Salah satu bentuk pemrosesan data pribadi adalah transfer data pribadi. Transfer ini mencakup perpindahan, pengiriman, dan/atau penggandaan data pribadi secara elektronik maupun non elektronik dari pengendali data pribadi kepada pihak lain. Dalam pelaksanaannya, transfer data pribadi harus mengacu pada prinsip-prinsip pelindungan data pribadi yang menjadi landasan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
“Pelindungan data pribadi bukan semata-mata menjadi beban perusahaan. Sebagai individu, kita juga harus punya kesadaran kritis dalam menggunakan platform tertentu,” ujar Co-Founder Asosiasi Praktisi Pelindungan Data Indonesia (APPDI), Raditya Kosasih, dalam Workshop Hukumonline: Data Flow Mapping and Data Transfer Management, Kamis (12/6/2025).
Transfer data antar perusahaan selama ini lazim dilakukan di dalam negeri maupun yang memiliki anak cabang atau induk di luar negeri. Raditya mengingatkan transfer data antar perusahaan terutama yang menyangkut data pribadi harus mencermati berbagai syarat yang diatur UU 27/2022.
Untuk pembagian data pribadi dalam wilayah hukum Indonesia, pengendali data dapat melakukan transfer data pribadi kepada pengendali data lainnya dalam wilayah Indonesia. Pengendali data yang melakukan transfer data pribadi wajib memastikan pelindungan data pribadi, dasar pemrosesan, keamanan, sejalan dengan persetujuan dari subjek sesuai dengan prinsip pelindungan data.
Baca juga:
- Perhatikan! Ini 9 Langkah Penting Sebelum Transfer Data Pribadi
- Advokat Ini Ingatkan 3 Ketentuan Transfer Data Pribadi ke Luar Negeri
- UU PDP Diharapkan Awal yang Baik Atasi Kebocoran Data Pribadi
Kemudian, transfer data pribadi lintas batas hanya dapat dilakukan jika negara penerima memiliki tingkat perlindungan data pribadi yang setara atau lebih tinggi. Jika tidak, pengendali data harus memastikan adanya mekanisme perlindungan data yang memadai dan mengikat, atau memperoleh persetujuan dari subjek data pribadi terlebih dahulu."
“Dalam hal tidak setara, pembagian data pribadi dapat dilakukan berdasarkan dokumen yang memadai dan meningkat. Dalam hal tidak terdapat perjanjian yang mengikat, data pribadi hanya dapat dibagikan berdasarkan persetujuan subjek data pribadi,” ujar Kosasih.
Berdasarkan pengalamannya, transfer data pribadi tidak melulu memerlukan persetujuan khusus. Terutama jika tidak berkaitan dengan isu keamanan nasional. Dalam praktiknya, hanya sektor-sektor tertentu seperti perbankan dan keuangan yang menerapkan pengawasan lebih ketat dalam hal ini.
Sementara di sektor kesehatan, beberapa fasilitas pelayanan kesehatan memang mengumpulkan data untuk keperluan riset. Sepanjang konsep penggunaan data tersebut jelas dan terdapat persetujuan atas pemrosesan data pribadi yang bersifat spesifik untuk tujuan riset, maka tidak diperlukan persetujuan tambahan. Terpenting, memastikan kesadaran dan tanggung jawab dari sisi perusahaan maupun individu dalam mengelola data pribadi di berbagai platform digital.
Dalam kesempatan yang berbeda, Partner K&K Advocates Danny Kobrata mengatakan untuk transfer data ke luar negeri, UU PDP mengatur sedikitnya 3 syarat. Pertama, sebelum melakukan transfer data pribadi ke luar negeri, pengendali data pribadi wajib memastikan negara tempat pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data itu punya tingkat pelindungan data pribadi yang setara atau lebih tinggi dari UU PDP di Indonesia.
Kedua, jika negara tujuan yang menerima data itu tidak memiliki aturan yang setara atau lebih tinggi dari UU , Danny menyebut pengendali data pribadi wajib memastikan ada pelindungan data pribadi yang memadai dan bersifat mengikat.
Dengan kata lain, kontrak atau instrumen yang mengikat, sehingga penerima data tunduk pada aturan di Indonesia. Ketiga, jika kedua syarat tersebut tidak terpenuhi, pengendali data pribadi wajib mendapatkan persetujuan subjek data pribadi.
