Kontrak Baru dan Hak Subjek Data Pribadi yang Perlu Diketahui

Untuk menghadapi hal ini, praktik digital global mengenal adanya kontrak baku digital terkait data pribadi.

Pemahaman sisi transformasi digital ini menjadi penting, agar kita tidak terjebak pada pola pikir konservatif, yang mengindentikan transaksi online dengan transaksi konvensional, yang semuanya dilakukan serba fisik.

Oleh karena itu, berbagai formula dan bentuk perikatan hukum secara online banyak dilakukan dan menjadi best practices bisnis digital internasional.

Subjek Data Pribadi agar tidak asal klik, yang berarti menyetujui sebuah kontrak baku elektronik tentang Data Pribadi, tanpa memahami secara utuh hak dan kewajiban di dalamnya.

Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (UU PDP), telah mengatur secara detail, terkait hak-hak dan kewajiban Subjek Data Pribadi dan Pengendali Data Pribadinya.

UU PDP juga telah mewajibkan adanya alas hukum yang sah untuk pemrosesannya.

Dasar hukum itu, tentu harus dituangkan dalam sebuah perjanjian, antara Pengendali Data Pribadi dengan Subjek data Pribadi.

Dalam praktik, perikatan itu lazim dibuat dalam sebuah kontrak baku, yang disediakan dalam platform digital.

Kontrak baku wajib memuat semua hal seperti dipersyaratkan oleh UU PDP. Subjek Data Pribadi memiliki hak untuk menerima atau menolaknya.

Format kontrak baku

Kontrak Baku PDP, antara Pengendali Data Pribadi dengan Subjek Data Pribadi, adalah dasar perikatan yang melindungi hak-hak Para Pihak.

Pasal 5 UU PDP mengatur bahwa, subjek Data Pribadi, berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan tentu akuntabilitas pihak yang meminta Data Pribadi.

Bagaimana terkait penggunaan data pribadi sebagai sebuah proses bisnis di satu sisi, dan pelindungan serta keamanannya di sisi yang lain?

Pertama-tama, tentu pendekatan teknologi digital sangat penting. Teknologi yang digunakan harus menjamin secara penuh soal ini.

Selain pendekatan teknologi, pendekatan hukum adalah bagian penting. Disahkannya UU PDP adalah Langkah penting untuk kepastian hukum.

Pendekatan hukum memiliki makna kepastian bagi semua pengendali data, Prosesor Data, dan subjek data pribadi.

Pendekatan lainnya, tentu adalah pendekatan ekosistem dan SDM. Eksekutor lapangan pada pemrosesan data pribadi adalah unsur penting.

Sehebat apapun teknologinya, jika tidak didukung komitmen dan keandalan pelaksana di lapangan akan tetap berpotensi terjadi persoalan PDP.

Oleh karena itu, Pengendali Data Pribadi dan Prosesor Data Pribadi, sudah seharusnya memiliki peraturan internal (Internal regulation) tentang PDP ini. Peraturan ini sebagai petunjuk teknis bagi semua organ dan pelaksana internal mereka.

Eskplisit dan jelas

Hubungan antara Pengendali Data Pribadi dengan Subjek Data Pribadi, harus dituangkan secara eksplisit dalam sebuah kontrak.

UU PDP khususnya pada pasal 20 dan seterusnya, mensyaratkan kewajiban adanya perikatan yang sah secara hukum sebagai dasar pemrosesan dan penggunaan data pribadi.

Sebagai pihak yang selama ini banyak bergerak di bidang digital policy dan regulation, saya memahami benar, bahwa saat ini masih banyak kontrak baku yang sulit dimengerti, terlalu panjang, atau tidak mudah dipahami awam, sehingga menyulitkan subjek data pribadi untuk paham.

Dengan diundangkannya UU No. 27 Tahun 2022, maka semua pihak harus segera memperbaiki hal seperti ini, sesuai ketentuan UU PDP.

Untuk memudahkan pemahaman, berikut dikemukakan beberapa strategi, yang menjadi alas hukum agar kontrak baku yang dibuat sah secara hukum.

Pertama, kontrak baku harus diawali dengan terminologi yang jelas. Hal ini penting agar tidak ada salah tafsir atas sebuah definisi dan ruang lingkup.

Jika data pribadi akan digunakan lebih luas atau ditransfer ke Pengendali Data lain, misalnya untuk grup perusahaan, dan mitra, maka kontrak juga harus menyatakan, bahwa kebijakan data pribadi ini berlaku untuk semua Data Pribadi di seluruh layanan pengendali data, grup usaha, dan mitra bisnisnya, sehingga menjadi dasar pertimbangan subjek data pribadi untuk tetap menyetujui atau tidak.

Pengendali data pribadi harus memastikan, bahwa grup usaha, dan pihak mitra ditetapkan secara selektif, hati-hati dan berkewajiban untuk menjaga Data Pribadi secara aman dan terpercaya.

Dengan kata lain Pengendali data harus menjamin melalui sistem yang aman dan terpercaya (trustworthy).

Kedua, kontrak baku juga harus menegaskan, data itu akan digunakan di mana, apakah nasional atau global (lintas negara).

Jika Data Pribadi akan ditransfer ke luar negeri, harus dinyatakan secara eksplisit dalam kontrak, agar pada saatnya tidak perlu meminta persetujuan ulang, termasuk kondisi khusus seperti yang diatur dalam UU PDP terkait transfer data ke luar negeri.

Tidak jarang juga kontrak memuat klausul tentang cookies information. Juga kemungkinan sharing kepada mitra tetapi dalam format agregat dan anonimus, tanpa ada informasi individual yang bersifat pribadi yang bisa dibaca, atau diakses.

Terkait hal ini subjek data pribadi biasanya diberi pilihan untuk mengendalikan penerimaan cookies. Subjek data memiliki pilihan untuk menerima atau menolaknya.

Cookies dalam praktik digital, biasa digunakan untuk mengaktifkan, dan memperbaiki fungsi dan sistem tertentu pada Portal. Subjek data pribadi yang menonaktifkan cookies tertentu, akan berdampak pada cara kerja Portal itu.

Ketiga, kontrak baku PDP, juga biasanya mencantumkan klausul penyelesaian sengketa dari mulai musyawarah, mediasi, arbitrase atau litigasi pengadilan serta pilihan hukum (choice of law) ketika bersinggungan dengan Hukum Perdata Internasional.

Keempat, hal penting lainnya dalam kontrak adalah, klausul terkait dengan perubahan kebijakan data pribadi.

Pada prinsipnya Pengendali Data Pribadi dalam keadaan tertentu dapat mengubah kebijakan PDP-nya, karena perubahan versi aplikasi atau lainnya. Hal ini juga harus diatur dalam klausul kontrak.

Subjek Data Pribadi harus hati-hati dan paham, bahwa jika ia tetap meneruskan tahap-tahap registrasi di awal, atau tetap mengakses platform digital saat adanya perubahan kebijakan yang dinotifikasi atau diberitahuan oleh Pengendali Data Pribadi.

Jika hal ini dilakukan, maka subjek dimaksud, akan dianggap telah memahami, tunduk dan menyetujui.

Dengan kata lain jika Subjek Data Pribadi merasa keberatan, maka jangan teruskan dan bisa segera tinggalkan platform tersebut. Dalam sistem elektronik, biasanya isi kontrak baku dengan mudah diklik.

Subjek Data Pribadi tentu memiliki hak atas data pribadi miliknya. Oleh karena itu, manakala ragu, yang bersangkutan punyak hak untuk menerima atau menolak pemrosesan dan penggunaan data pribadinya.

Terakhir, bagaimana kontrak baku yang terkait dengan pengendali data pribadi Badan Publik Pemerintah? Hal ini perlu ditegaskan dalam Peraturan Pemerintah sebagai landasan pelaksanaan UU PDP.