Pengesahan UU PDP di Tengah Maraknya Isu Kebocoran Data

Dewan Perwakilan Rakyat Republik Indonesia (DPR RI) telah resmi mengesahkan Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP) menjadi Undang-Undang (UU) dalam Rapat Paripurna pada Selasa, 20 September 2022. Pengesahan UU PDP tersebut dicapai dengan suara bulat. Tidak ada interupsi dari fraksi-fraksi yang ada di DPR, semua serentak menjawab setuju.

Wakil Ketua Komisi I DPR RI, Abdul Kharis Almasyhari, mengatakan bahwa UU PDP ini diharapkan mampu menjadi awal yang baik dalam menyelesaikan permasalahan kebocoran data pribadi di Indonesia. "Setelah pembahasan yang secara dinamis dari sebelumnya draf RUU yang disampaikan pemerintah terdiri dari 15 bab dan 72 pasal menjadi 16 bab dan 76 pasal. Komisi I DPR dalam proses pembahasan RUU tentang PDP proaktif dan responsif dengan melibatkan partisipasi masyarakat dan pemangku kepentingan terkait," tutur Kharis.

Dengan pengesahannya, UU PDP kemudian mencuat dan menjadi ramai diperbincangkan publik. Alasannya, bukan hanya karena statusnya sebagai payung hukum pertama bagi perlindungan data pribadi di Indonesia, tetapi juga karena pengesahan UU PDP yang dinilai dipercepat karena dikaitkan dengan isu kebocoran data dan kemunculan hacker yang viral di media sosial.

Sebelumnya, isu kebocoran data di Indonesia memang sedang mencuri perhatian usai sejumlah data di lembaga pemerintahan diduga bocor dan dijual secara online. Salah satunya adalah dugaan kebocoran data pelanggan Perusahaan Listrik Negara (PLN) yang mencuat pada pertengahan Agustus 2022. Selang satu bulan, pada September 2022, kembali muncul dugaan kebocoran data yang diklaim berasal dari situs milik Komisi Pemilihan Umum (KPU) dengan perkiraan kebocoran data mencapai 105 juta data penduduk (Tamtomo, 2022).

Tidak hanya itu, bersamaan dengan maraknya isu kebocoran data lantas muncul sosok Bjorka yang menjadi sorotan karena mengklaim dirinya menjual data dari kebocoran sejumlah situs pemerintah. Bjorka kemudian semakin menarik perhatian usai beberapa kali melayangkan pernyataan kritik kepada pemerintah melalui akun Twitter. Melalui aksinya tersebut, Bjorka justru berhasil mendapatkan dukungan dari sebagian warganet (Tamtomo, 2022).

Namun, Menteri Koordinator Bidang Politik, Hukum, dan Keamanan Mahfud MD menegaskan, tidak ada kaitan antara pengesahan UU PDP dengan isu kebocoran data dan kemunculan Bjorka. Mahfud mengatakan bahwa UU PDP sudah sejak lama dibahas.

"Undang-Undang PDP ini merupakan undang-undang yang sudah lama ditunggu. Jadi itu sebenarnya tidak ada kaitannya dengan kebocoran data. Karena ini jauh sebelum ribut-ribut soal Bjorka, itu sudah disahkan di DPR RI tinggal menunggu sidang pleno," tegas Mahfud.

Apabila meninjau kembali pembahasan tentang UU PDP, memang benar bahwa UU tersebut sudah dibahas sejak lama. Keberadaan RUU PDP sendiri sudah diinisiasikan sejak 2016 silam. Pada akhir tahun 2019, pembahasan RUU PDP akhirnya menghasilkan sebanyak 15 Bab dan 72 Pasal. Februari 2020, Komisi I DPR RI bersama pemerintah kemudian melakukan rapat kerja untuk menetapkan RUU PDP dan menargetkan RUU PDP selesai pada November 2020. Namun, pembahasannya terus diperpanjang hingga akhirnya disahkan pada 20 September 2022 dengan naskah final yang terdiri atas 371 Daftar Inventarisasi Masalah (DIM) dan menghasilkan 16 Bab serta 76 Pasal.

Terkait pengesahan UU PDP, Menteri Komunikasi dan Informatika Johnny G. Plate menyebut, bahwa para pemilik data pribadi akan lebih terlindungi usai disahkan UU PDP karena sudah diatur sejumlah tata kelola data pribadi dan sanksi bagi pelanggarnya. Johnny juga menegaskan bahwa UU PDP mewajibkan setiap penyelenggara sistem elektronik untuk menjamin data pribadi yang tersimpan dalam server mereka terjaga.

Selain itu, dengan keberadaan UU PDP perusahaan yang memiliki basis kerja sebagai Penyelenggara Sistem Elektronik (PSE) berkewajiban untuk merekrut para ahli dalam menangani fasilitas teknologi dan informatika. Hal itu diwajibkan agar mereka bisa bersikap taktis saat melakukan pencegahan serangan siber.

Berkaitan dengan kasus kebocoran data oleh lembaga pemerintah dan kemunculan Bjorka yang diduga membocorkan serta menjual data pribadi, UU PDP sudah mengatur hukumannya, baik bagi individu yang membocorkan data maupun pengelola data yang lalai menjaganya. Misalnya, bagi PSE sektor publik yang lalai menjaga data pribadi dapat dikenakan sanksi administratif dan bagi PSE sektor privat akan dikenakan sanksi denda dua persen dari keuntungan tahunannya, sedangkan individu yang sengaja membocorkan data pribadi akan dikenakan sanksi denda maksimal lima miliar rupiah.

UU PDP yang baru saja disahkan ini juga dinilai telah memiliki standar dan prinsip umum perlindungan data pribadi. Indikatornya adalah kejelasan rumusan mengenai definisi data pribadi dan hak-hak subjek data (Amin, 2022).

Walaupun demikian, Deputi Direktur Riset Lembaga Studi dan Advokasi Masyarakat (ELSAM) Wahyudi Djafar mengatakan, substansi di UU PDP akan sulit ditegakkan. Untuk implementasinya, UU PDP dirasa akan menjadi pekerjaan rumah yang tidak mudah.

Salah satu penyebab lemahnya penegakkan nilai UU PDP adalah soal pembentukan Otoritas Pengawas PDP yang ditetapkan langsung oleh Presiden. Lembaga tersebut nantinya akan bertanggung jawab langsung ke Presiden. Wahyudi mengatakan, UU PDP tidak mengatur kedudukan Otoritas Pengawas PDP tersebut, sehingga kekuatan lembaga tersebut sangat tergantung pada keputusan Presiden yang merumuskannya (Saskia, 2022).

"Pertanyaan besarnya, apakah mungkin satu institusi pemerintah memberikan sanksi pada institusi pemerintah yang lain? Belum lagi UU PDP juga seperti memberikan cek kosong pada Presiden, tidak secara detail mengatur perihal kedudukan dan struktur kelembagaan otoritas ini, sehingga 'kekuatan' dari otoritas yang dibentuk akan sangat tergantung pada 'niat baik' presiden yang akan merumuskannya," terang Wahyudi.

Selain itu, Wahyudi juga menyoroti ketimpangan sanksi UU PDP yang tidak setara antara sektor publik dan sektor privat. Pelanggar dari sektor publik hanya dikenakan sanksi administrasi sedangkan dari sektor privat bisa terkena sanksi denda administrasi hingga pidana (Amin, 2022).

Oleh karena itu, diharapkan UU PDP ini memang disahkan atas pertimbangan yang matang dan bukan merupakan upaya untuk meredam protes publik semata karena isu kebocoran data yang marak terjadi di banyak lembaga. Selain itu, kekurangan dari UU PDP juga harus menjadi perhatian dan pekerjaan rumah bersama, agar penegakannya berjalan sebagaimana seharusnya. Jangan sampai UU PDP kehilangan semangatnya sebagai tonggak sejarah baru perlindungan data pribadi di Indonesia.