Undang-Undang PDP Akhirnya Berlaku (Bagian I)

Pemerintah Indonesia memberlakukan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi yang disahkan pada tanggal 17 Oktober 2022. Undang-undang ini menegaskan bahwa Pelindungan Data Pribadi (PDP) merupakan salah satu hak asasi manusia (HAM) yang menjadi bagian pelindungan diri pribadi.

Undang-undang ini juga  ditujukan untuk menjamin hak warga negara atas pelindungan diri pribadi dan menumbuhkan kesadaran masyarakat serta menjamin pengakuan dan penghormatan atas pentingnya PDP. Berlakunya undang-undang ini merupakan payung hukum bagi tata kelola data pribadi yang baik di Indonesia.

Artikel ini terdiri dari dua bagian.  Bagian pertama akan menjelaskan tentang yuridiksi Undang-Undang No. 27 Tahun 2022, jenis data pribadi, hak subjek data pribadi dan kewajiban pengendali data pribadi dan prosesor data pribadi.

Yurisdiksi Undang-undang No. 27 Tahun 2022

Yurisdiksi pelaksanaan Undang-undang No. 27 Tahun 2022 ini berlaku secara ekstrateritorial. Undang-undang ini berlaku untuk setiap orang, badan publik, dan organisasi internasional yang berada di dalam maupun di luar wilayah hukum Indonesia, yang memiliki akibat hukum di wilayah hukum Indonesia ataupun yang memiliki akibat hukum bagi subjek data pribadi warga negara Indonesia di luar wilayah hukum Indonesia. Namun Undang-undang No. 27 Tahun 2022 ini tidak mengatur pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.

Jenis Data Pribadi

Undang-undang No. 27 Tahun 2022 mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non elektronik.

Data pribadi terdiri dari dua jenis, yaitu:  data pribadi yang bersifat spesifik dan  data pribadi yang bersifat umum.

Yang dimaksud data pribadi yang bersifat spesifik meliputi:

1. data dan informasi kesehatan;
2. data biometrik;
3. data genetika;
4. catatan kejahatan;
5. data anak;
6. data keuangan pribadi; dan/atau
7. data lainnya sesuai dengan ketentuan peraturan perundang- undangan

Sedangkan data pribadi yang bersifat umum meliputi:

1. nama lengkap;
2. jenis kelamin;
3. kewarganegaraan;
4. agama;
5. status perkawinan; dan/atau
6. data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Hak Subjek Data Pribadi

Subjek data pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi. Undang-undang No. 27 Tahun 2022  mengatur hak-hak dari subjek data ribadi, yaitu sebagai berikut:

1. hak untuk mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, dan akuntabilitas pihak yang meminta data p
2. hak untuk melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi tentang dirinya sesuai dengan tujuan pemrosesan data p
3. hak untuk mendapatkan akses dan memperoleh salinan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
4. hak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
5. hak untuk menarik kembali persetujuan pemrosesan data pribadi tentang dirinya yang telah diberikan kepada pengendali data p
6. hak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada subjek data p
7. hak untuk menunda atau membatasi pemrosesan data pribadi secara proporsional sesuai dengan tujuan pemrosesan data p
8. hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
9. hak untuk mendapatkan dan/atau menggunakan data pribadi tentang dirinya dari pengendali data pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik.
10. hak untuk menggunakan dan mengirimkan data pribadi tentang dirinya ke pengendali data pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip pelindungan data pribadi berdasarkan undang-undang ini.

Hak subjek data pribadi tersebut dikecualikan untuk:

1. kepentingan pertahanan dan keamanan nasional;
2. kepentingan proses penegakan hukum;
3. kepentingan umum dalam rangka penyelenggaraan negara;
4. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
5. kepentingan statistik dan penelitian ilmiah.

Kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi

Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi. Dalam hal pengendali data pribadi menunjuk prosesor data pribadi, prosesor data pribadi wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi. Prosesor data pribadi dapat melibatkan prosesor data pribadi lain dalam melakukan pemrosesan data pribadi.

Dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib memiliki dasar pemrosesan data pribadi. Dasar pemrosesan data pribadi meliputi:

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melalrukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi;
4. pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi

Dalam hal mendapatkan persetujuan yang sah secara eksplisit dari subjek data pribadi, pengendali data pribadi wajib menyampaikan informasi terkait dengan:

1. legalitas dari pemrosesan data pribadi;
2. tujuan pemrosesan data pribadi;
3. jenis dan relevansi data pribadi yang akan diproses;
4. jangka waktu retensi dokumen yang memuat data pribadi;
5. rincian mengenai Informasi yang dikumpulkan;
6. jangka waktu pemrosesan data pribadi; dan
7. hak subjek data p

Klausul perjanjian yang di dalamnya terdapat permintaan pemrosesan data pribadi yang tidak memuat persetujuan yang sah secara eksplisit dari subjek data pribadi dinyatakan batal demi hukum.

Pengendali data pribadi maupun prosesor data pribadi wajib melakukan pemrosesan dengan:

1. secara terbatas dan spesifik, sah secara hukum, dan transparan;
2. sesuai dengan tujuan pemrosesan data pribadi;
3. memastikan akurasi, kelengkapan, dan konsistensi data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi paling lambat 3 x 24 jam terhitung sejak pengendali data pribadi menerima permintaan pembaruan dan/atau perbaikan data pribadi;
5. memberitahukan hasil pembaruan dan/atau perbaikan data pribadi kepada subjek data pribadi;
6. memberikan akses kepada subjek data pribadi terhadap data pribadi yang diproses beserta rekam jejak pemrosesan data pribadi sesuai dengan jangka waktu penyimpanan data p Akses tersebut diberikan paling lambat 3×24 jam terhitung sejak pengendali data pribadi menerima permintaan akses;
7. menolak memberikan akses perubahan terhadap data pribadi kepada subjek data pribadi dalam hal:

• membahayakan keamanan, kesehatan fisik, atau kesehatan mental subjek data Pribadi dan/atau orang lain;
• berdampak pada pengungkapan data pribadi milik orang lain; dan/atau
• bertentangan dengan kepentingan pertahanan dan keamanan nasional.

8. melakukan penilaian dampak PDP dalam hal pemrosesan data pribadi memiliki potensi risiko tinggi terhadap subjek data pribadi;
9. melindungi dan memastikan keamanan data pribadi yang diprosesnya;
10. menjaga kerahasiaan data pribadi;
11. melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendali pengendali data pribadi;
12. melindungi data pribadi dari pemrosesan yang tidak sah;
13. mencegah data pribadi diakses secara tidak sah;
14. menghentikan pemrosesan data pribadi dalam hal subjek data pribadi menarik kembali persetujuan pemrosesan data pribadi;
15. melakukan penundaan dan pembatasan pemrosesan data pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 jam terhitung sejak pengendali data pribadi menerima permintaan penundaan dan pembatasan pemrosesan data pribadi dan memberitahukannya;
16. mengakhiri pemrosesan data pribadi dalam hal:

• telah mencapai masa retensi;
• tujuan pemrosesan data pribadi telah tercapai; atau
• terdapat permintaan dari subjek data p

17. menghapus data pribadi dalam hal:

• data pribadi tidak lagi diperlukan untuk tujuan pemrosesan data pribadi;
• subjek data pribadi telah melakukan penarikan kembali persetqiuan pemrosesan data Pribadi;
• terdapat permintaan dari subjek data pribadi; atau
• data pribadi diperoleh dan/ atau diproses dengan cara melawan hukum.

18. memusnahkan data pribadi dalam hal:

• telah habis masa retensinya dan berketerangan dimusnahkan berdasarkarn jadwal retensi arsip;
• terdapat permintaan dari subjek data pribadi;
• tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/ atau
• data pribadi diperoleh dan/ atau diproses dengan cara melawan hukum.

19. memberitahukan penghapusan dan/atau pemusnahan data pribadi kepada subjek data pribadi;
20. menyampaikan pemberitahuan secara tertulis kepada subjek data pribadi dan lembaga apabila terjadi kegagalan PDP;
21. bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungiawaban dalam kewajiban pelaksanaan prinsip PDP;
22. Pengendali data pribadi wajib melaksanakan perintah lembaga dalam rangka penyelenggaraan PDP sesuai dengan Undang-undang No. 27 Tahun 2022.

 

R. Yudha Triarianto Wasono, S.H., M.H. Partner Contact: Mail       : yudha@siplawfirm.id Phone    : +62-21 799 7973 / +62-21 799 7975

 

M. Ihsan Abdurrahman, S.H., Associate Contact: Mail       : ihsan@siplawfirm.id Phone    : +62-21 799 7973 / +62-21 799 7975

 

DISCLAIMER

Setiap informasi yang terkandung dalam artikel ini disediakan hanya untuk tujuan informasi dan tidak boleh ditafsirkan sebagai nasihat hukum tentang masalah apa pun. Anda tidak boleh bertindak atau menahan diri dari bertindak berdasarkan konten apa pun yang termasuk dalam update hukum ini tanpa mencari nasihat hukum atau profesional lainnya. Dokumen ini dilindungi hak cipta. Tidak ada bagian dari dokumen ini yang dapat diungkapkan, didistribusikan, direproduksi atau dikirim dalam bentuk apa pun atau dengan cara apa pun, termasuk fotokopi dan rekaman atau disimpan dalam sistem pengambilan apa pun tanpa persetujuan tertulis sebelumnya dari Firma Hukum SIP.