Tafsir UU Perlindungan Data Pribadi yang Perlu Diketahui

JIKA ada produk legislasi yang paling ditunggu-tunggu, maka itu adalah Undang-undang Perlindungan Data Pribadi (UU PDP).

Pengesahan UU PDP dalam Rapat Paripurna DPR RI pada Selasa (20/9/2022), menjadi menarik karena berbarengan dengan gempita kasus penyebaran data pribadi yang menjadi trending topic dan menyita perhatian publik.

Namun perlu diketahui bahwa legislasi ini tidak lahir serta merta karena hingar-bingar itu. Presiden Joko Widodo telah mengirimkan naskah RUU PDP ke DPR sejak dua tahun lalu, kemudian dibahas penuh dinamika melalui enam kali perpanjangan masa sidang.

UU PDP dipercaya sangat penting dan strategis untuk mengawal dan memacu transformasi Indonesia memasuki Industri 5.0. Saat ini data sudah menjelma sebagai the new oil di era transformasi digital yang begitu masif.

Produk legislasi ini mengatur perlindungan data pribadi secara kodifikatif dalam satu UU secara terintegrasi, komprehensif, dan sistematik.

Kita memang tidak menafikan bahwa sebelumnya ketentuan tentang perlindungan data pribadi memang sudah ada, meskipun sangat terbatas.

Kondisi ketentuan secara sangat terbatas inilah yang justru menjadi persoalan, karena sangat tidak memadai, parsial, belum lagi tersebar dalam berbagai UU. Materi muatannya pun relatif sumir dan tidak komprehensif.

Ketiadaan UU kodifikatif-komprehensif ini menjadi cikal-bakal ketidakpastian hukum dan kesulitan dalam penegakannya.

Kondisi ini juga tidak bagus bagi keamanan data pribadi warga negara dan juga bagi dunia usaha dan investasi.

Lex specialis dan kepastian hukum

UU PDP adalah produk legislasi lex specialis yang merupakan instrumen legislasi primer yang mengatur secara spesifik perlindungan data pribadi. Sifatnya yang lex specialis menjadikan tidak tersekat oleh sektor atau rezim hukum tertentu.

Dalam teori dan praktik hukum, kedudukan lex specialis memiliki makna jika ada konflik pengaturan (conflict of law) dengan UU eksisting lain, maka yang berlaku adalah UU PDP ini.

Hal itu sesuai dengan asas, “hukum yang bersifat khusus mengesampingkan hukum yang bersifat umum (lex specialis derogate legi generalis).”

Dalam menghadapi transformasi digital dan persaingan global yang sangat keras, serta faktor big data yang sangat strategis, maka untuk kepastian hukum, Lembaga PDP yang akan dibentuk, dan tentu saja Aparat Penegak Hukum (APH), harus secara konsisten menerapkan prinsip ini.

UU PDP diproyeksikan antara lain untuk menjawab realitas ketiadaan standar dan kriteria perlindungan data pribadi.

UU PDP juga menjawab keraguan dunia usaha dan investasi, tatkala kegiatan usahanya bersentuhan dengan data pribadi. Dengan kata lain, UU ini menjadi jawaban atas ketidakpastian hukum itu.

Kepastian hukum itu merupakan unsur esensial dalam negara hukum, karena secara filosofis sekaligus pragmatis salah satu tujuan hukum adalah kepastian.

Kepastian hukum dalam bentuk norma UU PDP semakin penting, apalagi di negara yang lekat dengan sistem hukum Eropa Kontinental yang mentitikberatkan hukum tertulis seperti Indonesia.

Selama ini, pelaku usaha banyak yang khawatir akan dianggap melanggar perlindungan data pribadi dalam kegiatan usahanya, sementara norma detailnya tidak ada. Nah, UU PDP menjawab keraguan itu semua.

Inilah arti sebuah kepastian hukum, sepanjang siapapun telah memenuhi kewajiban, menghindari larangan dan memenuhi semua mekanisme dan standar yang tertera dalam UU PDP maka lepaslah ia dari pelanggaran PDP.

Siapapun harus belajar terkait prinsip kepastian hukum ini dan tentu saja mempraktikannya dengan konsisten dan amanah.

Materi muatan, ADR, dan arbitrase

Materi muatan UU ini, tidak hanya berisi perintah dan larangan. Di dalamnya juga mengatur secara detail jenis data pribadi, hak subjek data, pemrosesan, kewajiban pengendali data, prosesor data, transfer data, kerja sama internasional, sanksi, dan kelembagaan PDP.

UU ini juga membuka ruang penyelesaian sengketa melalui mekanisme Alternatif Dispute Resolutuon (ADR) dan Arbitrase.

Hal terakhir ini sangat penting untuk dunia usaha dalam rangka penyelesaian sengketa secara cepat, efisien, ditangani ekspert, dan tanpa perlu hingar-bingar.

Model penyelesaian sengketa ini dapat menjadi pilihan di samping penyelesaian sengketa ajudikasi litigasi melalui pengadilan.

Di sisi lain, UU PDP secara bijak memberikan pembatasan untuk hal-hal yang amat pribadi, UU ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.

Lalu apa yang dilarang oleh UU ini? Secara garis besar larangan diatur dalam pasal 65 dan 66 UU yang mencakup:

Pertama, larangan memperoleh atau mengumpulkan data pribadi yang bukan miliknya, dengan maksud untuk menguntungkan diri sendiri atau orang lain, yang dapat mengakibatkan kerugian subjek data pribadi.

Kedua, larangan mengungkapkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.

Ketiga, larangan menggunakan data pribadi yang bukan miliknya, dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.

Keempat, larangan membuat data pribadi palsu atau memalsukan data pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain.

Contoh hal yang terakhir terkait data pribadi palsu paling sederhana adalah, saat seseorang secara tanpa hak meng-capture foto dan nama orang lain, dan menjadikannya sebagai display picture WA serta menggunakannya untuk menipu.

Untuk kasus ini, maka APH tidak perlu menunggu sampai adanya akibat kerugian yang dialami korban, karena tindakan membuat data pribadi palsu itu saja, sudah dikualifikasikan sebagai delik pidana.

Yurisdiksi ekstrateritorial dan hukum transformatif

UU PDP sangat bersentuhan dengan kedaulatan negara, teritori, dan yurisdiksi. Transformasi digital telah menjadi sebuah keniscayaan yang berdampak pada kegiatan transfer data pribadi antarnegara yang sangat intens.

Untuk itulah maka UU ini pada pasal 2 menerapkan prinsip yurisdiksi ekstrateritorial (extraterritorial jurisdiction), yang memberikan hak yurisdiksional dan kewenangan kepada negara menerapkan UU ini terhadap segala perbuatan hukum yang dilakukan di luar wilayah NKRI tetapi berdampak di dalam negeri.

Pilihan penerapan model yurisdiksi ekstra teritorial secara eksplisit seperti ini untuk kedua kalinya dilakukan Pemerintah dan DPR, setelah sebelumnya diterapkan dalam UU ITE yang waktu itu juga penulis usulkan. Penerapan model yurisdiksi ini adalah bagian penting penegakan kedaulan data.

Progresifitas UU ini tidak lain adalah, untuk melindungi masyarakat dan negara dari segala gangguan peretasan, penyalahgunaan, pelanggaran dan kejahatan berbasis data pribadi baik yang dilakukan dari dalam maupun luar negeri.

Hal ini sejalan dengan penerapan teori hukum transformatif yang penulis kembangkan saat ini. Penerapan yurisdiksi ekstraterirorial dan prinsip-prinsip hukum baru secara progresif, untuk menyongsong transformasi digital, sejalan dengan teori hukum transformatif ini.

Prinsip hukum transformatif mengedepankan, bahwa hukum selain berfungsi untuk terpeliharanya ketertiban, keadilan, kepastian dan kemanfaatan juga berfungsi sebagai infrastruktur transformasi di berbagai bidang.

Berdasarkan prinsip ini, hukum diproyeksikan dan difungsikan secara pragmatis sebagai instrumen pendukung transformasi dan bukan penghambat transformasi itu sendiri.

Kita harus mewaspadai adagium “Jika satu negara ingin menguasai sebuah negara lainnya, maka kuasai dan kendalikan hukumnya, dan biarkan mereka tidak bisa bergerak maju karena kakinya telah diikat oleh hukum yang dibuatnya sendiri.”

UU PDP lahir karena kepentingan nasional. UU ini selain menapak pada falsafah dan konstitusi negara, juga menerapkan Prinsip-prinsip hukum umum (general principles of law), dan praktik internasional yang diterapkan secara realistis di berbagai negara sebagai best practices.

Salah satu yang sangat menjiwai UU PDP adalah Regulasi Perlindungan Data Uni Eropa (General Data Protection Regulation) atau disingkat GDPR.

Regulasi multilateral ini telah menjadi guideline legislasi PDP di berbagai negara di dunia.

Formula penyusunan legislasi PDP seperti ini, menjadikan UU PDP negeri kita berstandar global, setara dengan negara lain, termasuk negara maju dalam hal perlindungan dan kedaulatan data.