Selain itu, UU PDP mensyaratkan adanya dasar pemrosesan yang sah. Pemrosesan data pribadi berisiko tinggi memerlukan penilaian dampak pelindungan data pribadi atau Data Protection Impact Assessment (DPIA).
Persoalan berikutnya berkaitan dengan perbedaan ketentuan penanganan insiden keamanan data. UU SDI mengatur pelaporan insiden kepada instansi berwenang paling lama 1 x 24 jam, sedangkan UU PDP mengatur pemberitahuan kegagalan pelindungan data pribadi paling lambat 3 x 24 jam.
“Dalam konteks penanganan insiden keamanan data, Pasal 93 ayat (3) UU SDI mengisyaratkan pelaporan insiden kepada instansi berwenang paling lama 1x24 jam dan dapat berkoordinasi dengan BSSN, sedangkan menurut Pasal 46 UU PDP, kewajiban pemberitahuan kepada subjek data pribadi atau lembaga adalah 3x24 jam,” ujarnya.
Perbedaan tersebut memunculkan pertanyaan mengenai koordinasi penanganan insiden, termasuk pembagian peran Badan Siber dan Sandi Negara (BSSN) dan otoritas pelindungan data pribadi. Apalagi hingga pertengahan 2026, ELSAM mencatat bahwa pemerintah belum membentuk Otoritas Pelindungan Data Pribadi sebagaimana diperintahkan dalam UU PDP.
“Persoalan ini mencerminkan tidak sinkronnya upaya penanganan insiden, khususnya sejauh apa peran Lembaga PDP dan BSSN dalam berkoordinasi terkait insiden yang terjadi,” tegasnya.
Batasan tegas
Kezia melanjutkan, Pasal 85 UU SDI yang mengatur ketentuan transfer data. Termasuk persetujuan DPR untuk data tertutup dan kewajiban mengikuti ketentuan UU PDP perlu diselaraskan agar tidak menimbulkan ketidakpastian dalam penerapan rezim pelindungan data pribadi.
Kemudian, peneliti ELSAM, Nurul Izmi menyoroti pula Pasal 130 dan Pasal 131 UU SDI yang memuat ketentuan pidana dengan sejumlah rumusan yang belum memiliki batasan tegas sehingga terdapat potensi kriminalisasi berlebihan atau over-criminalisation dalam penerapan UU SDI.
