JAKARTA - Mahkamah Konstitusi (MK) menolak gugatan perkara Nomor 133/PUU-XXIV/2026 terkait pengujian materiil Pasal 62 ayat (2) UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Adapun gugatan ini diajukan 4 mahasiswa yaitu Fairuz Najwa Sahara Tanjung, Muhammad Fakhri Hadisyah Putra, Dela Puspita Ainnur Fadillah, dan Muhammad Rizky Fadhillah.

"Menolak permohonan para pemohon untuk seluruhnya," kata Ketua MK Suhartoyo, Senin (25/5/2026).

Meski demikian, dalam pertimbangan gugatan yang disampaikan Hakim Konstitusi Enny Nurbaningsih, mahkamah menegaskan bahwa kewajiban negara mengontrol perpindahan atau transfer data pribadi sebagai bagian dari data sovereignty.

“Dengan tujuan melindungi hak privasi subjek data pribadi, memajukan dan menjamin hak atas perlindungan data pribadi di seluruh yurisdiksi, termasuk di luar negeri,” kata Enny.

Selain itu, upaya negara melindungi data pribadi harus dilakukan secara holistik sesuai ketentuan mengenai prinsip pemrosesan data pribadi, klasifikasi data pribadi dan hak subjek data pribadi beserta pengecualiannya. Kemudian, adanya dasar hukum untuk melakukan pemrosesan data pribadi dan ketentuan yang mengatur mengenai kewajiban data pribadi dan prosesor data pribadi.

Mahkamah menegaskan cakupan pengaturan tersebut merupakan bagian dari perlindungan dan jaminan hak konstitusional warga negara atas perlindungan data pribadi yang dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945 yang harus diwujudkan sesuai ketentuan UU No 27/2022.

Mahkamah menjelaskan aturan kerja sama internasional terkait pelindungan data pribadi tidak bisa dibaca hanya dari satu pasal saja. Menurut MK, ketentuan tersebut harus dipahami bersama aturan lain dalam UU Pelindungan Data Pribadi.

Sekadar informasi, para Pemohon mengatakan permohonan ini dilayangkan usai keputusan pemerintah menandatangani perjanjian perdagangan resiprokal Indonesia dan Amerika Serikat (AS) atau Agreement Between The United States of America and The Republic of Indonesia on Reciprocal Trade.

Perjanjian itu dinilai dapat meningkatkan risiko penyalahgunaan data pribadi oleh pihak asing yang tidak tunduk pada sistem hukum nasional Indonesia karena berkurangnya kontrol negara terhadap data pribadi warganya.

Mereka menguji Pasal 62 ayat (2) UU PDP yang berbunyi “Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional.”

Menurut Enny, norma tersebut bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945 yang menyatakan setiap orang berhak atas pelindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya. Lalu, berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi manusia.

JAKARTA - Pemerintah dan DPR sudah mulai membahas terkait kesiapan pembentukan lembaga Pelindungan Data Pribadi (PDP). Langkah ini sesuai yang diamanatkan dalam UU PDP.

Hal ini disampaikan oleh Menteri Komunikasi dan Digital (Menkomdigi) Meutya Hafid usai menggelar rapat kerja bersama Komisi I DPR RI, di Gedung Nusantara II, Kompleks Parlemen, Senayan, Jakarta, Senin (18/5/2026).

"Tadi kesiapan yang kita bahas juga mengenai lembaga PDP," kata Meutya.

Meutya menyampaikan saat ini pemerintah terus berkoordinasi di internal, khususnya antara Komdigi, Kementerian Sekretaris Negara (Kemensesneg), Kementerian PAN-RB.

Hal ini dalam rangka melakukan percepatan terhadap pembentukan Badan tersebut. Kendati demikian, Meutya belum bisa memperkirakan kapan target daripada pembentukan Badan atau lembaga PDIP ini bisa rampung.

"Ini karena lintas, enggak cuma di Kemkomdigi, nanti kami akan laporkan lebih lanjut," ujarnya.

Lihat video: Polisi Gerebek Penjual Data Pribadi unutk Keperluan Judol, 8 Ditangkap

JAKARTA - Mantan istri Andre Taulany, Rien Wartia Trigina atau Erin, melaporkan mantan Asisten Rumah Tangga (ART) nya Herawati ke Polres Metro Jakarta Selatan. Laporan yang menggunakan Undang-Undang Perlindungan Data Pribadi (UU PDP) tersebut menuai kritik karena dinilai tidak memberikan rasa keadilan bagi masyarakat kecil.

Akademisi sekaligus pengamat hukum kepolisian dari Universitas Bhayangkara Jakarta Edi Hasibuan, menilai laporan itu tidak layak dilanjutkan ke proses hukum. Anggota Kompolnas 2012-2016 ini menilai pengaduan tersebut berpotensi menimbulkan kesan adanya arogansi majikan terhadap mantan pekerjanya.

"Kami melihat perkara majikan melaporkan mantan ART tidak layak dilanjutkan karena penyidik bisa saja dituduh tidak memberikan rasa keadilan. Sebaliknya, kami meminta penyidik kepolisian mengedepankan pendekatan restorative justice (RJ) daripada memprosesnya secara pidana," ujarnya, Sabtu (16/5/2026).

Dosen mata kuliah Hukum Kepolisian dan Kriminalistik menegaskan setiap penegakan hukum harus mempertimbangkan rasa keadilan dan dilakukan secara proporsional. Edi juga mengingatkan agar proses hukum tidak justru menimbulkan persepsi bahwa pihak yang memiliki kekuasaan atau kemampuan ekonomi lebih tinggi menggunakan instrumen hukum untuk menekan pihak yang lebih lemah seperti ART.

Direktur Eksekutif Lemkapi ini menegaskan pentingnya pendekatan RJ dalam kasus-kasus serupa. "Pendekatan restorative justice harus tetap di kedepankan agar tidak terjadi kriminalisasi berlebihan terhadap masyarakat kecil. Penyidik kepolisian harus berhati-hati ketika menangani laporan majikan terhadap mantan pembantunya," katanya.

Lihat video: Andre Taulany dan Erin Wartia Akhirnya Sepakat Cerai Secara Damai



Sebelumnya, Ketua Komisi III DPR RI Habiburokhman juga menyoroti penggunaan UU PDP dalam kasus tersebut. Tuduhan terhadap Hera tersebut sangat tidak tepat karena data pribadi dalam UU PDP pada prinsipnya berkaitan dengan identitas personal seperti KTP, KK, NPWP, data kesehatan, rekening, dan data biometrik

“Komisi III DPR menilai penggunaan UU PDP dalam perkara Hera mantan ART Erin Wartia tidak tepat,” katanya.

JAKARTA - Kedaulatan data adalah ketahanan nasional. Di tengah meningkatnya tensi geopolitik global dan fenomena Splinternet, kebijakan penempatan pusat data di luar negeri sebagaimana diatur dalam Peraturan Pemerintah (PP) Nomor 71 Tahun 2019 perlu dievaluasi.

Founder Sobat Cyber Indonesia (SCI) Al Akbar Rahmadillah memperingatkan membiarkan data rakyat Indonesia tersimpan di yurisdiksi asing tanpa kendali fisik merupakan perjudian besar terhadap ketahanan nasional.

“Namun, asumsi bahwa dunia akan selalu berada dalam kondisi stabil, terbuka, dan bebas dari friksi geopolitik kini semakin sulit dipertahankan karena realitas menunjukkan fragmentasi digital, proteksionisme data, dan rivalitas antarnegara justru menguat, sehingga menempatkan kebijakan fleksibilitas lokasi data dalam PP 71/2019 pada posisi yang perlu dievaluasi ulang dari perspektif kedaulatan data dan ketahanan nasional Indonesia,” kata Akbar, Senin (27/4/2026).

Akbar menyebut salah satu kelemahan fundamental dari penyimpanan data lintas batas adalah ketergantungan pada infrastruktur komunikasi internasional, seperti kabel bawah laut. Dalam kondisi ketegangan geopolitik seperti sekarang ini, jalur-jalur ini menjadi target sabotase yang empuk.

“Jika data utama masyarakat Indonesia tersimpan di Singapura atau Amerika Serikat, sementara jalur komunikasi fisik terputus, maka seluruh layanan publik dan ekonomi yang bergantung pada data tersebut akan mengalami kelumpuhan total,” ungkapnya.

Di tengah kondisi geopolitik yang terus memanas, kata Akbar, masyarakat sering terjebak dalam diskusi abstrak mengenai privasi, namun melupakan ancaman fisik yang nyata.

Lihat video: Jaksa Segera Tetapkan Tersangka Kasus Korupsi Proyek Pusat Data Nasional



“Jika data utama masyarakat Indonesia tersimpan di server Singapura atau Amerika Serikat, kita sepenuhnya bergantung pada seutas kabel di dasar laut. Dalam skenario konflik atau sabotase, jalur ini adalah target empuk. Begitu kabel terputus, ekonomi digital dan layanan publik kita akan lumpuh total seketika,” ucapnya.

PP 71/2019 awalnya hadir dengan semangat pro-investasi dan efisiensi cloud global. Namun, memasuki 2026, lanskap dunia telah berubah. Data bukan lagi sekadar komoditas ekonomi, melainkan instrumen kekuasaan strategis.

"Dunia hari ini tidak lagi hanya terbagi oleh garis batas wilayah, melainkan oleh batas-batas teknologi. Kebijakan pintu terbuka terhadap penyimpanan data di luar negeri kini menghadapi risiko tinggi akibat senjata siber dan embargo informasi yang menjadi alat diplomasi baru," jelasnya.

Data Komdigi menunjukkan angka yang mengkhawatirkan dari 230 juta pengguna internet di Indonesia, lebih dari 90% trafik data dikelola oleh hanya 798 Penyelenggara Sistem Elektronik (PSE) Asing seperti Meta, Google, dan TikTok. Ketergantungan masif pada infrastruktur luar negeri ini menciptakan titik lemah yang krusial.

Akbar menyoroti tiga dimensi risiko utama yang dihadapi Indonesia saat ini, pertama, Konflik Yurisdiksi di mana hukum domestik negara tempat server berada seringkali mengesampingkan regulasi Indonesia. Hal ini memungkinkan intelijen asing mengakses data warga negara Indonesia tanpa persetujuan pemerintah kita.

Kedua, ancaman kill switch yakni, jika terjadi ketegangan diplomatik, akses terhadap data masyarakat bisa diputus secara sepihak (sanctions), yang berpotensi melumpuhkan ekonomi digital dan layanan publik dalam semalam. Ketiga, Kerentanan Infrastruktur Fisik: Ketergantungan pada kabel bawah laut internasional membuat Indonesia rentan terhadap sabotase fisik yang dapat memutus nadi informasi nasional.

Akbar merujuk pada langkah Uni Eropa dengan regulasi GDPR-nya sebagai standar emas perlindungan data. "Uni Eropa mewajibkan lokasi penyimpanan data warga mereka berada di wilayah Uni Eropa. Indonesia harus bergerak dari paradigma 'asal bisa diakses' menuju 'kendali fisik sepenuhnya' melalui lokalisasi data," tegasnya lagi.

Sebagai langkah mitigasi, Sobat Cyber Indonesia mendorong pemerintah untuk melakukan reorientasi kebijakan. "Kedaulatan bangsa di abad ke-21 tidak lagi hanya diukur dari penguasaan darat, laut, dan udara, tetapi dari kemampuan melindungi wilayah siber. Lokalisasi data bukan berarti menutup diri, melainkan membangun benteng agar ketika badai geopolitik melanda, denyut nadi digital Indonesia tetap berdetak di tanah air sendiri," katanya.

Bisnis.com, JAKARTA—Kementerian Komunikasi dan Digital (Komdigi) menegaskan bahwa klausul transfer data dalam perjanjian dagang Indonesia—Amerika Serikat (AS),Agreement on Reciprocal Trade(ART), bukan berarti Pemerintah memberikan data warga negara Indonesia kepada AS.

Menteri Komunikasi dan Digital (Menkomdigi) Meutya Hafid mengatakan masih banyak terjadi mispersepsi di masyarakat terkait perjanjian tersebut, khususnya anggapan bahwa Pemerintah menukarkan data warga negara Indonesia (WNI).

“Itu tidak betul sama sekali, kemudian bahwa pemerintah akan menukarkan data 280 juta itu juga fokus yang mencederai pengetahuan dari masyarakat,” kata Meutya di Jakarta, Jumat (27/2/2026).

Meutya menjelaskan di era digital saat ini, data memang telah menjadi komoditas yang tidak bisa dihindari pergerakannya. Data, menurutnya, secara alami bergerak lintas negara seiring dengan aktivitas digital masyarakat.

Dia menekankan ART dengan Amerika Serikat membuka kerangka pertukaran data antara Indonesia dan AS dengan berlandaskan prinsip-prinsip pelindungan data yang berlaku dan diakui oleh kedua negara. Bahkan, praktik pertukaran data lintas negara tersebut sejatinya sudah lama terjadi.

“Jadi apa yang dilakukan ART ini adalah untuk memberikan kerangkah hukum terhadap apa yang sudah berlaku saat ini,” katanya.

Meutya mencontohkan, masyarakat Indonesia saat ini menggunakan berbagai platform digital dan layanan pembayaran digital berbasis Amerika Serikat.

Aktivitas tersebut secara otomatis melibatkan pertukaran data warga negara Indonesia ke luar negeri, termasuk ke AS, misalnya melalui layanancloudyang pusat datanya berada di Negeri Paman Sam.

“Jadi ini justru bagi kami memberikan kepastian hukum atau kerangka hukum terhadap praktik-praktik yang sudah berlaku dalam hal lintas data, lintas negara, data lintas negara,” katanya.

Lebih lanjut, Meutya menyampaikan dalam hubungan dagang dan kerja sama antarnegara, Indonesia tentu menginginkan jaminan data warga negara tetap aman ketika berada di negara mitra.

Menurutnya, prinsip saling pengakuan atas standar keamanan data itulah yang tercermin dalam ART, yakni bahwa Indonesia dan AS sama-sama mengakui memiliki standar pelindungan data yang setara.

Dia juga menegaskan perjanjian ini tidak bersifat memaksa. Masyarakat tetap memiliki pilihan untuk tidak menggunakan platform digital, layanan pembayaran, atau teknologi berbasis Amerika Serikat.

“Jadi tetap ada pilihan, ini bukan kewajiban mentransfer data. Pilihan bahwa kalau mentransfer data, ini diamankan oleh hukum pertama UU PDP yang kedua sekarang kerangka hukum kesepakatan perjanjian ART. Jadi sekarang malah lebih kuat, ada dua kerangka hukum,” ungkapnya.

Bisnis.com, JAKARTA — Chairman CISSReC Pratama Persadha menilai transfer data pribadi warga Indonesia ke Amerika Serikat dalam skala besar membawa sejumlah konsekuensi terhadap kedaulatan dan keamanan siber negara.

Menurutnya, ketika data warga negara berada di yurisdiksi asing, kontrol langsung negara terhadap akses, pemrosesan, dan potensi pemanfaatannya menjadi lebih terbatas.

Data yang secara fisik maupun logis tersimpan di pusat data di Amerika Serikat akan tunduk pada rezim hukum setempat, termasuk mekanisme permintaan akses oleh otoritas penegak hukum dan aparat keamanan nasional negara tersebut.

“Risiko bukan hanya kebocoran akibat peretasan, tetapi juga kemungkinan lawful access oleh otoritas asing berdasarkan hukum domestik mereka,” ujarnya kepada Bisnis, Senin (23/2/2026).

Pratama menjelaskan, dampak pertama yang perlu dicermati adalah potensi profiling dan analisis perilaku dalam skala besar. Data konsumen Indonesia yang diproses di luar negeri berpeluang digunakan untuk membangun pola preferensi ekonomi, kecenderungan politik, hingga karakteristik sosial masyarakat.

Pada era big data dan kecerdasan buatan, agregasi data lintas platform mampu menghasilkan informasi strategis yang nilainya jauh melampaui transaksi komersial biasa. Data tersebut dapat menjadi dasar penyusunan strategi pemasaran, penetrasi pasar, bahkan strategi pengaruh digital.

Selain itu, terdapat risiko ketergantungan struktural terhadap infrastruktur digital asing. Jika penyimpanan, pemrosesan, dan analitik data terlalu bergantung pada sistem di luar negeri, kedaulatan teknologi nasional dinilai menjadi rapuh.

Ketergantungan itu tidak hanya menyangkut lokasi server, tetapi juga kontrol algoritma, standar keamanan, serta arsitektur sistem. “Dalam situasi krisis geopolitik atau konflik kepentingan, ketergantungan tersebut berpotensi menjadi titik tekan strategis,” tuturnya mengingatkan.

Pratama juga menyoroti potensi kompleksitas penanganan kebocoran data lintas yurisdiksi. Meski perusahaan teknologi global umumnya memiliki standar keamanan tinggi, tidak ada sistem yang sepenuhnya kebal dari insiden.

Jika terjadi pelanggaran keamanan pada entitas pemroses data di luar negeri, proses penegakan hukum, ganti rugi, hingga audit forensik akan melibatkan mekanisme lintas negara yang rumit.

“Bagi Indonesia, tantangannya adalah memastikan bahwa hak subjek data tetap terlindungi secara efektif meskipun datanya diproses di yurisdiksi asing,” tuturnya.

Lebih jauh, Pratama menilai anggapan bahwa pemberian akses data konsumen memiliki kepentingan lebih luas dari sekadar transaksi dagang merupakan asumsi rasional dalam geopolitik digital.

Data menjadi bahan bakar utama ekonomi berbasis kecerdasan buatan. Negara atau korporasi yang menguasai volume dan variasi data terbesar akan memiliki keunggulan kompetitif dalam pengembangan teknologi seperti machine learning, sistem rekomendasi, hingga predictive analytics.

Meski demikian, ia menegaskan pentingnya objektivitas. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak melarang transfer data lintas negara sepanjang terdapat tingkat pelindungan yang setara atau mekanisme pengamanan yang memadai.

Artinya, secara hukum kerja sama tetap dapat dilakukan apabila dirancang dengan prinsip akuntabilitas, transparansi, serta pengawasan yang kuat. Fokus utamanya, menurut dia, bukan pada boleh atau tidaknya transfer data, melainkan pada tata kelola, klasifikasi data strategis, dan penerapan pengendalian risiko secara ketat.

Pratama memandang kebijakan ini sebagai pedang bermata dua. Di satu sisi, langkah tersebut dapat mempercepat integrasi Indonesia dalam rantai nilai digital global dan meningkatkan daya saing ekonomi.

Di sisi lain, tanpa arsitektur kedaulatan data yang jelas serta penguatan otoritas pengawas, potensi risiko jangka panjang dinilai bisa melampaui manfaat jangka pendek.

Dia menekankan perlunya batas tegas terhadap jenis data yang dapat ditransfer, kewajiban enkripsi dan anonimisasi yang kuat, mekanisme audit independen, serta hak intervensi negara apabila muncul ancaman terhadap kepentingan nasional.

“Dalam ekonomi digital, keterbukaan memang penting, tetapi kedaulatan tidak boleh dinegosiasikan tanpa pengamanan yang memadai,” tegas Pratama mengingatkan.

JAKARTA - Wakil Ketua Komisi I DPR Sukamta menanggapi soal ketentuan transfer data pribadi lintas negara yang tertuang dalam kontrak perjanjian tarif timbal balik atau tarif resiprokal antara Presiden RI Prabowo Subianto dengan Presiden Amerika Serikat (AS), Donald Trump. Menurut dia, transfer data lintas negara merupakan keniscayaan dari ekonomi digital modern.

Namun, kemudahan arus data harus diimbangi dengan penguatan kedaulatan digital dan perlindungan hak warga negara. "Perlindungan hak individu adalah kewajiban negara. Kebijakan diperlukan untuk memastikan bahwa setiap data warga Indonesia, di mana pun diproses, tetap terlindungi oleh sistem hukum yang kuat dan dapat ditegakkan," kata Sukamta, Senin (23/2/2026).

Wakil Ketua Fraksi PKS ini menambahkan bahwa momentum ini harus digunakan untuk mempercepat pembangunan tata kelola data nasional yang kredibel, transparan, berdaya saing global dan tetap selaras dengan kepentingan nasional.

Pendekatan yang diperlukan bukan proteksionisme data maupun liberalisasi tanpa batas, melainkan keseimbangan antara kelancaran arus data untuk pertumbuhan ekonomi dan kepastian perlindungan hukum bagi warga negara.

Oleh karena itu, ia menegaskan beberapa hal yang harus dipersiapkan dan ditindaklanjuti. "Pertama, Pembentukan Otoritas Perlindungan Data Pribadi yang Independen. Pembentukan lembaga yang independen dan memiliki kapasitas investigatif, teknis, serta kewenangan sanksi yang memadai menjadi prioritas. Tanpa pengawasan efektif, perlindungan data hanya bersifat normatif," ujarnya.

Terkait hal ini, kata dia, pemerintah sedang menggodok Peraturan Presiden (Perpres) yang diamanatkan oleh UU RI No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (PDP) Pasal 58. “Saya mendesak Pemerintah agar segera menyelesaikan pembahasan Rancangan Perpres ini,” tuturnya melanjutkan.

Kedua, Penyusunan Aturan Turunan yang Komprehensif. UU PDP mengamanatkan pengaturan lebih lanjut dengan Peraturan Pemerintah (PP). PP ini harus memperjelas kriteria negara dengan perlindungan memadai, mekanisme evaluasi berkala, standar kontrak perlindungan data lintas batas.

"Termasuk di dalamnya soal transfer data ke luar yurisdiksi Indonesia sebagaimana diatur dalam UU PDP Pasal 56 bahwa transfer data lintas negara diperbolehkan sepanjang negara tujuan memiliki tingkat perlindungan yang setara, atau terdapat jaminan perlindungan yang mengikat, atau ada persetujuan subjek data. Ketentuan ini lebih lanjut diatur dengan PP," kata dia.

Ketiga, Klasifikasi Data Strategis. Perlu ditetapkan kategori data sensitif strategis (misalnya kesehatan, biometrik, infrastruktur kritikal) yang memerlukan pengamanan tambahan. Keempat, Mekanisme Pengaduan dan Remediasi Lintas Negara.

Warga negara harus memiliki jalur pengaduan yang jelas dan dapat diaskes apabila terjadi penyalahgunaan data di luar negeri. Kelima, Evaluasi Berkala atas Status Adequacy. Pengakuan terhadap suatu negara sebagai “adequate” sebaiknya bersifat dinamis dan dievaluasi secara periodik berdasarkan perkembangan regulasi dan praktik di negara mitra.

Keenam, Penguatan Infrastruktur Data Domestik. Transfer data lintas negara tidak boleh menghambat pengembangan pusat data nasional dan industri cloud domestik. Keduanya harus berjalan paralel.

“Ini momentum untuk mempercepat konsolidasi tata kelola data nasional agar Indonesia tidak hanya menjadi pasar digital, tetapi juga mampu menjadi pemain penting global di pasar digital,” pungkasnya.

Firman Tendry Masengi

Advokat/Direktur Eksekutif RECHT Institute

Research and Education Center for Humanitarian Transparency Law

SAAT data pribadi — termasuk data kesehatan, identitas resmi (NIK), riwayat medis, hingga kontak personal — milik ratusan juta warga Indonesia dilaporkan bocor dan diperjualbelikan secara bebas di pasar gelap digital (dark web), negara tampak terperangah dan gagal bertindak. Insiden kebocoran data yang dikelola lembaga pemerintah, badan usaha digital, dan penyelenggara layanan publik terjadi berulang tanpa adanya pertanggungjawaban hukum yang sebanding.

Implikasinya, privasi warga seolah kehilangan nilai, arah, dan perlindungan nyata. Kebocoran data di lembaga negara seperti Dukcapil, Ditjen Imigrasi, KPU, hingga sistem e-HAC Kemkes menjadi bukti bahwa problem keamanan digital bukan hanya kesalahan teknis sektor privat, melainkan kegagalan struktural tata kelola negara dalam menjaga hak fundamental warga.

Latar sejarah kelam inilah yang mendorong lahirnya Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP)—bukan bermula dari kemewahan diskursus akademik atau kejeniusan legislasi, melainkan dari tekanan publik dan kegentingan nasional yang mendesak. Indonesia tertinggal lebih dari satu dekade dibanding yurisdiksi lain yang telah menerapkan standar ketat seperti General Data Protection Regulation (GDPR) Uni Eropa.

Ruang digital nasional selama ini dibiarkan tanpa regulasi memadai, menjadikan warga sebagai objek eksploitasi data secara sistematis, baik oleh korporasi maupun entitas negara. Oleh karena itu, UU PDP menjadi tonggak sejarah baru yang secara eksplisit mengakui privasi sebagai hak asasi manusia fundamental dan data sebagai aset strategis kedaulatan digital.

Efektivitas Hukum: Transisi dari Insiden Menuju Pelanggaran

UU PDP diundangkan pada 17 Oktober 2022 dan menetapkan masa transisi dua tahun untuk penyesuaian infrastruktur dan tata kelola sistem, sehingga berlaku efektif penuh pada 17 Oktober 2024. Sejak tanggal tersebut, setiap insiden kebocoran atau pemrosesan data secara ilegal tidak lagi dapat dikategorikan sebagai kesalahan teknis semata, melainkan telah dikonstitusikan sebagai pelanggaran hukum dengan konsekuensi pidana dan perdata yang mengikat. Era toleransi dan impunitas telah berakhir. Era akuntabilitas sistemik dimulai.

UU ITE (UU 11/2008 jo UU 19/2016) sebenarnya sudah lebih dulu mengatur sejumlah norma yang relevan terkait akses ilegal, intersepsi, manipulasi data elektronik, dan distribusi data pribadi tanpa hak. Namun, UU ITE tidak memberikan definisi komprehensif soal “data pribadi”, tidak mengatur hak subjek data, dan tidak menyediakan mekanisme ganti rugi langsung.

Karena itu, UU ITE hanya menjadi penal umbrella (payung pidana), sedangkan UU PDP menjadi lex specialis yang mengisi kekosongan ruang perlindungan warga. Sejak 2024, kedua UU ini bergerak sinergis: UU PDP mengatur proses, UU ITE mengatur penyalahgunaan dan perbuatan melawan hukumnya.

UU PDP memuat empat tujuan utama yang menjadi penentu orientasi peradaban digital Indonesia. Pertama, menjamin kedaulatan individu atas kendali data pribadinya. Kedua, memberikan kepastian dan perlindungan hukum atas seluruh aktivitas pemrosesan data. Ketiga, mendorong ekosistem pengelolaan data yang etis dan berkeadilan. Keempat, menjaga kepentingan publik dan kepentingan nasional dalam arsitektur digital.

Di tengah dominasi kecerdasan buatan dan algoritma, data adalah manifestasi identitas dan kekuasaan. Tanpa pengendalian terhadap data pribadi, individu berisiko direduksi menjadi objek komodifikasi algoritmik.

Korelasi UU ITE dalam Fondasi Normatif

UU ITE mempertegas orientasi ini melalui Pasal 26 yang mengakui perlindungan data pribadi sebagai bagian dari hak privasi. Pasal tersebut juga mengatur bahwa setiap pihak dilarang menggunakan, memanfaatkan, atau mengubah data seseorang tanpa izin. Dengan hadirnya UU PDP, Pasal 26 UU ITE mendapatkan instrumen implementatif yang jauh lebih kuat, terukur, dan dapat dieksekusi secara hukum.

UU PDP mentransformasi status subjek data dari objek pasif menjadi entitas yang berdaulat, dengan rincian hak dan kewajiban sebagai berikut. Pertama, hak subjek data meliputi hak memperoleh informasi, hak perbaikan, hak penghapusan (right to be forgotten), hak menolak profiling, dan hak menarik kembali persetujuan (consent).

Kedua, kewajiban pengendali data adalah meminta persetujuan eksplisit, menjaga keamanan sistem, dan melaporkan insiden kebocoran maksimal dalam 3 × 24 jam.

Korelasi UU ITE terhadap Perubahan Paradigma

UU ITE sebelumnya hanya menyediakan hak untuk dilupakan (right to be forgotten) pada Pasal 26 ayat (3)–(5). UU PDP memperluas dan memperdalam hak ini, sehingga penghapusan data menjadi kewajiban hukum yang konkret, tidak lagi sekadar norma umum yang sulit dieksekusi. UU PDP juga menutup celah abu-abu yang tidak terjangkau oleh UU ITE, seperti pemrosesan data sensitif, profiling berbasis data, dan pemindahan data lintas batas.

UU PDP menetapkan sanksi keras bagi pelanggaran. Sanksi pidana penjara maksimal 6 tahun dan denda maksimal Rp6 miliar bagi pelaku yang mengungkapkan atau memperjualbelikan data tanpa hak. Sanksi perdata dan administratif, gugatan ganti rugi oleh subjek data, denda administratif hingga 2% pendapatan tahunan (revenue) korporasi, serta pembekuan kegiatan usaha. Kerangka ini menegaskan prinsip sekaligus fungsi deterrent effect dan pemulihan hak korban.

UU ITE melalui Pasal 30–32 memberikan dasar kriminalisasi terhadap akses ilegal, penyadapan,

pencurian data, manipulasi, perusakan data elektronik, distribusi data pribadi.

Dalam konteks penegakan, Pasal 45 UU ITE memperkuat sanksi pidana UU PDP, sehingga rezim hukumnya menjadi terpadu: UU ITE menghukum perilaku kejahatannya, UU PDP menghukum pelanggaran terhadap sistem pemrosesan datanya.

Kasus-kasus kebocoran data masif seperti BPJS Kesehatan (279 juta data) dan Tokopedia (91 juta akun) membuktikan bahwa kerangka hukum saat itu tidak memadai untuk melindungi publik dan memproses pelaku secara adil. Kedua kasus memperlihatkan lemahnya standar keamanan digital nasional dan ketiadaan mekanisme pertanggungjawaban yang efektif.

Lebih ironis lagi, ketika lembaga pemerintah seperti Kemendagri, KPU, dan Ditjen Imigrasi menjadi sumber kebocoran, publik tidak memperoleh pemulihan maupun kejelasan akuntabilitas. Di sinilah urgensi pembentukan Badan Penyelesaian Sengketa Data Pribadi menjadi vital—sebagai mekanisme penyelesaian sengketa cepat, independen, dan berbasis keadilan korban sebagaimana diperintahkan UU PDP.

Setelah UU PDP efektif, yurisprudensi seperti Putusan PN Karanganyar No. 5/Pid.Sus/2023/PN Krg menunjukkan babak baru penegakan hukum. Putusan ini menjadi preseden penting bahwa pelanggaran data bukan lagi peristiwa teknis, melainkan tindak pidana yang dapat dihukum.

Namun, putusan tersebut sekaligus mengungkap tantangan serius: rendahnya literasi aparat, ketiadaan pedoman teknis yang kuat, dan belum terujinya pertanggungjawaban korporasi raksasa dalam kasus pelanggaran data. Masa depan penegakan UU PDP akan sangat ditentukan oleh konsistensi yurisprudensi berikutnya dan keberanian menangani pelaku skala besar.

Korelasi UU ITE di Ranah Yurisprudensi

Sebelum UU PDP efektif, hampir seluruh penindakan kasus kebocoran data bertumpu pada Pasal 30–32 UU ITE. Namun, putusan-putusan tersebut minim menyentuh tanggung jawab korporasi selaku pengendali data. Dengan kehadiran UU PDP, hakim kini memiliki dua instrumen sekaligus: UU ITE untuk memproses pelaku teknis, UU PDP untuk memproses korporasi dan pengendali data secara struktural. Inilah fondasi yurisprudensi yang sebelumnya hilang.

UU PDP berkedudukan sebagai lex specialis yang secara teknis mengatur pemrosesan data dan hak subjek data, sekaligus melengkapi KUHP yang mengatur tindak pidana umum dalam kejahatan digital. Sinergi ini memperkuat keamanan siber nasional dan menegaskan bahwa pelanggaran privasi bukan sekadar pelanggaran administratif, melainkan pelanggaran terhadap martabat warga negara.

UU ITE berfungsi sebagai jembatan antara tindak pidana digital dalam KUHP dan tindak pelanggaran pemrosesan data dalam UU PDP. Dengan demikian, struktur penegakannya menjadi tiga lapis. Pertama, UU PDP --pelanggaran pemrosesan dan tanggung jawab pengendali data. Kedua, UU ITE --kejahatan digital, akses ilegal, distribusi data. Ketiga, KUHP --tindak pidana umum yang relevan. Sinergi tiga lapis ini mempertegas bahwa hukum siber Indonesia tidak lagi bergerak dalam ruang vakum normatif.

UU PDP adalah janji konstitusional negara, tetapi hanya memiliki daya paksa melalui keberanian penegakan hukum. Pengalaman masa lalu membuktikan bahwa regulasi kerap dilemahkan oleh praktik di lapangan. Pertanyaan esensial pun muncul . Apakah negara memiliki kemauan politik untuk menindak tegas pelanggar data terbesar — bahkan jika pelakunya adalah lembaga negara atau korporasi multinasional?

Urgensi pembentukan Badan Penyelesaian Sengketa Data Pribadi sebagai amanat UU PDP menjadi indikator paling konkret apakah negara sungguh-sungguh melindungi warga atau sekadar membiarkan hukum menjadi dekorasi normatif. Tanpa lembaga independen ini, hak ganti rugi korban hanyalah ilusi dan penegakan UU PDP akan ompong secara struktural. Dan sayang nya hingga saat ini, Badan tersebut belum ada tanda-tanda akan dibentuk.

Sejak 17 Oktober 2024, tidak ada lagi ruang bagi kelalaian untuk berlindung di balik justifikasi kesalahan teknis. Privasi warga adalah batas kedaulatan yang tidak boleh dilanggar. Indonesia sedang memasuki persimpangan jalan: menjadi negara yang berdaulat digital atau tetap menjadi entitas yang terkolonisasi oleh kekuasaan data global.

Bisnis.com, JAKARTA — Otoritas Jasa Keuangan (OJK) menyambut baik penggunaan riwayat transaksi QRIS sebagai dasar penilaian kelayakan kredit atau credit scoring, termasuk di industri pinjaman online alias pinjol.

Hal tersebut dikatakan oleh Kepala Eksekutif Pengawas Lembaga Pembiayaan, perusahaan Modal Ventura, LKM dan LJK Lainnya OJK Agusman kala menanggapi pernyataan Bank Indonesia (BI) dalam acara FEKDI & IFSE 2025.

“OJK menyambut positif pemanfaatan data transaksi keuangan, termasuk QRIS, sebagai data alternatif dalam penilaian kelayakan kredit di industri pindar [pinjaman daring],” ujar Agusman, dikutip pada Selasa (25/11/2025).

Namun demikian, Agusman mengingatkan bahwa penerapan Quick Response Code Indonesian Standard (QRIS) sebagai credit scoring perlu tetap memperhatikan prinsip pelindungan data pribadi dan kehati-hatian.

“Penerapannya perlu pendalaman dengan tetap memperhatikan perlindungan data pribadi, validitas data, dan prinsip kehati-hatian,” tegas dia.

Untuk diketahui, per kuartal III/2025, outstanding pembiayaan pindar mencapai Rp90,99 triliun atau tumbuh 22,16% (year on year/YoY). Sementara itu, outstanding pembiayaan terhadap sektor produktif per September 2025 menyentuh Rp31,37 triliun.

Adapun, tingkat wanprestasi 90 atau TWP90 alias kredit macet industri pinjol masih terjaga pada level 2,82%.

Diberitakan sebelumnya, Bank Indonesia (BI) mengungkapkan bahwa jejak digital penggunaan QRIS bisa menjadi dasar skoring atau penilaian kelayakan penyaluran kredit, terutama bagi pelaku usaha mikro dan kecil (UMKM).

Deputi Gubernur BI Juda Agung menjelaskan bahwa dasar skoring itu dibantu oleh teknologi kecerdasan imitasi (artificial intelligence/AI). Oleh sebab itu, dia meyakini AI punya potensi besar dalam memperluas akses keuangan masyarakat.

“Jangan bayangkan AI itu seperti robot pengganti manusia. Bayangkan AI sebagai asisten yang sangat pintar, yang sangat pengertian akan kebutuhan penggunanya,” ujar Juda dalam acara FEKDI & IFSE 2025 di Jakarta, Sabtu (1/11/2025).

Dia menjelaskan bahwa teknologi AI dapat mengolah jejak digital transaksi keuangan yang tercipta dari penggunaan sistem pembayaran digital seperti QRIS. Nantinya, data olahan AI tersebut akan menjadi basis alternative credit scoring alias penilaian kredit alternatif.

Juda mencontohkan, pelaku UMKM yang sudah menggunakan QRIS akan meninggalkan jejak digital seperti berapa pemasukannya, berapa pengeluarannya, berapa yang disimpan, hingga berapa pelanggannya.

Jakarta, CNBC Indonesia - Belakangan ini ramai perbincangan soal aktivitas foto yang mengambil gambar orang di jalanan. Banyak orang yang mengatakan aktivitas itu melanggar karena tidak meminta izin pihak bersangkutan.

Terkait hal ini, Direktur Jenderal Pengawasan Ruang Digital Kementerian Komunikasi dan Digital Alexander Sabar menjelaskan para fotografer perlu mematuhi ketentuan pada Undang-undang Pelindungan Data Pribadi (UU PDP). Khususnya bagi kegiatan yang dilakukan di luar konteks pribadi ataupun rumah tangga.

"Foto seseorang-terutama yang menampilkan wajah atau ciri khas individu-termasuk kategori data pribadi karena dapat digunakan untuk mengidentifikasi seseorang secara spesifik. Karena itu, setiap kegiatan pemotretan dan publikasi foto wajib memperhatikan aspek etika dan hukum pelindungan data pribadi," jelasnya kepada CNBC Indonesia, Rabu (29/10/2025).

Selain itu, dia juga menyoroti soal ketentuan hak cipta yang melarang komersialisasi hasil foto tanpa persetujuan dari subjek yang difoto.

UU PDP sendiri juga menuliskan soal bentuk pemrosesan data harus memiliki dasar hukum yang jelas. Salah satunya mengenai persetujuan dari subjek data.

Masyarakat juga memiliki hak menggugat pihak yang diduga melanggar atau menyalahgunakan data pribadi. Semua ini sudah diatur dalam UU ITE dan UU PDP.

"Ditjen Wasdig Kemkomdigi ke depan akan mengundang perwakilan fotografer maupun asosiasi seperti AOFI serta PSE terkait untuk berdiskusi dan memperkuat pemahaman terkait kewajiban hukum dan etika fotografi, khususnya dalam konteks pelindungan data pribadi," kata Alex.

Alex menambahkan pihaknya mendorong literasi digital masyarakat. Yakni untuk etika penggunaan teknologi dan perlindungan data pribadi, termasuk pada sektor kreatis seperti fotografi dan AI.

"Upaya ini menjadi bagian dari komitmen membangun ekosistem digital yang aman, beretika, dan berkeadilan. Selain itu, Ditjen Wasdig Kemkomdigi melakukan pengawasan aktif dan responsif, termasuk menindaklanjuti laporan masyarakat atas dugaan pelanggaran UU PDP," pungkasnya.

(fab/fab)
[Gambas:Video CNBC]

Bisnis.com, JAKARTA — Otoritas Jasa Keuangan (OJK) mengungkapkan beberapa kriteria debitur multifinance yang termasuk dalam cakupan konsumen yang dilindungi pihaknya.

Kepala Eksekutif Pengawas Lembaga Pembiayaan Perusahaan Modal Ventura, Lembaga Keuangan Mikro, dan Lembaga Jasa Keuangan Lainnya OJK Agusman menuturkan kriteria itu tertuang dalam POJK Nomor 22 Tahun 2023.

Dia meneruskan, debitur multifinance yang dilindungi adalah mereka yang sepanjang beritikad baik dan memenuhi kewajiban sesuai dengan perjanjian pembiayaan.

“Adapun, pelindungan tersebut mencakup transparansi informasi, perlakuan adil, pelindungan data, serta mekanisme pengaduan yang efektif,” ucapnya dalam jawaban tertulis RDK September 2025, dikutip Sabtu (18/10/2025).

Selain hal tersebut, Agusman menegaskan bahwa OJK juga senantiasa bekerja sama dengan Asosiasi Perusahaan Pembiayaan Indonesia (APPI) untuk memperkuat edukasi kepada masyarakat supaya paham akan hak dan kewajiban sebagai debitur.

“Sementara itu, perusahaan pembiayaan pun didorong untuk tetap mematuhi etika penagihan sesuai ketentuan, serta berkoordinasi dengan aparat penegak hukum apabila terjadi tindakan yang menghambat proses penyelesaian,” ujar dia.

Lebih lanjut, dia turut menyikapi ihwal dugaan banyaknya LSM yang mengajak debitur untuk tidak melakukan pembayaran angsuran dan melakukan intimidasi kepada perusahaan pembiayaan.

Menurutnya, oknum yang berperilaku seperti itu merupakan tindakan yang berpotensi mengganggu stabilitas industri pembiayaan. Dia menekankan bahwa hubungan antara perusahaan multifinance dan debitur harus didasarkan pada kepatuhan terhadap perjanjian dan tanggung jawab hukum.

Lebih jauh, Agusman berpandangan tantangan perusahaan pembiayaan ketika terjadi gagal bayar debitur adalah bagaimana mereka bisa menjaga kualitas portofolio pembiayaan.

“Tantangan multifinance ketika terjadi gagal bayar debitur antara lain adalah menjaga kualitas portofolio pembiayaan sekaligus memastikan proses penagihan dilakukan secara adil dan sesuai ketentuan,” pungkasnya.

Sebagai informasi, menilik kinerja industri multifinance per Agustus 2025 tercatat piutang pembiayaan tumbuh 1,26% secara (year on year/YoY) menjadi Rp505,59 triliun. Hal itu didukung oleh pembiayaan modal kerja yang tumbuh sebesar 7,62% YoY.

Adapun, profil risiko perusahaan pembiayaan terjaga dengan rasio non-performing financing atau NPF gross tercatat sebesar 2,51% dan NPF net 0,85%. Gearing rasio perusahaan pembiayaan tercatat sebesar 2,17 kali atau berada di bawah batas maksimum sebesar 10 kali.

Jakarta, CNBC Indonesia - Pembentukan Badan Pelindungan Data Pribadi yang diperintahkan undang-undang untuk melindungi warga RI sudah molor nyaris 1 tahun. Ironisnya, UU PDP justru beberapa kali digunakan untuk menyeret warga biasa dalam kasus pidana.

Meskipun Indonesia sudah 4 tahun memiliki Undang-Undang Pelindungan Data Pribadi, upaya mencegah dan menghukum peristiwa kebocoran data milik warga RI masih tersendat karena pemerintah belum juga melaksanakan perintah UU untuk membentuk badan pengawas.

Seharusnya badan pengawas terbentuk 1 tahun setelah UU no. 27 tahun 2022 tentang PDP diterbitkan. UU PDP diundangkan pada 17 Oktober 2022. Oleh karena itu, badan pengawas seharusnya sudah berdiri sejak 17 Oktober 2024.

Peneliti Lembaga Studi & Advokasi Masyarakat (ELSAM), Parasurama Pamungkas menjelaskan fungsi PDP untuk menghukum keteledoran lembaga dan perusahaan dalam mengelola data pribadi bergantung kepada badan pengawas.

Karena badan pengawas tidak ada, UU PDP belum juga bisa digunakan untuk menjatuhkan sanksi administratif atau menggugat secara perdata.

"Belum-belum, itu problemnya, jadi memang belum ada tuh exercise penggunaan undang-undang PDP untuk kasus-kasus kebocoran data pribadi dalam 3 tahun terakhir," kata Parasurama kepada CNBC Indonesia, Selasa (14/10/2025).

Kasus hukum yang sudah menggunakan pidana dalam UU PDP cenderung pada kejahatan yang ringan. Namun, aparat menggunakan hukuman dengan pidana yang maksimal.

"Ada, misalnya yang soal SIM card gitu ya, dia meminjam SIM card, mendaftarkan SIM card atas nama orang lain Kemudian ada juga yang dia jual-beli akun rekening, itu juga ada beberapa kayak gitu. Jadi sebenarnya kasus-kasusnya kecil gitu ya, tetapi ternyata aparat penegak hukum menggunakannya secara maksimal," dia menuturkan.

Di sisi lain, kasus kebocoran data besar belum ada yang menggunakan aturan ini termasuk yang melibatkan perusahaan besar hingga platform digital.

Fakta ini, dia mengatakan sangat disayangkan. Karena tak ingin UU PDP pada akhirnya semacam UU ITE dengan batasan hukuman pidananya tidak begitu jelas.

"Jadi akan baik ketika mekanisme-mekanisme administratif serta perdata yang diamanatkan di undang-undang PDP digunakan untuk menyelesaikan kasus kebocoran selama 3 tahun ini," jelasnya.

Pakar Keamanan Siber dari Vaksincom, Alfons Tanujaya menyoroti perbedaan perlakuan dalam UU PDP antara perusahaan dan lembaga pemerintah. Institusi swasta diberikan hukuman yang cukup berat termasuk terkait finansial, sedangkan hukuman untuk sesama badan publik ringan.

"Kalau yang swasta atau yang asing kan ada hukumannya gitu. Hukuman denda finansial atau berat," kata Alfons kepada CNBC Indonesia, Selasa (14/10/2025).

Ini juga yang membuat banyak perusahaan swasta lebih berbenah dalam hal pelindungan data pribadi sebab mereka dibebankan sanksi yang berat jika melanggar.

"Itu akan mengubah. Tapi akan lebih banyak mengubah swasta daripada pemerintah," ujarnya.

Dia mengatakan hal ini jadi kritik yang perlu diperhatikan. Jangan sampai pemerintah membuat aturan yang adil dan tidak memberatkan pihak lain.

Salah satu sanksi yang diberikan termasuk sanksi administratif. Dalam Pasal 57 ayat (3) disebutkan bisa dibebankan paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan pada variabel pelanggaran.

Pasal 70 juga mengatur pelanggaran pada korporasi berupa denda sebanyak 10 kali dari maksimal pidana denda. Selain itu, juga ada pidana tambahan seperti perampasan keuntungan, pembayaran ganti rugi, hingga mencabut izin dan membubarkannya.

Aturan pidana dalam UU PDP

Ada sejumlah pasal yang mengatur soal hukuman pidana hingga denda pada para pelanggar UU PDP. Berikut pasal yang mengatur hal tersebut:

Pasal 67 ayat (1)

Setiap Orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkandiri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 65 ayat (1) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).

Pasal 67 ayat (2)

Setiap Orang yang dengan sengaja dan melawan hukum mengunglapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun
dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah).

Pasal 67 ayat (3)

Setiap Orang yang dengan senqaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (3) dipidana dengan pidana penjara paling lama 5 (lima) tahun
dan/atau pidana denda paling banyak Rp5.00O.OOO.000,00 (lima miliar rupiah).

Pasal 68

Setiap Orang yang dengan sengaja membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain sebagaimana dimaksud dalam Pasal 66 dengan pidana penjara paling lama 6 (enam) tahun dan/atau pidana denda paling
banyak Rp6.0OO.000.000,00 (enam miliar rupiah).

(dem/dem)
[Gambas:Video CNBC]