Dalam pernyataan bersama AS-RI Kerangka Kerja Perjanjian Perdagangan Resiprokal dan lembar fakta (fact sheet) yang dirilis Gedung Putih pada awal minggu ini, Indonesia akan memberikan kepastian mengenai kemampuan memindahkan data pribadi dari wilayahnya ke Amerika Serikat (AS) melalui pengakuan Amerika Serikat sebagai negara atau yurisdiksi yang menyediakan pelindungan data yang memadai berdasarkan hukum Indonesia. Joint Statement On Framework For United States-Indonesia Agreement On Reciprocal Trade (27/7/2025), memuat Key terms of the Agreement on Reciprocal Trade between the United States and Indonesia antara lain adalah “Indonesia has committed to address barriers impacting digital trade, services, and investment. Indonesia will provide certainty regarding the ability to transfer personal data out of its territory to the United States.”
Perdagangan global telah menjelma menjadi platform kolonialisme digital yang mengancam kedaulatan digital suatu negara dan bangsa. Situasi ini ditandai oleh begitu masifnya aplikasi Kecerdasan Artifisial (Artificial Intelligence/AI) dan media sosial yang banyak digunakan oleh individu, komunitas, korporasi, dan institusi. Digitalisasi merupakan tulang punggung utama umat manusia untuk menjalani kehidupan yang produktif sekaligus atraktif. Datanomic menjadi fenomena global, ketika para penyedia aplikasi digital melakukan kegiatan pengumpulan data (data collecting); penelisikan data (data crawling); dan analisis perilaku interaksi data (data behavior analyzing) dari seluruh pengguna platform aplikasi. Data pribadi dari pengguna aplikasinya kemudian dimonetisasi menjadi keuntungan korporasi dan daya tarik bagi investor. Apakah benar telah terjadi pelanggaran UU Pelindungan Data Pribadi (UU PDP) yang berdampak kepada kedaulatan digital Indonesia. Bagaimana kebijakan dan regulasi pelindungan data pribadi di Amerika. Mengapa perdagangan global sangat dipengaruhi oleh perdagangan digital, sehingga Presiden Trump menggedor dengan kekuatan tarif melalui instrumen Technology Jurisprudence?
Kebijakan dan Regulasi Transfer Data Pribadi yang Diproses di Amerika
Meskipun Amerika Serikat adalah mitra penting dalam ekosistem digital global, model pelindungan data yang terfragmentasi (regulasi pemerintahan federal dan regulasi negara bagian) menimbulkan kekhawatiran signifikan bagi negara-negara yang memiliki undang-undang pelindungan data pribadi yang ketat seperti UU PDP di Indonesia atau The General Data Protection Regulation (GDPR) di Uni Eropa. Kekhawatiran ini berpusat pada "kecukupan pelindungan" data pada saat data pribadi warga negara lain diproses di Amerika Serikat.
Pertama, pelindungan yang tidak konsisten (fragmentasi hukum) dimana UU PDP (Indonesia) & GDPR (Uni Eropa) adalah kerangka kerja yang komprehensif, mengatur semua aspek pengumpulan, pemrosesan, penyimpanan, dan transfer data pribadi lintas sektor. UU PDP dan GDPR menetapkan hak-hak subjek data yang kuat, kewajiban yang jelas bagi pengendali dan prosesor data, serta sanksi yang berat jika terjadi pelanggaran. Sementara Amerika tidak ada satu undang-undang Federal yang setara dengan UU PDP & GDPR. Pelindungan data tergantung pada jenis data (kesehatan, keuangan, anak-anak), atau sektor industri, atau bahkan Negara Bagian tempat data pribadi diproses. Sehingga data yang sama yang dilindungi secara ketat di Indonesia atau Eropa mungkin tidak menikmati tingkat perlindungan yang sama atau hak yang sama di Amerika. Terutama jika data pribadi dimaksud tidak termasuk dalam lingkup undang-undang sektoral Federal atau tidak berada di Negara Bagian dengan undang-undang privasi komprehensif.
Kedua, terbatasnya Hak Subjek Data yang universaldimana UU PDP & GDPR telah menjamin hak-hak universal yang dimiliki oleh Subjek Data Pribadi yaitu hak untuk akses, perbaikan, penghapusan, pembatasan pemrosesan, dan portabilitas data secara universal untuk semua data pribadi. Sedangkan di Amerika hak-hak subjek data universal dimaksud hanya tersedia di Negara Bagian California dan Negara Bagian Virginia atau untuk jenis data tertentu. Jika data pribadi seorang WNI diproses di AS di negara bagian yang tidak memiliki legislasi pelindungan data pribadi yang komprehensif, maka hak-hak yang dijamin oleh UU PDP mungkin tidak dapat ditegakkan di yurisdiksi AS tersebut.
Ketiga, akses Pemerintah Amerika Serikat terhadap Data Digital. Keniscayaan terbesar adalah kemampuan Pemerintah Amerika untuk mengakses data pribadi berbasis digital yang disimpan di teritori Amerika melalui undang-undang seperti Foreign Intelligence Surveillance Act (FISA) atau CLOUD Act. Undang-undang ini memungkinkan otoritas Amerika untuk meminta data dari penyedia layanan platform digital atau perusahaan di Amerika, bahkan jika data digital tersebut milik warga negara non-Amerika dan disimpan di luar wilayah Amerika. Khususnya untuk negara-negara Indonesia dan Uni Eropa, ini menimbulkan pertanyaan serius tentang apakah data pribadi warganya aman dari pengawasan tanpa jaminan pelindungan yang setara dengan yang ada di negara asal data.
Keempat, prosedur dan mekanisme Transfer Data Internasional. Untuk transfer data ke luar Uni Eropa, GDPR mensyaratkan adanya "keputusan kecukupan" (adequacy decision) dari Komisi Eropa, atau penggunaan "mekanisme transfer yang sesuai" seperti Klausul Kontrak Standar (Standard Contractual Clauses/SCCs) atau aturan perusahaan yang mengikat (Binding Corporate Rules/BCRs). Keputusan kecukupan dipahami bahwa Komisi Eropa menilai suatu negara tujuan menawarkan tingkat pelindungan data pribadi yang setara dengan ketentuan-ketentuan GDPR. UU PDP memiliki kemiripan semangat dan ketentuan dengan GDPR yaitu memerlukan jaminan kecukupan pelindungan di negara tujuan atau melalui mekanisme lain yang sah. Amerika yang tidak memiliki undang-undang Federal yang komprehensif memunculkan tantangan dalam kerangka transfer data pribadi seperti Privacy Shield (yang dinyatakan tidak valid) dan mendorong penggunaan SCCs, meskipun SCCs sendiri menghadapi pengawasan ketat terkait kekhawatiran akses Pemerintah Amerika.
