“Untuk data yang bersifat spesifik, ini ada penilaian, ada risk assessment tambahan yang diperlukan dan wajib dilakukan oleh pelaku usaha di dalam lembaganya,” ujarnya.
Avindra menduga hampir seluruh perusahaan yang mengelola data pribadi yang bersifat spesifik, termasuk di jasa keuangan dan kesehatan, sudah mulai membuat suatu divisi berisi data protection officer (DPO). DPO bertugas mengelola data pribadi dalam perusahaan.
Satu artikel yang dirilis Harvard Business Review menyatakan, data pribadi menjadi fondasi dari perusahaan-perusahaan besar di dunia sekaligus mata air bagi perusahaan-perusahaan rintisan yang menggunakannya untuk menganalisis perilaku konsumen, memprediksi pasar, dan memberikan layanan digital khusus.
“Makanya sekarang hampir semua orang itu berbicara mengenai big data,” tambahnya.
Avindra mengingatkan pelaku usaha perlu memperhatikan pelindungan data pribadi karena apabila tidak patuh, akan timbul risiko. Risiko ini mencakup gugatan perdata oleh pemilik data pribadi kepada pengelola, sanksi administratif, dan denda administratif. Sayangnya, saat ini lembaga pelindung data pribadi yang diamanatkan UU 27/2022 belum terbentuk, sehingga penerapan pengenaan sanksi belum ada presedennya di Indonesia.
“Fungsi lembaga pelindungan data pribadi hingga saat ini masih dikendalikan oleh Kementerian Komunikasi dan Digital,” katanya.
Selain sanksi, ucap Avindra, pelaku usaha wajib mematuhi prinsip pelindungan data pribadi karena alasan bisnis dan reputasi. Kepercayaan dan kepuasan konsumen penting untuk mempertahankan bisnis suatu perusahaan.
Lebih jauh, Avindra menjelaskan UU 27/2022 memiliki sifat ekstrateritorial, yaitu berlaku di Indonesia dan di luar wilayah Indonesia apabila subjek datanya adalah warga negara Indonesia yang berkegiatan di luar wilayah Indonesia. Apabila terjadi kebocoran data yang dialami perusahaan luar negeri yang melibatkan subjek data orang Indonesia, maka individu dan lembaga terkait harus diberitahu.
