Menyoal Lemahnya Kedudukan Data Pribadi Anak dalam Undang-Undang Pelindungan Data Pribadi

Penggunaan teknologi internet yang meluas di dunia, merupakan faktor atas meningkatnya pemrosesan data pribadi. 

Berdasarkan survei Asosiasi Penyelenggara Jasa Internet Indonesia (APJII) periode 2021-2022, jumlah pengguna internet di Indonesia telah menyentuh angka 210,03 juta orang. 

Berdasarkan kelompok usia, tingkat penetrasi internet pada urutan pertama ditempati oleh kelompok usia 13 -- 18 tahun, yaitu sebesar 99,16 %, dan pada urutan keempat, diduduki oleh kelompok usia 5 -- 12 tahun, yaitu sebesar 62,43 %.

Badan Pusat Statistik (BPS) mencatat, mayoritas anak usia 5 tahun ke atas sudah mengakses internet untuk media sosial mencapai 88,99%. 

Kemudian sebanyak 33,04% anak usia 5 tahun ke atas mengakses internet untuk mengerjakan tugas sekolah dan sekitar 16,25% anak mengatakan mengakses internet untuk keperluan pembelian barang/jasa.

Dengan demikian, anak-anak telah melakukan penetrasi melalui akun media sosial, e-niaga, maupun edutech yang besar kemungkinan data pribadi yang dikelola oleh pihak ketiga tersebut dapat disalahgunakan. Sehingga dibutuhkan peran negara dan lembaga internasional guna mengurai masalah ini dan menetapkan kerangka hukum terkait pemrosesan data.

Gagasan pembentukan regulasi terkait pelindungan data pribadi di Indonesia sendiri telah ada sejak 10 tahun silam. Setelah itu pembahasan demi pembahasan dalam rangkaian Rapat Kerja maupun korespondensi surat antara Tim Panja dengan Komisi I DPR dilakukan secara berkala sepanjang tahun 2020 hingga 2022. 

Jalan panjang tersebut akhirnya membuahkan hasil, Undang-undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") disahkan Presiden Jokowi pada 17 Oktober 2022 dan Indonesia menjadi negara ke-5 di ASEAN yang telah mengesahkan UU PDP serta termasuk ke dalam 136 negara di dunia yang memiliki General Data Protection Regulation (GDPR). Maka, pengesahan UU PDP dirasa merupakan langkah yang sangat tepat bagi pencegahan risiko-risiko tersebut.

Pengaturan Data Pribadi Anak 

Dalam UE GDPR-K (bagian GDPR yang terkait dengan data anak) menyatakan bahwa data pribadi anak-anak harus diberikan pelindungan khusus karena mereka mungkin kurang menyadari risiko dan konsekuensi dari berbagi data. 

Recital 38 mengatakan bahwa penggunaan data anak untuk pemasaran, pembuatan profil pengguna, atau pengumpulan data saat menggunakan layanan memerlukan pelindungan khusus. Proses mendapatkan persetujuan untuk anak-anak diatur oleh Pasal 8 GDPR.

Namun, jauh sebelum itu, Amerika Serikat telah memiliki aturan sendiri yang mengatur mengenai hal tersebut, yang bernama Children's Online Privacy Protection Act ("COPPA") yang disahkan pada 20 April 1999. 

COPPA merupakan undang-undang Amerika Serikat yang berlaku bagi situs web dan layanan online yang mengumpulkan informasi pribadi secara online dari anak-anak.

COPPA mensyaratkan kebijakan privasi yang jelas dapat dipahami. Hal ini terlihat dari ketentuan yang dilindungi dalam pelindungan data pribadi anak, antara lain: alamat email, nama depan dan belakang, nama layar (screen name), lokasi, rincian pesan, alamat tempat tinggal, nomor telepon, hobi, foto, video, dan audio.

Pemberitahuan langsung juga harus diberikan kepada orang tua sebelum pengumpulan data anak mereka. Selain itu, orang tua memiliki hak berkelanjutan untuk meninjau informasi pribadi yang dikumpulkan tentang anak mereka, mencabut persetujuan, dan menghapus data pribadi anak mereka. 

Operator juga diwajibkan untuk menetapkan dan menjalankan prosedur yang wajar untuk menjaga kerahasiaan, keamanan, dan integritas informasi pribadi anak-anak.

Serupa dengan COPPA, persyaratan GDPR-K memerlukan izin orang tua, harus ada transparansi mengenai pengumpulan data penggunaannya, serta menyediakan permintaan akses subjek data serta hak untuk menghapus. 

Pada Information Commisioner's Office (ICO), Inggris, beberapa hal yang harus dipatuhi dalam melindungi data pribadi anak, antara lain: kepentingan anak, penggunaan data secara minimum, transparansi penggunaan data, berbagi data (sharing data), pengawasan orang tua (parental control), lokasi, teknik rekayasa perilaku agar anak berlaku sesuai dengan yang diinginkan (nudge technique), dan mainan anak yang terhubung secara online.

Dalam UU PDP, pengaturan mengenai data pribadi anak dikategorikan sebagai jenis data yang bersifat spesifik. Sama seperti pada GDPR-K, pemrosesan data pribadi anak dilakukan secara khusus dan wajib mendapat persetujuan dari orang tua anak dan/atau wali anak.

Batas Usia Anak

Terdapat perbedaan pengaturan antara COPPA dengan GDPR-K, yakni pada batas usia anak. 

Menurut COPPA batas usia anak adalah di bawah 13 tahun, sedangkan GDPR menetapkan batas usia anak pada 16 tahun, tetapi mengizinkan bagi negara anggota jika ingin menurunkan usia persetujuan menjadi minimal 13 tahun.

Pengaturan mengenai usia persetujuan ini pun berbeda-beda di setiap negara. Jerman, Hongaria, Lituania, Luksemburg, Slovakia, dan Belanda mempertahankan usia persetujuan GDPR pada usia 16 tahun. 

Austria telah secara resmi mengadopsi penerapan GDPR dengan usia persetujuan 14 tahun. Inggris Raya, Spanyol, Republik Ceko, Denmark, Irlandia, Latvia, Polandia, dan Swedia memiliki usia persetujuan minimum 13 tahun.

Di dalam UU PDP sendiri tidak terdapat pendefinisian terhadap umur anak. Namun Indonesia dapat menggunakan batas usia yang telah diatur dalam Convention on the Rights of the Child (Konvensi Hak-Hak Anak) dan Undang-Undang Nomor 35 Tahun 2014 tentang Perbaruan Atas Undang-Undang Nomor 23 Tahun 2002 tentang Perlindungan Anak, yaitu "orang yang belum berusia 18 (delapan belas) tahun."  

Dampak Positif UU PDP dalam Berbagai Aspek

Namun terlepas dari segala kekurangannya, kehadiran UU PDP dirasa akan memberikan sebuah legal basis yang komprehensif bagi Indonesia, untuk menjaga dan mengatur pelindungan data pribadi masyarakat Indonesia, di mana pun data mereka berada. 

UU PDP juga mendorong kemajuan dalam berbagai aspek, antara lain, dari aspek kenegaraan, pengejawantahan kehadiran negara dalam melindungi hak fundamental warga negara. 

Dari aspek hukum, payung hukum PDP lebih komprehensif, memadai, dan berorientasi ke depan. Dari aspek tata kelola, dapat mendorong reformasi praktek pemrosesan data pribadi seluruh pengendali data pribadi.

Dari aspek ekonomi dan bisnis, UU PDP dapat meningkatkan standar industri, menjawab kebutuhan serta tuntutan konsumen terhadap PDP yang memadai. Dari aspek teknologi, dapat mendorong invoasi teknologi yang beretika, bertanggung jawab dan menghormati HAM. Dari aspek budaya, dapat mendorong kebiasaan baru untuk melindungi data pribadi di masyarakat. 

Dari aspek SDM, dapat mendorong talenta SDM dalam bidang PDP. Kemudian dari aspek hubungan internasional, dapat memperkuat kepercayaan dan rekognisi terhadap kepemimpinan Indonesia dalam tata kelola data global.

Selain itu, dengan disahkannya UU PDP, maka Google Group, Meta Group dan perusahaan teknologi lainnya baik perusahaan transportasi online, e-niaga, penyedia layanan perbankan digital dan lainnya yang beroperasi, mengumpulkan, serta melakukan pemrosesan data pengguna dalam jumlah yang besar dan massif di Indonesia sudah pasti harus patuh dengan aturan ini. Dengan begitu pelindungan data pribadi yang komprehensif akan membawa kedaulatan bagi bangsa Indonesia.