Terdapat kerancuan konseptual dalam Rancangan Peraturan Pemerintah tentang Pelaksanaan UU Pelindungan Data Pribadi (RPP PDP, draf 31 Agustus 2023). Kerancuan ini tidak terletak pada isu yang sering diperdebatkan, seperti pembentukan lembaga PDP atau tingginya sanksi administratif.
Sebaliknya, hal tersebut muncul pada Pasal 55 ayat (1) huruf (a), yang berpotensi mengaburkan logika keseluruhan bangunan lawful basis, atau dasar pemrosesan majemuk, sebagaimana dirumuskan dalam Pasal 44 RPP.
Pertanyaannya sederhana, jawabannya memerlukan analisis yang cermat. Apakah “persetujuan yang sah secara eksplisit” yang disyaratkan atas perjanjian adalah hal yang sama dengan “persetujuan” sebagai dasar pemrosesan data yang berdiri sendiri?
Dalam praktik perlindungan data modern, keduanya diperlakukan berbeda. Namun dalam konstruksi RPP ini, perbedaan itu tidak dapat lagi terlihat dengan jelas. Dari pergeseran yang tampaknya kecil inilah muncul ketidakpastian yang besar, terutama bagi industri yang bertumpu pada hubungan kontraktual jangka panjang, seperti sektor jasa keuangan.
Dua Konsep yang Tidak Boleh Dicampuradukan
Pasal 44 ayat (2) RPP mengadopsi arsitektur lawful basis majemuk yang dikenal dalam rezim pelindungan data modern yaitu enam dasar pemrosesan yang masing-masing berdiri sendiri. Huruf (a) mengatur persetujuan Subjek Data untuk tujuan tertentu, sedangkan huruf (b) mengatur pemrosesan yang diperlukan untuk pelaksanaan perjanjian.
Pemisahan ini merupakan fondasi penting dalam bangunan pelindungan data pribadi modern, sehingga ketidakjelasan dalam mempertahankannya berpotensi melemahkan struktur tersebut.
Persetujuan dalam Pasal 44 ayat (2) huruf (a) memiliki karakteristik khas yaitu sah secara eksplisit diberikan Subjek Data Pribadi untuk satu atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi. Berbeda dari kesepakatan kontraktual, persetujuan ini dapat ditarik setiap saat oleh Subjek Data sebagaimana diatur dalam Pasal 47. Oleh karena itu, persetujuan dalam konteks ini lebih tepat dipahami sebagai ekspresi kontrol individu atas datanya, bukan sekadar formalitas administratif.
