Pendahuluan
Indonesia telah mengukuhkan posisinya sebagai ekonomi digital terbesar di ASEAN. dengan nilai transaksi bruto (gross merchandise value) sebesar USD 99 miliar (sekitar Rp1.633,5 triliun) pada 2025, mengungguli Vietnam dan Malaysia, menurut laporan World Bank Group. Pertumbuhan ekonomi digital meningkatkan volume transaksi barang dan jasa lintas batas, sekaligus meningkatkan volume transfer data pribadi lintas batas (cross-border personal data transfers). Saat ini, data pribadi telah menjadi komoditas bernilai bagi pelaku usaha untuk meningkatkan penawaran bagi konsumen.
Di sisi lain, tingkat kerentanan meningkat karena pemrosesan dan penanganan data pribadi oleh berbagai entitas di yurisdiksi berbeda. Rancangan Peraturan Presiden tentang Badan Pelindungan Data Pribadi (PDP) (Raperpres Badan PDP) telah disampaikan pada 2025 lalu dan rencananya akan ditetapkan di tahun 2026 ini untuk memberikan kejelasan terkait transfer data pribadi lintas batas. Namun, draf terkini dari Raperpres Badan PDP masih belum menjawab sepenuhnya pengaturan transfer data pribadi lintas batas.
Poin Penting dari Raperpres Badan PDP
Raperpres Badan PDP merupakan amanat dan peraturan pelaksana Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Badan Pelindungan Data Pribadi (Badan PDP) diamanatkan UU PDP sebagai perumus kebijakan, pengawas, penegak hukum, dan fasilitator penyelesaian sengketa alternatif, dengan kewenangan antara lain untuk menilai pemenuhan persyaratan transfer data pribadi lintas batas.
Hal-hal yang diatur lebih lanjut dalam Raperpres Badan PDP ini mencakup: (a) kedudukan, peran, dan tanggung jawab Badan PDP, selaras dengan UU PDP; (b) susunan organisasi Badan PDP, beserta peran dan tanggung jawab masing-masing satuan kerja; dan (c) ketentuan lainnya, termasuk tata kerja, pengangkatan dan pemberhentian anggota, serta pendanaan Badan PDP. Raperpres Badan PDP ini lebih menekankan aspek organisasi dan tata kelola Badan PDP, serta tidak membahas secara spesifik transfer data pribadi lintas batas.
Terlepas dari pengaturan umum mengenai peran dan tanggung jawab Badan PDP dalam pelaksanaan UU PDP, Raperpres Badan PDP ini belum memuat pengaturan yang spesifik dan komprehensif untuk menjawab persoalan praktis yang dihadapi pelaku usaha dalam transfer data pribadi lintas batas.
Ketidakpastian Regulasi dan Tantangan Praktis dalam Transfer Data Pribadi Lintas Batas
UU PDP telah menetapkan persyaratan yang memperbolehkan transfer data pribadi ke luar Indonesia yaitu: (a) negara penerima harus memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari UU PDP (Adequate Level of Protection); (b) jika tidak terdapat Adequate Level of Protection, harus tersedia pelindungan data pribadi yang mengikat dan memadai (Appropriate Safeguards); dan (c) jika tidak terdapat Adequate Level of Protection maupun Appropriate Safeguards, persetujuan subjek data pribadi harus diperoleh untuk transfer data pribadi lintas batas.
Konsep dalam UU PDP secara garis besar diadopsi dari ketentuan EU General Data Protection Regulation (EU GDPR) dan memungkinkan transfer data pribadi lintas batas secara terpadu, karena tidak diperlukan persetujuan khusus atau otorisasi dari subjek data pribadi, sepanjang persyaratan Adequate Level of Protection dan Appropriate Safeguards terpenuhi. EU GDPR secara komprehensif mengatur elemen dan prosedur untuk menilai serta menerapkan Adequate Level of Protection, dan menetapkan pedoman mengenai Appropriate Safeguards, antara lain melalui instrumen yang mengikat secara hukum (legally binding instruments) dan klausul pelindungan data standar (standard data protection clauses).
Di sisi lain, Indonesia sayangnya belum mengatur lebih terperinci mengenai transfer data pribadi lintas batas dalam UU PDP dan mengamanatkan hal tersebut diatur dalam peraturan pelaksana UU PDP. Dalam kurun tiga tahun sejak berlakunya UU PDP, peraturan pelaksana yang dimaksud untuk menetapkan pengaturan lebih komprehensif, termasuk terkait Adequate Level of Protection dan Appropriate Safeguards dalam transfer data pribadi lintas batas, masih belum tersedia dan arah pengaturannya belum jelas.
Selain itu, ketiadaan ketentuan serupa dalam Raperpres Badan PDP patut disayangkan, mengingat tingginya urgensi dan kepentingan pelindungan data pribadi dalam transaksi barang dan jasa di era ekonomi digital saat ini. Ketiadaan regulasi ini memunculkan pertanyaan dari pelaku usaha, mengenai bagaimana UU PDP dan otoritas di Indonesia menilai, menetapkan, dan memastikan keberlakuan Adequate Level of Protection maupun Appropriate Safeguards dalam transfer data pribadi lintas batas. Bagi subjek data pribadi, ketidakpastian regulasi ini berarti meningkatnya kerentanan dan risiko terhadap pelindungan data pribadi.
Sampai dengan ditetapkannya peraturan pelaksana UU PDP, pelaku usaha saat ini melakukan transfer data pribadi lintas batas dengan cara memperoleh persetujuan dari subjek data pribadi sebagai solusi praktis yang tetap patuh. Kendati demikian, solusi ini bersifat sementara, karena ide awal penetapan Adequate Level of Protection dan Appropriate Safeguards dalam UU PDP adalah memungkinkan transfer data pribadi lintas batas secara terpadu tanpa persetujuan subjek data pribadi.
Penutup
Raperpres Badan PDP masih belum sepenuhnya menjawab ketidakpastian terkait transfer data pribadi lintas batas. Sehubungan dengan hal tersebut, Pemerintah perlu bertindak cepat dan tegas untuk merampungkan Raperpres Badan PDP serta mengakomodasi kewenangan komprehensif Badan PDP dalam merumuskan kebijakan pelaksanaan UU PDP, khususnya terkait transfer data pribadi lintas batas, baik melalui Raperpres Badan PDP maupun peraturan pelaksana lainnya.
*) Rafi Natapradja, S.H., Konsultan Hukum di Anderson Mori & Tomotsune
Artikel Opini ini adalah tulisan pribadi Penulis, isinya tidak mewakili pandangan/sikap Redaksi Hukumonline
