Menanti Lahirnya Peraturan Pelaksana UU PDP

Waktu itu juga digunakan pemerintah untuk menyusun peraturan pelaksana UU PDP. Peraturan pelaksana yang dimaksud setidaknya terdiri dari dua pokok pengaturan, yaitu terkait lembaga pelindungan data pribadi  dan peraturan teknis pelaksanaan pelindungan data pribadi.

Sejak pembahasan rancangan UU PDP, pemerintah dan DPR memiliki acuan yang sama, yaitu General Data Protection Regulation dari Uni Eropa (GDPR). Melalui pengundangan UU PDP, diharapkan dapat terbangun sistem hukum pelindungan data pribadi yang komprehensif.

Komprehensif di sini memiliki beberapa dimensi. Pertama, sistem hukum pelindungan data pribadi Indonesia mampu memberikan perlindungan konstitusional bagi subyek hukum Inodnesia, baik di dalam maupun di luar yurisdiksi Indonesia. Kedua, sistem hukum tersebut dapat memfasilitasi pemanfaatan dan penerapan teknologi, seperti artificial intelligence.

Ketiga, sistem hukum pelindungan data pribadi Indonesia harus kompatibel dengan instrumen regional atau multilateral.  Keempat, sistem yang dimaksud memungkinkan aliran data lintas batas (cross-border data flows) yang memberikan perlindungan setara.

Kelima, sistem hukum nasional tersebut mampu mendukung perdagangan internasional.

Dinamika Praktik Kebijakan PDP

Selama hampir setahun sejak diundangkan, terdapat beberapa dinamika dalam praktik pelindungan data pribadi yang muncul di tingkat nasional maupun internasional. Dinamika tersebut penting untuk dipertimbangkan dalam penyusunan peraturan pelaksana UU PDP.

Pertama, pelindungan data pribadi merupakan salah satu topik negosiasi dalam berbagai perjanjian atau instrumen perdagangan bebas baik secara bilateral, multilateral, atau plurilateral. Indonesia juga terlibat dalam negosiasi dimaksud.

Beberapa di antaranya ialah the WTO E-Commerce Joint Statement Initiative, Indonesia—European Union Comprehensive Economic Partnership Agreement (CEPA), Indonesia-Japan CEPA, dan Indonesia-Canada CEPA.

Pembahasan pelindungan data pribadi dalam perjanjian atau instrumen perdagangan bebas yang dimaksud biasanya bermuara pada istilah, definisi, standar pelindungan data pribadi, dan komitmen untuk tetap mengoptimalkan aliran data lintas batas. Perbedaan istilah yang digunakan, antara data pribadi atau informasi pribadi, bukanlah satu aspek hukum yang mudah untuk dipertemukan. Belum lagi definisi dari istilah tersebut.

Isu yang lebih strategis adalah perbedaan standar pelindungan data pribadi antara negara pihak. Perbedaan-perbedaan tersebut dipengaruhi banyak faktor, seperti sistem hukum, politik, sosial dan budaya, serta teknologi.

Dalam satu negosiasi, negara lawan runding dapat menggunakan kondisi ketiadaan sistem hukum pelindungan data pribadi yang komprehensif sebagai satu keuntungan. Sebaliknya, sitem hukum yang komprehensif dapat menjadi benteng bagi satu negara untuk melindungi data pribadi subyek hukumnya dan mengambil manfaat dari perdagangan bebas.

Kedua, kurang dari tiga bulan sejak pengundangan UU PDP, telah terdapat dua permohonan untuk menguji konstitusionalitas pasal-pasal UU PDP. Salah satu dari permohonan tersebut ialah perkara 108/PUU-XX/2022.

Dalam perkara 108/PUU-XX/2022, pemohon menguji konstitusionalitas konsep pengendali dan prosesor data pribadi sebagai entitas yang bertanggung jawab atas pemrosesan data pribadi. Keberatan pemohon ialah ketidakjelasan korporasi sebagai pengendali atau prosesor data pribadi.

Pemohon juga mempertanyakan konstitusionalitas Pasal 2 ayat (2) UU PDP. Ketentuan tersebut mengatur pengecualian keberlakuan UU PDP untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.

Permasalahan dari pasal tersebut, menurut pemohon, adalah tidak adanya penjelasan ruang lingkup kegiatan pribadi atau rumah tangga.

Mahkamah Konstitusi (MK) menolak permohonan yang dimaksud. Permasalahan korporasi sebagai pengendali atau prosesor data pribadi sudah dapat diselesaikan berdasarkan definisi dari kedua istilah tersebut.

Pertimbangan MK untuk menyelesaikan permasalahan kedua memiliki dampak dalam penyusunan peraturan pelaksana UU PDP. MK telah memberikan penegasan mengenai elemen penting dari kegiatan pemrosesan data pribadi dalam kegiatan pribadi atau rumah tangga.

Sifat dari kegiatan yang dimaksud adalah privat dan non-komersial. Dengan perkataan lain, apabila terdapat kegiatan pemrosesan data pribadi dalam rumah tangga yang bersifat komersial, ketentuan-ketentuan UU PDP berlaku.

Sebagai konsekuensi, pelaku usaha mikro kecil dan menengah (UMKM) yang menjalankan usahanya di rumah dengan memproses data pribadi orang lain, dapat dikategorikan sebagai pengendali atau prosesor data pribadi. Dengan demikian, ketentuan kewajiban dan larangan yang diatur dalam UU PDP  berlaku terhadapnya.

Putusan-putusan MK sedikit banyak akan memengaruhi peraturan pelaksana UU PDP. Mungkin akan ada lagi permohonan-permohonan pengujian konstitusionalitas UU PDP yang dapat memengaruhi arah kebijakan pelindungan data pribadi di Indonesia.

Ketiga, beberapa negara telah mengambil langkah inisiatif untuk menyusun regulasi dan kebijakan untuk melindungi anak di ruang siber dalam menggunakan produk atau layanan digital. Anak, sebagai digital native, menggunakan berbagai aplikasi atau perangkat yang terhubung dengan internet untuk berinteraksi dan berkomunikasi.

Akan tetapi, anak belum memiliki kemampuan dan kapasitas untuk memahami risiko yang muncul dari penggunaan produk atau layanan digital tersebut. Anak juga belum tentu dapat memahami aturan atau kebijkan penggunaan produk dan layanan tersebut. Karena itu, anak rentan menjadi korban penyalahgunaan data pribadi.

Kode Desain Sesuai Usia (Age Appropriate Design Code) adalah model hukum yang diterapkan negara-negara Uni Eropa untuk mengatur tanggung jawab penyedia produk dan layanan digital dalam membangun ruang siber yang aman bagi anak. Kode ini merupakan pengejawantahan GDPR dalam memastikan bahwa pemrosesan data pribadi anak sesuai dengan kepentingan terbaik anak.

Inggris, Swedia, Belanda, Prancis, dan Irlandia merupakan negara-negara Uni Eropa yang telah menerapkan kode tersebut.

Meskipun bukan bagian dari Uni Eropa, Negara Bagian California di Amerika Serikat (AS) juga mengadopsi kode desain yang dimaksud. Silicon Valley, salah satu pusat berkumpulnya perusahaan-perusahaan teknologi terbesar di dunia berada di negara bagian ini.

Pemerintah Indonesia dapat mempertimbangkan untuk mengadopsi Kode Desain Sesuai Usia ke dalam sistem hukum Indonesia. Semakin banyak negara menerapkan standar yang sama dalam melindungi anak di ruang siber, semakin luas ruang siber yang aman bagi anak yang dapat memberikan jaminan keselamatan, privasi, dan kesejahteraan anak.

Menanti Lahirnya Peraturan Pelaksana UU PDP

Dengan diundangkannya UU PDP, kita semua harus siap keluar dari zona nyaman. Zona nyaman yang dimaksud ialah lingkungan hukum dan praktik di mana banyak aturan yang tidak tegas dan jelas dalam pemrosesan data pribadi.

Dalam menanti diundangkannya peraturan pelaksana UU PDP, ada banyak hal strategis yang dapat dilakukan pengendali atau prosesor data pribadi. Waktu yang ada dapat digunakan untuk memahami hak-hak subyek data pribadi, dan kewajiban-kewajiban pengendali atau prosesor data pribadi yang diatur dalam UU PDP.

Mengingat GDPR digunakan sebagai referensi dalam penyusunan UU PDP, pelaku usaha juga dapat menggunakan referensi tersebut untuk berbenah. Acuan yang dimaksud dapat digunakan dalam memahami ketentuan-ketentuan dalam UU PDP.

Mengevaluasi desain sistem elektronik, teknologi, kebijakan, dan aturan yang diterapkan saat ini dalam pemrosesan data pribadi dapat menjadi langkah strategis lainnya yang dapat diambil. Selain itu, mengambil pelatihan terkait praktik pelindungan data pribadi akan sangat bermanfaat bagi organisasi.

Terakhir, dalam hal terdapat ketidakjelasan dalam aturan, pengendali atau prosesor data pribadi dapat mengonsultasikannya kepada otoritas. Dengan demikian pengendali atau prosesor data pribadi dapat selangkah lebih maju dalam mempersiapkan diri sebelum ketentuan UU PDP efektif berlaku.