APPDI Ingatkan Perusahaan Cermati Aturan Transfer Data ke Eropa

Harianjogja.com, JAKARTA—Asosiasi Praktisi Perlindungan Data Indonesia (APPDI) mengingatkan perusahaan agar tidak asal menggunakan perjanjian perlindungan data berstandar Eropa dalam aktivitas transfer data pribadi lintas negara. Instrumen hukum yang digunakan perlu disesuaikan dengan asal data, tujuan pemindahan, serta ketentuan pelindungan data pribadi yang berlaku di Indonesia.

Peringatan tersebut menjadi perhatian dalam konteks kerja sama Indonesia dan Uni Eropa melalui Indonesia-European Union Comprehensive Economic Partnership Agreement (IEU-CEPA). Perusahaan perlu memastikan klausul perlindungan data dalam perjanjian lintas negara sesuai dengan aktivitas pemrosesan yang sebenarnya dilakukan.

Dewan Pengurus APPDI Raditya Kosasih mengatakan masih ada perusahaan yang menggunakan templat perjanjian perlindungan data dari Eropa tanpa terlebih dahulu menilai kesesuaiannya dengan kebutuhan bisnis dan alur perpindahan data.

“Jangan ketika ada asal ada perjanjian, asal ada data protection clauses-nya, kita langsung setuju, gitu. Kita lihat dulu konteksnya, datanya dari mana ke mana?” kata Raditya dalam acara Talkshow: Menavigasi Arus Data Lintas Batas Indonesia-Jerman dalam IEU-CEPA di Jakarta, Rabu (28/10/2026).

Ia mencontohkan penggunaan klausul yang mewajibkan perusahaan mematuhi General Data Protection Regulation (GDPR), meskipun data pribadi yang dikumpulkan berasal dari Indonesia.

Menurut Raditya, perusahaan perlu memeriksa asal data, tujuan transfer, dan pola pertukaran data sebelum menentukan instrumen hukum yang digunakan. Apabila data berasal dari Indonesia, ketentuan Undang-Undang Pelindungan Data Pribadi (UU PDP) harus menjadi perhatian, termasuk ketika pemrosesan dilakukan oleh pihak di luar negeri.

Ia menilai perusahaan tidak semestinya menganggap regulasi Eropa sebagai standar yang otomatis paling tepat untuk setiap aktivitas transfer data. Kesesuaian aturan dengan konteks pemrosesan dan kewajiban hukum yang berlaku tetap perlu diperhitungkan.

Perusahaan Tak Perlu Menunggu Lembaga PDP

Raditya juga menegaskan belum terbentuknya lembaga pelindungan data pribadi (PDP) bukan alasan bagi perusahaan untuk menunda pemenuhan kewajiban berdasarkan UU PDP.

Menurut dia, undang-undang tersebut telah diterbitkan pada 2022 dengan masa transisi dua tahun. Peraturan pelaksana yang diterbitkan kemudian juga memberikan waktu penyesuaian bagi pihak yang harus memenuhi ketentuan tersebut.

“Mungkin bukan alasan lagi untuk kita menunggu, kepatuhan terhadap PDP ini sudah harus dijalankan sebetulnya. Karena undang-undangnya sudah efektif berlaku dan juga aturan implementasinya pun akhirnya juga sudah diterbitkan,” ujarnya.

Raditya menambahkan, ketiadaan lembaga PDP tidak serta-merta membuat transfer data pribadi lintas negara tidak dapat dilakukan. Perusahaan tetap dapat mempertimbangkan mekanisme perlindungan yang tersedia dengan memastikan prinsip-prinsip pelindungan data pribadi diterapkan.

Dua prinsip yang ia tekankan adalah transparansi dan minimalisasi data. Perusahaan perlu memberikan informasi yang jelas kepada subjek data mengenai pemindahan data ke luar negeri serta memastikan hanya data yang relevan dengan tujuan pemrosesan yang ditransfer.

Persetujuan pengguna juga tidak seharusnya menjadi satu-satunya landasan yang diandalkan perusahaan. Permintaan persetujuan secara berulang berpotensi menimbulkan consent fatigue, yaitu kondisi ketika pengguna menyetujui permintaan tanpa benar-benar memahami konsekuensinya.

Dalam menentukan mekanisme transfer data, perusahaan dapat mempertimbangkan sejumlah instrumen, antara lain klausul kontrak, aturan perusahaan yang mengikat atau binding corporate rules, serta mekanisme lain yang diatur dalam UU PDP dan peraturan pelaksananya.

Komdigi Tunggu Keputusan Presiden

Sementara itu, Kementerian Komunikasi dan Digital (Komdigi) menyatakan proses harmonisasi pembentukan lembaga PDP telah selesai. Pemerintah kini menunggu keputusan presiden terkait pembentukan lembaga tersebut.

Analis Kebijakan Ahli Muda Direktorat Strategi dan Kebijakan Pengawasan Ruang Digital Komdigi Arif Wahyudi mengatakan kementeriannya telah menyiapkan sejumlah kebutuhan untuk mendukung operasional lembaga PDP. Persiapan tersebut mencakup identifikasi peraturan teknis yang diperlukan serta koordinasi dengan para pemangku kepentingan.

“Dari sisi Komdigi, kami membantu mempersiapkan sebenarnya apa-apa saja yang dibutuhkan, termasuk beberapa rekomendasi kebijakan atau peraturan teknis yang dibutuhkan, kerja sama juga dengan stakeholder, dengan APPDI,” kata Arif.

Arif menegaskan perusahaan tidak perlu menunggu lembaga PDP terbentuk untuk menyesuaikan proses bisnis dengan ketentuan UU PDP. Masa transisi yang diberikan dalam peraturan pelaksana justru dapat dimanfaatkan untuk mempersiapkan pemenuhan kewajiban perlindungan data pribadi.

Ia mencontohkan sejumlah ketentuan yang sebelumnya diatur secara umum dalam UU PDP telah diperinci melalui peraturan pemerintah. Ketentuan tersebut antara lain mencakup pemrofilan dan pemrosesan data pribadi secara otomatis.

“Jadi pertama, berbicara apa namanya, compliance PDP itu sebenarnya tidak harus menunggu sampai akhir. Jadi kan PP PDP itu dikasih waktu 6 bulan, 16 Januari berlaku penuh. Nah, justru waktu itu digunakan untuk menyesuaikan,” ujarnya.

Lembaga PDP Disiapkan untuk Pengawasan

Menurut Arif, pembentukan lembaga PDP nantinya berkaitan dengan pelaksanaan fungsi pengawasan dan penegakan hukum. Namun, pada tahap awal, lembaga tersebut diperkirakan akan memprioritaskan peningkatan kesadaran serta penyusunan pedoman teknis untuk mempersiapkan ekosistem pelindungan data pribadi.

“Kalau saya berkeyakinan bahwa saat lembaga PDP terbentuk, di titik awal pasti tidak akan langsung ke enforcement gitu ya, tapi masih ke awareness, kemudian menyiapkan tadi technical guidelines, gitu ya. Sehingga nanti ekosistemnya juga ready dulu,” kata Arif.

Komdigi juga telah mulai memetakan peraturan teknis yang perlu disiapkan oleh lembaga PDP. Dari sisi sumber daya, persiapan telah dilakukan oleh Sekretariat Jenderal Komdigi.

Meski demikian, lembaga tersebut belum dapat beroperasi karena peraturan presiden mengenai pembentukannya belum terbit. Penyesuaian juga diperlukan terhadap pengaturan kewenangan yang saat ini masih melekat pada Komdigi agar selaras dengan desain kelembagaan yang akan ditetapkan.

“Jadi memang belum running karena status perpresnya belum terbentuk gitu ya. Tapi dari sisi Komdigi karena kan saat ini ada pasal di SOTK-nya Komdigi yang masih memberikan kewenangan kepada Komdigi, gitu ya. Nah, itu juga diidentifikasi nanti akan disesuaikan,” tuturnya.

Arif berharap lembaga PDP nantinya dapat menjalankan tugas secara mandiri sesuai dengan desain kelembagaan yang ditetapkan pemerintah.

“Karena nanti harapannya kan badan PDP ini memang benar-benar berdiri sendiri,” kata Arif.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.