RUU PDP Banyak Kekurangan, Jauh dari Standar Internasional

Dasar hukum kurang jelas

GDPR menjelaskan bahwa prinsip atau dasar proses data pribadi itu harus adil, sah, dan transparan. Pihak pengendali data dan entitas yang mengumpulkan data hanya bisa mengumpulkan data jika memiliki dasar hukum yang kuat.

GDPR juga menjelaskan secara detail kondisi-kondisi yang dianggap cukup sehingga pemrosesan data dianggap sah. Salah satu kondisi itu adalah consent atau persetujuan.

RUU PDP tidak menawarkan kejelasan tentang keabsahan dan dasar hukum pemrosesan data.

RUU PDP mengatur bahwa pengendali data bisa memproses data untuk memenuhi kewajiban hukum untuk kepentingan publik. Tetapi, tidak ada penjelasan lebih lanjut mengenai “kepentingan publik”.

Ada potensi pengendali data bisa menafsirkan sendiri apa yang dimaksud dengan “kepentingan publik” dan memproses data sesuai dengan kepentingan pengendali data belaka.

Beban pada warga

GDPR dan Konvensi Eropa 108+ memaparkan hak pemilik data secara detail.

Di dalam Konvensi Eropa 108+, setiap individu memiliki hak untuk tidak tunduk pada keputusan yang mempengaruhi diri mereka secara signifikan karena pemrosesan data otomatis.

Individu berhak mengetahui data mereka dipakai untuk apa, protes dengan pemrosesan data mereka, meminta data mereka diperbaiki atau dihapuskan, dan meminta pemulihan data jika ada haknya dilanggar.

GDPR menjelaskan hal-hal di atas dengan lebih detail. Aturan itu menjelaskan bahwa pengendali data harus memberikan informasi terkait pemrosesan data kepada pemilik data (hak untuk diberitahukan).

GDPR juga mengatur hak pemilik data untuk mengakses, hak perbaikan data, hak untuk dilupakan, hak membatasi pemrosesan data, dan banyak hak-hak pemilik data lainnya.

Kurang lebih, RUU PDP memaparkan hak-hak pemilik data yang serupa dengan hal-hal di atas, seperti hak untuk diberitahukan, hak untuk diperbaiki, hak untuk pemulihan, dan hak-hak lainnya.

Namun, RUU PDP menuntut pemilik data yang harus aktif menuntut hak-hak mereka sebagai pemilik data kepada pengendali data alih-alih membebankan pertanggungjawaban terkait hak-hak tersebut kepada pengendali data sedari awal.

Sederhananya, pemilik data harus menjadi pihak yang aktif menuntut hak mereka, sedangkan pengendali data tidak wajib memberitahukan hak-hak pemilik data sebelum memproses data.

Ini membuka kemungkinan pihak pemilik data di Indonesia baru mengetahui hak-hak mereka sebagai pemilik data sesudah data mereka diproses.

Penegakan hukum masih sulit

Rizky Banyualam Permana, peneliti dan dosen hukum internasional di Universitas Indonesia, mengatakan di dunia saat ini belum ada komitmen global – peraturan tingkat hukum global – yang mengatur hukum perlindungan data pribadi.

Sehingga ada pendekatan hukum yang berbeda dari satu negara dengan negara lainnya.

“Kalau kita inginpembandingan yang komprehensif, kita tentu kita harus melihat pandangan yang berseberangan, misalnya pendekatan Amerika Serikat (AS) yang menekankan hak konsumen,” kata Rizky.

Rizky juga menilai bahwa ada beberapa hal dalam pendekatan di Eropa yang tidak realistis dari sisi penegakan hukum. Studi menunjukkan bahwa klaim yurisdiksi global GDPR nyatanya terbatas karena sulit ditegakkan di luar wilayah Uni Eropa.

Hambatan-hambatan ini dapat mengakibatkan aturan GDPR, termasuk pemberian denda administratif, menjadi tidak bisa ditegakkan dan dilupakan begitu saja.

Artikel ini sebelumnya tayang di The Conversation.