UU PDP: Salah Gunakan Data Pribadi, Korporasi Bisa Dibubarkan

RUU Pelindungan Data Pribadi yang disetujui disahkan, hari ini, mengatur setumpuk ancaman pidana dan sanksi administratif bagi pengendali data pribadi yang lalai melindungi data pribadi hingga menyalahgunakannya.

KOMPAS/HENDRA A SETYAWAN

Suasana Rapat Paripurna DPR di Kompleks Parlemen, Senayan, Jakarta, Selasa (5/7/2022).

JAKARTA, KOMPAS — Setelah melalui pembahasan selama dua tahun, Rancangan Undang-Undang Pelindungan Data Pribadi akhirnya disetujui disahkan menjadi undang-undang.

Dengan demikian, tinggal selangkah lagi atau menanti pengesahan oleh Presiden sebelum undang-undang ini berlaku. Dengan hadirnya undang-undang ini, kebocoran hingga penyalahgunaan data pribadi diharapkan bisa dicegah. Apalagi setumpuk sanksi pidana dan administratif menanti jika hal itu masih terjadi.

Ancaman pidana dalam draf RUU Pelindungan Data Pribadi tercantum di Bab XIV. Misalnya, setiap orang yang dengan sengaja memperoleh atau mengumpulkan data pribadi yang bukan miliknya untuk menguntungkan diri sendiri atau orang lain dan bisa mengakibatkan kerugian pada subyek data pribadi bisa dipidana dengan pidana penjara maksimal 5 tahun dan/atau denda maksimal Rp 5 miliar.

Mereka yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya juga bisa dipidana dengan pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak Rp 4 miliar. Bahkan, yang sengaja menggunakan data pribadi bukan miliknya bisa diancam pidana lebih berat, yakni paling lama 5 tahun dan/atau pidana denda paling banyak Rp 5 miliar.

Baca juga: RUU Pelindungan Data Pribadi Akhirnya Disahkan

KOMPAS/TOTOK WIJAYANTO

Menteri Komunikasi dan Informatika Johnny G Plate (kanan) menyerahkan pandangan pemerintah terkait dengan Rancangan Undang-Undang Pelindungan Data Pribadi (RUU PDP) kepada Wakil Ketua DPR Lodewijk F Paulus dalam rapat paripurna di Kompleks Parlemen, Senayan, Jakarta, Selasa (20/9/2022). DPR menyetujui RUU PDP disahkan menjadi UU.

Selain itu, mereka yang sengaja membuat data pribadi palsu atau memalsukan data pribadi untuk menguntungkan diri sendiri atau orang lain dan dapat mengakibatkan kerugian bagi orang lain terancam pidana penjara paling lama 6 tahun dan/atau pidana denda paling banyak Rp 6 miliar. Selain dijatuhi pidana, dapat dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana dan pembayaran ganti kerugian.

Jika kemudian pelakunya korporasi, UU PDP juga menyertakan ancaman pidananya. Pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi. Selain itu, korporasi bisa dijatuhkan pidana denda. Pidana denda paling banyak 10 kali dari maksimal pidana denda yang diancamkan.

Hal lainnya, korporasi dapat dijatuhi pidana tambahan, seperti perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana; pembekuan seluruh atau sebagian usaha korporasi; hingga pencabutan izin dan pembubaran korporasi.

Sanksi administrasi

Selain sanksi pidana, sanksi administrasi menanti bagi mereka yang lalai melindungi data pribadi. Sanksi dimaksud berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi dan/atau denda administratif.

Denda administratif paling tinggi 2 (dua) persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Penjatuhan sanksi ini nantinya oleh Lembaga Perlindungan Data Pribadi yang juga diamanatkan untuk dibentuk oleh UU PDP. Ketentuan lebih lanjut mengenai tata cara pengenaan sanksi administratif akan diatur dalam peraturan pemerintah.

Baca juga: Ancaman Serius Kebocoran Data di Indonesia

Adapun pelanggaran yang bisa dijatuhi sanksi administrasi, di antaranya, ialah jika pengendali data pribadi tidak melindungi dan memastikan keamanan data pribadi yang diprosesnya, menjaga kerahasiaan data pribadi, serta tak berupaya mencegah data pribadi diakses secara tidak sah.

Untuk mencegah akses tidak sah tersebut, UU PDP mengamanatkan pengendali data pribadi menyediakan sistem keamanan yang andal, aman, dan bertanggung jawab. UU PDP juga mewajibkan pengendali data pribadi atau prosesor data pribadi menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi. Pejabat atau petugas dimaksud harus ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik perlindungan data pribadi, dan kemampuan memenuhi tugas-tugasnya.

Hal lain yang penting, data pribadi yang diminta pengendali data pribadi harus terlebih dulu disetujui oleh subyek pemilik data pribadi. Untuk ini, wajib ditunjukkan bukti persetujuan yang telah diberikan oleh subyek data pribadi.

Kemudian, jika terjadi kegagalan perlindungan data pribadi, pengendali data wajib menyampaikan pemberitahuan secara tertulis paling lambat tiga hari kepada subyek data pribadi dan lembaga PDP. Pemberitahuan tertulis memuat data pribadi yang terungkap; kapan dan bagaimana data pribadi terungkap; dan upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi. Bahkan, dalam hal tertentu, pengendali data wajib memberitahukan kepada masyararakat mengenai kegagalan perlindungan data pribadi.

KOMPAS/PRIYOMBODO

Deretan nomor kartu SIM telepon seluler baru dari berbagai operator yang ditawarkan di salah satu gerai di pusat perbelanjaan seluler di kawasan Cideng, Gambir, Jakarta Pusat, Minggu (4/9/2022).

Lembaga PDP

Terkait dengan Lembaga PDP, RUU PDP menyebutkan lembaga ditetapkan oleh Presiden dan bertanggung jawab kepada Presiden. Ketentuan lebih lanjut mengenai lembaga ini diatur dalam peraturan presiden.

Setelah RUU ini nantinya disahkan oleh Presiden, masih ada waktu maksimal dua tahun sejak RUU diundangkan bagi pengendali data pribadi, prosesor data pribadi, dan pihak lain yang terkait dengan pemrosesan data pribadi, untuk menyesuaikan dengan ketentuan pemrosesan data pribadi seperti diatur dalam UU PDP.

Seusai Rapat Paripurna DPR menyetujui pengesahan RUU PDP, Selasa (20/9/2022), Menteri Komunikasi dan Informatika Johnny G Plate mengatakan, pengesahan RUU PDP merupakan momentum bersejarah yang sudah ditunggu banyak pihak. Sejumlah pihak yang dimaksud mulai dari lembaga negara, penegak hukum, sektor usaha, ekosistem digital, platform media sosial, hingga elemen masyarakat.

”Disahkannya RUU PDP menjadi undang-undang pada hari ini menandai era baru dalam tata kelola data pribadi di Indonesia, khususnya di ranah digital,” kata Johnny.

Anggota Komisi I DPR dari Fraksi Partai Golkar, Christina Aryani, menambahkan, UU PDP diharapkan bisa mencegah pencurian data pribadi yang marak belakangan akibat sistem pengamanan siber yang belum diterapkan semua instansi. UU PDP mengamanatkan semua instansi pengelola data pribadi menerapkan sistem atau infrastruktur pengamanan data, serta keberadaan sumber daya manusia yang andal sebagai salah satu kewajiban pengendali data.