Oleh Adinova Fauri, Peneliti di Centre for Strategic and International Studies (CSIS), Indonesia
Upaya pemerintah Indonesia untuk memberikan perlindungan bagi data pribadi masyarakat masih belum selesai. Meskipun pengesahan Undang-Undang No. 27/2022 tentang Perlindungan Data Pribadi (UU PDP) merupakan suatu pencapaian, namun belum adanya peraturan turunan memberikan ketidakpastian tersendiri dari sisi implementasi. Adanya gap dari sisi regulasi ini menciptakan ambiguitas, yang tentunya berpotensi menurunkan tingkat kepatuhan akan regulasi.
UU PDP sendiri secara jelas mengamanatkan berlaku secara penuh dalam kurun waktu transisi dua tahun setelah diundangkan, atau pada tanggal 17 Oktober 2024. Masa transisi ini ditujukan untuk memberikan waktu bagi organisasi melakukan penyesuaian pada ketentuan
Undang-Undang sebelum diberlakukan secara penuh. Bagi sektor swasta, waktu transisi ini
dibutuhkan untuk penyesuaian operasional usaha termasuk penunjukan pejabat yang melaksanakan fungsi perlindungan data (Data Protection Officer (DPOs)), berinvestasi pada infrastruktur untuk menjamin keamanan data, serta memastikan bahwa praktik bisnis sehari-hari sudah dijalankan dengan mengikuti prinsip-prinsip yang ada dalam UU PDP.
Sementara dari sisi pemerintah, masa transisi ini juga tidak kalah krusial. Pemerintah perlu mempersiapkan dan mengesahkan sejumlah peraturan turunan dari UU PDP, membentuk lembaga independen, serta restrukturisasi organisasi – mengingat UU PDP berlaku bagi swasta dan pemerintah. Masih belum adanya peraturan turunan ini tidak hanya dapat menghambat efektivitas dari implementasi UU PDP, tetapi juga meningkatkan risiko tingkat ketidakpatuhan organisasi akan prinsip UU PDP. Tanpa adanya arahan yang jelas serta pengawasan, organisasi akan kesulitan untuk memenuhi kewajibannya, menyebabkan data pribadi semakin rentan dari penyalahgunaan.
Untuk memberikan perlindungan pada data pribadi, Indonesia perlu memprioritaskan kebijakan implementasi yang efektif dan cepat, sehingga memberikan kepastian bagi pihak swasta maupun pemerintah untuk memiliki prinsip dan sumber daya yang diperlukan untuk mematuhi UU PDP.
Tantangan dari implementasi UU PDP di Indonesia
1. Kesulitan dalam menjalankan implementasi yang efektif
Salah satu hal utama yang diamanatkan oleh UU PDP adalah pembentukan lembaga independen yang bertanggung jawab untuk menjalankan amanat dari UU PDP. Tanpa adanya lembaga tersebut akan menciptakan ketidakjelasan institusi mana yang bertugas melakukan pemantauan, pemeriksaan, atau menangani kasus penyalahgunaan data pribadi.
Selain itu, amanat lain yang diberikan oleh UU PDP adalah pembentukan peraturan turunan yang nantinya juga akan menjadi pondasi dari peraturan sektoral. Tanpa adanya peraturan turunan ini, harmonisasi aturan secara keseluruhan akan menjadi terhambat, sehingga bisa menurunkan efektivitas dari implementasi UU PDP.
2. Risiko Kepatuhan yang rendah
Tantangan berikutnya adalah risiko dari rendahnya tingkat kepatuhan akan UU PDP. Seperti yang diketahui bagaimana banyak studi literatur di berbagai negara yang memperlihatkan rendahnya tingkat kepatuhan akan peraturan mengenai perlindungan data pribadi. Sementara itu, karakter dari Undang-Undang yang ada di Indonesia sebagai kerangka hukum seringkali bersifat umum dan berada pada ranah yang prinsipil, sehingga membuat minimnya arahan yang bersifat teknis. Tanpa adanya arahan yang jelas, dikhawatirkan organisasi akan semakin sulit untuk menjalankan amanat dari UU PDP, sehingga akan menurunkan tingkat kepatuhan.
Tantangan ini menjadi alarm bagi Indonesia untuk memperkuat kerangka perlindungan data pribadi dan tata kelola data yang baik. Dalam kurun waktu dua tahun ini, cukup banyak kasus-kasus besar yang berkaitan pada data breaches, seperti kasus Bjorka, serangan ransomware pada Pusat Data Nasional, dan bocornya data Nomor Pokok Wajib Pajak (NPWP), memperlihatkan urgensi yang makin besar dari kerangka regulasi yang lebih komprehensif.
Policy Recommendations / Rekomendasi Kebijakan
Masa transisi pada pemerintahan baru di Indonesia perlu dijadikan sebagai peluang untuk memasukkan isu perlindungan data pribadi sebagai salah satu isu prioritas nasional. Tanpa adanya political will yang kuat, pembentukan dari peraturan turunan UU PDP serta lembaga independen akan sulit dapat dengan cepat diselesaikan.
Meluruskan kembali isu terkait dengan perlindungan data pribadi menjadi kunci. Perlindungan data perlu dilihat sebagai faktor pendorong dan bukan sebagai hambatan bagi pertumbuhan ekonomi digital. Sebagai contoh, laporan dari Kementerian Komunikasi dan Digital (Komdigi) memperlihatkan bagaimana 21% dari responden memilih untuk tidak memanfaatkan platform digital dikarenakan adanya kekhawatiran akan keamanan data mereka. Dengan demikian, peningkatan perlindungan data dapat menjadi upaya untuk meningkatkan kepercayaan publik dan meningkatkan pertumbuhan ekonomi digital yang berkelanjutan.
Salah satu isu utama terkait dengan UU PDP di Indonesia adalah masih belum terbentuknya lembaga independen yang akan bertanggungjawab pada urusan perlindungan data. Meskipun menjadi hal dan perhatian yang utama, institusi ini masih belum terbentuk bahkan hingga dua tahun setelah diundangkannya UU PDP. Di masa transisi ini, usulan menjadikan Komdigi sebagai lembaga penanggung jawab dari PDP memunculkan kekhawatiran dari sisi impartiality. Lembaga yang benar independen akan sangat krusial, mengingat lembaga ini nantinya perlu dapat berjalan dan lepas dari pengaruh politik serta memiliki otonomi untuk menginisiasi dan menginvestasi tiap kasus dalam lintas sektor. Mengingat UU PDP mengatur tidak hanya pihak swasta tetapi juga pemerintah, kehadiran lembaga yang independen akan menjadi kunci dari penerapan UU yang adil dan efektif.
Penguatan kerangka perlindungan data tidak hanya ada pada sisi penguatan regulasi, tetapi juga bergantung pada pemahaman dan tingkat literasi digital masyarakat. Hal yang kemudian menjadi tantangan adalah bagaimana tingkat pemahaman masyarakat akan keamanan data masih cukup rendah di Indonesia. Di tahun 2024, tingkat literasi dan kemampuan digital Indonesia berada di level 58,25 poin, sementara nilai untuk pemahaman praktik perlindungan data lebih rendah lagi. Sebagai contoh, hanya 36,4% responden yang menggunakan two-factor authentication, dan hanya 64,8% yang tidak mengunggah data pribadinya di media sosial.
Untuk menjawab permasalahan ini, kampanye dalam skala besar diperlukan untuk meningkatkan pemahaman akan isu ini. Hingga saat ini, upaya sosialisasi pemerintah akan UU PDP masih terbatas pada sektor digital dan keuangan. Kedepannya, inisiatif program-program sosialisasi perlu menyasar seluruh industri, mengingat UU PDP akan diberlakukan untuk seluruh sektor.
Selain itu, penerapan penilaian berbasis risiko juga dapat dilakukan oleh pemerintah untuk memudahkan masa transisi. Implementasi dalam berbagai tahapan, yang mana, usaha kecil atau dengan risiko penyalahgunaan data yang lebih rendah, dapat memiliki pengecualian di awal, sehingga implementasi dari UU PDP juga akan lebih efektif dijalankan. Penetapan penilaian berbasis risiko ini juga diperlukan mengingat regulasi yang terlalu ketat berpotensi menciptakan biaya yang tidak perlu, yang nantinya juga menjadi hambatan pada pertumbuhan ekonomi.
Penguatan Perlindungan Data untuk meningkatkan kepercayaan ekonomi digital
Pengundangan UU PDP menjadi capaian yang cukup signifikan bagi Indonesia menuju tata kelola data yang lebih baik. Namun, tingkat efektivitas dari implementasi UU PDP perlu keputusan yang cepat dan tegas. Memprioritaskan penyelesaian pembentukan peraturan turunan, membentuk lembaga independen, serta meningkatkan pemahaman dan literasi publik menjadi hal yang krusial untuk menciptakan kerangka tata kelola data yang baik. Dengan menyasar pada hal-hal tersebut, Indonesia dapat memperkuat ekosistem digitalnya, meningkatkan perlindungan akan data, serta meningkatkan kepercayaan publik yang lebih luas pada ekonomi digital
Pandangan dan rekomendasi yang tertuang dalam artikel merupakan pandangan penulis, dan tidak merefleksikan pandangan dan posisi dari Tech for Good Institute.
