Latar Belakang

Dijuluki sebagai ekonomi digital terbesar di antara negara-negara Asia Tenggara,[1] Indonesia telah menunjukkan pertumbuhan ekonomi digital yang signifikan dalam tiga tahun terakhir, dari sebelumnya US$ 40 miliar pada 2019 menjadi US$ 70 miliar pada 2021.[2] Dengan peningkatan internet di Indonesia sebesar 20% sejak munculnya pandemi Coronavirus Disease 2019 (COVID-19), Pemerintah Indonesia semakin optimis bahwa ekonomi digital dapat berkontribusi hingga US$ 150 miliar terhadap pertumbuhan ekonomi Indonesia pada tahun 2025.[3]

Pertumbuhan ekonomi digital Indonesia itu sendiri bergantung pada berbagai aspek lainnya, termasuk aspek perlindungan konsumen. Dalam hal ini, pemerintah Indonesia juga telah menegaskan bahwa perkembangan ekonomi digital negara harus selalu memperhatikan perlindungan konsumen,[4] karena perlindungan konsumen mempengaruhi tingkat kepercayaan mereka dalam bertransaksi.[5]

Perlindungan konsumen dalam ekonomi digital melibatkan berbagai isu.[6] Perlindungan data pribadi merupakan salah satu masalah di Indonesia yang harus segera diselesaikan karena jumlah kasus terkait data pribadi terus meningkat, sementara peraturan perundang-undangan yang membahas masalah ini masih tersebar di berbagai sektor dan berada di bawah berbagai otoritas. Hal ini dapat menyebabkan kebingungan dan upaya yang kurang fokus dalam memberikan perlindungan data pribadi bagi konsumen.[7]

Pemerintah Indonesia telah berusaha menyelesaikan masalah tersebut dengan mempersiapkan Rancangan Undang-Undang tentang Perlindungan Data Pribadi (“RUU PDP”), yang disusun dengan mengacu pada European Union’s General Data Protection Regulation (“GDPR”),[8] sebuah kerangka hukum yang dianggap sebagai instrumen paling modern dan komprehensif tentang perlindungan data pribadi sehingga sampai saat ini telah dirujuk oleh banyak negara lain dalam menetapkan undang-undang perlindungan data pribadi mereka sendiri.[9] Apabila disahkan sebagai undang-undang, RUU PDP akan menjadi kerangka peraturan utama yang secara spesifik dan komprehensif membahas perlindungan data pribadi di Indonesia, sehingga RUU ini dapat menghilangkan kebingungan dan mendorong pengawasan dan penegakan hukum yang lebih baik pada bidang ini.[10] Pada akhirnya, pengesahan RUU PDP diharapkan dapat meningkatkan perlindungan terhadap data konsumen dalam ekonomi digital.[11]

Namun hingga tulisan ini dibuat, RUU PDP masih dalam tahap pembahasan oleh DPR RI yang mana oleh Kementerian Komunikasi dan Informatika ditargetkan untuk diundangkan pada semester kedua tahun 2022.[12] Sementara itu, konsumen saat ini masih mengandalkan berbagai peraturan-peraturan berbeda yang telah ada untuk perlindungan data pribadinya, yang mungkin dapat menimbulkan masalah serius karena faktor ketidakpastian kerangka perlindungan data mana yang dapat diterapkan. Terhadap latar belakang tersebut, tulisan ini dibuat melalui perspektif konsumen dengan harapan dapat membantu mereka untuk memahami kerangka peraturan yang telah ada serta praktik terbaik untuk melindungi data pribadi mereka.

Data Pribadi: Definisi dan Ruang Lingkup

Untuk dapat melindungi data pribadinya, konsumen terlebih dahulu harus memahami definisi data pribadi serta ruang lingkup data yang dianggap sebagai data pribadi. Seperti disebutkan sebelumnya, perlindungan data pribadi saat ini diatur dalam berbagai peraturan perundang-undangan secara sektoral. Tabel di bawah ini menguraikan beberapa sektor dan peraturan terkait yang membahas definisi dan ruang lingkup data pribadi:

Sektor	Peraturan	Definisi dan Ruang Lingkup
Telekomunikasi dan Informatika	Undang-Undang No.11 tahun 2008tentang Informasi dan Transaksi Elektronik dan perubahannya (secara kolektif disebut sebagai “UU ITE”)	UU ITE tidak memberikan definisi data pribadi. Namun, UU ITE mewajibkan penggunaan informasi melalui media elektronik yang berkaitan dengan data pribadi seseorang dilakukan dengan persetujuan yang bersangkutan, kecuali ditentukan lain oleh peraturan perundang-undangan.[13]
	Peraturan Pemerintah No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (“PP 71/2019”)	Data pribadi adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui Sistem Elektronik dan/atau nonelektronik.[14]
	Peraturan Menteri Komunikasi dan Informatika No. 20 Tahun 2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik (“Permenkominfo 20/2016”)	Data pribadi adalah data perseorangan tertentu yang disimpan, dirawat, dan dijaga kebenaran serta dilindungi kerahasiaannya.[15] Sedangkan data perseorangan tertentu adalah setiap keterangan yang benar dan nyata yang melekat dan dapat diidentifikasi, baik langsung maupun tidak langsung, pada masing-masing individu yang pemanfaatannya sesuai ketentuan peraturan perundang-undangan.[16]
	Undang-Undang No. 14 tahun 2008tentang Keterbukaan Informasi Publik (“UU 14/2008”)	UU 14/2008 juga tidak secara eksplisit mendefinisikan data pribadi. Namun, UU 14/2008 melarang badan publik (yaitu lembaga eksekutif, legislatif, dan yudikatif, serta lembaga lain yang tugas dan fungsinya berkaitan dengan penyelenggaraan urusan negara) untuk memberikan informasi yang berkaitan dengan hak-hak pribadi.[17] Selain itu, UU 14/2008 juga menyatakan bahwa badan publik wajib memberikan informasi publik bagi warga negara Indonesia dan/atau badan hukum yang meminta informasi tersebut, kecuali:[18] informasi publik yang apabila diberikan dapat mengungkapkan isi akta otentik yang bersifat pribadi dan wasiat seseorang; dan Informasi publik yang apabila diberikan dapat mengungkapkan informasi pribadi berikut: Riwayat dan kondisi anggota keluarga; Riwayat kesehatan seseorang; Aset kondisi keuangan, pendapatan dan rincian rekening bank seseorang; Hasil penilaian kemampuan fisik dan/atau kecerdasan seseorang; dan Catatan yang berkaitan dengan pendidikan formal atau nonformal seseorang.
Jasa Keuangan	Undang-Undang No. 7 tahun 1992 tentang Perbankan, dan perubahannya[19] (secara kolektif disebut sebagai “UU 7/1992”)	Bank dan pihak terafiliasinya wajib menjaga kerahasiaan informasi mengenai nasabah penyimpan dan tabungannya, kecuali informasi tersebut diperlukan untuk tujuan tertentu yang diatur dalam UU 7/1992 (contohnya untuk perpajakan; proses pidana atau gugatan perdata antara bank dengan pelanggan).[20]
	Undang-Undang No. 21 tahun 2008tentang Perbankan Syariah dan perubahannya(secara kolektif disebut sebagai “UU 21/2008”)	Bank syariah dan pihak terafiliasinya wajib menjaga kerahasiaan informasi mengenai nasabah penyimpan dan tabungannya, serta nasabah investasi dan investasinya.[21] Namun, seperti halnya UU 7/1992, UU 21/2008 juga mengizinkan pengungkapan informasi untuk tujuan tertentu (misalnya penyidikan tindak pidana perpajakan; proses perkara tindak pidana atau gugatan perdata antara bank dengan nasabah).[22]
	Peraturan Otoritas Jasa Keuangan (OJK) No.1/POJK.07/2013tentang Perlindungan Konsumen Sektor Jasa Keuangan (“POJK 1/2013”) dan Surat Edaran OJK No.14/SEOJK.07/2014 tentang Kerahasiaan dan Keamanan Data dan/atau Informasi Pribadi Konsumen (“SEOJK 14/2014”)	POJK 1/2013 menyatakan bahwa perlindungan konsumen mencakup penerapan prinsip keamanan dan kerahasiaan informasi/data konsumen.[23] Pelaku usaha di sektor jasa keuangan (misalnya bank, perusahaan sekuritas, perusahaan asuransi, perusahaan pembiayaan, pegadaian)[24] dilarang memberikan data dan/atau informasi konsumennya kepada pihak ketiga, kecuali penyediaan data dan/atau informasi tersebut berdasarkan persetujuan tertulis konsumen dan/atau diwajibkan oleh peraturan perundang-undangan.[25] Persetujuan tertulis juga diperlukan apabila pelaku usaha jasa keuangan bermaksud menggunakan data dan/atau informasi pribadi seseorang atau sekelompok orang yang diperoleh dari pihak lain.[26] Menjabarkan ketentuan dalam POJK 1/2013, SEOJK 14/2014 mengatur bahwa data dan/atau informasi pribadi konsumen meliputi hal-hal berikut:[27] Untuk perorangan: a) Nama; b) Alamat; c) Tanggal lahir dan/atau usia; d) Nomor telepon; dan/atau e) Nama ibu; Untuk korporasi: a) Nama; b) Alamat; c) Nomor telepon; d) daftar dan identitas direksi dan komisaris; dan/atau e) Daftar pemegang saham.
	Peraturan OJK No.77/POJK.01/2016 tentang Layanan Pinjam Meminjam Uang Berbasis Teknologi Informasi (“POJK 77/2016”) dan Surat Edaran OJK No.18/SEOJK.02/2017 tentang Tata Kelola dan Manajemen Risiko Teknologi Informasi Pada Layanan Pinjam Meminjam Uang Berbasis Teknologi Informasi (“SEOJK 18/2017”)	Penyelenggara jasa pinjam meminjam uang berbasis teknologi informasi wajib menjaga kerahasiaan, kelengkapan, dan ketersediaan data pribadi, data transaksi, dan data keuangan yang dikelolanya sejak data tersebut diperoleh sampai dengan dimusnahkan.[28] Kecuali disetujui oleh penggunanya dalam bentuk tertulis dan/atau diwajibkan oleh peraturan perundang-undangan, penyedia layanan dilarang menyebarluaskan data dan informasi pribadi pengguna kepada pihak lain. Data dan informasi tersebut setidaknya mencakupi:[29] Data dan informasi yang dilampirkan dan dapat diidentifikasi dari: a) Perorangan (misalnya nama, nomor telepon, alamat email, nama ibu, tanggal lahir/umur, nomor rekening/kredit, pendidikan/riwayat kerja, biometrik); atau b) Korporasi (misalnya nama, alamat, nomor telepon, daftar direksi/komisaris/pemegang saham, daftar kekayaan dan dokumen perusahaan); Data dan informasi material yang bersifat non-publik (misalnya, laporan keuangan, kinerja usaha); Data dan informasi yang terkait dengan transaksi keuangan dan kontrak/perjanjian.
Perdagangan	Peraturan Pemerintah No. 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik (“PP 80/2019”)	Setiap data pribadi diperlakukan sebagai milik pribadi orang atau pelaku usaha yang bersangkutan.[30] PP 80/2019 juga mewajibkan pelaku usaha untuk menyimpan data pribadi sesuai dengan standar yang berlaku untuk perlindungan data pribadi yang meliputi, antara lain, aturan berikut:[31] Data pribadi harus diperoleh secara jujur dan sah; Data pribadi harus digunakan sesuai dengan tujuan perolehannya; Data pribadi yang diperoleh harus akurat dan terkini; Data pribadi harus diproses sesuai dengan hak pemilik data.
Layanan Kesehatan	Undang-Undang No. 36 tahun 2009tentang Kesehatan dan perubahannya(secara kolektif disebut sebagai “UU 36/2009”)	Setiap orang berhak atas kerahasiaan kondisi medis pribadinya yang diungkapkan kepada penyedia layanan kesehatan.[32]
Layanan Kesehatan	Undang-Undang No. 29 Tahun 2004tentang Praktik Kedokteran (“UU 29/2004”)	Isi rekam medis pasien adalah milik pasien dan kerahasiaan rekam medis harus dijaga oleh dokter, dokter gigi dan pimpinan fasilitas pelayanan kesehatan.[33]

Dengan banyaknya variasi definisi dan ruang lingkup data pribadi, konsumen harus mengetahui jenis data dan informasi yang dilindungi ketika melakukan kegiatan dalam sektor tertentu, karena apa yang merupakan data pribadi dalam satu sektor mungkin tidak berlaku di sektor lain. Namun, terlepas dari perbedaan tersebut, semua peraturan di atas menyetujui bahwa perlindungan data pribadi adalah hak setiap individu yang harus dijaga dan dipelihara dengan baik.

Dibandingkan dengan berbagai definisi dan ruang lingkup data pribadi yang dibahas di atas, RUU PDP mendefinisikan data pribadi sebagai setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik dan/atau nonelektronik. Definisi ini sama dengan definisi dalam PP 71/2019.[34]

Selanjutnya, RUU PDP mengelompokkan data pribadi menjadi dua kelompok, yaitu:[35]

Data pribadi yang bersifat umum, yang meliputi: a) nama lengkap; b) jenis kelamin; c) kewarganegaraan; d) agama; dan/atau e) data pribadi lainnya yang dapat dikombinasikan untuk mengidentifikasi seseorang; dan
Data pribadi yang bersifat spesifik, yang meliputi: a) data dan informasi kesehatan; b) data biometrik; c) data genetika; d) kehidupan/orientasi seksual; e) pandangan politik; f) catatan kejahatan; g) data anak; h) data keuangan pribadi; dan/atau i) data lainnya sesuai dengan peraturan perundang-undangan.

Ketentuan ini menunjukkan bahwa RUU PDP memberikan ruang lingkup data pribadi yang lebih komprehensif dengan mengakomodasi berbagai jenis data yang dicakup di bawah peraturan perundang-undangan yang telah dibahas sebelumnya, sementara juga menambahkan beberapa yang baru (yaitu kehidupan/orientasi seksual, pandangan politik).

Selain hal-hal di atas, penting untuk dicatat bahwa pengaturan perlindungan data pribadi dalam RUU PDP juga berlaku bagi individu atau korporasi, badan publik, dan lembaga/organisasi yang melakukan tindakan hukum yang diatur dalam RUU PDP, baik di Indonesia maupun di luar negeri, dengan ketentuan perbuatan tersebut menimbulkan akibat hukum di wilayah Indonesia atau terhadap warga negara Indonesia (sebagai pemilik data pribadi) yang berdomisili di luar negeri.[36] Ketentuan penerapan ekstrateritorial ini serupa dengan ketentuan yang ditetapkan oleh GDPR, yang mengharuskan GDPR juga berlaku untuk hal berikut:[37]

Pemrosesan data pribadi subjek data yang berada di Uni Eropa oleh pengontrol atau pemroses yang tidak didirikan di Uni Eropa, dengan ketentuan bahwa kegiatan pemrosesan tersebut berkaitan dengan penawaran barang atau jasa atau pemantauan perilaku subjek data yang memerlukan tempat di dalam Uni Eropa; dan
Pemrosesan data pribadi di tempat di mana hukum negara anggota Uni Eropa berlaku, oleh pengontrol yang tidak didirikan di Uni Eropa.

Kerangka peraturan perlindungan data pribadi di Indonesia sebagaimana telah dibahas sebelumnya, saat ini belum mencakup ketentuan penerapan tersebut. Oleh karena itu dapat diasumsikan bahwa perlindungan data pribadi untuk transaksi ekstrateritorial atau lintas batas yang melibatkan konsumen Indonesia masih kurang. Akibatnya, konsumen didorong untuk lebih berhati-hati ketika memberikan data pribadinya kepada pihak asing karena masih kurangnya kendali atas ke mana data yang diberikan itu akan berakhir.

Kewajiban Pelaku Usaha Dalam Pemrosesan Data Pribadi Konsumen

Untuk memahami bagaimana data pribadi dilindungi oleh peraturan perundang-undangan Indonesia, penting untuk mengidentifikasi kewajiban pelaku usaha yang memproses data pribadi. Meskipun data pribadi dapat diproses melalui sistem non-elektronik, kemajuan teknologi informasi telah “memaksa” pelaku usaha untuk menggunakan sistem elektronik dalam menjalankan kegiatannya dan kegiatan tersebut dapat mencakup pemrosesan data pribadi konsumennya.

Pelaku usaha yang menyediakan, mengelola, dan/atau mengoperasikan sistem elektronik, baik secara individu maupun bersama, untuk pengguna sistem elektronik untuk kepentingannya dan/atau kepentingan pihak lain dapat digolongkan sebagai penyelenggara sistem elektronik.[38] Dalam memproses data pribadi, penyelenggara sistem elektronik harus tunduk pada berbagai kewajiban yang diatur dalam peraturan terkait, khususnya PP 71/2019 dan Permenkominfo 20/2016.

Pemrosesan data pribadi itu sendiri mencakup berbagai kegiatan. PP 71/2019 dan Permenkominfo 20/2016 mengatur kegiatan pemrosesan yang serupa dengan sedikit perbedaan, seperti yang ditunjukkan pada tabel berikut:[39]

PP 71/2019	Permenkominfo 20/2016
Perolehan dan pengumpulan
Pengolahan dan penganalisisan
Penyimpanan
Perbaikan dan pembaruan	Tidak diatur
Penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan	Penampilan, pengumuman, pengiriman, penyebarluasan dan/atau pembukaan akses
Penghapusan atau pemusnahan	Pemusnahan

Terlepas dari kegiatannya, PP 71/2019 mengharuskan pemrosesan data pribadi didasarkan pada persetujuan yang sah dari pemilik data pribadi atas tujuan pemrosesan data pribadi yang diinformasikan kepada mereka. Selanjutnya, PP 71/2019 mewajibkan penyedia sistem elektronik untuk melakukan langkah-langkah berikut dalam memproses data pribadi:[40]

Menerapkan prinsip perlindungan data pribadi berikut ketika memproses data pribadi:[41]

a. Pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, adil, dengan sepengetahuan dan persetujuan dari pemilik data pribadi;

b. Pemrosesan data pribadi sesuai dengan tujuannya;

c.Pemrosesan data pribadi dilakukan dengan menjamin hak pemilik data pribadi; d. Pemrosesan data pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dapat dipertanggungjawabkan, dan memperhatikan tujuan pemrosesan data pribadi;

e. Pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari kehilangan, penyalahgunaan, akses dan pengungkapan yang tidak sah, serta pengubahan atau perusakan data pribadi;

f. Pemrosesan data pribadi dilakukan dengan memberitahukan tujuan pengumpulan, kegiatan pemrosesan, dan kegagalan perlindungan data pribadi; dan

g. Pemrosesan data pribadi dimusnahkan dan/atau dihapus, kecuali masih dalam masa retensi sesuai dengan kebutuhan berdasarkan ketentuan peraturan perundang-undangan; dan

Menyampaikan pemberitahuan tertulis kepada pemilik data pribadi jika terjadi kegagalan atas perlindungan data pribadi yang mereka kelola.

Demikian pula, Permenkominfo 20/2016 juga menetapkan prinsip-prinsip perlindungan data pribadi yang baik, sebagai berikut:[42]

Penghormatan data pribadi sebagai privasi, di mana pemilik data pribadi berhak untuk mengklasifikasikan data pribadi mereka sebagai rahasia atau tidak rahasia, kecuali ditentukan lain oleh peraturan perundang-undangan;
Data pribadi bersifat rahasia, sesuai dengan persetujuan dari pemilik data pribadi (yang diberikan setelah pemilik data pribadi mengkonfirmasi keakuratan, status kerahasiaan, dan tujuan pengelolaan data pribadi) dan/atau berdasarkan peraturan perundang-undangan;
Perlindungan data pribadi selama pemrosesan data pribadi didasarkan pada persetujuan dari pemilik data pribadi;
Relevansi dengan tujuan kegiatan pemrosesan data pribadi;
Kelaikan sistem elektronik yang digunakan;
Itikad baik untuk segera menyampaikan secara tertulis kepada pemilik data pribadi atas setiap kegagalan perlindungan data pribadi;
Ketersediaan aturan internal pengelolaan perlindungan data pribadi;
Tanggung jawab terhadap data pribadi yang berada dalam penguasaan pengguna sistem elektronik;
Kemudahan akses dan koreksi terhadap data pribadi oleh pemilik data pribadi; dan
Kelengkapan, keakuratan, keabsahan dan kemutakhiran data pribadi.

Permenkominfo 20/2016 juga mengatur kewajiban penyelenggara sistem elektronik untuk setiap kegiatan pemrosesan data pribadi, sebagaimana diuraikan dalam tabel berikut:

Kegiatan	Kewajiban
Perolehan dan pengumpulan[43]	Kedua kegiatan ini hanya dapat dilakukan setelah memperoleh persetujuan pemilik data pribadi berdasarkan hukum dan/peraturan yang berlaku dan hanya dapat mencakup data pribadi yang relevan dengan tujuan perolehan dan pengumpulannya. Penyelenggara sistem elektronik harus menghormati pemilik data pribadi sehubungan dengan data pribadi pribadinya dengan melengkapi sistem elektroniknya dengan opsi bagi pemilik tersebut untuk menentukan kerahasiaan data pribadinya dan untuk mengubah/menambah/memperbarui data tersebut. Setiap data pribadi yang diterima dan dikumpulkan harus diverifikasi, baik yang diterima dan dikumpulkan langsung dari pemilik data pribadi maupun tidak langsung dari berbagai sumber lainnya. Sistem elektronik yang digunakan untuk kegiatan ini harus memenuhi tingkat interoperabilitas dan kompatibilitas tertentu dan harus menggunakan perangkat lunak yang sah.
Pengolahan dan penganalisisan[44]	Data pribadi hanya dapat diproses dan dianalisis sesuai dengan tujuan yang dinyatakan oleh penyedia sistem elektronik pada saat perolehan dan pengumpulan data pribadi, dengan ketentuan: Penyedia sistem elektronik juga telah memperoleh persetujuan dari pemilik data pribadi sehubungan dengan pemrosesan dan analisis data yang bersangkutan, kecuali jika data tersebut telah ditampilkan atau diumumkan pada sistem elektronik untuk tujuan layanan publik; dan Data telah diverifikasi.
Penyimpanan[45]	Setiap data pribadi yang akan disimpan harus diverifikasi keakuratannya dan harus disimpan sebagai data terenkripsi. Data pribadi harus disimpan dalam sistem elektronik untuk jangka waktu yang ditetapkan berdasarkan peraturan perundang-undangan yang berlaku yang dikeluarkan oleh lembaga pengawas dan pengatur terkait, atau setidaknya selama lima tahun jika peraturan perundang-undangan tersebut tidak tersedia sejak hari terakhir pemilik data digunakan datanya. Jika pemilik data pribadi tidak lagi menggunakan sistem elektronik, penyedia sistem elektronik yang bersangkutan harus menyimpan data pribadi sesuai dengan jangka waktu di atas sejak hari terakhir pemilik data pribadi menggunakan sistem elektronik tersebut. Penyelenggara sistem elektronik untuk layanan publik harus mendirikan pusat data dan pusat pemulihan bencana di Indonesia untuk tujuan perlindungan data pribadi. Setiap penyimpanan data pribadi dalam sistem elektronik harus memenuhi ketentuan fasilitas dan prosedur keamanan sistem elektronik.
Penampilan, pengumuman, pengiriman, penyebarluasan dan/atau pembukaan akses[46]	Kegiatan tersebut dapat dilakukan dengan syarat pihak terkait telah mendapatkan persetujuan dari pemilik data pribadi dan data yang bersangkutan telah diverifikasi. Setiap pengiriman data pribadi dari penyelenggara sistem elektronik dalam negeri ke luar negeri wajib dikoordinasikan melalui Menteri Komunikasi dan Informatika dan/atau pejabat lain yang berwenang serta wajib menerapkan ketentuan terkait pertukaran data pribadi lintas batas. Penyelenggara sistem elektronik wajib memberikan data pribadi yang terdapat dalam sistem elektroniknya kepada aparat penegak hukum apabila data tersebut diperlukan untuk kepentingan penegakan hukum. Setiap pemanfaatan data pribadi yang ditampilkan, diumumkan, diterima, dan disebarluaskan oleh penyelenggara sistem elektronik harus berdasarkan persetujuan dari pemilik data pribadi dan sesuai dengan tujuan kegiatan tersebut.
Pemusnahan[47]	Data pribadi hanya dapat dimusnahkan dari sistem elektronik jika: 1) Jangka waktu penyimpanan telah berakhir; atau 2) Pemilik data pribadi menyampaikan permohonan pemusnahan, kecuali ditentukan lain oleh peraturan perundang-undangan. Setelah mendapat persetujuan dari pemilik data pribadi, pemusnahan dapat dilakukan untuk sebagian atau seluruh data pribadi yang dikelola oleh penyelenggara sistem elektronik, terlepas data tersebut berbentuk elektronik maupun non-elektronik.

Meskipun membahas ketentuan yang serupa dengan GDPR, ketentuan mengenai persetujuan pemilik data pribadi yang terdapat dalam PP 71/2019 dan Permenkominfo 20/2016 tidak selengkap GDPR karena peraturan-peraturan ini tidak mengatur ketentuan mengenai keabsahan persetujuan yang diberikan oleh pemilik data pribadi, yang mempertanyakan soal formulir pernyataan persetujuan yang tepat atau apakah persetujuan tersebut benar-benar diberikan secara cuma-cuma.[[48]](#_ftn48) Lebih lanjut, PP 71/2019 dan Permenkominfo 20/2016 juga tidak mengatur lebih lanjut mengenai jangka waktu bagi penyelenggara sistem elektronik untuk memberitahukan kegagalan perlindungan data pribadi kepada pemilik data pribadi. Nantinya, ketika RUU PDP diundangkan, pihak yang menguasai data pribadi wajib menyampaikan pemberitahuan tersebut dalam waktu 3 x 24 jam.[[49]](#_ftn49) Meskipun RUU PDP nampaknya memberikan rincian yang lebih detail mengenai bagaimana kewajiban harus dilaksanakan, aspek pengawasan terhadapnya mungkin masih terlihat kurang karena RUU PDP versi terbaru memberi wewenang kepada Kementerian Komunikasi dan Informatika sebagai pihak yang bertanggung jawab atas realisasi perlindungan data pribadi di Indonesia dan pengenaan sanksi atas pelanggaran terhadap RUU PDP, bukan badan independen.[[50]](#_ftn50) Pengaturan saat ini dikhawatirkan akan mendorong penyalahgunaan wewenang oleh instansi pemerintah yang ditunjuk yang juga bertindak sebagai pemroses/pengendali data pribadi karena dimungkinkan untuk memanipulasi atau menutupi kegagalan perlindungan data pribadi.[[51]](#_ftn51) ### **Hak Konsumen sebagai Pemilik Data Pribadi** Selain menyadari kewajiban pelaku usaha dalam pemrosesan data pribadi, sebagai pemilik data pribadi, konsumen juga harus mengetahui haknya berdasarkan kerangka peraturan terkait perlindungan data pribadi. Dalam konteks ekonomi digital, konsumen dapat mengacu pada ketentuan Permenkominfo 20/2016 yang mengatur tentang hak konsumen sebagai pemilik data pribadi dalam penyelenggaraan sistem elektronik, sebagai berikut:[[52]](#_ftn52) 1. Kerahasiaan data pribadi; 2. Mengajukan pengaduan kepada Menteri Komunikasi dan Informatika dalam rangka penyelesaian sengketa data pribadi atas kegagalan perlindungan data pribadi oleh penyelenggara sistem elektronik; 3. Mendapatkan akses atau kesempatan untuk mengubah atau memperbarui data pribadi tanpa mengganggu sistem pengelolaan data pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan; 4. Memperoleh akses atau kesempatan untuk memperoleh historis data pribadi yang telah diserahkan kepada penyelenggara sistem elektronik sepanjang tindakan tersebut masih sesuai dengan peraturan perundang-undangan; dan 5. Permohonan pemusnahan data individu tertentu dalam sistem elektronik yang diselenggarakan oleh penyelenggara sistem elektronik, kecuali ditentukan lain oleh peraturan perundang-undangan. Meskipun hak-hak ini memungkinkan konsumen untuk memperoleh privasi dan kontrol pada tingkat tertentu atas data pribadi mereka, hak-hak tersebut masih bisa dibilang kurang dari hak-hak yang diusulkan di dalam RUU PDP atau GDPR. Tabel berikut menjelaskan jenis-jenis hak yang diberikan kepada pemilik data pribadi dalam RUU PDP dibandingkan dengan ketentuan GDPR:

HAK PRIBADI PEMILIK DATA
No.	RUU PDP	GDPR
1	Hak untuk Meminta Informasi: mengizinkan pemilik data pribadi untuk meminta informasi yang berkaitan dengan identitas dan tujuan mendasar di balik perolehan dan pemanfaatan data pribadi mereka.[53] Satu perbedaan utama dengan hak untuk meminta informasi seperti yang ditampilkan dalam RUU PDP adalah bahwa GDPR mengharuskan pengendali data untuk memberikan informasi yang ditentukan kepada pemilik data saat data pribadi dikumpulkan, sedangkan RUU PDP mengharuskan pemilik data pribadi untuk terlebih dahulu meminta informasi ke pengendali data sehingga memerlukan pertimbangan aktif dari pemilik data pribadi.	Hak untuk Diinformasikan: memungkinkan individu mengetahui data pribadi apa yang dikumpulkan, mengapa dan siapa yang mengumpulkan data, berapa lama akan disimpan, dan dengan siapa data tersebut akan dibagikan.[54] Hak ini pada dasarnya memberikan transparansi dalam proses pendataan konsumen.
2	Hak Akses: memungkinkan pemilik data pribadi untuk mengakses data pribadinya sesuai dengan peraturan perundang-undangan.[55] Berbeda dengan ketentuan GDPR yang merinci data yang dapat disediakan, RUU PDP memilih rumusan yang bersifat catch-all yang mencakup semua ruang lingkup data pribadi yang disediakan dalam RUU PDP.	Hak Akses: memungkinkan individu untuk mengirimkan permintaan akses subjek dan memperoleh informasi dari pengendali terkait tentang apakah informasi pribadi mereka sedang diproses.[56]
3	Hak atas Pengisian Data: memungkinkan pemilik data pribadi untuk melengkapi data pribadinya sebelum data tersebut diproses.[57]	Hak untuk Perbaikan: memungkinkan individu untuk meminta pengendali memperbarui data yang tidak akurat atau tidak lengkap yang mereka miliki.[58]
3	Hak untuk Perbaikan: memungkinkan pemilik data untuk memperbarui dan/atau memperbaiki kesalahan atau ketidakakuratan data pribadi mereka.[59]
4	Hak untuk Membatasi Pemrosesan: memungkinkan pemilik data pribadi untuk menunda atau membatasi pemrosesan data pribadi.[60]	Hak untuk Membatasi Pemrosesan: memungkinkan individu untuk meminta pengendali membatasi cara mereka menggunakan data pribadi jika situasi tertentu berlaku.[61]
5	Hak untuk Menarik Persetujuan: memungkinkan pemilik data pribadi untuk menarik persetujuannya atas pemrosesan data pribadi.[62] Ketentuan RUU PDP tidak serta merta memberikan hak kepada pemilik data pribadi untuk menolak pemrosesan data pribadi setiap saat. Penarikan persetujuan sebagaimana diatur dalam RUU PDP tidak memberikan penjabaran tentang bagaimana hal tersebut akan menghentikan pemrosesan data pribadi yang sedang berlangsung.	Hak untuk Menolak Pemrosesan: memungkinkan individu untuk menolak pemrosesan data pribadi kapan saja, dalam situasi tertentu, yang akan bergantung pada tujuan pemrosesan.[63]
5		Selain hak-hak yang diatur dalam bab tentang hak-hak subjek data, individu sebagai subjek data juga diperbolehkan untuk menarik kembali persetujuan yang mereka berikan setiap saat.[64]
6	Hak untuk Dilupakan (Right to be Forgotten): memungkinkan pemilik data pribadi untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi mereka.[65] RUU PDP membedakan antara menghapus dan memusnahkan data yang dapat menambah lapisan pertimbangan bagi pemilik data pribadi.	Hak untuk Dilupakan (juga dikenal sebagai right to erasure): memungkinkan individu untuk meminta data pribadi mereka dihapus jika persyaratan yang diperlukan telah dipenuhi.[66] Hak ini akan dijabarkan lebih lanjut pada bagian selanjutnya dari tulisan ini.
7	Hak atas Portabilitas Data: memungkinkan pemilik data pribadi untuk memperoleh data pribadinya dari pengendali data pribadi atau mengirimkan data pribadinya ke pihak lain.	Hak atas Portabilitas Data: memungkinkan individu memperoleh data pribadi mereka sendiri yang sebelumnya telah diberikan kepada pengendali dalam format terstruktur, umum digunakan, dan dapat dibaca mesin.[67]
8	Hak untuk Mengajukan Keberatan atas Pengambilan Keputusan dan Profiling Otomatis: memungkinkan pemilik data pribadi untuk mengajukan protes atas proses pengambilan keputusan dan pembuatan profil otomatis.[68]	Hak Yang Berkaitan dengan Pengambilan Keputusan dan Profiling Otomatis: memungkinkan individu untuk tidak dikenakan pengambilan keputusan otomatis jika menghasilkan efek hukum yang secara signifikan mempengaruhi individu terkait.[69]
9	Hak Menggunakan Pseudonim: memungkinkan pemilik data pribadi untuk memilih atau tidak memproses data pribadinya melalui mekanisme pseudonim.[70]	Meskipun hak untuk menggunakan mekanisme pseudonim tidak secara tegas dinyatakan, GDPR menyatakan bahwa data pribadi yang telah melalui mekanisme pseudonym harus dianggap sebagai informasi tentang orang yang dapat diidentifikasi.[71] Oleh karena itu, data tersebut berada di bawah perlindungan yang sama dengan data pribadi yang disediakan berdasarkan GDPR.
10	Hak untuk Menuntut: memungkinkan pemilik data pribadi untuk mengajukan tuntutan hukum dan menerima ganti rugi atas pelanggaran data pribadi.[72]	GDPR memungkinkan individu yang yakin bahwa hak mereka telah dilanggar untuk menunjuk organisasi/nonprofit dalam tuntutan atas nama mereka ke otoritas pengawas dan menggunakan hak atas upaya hukum atas nama individu yang relevan.[73]

Meskipun membahas ketentuan yang serupa dengan GDPR, ketentuan mengenai persetujuan pemilik data pribadi yang terdapat dalam PP 71/2019 dan Permenkominfo 20/2016 tidak selengkap GDPR karena peraturan-peraturan ini tidak mengatur ketentuan mengenai keabsahan persetujuan yang diberikan oleh pemilik data pribadi, yang mempertanyakan soal formulir pernyataan persetujuan yang tepat atau apakah persetujuan tersebut benar-benar diberikan secara cuma-cuma.[48]

Lebih lanjut, PP 71/2019 dan Permenkominfo 20/2016 juga tidak mengatur lebih lanjut mengenai jangka waktu bagi penyelenggara sistem elektronik untuk memberitahukan kegagalan perlindungan data pribadi kepada pemilik data pribadi. Nantinya, ketika RUU PDP diundangkan, pihak yang menguasai data pribadi wajib menyampaikan pemberitahuan tersebut dalam waktu 3 x 24 jam.[49]

Meskipun RUU PDP nampaknya memberikan rincian yang lebih detail mengenai bagaimana kewajiban harus dilaksanakan, aspek pengawasan terhadapnya mungkin masih terlihat kurang karena RUU PDP versi terbaru memberi wewenang kepada Kementerian Komunikasi dan Informatika sebagai pihak yang bertanggung jawab atas realisasi perlindungan data pribadi di Indonesia dan pengenaan sanksi atas pelanggaran terhadap RUU PDP, bukan badan independen.[50] Pengaturan saat ini dikhawatirkan akan mendorong penyalahgunaan wewenang oleh instansi pemerintah yang ditunjuk yang juga bertindak sebagai pemroses/pengendali data pribadi karena dimungkinkan untuk memanipulasi atau menutupi kegagalan perlindungan data pribadi.[51]

Hak Konsumen sebagai Pemilik Data Pribadi

Selain menyadari kewajiban pelaku usaha dalam pemrosesan data pribadi, sebagai pemilik data pribadi, konsumen juga harus mengetahui haknya berdasarkan kerangka peraturan terkait perlindungan data pribadi. Dalam konteks ekonomi digital, konsumen dapat mengacu pada ketentuan Permenkominfo 20/2016 yang mengatur tentang hak konsumen sebagai pemilik data pribadi dalam penyelenggaraan sistem elektronik, sebagai berikut:[52]

Kerahasiaan data pribadi;
Mengajukan pengaduan kepada Menteri Komunikasi dan Informatika dalam rangka penyelesaian sengketa data pribadi atas kegagalan perlindungan data pribadi oleh penyelenggara sistem elektronik;
Mendapatkan akses atau kesempatan untuk mengubah atau memperbarui data pribadi tanpa mengganggu sistem pengelolaan data pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan;
Memperoleh akses atau kesempatan untuk memperoleh historis data pribadi yang telah diserahkan kepada penyelenggara sistem elektronik sepanjang tindakan tersebut masih sesuai dengan peraturan perundang-undangan; dan
Permohonan pemusnahan data individu tertentu dalam sistem elektronik yang diselenggarakan oleh penyelenggara sistem elektronik, kecuali ditentukan lain oleh peraturan perundang-undangan.

Meskipun hak-hak ini memungkinkan konsumen untuk memperoleh privasi dan kontrol pada tingkat tertentu atas data pribadi mereka, hak-hak tersebut masih bisa dibilang kurang dari hak-hak yang diusulkan di dalam RUU PDP atau GDPR. Tabel berikut menjelaskan jenis-jenis hak yang diberikan kepada pemilik data pribadi dalam RUU PDP dibandingkan dengan ketentuan GDPR:

HAK PRIBADI PEMILIK DATA
No.	RUU PDP	GDPR
1	Hak untuk Meminta Informasi: mengizinkan pemilik data pribadi untuk meminta informasi yang berkaitan dengan identitas dan tujuan mendasar di balik perolehan dan pemanfaatan data pribadi mereka.[53] Satu perbedaan utama dengan hak untuk meminta informasi seperti yang ditampilkan dalam RUU PDP adalah bahwa GDPR mengharuskan pengendali data untuk memberikan informasi yang ditentukan kepada pemilik data saat data pribadi dikumpulkan, sedangkan RUU PDP mengharuskan pemilik data pribadi untuk terlebih dahulu meminta informasi ke pengendali data sehingga memerlukan pertimbangan aktif dari pemilik data pribadi.	Hak untuk Diinformasikan: memungkinkan individu mengetahui data pribadi apa yang dikumpulkan, mengapa dan siapa yang mengumpulkan data, berapa lama akan disimpan, dan dengan siapa data tersebut akan dibagikan.[54] Hak ini pada dasarnya memberikan transparansi dalam proses pendataan konsumen.
2	Hak Akses: memungkinkan pemilik data pribadi untuk mengakses data pribadinya sesuai dengan peraturan perundang-undangan.[55] Berbeda dengan ketentuan GDPR yang merinci data yang dapat disediakan, RUU PDP memilih rumusan yang bersifat catch-all yang mencakup semua ruang lingkup data pribadi yang disediakan dalam RUU PDP.	Hak Akses: memungkinkan individu untuk mengirimkan permintaan akses subjek dan memperoleh informasi dari pengendali terkait tentang apakah informasi pribadi mereka sedang diproses.[56]
3	Hak atas Pengisian Data: memungkinkan pemilik data pribadi untuk melengkapi data pribadinya sebelum data tersebut diproses.[57]	Hak untuk Perbaikan: memungkinkan individu untuk meminta pengendali memperbarui data yang tidak akurat atau tidak lengkap yang mereka miliki.[58]
3	Hak untuk Perbaikan: memungkinkan pemilik data untuk memperbarui dan/atau memperbaiki kesalahan atau ketidakakuratan data pribadi mereka.[59]
4	Hak untuk Membatasi Pemrosesan: memungkinkan pemilik data pribadi untuk menunda atau membatasi pemrosesan data pribadi.[60]	Hak untuk Membatasi Pemrosesan: memungkinkan individu untuk meminta pengendali membatasi cara mereka menggunakan data pribadi jika situasi tertentu berlaku.[61]
5	Hak untuk Menarik Persetujuan: memungkinkan pemilik data pribadi untuk menarik persetujuannya atas pemrosesan data pribadi.[62] Ketentuan RUU PDP tidak serta merta memberikan hak kepada pemilik data pribadi untuk menolak pemrosesan data pribadi setiap saat. Penarikan persetujuan sebagaimana diatur dalam RUU PDP tidak memberikan penjabaran tentang bagaimana hal tersebut akan menghentikan pemrosesan data pribadi yang sedang berlangsung.	Hak untuk Menolak Pemrosesan: memungkinkan individu untuk menolak pemrosesan data pribadi kapan saja, dalam situasi tertentu, yang akan bergantung pada tujuan pemrosesan.[63]
5		Selain hak-hak yang diatur dalam bab tentang hak-hak subjek data, individu sebagai subjek data juga diperbolehkan untuk menarik kembali persetujuan yang mereka berikan setiap saat.[64]
6	Hak untuk Dilupakan (Right to be Forgotten): memungkinkan pemilik data pribadi untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi mereka.[65] RUU PDP membedakan antara menghapus dan memusnahkan data yang dapat menambah lapisan pertimbangan bagi pemilik data pribadi.	Hak untuk Dilupakan (juga dikenal sebagai right to erasure): memungkinkan individu untuk meminta data pribadi mereka dihapus jika persyaratan yang diperlukan telah dipenuhi.[66] Hak ini akan dijabarkan lebih lanjut pada bagian selanjutnya dari tulisan ini.
7	Hak atas Portabilitas Data: memungkinkan pemilik data pribadi untuk memperoleh data pribadinya dari pengendali data pribadi atau mengirimkan data pribadinya ke pihak lain.	Hak atas Portabilitas Data: memungkinkan individu memperoleh data pribadi mereka sendiri yang sebelumnya telah diberikan kepada pengendali dalam format terstruktur, umum digunakan, dan dapat dibaca mesin.[67]
8	Hak untuk Mengajukan Keberatan atas Pengambilan Keputusan dan Profiling Otomatis: memungkinkan pemilik data pribadi untuk mengajukan protes atas proses pengambilan keputusan dan pembuatan profil otomatis.[68]	Hak Yang Berkaitan dengan Pengambilan Keputusan dan Profiling Otomatis: memungkinkan individu untuk tidak dikenakan pengambilan keputusan otomatis jika menghasilkan efek hukum yang secara signifikan mempengaruhi individu terkait.[69]
9	Hak Menggunakan Pseudonim: memungkinkan pemilik data pribadi untuk memilih atau tidak memproses data pribadinya melalui mekanisme pseudonim.[70]	Meskipun hak untuk menggunakan mekanisme pseudonim tidak secara tegas dinyatakan, GDPR menyatakan bahwa data pribadi yang telah melalui mekanisme pseudonym harus dianggap sebagai informasi tentang orang yang dapat diidentifikasi.[71] Oleh karena itu, data tersebut berada di bawah perlindungan yang sama dengan data pribadi yang disediakan berdasarkan GDPR.
10	Hak untuk Menuntut: memungkinkan pemilik data pribadi untuk mengajukan tuntutan hukum dan menerima ganti rugi atas pelanggaran data pribadi.[72]	GDPR memungkinkan individu yang yakin bahwa hak mereka telah dilanggar untuk menunjuk organisasi/nonprofit dalam tuntutan atas nama mereka ke otoritas pengawas dan menggunakan hak atas upaya hukum atas nama individu yang relevan.[73]

Dari uraian di atas, dapat diduga bahwa hak-hak yang saat ini diberikan kepada pemilik data pribadi hanya sekitar setengah dari apa yang dapat diberikan, dengan hak-hak yang penting (seperti hak untuk meminta informasi, yang berperan besar dalam transparansi data pemrosesan; hak untuk menarik persetujuan, yang mengatur ketersediaan persetujuan dari pemilik data pribadi untuk memproses data pribadinya) tidak tercakup dalam Permenkominfo 20/2016.

Hak untuk Dilupakan dalam Peraturan Perundang-undangan Indonesia

Seperti yang telah disebutkan secara singkat di atas, salah satu hak pemilik data pribadi yang dijamin oleh peraturan perundang-undangan Indonesia serta GDPR adalah hak atas penghapusan data pribadi atau disebut juga dengan hak untuk dilupakan. Hak ini berasal dari gagasan bahwa seseorang tidak boleh terus-menerus diadili atau dihukum dari pelanggaran kecil di masa lalu yang tidak mewakili diri mereka sekarang,[74] dan kemudian mendapat perhatian dalam kasus 2014 Google Spain SL, Google Inc v. Agencia Espanola de Protección de Datos, Mario Costeja González, di mana Pengadilan Eropa memutuskan bahwa Google harus menghapus tautan ke artikel digital 1998 di surat kabar La Vanguardia tentang sebuah lelang untuk rumah yang diambil alih Mario Consteja González.[75]

Dalam kerangka peraturan perundang-undangan Indonesia, hak untuk dilupakan telah diakui terutama berdasarkan UU ITE yang memungkinkan pemilik data pribadi untuk meminta penghapusan informasi elektronik dan/atau dokumen elektronik yang tidak relevan di bawah kendali penyelenggara sistem elektronik dengan menyerahkan permohonan ke pengadilan.[76] Ketentuan ini dijabarkan lebih lanjut dalam PP 71/2019 yang mengkategorikan hak di atas menjadi: hak penghapusan dan pengeluaran dari daftar mesin pencari.[77]

Hak penghapusan dapat dilakukan atas informasi elektronik dan/atau dokumen elektronik yang berupa data pribadi, apabila:[78]

Data pribadi diperoleh dan diproses tanpa persetujuan dari pemilik data pribadi terkait;
Pemilik data pribadi telah mencabut persetujuannya;
Data pribadi diperoleh dan diproses secara tidak sah;
Pemrosesan data pribadi tidak lagi sesuai dengan tujuan perolehan, sebagaimana dinyatakan dalam perjanjian dan/atau peraturan perundang-undangan terkait;
Jangka waktu pemanfaatan telah melampaui jangka waktu yang ditetapkan dalam perjanjian dan/atau peraturan perundang-undangan; dan/atau
Data pribadi diungkapkan oleh penyedia sistem elektronik dengan cara yang merugikan pemilik data pribadi.

Sedangkan hak pengeluaran dari mesin pencari mensyaratkan pemilik data pribadi untuk terlebih dahulu memperoleh penetapan pengadilan, sebagai prasyarat dalam mengajukan permohonan kepada penyelenggara sistem elektronik yang bersangkutan untuk pengeluaran data pribadi yang tidak relevan.[79]

Pelanggaran Data Pribadi: Studi Kasus dari Indonesia

Terlepas dari upaya seluruh pemangku kepentingan dalam memastikan perlindungan data pribadi konsumen, pelanggaran berupa pembobolan data, kebocoran data, dan kesalahan pengelolaan data masih terjadi di Indonesia. Pada tahun 2021 saja, Kementerian Komunikasi dan Informatika menangani 43 kasus kebocoran data[80] yang tidak termasuk kasus-kasus yang mungkin belum ditangani oleh Kementerian tersebut. Selain itu, laporan Polisi Siber juga menunjukkan peningkatan eksponensial kasus tahunan, dari hanya 20 kasus pada tahun 2016 menjadi 182 kasus pada tahun 2020.[81]

Untuk menggambarkan berbagai kasus pelanggaran data pribadi di Indonesia, berikut adalah rincian beberapa kasus besar yang terjadi di Indonesia:

Pihak yang Terlibat	Kebocoran DATA	Penjabaran Kasus	Tindakan yang Diambil/Setelahnya
Tokopedia-Menteri Komunikasi dan Informatika	Data pribadi yang bocor adalah sebagai berikut: a) nama; b) email; c) nomor telepon; d) tanggal lahir; dan e) jenis kelamin.Terlepas dari klaim peretas bahwa data lain juga termasuk, Tokopedia mengumumkan bahwa data pembayaran dan kata sandi tidak termasuk dalam data yang diretas.	Sekitar 91 juta data pengguna dan 7 juta data pedagang dibocorkan dan dijual oleh peretas seharga Rp. 74 juta di forum darkweb "EmpireMarket".[82]	Pada tahun 2020, sekelompok konsumen di bawah Komunitas Konsumen Indonesia telah mengajukan gugatan terhadap Menteri Komunikasi dan Informatika dan Tokopedia ke Pengadilan Negeri Jakarta Pusat dengan nomor perkara: 235/Pdt.G/2020/PN.Jkt.Pst.Namun, pengadilan memutuskan untuk memenangkan terdakwa karena pengadilan menganggap kasus tersebut bersifat administratif dan seharusnya diserahkan ke pengadilan tata usaha negara.
BPJS Kesehatan- Menteri Komunikasi dan Informatika	Data pribadi yang bocor antara lain: a) Nomor Induk Kependudukan (NIK); b) Kartu Tanda Penduduk (KTP); c) nomor telepon; d) email; e) nama lengkap; f) alamat; dan g) upah.Data yang bocor juga menunjukkan jumlah tanggungan orang tersebut.	Pada Mei 2021, data pribadi sekitar 279 juta warga negara Indonesia yang disimpan oleh BPJS Kesehatan diretas dan dijual di forum dark web raid dengan harga 0,15 bitcoin (sekitar Rp 86 juta). Kebocoran tersebut dilaporkan telah merugikan negara sekitar Rp. 600 triliun.[83]	Menyusul kebocoran tersebut, BPJS Kesehatan dan Kementerian Komunikasi dan Informatika telah melakukan penyelidikan terkait sumber kebocoran tersebut. Namun, belum ada hasil definitif dari penyelidikan ini hingga tulisan ini dibuat.[84] Pada tahun 2021, ada rencana untuk mengajukan gugatan administratif terhadap BPJS Kesehatan oleh tim Periksa Data, sebuah situs web yang dikelola oleh peneliti keamanan siber. Mereka juga mengajak masyarakat untuk berpartisipasi.[85] Namun, belum ada kabar terbaru dari media terkait proses pengajuan gugatan tersebut.
Kementerian Kesehatan – aplikasi E-HAC	Kebocoran tersebut mengungkap seluruh infrastruktur terkait aplikasi e-HAC yang mencakup catatan pribadi dari berbagai rumah sakit.[86] Kebocaran juga melibatkan data pengguna terkait tes COVID-19 yang meliputi antara lain: a) Kartu tanda penduduk pelaku perjalanan; b) Indentitas rumah Sakit; c) Nomor antrian; d) Nomor referensi; e) Alamat; f) Jenis tes Covid (PCR, rapid antigen, dan lainnya), tanggal dan lokasi; g) Hasil tes Covid dan tanggal rilis; dan h) Dokumen identitas eHAC.	Pada tahun 2021, diperkirakan ada sekitar 1,44 juta data pengguna aplikasi e-HAC yang bocor. Menurut tim peneliti vpnMentor, mereka telah mendeteksi kebocoran data e-HAC sejak Juli 2021 dan telah melaporkan kebocoran tersebut ke Kementerian Kesehatan dua kali tetapi tidak ada tanggapan. BSSN memutuskan untuk mematikan aplikasi e-HAC yang sudah using tersebut setelah pelaporan yang ketiga.[87]	Menyusul kebocoran tersebut, Menteri Kesehatan merinci kemungkinan kebocoran aplikasi e-HAC dengan mitra pihak ketiganya dan juga segera menutup aplikasi tersebut. Menteri Kesehatan juga mengimbau masyarakat untuk menghapus aplikasi e-HAC yang lama.Tidak ada tindakan lebih lanjut yang diambil terkait kebocoran data pribadi ini.
Facebook-Cambridge Analytica	Data yang dikumpulkan meliputi: a) profil publik; b) jumlah likes halaman; c) ulang tahun dan kota saat ini; d) akses ke timeline dan pesan pribadi.[88] Data yang dikumpulkan cukup detail untuk membuat profil psikografis dari data subjek.[89]	Meski pihak yang bersengketa adalah pihak asing, sebagian bocoran data dalam skandal ini melibatkan data sekitar 1 juta pengguna Indonesia yang dijual ke Cambridge Analytica oleh pengembang aplikasi Facebook.Data tersebut sebagian besar digunakan untuk iklan politik, seperti kampanye Donald Trump dan Kampanye Brexit.	Di Indonesia, sekelompok konsumen yang tergabung dalam LPPMII dan Indonesia ICT Institute mengajukan gugatan class action terhadap Facebook di Pengadilan Negeri Jakarta Selatan dengan nomor perkara 396/Pdt.G/2018/PN. Jkt.Sel.[90] Kasus ini tampaknya berjalan tanpa sorotan media hingga hari ini.

Berdasarkan kasus tersebut, dapat diduga bahwa pelanggaran data pribadi konsumen tidak hanya terjadi pada organisasi swasta tetapi juga dapat dialami oleh organisasi publik/pemerintah. Pelanggaran juga dapat memiliki konsekuensi yang luas tidak hanya untuk pemilik data pribadi terkait (misalnya, risiko pelanggaran privasi, pencurian identitas,) tetapi juga untuk organisasi swasta (misalnya, kerugian finansial yang disebabkan oleh kerusakan reputasi, penghentian operasi, atau pembayaran denda) dan lembaga pemerintah (misalnya, hilangnya kepercayaan, pembayaran kompensasi).

Oleh karena itu, untuk mengurangi atau memitigasi risiko tersebut, ada beberapa rekomendasi tindakan yang dapat dilakukan oleh masing-masing pemangku kepentingan, sebagaimana diuraikan di bawah ini:

A. Instansi Pemerintah

Sama halnya dengan organisasi swasta, lembaga publik/pemerintah juga mengalami transformasi digital karena setiap layanan yang diberikan kepada publik secara perlahan namun pasti dilakukan pada platform atau aplikasi digital. Oleh karena itu, pemerintah sebagai garda terdepan pelindung data pribadi warga negara seharusnya menerapkan standar yang lebih tinggi dari langkah-langkah keamanan siber dan infrastruktur. Sayangnya, hal ini mungkin tidak terjadi di Indonesia, karena ada laporan tentang lemahnya penerapan infrastruktur keamanan siber yang berujung pada pembobolan data data pribadi warga negaranya.[91] Selanjutnya, pemerintah harus memastikan bahwa setiap institusi telah menerapkan infrastruktur keamanan siber yang paling optimal dan mempraktikkan langkah-langkah keamanan siber terbaik.

Aspek lain yang harus diperhatikan oleh pemerintah untuk meningkatkan perlindungan data pribadi di Indonesia adalah peningkatan literasi digital di Indonesia, sehingga masyarakat dapat mengidentifikasi langkah-langkah keamanan data pribadi yang pada gilirannya akan membantu penyedia dalam melindungi data tersebut. Kebutuhan akan pendidikan literasi digital kini semakin penting karena meskipun penggunaan teknologi meningkat pesat, Indeks Literasi Digital Indonesia pada tahun 2022 masih berada pada angka 3,49, yang menempatkan Indonesia pada kategori literasi digital medium.[92] Hal ini dapat mengakibatkan situasi di mana lebih banyak warga terancam karena mereka dapat mengakses teknologi tetapi tidak memiliki pemahaman yang lengkap tentang cara penggunaan yang benar. Pemerintah dapat mengadakan pelatihan, kursus, webinar, atau publikasi mengenai langkah-langkah perlindungan data pribadi yang dapat dilakukan oleh publik.

Pada akhirnya, salah satu hal terpenting yang dapat dilakukan pemerintah untuk memperbaiki kondisi perlindungan data pribadi di Indonesia adalah penyelesaian dan pengesahan RUU PDP sesegera mungkin.[93] Sebagaimana dibahas di atas, kerangka peraturan tentang perlindungan data pribadi di Indonesia saat ini masih kurang dan masih tersebar di berbagai peraturan perundang-undangan. Oleh karena itu, Undang-Undang Perlindungan Data Pribadi yang terintegrasi dan komprehensif secara teori dapat memberikan perlindungan yang lebih luas secara seragam tanpa risiko multitafsir.

B. Organisasi Swasta

Dalam bisnis, ada pepatah lama yang mengatakan bahwa konsumen adalah raja. Di era digital ini, pepatah tersebut dapat diartikan bahwa para pelaku usaha diharapkan untuk memberikan upaya terbaiknya dalam memastikan bahwa data pribadi pelanggan mereka terlindungi secara optimal, atau mereka dapat mempertaruhkan kelangsungan hidup para pelaku usaha. Dalam memastikan perlindungan data pribadi konsumen secara optimal, ada dua aspek yang harus diperhatikan. Yang pertama adalah aspek hukum, di mana pelaku usaha harus memenuhi dan mematuhi semua persyaratan dan kewajiban yang ditentukan dalam kerangka peraturan terkait. Dengan demikian, pelaku usaha juga dapat mencegah atau memitigasi segala kerugian/kewajiban yang mungkin terjadi akibat kebocoran/pelanggaran data pribadi. Aspek kedua adalah aspek teknis, dimana pelaku usaha diharapkan dapat menerapkan praktik terbaik untuk perlindungan data pribadi. Praktik terbaik tersebut antara lain:

Menilai, Mengkategorikan, dan memprioritaskan risiko data: Langkah pertama untuk mencegah kebocoran data adalah mengidentifikasi data sensitif dan di mana data tersebut berada dalam sistem. Setelah data diidentifikasi, data tersebut dapat dikategorikan secara berurutan berdasarkan indikator apa yang paling membutuhkan perlindungan;
Penerapan otentikasi multi-faktor: Selain kombinasi nama pengguna dan kata sandi, pengguna diharuskan memberikan kode otentikasi sekali pakai yang dapat dikirim melalui pesan teks ke nomor resmi atau melalui perangkat resmi;
Enkripsi data: Meskipun tidak sepenuhnya tidak dapat ditembus, mengenkripsi data penting tetap menjadi salah satu cara terbaik untuk menjaga keamanan data. Setelah proses enkripsi dan manajemen kunci diambil, maka data apa pun yang dicuri atau bocor tidak akan terbaca.
Pembaruan perangkat lunak secara teratur: Dianjurkan untuk memperbarui semua perangkat lunak dan sistem operasi secara teratur dan menginstal tambalan kapan pun tersedia karena jaringan menjadi rentan ketika program tidak diperbaiki dan diperbarui secara teratur.
Batasan penyimpanan dan minimalisasi data: Penyimpanan harus dibatasi dan data pribadi tidak boleh disimpan jika tidak diperlukan lagi. Demikian pula, disarankan untuk hanya mengumpulkan dan menyimpan data yang dibutuhkan.
Penunjukan petugas perlindungan data: Keberadaan petugas perlindungan data (“Petugas”) penting untuk memastikan bahwa pelaku usaha, sebagai pemroses dan/atau pengendali data pribadi konsumen, telah mematuhi undang-undang perlindungan data yang berlaku. Penunjukan Petugas sangat penting bagi pelaku usaha Indonesia karena ada berbagai undang-undang yang berisi kerangka hukum perlindungan data pribadi dan mungkin sulit untuk tetap up-to-date, apalagi memahami semuanya untuk tujuan kepatuhan.

C. Konsumen

Dalam kasus pelanggaran data pribadi, konsumen biasanya tidak mengetahui proses di balik tirai dan menjadi yang terakhir diberitahu ketika terdapat pelanggaran/kebocoran data pribadi di pihak-pihak tertentu yang menguasai data pribadinya. Pada saat itu, konsumen memiliki risiko terbesar penyalahgunaan data pribadi karena data tersebut dapat digunakan untuk berbagai tujuan seperti pencurian identitas, akses tidak sah ke kartu debit/kredit, penipuan online, atau bahkan tindakan pelecehan. Oleh karena itu, sangat penting bagi konsumen untuk mengetahui tindakan yang dapat diambil untuk mengurangi risiko yang timbul dari pelanggaran data pribadi, antara lain:

Segera ubah kata sandi: Setelah menerima berita tentang pelanggaran/kebocoran data pribadi, sangat penting bagi konsumen untuk segera mengubah kata sandi mereka ke situs web/aplikasi yang relevan untuk memblokir akses siapa pun yang memiliki informasi kata sandi sebelumnya. Konsumen juga didorong untuk memastikan bahwa kata sandi baru tersebut unik agar tidak mudah ditebak;
Cek history transaksi atau total saldo: Setelah mendapatkan kembali kendali atas akun, konsumen harus memeriksa tanda-tanda perusakan profil mereka atau segala upaya untuk melakukan penipuan. Selain itu, konsumen juga disarankan untuk memeriksa riwayat transaksi dan saldo total mereka untuk memastikan transaksi terbaru diotorisasi atau tidak dan kemudian meminta pembelian yang tidak sah untuk dibatalkan atau dikembalikan dananya;
Penambahan lapisan keamanan lainnya: Setelah mendapatkan kembali kendali atas akun, disarankan untuk menambahkan lapisan keamanan lain selain kata sandi, seperti otentikasi dua faktor atau kata sandi satu kali, yang dapat mencegah peretas meretas akun;
Pengaktifan pembaruan otomatis aplikasi: Selain memastikan bahwa aplikasi telah diperbarui ke versi terbarunya, pembaruan otomatis membantu konsumen untuk mendapatkan tingkat keamanan tertinggi yang disediakan oleh aplikasi yang telah diperbarui;
Hindari menyimpan detail kartu kredit/debit pada aplikasi: Walaupun memperlambat proses penggunaan kartu kredit/debit, langkah ini dapat membantu konsumen untuk menjaga kerahasiaan data perbankan mereka dari kebocoran/pelanggaran data;
Penggunaan aplikasi pendukung: Beberapa aplikasi (misalnya, true caller atau pengelola kata sandi) dapat membantu konsumen dalam mengidentifikasi risiko dan mengelola data pribadi mereka dengan cara yang lebih efisien;
Waspadai setiap izin yang diberikan untuk aplikasi: Konsumen harus selalu memperhatikan segala bentuk perizinan yang diperlukan oleh suatu aplikasi pada awal pengoperasiannya oleh konsumen, serta memahami relevansi izin yang diberikan.
Hindari menggunakan komputer publik atau koneksi publik: Konsumen harus menghindari penggunaan komputer publik atau koneksi publik, terutama saat mengakses situs web atau aplikasi yang mengumpulkan informasi sensitif seperti aplikasi e-banking atau e-commerce. Jika konsumen terpaksa menggunakan komputer atau koneksi publik tersebut, konsumen harus memastikan bahwa akun mereka telah dikeluarkan dengan benar, sejauh mungkin.

D. Lembaga Swadaya Masyarakat

Seiring dengan upaya peningkatan literasi digital di Indonesia, peran berbagai lembaga swadaya masyarakat (“LSM”) yang bergerak di bidang teknologi informasi, atau khususnya bidang keamanan siber, menjadi semakin penting. LSM tersebut dapat memberikan pendidikan langsung atau tidak langsung kepada publik mengenai pentingnya data pribadi, langkah-langkah yang harus diambil untuk memastikan keamanan akun pribadi dan email, serta membantu konsumen yang perlindungan data pribadinya diretas untuk mengejar kemungkinan ganti rugi atau kompensasi dari pihak terkait.

Di sisi lain, peran LSM juga penting dalam membantu pelaku usaha untuk memahami bagaimana mereka dapat secara efektif mematuhi undang-undang dan peraturan yang berlaku tentang perlindungan data pribadi serta mencari metode yang paling optimal dalam mengumpulkan keuntungan dari usahanya. Selain itu, LSM juga dapat membantu pelaku usaha dalam meningkatkan langkah-langkah keamanan digital mereka untuk mencegah potensi risiko pelanggaran/peretasan data. Salah satu contoh dari usaha tersebut adalah kemitraan pemerintah Indonesia dengan perusahaan jasa keuangan (PT Mastercard) dan sebuah LSM yang dikenal sebagai Mercy Corps Indonesia, yang memberikan program pendampingan keamanan siber untuk 40.000 usaha mikro dan kecil di 18 provinsi nasional.[94]

Pada akhirnya, dengan keahlian di bidang teknologi informasi dan keamanan siber yang dimiliki LSM, mereka dapat membantu pemerintah dalam menciptakan lingkungan digital yang lebih aman untuk Indonesia.

Pelanggaran Data Pribadi: Ganti Rugi dan Kompensasi

Karena RUU PDP masih dalam proses pembahasan, tidak banyak jalan yang bisa diambil konsumen untuk menerima ganti rugi atas pelanggaran data pribadinya. Selain menyampaikan laporan ke aduankonten.id, sebagaimana dijelakan pada bagian sebelumnya, konsumen dapat mencoba mengajukan pengaduan ke Kementerian Komunikasi dan Informatika sebagaimana diatur dalam Permenkominfo 20/2016.[95] Pengaduan tersebut harus diselesaikan secara musyawarah atau melalui alternatif penyelesaian sengketa, dan dapat diajukan dengan ketentuan sebagai berikut:[96]

Penyelenggara sistem elektronik tidak menyampaikan pemberitahuan tertulis mengenai kegagalan tersebut kepada pemilik data pribadi atau penyelenggara sistem elektronik lainnya; atau
Pemilik data pribadi atau penyedia sistem elektronik lainnya mengalami kerusakan atau dirugikan akibat kegagalan tersebut.

Setiap pengaduan tersebut harus diajukan secara tertulis dalam waktu 30 hari kerja sejak salah satu kondisi di atas terjadi, bersama dengan bukti pendukung yang relevan.[97] Pengaduan tersebut kemudian akan diproses sesuai dengan mekanisme yang ditentukan dalam Permenkominfo 20/2016.[98]

Apabila pengaduan pada akhirnya tidak diselesaikan melalui prosedur damai atau mekanisme penyelesaian sengketa alternatif lainnya, maka pemilik data pribadi atau penyelenggara sistem elektronik lainnya dapat mengajukan gugatan perdata ke pengadilan negeri.[99] Jika demikian, dasar gugatan tersebut adalah pasal 1365 KUHPerdata yang menyatakan bahwa setiap perbuatan yang melawan hukum dan merugikan orang lain, mewajibkan orang yang karena kesalahannya menyebabkan kerugian untuk mengganti kerugian tersebut. Dengan demikian, tidak menutup kemungkinan bagi konsumen sebagai pemilik data pribadi untuk menuntut ganti rugi dari pihak manapun yang merugikan dirinya, termasuk penyedia sistem elektronik yang gagal melindungi data pribadi mereka. Namun, penting juga untuk dicatat bahwa proses litigasi dapat memakan waktu lama dan tanpa jaminan bahwa konsumen akan menerima kompensasi atas kerugian yang dialami.

Kesimpulan

Meskipun telah ada berbagai peraturan perundang-undangan yang mengatur tentang perlindungan data pribadi di Indonesia, namun tampaknya belum ada yang mampu memberikan perlindungan menyeluruh atas hak dan kepentingan konsumen terkait privasi dan data pribadinya. Ketiadaan peraturan yang komprehensif ditambah dengan minimnya tindakan pencegahan teknis membuat konsumen di Indonesia rentan terhadap pelanggaran data pribadi, seperti kebocoran data dan penyalahgunaan data pribadi.

Solusi yang diharapkan saat ini adalah pengesahan RUU PDP. Namun, para pemangku kepentingan yang masih menunggu agar tidak ada penundaan lebih lanjut dalam pengesahan RUU PDP, untuk saat ini dapat menggunakan peraturan yang telah ada dan beberapa strategi lain yang dituangkan dalam tulisan ini.(ss)

Reference

[1] Policy Paper No. 27 berjudul “Protecting People: Promoting Digital Consumer Rights” oleh Center for Indonesian Policy Studies (“Protecting People: Promoting Digital Consumer Rights”), hal. 8.

[2] Pingkan Audrine, “Menagih Perlindungan Konsumen Digital Indonesia”, sebagaimana diakses melalui https://katadata.co.id/muchamadnafi/indepth/61fcf3a2d4cf7/menagih-perlindungan-konsumen-digital-indonesia pada 17 Februari 2022.

[3] IDX Channel, “2025, Ekonomi Digital Makin Vital Perannya Bagi Ekonomi RI” sebagaimana diakses melalui https://www.idxchannel.com/economics/2025-ekonomi-digital-makin-vital-perannya-bai-ekonomi-ri pada 17 Februari 2022.

[4] Kementerian Komunikasi dan Informatika Republik Indonesia, “Pertumbuhan Ekonomi Digital Tak Abaikan Perlindungan Konsumen” sebagaimana diakses melalui https://kominfo.go.id/content/detail/14883/pertumbuhan-ekonomi-digital-tak-abaikan-perlindungan-konsumen/0/sorotan_media pada 17 Februari 2022.

[5] Hukumonline, “Perlindungan Konsumen di Era Digital Masih Mengkhawatirkan” sebagaimana diakses melalui https://m.hukumonline.com/berita/a/perlindungan-konsumen-di-era-digital-masih-mengkhawatirkan-lt5e562be8e79f3 pada 17 Februari 2022.

[6] Protecting People: Promoting Digital Consumer Rights, hal. 10.

[7] Center for Indonesian Policy Studies, “Digital Week 2020: Perlindungan Konsumen & Data dalam Ekonomi Digital Perlu Libatkan Banyak Pihak” sebagaimana diakses melalui https://www.cips-indonesia.org/post/digital-week-2020-perlindungan-konsumen-data-dalam-ekonomi-digital-perlu-libatkan-banyak-pihak pada 17 Februari 2022.

[8] Bisnis.com, “RUU Perlindungan Data Pribadi Gunakan GDPR Uni Eropa Sebagai Acuan” sebagaimana diakses melalui https://teknologi.bisnis.com/read/20191202/282/176768/ruu-perlindungan-data-pribadi-gunakan-gdpr-uni-eropa-sebagai-acuanpada 17 Februari 2022.

[9] Lembaga Studi & Advokasi Masyarakat (ELSAM), “Tantangan Tiga Tahun Implementasi EU GDPR: Pembelajaran bagi RUU Pelindungan Data Pribadi” sebagaimana diakses melalui https://elsam.or.id/tantangan-tiga-tahun-implementasi-eu-gdpr-pembelajaran-bagi-ruu-pelindungan-data-pribadi/ pada 17 Februari 2022.

[10] Antaranews, “RUU PDP upaya pemerintah menciptakan aturan komprehensif di era digital” sebagaimana diakses melalui https://www.antaranews.com/berita/2216266/ruu-pdp-upaya-pemerintah-ciptakan-aturan-komprehensif-di-era-digital pada 17 Februari 2022.

[11] Center for Indonesian Policy Studies, “Perlindungan Data Pribadi Dorong Pertumbuhan Ekonomi Digital” sebagaimana diakses melalui https://id.cips-indonesia.org/post/siaran-pers-perlindungan-data-pribadi-dorong-pertumbuhan-ekonomi-digital-1 pada 17 Februari 2022.

[12] Suara.com, “Kominfo Targetkan RUU PDP Selesai Semester Kedua 2020”, sebagaimana diakses melalui https://www.suara.com/tekno/2022/01/27/185137/kominfo-targetkan-ruu-pdp-selesai-semester-kedua-2022 pada 17 Februari 2022.

[13] Pasal 26 (1), UU ITE.

[14] Pasal 1 (29), PP 71/2019.

[15] Pasal 1 (1), Permenkominfo 20/2016.

[16] Pasal 1 (2), Permenkominfo 20/2016.

[17] Pasal 1 (2) dan 6 (3), UU 14/2008.

[18] Pasal 1 (2) dan 17, bagian (g) dan (h), UU 14/2008.

[19] Perubahan tersebut mengacu pada: Undang-Undang No.10 tahun 1998 dan Undang-Undang No. 11 Tahun 2020.

[20] Pasal 40, UU 7/1992.

[21] Pasal 41, UU 21/2008.

[22] Bagian II, Bab VII, UU 21/2008.

[23] Pasal 2, bagian (d), POJK 1/2013.

[24] Pasal 1 (1), POJK 1/2013.

[25] Pasal 31 (1-2), POJK 1/2013.

[26] Pasal 31 (3), POJK 1/2013.

[27] Poin 1, SEOJK 14/2014.

[28] Pasal 26 (1), POJK 77/2016.

[29] Poin (1 -3), Bagian VI, SEOJK 18/2017.

[30] Pasal 58 (1), PP 80/2019.

[31] Pasal 59, PP 80/2019.

[32] Pasal 57 (1), UU 36/2009.

[33] Pasal 47 (1-2), UU 29/2004.

[34] Perbandingan Pasal 1 (1), RUU PDP dengan Pasal. 1 (29), PP 71/2019.

[35] Pasal 1 (1) dan 3, RUU PDP.

[36] Pasal 2, RUU PDP.

[37] Pasal 3 (1-2), GDPR.

[38] Pasal 1 (6a), UU ITE.

[39] Perbandingan: Pasal 14 (2), PP 71/2019 dengan Pasal 3, Permenkominfo 20/2016.

[[40]Pasal 14 (1), (3), (5), PP 71/2019.

[41] Pasal 14 (1), PP 71/2019.

[42] Pasal 2 (2-4), Permenkominfo 20/2016.

[43] Pasal 7 (1), 9 (1), 8 (1-2), 10 (1-2) dan 11 (1), Permenkominfo 20/2016.

[44] Pasal 12-14, Permenkominfo 20/2016.

[45] Pasal 15, 16, 17 dan 19, Permenkominfo 20/2016.

[46] Pasal 21, 22 (1) dan 23 (1), Permenkominfo 20/2016.

[47] Pasal 25, Permenkominfo 20/2016.

[48] Pasal 7, GDPR.

[49] Pasal 40 (1), RUU PDP.

[50] Pasal 58, RUU PDP.

[51] Kumparan.com, “Pengamat Minta RUU PDP Diperbaiki: Multitafsir hingga Diskriminasi Sanksi”, sebagaimana dapat diakses di sini.

[52] Pasal 26, Permenkominfo 20/2016.

[53] Pasal 4, RUU PDP.

[54] Pasal 12, GDPR.

[55] Pasal 6, RUU PDP.

[56] Pasal 13-15, GDPR.

[57] Pasal 5, RUU PDP.

[58] Pasal 16, GDPR.

[59] Pasal 7, RUU PDP.

[60] Pasal 12, RUU PDP.

[61] Pasal 18, GDPR.

[62] Pasal 9, RUU PDP.

[63] Pasal 21, GDPR.

[64] Pasal 7 (3), GDPR.

[65] Pasal 8, RUU PDP.

[66] Pasal 17, GDPR.

[67] Pasal 20, GDPR.

[68] Pasal 10, RUU PDP.

[69] Pasal 22, GDPR.

[70] Pasal 12, RUU PDP.

[71] Bagian ‘Menimbang” No. 26 & 28, GDPR.

[72] Pasal 13, RUU PDP.

[73] Bagian ‘Menimbang’No. 142, GDPR.

[74] Joseph Steinberg, “Why Americans Need and Deserve the Right to be Forgotten”, inc.com, sebagaimana dapat diakses di sini.

[75] Julia Powels, “What we Can Salvage from ‘right to be forgotten’ ruling” wired.co.uk, sebagaimana dapat diakses di sini; dan BBC, “Pengadilan Uni Eropa Mendukung 'hak untuk dilupakan' dalam kasus Google”, sebagaimana dapat diakses di sini.

[76] Pasal 26 (3), UU ITE.

[77] Pasal 15 (2), PP 71/2019.

[78] Pasal 16 (1), PP 71/2019.

[79] Pasal 17 (1) dan (5), PP 71/2019.

[80] Intan Rakhmayanti Dewi, “Sepanjang 2021, Kominfo Tindak 43 Kasus Kebocoran Data Pribadi”, dipublikasikan di inews.id. Dapat diakses di sini.

[81] Databoks, “Pencurian Data Pribadi Makin Marak Kala Pandemi”, sebagaimana dipublikasikan di katadata.co.id. dapat diakses di sini.

[82] CNN Indonesia, “Kronologi Lengkap 91 Juta Akun Tokopedia Bocor Dijual”, sebagaimana dapat diakses di sini.

[83] Fahmi Ahmad Burhan, “Data Kebocoran BPJK Kesehatan Disebut Bikin Rugi Negara Rp. 600 Triliun”, Katadata.co.id, dapat diakses di sini.

[84] Suara.com, “Tujuh Bulan Berlalu, Kominfo Masih Investigasi Kasus Kebocoran Data BPJS Kesehatan”, dapat diakses di sini.

[85] Kompas.com, “Data Kas Kebocoran 279 Juta WNI, BPJS Kesehatan Akan Digugat lewat PTUN”, dapat diakses di sini.

[86] Kompas.com, “Deretan Kasus Kebocoran Data Pribadi dalam Dua Tahun Terakhir”, sebagaimana dapat diakses di sini.

[87] CNN Indonesia, “Kronologi Dugaan Kebocoran Data eHAC Kemenkes”, sebagaimana dapat diakses di sini.

[88] Martin Coulter, “Find Out if your Facebook data was shared with Cambridge Analytica”, Evening Standard, sebagaimana dapat diakses di sini; dan Issie Lapowsky, "Cambridge Analytica Could Also Access Private Facebook Messages", Wired. Sebagaimana dapat diakses di sini.

[89] Matthew Rosenberg, dkk, “How Trump Consultants Exploited the Facebook Data of Millions”, The New York Times. Sebagaimana dapat diakses di sini.

[90] Kontan.co.id, “Gugatan class action kepada Facebook resmi dilayangkan”, sebagaimana dapat diakses di sini.

[91] BBC.com, “Data eHAC bocor, pakar siber sebut 'Infrastruktur keamanan digital pemerintah Indonesia sangat buruk'”, sebagaimana dapat diakses di sini.

[92] Norman Harsono, “Despite Improvements, Indonesia’s Digital Literacy remains low”, The Jakarta Post. Sebagaimana dapat diakses di sini.

[93] Ahmad Thovan Sugandi, “Menanti UU Perlindungan Data Pribadi, Penangkal Serangan Siber”, bisnis,com, sebagaimana dapat diakses di sini.

[94] The Jakarta Post, “Govt partners with Mastercard, NGO to launch business, cybersecurity mentoring for MSMEs” sebagaimana dapat diakses di sini.

[95] Pasal 29 (1), Permenkominfo 20/2016.

[96] Pasal 29 (2-3), Permenkominfo 20/2016.

[97] Pasal 31 (a), Permenkominfo 20/2016.

[98] Pasal 31 (h), Permenkominfo 20/2016.

[99] Pasal 32, Permenkominfo 20/2016.