ELSAM: Harus Ada Pengawas UU PDP di Luar Pemerintah

Dalam naskah rancangan undang-undang perlindungan data pribadi (RUU PDP), peran pengawas dan regulator masih mengacu pada pemerintah.

Menurut Wahyudi, hal ini cukup problematis, karena apabila telah disahkan, UU PDP akan berlaku bagi badan publik dan swasta.

Pada Bab I Pasal 1 RUU PDP, badan publik mencakup lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara.

"Pertanyaannya kemudian adalah apabila nanti terjadi dugaan penyalahgunaan data pribadi atau kebocoran data pribadi yang melibatkan data publik, bagaimana mekanisme pengawasannya karena dilakukan oleh pemerintah sendiri," jelas Wahyudi saat dihubungi KompasTekno, Rabu (30/1/2020).

Hal ini pun akan membuat mekanisme pemberian sanksi menjadi problematis, karena pemerintah juga bertindak sebagai pengawas dan regulator.

Dengan adanya entitas lembaga pengawas independen, menurut Wahyudi, masalah tersebut bisa dijawab.

Ia pun mencontohkan peran lembaga independen ini di beberapa negara, seperti Eropa. Di dalam aturan perlindungan data pribadi Uni Eropa atau EU GDPR, negara-negara Eropa diwajibkan untuk membentuk badan pengawas independen di tingkat nasional.

Lembaga ini berfungsi untuk mengawasi implementasi undang-undang perlindungan data pribadi menyelesaikan sengketa.

"Jadi kalau misal ada dugaan bocoran atau penyalahgunaan, maka kemudian dia bertindak untuk menyelesaikan sengketa, memberikan putusan termasuk berapa besar kerugian yang harus dibayarkan oleh si pengendali atau prosesor data," jelasnya.

Salah satu contohnya adalah yang terjadi di Inggris. Lembaga pengawas data independen Inggris, yakni Information Commissioner's Office mengancam denda sebesar 183 juta poundsterling (Rp 3,2 triliun) untuk maskapai British Airways.

Denda tersebut dikenai akibat kasus kebocoran data pengguna yang menimpa sekitar 500.000 penumpang pada tahun 2018 lalu.

Dihimpun KompasTekno dari The Verge, Jumat (31/1/2020), jumlah denda ini diperkirakan mencapai 1,5 persen dari total pendapatan maskapai penerbangan nasional Inggris itu, pada tahun 2017.

Di dalam GDPR, denda yang dijatuhkan maksimal mencapai 4 persen dari total pendapatan.

Hal ini berbeda dengan perumusan sanksi yang akan berlaku di Indonesia. Dalam naskah RUU PDP, sanksi denda yang ditetapkan hanya menggunakan angka maksimal.

Namun, khusus untuk korporasi, pidana yang dijatuhkan hanyalah pidana denda paling banyak tiga kali lipat dari maksimal pidana denda yang diancamkan, sebagaimana tertuang dalam Pasal 66.

Wahyudi juga menyoroti masih luasnya definisi pengecualian dalam naskah RUU PDP. Ia menyarankan agar saat dibahas nanti, definisi pengecualian bisa lebih dipersempit lagi.

"Misalnya atas nama pelayanan publik, penegakan hukum, keamanan nasional, itu perlu dipersempit lagi. Sehingga tidak semua tindakan atau aktivitas terkait dengan pengumpulan, pemrosesan, dan penggunaan data pribadi yang dilakukan, khususnya oleh badan publik itu dikecualikan dalam PDP," jelasnya.

Meskipun telah sampai di tangan DPR, Kementerian Komunikasi dan Informatika (Kominfo), belum bisa memastikan kapan RUU PDP bisa disahkan oleh DPR. Menteri Kominfo, Johnny Plate mengatakan, mekanisme pembahasan RUU PDP sepenuhnya menjadi kewenangan DPR RI.

Menanggapi hal ini, Wahyudi meminta DPR harus bergerak cepat untuk segera mengesahkan RUU PDP menjadi undang-undang. Sebab, menurutnya, undang-undang perlindungan data pribadi saat ini sangat penting.

Ia mengusulkan agar Komisi I membentuk panitia kerja (panja) untuk mengakselerasi RUU PDP.

"Menurut saya komisi I perlu fokus untuk memprioritaskan, membahas RUU ini secara seksama," kata Wahyudi.