wahyudi Djafar, saat dihubungi, Kamis, 8 September 2022.

RUU PDP memang akan mengikat kewenangan bagi lembaga pemerintahan, terutama kementerian-kementerian, yang mengumpulkan dan memproses data pribadi. Dengan begitu, kepatuhan dan kewajiban yang timbul dari pelaksanaan undang-undang ini juga berlaku bagi lembaga pemerintah.

Namun mekanisme sanksi terhadap lembaga atau pengendali data yang berasal dari pemerintah ketika mereka melanggar pelindungan data pribadi pun dipertanyakan. Sebab, status lembaga dianggap tidak independen. Wahyudi mempertanyakan sanksi dan efektivitas penegakannya jika kalangan pemerintah yang melakukan pelanggaran dalam memproses data pribadi.

“Karena mereka berbeda dengan swasta. Kalau swasta itu, kan bisa didenda dan seterusnya. Kalau pemerintah atau lembaga publik, kan tidak," ujar Wahyudi.

Warga mencetak kartu tanda penduduk elektronik di mesin Anjungan Dukcapil Mandiri (ADM) di Padang, Sumatera Barat, 3 Februari 2022. ANTARA/Iggoy el Fitra

Pembahasan RUU PDP terhitung lama. Rancangan ini telah melalui enam kali perpanjangan masa sidang, rapat panitia kerja, serta rapat tim perumus dan tim sinkronisasi. Perdebatan panjang yang terjadi salah satunya perihal posisi badan otoritas penyelenggara PDP. Komisi I DPR yang membidangi pertahanan dan komunikasi sebenarnya ingin badan otoritas tersebut mandiri dan independen.

Namun pemerintah, lewat Kementerian Komunikasi dan Informatika, berkukuh kedudukan badan otoritas itu harus di bawah mereka. Jalan tengah pun diambil. Posisi badan otoritas penyelenggara PDP di bawah presiden langsung dianggap menjadi solusi bersama.

Namun peneliti dari PurpleCode Collective, Alia Nofira, menilai keputusan yang diambil justru bukan jalan tengah. Pegiat isu-isu yang berhubungan dengan teknologi dan feminisme ini menilai keputusan tersebut hanyalah penegasan bahwa lembaga itu masuk ranah eksekutif. Hal ini tetap menjadikannya tidak independen dan akuntabel. “Ini bukan sistem yang ideal. RUU PDP tidak hanya berlaku bagi sektor privat, tapi juga buat publik, maka seharusnya lembaganya independen," kata Alia, yang juga tergabung dalam Koalisi Advokasi PDP.

Kondisi ini makin menegaskan tidak adanya jaminan independensi badan otoritas ini dalam RUU PDP. Dia mengambil contoh Komisi Pemberantasan Korupsi (KPK). KPK dalam undang-undangnya menegaskan bahwa lembaga ini ada dalam rumpun kekuasaan eksekutif, tapi dalam melaksanakan tugas dan wewenangnya bersifat independen serta bebas dari pengaruh kekuasaan mana pun. "Dampaknya nanti pada politik kelembagaan. Bagaimana otoritas ini mengeluarkan regulasi, putusan terhadap sanksi, dan bagaimana berlakunya sanksi itu terhadap pihak-pihak yang tunduk terhadap otoritas PDP," kata Alia.

Masalah lain yang muncul dalam RUU yang berjumlah 16 bab dan 76 pasal ini adalah berhubungan dengan fungsinya untuk memfasilitasi penyelesaian sengketa di luar pengadilan atau adjudikasi non-litigasi. Lembaga di bawah pemerintah umumnya tak memiliki wewenang adjudikasi non-litigasi. "Kami membaca draf ini bingung sekali menentukan bentuk lembaga ini seperti apa. Ada banyak pasal yang akan sulit diimplementasikan karena bentuk kelembagaannya tidak jelas," kata Alia.

Rancu Aturan Sanksi

Dalam RUU PDP dicantumkan dua jenis sanksi, yakni administrasi dan pidana, baik denda maupun penjara. Ketua Panitia Kerja RUU PDP, Abdul Kharis Almasyhari, mengatakan RUU ini dapat memastikan sanksi denda bagi yang membuat kebocoran data pribadi. Selain denda, ada sanksi pidana bila pelanggaran tersebut dilakukan oleh individu. Hal ini diharapkan dapat menjadi solusi untuk mengatasi kebocoran data yang belakangan makin marak.

"Kalau perusahaan itu sanksi administrasi nominalnya maksimal 2 persen dikalikan pendapatan kotor yang dihasilkan dalam setahun. Ini angka maksimal di Indonesia mengacu pada entitas yang berlaku," kata politikus Partai Keadilan Sejahtera (PKS) itu.

Sekretaris Jenderal SAFEnet, Anton Muhajir, menilai sanksi administratif, khususnya bagi lembaga, masih belum jelas. Hal ini berbeda dengan pasal pidana jika pelanggaran dilakukan oleh perorangan atau individu, yang dengan tegas menyatakan denda bisa mencapai Rp 5 miliar. "Ketika dilakukan korporasi, tak disebutkan. Padahal itu penting disebutkan sehingga bisa menjadi acuan," kata Anton.

Kerancuan sanksi juga muncul pada Pasal 46 yang mengatur bahwa pengendali data pribadi wajib lapor maksimal 3 x 24 jam setelah terjadi kebocoran data pribadi. Notifikasi wajib lapor itu mencakup data pribadi yang bocor, waktu dan bagaimana kebocoran terjadi, serta upaya penanganan dan pemulihan yang telah dilakukan oleh pengendali data pribadi. "Tapi tak disebutkan apa kemudian sanksinya bila pengendali data tak melakukan notifikasi tersebut. Itu yang tidak jelas," kata Anton.

HENDARTYO HANGGI | EGI ADYATAMA