Buntut Bocoran Snowden

Konfrensi pers dua Komisioner Uni Eropa, Vera Jouraova (kiri) dan Didier Reynders, mengenai perlindungan data pribadi di Brussles, Belgia, 16 Juli 2020. Reuters/POOL

Meski Perlindungan Privasi dibatalkan, Klausa Kontrak Standar (SCC)—ketentuan yang memungkinkan ada transfer data dari Uni Eropa ke negara lain—masih berlaku. “Dalam putusannya, pengadilan menegaskan bahwa SCC tetap menjadi alat sah yang masih dapat digunakan untuk aliran data internasional,” ujar Alice Hobbs, juru bicara dari kantor Uni Eropa, kepada Tempo melalui surat elektronik, Jumat, 24 Juli lalu.

Pengadilan memberi catatan khusus soal kontrak tersebut. Skema SCC sah jika mengandung “mekanisme efektif” untuk memastikan kepatuhan negara tujuan terhadap perlindungan yang diberikan oleh hukum Uni Eropa. Perusahaan wajib memverifikasinya sebelum mengirimkan data ke luar Eropa. Jika hal ini tidak dapat dihormati, kata hakim, kontrak harus memungkinkan adanya penangguhan transfer data.

Putusan Pengadilan Tinggi Uni Eropa ini merupakan bagian dari sengketa panjang antara aktivis hak privasi dan perusahaan teknologi informasi raksasa, terutama setelah blok Benua Biru memiliki Pedoman Perlindungan Data. Regulasi perlindungan data privasi diadopsi pada 1995, yang mengatur pemrosesan data pribadi di Uni Eropa serta merupakan komponen penting dari hukum privasi dan hak asasi manusia di blok ini.

Sejak 1998, Komisi Eropa juga menyusun prinsip kerja sama yang mewajibkan bisnis yang mengirimkan data Uni Eropa ke Amerika menjalankannya sesuai dengan standar Eropa. Hasilnya adalah skema Safe Harbour. Skema yang dibuat Uni Eropa dan Amerika pada 26 Juli 2000 ini pada dasarnya mengatur ketentuan soal perlindungan data warga Uni Eropa yang ditransfer ke Amerika.

Tantangan atas perjanjian itu datang dari Max Schrems, warga negara Austria yang mengaku menjadi pengguna Facebook sejak 2008. Seperti halnya pelanggan lain yang tinggal di Uni Eropa, sebagian atau semua data yang dia berikan ke Facebook dikirim dari Facebook Ireland Ltd, anak perusahaan Facebook di Irlandia, ke server yang berlokasi di Amerika Serikat, tempat datanya diproses. Schrems menggugat Facebook Ireland Ltd dan Komisi Perlindungan Data Irlandia pada 2013. Dia meminta Uni Eropa melarang Facebook mengirimkan data lebih lanjut karena perlindungan data di Amerika tidak sesuai dengan standar Uni Eropa.

Pemicu gugatan ini adalah dugaan keterlibatan Amerika dalam program pengawasan massal PRISM, yang dibongkar mantan kontraktornya, Edward Snowden, pada 2013. PRISM adalah nama sandi untuk program rahasia Badan Keamanan Nasional (NSA), badan intelijen sinyal Amerika. Melalui program ini, komunitas intelijen mendapat akses ke sembilan perusahaan Internet. Mereka bisa mengumpulkan berbagai informasi digital, termasuk e-mail dan data lain, pada target asing di luar Amerika.

Aktivitas di kantor noyb.eu, LSM yang memperjuangkan hak privasi, di Wina, Austria, 16 Juli 2020. Reuters/Lisi Niesner

Program ini disetujui pengadilan tanpa membutuhkan surat perintah individu. Program ini bahkan beroperasi di bawah otorisasi yang lebih luas dari hakim federal yang mengawasi penggunaan Undang-Undang Pengawasan Intelijen Asing (FISA). Presentasi mengenai program ini menyatakan bahwa banyak komunikasi elektronik dunia melewati Amerika karena data komunikasi elektronik cenderung mengikuti rute yang paling murah daripada yang paling langsung secara fisik. Sebagian besar infrastruktur Internet dunia berbasis di Amerika.

PRISM satu dari sejumlah program rahasia yang dijalankan badan intelijen Amerika. Setelah Snowden membocorkan PRISM, skema Safe Harbor sudah dalam pemantauan Uni Eropa. Pada Juli 2013, Komisioner Perlindungan Data Uni Eropa Viviane Reding menyatakan Safe Harbor Framework “mungkin tidak begitu aman”.

Gugatan Schrems sempat ditangani pengadilan Irlandia sebelum dibawa ke Pengadilan Tinggi Uni Eropa. Pada 6 Oktober 2015, hakim Pengadilan Tinggi Uni Eropa menyatakan bahwa perjanjian Safe Harbour tidak sah karena tak cukup melindungi data privasi konsumen. Putusan ini berdampak kepada sekitar 4.700 perusahaan yang mengandalkan perjanjian itu untuk mengoperasikan bisnisnya di wilayah tersebut.

Putusan pengadilan itu juga mendorong sejumlah perusahaan beralih ke SCC untuk mengirimkan data di antara negara-negara Uni Eropa dan non-Uni Eropa buat memastikan bahwa mereka dapat terus mengirimkan data melintasi Atlantik. Selain menyusun skema baru, Uni Eropa dan Amerika mempersiapkan perjanjian Perlindungan Privasi sebagai pengganti Safe Harbor.

Skema Perlindungan Privasi disahkan pada 2 Februari 2016. Pengaturan baru itu memberikan kewajiban yang lebih ketat kepada perusahaan di Amerika untuk melindungi data pribadi orang Eropa serta pemantauan dan penegakan hukum yang lebih kuat oleh Departemen Perdagangan dan Komisi Perdagangan Federal Amerika, termasuk melalui peningkatan kerja sama dengan Otoritas Perlindungan Data Eropa.

Schrems lantas menggugat Perlindungan Privasi, terutama setelah Regulasi Perlindungan Umum Data (GDPR) resmi berlaku pada 25 Mei 2018. Ketentuan ini menggantikan Pedoman Perlindungan Data tahun 1995, yang mengatur perlindungan data dan privasi di Uni Eropa dan Wilayah Ekonomi Eropa (EEA), termasuk transfer data privasi keluar dari blok ini. Yang digugat Schrems termasuk Facebook. Dalam gugatannya, Schrems menyatakan Perlindungan Privasi tidak menawarkan perlindungan yang cukup atas data pribadi warga Uni Eropa yang diproses di Amerika.

Gugatan kedua ini berakhir sama. Pengadilan Tinggi Uni Eropa menyatakan Perlindungan Privasi, seperti halnya Safe Harbour, tidak sah. “Keterbatasan perlindungan data pribadi yang timbul dari hukum domestik Amerika Serikat tentang akses dan penggunaan oleh otoritas publik Amerika tidak dibatasi dengan cara yang memenuhi persyaratan yang setara dengan hukum Uni Eropa,” begitu menurut pengadilan dalam pernyataannya.

New York Times menyebutkan dampak keseluruhan putusan pengadilan ini tidak segera jelas, selain menciptakan berbagai pekerjaan rumah yang memusingkan departemen hukum perusahaan. Putusan terbaru ini mempengaruhi perusahaan teknologi informasi besar dan ribuan bisnis multinasional lain. Seorang pengacara mengatakan data yang tunduk pada peraturan transfer ini dapat mencakup komunikasi seperti e-mail, komentar di media sosial, catatan keuangan, file bisnis, materi sumber daya karyawan, basis data pemasaran, dan catatan pelanggan.

Berbagai kelompok bisnis telah menyerukan masa tenggang yang memungkinkan perusahaan menemukan mekanisme hukum baru untuk melanjutkan proses pengiriman data. “Keputusan ini memotong sarana hukum untuk mengirimkan data pribadi ke Amerika Serikat serta akan menuntut perhatian segera oleh pembuat kebijakan dan perusahaan Amerika yang berbisnis di Eropa,” kata Caitlin Fennessy, direktur penelitian di Asosiasi Profesional Privasi, kelompok industri yang berbasis di New Hampshire.

Eduardo Ustaran, pengacara khusus keamanan privasi dan siber di firma hukum Hogan Lovells di London, mengatakan orang biasa mungkin tidak melihat adanya perubahan besar sebagai akibat dari putusan itu. Namun putusan itu telah menyebabkan ribuan perusahaan tak memiliki kepastian hukum. “Efek praktisnya sebenarnya besar,” ujarnya. “Setiap perusahaan yang ingin mengirimkan data ke luar negeri sekarang harus memeriksa kemampuan negara tersebut untuk mengakses data itu.”

ABDUL MANAN (NEW YORK TIMES, GUARDIAN, WASHINGTON POST, IRISH TIME)