Kurator sebagai otoritas yang melaksanakan pengurusan dan pemberesan harta pailit pada perusahaan yang mengalami kebangkrutan seringkali dalam pelaksanaan tugasnya mengharuskan mengakses data pribadi yang dimiliki/dikelola Debitor, seperti data pribadi organ perusahaan, karyawan, pelanggan, dan lainnya. Saat ini, Undang-Undang Nomor 37 Tahun 2004 tentang Kepailitan dan Penundaan Kewajiban Pembayaran Utang (UU Kepailitan dan PKPU) dan Keputusan Ketua Mahkamah Agung Republik Indonesia Nomor: 109/KMA/SK/IV/2020 tentang Pemberlakuan Buku Pedoman Penyelesaian Perkara Kepailitan dan PKPU, belum secara eksplisit mengatur tanggung jawab dan peran Kurator terhadap pelindungan data pribadi pada perusahaan yang pailit.
Berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), jika Debitor pailit merupakan perusahaan, maka merujuk pada Pasal 1 angka (4) UU PDP, Debitor dapat diklasifikasikan sebagai pengendali data pribadi yang memiliki tanggung jawab hukum sesuai UU PDP. Untuk itu, apabila perusahaan tersebut pailit, bagaimana tanggung jawab hukumnya? Hal ini mengingat sebagaimana ketentuan Pasal 24 UU Kepailitan, sejak tanggal putusan pailit diucapkan maka Debitor kehilangan haknya untuk mengendalikan kekayaannya.
Hubungan Data Pribadi dengan Harta Pailit
Kepailitan merupakan sita umum atas semua kekayaan Debitor yang pengurusan dan pemberesannya dilakukan oleh Kurator di bawah pengawasan Hakim Pengawas. Kekayaan Debitor atau lazim disebut sebagai “harta pailit” atau “boedel pailit” meliputi seluruh kekayaan Debitor pada saat putusan pailit diucapkan serta segala sesuatu yang diperoleh selama kepailitan sebagaimana Pasal 21 UU Kepailitan. Berdasarkan penafsiran Pasal 21 juncto Pasal 24 UU Kepailitan yang dihubungkan dengan asas sita umum (universe sita) dalam konteks kekayaan, dimaknai secara luas bahwa seluruh hak dan kewajiban yang memiliki nilai ekonomis dapat dieksekusi untuk pelunasan utang, sehingga seluruh hak kebendaan atau hak-hak lain yang dimiliki Debitor dan memiliki nilai ekonomis pada prinsipnya dapat masuk ke dalam harta pailit/boedel pailit.
Dalam rezim pelindungan data pribadi, ketentuan Pasal 1 angka (1) UU PDP menetapkan bahwa data pribadi merupakan data tentang orang perorangan yang teridentifikasi, atau dapat diidentifikasi, baik secara langsung maupun tidak langsung melalui sistem elektronik atau non elektronik dan disebut sebagai subjek data pribadi. Data pribadi secara garis besar dibagi menjadi dua yaitu data pribadi bersifat spesifik (data kesehatan, biometrik, genetika, catatan kejahatan, data anak, keuangan pribadi) dan data pribadi bersifat umum (nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan). Terhadap data pribadi tersebut, menurut Pasal 5 UU PDP setiap subjek data pribadi memiliki hak mendapatkan informasi tentang tujuan permintaan dan penggunaan data pribadi maupun akuntabilitas pihak yang meminta data pribadi.
Mempertimbangkan dalam proses kepailitan hak atas harta pailit milik Debitor telah berpindah kepada Kurator sebagaimana mandat UU Kepailitan. Di satu sisi, UU Kepailitan cenderung memaknai harta pailit hanya aset-aset yang memiliki nilai ekonomis secara jelas, seperti bangunan, tanah, atau hak kekayaan intelektual. Sementara UU PDP juga tidak secara tegas menyatakan bahwa data pribadi sebagai aset kebendaan yang bernilai ekonomis. Namun, dalam realita era digital saat ini, data pribadi merupakan aset yang cukup bernilai tinggi dan menjadi salah satu objek transaksi atau alat tukar dalam perdagangan melalui aktivitas transfer data pribadi yang dilakukan oleh antar perusahaan untuk berbagai tujuan atau kepentingan.
Quo Vadis Tanggung Jawab dan Peran Kurator Terhadap Pelindungan Data Pribadi
Berdasarkan hasil penelusuran hingga saat ini, kebocoran data pribadi ataupun penyalahgunaan data pribadi yang dialami perusahaan pailit memang belum ditemukan kasusnya di Indonesia. Namun, potensi terjadinya kebocoran ataupun penyalahgunaan data pribadi terhadap perusahaan pada masa kepailitan tetap dapat terjadi, khususnya terhadap perusahaan teknologi yang biasanya memproses dan menyimpan data pribadi dengan jumlah besar. Meskipun Indonesia saat ini telah memiliki UU PDP, tetapi pengaturan terhadap pelindungan data pribadi pada masa kepailitan masih memerlukan kejelasan terkait tanggung jawab dan peran Kurator mengenai tata kelola dan pelindungan data pribadi terhadap perusahaan yang statusnya pailit.
Dalam proses kepailitan sendiri, Kurator biasanya menggunakan data pribadi yang dikelola atau dimiliki oleh Debitor untuk mendukung aktivitas pemberesan harta pailit, seperti inventarisasi, identifikasi, verifikasi, maupun eksekusi. Meskipun ketentuan Pasal 69 ayat (2) huruf a UU Kepailitan cenderung memberikan kewenangan dan tugas yang luas kepada Kurator, tetapi untuk penggunaan atau pengungkapan data pribadi yang terdapat pada Debitor, hendaknya Kurator sebagai otoritas yang mengendalikan perusahaan saat pailit wajib patuh terhadap UU PDP. Kepatuhan hukum tersebut wajib diwujudkan mengingat setiap perusahaan yang pailit masih memiliki kesempatan untuk menjalankan usahanya kembali sebagaimana asas going concern dalam UU Kepailitan.
