UU Pelindungan Data Pribadi: Hak Anda sebagai Pengguna

Setiap kali mendaftar aplikasi, Anda menyerahkan sejumlah data: nama, nomor telepon, email, kadang foto KTP dan wajah. Selama bertahun-tahun, pengguna di Indonesia tidak punya pegangan hukum yang jelas tentang apa yang boleh dan tidak boleh dilakukan perusahaan terhadap data tersebut.

Kondisi itu berubah dengan hadirnya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang sering disingkat UU PDP. Artikel ini merangkum isi pentingnya dari sudut pandang pengguna biasa: data apa yang dilindungi, hak apa yang Anda miliki, dan apa yang bisa dilakukan jika data Anda disalahgunakan.

Catatan: artikel ini bersifat informasi umum dan bukan nasihat hukum. Untuk kasus tertentu, konsultasikan dengan ahli hukum.

Sekilas tentang UU PDP

UU PDP disahkan dan diundangkan pada Oktober 2022, dengan masa penyesuaian dua tahun bagi perusahaan dan instansi untuk mematuhinya. Sejak Oktober 2024, ketentuannya berlaku penuh.

Undang-undang ini berlaku bagi siapa saja yang memproses data pribadi warga Indonesia, baik perusahaan swasta, instansi pemerintah, maupun organisasi internasional, termasuk yang berkedudukan di luar negeri selama pemrosesannya berdampak hukum di Indonesia atau terhadap warga negara Indonesia.

Data Apa Saja yang Dilindungi?

UU PDP membagi data pribadi menjadi dua kelompok.

Data pribadi yang bersifat umum

• Nama lengkap
• Jenis kelamin
• Kewarganegaraan
• Agama
• Status perkawinan
• Data pribadi lain yang jika dikombinasikan dapat mengidentifikasi seseorang, misalnya nomor telepon atau alamat IP

Data pribadi yang bersifat spesifik

• Data dan informasi kesehatan
• Data biometrik, seperti sidik jari dan pengenalan wajah
• Data genetika
• Catatan kejahatan
• Data anak
• Data keuangan pribadi

Data spesifik mendapat perlindungan yang lebih ketat karena dampaknya lebih besar jika disalahgunakan.

Hak-Hak Anda sebagai Pemilik Data

Dalam UU PDP, Anda disebut subjek data pribadi. Berikut hak-hak utama yang dimiliki subjek data, disederhanakan dalam bahasa sehari-hari:

Sebagian hak tersebut memiliki pengecualian, misalnya untuk kepentingan penegakan hukum atau pertahanan negara. Namun bagi pengguna biasa yang berhubungan dengan aplikasi komersial, hak-hak ini umumnya berlaku.

Kewajiban Perusahaan yang Memproses Data Anda

UU PDP menyebut perusahaan atau instansi yang memproses data sebagai pengendali data pribadi. Beberapa kewajiban mereka yang langsung berkaitan dengan Anda:

• Memiliki dasar pemrosesan yang sah, misalnya persetujuan Anda yang jelas atau kebutuhan untuk menjalankan kontrak.
• Menyampaikan tujuan pemrosesan secara jelas dan tidak memakai data untuk tujuan lain tanpa dasar yang sah.
• Menjaga keamanan data dari akses dan pengungkapan yang tidak sah.
• Memberi tahu dalam 3 x 24 jam secara tertulis kepada subjek data dan lembaga pengawas jika terjadi kegagalan pelindungan data pribadi, termasuk data apa yang terungkap, kapan, dan bagaimana penanganannya.
• Menanggapi permintaan Anda terkait hak-hak di atas dalam jangka waktu yang ditentukan.

Sanksi bagi Pelanggar

UU PDP mengatur dua jenis sanksi.

Sanksi administratif bagi pengendali dan pemroses data yang melanggar kewajibannya, berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data, hingga denda administratif paling tinggi 2 persen dari pendapatan tahunan.

Sanksi pidana bagi siapa saja yang secara melawan hukum memperoleh, mengumpulkan, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya, serta yang memalsukan data pribadi untuk keuntungan. Ancamannya berupa pidana penjara dan denda hingga miliaran rupiah, tergantung jenis perbuatannya.

Cara Menggunakan Hak Anda

Hak di atas tidak banyak berguna jika tidak dipakai. Berikut langkah praktis yang bisa Anda lakukan:

1. Baca kebijakan privasi layanan yang Anda pakai. Cari bagian tentang data apa yang dikumpulkan, untuk apa, dan bagaimana menghubungi mereka terkait data pribadi.
2. Kirim permintaan tertulis. Jika ingin data Anda dihapus atau diperbaiki, kirim email ke kontak yang tercantum di kebijakan privasi. Sebutkan identitas akun, hak yang ingin digunakan, dan permintaan yang jelas.
3. Simpan bukti komunikasi. Tangkapan layar, email, dan nomor tiket berguna jika Anda perlu mengajukan keberatan lebih lanjut.
4. Tarik izin yang tidak perlu. Di pengaturan aplikasi, matikan persetujuan pemasaran atau berbagi data dengan mitra jika Anda tidak menginginkannya.
5. Laporkan pelanggaran ke lembaga pengawas pelindungan data pribadi yang ditetapkan pemerintah, atau ke kepolisian jika ada unsur pidana.

Yang Tetap Menjadi Tanggung Jawab Anda

UU PDP memberi perlindungan hukum, tetapi tidak menggantikan kehati-hatian pribadi. Undang-undang bisa menghukum pelaku setelah kejadian, sementara kebiasaan baiklah yang mencegah kejadian itu sejak awal.

• Bagikan data seperlunya. Tidak semua formulir perlu diisi lengkap.
• Jangan mengirim foto KTP lewat chat kepada pihak yang tidak jelas.
• Periksa apakah data Anda pernah bocor. Caranya ada di Cara Cek Data Pribadi Bocor dan Langkah yang Harus Dilakukan.
• Kelola jejak digital Anda. Panduannya ada di Jejak Digital: Apa Itu dan Cara Mengelolanya.

Pertanyaan yang Sering Diajukan

Apakah UU PDP berlaku untuk aplikasi luar negeri?

Ya. UU PDP juga berlaku bagi pihak di luar wilayah Indonesia selama pemrosesan datanya memiliki akibat hukum di Indonesia atau menyangkut warga negara Indonesia.

Bolehkah perusahaan menolak permintaan hapus data saya?

Dalam kondisi tertentu, ya. Misalnya, jika data masih wajib disimpan karena kewajiban hukum lain seperti aturan perpajakan atau perbankan. Namun perusahaan tetap wajib menjelaskan alasannya kepada Anda.

Ke mana saya melapor jika data pribadi saya disalahgunakan?

Langkah pertama adalah menghubungi perusahaan yang bersangkutan secara tertulis. Jika tidak ditanggapi, Anda dapat mengadu ke lembaga pengawas pelindungan data pribadi yang ditetapkan pemerintah, atau ke kepolisian jika ada unsur pidana seperti pencurian atau penjualan data.

Memahami UU PDP membuat Anda tidak lagi berada di posisi lemah ketika berhadapan dengan perusahaan yang mengelola data Anda. Anda berhak bertanya, meminta salinan, meminta perbaikan, dan meminta penghapusan. Gunakan hak itu.