Lembaga Studi dan Advokasi Masyarakat (ELSAM) menyoroti sejumlah persoalan hukum dalam Undang-Undang Satu Data Indonesia (UU SDI) yang disahkan dalam Rapat Paripurna DPR pada 6 Oktober 2026. Salah satu persoalan yang menjadi perhatian adalah potensi tumpang tindih pengaturan UU SDI dengan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
Peneliti ELSAM, Kezia Khatwani menilai penguatan integrasi, interoperabilitas, penggunaan, serta bagi pakai data dalam penyelenggaraan pemerintah harus diimbangi dengan batasan hukum yang jelas. Semakin besar kemampuan negara menghubungkan dan menafaatkan data warga, semakin penting pula jaminan perlindungan hak, transparansi, dan mekanisme pengawasan.
“UU SDI tidak hanya mengatur ‘data nasional’ dalam pengertian statistik atau data agregat. Ekosistemnya juga akan mengelola data kependudukan, sosial, dan berbagai kategori data lain yang dapat secara langsung maupun tidak langsung mengidentifikasi individu,” ujar Kezia dalam keterangannya, Senin (26/10/2026).
Ia menjelaskan, cakupan tersebut membuat penyelenggaraan Satu Data Indonesia bersinggungan langsung dengan rezim pelindungan data pribadi. Meskipun UU SDI menyatakan pemrosesan data pribadi tunduk pada ketentuan UU PDP, terdapat sejumlah norma dalam UU tersebut yang justru berpotensi tidak selaras dengan aturan UU PDP.
Baca juga:
- UU Satu Data Indonesia, Risiko Tata Kelola dan AI Jadi Sorotan
- RUU SDI Disetujui Jadi UU, Ini 8 Substansi Strategis dari DDN Hingga Penyelesaian Sengketa
Salah satu persoalannya terletak pada Pasal 18 UU SDI yang mengatur penyebarluasan, penggunaan, dan pemanfaatan data dalam kerangka Satu Data Indonesia tidak memerlukan nota kesepahaman, perjanjian kerja sama, ataupun dokumen pernyataan sepanjang memenuhi standar keamanan data.
Ketentuan tersebut dinilai perlu dicermati karena Pasal 18 UU PDP mengatur kewajiban adanya perjanjian antara dua atau lebih pengendali data pribadi yang melakukan pemrosesan data pribadi. Perjanjian tersebut mengatur peran, tanggung jawab, dan hubungan antar-pengendali data pribadi.
Selain itu, UU PDP mensyaratkan adanya dasar pemrosesan yang sah. Pemrosesan data pribadi berisiko tinggi memerlukan penilaian dampak pelindungan data pribadi atau Data Protection Impact Assessment (DPIA).
Persoalan berikutnya berkaitan dengan perbedaan ketentuan penanganan insiden keamanan data. UU SDI mengatur pelaporan insiden kepada instansi berwenang paling lama 1 x 24 jam, sedangkan UU PDP mengatur pemberitahuan kegagalan pelindungan data pribadi paling lambat 3 x 24 jam.
“Dalam konteks penanganan insiden keamanan data, Pasal 93 ayat (3) UU SDI mengisyaratkan pelaporan insiden kepada instansi berwenang paling lama 1x24 jam dan dapat berkoordinasi dengan BSSN, sedangkan menurut Pasal 46 UU PDP, kewajiban pemberitahuan kepada subjek data pribadi atau lembaga adalah 3x24 jam,” ujarnya.
Perbedaan tersebut memunculkan pertanyaan mengenai koordinasi penanganan insiden, termasuk pembagian peran Badan Siber dan Sandi Negara (BSSN) dan otoritas pelindungan data pribadi. Apalagi hingga pertengahan 2026, ELSAM mencatat bahwa pemerintah belum membentuk Otoritas Pelindungan Data Pribadi sebagaimana diperintahkan dalam UU PDP.
“Persoalan ini mencerminkan tidak sinkronnya upaya penanganan insiden, khususnya sejauh apa peran Lembaga PDP dan BSSN dalam berkoordinasi terkait insiden yang terjadi,” tegasnya.
Batasan tegas
Kezia melanjutkan, Pasal 85 UU SDI yang mengatur ketentuan transfer data. Termasuk persetujuan DPR untuk data tertutup dan kewajiban mengikuti ketentuan UU PDP perlu diselaraskan agar tidak menimbulkan ketidakpastian dalam penerapan rezim pelindungan data pribadi.
Kemudian, peneliti ELSAM, Nurul Izmi menyoroti pula Pasal 130 dan Pasal 131 UU SDI yang memuat ketentuan pidana dengan sejumlah rumusan yang belum memiliki batasan tegas sehingga terdapat potensi kriminalisasi berlebihan atau over-criminalisation dalam penerapan UU SDI.
“Sejumlah rumusan frasa bermasalah yang termuat dalam Pasal 130 dan 131, terkait ‘menyalahgunakan’, ‘tanpa hak’, dan ‘tanpa izin’ yang tidak diberikan definisi secara rigid, membuat klasifikasi data terbatas dan tertutup dapat ditentukan oleh pemerintah sendiri, sehingga cakupan pidananya menjadi kabur,” ujarnya.
Ia menilai, rumusan yang tidak jelas dapat menimbulkan ketidakpastian hukum mengenai perbuatan yang dapat dipidana. Padahal, klasifikasi data menentukan akses dan pemanfaatannya oleh masyarakat maupun institusi. Ketiadaan pengecualian untuk kepentingan umum dan aktivitas jurnalistik dalam UU SDI dikhawatirkan membatasi ruang gerak masyarakat sipil ketika mengakses dan menggunakan data untuk kepentingan publik.
“Ketiadaan pengecualian untuk kepentingan umum dan jurnalistik semakin mengkhawatirkan masyarakat sipil. Ketentuan ini juga tumpang tindih dengan sanksi pidana yang sejatinya sudah diatur dalam UU PDP,” ujarnya.
Pemberian insentif
Di luar persoalan pidana, ia berpendapat penggunaan kecerdasan artifisial (AI) dan blockchain dalam penyelenggaraan Satu Data Indonesia perlu disertai kerangka hukum yang jelas guna memastikan transparansi, akuntabilitas, dan perlindungan hak warga.
“Hal penting yang harus dijawab dahulu adalah apa AI yang akan digunakan, siapa pengembang dan penyedianya, data apa yang digunakan untuk melatih atau fine-tuning, apakah sistem tersebut mengambil keputusan atau hanya memberikan rekomendasi, di mana model dan data diproses, serta siapa yang bertanggung jawab,” ungkapnya.
Ketentuan lain yang turut dipersoalkan ELSAM dalam UU SDI ini adalah ketentuan pemberian insentif kepada pihak yang dinilai berkinerja baik dalam penyelenggaraan Satu Data Indonesia. Nihilnya kriteria objektif untuk menentukan pihak yang berhak memperoleh insentif, termasuk penggunaan frasa ‘bentuk insentif lainnya’, dianggap berpotensi menimbulkan multitafsir.
Atas berbagai persoalan tersebut, ELSAM mendesak DPR dan pemerintah membuka akses publik terhadap naskah UU SDI, meminta agar UU SDI diselaraskan dengan UU PDP, termasuk mengenai kewajiban pengendali data, dasar pemrosesan yang sah, penilaian dampak pelindungan data pribadi, dan transfer data lintas yurisdiksi. Selain itu, pemerintah didesak untuk segera membentuk Otoritas Pelindungan Data Pribadi dan menyelaraskan mekanisme pelaporan insiden keamanan data.
