Rancangan Undang-Undang tentang Perlindungan Data Pribadi (RUU PDP) dalam tahap akhir administrasi di meja Presiden untuk dikirim ke Dewan Perwakilan Rakyat (DPR). Perjalanan RUU usulan Pemerintah sejak tahun 2012 ini memadukan konsep Amerika Serikat dan General Data Protection Regulation (GDPR) Uni Eropa.
“Kalau kami baca RUU saat ini, memadukan GDPR dengan konsep Amerika Serikat,” kata Wahyudi Djafar, Deputi Direktur Riset ELSAM (Lembaga Studi dan Advokasi Masyarakat) kepada hukumonline usai diskusi publik ‘Melindungi Privasi Data di Indonesia’, Rabu (3/7).
Penjelasan Wahyudi ini dibenarkan oleh salah satu anggota tim perumus RUU PDP yang tidak bersedia disebutkan namanya saat diminta konfirmasi hukumonline. Perlindungan data pribadi pada dasarnya berkaitan dengan hak pribadi atau privasi.
Ada beda pendekatan cukup signifikan antara Amerika Serikat dan Uni Eropa mengenai privasi. Di satu sisi, hasil penelitian ELSAM menunjukkan negara-negara Uni Eropa menempatkan perlindungan data pribadi sebagai pemenuhan privasi sebagai hak asasi. Di sisi lain, Amerika Serikat menempatkannya sebagai hak milik kebendaan. “Kalau di Amerika Serikat menggunakan banyak undang-undang sektoral, Uni Eropa membuat kodifikasi rigid dan detil dalam GDPR,” ujar Wahyudi menambahkan.
RUU PDP ini nantinya menjadi acuan utama ruang lingkup data pribadi yang harus dilindungi. Beberapa ketentuan perlindungan data pribadi yang telanjur tersebar di berbagai undang-undang diharapkan tidak lagi mengaburkan kepastian hukum.
(Baca juga: Perlindungan Data Pribadi Tersebar di 32 UU, Indonesia Perlu Regulasi Khusus).
Berdasarkan draft RUU PDP per tanggal Draft final RUU PDP per tanggal 29 April 2019, pasal 3 mengatur jenis data pribadi yang dilindungi menjadi dua. Pertama, data pribadi yang bersifat umum. Data pribadi jenis ini dapat diperoleh lewat akses pelayanan publik atau tercantum dalam identitas resmi pemiliknya. Namun, pengungkapan data ini tanpa hak dapat merugikan pemiliknya. Misalnya nama lengkap, jenis kelamin, kewarganegaraan, agama, atau data pribadi yang harus dikombinasikan sehingga memungkinkan untuk mengidentifikasi seseorang.
Kedua, data pribadi yang bersifat spesifik. Jenis data pribadi ini bersifat sensitif terhadap keamanan dan kenyamanan kehidupan pemiliknya. Cara memperoleh data pribadi jenis ini hanya atas persetujuan pemiliknya kecuali ditentukan lain berdasarkan RUU PDP. Pengungkapan secara tanpa hak dapat melanggar privasi pemilik data pribadi.