(Baca juga: Data Protection Officer, Peluang Kerja Baru Bagi Sarjana Hukum)
Jadi ketika mereka menerapkan itu, maka mereka bisa menerima data dari Eropa karena di bawah UU Eropa dikatakan bahwa data dari Eropa tidak bisa keluar dari Eropa kecuali ada perlindungan yang memadai (adequate protection). Jadi perlindungan yang memadai ini, di Amerika dalam bentuk Privacy Shield. Jadi dia masih bersifat self regulatory-lah kalau kita bicara begitu bukan omnibus legislation.
Lantas standar Privacy Shield itu mengikuti kerangka mana, apa mengikuti GDPR?
Tidak sekuat GDPR tapi prinsip-prinsp itu ada. Prinsip-prinsip semacam pengumpulan data, pencegahan data, itu ada. Tapi yang pasti, misalnya soal penalti itu tidak ada. Apa pinaltinya kalau misalnya Privacy Shield itu tidak dipatuhi oleh perusahaan? Kan tidak ada. Karena dia sifatnya self regulatory. Kalau GDPR itu ada hukumannya dan sangat berat.
Dari laporan yang sempat saya baca, ada perusahaan yang akan didenda pertama kali sejak diberlakukannya GDPR. Saya belum tahu di mana tempatnya karena banyak terjadi misalnya antara Facebook dan Cambridge Analitica, kemudian isu yang baru-baru ini mengenai British Airways yang kehilangan data. Jadi ini hanya masalah waktu perusahaan-perusahaan ini akan dikenakan sanksi di bawah GDPR.
Terkait Right to be Forgotten, seperti apa best practice di Eropa?
Iya di sana sebenarnya berasal dari sebuah kasus yang terjadi di Spanyol. Kemudian ketika GDPR di buat, dia dimasukkan ke dalam GDPR sebagai satu hak yang diberikan kepada pengguna, yaitu hak untuk mereka meminta perusahaan seperti Google misalnya untuk menghapus berita. Tetapi itu bukan sesuatu yang tidak ada batasan.
Ada batasannya dan kondisinya. Seorang pelaku tindak pidana misalnya, diberitakan di koran kemudian ada beritanya di internet. Bolehkah dia meminta untuk dihapus berita tersebut dari internet? Tidak bisa. Karena ada kepentingan publik atas berita tersebut di situ. Seorang politisi misalnya melakukan sesuatu yang seharusnya tidak dilakukan. Kemudian diberitakan di internet tidak bisa dia meminta agar beritanya dihapus. Karena ada kepentingan publik. Karena dia merupakan pejabat publik. Jadi ada syarat di situ. Syaratnya kalau saya tidak salah adalah, kalau datanya tidak tepat, atau data itu salah, atau tidak relevan dan sebagainya. Jadi bukan sesuatu yang mutlak. Ada kondisi yang harus terpenuhi.
Take down berita tersebut butuh putusan pengadilan?
Ini issue. Tidak perlu putusan pengadilan dan ini yang menjadi masalah yah. Seseorang komplain ke Google misalnya, kemudian Google yang membuat keputusan. Itu yang menjadi masalah. Bolehkan kita memberikan kepercayaan kepada google untuk membuat keputusan men-take down or not take down. Nah itu yang menjadi isu sekarang. Karena tidak perlu putusan Mahkamah (pengadilan). Keputusan itu adalah keputusan sebuah perusahaan untuk menghapus atau tidak menghapus berita itu. Tapi pastinya, jika permohonan itu adalah sesuatu yang genuine mereka bisa mengambil tindakan di pengadilan. Meminta pengadilan supaya memutuskan agar Google menghapus berita itu.
Worldview melihat perlindungan data pribadi ini seperti apa sih?
Kita harus mencari keseimbangan antara misalnya soal perdagangan internasional, data harus bisa dipindahkan antara dalam negeri atau keluar negeri. Kalau tidak, tidak bisa terjadi perdagangan antar negara kan. Jadi itu satu hal. Hal yang lain, perlindungan data ini penting untuk memberikan kepercayaan konsumen terhadap internet itu sendiri dan terhadap e-commerce. Jadi kita harus mencari keseimbangan antara keduanya.
Jadi UU perlindungan data pribadi harus bisa mencari keseimbangan antara data flow dengan data protection. Dua issue ini tidak harus dianggap diametral. Jadi itu, UU yang dibuat bisa menangani keseimbangan kepada dua hal yang sangat penting.