Pengesahan RUU Perlindungan Data Pribadi, Sudah Layak Kah?

Gustav Radburch dalam Rephilosofische hal 58 memperkenalkan 3 teori tujuan hukum, yakni keadilan, kepastian, dan kemanfaatan. Sejalan dengan hal tersebut, pengesahan RUU Pelindungan Data Pribadi sejatinya merupakan respon yang tidak mencerminkan kemanfaatan itu sendiri sebab di Indonesia telah terdapat pengaturan-pengaturan secara sektoral yang lebih khusus dalam mengatur pelindungan data pribadi. Sehingga pengesahan RUU Pelindungan Data Pribadi yang jauh dari kata sempurna merupakan hal yang tidak diperlukan. 

Sinta Dewi Rosadi, seorang ahli hukum siber Indonesia mendefinisikan data pribadi sebagai penanda personal seseorang yang bersifat individual. Sejalan dengan, Alan Westin seorang pakar hak privasi Columbia University, yang menyatakan bahwa data pribadi merupakan hak privasi yang melekat pada diri setiap manusia. Maka dalam hal terjadinya kebocoran data pengguna elektronik telah terjadi penderogasian hak privasi seseorang yang mana telah dijamin dan dilindungi dalam Pasal 28 G ayat (1) Konstitusi, bahwa negara wajib memberikan pelindungan penuh terhadap data pribadi masyarakat.

Dimana, hal ini sejalan dengan konsep Cost and Benefit Analysis sebagai alat analisis peraturan perundang-undangan, bahwa untuk mengatasi masalah bukanlah dengan membentuk aturan baru, melainkan memaksimalkan peraturan yang sudah ada, yaitu dengan mempertahankan pengaturan pelindungan data pribadi secara sektoral diantaranya PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik dan Permenkominfo No. 20 Tahun 2016 tentang Pelindungan Data Pribadi Dalam Sistem Elektronik, kemudian mengimprovisasi pelaksanaannya daripada mengesahkan sebuah RUU. Tepatnya, RUU Pelindungan Data Pribadi yang dikeluarkan pemerintah per tanggal 24 Januari 2020.Adapun ketidaksetujuan penulis, dilandasi oleh 2 poin urgensi, yakni:

Pengaturan PDP harus dibuat secara sektoral untuk lebih menjawab kebutuhan dari masing-masing sektor, sebab RUU PDP hanya sebuah upaya unifikasi tanpa adanya penambahan hal substansial.

Permasalahan dalam pelindungan data pribadi di Indonesia hanyalah mengenai implementasi dari peraturan yang telah ada.

Lebih lanjut Nonet & Zelznick, dalam teori hukum responsifnya mengatakan bahwa hukum sejatinya tidak bersifat reaktif, melainkan harus bersifat responsif, artinya, hukum harus mampu memberikan jawaban secara proporsional sesuai dengan permasalahan yang dihadapi. Sejalan dengan hal ini, pengesahan RUU PDP sebagai produk reaktif pemerintah dalam upaya pencegahan kebocoran data pengguna elektronik bukan merupakan jawaban yang proporsional, sebab saat ini telah banyak peraturan perundang-undangan yang mengatur secara komprehensif mengenai pencegahan kebocoran data pengguna elektronik. 

Fakta saat ini, dimana pengaturan mengenai pelindungan data pribadi telah diatur secara komprehensif dalam peraturan perundang-undangan saat ini, sesuai dengan apa yang dibutuhkan oleh masing-masing sektor. Yang nyatanya, pengaturan saat ini pun masih lebih baik dibandingkan RUU Prlindungan Data Pribadi. Misalnya diantara lain Pasal 7 UU No.36 Tahun 2009 tentang Kesehatan (Selanjutnya disebut dengan UU Kesehatan) yang mensyaratkan adanya hak bagi setiap orang untuk mendapatkan informasi dan edukasi tentang data kesehatannya. 

Yang didukung dengan sifat data-data tersebut adalah rahasia, sebagaimana termaktub pada Pasal 57 UU Kesehatan. Kemudian apabila kita melihat di dalam UU  No.10 Tahun 1998 tentang Perubahan atas Undang-Undang Nomor 7 Tahun 1992 tentang Perbankan (Selanjutnya disebut dengan UU Perbankan) telah diatur mengenai kewajiban Bank untuk merahasiakan data Nasabah yang tertuang dalam Pasal 40 ayat (1) UU Perbankan.

Tidak hanya itu saja pada UU No.24 tahun 2013 tentang Perubahan atas Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan (Selanjutnya disebut dengan UU Adminduk), yakni di Pasal 2  juga telah dinyatakan secara tegas dan meyakinkan bahwa setiap penduduk berhak untuk memperoleh pelindungan atas data pribadinya. Pun dalam UU Adminduk dalam Pasal 84 juga telah disebutkan secara rinci, apa saja data pribadi yang wajib dilindungi, seperti sidik jari dan iris mata. Dalam Permenkominfo Nomor 5 tahun 2020, sidik jari dan iris mata termasuk dalam data pribadi spesifik.

Pengaturan yang bersifat sektoral tersebut sangat ideal mengingat kompleksitas dari pengaturan data pribadi yang berbeda di masing-masing sektor. Pun pengesahan RUU PDP tidak menunjukkan kemanfaatan sebab mengenai legal basis, di dalam RUU PDP, Pasal 18 ayat (1) disebutkan bahwa persetujuan dari subjek data adalah satu-satunya legal basis bagi Prosesor data untuk dapat memproses data pribadinya.

Namun, saat ini dalam PP Penyelenggaraan Sistem dan Transaksi Elektronik (PSTE), di dalam Pasal 14 ayat (3) dan (4) telah mengatur bahwa legal basis nya tidak hanya persetujuan yang sah dari Subjek data, melainkan juga ada 6 legal basis lainnya, antara lain adanya pemenuhan pelindungan kepentingan yang sah terhadap subjek data dan pemenuhan kewenangan pengendali data berdasarkan peraturan perundang-undangan. 

Tidak hanya permasalahan pada legal basis saja dalam PDP juga tidak diatur mengenai Data Protection Authority (DPA). Dimana justru Permenkominfo Nomor 20 Tahuh 2016 lah yang secara implisit telah mengamanatkan dilakukannya pengawasan.

Atas dasar itulah, pengaturan mengenai pelindungan data pribadi di peraturan perundang-undangan yang bersifat sektoral saat ini, telah sesuai dengan yang dibutuhkan. Juga, telah cukup dalam menjawab mengenai permasalahan kebocoran data pengguna elektronik. Selain itu, sifat dari RUU PDP ini hanya me-unifikasikan pengaturan mengenai pelindungan data pribadi yang sudah ada di peraturan sektoral saat ini. 

Namun ironisnya, RUU Pelindungan Data Pribadi tidak lebih baik dari pengaturan atatus quo saat ini. RUU PDP yang tidak mengatur secara lebih komprehensif mengenai Legal Basis dan juga tidak diaturnya mengenai Data Protection Authority, yang justru menjadi poin yang krusial dalam hal mencegah kebocoran data pengguna elektronik.

Untuk lebih meyakinkan, Winarno Yudho dan Heri. Tjandrasari Dosen Fakultas Hukum Universitas Indonesia menyatakan bahwa Efektivitas hukum adalah suatu kemampuan hukum untuk menciptakan atau melahirkan keadaan atau situasi yang dikehendaki oleh hukum atau diharapkan oleh hukum. Sejalan dengan hal tersebut pula RUU PDP bukanlah merupakan sebuah solusi hukum yang efektif, sebab RUU PDP tidak menyelesaikan masalah pada akarnya sehingga mustahil untuk mencapai situasi hukum yang dikehendaki yakni pencegahan kebocoran data pribadi. 

Penulis mengamini kebocoran data pribadi merupakan salah satu permasalahan yang harus segera diatasi. Namun sejatinya, permasalahan tersebut tidak dapat diselesaikan dengan pengesahan RUU PDP. Mengingat bahwa substansi dari RUU PDP hanya mengubah dari segi normatif, bukan implementasinya. Yang sejatinya penyebab utama dari buruknya sistem pelindungan data pribadi ini adalah pada tataran implementasinya.

Lawrence M. Friedman dalam teorinya Three Elements of Legal Systeme menyatakan ada tiga komponen yang harus dipenuhi untuk menciptakan sistem hukum yang baik, yakni Legal Structure, Legal Substance, dan Legal Culture. kurang sadarnya masyarakat tentang pentingnya Data Pribadi merupakan salah satu bentuk lemahnya Legal Culture atau Budaya hukum yang akan menentukan bagaimana seharusnya hukum itu berlaku dalam masyarakat yang tentunya berimplikasi pada penghambatan pembentukan sistem hukum itu sendiri. 

Mantan Direktur Tata Kelola Aplikasi Informatika Direktorat Jenderal Aplikasi Informatika Mariam F. Menyatakan bahwa 93% masyarakat membagikan data pribadi mereka secara digital melalui media sosial, dengan rincian 44%  masyarakat membagikan lewat publisitas, 21% berbagi data pribadi dengan orang asing, bahkan 10% pengguna membagikan nomor identifikasi pribadi (PIN). Hal ini menunjukkan dalam implementasinya. Legal Culture masyarakat atas kesadarannya untuk menjaga data pribadinya dalam media elektronik masih rendah. 

Tidak berhenti sampai disitu Teguh Aprianto, salah satu Ethical Hacker Indonesia dalam wawancaranya menyatakan bahwa ia dapat membobol situs pemerintah hanya dalam waktu 10 menit. Hal ini disebabkan karena menurut Teguh website pemerintah dibuat secara sembarangan dan pengawasannya dari orang yang tidak berkompeten. Hal ini menunjukkan betapa lemahnya sistem pengawasan pelindungan data pribadi saat ini. 

Mengatasi permasalahan tersebut sejatinya dapat diatasi dengan status quo saat ini tanpa perlu mengesahkan RUU PDP. Sebab, status quo saat ini sejatinya telah mengatur secara rigid pengaturan pelindungan data pribadi, serta Kominfo sejatinya telah melakukan banyak hal seperti sosialisasi kepada masyarakat, bekerja sama dengan OJK untuk menertibkan lembaga keuangan yang masih melanggar privasi pengguna telekomunikasi demi menggaet nasabah. Serta, melindungi data pribadi pelanggan telekomunikasi dengan mendorong penertiban kartu prabayar agar bisa diverifikasi.

Memasuki paparan komparasi, Amerika Serikat merupakan salah satu negara yang memiliki pengaturan pelindungan data pribadi yang diatur secara sektoral. Dan melalui pengaturan tersebut Amerika Serikat menduduki peringkat pertama sebagai negara memiliki keamanan siber terbaik di dunia menurut Data Global Cybersecurity Index 2020. Hal ini menunjukkan bahwa pengaturan Pelindungan data Pribadi secara sektoral juga dapat membentuk sistem pelindungan data pribadi yang maksimal.

Oleh Karena itu, sejalan dengan Teori Cost Benefit Analysis, dengan mengedepankan pemaksimalan peraturan yang sudah ada, dibanding mengesahkan sebuah RUU. Maka penulispun telah memiliki solusi yang solutif dengan mekanisme berikut :

Pertama, Membentuk Data Protection Authority sesuai dengan Pasal 35 Permenkominfo 20 Tahun 2016 yakni berada di bawah Komisi Informasi selaku pimpinan instansi pengawas sebagai bentuk konkret peningkatan sistem keamanan pelindungan data pribadi secara koordinatif. Serta adanya penambahan kewenangan Komisi Informasi yang sebelumnya hanya memberikan rekomendasi dalam hal ada sengketa, namun nantinya juga akan mengawasi

Kedua, Sosialisasi dengan menggunakan digital talent dan digital scouting sebagaimana yang termaktub dalam Pasal 34 Permenkominfo No 20 Tahun 2016 dengan berbagai pergerakan seperti sosialisasi melalui berbagai media guna meningkatkan kesadaran masyarakat terhadap pentingnya pelindungan Data Pribadi dalam Sistem Elektronik yang dikelolanya. Nantinya, sosialisasi ini akan dilakukan secara intensif dari berbagai unsur di masyarakat.

Sehingga nantinya solusi ini akan meningkatkan efektivitas implementasi sistem pelindungan data pribadi yang dapat mencegah kebocoran data pribadi.