Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) adalah payung hukum resmi di Indonesia yang mengatur tata kelola pemrosesan data pribadi oleh instansi pemerintah maupun korporasi swasta. Regulasi ini memberikan hak penuh kepada warga negara atas kendali data pribadi mereka, sekaligus menetapkan sanksi berat bagi pihak yang melakukan pelanggaran atau kebocoran data.
Kehadiran UU PDP mengakhiri era fragmentasi regulasi pelindungan data yang sebelumnya tersebar di berbagai sektor seperti kesehatan, perbankan, dan telekomunikasi. Setiap organisasi yang memproses data warga Indonesia wajib menyesuaikan sistem operasionalnya dengan standar kepatuhan yang diatur dalam undang-undang ini.
Klasifikasi Data Pribadi
UU PDP membagi data pribadi menjadi dua kategori utama yang memerlukan tingkat pengamanan berbeda dalam pemrosesannya:
| Kategori | Jenis Data | Contoh Spesifik |
|---|---|---|
| Data Bersifat Umum | Informasi dasar identifikasi individu | Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, data pribadi yang dikombinasikan untuk mengidentifikasi seseorang. |
| Data Bersifat Spesifik | Informasi sensitif yang memerlukan proteksi ekstra | Data kesehatan, biometrik, genetika, catatan kejahatan, data anak, data keuangan pribadi, pandangan politik. |
Hak Subjek Data Pribadi
Sebagai pemilik data, warga negara memiliki hak mutlak yang wajib dipenuhi oleh pihak pengendali data. Pelanggaran atas hak-hak ini dapat berujung pada sanksi hukum. Berikut adalah hak utama subjek data:
- Hak Akses: Mendapatkan konfirmasi dan salinan pemrosesan data pribadi diri sendiri.
- Hak Koreksi: Memperbarui atau membetulkan kesalahan data pribadi yang diproses.
- Hak Penghapusan: Meminta penghapusan data pribadi ketika tidak lagi relevan atau ditarik persetujuannya.
- Hak Pembatasan: Menunda atau membatasi pemrosesan data secara proporsional.
- Hak Portabilitas: Memindahkan data dari satu pengendali ke pengendali lain dalam format yang lazim digunakan.
- Hak Keberatan: Menolak keputusan yang didasarkan semata-mata pada pemrosesan otomatis, termasuk pembuatan profil.
Kewajiban Pengendali dan Prosesor Data
Korporasi atau lembaga yang mengumpulkan data (Pengendali Data) dan pihak yang memproses atas nama pengendali (Prosesor Data) wajib menerapkan standar keamanan teknis dan organisasional. Beberapa kewajiban utama meliputi:
- Menjaga kerahasiaan data pribadi selama proses pengolahan.
- Menunjuk petugas pelindungan data (Data Protection Officer) bagi kriteria organisasi tertentu.
- Melakukan penilaian dampak pelindungan data (Data Protection Impact Assessment) untuk pemrosesan berisiko tinggi.
- Melaporkan kebocoran data secara tertulis kepada subjek data dan lembaga pengawas paling lambat 3 x 24 jam.
Sanksi Pelanggaran UU PDP
UU PDP menetapkan sanksi yang sangat tegas untuk memberikan efek jera terhadap penyalahgunaan data. Sanksi terbagi menjadi administratif dan pidana.
| Jenis Sanksi | Bentuk Hukuman | Besaran / Ketentuan |
|---|---|---|
| Administratif | Peringatan tertulis, penghentian sementara kegiatan, penghancuran data, denda administratif | Maksimal 2% dari pendapatan tahunan atau penerimaan tahunan. |
| Pidana Pemalsuan Data | Penjara dan/atau denda | Pidana penjara maksimal 6 tahun dan/atau denda maksimal Rp6 miliar bagi pemalsuan data untuk menguntungkan diri sendiri. |
| Pidana Pengumpulan Ilegal | Penjara dan/atau denda | Pidana penjara maksimal 5 tahun dan/atau denda maksimal Rp5 miliar bagi pihak yang dengan sengaja mengumpulkan data bukan miliknya. |
| Pidana Kebocoran Data | Penjara dan/atau denda | Pidana penjara maksimal 4 tahun dan/atau denda maksimal Rp4 miliar bagi pihak yang dengan sengaja mengungkapkan data pribadi. |
Lembaga Penyelenggara Pelindungan Data
Berdasarkan UU PDP, pemerintah membentuk lembaga penyelenggara yang bertanggung jawab langsung kepada Presiden. Lembaga ini memiliki kewenangan untuk merumuskan kebijakan, melakukan pengawasan terhadap kepatuhan pengendali data, menegakkan sanksi administratif, serta memfasilitasi penyelesaian sengketa di luar pengadilan terkait sengketa pelindungan data pribadi.