Pendahuluan
Indonesia telah mengukuhkan posisinya sebagai ekonomi digital terbesar di ASEAN. dengan nilai transaksi bruto (gross merchandise value) sebesar USD 99 miliar (sekitar Rp1.633,5 triliun) pada 2025, mengungguli Vietnam dan Malaysia, menurut laporan World Bank Group. Pertumbuhan ekonomi digital meningkatkan volume transaksi barang dan jasa lintas batas, sekaligus meningkatkan volume transfer data pribadi lintas batas (cross-border personal data transfers). Saat ini, data pribadi telah menjadi komoditas bernilai bagi pelaku usaha untuk meningkatkan penawaran bagi konsumen.
Di sisi lain, tingkat kerentanan meningkat karena pemrosesan dan penanganan data pribadi oleh berbagai entitas di yurisdiksi berbeda. Rancangan Peraturan Presiden tentang Badan Pelindungan Data Pribadi (PDP) (Raperpres Badan PDP) telah disampaikan pada 2025 lalu dan rencananya akan ditetapkan di tahun 2026 ini untuk memberikan kejelasan terkait transfer data pribadi lintas batas. Namun, draf terkini dari Raperpres Badan PDP masih belum menjawab sepenuhnya pengaturan transfer data pribadi lintas batas.
Poin Penting dari Raperpres Badan PDP
Raperpres Badan PDP merupakan amanat dan peraturan pelaksana Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Badan Pelindungan Data Pribadi (Badan PDP) diamanatkan UU PDP sebagai perumus kebijakan, pengawas, penegak hukum, dan fasilitator penyelesaian sengketa alternatif, dengan kewenangan antara lain untuk menilai pemenuhan persyaratan transfer data pribadi lintas batas.
Hal-hal yang diatur lebih lanjut dalam Raperpres Badan PDP ini mencakup: (a) kedudukan, peran, dan tanggung jawab Badan PDP, selaras dengan UU PDP; (b) susunan organisasi Badan PDP, beserta peran dan tanggung jawab masing-masing satuan kerja; dan (c) ketentuan lainnya, termasuk tata kerja, pengangkatan dan pemberhentian anggota, serta pendanaan Badan PDP. Raperpres Badan PDP ini lebih menekankan aspek organisasi dan tata kelola Badan PDP, serta tidak membahas secara spesifik transfer data pribadi lintas batas.
Terlepas dari pengaturan umum mengenai peran dan tanggung jawab Badan PDP dalam pelaksanaan UU PDP, Raperpres Badan PDP ini belum memuat pengaturan yang spesifik dan komprehensif untuk menjawab persoalan praktis yang dihadapi pelaku usaha dalam transfer data pribadi lintas batas.
Ketidakpastian Regulasi dan Tantangan Praktis dalam Transfer Data Pribadi Lintas Batas
UU PDP telah menetapkan persyaratan yang memperbolehkan transfer data pribadi ke luar Indonesia yaitu: (a) negara penerima harus memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari UU PDP (Adequate Level of Protection); (b) jika tidak terdapat Adequate Level of Protection, harus tersedia pelindungan data pribadi yang mengikat dan memadai (Appropriate Safeguards); dan (c) jika tidak terdapat Adequate Level of Protection maupun Appropriate Safeguards, persetujuan subjek data pribadi harus diperoleh untuk transfer data pribadi lintas batas.
Konsep dalam UU PDP secara garis besar diadopsi dari ketentuan EU General Data Protection Regulation (EU GDPR) dan memungkinkan transfer data pribadi lintas batas secara terpadu, karena tidak diperlukan persetujuan khusus atau otorisasi dari subjek data pribadi, sepanjang persyaratan Adequate Level of Protection dan Appropriate Safeguards terpenuhi. EU GDPR secara komprehensif mengatur elemen dan prosedur untuk menilai serta menerapkan Adequate Level of Protection, dan menetapkan pedoman mengenai Appropriate Safeguards, antara lain melalui instrumen yang mengikat secara hukum (legally binding instruments) dan klausul pelindungan data standar (standard data protection clauses).
