Gw mau tau Hak Privasi (Privacy Right) dari Perlindungan data

Konsep privasi sebagai suatu hak asasi manusia yang harus dilindungi diakui dalam Pasal 12 Deklarasi Umum Hak Asasi Manusia (1948), yang menyatakan bahwa: “No one shall be subjected to arbitrary interference with his privacy, family, home or correspondence, nor to attacks upon his honour and reputation. Everyone has the right to the protection of the law against such interference or attack (Tidak ada seorang pun dapat diganggu dengan sewenang-wenang urusan pribadi, keluarga, rumah tangga atau hubungan surat menyuratnya, juga tidak diperkenakan pelanggaran atas kehormatan dan nama baiknya. Setiap orang berhak mendapat perlindungan hukum terhadap gangguan atau pelanggaran itu)”. Ketentuan tersebut selanjutnya dipertegas dalam Pasal 17 Konvenan Internasional Tentang Hak -hak Sipil dan Politik (ICCPR) pada 1966, yang menyatakan bahwa: “(1) No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks upon his honour and reputation; (2) Everyone has the right to protection of the law against such interference or attack ((1) Tidak boleh seorangpun yang dapat secara sewenang-wenang atau secara tidak sah dicampuri masalah-masalah pribadinya, keluarganya, rumah atau hubungan surat menyuratnya, atau secara tidak sah diserang kehormatan dan nama baiknya;(2) Setiap orang berhak atas perlindungan hukum terhadap campur tangan atau serangan seperti tersebut di atas)” 95. Evolusi hak atas privasi dalam kerangka Pasal 17 ICCPR ini kemudian di pandang oleh Manfred Nowak dapat merambah hingga aspek hak atas akses dan kontrol data pribadi seseorang.

Dalam Komentar Umum 16 ICCPR yang berbunyi: “Pengumpulan dan penyimpanan informasi pribadi di komputer, bank data dan alat mekanik lainnya, baik oleh pihak berwenang publik atau individu-individu atau badanbadan, harus diatur oleh hukum. Langkah-langkah yang efektif harus diambil oleh negara-negara guna menjamin bahwa informasi yang berkaitan dengan kehidupan pribadi seseorang tidak jatuh ke tangan orang-orang yang tidak memiliki kewenangan secara hukum untuk menerima, memproses dan menggunakannya, dan tidak boleh digunakan untuk tujuan-tujuan yang tidak sesuai dengan ICCPR. Guna mendapatkan perlindungan yang efektif bagi kehidupan pribadinya, setiap individu harus memiliki hak untuk menentukan data-data pribadi apa dan untuk tujuan apa yang akan disimpan dalam rekaman data otomatis. Jika rekaman data tersebut memuat data pribadi yang tidak benar atau dikumpulkan atau diproses dengan cara yang bertentangan dengan ketentuan-ketentuan hukum, maka setiap individu harus memiliki hak untuk meminta perbaikan atau pemusnahan data tersebut”. Pelapor Khusus Frank La Rue menyampaikan dalam laporannya bahwa pembatasan terhadap ketentuan ini dapat merujuk pada Komentar Umum yang mensyaratkan pembatasan dimungkinkan jika memenuhi elemen berikut ini:

Segala bentuk pembatasan harus diatur dengan undang-undang;

Pembatasan tidak boleh melanggar esensi perlindungan HAM;

Pembatasan dilakukan dalam masyarakat yang demokratis;

Setiap kebijakan pembatasan tidak boleh mengekang pelaksanaan hak tersebut;

Pembatasan yang dibolehkan tidak cukup ditujukan hanya untuk mencapai tujuan yang sah, tetapi juga harus benar-benar dibutuhkan untuk melindungi tujuan tersebut; dan

Pembatasan harus sesuai dengan prinsip proporsionalitas, yakni sesuai untuk mencapai fungsi perlindungan, harus menjadi instrumen yang tidak sangat intrusif sehingga memungkinkan mencapai hasil yang diinginkan, dan proporsional dengan kepentingan yang harus dilindungi.

Pelindungan terhadap data pribadi berkaitan dengan konsep privasi, konsep privasi sendiri adalah merupakan sebuah gagasan untuk memelihara integritas dan martabat setiap orang secara pribadi. Privasi adalah istilah lain yang kemudian digunakan oleh negara-negara maju yang berkaitan dengan data pribadi sebagai hak yang harus dilindungi, yaitu hak seseorang untuk tidak diganggu kehidupan pribadinya.membahas privasi berarti membahas tentang hak untuk menikmati hidup. Meskipun privasi diakui sebagai hak asasi manusia, sebagai sebuah konsep, sangat sulit untuk mendefinisikan dan bervariasi sesuai dengan konteks, bangsa, dan budaya. Hak privasi melalui pelindungan data merupakan elemen kunci bagi kebebasan dan harga diri individu. Pelindungan data menjadi pendorong bagi terwujudnya kebebasan politik, spiritual, keagamaan bahkan kegiatan yang bersifat privat. Hak untuk menentukan nasib sendiri, kebebasan berekspresi dan privasi adalah hak-hak yang penting untuk menjadikan kita sebagai manusia. Potensi pelanggaran hak privasi atas data pribadi tidak saja ada dalam kegiatan online tetapi juga kegiatan offline.

Potensi pelanggaran privasi atas data pribadi secara online misalnya terjadi dalam kegiatan pengumpulan data pribadi secara masal (digital dossier), pemasaran langsung (direct selling), media sosial, pelaksanaan program e-KTP, pelaksanaan program e-health dan kegiatan komputasi awan (cloud computing). Khususnya di era big data, pengumpulan data secara masif lazim dilakukan, tak hanya oleh pemerintah, namun juga oleh entitas bisnis atau korporasi. Jenis data yang dikumpulkan pun beragam, mulai dari personally identifiable information (PII) hingga sensitive personal information (SPI). Perusahaan sebagai pengendali data memiliki tanggung jawab untuk menjaga data konsumen dari kebocoran data. Bocornya data pribadi konsumen merupakan sebuah bentuk pelanggaran terhadap hak atas privasi. Oleh karenanya, diperlukan peraturan hukum yang komprehensif guna melindungi data pribadi konsumen yang dikumpulkan oleh korporasi. Tujuan dari ketentuan-ketentuan yang berkaitan dengan perlindungan terhadap data pribadi adalah untuk melindungi kepentingan konsumen dan memberikan manfaat ekonomi bagi Indonesia. Berdasarkan kasus yang terjadi di Eropa yaitu Maximillian Schrems v. Data Protection Commissioner yang diputus Court of Justice of the European Union, 2016, perbedaan perlindungan kepentingan konsumen dapat mengancam transaksi antar dua negara atau dua regional.

Kebijakan Perlindungan Data di Indonesia

Undang Undang nomor 19 tahun 2016 (UU ITE)

Undang-Undang Republik Indonesia Nomor 19 Tahun 2016 Perubahan atas Undang-Undang Republik Indonesia Nomor 11 Tahun 2011 tentang Informasi dan Transaksi Elektronik sebagai UU generik memuat norma perlindungan data pribadi pada Pasal 26, yang pada intinya, penggunaan setiap data dan informasi di media elektronik yang terkait dengan data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan atau berdasarkan hukum positif yang berlaku saat ini (peraturan perundang-undangan). Pada dasarnya ketentuan ini memuat dua dasar legitimasi pemrosesan data pribadi yaitu (a) consent/ persetujuan; dan (b) norma hukum positif. Kedua prinsip ini adalah dasar lawful data processing.

Pasal 26 UU ITE [33] menjelaskan bahwa perlindungan data harus dilakukan. Jika terjadi penggunaan data pribadi seseorang tanpa izin dari orang yang bersangkutan, maka orang yang dilanggar haknya itu dapat mengajukan gugatan atas kerugian yang ditimbulkan. berikut adalah Pasal 26 UU 19/2016 :

Kecuali ditentukan lain oleh peraturan perundang-undangan, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan.

Setiap orang yang dilanggar haknya sebagaimana yang dimaksud pada ayat 1 dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan undangundang ini.

Setiap penyelenggara sistem elektronik wajib menghapus informasi elektronik dan/atau dokumen elektronik yang tidak relevan yang berada di bawah kendalinya atas permintaan orang yang bersangkutan berdasarkan penetapan pengadilan.

Setiap penyelenggara sistem elektronik wajib menyediakan mekanisme penghapusan informasi elektronik dan/atau dokumen elektronik yang tidak relevan sesuai dengan ketentuan peraturan perundang-undangan.

Ketentuan mengenai tata cara penghapusan informasi elektronik dan/atau dokumen elektronik sebagaimana dimaksud pada ayat (3) dan ayat (4) diatur dalam peraturan pemerintah.

Berdasarkan ketentuan dari Pasal 26 UU ITE [33] pemerintah melarang setiap penylenggara sistem elektronik menggunakan atau menafaatkan data milik orang lain tanpa persetujuan dari si pemilik data tersebut. Berdasarkan isi dari pasal tersebut artinya aktivitas-aktivitas seperti pengumpulan dan penyebarluasan data pribadi merupakan pelanggaran terhadap privasi seseorang karena hak privasi mencakup hak menentukan memberikan atau tidak memberikan data pribadi. Termasuk didalamnya pencurian data pribadi, ketika pihak penyelenggara elektronik menggunakan data pribadi milik orang lain, bentuk larangan tersebut tidak lain karena pandangan pemerintah menganggap bahwa data pribadi merupakan suatu aset atau komoditi bernilai ekonomi tinggi [34]. Dalam penjelasannya Pasal 26 UU ITE juga menyatakan bahwa data pribadi merupakan salah satu bagian dari hak pribadi seseorang. Selain untuk mencegah pelangaranpelangaran penyalahgunaan berupa pencurian data pribadi pemerintah melalui UU ITE tersebut memberikan perintah kepada penyelengaraan sistem elektronik untuk menyiapkan suatu sistem yang berorientasi kepada melakuan penyesuaian dan melakukan penghapusan pada data pribadi yang dianggap sudah tidak sesuai berdasarkan permintaan dari pihak terkait kepada pengadilan dan putusan pengadilan. Tetapi keadaan penghapusan sebagaimana disebutkan masihlah umum, dengan sekedar menyebutkan pengahapusan informasi elektronik dan/atau dokumen elektronik yang tidak relevan. tidak ada penjelasan yang detil mengenai informasi yang tidak relevan. Keadaan seperti ini berpotensi bertabrakan dengan beberapa perundang-undangan lain dalam penerapannya dikemudian hari. Contohnya potensi ketegangan dengan UndangUndang Nomor 40 Tahun 1999 tentang Pers dan Undang-Undang Nomor 14 Tahun 2008 tentang Keterbukaan informasi Publik.

Pihak penyebar data sebelumnya pasti sudah melakukan cracking atau peretasan dengan cara merusak sebuah sistem elektronik. Selain merusak, cracking merupakan pembajakan data pribadi maupun account pribadi seseorang, sehingga mengakibatkan hilang atau berubah dan digunakan tanpa persetujuan pemilik. Hal tersebut sudah diatur dalam pasal 30 ayat (3) UU ITE yaitu “Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Komputer dan/atau Sistem Elektronik dengan cara apapun dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan.” Lebih lanjut dijelaskan pada pasal 32 UU ITE [20] yaitu “1. Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum dengan cara apa pun mengubah, menambah, mengurangi, melakukan transmisi, merusak, menghilangkan, memindahkan, menyembunyikan suatu Informasi Elektronik dan/atau Dokumen Elektronik milik Orang lain atau milik publik. 2.Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum dengan cara apa pun memindahkan atau mentransfer Informasi Elektronik dan/atau Dokumen Elektronik kepada Sistem Elektronik Orang lain yang tidak berhak. 3.Terhadap perbuatan sebagairana dimaksud pada ayat (1) yang mengakibatkan terbukanya suatu Informasi Elektronik dan/atau Dokumen Elektronik yang bersifat rahasia menjadi dapat diakses oleh publik dengan keutuhan data yang tidak sebagaimana mestinya.”. pelanggaran tersebut kemudian dapat dikenakan jerat hukum pada pasal 48 UU ITE yaitu “1. Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (1) dipidana dengan pidana penjara paling lama 8 tahun dan/atau denda paling banyak Rp2 miliar. 2.Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (2) dipidana dengan pidana penjara paling lama 9 tahun dan/atau denda paling banyak Rp3 miliar. 3.Setiap Orang yang rnemenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (3) dipidana dengan pidana penjara paling lama 10 tahun dan/atau denda paling banyak Rp5 miliar.”

Jika terjadi kegagalan dalam pelindungan terhadap data pribadi yang dikelolanya, PSE (Penyelenggara Sistem Elektronik) wajib memberitahukan secara tertulis kepada pemilik data pribadi tersebut. Kegagalan yang dimaksud adalah terhentinya sebagian atau seluruh fungsi sistem elektronik yang bersifat esensial sehingga sistem elektronik tidak berfungsi sebagaimana mestinya. Terjadinya kegagalan sistem bisa disebabkan oleh faktor internal dan faktor eksternal. Salah satu faktor eksternal yang sering terjadi adalah adanya cybercrime. Dilihat dari jenis aktivitasnya, cybercrime dapat berupa hacking, cracking, phising, identity theft, dan lain-lain. Dampak kerugian yang timbul antara lain kebocoran data pribadi, manipulasi data, pelanggaran privasi, kerusakan sistem, dan sebagainya.

Undang-Undang Nomor 36 Tahun 2009 tentang Kesehatan

Kebijakan terkait perlindungan data tidak hanya pada bidang informasi dan transaksi elektronik. Data pribadi di bidang kesehatan pun tidak terlepas dari kemungkinan penyalahgunaan. Akan lebih bahaya lagi apabila data pribadi tersebut merupakan suatu data jejak rekam medis pasien yang memang bersifat sangat rahasia, sehingga ada beberapa peraturan khusus seperti diantaranya UndangUndang Nomor 29 tahun 2004 tentang Praktik Kedokteran [36] yang mengatur bahwa setiap Dokter dan Dokter Gigi dalam menyelenggarakan praktik kedokteran harus membuat rekam medis dan rekam medis ini harus dijaga kerahasiaannya oleh Dokter atau Dokter Gigi dan pimpinan sarana pelayanan kesehatan. Kemudian, Peraturan Menteri Kesehatan Nomor 269 tahun 2008 tentang Rekam Medis menyebutkan bahwa meskipun informasi tentang identitas, diagnosis, riwayat penyakit, riwayat pemeriksaan dan riwayat pengobatan pasien harus dijaga kerahasiaannya oleh klinisi, petugas pengelola dan pimpinan sarana kesehatan, namun informasi ini dapat dibuka antara lain untuk memenuhi permintaan aparatur penegak hukum atas perintah pengadilan dan memenuhi permintaan institusi/lembaga sesuai dengan ketentuan perundang-undangan. Permintaan tersebut harus disampaikan secara tertulis kepada pimpinan Rumah Sakit. Selain itu, Permenkes ini juga mengatur mengenai kepemilikan, manfaat dan tanggung jawab dalam mengelola Rekam Medis. Berkas rekam medis adalah milik sarana pelayanan kesehatan dan isinya yang berupa ringkasan rekam medis merupakan milik pasien. Ringkasan tersebut dapat diberikan, dicatat atau dicopy oleh pasien atau orang yang diberi kuasa atau atas persetujuan tertulis pasien atau keluarganya yang berhak untuk itu. Undang-undang Nomor 36 tahun 2009 menjelaskan mengenai perlindungan data Kesehatan pribadi pada pasal 57, bahwa:

Setiap Orang berhak atas RAHASIA KONDISI KESEHATAN PRIBADINYA yang telah dikemukakan kepada penyelenggara Pelayanan Kesehatan.

Ketentuan mengenai hak atas RAHASIA KONDISI KESEHATAN PRIBADI sebagaimana dimaksud pada ayat (1) TIDAK BERLAKU dalam hal :