Jakarta, CNBC Indonesia - Peneliti Lembaga Studi & Advokasi Masyarakat (ELSAM), Parasurama Pamungkas menilai, peninggalan dan perekaman identitas seperti KTP sebagai jaminan seseorang masuk ke sebuah gedung merupakan tindakan yang dapat mengarah pada pelanggaran.

Seperti dialami banyak orang, gedung perkantoran dan fasilitas publik menerapkan aturan ketat bagi tamu, mulai dari meninggalkan KTP di resepsionis hingga wajib selfie sebelum masuk. Banyak pengelola gedung meminta data yang tidak relevan dengan kebutuhan keamanan.

Tidak sedikit pula yang menyimpan foto wajah hingga salinan KTP tanpa standar keamanan yang jelas yang dalam konteks UU Pelindungan Data Pribadi (UU PDP), tindakan seperti ini dapat mengarah pada pelanggaran. Masalah bertambah rumit karena hingga kini pemerintah belum membentuk badan pengawas pelindungan data pribadi seperti yang diperintahkan UU PDP.

"Nah, pengumpulan data pribadi yang sebenarnya tidak relevan dengan aktivitas yang kita lakukan, seperti masuk tower, kemudian daftar akun, itu merupakan sebenarnya ketidakpatuhan pengontrolan terhadap prinsip-prinsip pelindungan data pribadi," kata Parasurama kepada CNBC Indonesia belum lama ini.

Ia menjelaskan, itu bisa menjadi "pelanggaran" karena ada beberapa prinsip yang tidak terpenuhi, semisal tujuan pengumpulan data itu harus terbatas dan relevan. Selain itu pengendali data juga tidak memenuhi unsur keabsahan, sebab data pribadi yang dikumpulkan tidak relevan dan untuk tujuan lain.

Indonesia telah memiliki aturan privasi lewat Undang-Undang Pelindungan Data Pribadi sejak 2022. Aturan ini mengatur dengan ketat hak warga RI sebagai pemilik data pribadi serta menetapkan ancaman sanksi bagi perusahaan serta institusi pemerintah yang lalai melindungi data pribadi.

Walau begitu, pelaksanaan UU ini masih tersendat karena pemerintah belum mendirikan badan pengawas pelindungan data pribadi seperti perintah UU. Badan pengawas tersebut seharusnya berdiri 1 tahun sejak UU diterbitkan yang jatuh pada 17 Oktober 2024.

"Kemudian menggunakannya untuk tujuan lain, dan dia juga kehilangan dasar hukumnya untuk melanjutkan atau memproses data-data yang tidak relevan tadi," ujarnya.

Parasurama bilang, pihak pengelola gedung seharusnya bisa mencari cara selain mengumpulkan KTP atau pemindaian wajah, dalam hal ini cara yang tidak berisiko untuk masyarakat. Termasuk menyediakan opsi agar tidak membatasi aktivitas masyarakat untuk mengakses tempat tersebut.

Ia juga menegaskan privasi harusnya bisa diberikan secara default dan by design. Pelindungan atas privasi juga harus dilakukan oleh pengelola area-area terbatas, termasuk untuk gedung.

"Nah, itu sebenarnya merupakan bagian dari pelanggaran data, perlindungan data pribadi. Karena ini sama hal dengan platform digital ya, bagaimana kita bisa menikmati platform yang tidak ada ads dengan membayar misalnya gitu," jelas ia.

Terpisah, Pakar Keamanan Siber dari Vaksincom, Alfons Tanujaya menjelaskan, foto selfie dan KTP bukan alat identifikasi yang diakui menurut Dukcapil. Berkait keamanannya, Alfons bilang, ini juga bergantung pada pengelolaan datanya, yakni cara mereka menyimpan data, apakah sudah aman atau tidak.

"Lalu apakah itu aman atau tidak ya tergantung lah pengelola datanya, bagaimana dia menyimpan data itu. Kalau dia tidak menyimpan dengan aman ya kalau data bocor ya selesai juga," kata Alfons.

"Yang tidak selesai juga akan bocor datanya gitu loh. Beserta fotonya, mukanya, selfienya, yang tinggal dikerjain pakai AI kan, dipermak lagi," ujarnya menambahkan.

Jakarta, CNBC Indonesia - Kementerian Komunikasi dan Digital buka suara soal polemik diskusi fotografi yang mengambil dan menyebarkan foto tanpa izin orang di dalamnya. Menurut pihak kementerian, masyarakat memiliki hak untuk menggugat pihak bersangkutan karena diatur dalam UU Pelindungan Data Pribadi dan UU Nomor 1 Tahun 2024 tentang Perubahan Kedua atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE).

"Ditjen Wasdig Kemkomdigi mengingatkan bahwa masyarakat memiliki hak untuk menggugat pihak yang diduga melanggar atau menyalahgunakan data pribadi, sebagaimana diatur dalam UU ITE dan UU PDP," kata Direktur Jenderal Pengawasan Ruang Digital Komdigi, Alexander Sabar kepada CNBC Indonesia, Rabu (29/10/2025).

Dia juga mengungatkan agar para fotografer untuk mematuhi ketentuan dalam UU PDP. Khususnya jika aktivitas pemotretan dilakukan di luar konteks pribadi atau rumah tangga.

Menurutnya, foto seseorang termasuk dalam kategori data pribadi karena dapat digunakan untuk mengidentifikasi seseorang secara spesifik. Terutama yang menampilkan wajah atau ciri khas individu.

"Karena itu, setiap kegiatan pemotretan dan publikasi foto wajib memperhatikan aspek etika dan hukum pelindungan data pribadi," jelas Alex.

"Selain itu, fotografer juga harus mematuhi ketentuan hak cipta yang melarang pengkomersialan hasil foto tanpa persetujuan dari subjek yang difoto," dia menambahkan.

Sesuai UU PDP, bentuk pemrosesan data juga harus memiliki hukum yang jelas. Misalnya persetujuan eksplisit dari subjek data.

Pihak Komdigi juga akan mengundang perwakilan fotografi dan asosiasi seperti Asosiasi Profesi Fotografi Indonesia (APFI) serta Penyelenggara Sistem Elektronik (PSE) mendiskusikan dan memperkuat pemahaman soal kewajiban hukum dan fotografi.

"Ditjen Wasdig Kemkomdigi juga terus mendorong literasi digital masyarakat yang menekankan pentingnya etika penggunaan teknologi dan pelindungan data pribadi, termasuk di sektor kreatif seperti fotografi dan kecerdasan buatan generatif. Upaya ini menjadi bagian dari komitmen membangun ekosistem digital yang aman, beretika, dan berkeadilan. Selain itu, Ditjen Wasdig Kemkomdigi melakukan pengawasan aktif dan responsif, termasuk menindaklanjuti laporan masyarakat atas dugaan pelanggaran UU PDP," ujarnya.

Dalam beberapa hari terakhir, muncul diskusi di media sosial soal pengambilan foto yang dilakukan fotografer pada masyarakat yang berkegiatan di ruang publik. Ini menyoroti kegiatan fotografer pada mereka yang tengah berolahraga khusunya pelari.

Sejumlah pengguna medsos mengatakan tak nyaman karena pengambilan gambar dilakukan tanpa izin. Begitu juga ada transaksi jual-beli di aplikasi marketplace FotoYu.

Satu tahun Kementerian Komunikasi dan Digital alias Komdigi era pemerintahan Prabowo Subianto – Gibran Rakabuming Raka, Kepala Lembaga Riset Keamanan Siber CISSReC Pratama Persadha menilai implementasi UU Pelindungan Data Pribadi atau UU PDP belum signifikan.

Komdigi belum membentuk Badan Pelindungan Data Pribadi, padahal tertuang dalam Pasal 58 UU PDP atau UU Nomor 27 Tahun 2022. Selain itu, aturan turunannya belum lengkap.

Pratama menilai absennya kedua hal itu, membuat UU PDP kehilangan makna dalam melindungi masyarakat di ruang digital.

“Dalam satu tahun terakhir, masyarakat Indonesia terus menjadi sasaran berbagai bentuk kejahatan digital mulai dari kebocoran data pribadi di sektor publik maupun swasta, penipuan online yang merajalela, maraknya judi online hingga berbagai modus scam yang memanfaatkan rekayasa sosial dan AI,” kata Pratama dalam keterangan pers, Senin (20/10).

Dalam satu tahun terakhir, laporan tentang pencurian identitas digital, pembobolan rekening bank melalui phising dan social engineering, serta penyalahgunaan data pribadi untuk registrasi akun judi online atau judol semakin meningkat.

“Banyak korban tidak menyadari bahwa data mereka telah bocor dari sumber-sumber resmi seperti platform e-commerce, layanan publik, bahkan lembaga keuangan,” Pratama menambahkan.

Menurut dia, pola serangan digital itu menandakan data pribadi warga telah menjadi komoditas yang diperdagangkan secara ilegal di ruang siber. “Ketiadaan lembaga otoritatif yang menjalankan fungsi pengawasan dan penegakan hukum secara tegas membuat situasi ini kian mengkhawatirkan,” ujar Pratama.

Badan Pelindungan Data Pribadi, menurut Pratama, seharusnya menjadi garda depan dalam memastikan kepatuhan lembaga dan perusahaan terhadap prinsip-prinsip perlindungan data.

Selain itu, belum ada Peraturan Pemerintah atau PP Pelindungan Data Pribadi yang menjadi dasar teknis implementasi UU PDP.

Tanpa adanya Badan Pelindungan Data Pribadi dan PP PDP, mekanisme penegakan hukum, tata kelola data, serta standar kepatuhan tidak memiliki kejelasan operasional. “Akibatnya, regulasi yang seharusnya memberikan rasa aman justru masih menjadi simbol tanpa daya eksekusi,” ujar Pratama.

Kehadiran Badan Pelindungan Data Pribadi bukan sekadar kebutuhan administratif, melainkan sebuah urgensi strategis nasional. Lembaga ini disebutnya harus dibentuk dengan fondasi yang kuat, independen, dan bebas dari intervensi politik.

Dalam ekosistem digital global yang semakin saling terhubung, Pratama menilai data pribadi merupakan aset strategis yang nilainya tak ternilai. Sebab, negara-negara maju telah lama menyadari ini dengan membangun sistem perlindungan data yang ketat, seperti GDPR di Eropa atau PDPA di Singapura.

Tantangan dalam perlindungan data masyarakat Indonesia bukan lagi pada tahap menyusun regulasi, tetapi menegakkannya dengan konsisten.

“Pemerintah harus menunjukkan komitmen bahwa perlindungan data pribadi bukan hanya tanggung jawab individu, tetapi tanggung jawab negara dalam menjaga martabat dan keamanan warganya di era digital,” kata dia.

Menurut dia, pembentukan Badan Pelindungan Data Pribadi yang kredibel, didukung oleh PP yang jelas, serta pemimpin dengan integritas dan kompetensi tinggi, dinilai menjadi kunci agar UU PDP benar-benar bekerja melindungi rakyat.