Scan Retina Mata, Apakah Melanggar Pelindungan Data Pribadi?

PERTANYAAN

Belakangan viral mengenai berita warga daerah tertentu di Indonesia ramai mengantrescanretina mata demi uang. Kegiatan itu diselenggarakan oleh perusahaan aplikasi yang memberikan imbalan sejumlah uang bagi sukarelawan yang mau melakukanscanretina. Pertanyaan saya, apakah hal tersebut melanggar aturan data pribadi? Bisakah perusahaan dikenai sanksi?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel dibawah ini adalah pemutakhiran dari artikel dengan judul sama yang dibuat oleh Tiara Amanda Putri, S.H. dan pertama kali dipublikasikan pada 7 Mei 2025.

KLINIK TERKAIT

Tanggung Jawab Pemerintah atas Kebocoran Data Pribadi

05 Okt, 2026

Perbedaan Pengendali dan Prosesor Data Pribadi dalam UU PDP

23 Sep, 2026

Bolehkah Bank Memberikan Informasi Data Nasabah kepada Asuransi?

29 Jan, 2025

Data Dicuri Akibat Malware, User Bisa Gugat E-Commerce

09 Okt, 2024

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Retina Mata sebagai Data Biometrik

Pemindaian atau scan retina mata digolongkan sebagai bentuk pengenalan biometrik (biometric recognition) yang merupakan identifikasi otomatis terhadap seseorang berdasarkan anatomi atau karakteristik perilaku atau sifat-sifat (traits) tertentu.[1]

Dalam pengertian lain, identifikasi biometrik merupakan cara untuk mengukur secara objektif karakteristik fisik tertentu dari individu. Ketika data biometrik dari sejumlah orang disimpan dalam sebuah basis data, informasi tersebut dapat digunakan untuk memverifikasi identitas masing-masing individu dalam kelompok tersebut.[2]

Penggunaan biometrik dalam bidang teknologi salah satunya untuk keamanan data, karena data biometrik masing-masing individu khususnya retina mata sangat khas atau unik.[3]

Di Indonesia, perlindungan terhadap data biometrik telah diatur dalam UU PDP dan peraturan pelaksananya PP 33/2026. Dalam Pasal 4 ayat (2) huruf b UU PDP, ditegaskan bahwa salah satu bentuk data pribadi yang bersifat spesifik adalah data biometrik.

Adapun, yang dimaksud dengan data biometrik dalam UU PDP adalah data yang berkaitan dengan fisik, fisiologis, atau karakteristik perilaku individu yang memungkinkan identifikasi unik terhadap individu, seperti gambar wajah atau data daktiloskopi. Data biometric juga menjelaskan pada sifat keunikan dan/atau karakteristik seseorang yang harus dijaga dan dirawat, termasuk namun tidak terbatas pada rekam sidik jari, retina mata, dan sampel DNA.[4]

Hak Subjek Data Pribadi

Warga yang mengikuti scan retina mata tergolong sebagai subjek data pribadi. Masing-masing subjek data pribadi memiliki hak-hak yang dilindungi hukum sebagaimana diatur dalam Pasal 5 s.d. Pasal 13 UU PDP, sebagai berikut:

1. Hak untuk mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, dan akuntabilitas pihak yang meminta data pribadi;
2. Hak untuk melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi tentang dirinya sesuai dengan tujuan pemrosesan data pribadi;
3. Hak untuk mengakses dan memperoleh salinan data pribadi tentang dirinya;
4. Hak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan;
5. Hak untuk menarik kembali persetujuan pemrosesan data pribadi tentang dirinya yang telah diberikan kepada pengendali data pribadi;
6. Hak untuk mengajukan keberatan atas pengambilan keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan terhadap dirinya;
7. Hak untuk menunda atau membatasi pemrosesan data pribadi secara proporsional sesuai dengan tujuan pemrosesan data pribadi;
8. Hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya;
9. Hak untuk mendapatkan dan/atau menggunakan data pribadinya dari pengendali data pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik;
10. Hak untuk menggunakan dan mengirimkan data pribadinya ke pengendali data pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman.

Potensi Pelanggaran Data Pribadi dalam Scan Retina Mata

Scan retina mata yang dilakukan oleh perusahaan selaku pengendali data pribadi termasuk pemrosesan data pribadi, yang meliputi pemerolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, dan sebagainya.[5]

Pemrosesan data pribadi tersebut harus memenuhi prinsip-prinsip sebagaimana diatur dalam Pasal 16 ayat (2) UU PDP sebagai berikut:

1. Dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan;
2. Dilakukan sesuai dengan tujuannya;
3. Dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan;
4. Dilakukan dengan melindungi keamanan data pribadi dari pengaksesan, pengungkapan, pengubahan yang tidak sah, serta penyalahgunaan, perusakan, dan/atau penghilangan data pribadi;
5. Dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan data pribadi;
6. Pemusnahan dan/atau penghapusan data pribadi setelah masa retensi berakhir atau berdasarkan permintaan subjek data pribadi, kecuali ditentukan lain oleh hukum; dan
7. Dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas.

Selanjutnya, pengendali data pribadi dalam melakukan pemrosesan data pribadi wajib untuk memiliki dasar pemrosesan data pribadi terlebih dahulu.[6] Adapun dasar pemrosesan data pribadi meliputi:[7]

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

Melihat dari uraian di atas, bahwa salah satu dari dasar pemrosesan data pribadi adalah persetujuan yang sah secara eksplisit dari subjek data pribadi. Untuk mendapatkan persetujuan dari warga untuk melakukan scan retina mata, maka perusahaan wajib menyampaikan informasi mengenai:[8]

1. legalitas dari pemrosesan data pribadi;
2. tujuan pemrosesan data pribadi;
3. jenis dan relevansi data pribadi yang diproses;
4. jangka waktu retensi dokumen;
5. rincian mengenai informasi yang dikumpulkan;
6. jangka waktu pemrosesan data pribadi; dan
7. hak subjek data pribadi.

Kemudian, persetujuan pemrosesan data pribadi dilakukan melalui persetujuan tertulis dan terekam yang disampaikan secara elektronik atau nonelektronik.[9] Selain itu, persetujuan harus diperoleh secara bebas, sadar, spesifik, dan tidak ambigu.[10]

Dengan demikian, menjawab pertanyaan Anda, praktik scan retina mata dengan imbalan uang oleh perusahaan aplikasi harus sesuai dengan prinsip-prinsip pemrosesan, memenuhi hak subjek data pribadi serta berdasar pada dasar pemrosesan data pribadi, salah satunya persetujuan yang sah secara eksplisit dari subjek data pribadi.

Apabila ketentuan yang sudah diuraikan di atas diabaikan oleh perusahaan yang melakukan scan retina. Maka, terdapat sanksi berupa sanksi administratif dan pidana yang dapat dikenakan.

Sanksi Jika Melakukan Pemrosesan yang Tidak Sah

Pihak yang memproses data biometrik retina mata secara melawan hukum yaitu tidak mematuhi ketentuan dalam UU PDP yang kami jelaskan di atas, dikenai sanksi administratif sebagaimana diatur dalam Pasal 57 ayat (2) UU PDP meliputi:

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif hingga 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[11]

Selain sanksi administratif, perusahaan yang melakukan scan retina secara melawan hukum telah melanggar ketentuan Pasal 65 ayat (1) UU PDP, sebagai berikut:

Setiap orang dilarang secara melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.

Pelanggaran atas pasal diatas dapat dipidana dengan pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV,[12] yaitu sebesar Rp200 juta.[13] Selain dijatuhi sanksi pidana tersebut, pelaku juga dapat dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana dan pembayaran ganti kerugian.[14]

Jika tindak pidana dilakukan oleh korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi. Terhadap korporasi dapat dijatuhkan pidana denda paling banyak 10 kali dari maksimal pidana denda yang diancamkan. Selain pidana denda, korporasi juga bisa dijatuhi pidana tambahan berupa:[15]

1. perampasan keuntungan dan/atau harta kekayaan yang diperoleh dari hasil tindak pidana;
2. pembekuan seluruh atau sebagian usaha korporasi;
3. pelarangan permanen melakukan perbuatan tertentu;
4. penutupan seluruh atau sebagian tempat usaha/kegiatan korporasi;
5. melaksanakan kewajiban yang telah dilalaikan;
6. pembayaran ganti kerugian;
7. pencabutan izin; dan/atau
8. pembubaran korporasi.

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
2. Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana;
3. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana;
4. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Referensi:

1. Erwin G. Kristanto dkk. Identifikasi Iris Opsi: Identifikasi Biometrik. Jurnal Biomedik (JBM), Vol. 5, No. 3, 2013;
2. Fahreddin Sadikoglu dan Selin Uzelaltinbulat. Biometric Retina Identification Based on Neural Network. Procedia Computer Science 102 (2016).

---

[1] Fahreddin Sadikoglu dan Selin Uzelaltinbulat. Biometric Retina Identification Based on Neural Network. Procedia Computer Science 102 (2016), hal. 26-27

[2] Erwin G. Kristanto dkk. Identifikasi Iris Opsi: Identifikasi Biometrik. Jurnal Biomedik (JBM), Vol. 5, No. 3, November 2013, hal. S7–S11

[3] Fahreddin Sadikoglu dan Selin Uzelaltinbulat. Biometric Retina Identification Based on Neural Network. Procedia Computer Science 102 (2016), hal. 27

[4] Penjelasan Pasal 4 ayat (2) huruf b Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)

[5] Pasal 16 ayat (1) UU PDP

[6] Pasal 30 ayat (1) dan (2) Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)

[7] Pasal 20 ayat (2) UU PDP

[8] Pasal 21 ayat (1) UU PDP

[9] Pasal 22 ayat (1) dan (2) UU PDP

[10] Pasal 32 ayat (2) PP 33/2026

[11] Pasal 57 ayat (3) UU PDP

[12] Pasal 67 ayat (1) UU PDP jo. Pasal II ayat (5) Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana (“UU 1/2026”)

[13] Pasal 79 ayat (1) huruf d Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

[14] Pasal 69 UU PDP

[15] Pasal 70 UU PDP