RATAS – Anggota Komisi III DPR RI Bambang Soesatyo (Bamsoet) menegaskan bahwa pemindahan data pribadi lintas negara, termasuk dari Indonesia ke Amerika Serikat, pada dasarnya bukanlah pelanggaran hukum. Namun, setiap transfer data pribadi hanya bisa dibenarkan jika dilakukan untuk tujuan yang sah, terbatas, serta dapat dipertanggungjawabkan secara hukum. Ketentuan ini telah diatur secara tegas dalam Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP).

“UU PDP hadir untuk memberikan kepastian hukum dalam hubungan internasional yang bergantung pada lalu lintas data lintas batas negara. Ekonomi digital, layanan cloud, kecerdasan buatan, hingga transaksi keuangan lintas negara sangat bergantung pada pertukaran data. Dengan adanya UU PDP, kita memiliki kerangka yang tegas untuk memastikan bahwa transfer data pribadi dilakukan dengan menjunjung tinggi prinsip perlindungan, akuntabilitas, dan kepatuhan hukum,” ujar Bamsoet di Bali, Minggu (27/7).

Bamsoet menambahkan, UU PDP mengatur transfer data pribadi ke luar negeri dengan beberapa ketentuan utama. Pasal 56 UU PDP menyebutkan pemerintah maupun pihak pengendali data lainnya diperbolehkan mentransfer data pribadi WNI ke luar negeri, tetapi dengan syarat-syarat tertentu yang sangat ketat. Pertama, negara tujuan harus memiliki tingkat perlindungan data pribadi yang setara atau lebih baik dari Indonesia. Kedua, ada perjanjian internasional antar negara atau antar badan pengendali data. Ketiga, terdapat persetujuan dari pemilik data pribadi, setelah mendapatkan informasi lengkap dan jujur terkait risiko transfer.

“Pemrosesan data pribadi juga harus didasarkan pada salah satu dari enam dasar hukum yang diatur UU PDP, yakni persetujuan subjek data, perjanjian kontrak, kewajiban hukum, kepentingan vital individu, tugas yang dijalankan oleh otoritas publik, atau kepentingan sah yang seimbang dengan hak subjek data. Tanpa salah satu dasar ini, maka transfer data menjadi cacat hukum,” kata Bamsoet.

Bamsoet menjelaskan, dalam hal transfer data pribadi dari Indonesia ke Amerika Serikat, meskipun Amerika selama ini dianggap belum memiliki kerangka perlindungan data yang seketat Uni Eropa, namun melalui berbagai perjanjian bilateral dan sektor hukum seperti Privacy Shield Framework dan EU-U.S. Data Privacy Framework (DPF), Amerika telah menunjukkan komitmennya dalam menjamin perlindungan data lintas negara. Bahkan pada Juli 2023, Uni Eropa telah secara resmi mengakui Amerika Serikat sebagai yurisdiksi yang memiliki perlindungan data pribadi yang memadai di bawah kerangka DPF tersebut.

“Kalau Uni Eropa yang sangat ketat dan protektif terhadap data warganya sudah menandatangani kesepakatan formal dengan Amerika Serikat, tentu Indonesia tidak bisa menutup diri. Kita harus melihat kenyataan global dan bersikap rasional dalam menyikapinya. Selama transfer data dilakukan berdasarkan dasar pemrosesan yang sah, dan Amerika dapat memberikan jaminan perlindungan data yang memadai, maka tidak ada yang salah,” urai Bamsoet.

Bamsoet menambahkan, era digital yang melibatkan layanan cloud global seperti Google Cloud, Amazon Web Services, atau Microsoft Azure, secara praktis telah membuat data berpindah melintasi batas negara hampir setiap detik. Karena itu, tantangan saat ini bukanlah bagaimana menghentikan arus data, melainkan bagaimana memastikan bahwa arus tersebut aman, terverifikasi, dan tunduk pada standar perlindungan yang dapat dipertanggungjawabkan.

“Transfer data pribadi ke luar negeri bukanlah sesuatu yang melanggar hukum. Tapi harus ada syaratnya. Harus ada akuntabilitas, harus ada perjanjian, dan harus ada perlindungan. UU PDP sudah memberikan semua instrumen ini. Sekarang tinggal bagaimana pemerintah dan pelaku usaha mematuhinya secara konsisten,” pungkas Bamsoet.