RISALAH RAPAT DENGAR PENDAPAT UMUM KOMISI I DPR RI DENGAN PERSI, idEA, AFTECH DAN US-ASEAN BUSINESS COUNCIL Tahun Sidang Masa Persidangan Jenis Rapat : 2019-2020 : : Rapat Dengar Pendapat Umum (RDPU) Komisi I DPR RI dengan PERSI, idEA, AFTECH dan US- ASEAN Business Council IV Hari, Tanggal Pukul Sifat Rapat Tempat : Senin, 6 Juli 2020 : 10.35 - 12.55 WIB : Terbuka : Ruang Rapat Komisi I DPR RI Gedung Nusantara II Lt. 1, Jl. Jenderal Gatot Soebroto, Jakarta 10270 Acara : Mendapatkan masukan terkait RUU tentang Pelindungan Data Pribadi; 1. Dari PERSI yaitu prinsip dan konsep Pelindungan data kesehatan sebagai jaminan atas Pelindungan data pribadi. 2. Dari idEA dan AFTECH mengenai jaminan Pelindungan Data Pribadi dan Data Finansial untuk membangun kepercayaan masyarakat. 3. Dari US-ASEAN Business Council, mengenai: - Prinsip dan konsep Pelindungan data bisnis perspektif dalam pribadi internasional Jaminan Pelindungan data pribadi dan data finansial dengan membangun kepercayaan pengguna teknologi. Pimpinan Rapat : H. Bambang Kristiono, S.E. (Wakil Ketua Komisi I DPR RIF-Partai Gerindra) Sekretaris Rapat : Suprihartini, S.IP., M.SI. Kepala Bagian Sekretariat Komisi I DPR RI Anggota yang Hadir : PIMPINAN : 1. Meutya Viada Hafid (F-PG) 2. Drs. Utut Adianto (F-PDI Perjuangan) 3. H. Bambang Kristiono, S.E. (F-Gerindra) 4. H. Teuku Riefky Harsya, MT. (F-PD) 5. Dr. H. Abdul Kharis Almasyhari (F-PKS)
2 - ANGGOTA : FRAKSI PARTAI DEMOKRASI PERJUANGAN (F-PDI PERJUANGAN) 6. Puan Maharani 7. Dede Indra Permana, SH. 8. Drs. Effendi MS. Simbolon, M.IPol. 9. Ir. Rudianto Tjen 10. Charles Honoris 11. Junico BP. Siahaan, SE. 12. Krisantus Kurniawan, S.IP., M.Si. 13. Dr. H. Hasanuddin, MM., M.Si. 14. Mayjen. TNI. Mar. (Purn) Sturman Panjaitan, INDONESIA SH. 15. Drs. H. Mukhlis Basri FRAKSI PARTAI GOLKAR (F-PG) 16. Dave Akbarsyah Laksono, ME. 17. Bobby Adhityo Rizaldi, SE., MBA., CFE. 18. I. Lodewijk F. Paulus 19. Nurul Arifin 20. Drs. H. Bambang Heri Purnama, S.T., S.H., M.H. 21. Christina Aryani, SE., SH., MH. 22. Ilham Pangestu FRAKSI PARTAI GERINDRA (F-GERINDRA) 23. Sugiono 24. Yan Permenas Mandenas, S.Sos., M.Si. 25. Dr. H. Fadli Zon, S.S., M.Sc. 26. Rachel Maryam Sayidina 27. Andika Pandu Puragabaya, S.Psi., M.Si., M.Sc. 28. Fadhullah FRAKSI PARTAI NASIONAL DEMOKRAT (F-PD) 29. Prananda Surya Paloh 30. Muhammad Farhan 31. Kresna Dewanata Phrosakh 32. Willy Aditya 33. Hilary Brigitta Lasut, S.H., LL.M. FRAKSI PARTAI KEBANGKITAN BANGSA (F- PKB) 34. Drs. H. Taufiq R. Abdullah 35. Dr. (H.C.) H. A. Muhaimin Iskandar, M.Si. 36. Drs. H.M. Syaiful Bahri Anshori, MP. 37. A. Helmy Faishal Zaini 38. H. Bachrudin Nasori, S.Si., MM. 39. H. Abdul Kadir Karding, S.PI., M.Si.
Anggota yang Izin Undangan 3 - FRAKSI PARTAI DEMOKRAT (F-PD) 40. Rizki Aulia Rahman Natakusumah 41. H. Darizal Basir, S.Sos., M.B.A. 42. Hasan Saleh FRAKSI PARTAI KEADILAN SEJAHTERA (F- PKS) 43. Dr. H. Jazuli Juwaini, MA. 44. H. Sukamta, Ph.D. 45. KH. Toriq Hidayat, Lc. 46. Dr. H. Almuzzammil Yusuf, M.Si. FRAKSI PARTAI AMANAT NASIONAL (F-PAN) 47. Ir. Alimin Abdullah 48. H. A. Hanafi Rais, S.IP., M.P.P.. 49. Ir. H. Ahmad Rizki Sadig, M.Sc. 50. Hj. Farah Puteri Nahlia, M.Sc. FRAKSI PARTAI PERSATUAN PEMBANGUNAN (F-PPP) 51. H. Syaifullah Tamliha, S.Pi., MS. 52. Muhammad Iqbal, SE., M.Com. : 1. Dr. Sjarifuddin Hasan, SE., MM., MBA. : 1. PERSI 2. idea 3. AFTECH 4. US-ASEAN Business Council
4 - Jalannya Rapat : KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Bapak dan Ibu sekalian, Rapat segera kita mulai. Audzubillahi minnasyaitan nirrajim. Bismillahirrahmanirrahim. Assalamu'alaikum Warahmatullahita'ala Wabarakatuh. Selamat datang kami ucapkan kepada yang terhormat Saudara Ketua Umum PERSI, Saudara Ketua Umum idEA, Saudara Ketua Umum AFTECH, Saudara Kepala Kantor Perwakilan US-ASEAN Business Council di Indonesia, serta Bapak dan Ibu Pimpinan dan Anggota Komisi I DPR RI, pada rapat hari ini, Senin, 6 Juli 2020. ini dilaksanakan secara tatap muka dan telah dihadiri oleh 7 fraksi, maka kuorum telah terpenuhi. Dan rapat kita pada hari ini akan kita laksanakan secara terbuka. Berdasarkan informasi dari Sekretariat, rapat pada hari (RAPAT DIBUKA PUKUL 10.37 WIB) (RAPAT DINYATAKAN TERBUKA UNTUK UMUM) (KETUK PALU: 1X) Dapat kami sampaikan bahwa Presiden Republik Indonesia melalui surat nomor: R-05/PRESIDEN/01/2020, tanggal 24 Januari 2020 telah menyampaikan Rancangan Undang-undang tentang Pelindungan Data Pribadi kepada DPR RI dan telah menugaskan Menkominfo, Mendagri dan Menkumham untuk mewakili Pemerintah membahas RUU tentang Pelindungan Data Pribadi, bersama-sama dengan DPR RI. Selanjutnya Rapat Konsultasi Pengganti Rapat Badan Musyawarah antara Pimpinan DPR RI dan Pimpinan Fraksi pada Masa Persidangan II Tahun Sidang 2019-2020, tanggal 3 Februari 2020 telah menugaskan kepada Komisi I DPR RI untuk membahas RUU tentang Pelindungan Data Pribadi bersama-sama dengan Pemerintah. Menindaklanjuti penugasan tersebut, Rapat Intern Komisi I DPR RI pada tanggal 10 Februari 2020 memutuskan untuk segera membahas RUU tentang Pelindungan Data Pribadi bersama-sama dengan Pemerintah. Pada tanggal 25 Februari 2020, Komisi I DPR RI telah melaksanakan Rapat Kerja dengan Pemerintah, yaitu Menkominfo, Menteri Dalam Negeri, dan Menteri Hukum dan Hak Asasi Manusia dalam rangka mendengarkan penjelasan Pemerintah mengenai RUU tentang Pelindungan Data Pribadi. Dalam rangka mendapatkan masukan untuk penyusunan tentang Pelindungan Data Pribadi tersebut, maka Komisi telah melaksanakan RDPU dengan Pakar maupun akademisi. terhadap RUU
5 - Pada hari ini Komisi I DPR RI ingin mendapatkan masukan dari saudara-saudara sekalian terkait RUU tentang Pelindungan Data Pribadi tersebut, yaitu mengenai, kepada yang mewakili PERSI yaitu prinsip dan konsep Pelindungan data kesehatan sebagai jaminan atas Pelindungan data pribadi. Kepada idEA dan AFTECH mengenai jaminan Pelindungan Data Pribadi dan Data Finansial untuk membangun kepercayaan masyarakat. Kepada US-Asean Business School, mengenai prinsip dan konsep Pelindungan data pribadi dalam perspektif bisnis internasional. Kemudian yang terakhir adalah jaminan Pelindungan data pribadi dan data finansial dengan membangun kepercayaan pengguna teknologi. Maka selanjutnya pada kesempatan pertama kami persilakan kepada Saudara Ketua Umum PERSI untuk menyampaikan paparannya. Waktu kami persilakan. SEKRETARIS JENDERAL PERSI (DR. LIA G. PERTAKUSUMA, SPPK (K), M.M., MARS.): Assalamu'alaikum Warahmatullahi Wabarakatuh. Yang kami sangat hormati Bapak Ketua, Pimpinan hari ini, H. Bambang Kristiono, S.E., Dan juga kepada para Anggota Dewan yang terhormat. Indonesia mengucapkan terima kasih banyak atas undangan Dengar Pendapat Umum, acara pada hari ini, yaitu mengenai Rancangan Undang-undang Pelindungan Data Pribadi. Dan mohon kiranya saya memperkenalkan Anggota kami yang hadir pada pagi hari ini, Saya, Lia Pertakusumah, Sekretaris Jenderal PERSI, kebetulan Bapak Ketua Umum ada di Semarang, sehingga tidak bisa kemarin karena masalah perjalanan. Sebelumnya, Perhimpunan Rumah Sakit Republik Kemudian yang sebelah kiri saya adalah Prof. Dr. Budi Sampurna, DFM.SH, Sp.F(K), Spesialis KP, Beliau adalah Ketua Kompartemen Hukum Advokasi dan Mediasi dari PERSI. Kemudian Dr. M. Luki Hakim, S.H, M.H., Anggota Kompartemen Hukum, Advokasi dan Mediasi, yang ada dibelakang. Serta Bapak Anjari Umardianto, S.Kom, SH, MARS, selaku Ketua Kompartemen Humas dan Pemasaran PERSI dan Ir. Toni Senohartono, M.I. Kom, staf Ahli IT. izinkan PERSI akan memyampaikan kajian Rancangan Undang-undang Pelindungan Data Pribadi, dan sangat menghargai adanya pertemuan yang tentunya akan sangat berkepentingan, warga negara dalam memperoleh pelindungan data pribadi. Kami mencoba mengkaji dengan sudut pandang layanan kesehatan, khususnya data pribadi yang diperoleh dari pasien di fasilitas kesehatan atau di luar fasilitas kesehatan, baik dalam rangka memperoleh layanan kesehatan dengan tujuan promotif, preventif, kuratif, rehabilitatif dan paliatif. Maupun dalam rangka Pada pagi hari ini
6 - penelitian uji klinik dan epidemiologi serta khusus data pribadi yang diperoleh dalam rangka penanganan wabah atau bencana. Kami persilakan kepada Prof. Budi Sampurna yang mungkin akan lebih menjelaskan lagi kepada kita semua, seperti apa kajian kami dalam hal RUU ini. Saya persilakan kepada Prof. Budi Sampurna. KETUA KOMPARTEMEN HUKUM ADVOKASI DAN MEDIASI PERSI (PROF. DR. BUDI SAMPURNO, DFM., SH., SP.F. (K), S.PKP.): Mohon izin, Pimpinan yang kami hormati. Langsung saja dilanjutkan bahwa tadi sudah disebutkan oleh Bu Lia, bahwa kita sangat menghargai atas inisiatif pembuatan ini dan tentu saja pertemuan ini juga kami sangat hargai, karena ada keinginan kita untuk sama-sama memperoleh masukan dari berbagai stakeholder. Di bidang kesehatan, memang PERSI termasuk di dalamnya dan kita mengetahui kalau di kesehatan sudah ada berbagai peraturan perundang- undangan yang mengatur rahasia kedokteran, biasa kita menyebutnya begitu. Walaupun di dalam praktik nanti kita lihat karena tentunya adalah seperti yang kita bahas ini. tentang Dari kita, PERSI mengkaji bahwa dengan itu tadi idenya kan harus berasal dari bidang kita sehingga, atau ranah kita, maka di PERSI itu adalah kita menangani, terutama adalah ngomong data pribadi berarti bicara tentang pasien. Jadi biasanya pasien, pasien baik yang dalam perawatan maupun di dalam konteks yang lain. Jadi misalnya saja, dalam rangka penelitian atau dalam rangka pemeriksaan epidemologi pada kasus-kasus yang sekarang sedang terjadi. Nah lanjut, selama ini kita mengacu kepada Undang-undang Praktik Kedokteran, Undang-undang Rumah Sakit dan Permenkes No. 36 Tahun 2012 tentang Rahasia Kedokteran, yang intinya adalah setiap pembukaan data pasien itu hanya ditujukan kepada para pihak yang diperbolehkan, yaitu petugas kesehatan yang berwenang, dengan alasan yang sah dan diberikan hanya secukupnya yang dibutuhkan. Dan tidak boleh ada pembukaan data pribadi kepada publik. Itu prinsip yang utama. Oke, lanjut. Memang ada pengecualian bahwa data pribadi itu normalnya adalah tidak akan dibuka atau dipindahtangankan tanpa persetujuan pasien, kecuali dalam situasi keadaan tertentu. Keadaan tertentu ini adalah ada 4, yang pertama adalah atas permintaan pasien sendiri, atau setidaknya atas persetujuan pasien. Yang kedua adalah kepentingan pelayanan kesehatan dan jaminan pembiayaannya, dan ketiga adalah permintaan aparatur penegak hukum dalam rangka penegakkan hukum, dan yang keempat adalah ketentuan peraturan perundang-undangan.
7 - Nah yang pertama ini tentang permintaan pasien sendiri, itu di sana kita contohkan adalah misalnya pada orang yang meminta dilakukan pemeriksaan terhadap dirinya dan kemudian informasi ini diberikan kepada perusahaan atau apa yang akan menerima dia menjadi pekerja, atau mereka yang akan melakukan, mengikuti pendidikan di tempat tertentu. Atau untuk kepentingan asuransi, untuk kepentingan penelitian uji klinik dan seterusnya. Itu adalah yang mereka kerjakan. Yang kedua adalah kepentingan pelayanan kesehatan yang dimaksud adalah termasuk di dalamnya melakukan audit medik, melakukan konsultasi kepada dokter lain, merujuk kepada rumah sakit lain atau melakukan penagihan jaminan kesehatan. Maka informasi data itu juga akan diberikan kepada orang lain. Tetapi sekali lagi, atas ijin pasiennya. Yang ketiga, permintaan aparatur penegak hukum dalam rangka penegakkan hukum. Ini bisa dalam rangka hukum acara pidana atau hukum perdata, atau juga hal-hal yang lain yang juga seringkali dipakai. Terutama kalau yang keempat yaitu kalau kita menggunakannya dalam rangka Undang- undang Wabah Penyakit Menular, maka di sana kelihatan bahwa informasi itu harus diberikan kepada petugas kesehatan yang melakukan rangkaian perjalanan data sehingga kemudian diproses dan kemudian itu. Saya kira ini sangat berkenaan dengan undang-undang ini. Kemudian ada Undang-undang Kekarantinaan Kesehatan juga kurang lebih mirip dengan itu, dan Undang-undang Pendidikan Kedokteran yang membolehkan data-data ini dipakai untuk kepentingan pendidikan maupun kepentingan penelitian. Lanjut. Nah kita di kedokteran, umumnya kita menggunakan konsep ini. Bahwa data yang kita buat anonym, jadi anonimisasi data itu dianggap suatu yang bukan lagi suatu data rahasia atau bukan lagi data pribadi. Karena menurut kita, menghilangkan komponen data yang dapat diidentifikasi sehingga data agregat tersebut, oh enggak selalu agregat, jadi data detail juga bisa, tidak lagi dianggap sebagai data pribadi. Lanjut. Nah masukan PERSI kemudian untuk kepentingan RUU ini adalah, yang pertama, mohon maaf, agak tidak terbaca. Yang pertama adalah kita tahu di RUU ini mengatur tentang hak pemilik data pribadi untuk melakukan atau mengakses data, melengkapi, memperbaharui dan menghapus data. Itu ada di dalam Pasal 4 -16 yang detail tentang ini adalah 5-8. Kita paham betul bahwa, sama, di kedokteran juga sama, di kesehatan juga berlaku, bahwa meskipun pasien itu dianggap pemilik data pribadi tadi, fasilitas pelayanan tetapi berkas rekam medik kesehatan. Jadi milik rumah sakit, milik puskesmas, milik klinik dan lain sebagainya. Dan semua peraturan tata cara pengendaliannya itu dikenakan kepada pengendali tadi, pengendali data. Sehingga peraturan ini tinggal mengatur bahwa perubahan tidak boleh dilakukan karena kita ingin otentik tetap, rekam medis itu, sehingga perubahan tidak boleh dilakukan atau hanya dapat dilakukan dengan mencoret data yang salah, harus tetap bisa dibaca, itu adalah tetap milik
8 - tetap yang dicoret. Dan kemudian menambahkan data yang benar. Dan menjelaskan mengapa dilakukan perbaikan itu. Kemudian diparaf dan dikasih tanggal lagi, waktu tadi. Nah, tidak diperkenankan menghapus suatu data dalam rekam medis. Nah konsep ini mengakibatkan agak bertentangan dengan RUU ini, karena RUU ini menginginkan bisa menghapus data pribadi. Kita membahas, ini sebenarnya mencari peluangnya. Peluang untuk menghapus data ketentuan dalam GDPR sebenarnya, (General Data Protection Regulation) di Eropa, yang dikenal sebagai nama the right to be forgotten. Right ini sebetulnya tidak harus seluruhnya dipenuhi sebetulnya. Ada di dalam pasal 17, artikel 17 ayat (2)-nya itu, mengatakan bahwa sebenarnya ini dibatasi oleh hal-hal yang tertentu, terutama yang berkaitan dengan kita adalah kalau yang akan dihapus ini sebetulnya penting, tidak boleh dilakukan menurut peraturan perundang-undangan, atau untuk mencapai suatu, ini kan untuk kepentingan publik, atau merupakan satu kepentingan untuk scientific atau historical research, maka dan juga statistical purposes, maka hal ini tidak boleh dilakukan. Kami mengharapkan bahwa yang ini bisa diterapkan bahwa GDPR tidak diterapkan pada semua hal, mohon dapat dikecualikan pada rekam medis, khususnya tentang menghapus tadi. Yang ketiga adalah tidak diatur di dalam RUU ini tentang hak menolak data pribadinya untuk diproses. Hak mencabut kembali persetujuan memang ada, tetapi hak menolak dari awal kok belum diatur. Sebaliknya juga kita masih belum melihat apakah boleh kita menggunakan data yang sudah terlanjur ada pada masa peralihan ini dengan dimudahkan tata caranya. Itu. Karena bisa dibayangkan, kalau data yang harus, kalau akan diproses harus memperoleh izin dari pemilik, maka bisa dibayangkan rekam medik yang sebegitu besarnya di BPJS, kalau mau diolah harus minta izin semua dari anggota, itu sama dengan kita meminta tanda tangan dari 180 atau hampir 200 juta penduduk. Itu saya kira hampir mustahil itu. Jadi apakah ada pengecualian di sana untuk menyelesaikan itu? Selanjutnya adalah kami juga menginginkan bahwa, tadi sudah dibacakan sih sebenarnya, bahwa tentang anonimisasi tadi mohon juga dapat diterima bahwa dengan menganonimkan maka berarti data itu sebenarnya bukan data pribadi lagi. Selanjutnya adalah Pasal 49 itu telah mengatur tentang pengiriman data ke luar negeri. Kita setuju dengan aturan itu. Yang penting adalah juga kita perhatikan bahwa yang kita pikirkan tidak hanya kepentingan perorangan sebagai pemilik data pribadi, tetapi juga kepentingan negara tempat para perorangan tersebut tinggal. Karena satu big data yang besar yang kita miliki kemudian semuanya bisa dibawa keluar, maka berbahaya sekali. Apalagi kalau sampai ke biometric data itu juga dibawa keluar. Maka habis kita tidak punya apa-apa nanti. Semua data yang diperoleh dari pelayanan kesehatan umumnya sangat laku kalau mau diperjualbelikan. Oleh karena itu mohon ini bisa diproteksi.
9 - Selanjutnya RUU PDP juga mengatur tentang perlunya persetujuan pemilik data pribadi sebelum pemrosesan. Perlu diingat pula bahwa dalam suatu penelitian besar multinasional, maka selain pemilik data pribadi, diperlukan juga persetujuan pengendali, peneliti dan prosesor lokal. Dan ini penting dia, kalau diatur akan lebih bagus, meskipun kita bisa mengatakan, kalau bisa, paling tidak diamanatkan bahwa hal-hal tentang ini diatur di peraturan pelaksananya. Ini kita mohon pengaturan tentang ganti rugi bagi pelanggar data pribadi agar lebih tegas demi pencegahan. Dan f, Pasal 17 ayat (3) sudah menyebutkan bahwa ketentuan teknis pelaksanaan pemrosesan data pribadi diatur oleh menteri. Mohon pengaturannya tidak sampai mengatur pembuatan rekam medis, sistem informasi rumah sakit, sistem informasi puskesmas dan penelitian bidang kesehatan. Karena hal itu telah diatur di dalam berbagai peraturan perundang-undangan dan standar kepedomanan di bidang kesehatan. Ini masalah rezim saja, mudah-mudahan bisa dipertimbangkan oleh Bapak-Ibu yang terhormat. Demikian, atas perhatian dan kerja samanya kami ucapkan terima kasih. Pimpinan yang terhormat, terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Bapak Prof. Dr. Budi Sampurno, yang menyampaikan paparannya. Selanjutnya kami persilakan kepada Ketua Umum IdEA untuk juga menyampaikan paparannya. WAKIL KETUA UMUM idEA (BIMA LAGA): Assalamu'alaikum Warahmatullahi Wabarakatuh. Salam sejahtera untuk yang beragama lain. Om swastiastu, namo buddaya, salam kebajikan. Perkenalkan nama saya Bima Laga, sebagai Wakil Ketua Umum Ekonomi Digital dari Asosiasi e-Commerce Indonesia, hari ini, pagi ini, telah hadir dari Public Policy dan Manager dari idEA, Bapak Rosid Udarajat di belakang saya, dan ada Ardanti, dari Public Policy and Government Relation Gojek, ada Abdillah dari Senior Lead Tokopedia (Public Policy and Government Relation), ada Bapak Yusak dari Public Policy and Government Shopee serta ada Pak Budi Primawan, Vice President Public Policy and Government Lazada. Sedikit perkenalan idEA sendiri, Asosiasi di next, boleh? IdEA sendiri sudah berdiri dari tahun 2012, ownernya ada 9 company dari e-commerce, mungkin Bapak-Ibu ada yang sudah pernah belanja di e-commerce-e- telah
10 - commerce member idEA, per 2020 asosiasi kita sudah ada 236 member. Dan masing-masing dari kategorinya sendiri ada market place on online retail, classified ads, daily deals, directory travel, bank, logistic, infrastruktur dan payment gateway. Di next, masuk rekomendasi kami. Next. Ya, poin-poin rekomendasi dari RUU PDP ini kurang lebih kita bagi menjadi 4, yang pertama adalah definisi, yang kedua adalah kewajiban pengendali data, yang ketiga mengenai ketentuan mengenai sanksi dan pidana, yang keempat, usulan dari kami adalah pembentukan komisi independen. Masuk ke rekomendasi yang pertama, di next, di rekomendasi yang pertama, kita ingin definisi, mudah-mudahan bisa diperjelas mengenai explicit content. Karena apa? Karena analisis dan usulan dari kami, explicit content hanya berlaku untuk pemrosesan data spesifik yang sifatnya terbatas. Bisa dilihat dari definisi explicit content yang mengacu ke persetujuan yang sah di dalam PP Nomor 71 Tahun 2019 yaitu persetujuan yang disampaikan secara eksplisit tidak boleh tersembunyi atau atas dasar kehilafan, kelalaian dan kepaksaan. Rekomendasi yang kedua adalah kewajiban pengendali data, next, dan jangka waktu pemenuhan hak. Kami berpendapat, untuk hal-hal teknis, yang sebaiknya yang ada di dalam RUU DPD ini, itu dapat diatur di dalam Peraturan Pemerintah ataupun Peraturan Menteri. Karena sebagai perbandingan dari GDPR, pengaturan dalam GDPR terkait dengan ketentuan serupa adalah satu bulan. Dan di sini kalau dilihat data-datanya, itu maksimal ada 7 kali 24 jam. Di next, rekomendasi ketiga dari kami adalah kewajiban pengendali data, akurasi dan verifikasi data. Verifikasi atau akurasi data baiknya menjadi hak serta kewajiban dari para pemilik data. Kewajiban dapat melanggar prinsip terkait data minimization, di mana pengendali data seharusnya tidak yang dibutuhkan. Rekomendasi adalah, mengumpulkan data-data rekomendasi kami adalah Pasal 35 dapat dihapus. Di nomor 4, kewajiban pengendali data dan pemulihan data yang dihapus. Pada praktiknya, jika data itu sudah dihapus, akan menjadi suatu kesulitan jika data yang dihapus dipulihkan kembali. Karena kalau kita di platform itu kita sudah destroy, data-data itu akan destroy selamanya. Di poin nomor 5, kewajiban pengendali data dan pengumuman kegagalan. Pengumuman setiap kegagalan Pelindungan data pribadi pada menteri dan individu, terkena dampaknya, seharusnya ada tingkatan resiko yang ada. Apakah tingkatan resiko itu bahaya, serius. Kalau kita benchmark, kami ambil benchmark dari negara Australia dan Canada, di mana pengendalian datanya itu pemberitahuan, hanya diperlukan apabila ada resiko nyata atas bahaya signifikan bagi terdampak. Pemberitahuan diarahkan bagi pemilik data agar dapat dilakukan memproteksi data masing-masing, jika ada pengumuman kegagalan data. individu yang
11 - Dan pemberitahuan pelanggaran diberikan apabila menyangkut tingkat resiko yang sangat tinggi. Di poin 6, sanksi. Untuk mencegah adanya penyalahgunaan sanksi, maka perlu ada ketentuan terkait unsur-unsur kerugian terkait pemilik data, sampai batas seperti apa kerugiannya, atas hukuman pemidanaan. Dan menjadikan sanksi pidana sebagai ultimatum remedium. Karena kita yang takut dari player adalah jika nanti sanksi ini akan bisa disalahgunakan. Dan nomor 7 rekomendasi kami yang terakhir adalah pembentukan komisi independen. Kami mendukung pembentukan komisi independen diharapkan mengakomodir unsur-unsur berbagai macam pemangku kebijakan, kepentingan dari Pemerintah, contohnya Kemenkominfo dan BSSN dan unsur non pemerintah, pelaku bisnis, asosiasi, dan organisasi sipil, sebagai fungsi check and balances dan menjaga independensi. Diusulkan untuk memasukkan skema pembinaan dan insentif bagi pengelola data yang sudah melakukan pengelolaan data yang baik. Saya rasa itu 7 poin rekomendasi kebijakan dari Asosiasi e-Commerce Indonesia. Terima kasih Bapak-Ibu Pimpinan, Anggota Dewan yang terhormat. Wassalamu'alaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Waalaikumsalam Warahmatullahita'ala Wabarakatuh. Terima kasih kepada saudara Bima Laga yang telah mewakili Ketua Umum idEA. Selanjutnya waktu kami persilakan kepada Saudara Budi Gandasoebrata, Wakil Ketua Umum AFTECH. Waktu dipersilakan. WAKIL KETUA UMUM AFTECH (BUDI GANDASOEBRATA): Terima kasih. Assalamu'alaikum Warahmatullahi Wabarakatuh. Salam sejahtera bagi kita semua, om swastiastu, nama budaya, salam kebajikan. Yang kami hormati Bapak Pimpinan rapat hari ini, Bapak Bambang Kristiono, S.E., Yang kami hormati Bapak-Ibu Anggota Dewan Komisi I, Yang kami hormati Ketua Umum dan juga rekan-rekan dari Asosiasi e- Commerce Indonesia, dari PERSI, dari US-Asean Business Council di Indonesia, dan rekan-rekan terhormat hari ini.
12 - Perkenalkan nama saya Budi Gandasoebrata, hari ini saya hadir selaku Wakil Ketua dari Asosiasi Fintech Indonesia. Di belakang saya juga hadir Bapak Adrian Gunadi, yang menjabat sebagai Ketua Umum dari Asosiasi Fintech Pendanaan Bersama (AFPBI). Pertama-tama izinkan kami dari perwakilan AFTECH dan AFPBI untuk mengucapkan terima kasih dan penghargaan yang sebesar-besarnya atas kesempatannya untuk beraudiensi dengan Bapak-Ibu sekalian, terutama dengan topik yang penting sehubungan dengan RUU PDP ini. Sebelumnya mohon izin untuk bisa memulai, saya memulai dengan memperkenalkan mengenai Aftech sendiri. Kami merupakan asosiasi payung bagi penyelenggaraan Fintech di Indonesia. Visi kami adalah untuk mendorong inklusi keuangan melalui layanan keuangan digital. Misi kami di Aftech adalah mendukung target inklusi keuangan sesuai dengan strategi nasional untuk inklusi keuangan, dengan meningkatkan akses penggunaan dan kualitas pelayanan keuangan yaitu sebesar 90% di tahun 2023. Secara keseluruhan, AFTECH dan AFPBI menaungi lebih dari 370 anggota, yang merupakan penyelenggara layanan insurtech, wealth Fintech dari berbagai bidang, seperti pembayaran, management, equity crowdfunding, pendanaan bersama, inovasi keuangan dan lainnya. Dan ini juga sudah mencakup lebih dari 80% industri Fintech di Indonesia. Saat ini seperti yang Bapak-Ibu Anggota Dewan yang terhormat telah ketahui, layanan industri Fintech di Indonesia sudah cukup luas. Dan kami percaya dalam perkembangannya, kami dapat memberikan kontribusi yang baik terhadap perkembangan ekonomi Indonesia. Diperkirakan kontribusi Fintech terhadap gross domestic product atau pendapatan domestik bruto di Indonesia tahun 2020 ini sudah mencapai Rp100 triliun. Selain penyerapan tenaga kerja yang cukup besar, industri Fintech ini juga membantu proses digitalisasi UMKM yang juga merupakan landasan penting atau economic driver bagi Indonesia. Saat ini sudah ada sekitar 400 juga pengguna layanan uang elektronik di Indonesia. Bapak-Ibu Anggota Dewan yang terhormat. Sehubungan dengan tema hari ini, yaitu jaminan Pelindungan data pribadi dan data finansial membangun kepercayaan masyarakat, izinkan kami untuk menyampaikan beberapa hal. Yang pertama, pertama-tama pembahasan RUU PDP ini merupakan angin segar yang dibutuhkan khususnya bagi kami, pelaku industri Fintech di Indonesia. Karena di dalam industri Fintech, kenyamanan dan kepercayaan konsumen itu sangat penting, karena tanpa hal tersebut, industri kami tidak mampu maju dan juga berkembang. Yang kedua, disebabkan pentingnya rasa kepercayaan konsumen dan praktik yang melindungi Pelindungan data pribadi bagi industri kami, sejak awal berdiri industri kami sudah melakukan berbagai upaya dan inisiatif untuk
13 - menerapkan prinsip Pelindungan data pribadi. Tentunya dengan mengikuti berbagai undang-undang, peraturan pemerintah, maupun peraturan menteri yang terkait untuk memastikan praktik usaha yang bersih, termasuk di dalamnya keamanan siber dan juga Pelindungan siber termasuk data pribadi mereka. Peraturan perundangan tersebut termasuk Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, Permenkominfo Nomor 20 Tahun 2016 tentang Pelindungan Data Pribadi dalam Sistem Elektronik, Peraturan Bank Indonesia Nomor: 16/1/PBI/2014, tentang Pelindungan Konsumen Jasa Sistem Pembayaran dan lain-lain. Mungkin seperti yang sudah ditayangkan, ini berbagai landasan hukum yang sudah menjadi acuan kami dalam menyelenggarakan jasa Fintech hari ini. Jadi ada dari Permenkominfo, POJK, PBI dan juga Peraturan Pemerintah maupun Peraturan Menteri lainnya. Kami dari industri juga sudah melakukan berbagai inisiatif untuk meningkatkan layanan kepada masyarakat, termasuk menerbitkan Kode Etik atau Code of conduct agar para penyelenggara layanan Fintech mengikuti prinsip dasar pelaksanaan industri keuangan yang bertanggung jawab. Juga termasuk dalam hal Pelindungan data konsumen. Ini yang mungkin sudah kami, seperti yang sudah saya sampaikan sebelumnya, ini merupakan pedoman perilaku atau code of conduct yang sudah kami lakukan sebagai dasar kami melakukan bisnis di industri Fintech ini. Selain itu kita juga banyak para penyelenggara Fintech yang sudah melakukan audit dan menerapkan standar internasional dalam upaya pengamanan data seperti SNI atau ISO 27001 mengenai Standar Sistem Keamanan Informasi, ada juga PCIDSS untuk instrument data kartu dan juga data pribadi, dan standar-standar lainnya yang untuk menjamin keamanan data pribadi itu terlindungi. Di awal tahun ini Aftech juga membentuk task force satu gugus tugas yang ditugaskan merancang Panduan Pelaksanaan Pelindungan Data Pribadi bagi industri Fintech. Draft panduan pelaksanaan PDP ini sudah dalam tahap finalisasi. Dalam pembuatannya, draft panduan PDP bagi industri Fintech sudah melalui proses audiensi dengan Kementerian Kominfo, Otoritas Jasa Keuangan serta Kementerian dan juga asosiasi terkait. Selama beberapa bulan ke depan, draft panduan pelaksanaan PDP ini juga akan melakukan audiensi dengan berbagai macam stakeholder lainnya, dan kami harapkan juga bisa berdialog dengan Anggota Dewan jika berkenan. Hal ini kami lakukan karena kami percaya, Pelindungan data pribadi amatlah sangat penting bagi industri kami. Saat ini di lapangan kami dihadapkan dengan oknum yang tidak bertanggung jawab, seperti pelaku kejahatan siber, dan kami kesulitan karena tidak adanya payung hukum spesifik PDP yang bisa membantu kami untuk memperjuangkan hak-hak konsumen.
14 - Dengan adanya RUU PDP ini maka perjuangan kami untuk melindungi data konsumen itu menjadi lebih kuat. Dan pelaku industri bisa memberikan layanan kepada konsumen kami, dengan lebih baik dan juga lebih luas. Terutama mengingat di era pandemik ini, tanggung jawab kami di industri Fintech, untuk dapat membantu masyarakat melalui proses digitalisasi keuangan, khususnya dengan mengurangi kontak fisik saat melakukan transaksi keuangan ataupun layanan keuangan lainnya. Ketiga, yaitu pokok dari diskusi ini sehubungan dengan materi RUU PDP ini yang menurut kami sudah cukup baik dan menyeluruh. Ada besarannya 4 hal yang kami harap dapat menjadi bahan diskusi lebih lanjut dengan para Anggota Dewan yang terhormat. Poin nomor 1, sehubungan mengenai sanksi administratif dan pidana. Kami mendukung adanya sanksi yang berat bagi para pelanggar terutama dalam bentuk sanksi administratif, denda finansial dan penggantian ganti rugi terhadap konsumen yang dirugikan. Namun pada saat yang sama kami harapkan sanksi ini dapat diterapkan secara proporsional dan juga tidak tumpang-tindih dengan aturan perundangan yang lainnya. Untuk itu usul kami adalah penyesuaian dari Pasal 61 - Pasal 69, khususnya seperti yang tadi kami sudah sampaikan, sudah ada peraturan-peraturan lainnya yang sudah membahas khusus mengenai Pelindungan data pribadi dari instansi lain yang terkait. Kedua, sehubungan dengan penjabaran lebih lanjut beberapa pasal yang diatur dalam Pasal RUU PDP seperti yang kami tayangkan ini, dibutuhkan definisi yang lebih lanjut untuk mencegah multitafsir dari pasal- pasal yang disampaikan ini. Ada beberapa pasal lainnya, di mana penjabaran lebih lanjut juga diperlukan, seperti yang kami sebutkan dalam presentasi. Jadi ada subjek undang-undang, profiling, data interoperabilitas, definisi kegagalan data pribadi dan yang lainnya. Poin ketiga, sehubungan dengan implementasi khususnya untuk jangka waktu pelaksanaan penghentian pemrosesan dan lain-lain. Mengingat undang-undang yang perlu berlaku untuk seluruh sektor di Indonesia, sehingga kapabilitas setiap sektor maupun pelaku usaha yang berbeda-beda, kami harapkan implementasi ini bisa lebih mengakomodir berbagai kondisi dan situasi, dan ini dapat lebih lanjut diatur dalam Peraturan Pelaksanaan undang-undang. Poin keempat dan yang terakhir, mengenai pengawasan implementasi. Kami sepakat bahwa pengawasan amatlah penting dan kami mengusulkan agar dapat dibentuk sebuah unit khusus ataupun yang independent di dalam Kominfo, yang bisa terdiri dari berbagai ahli dan pemangku kepentingan agar pengawasan dapat dilakukan secara baik dan juga menyeluruh. Terakhir kami berharap bahwa dialog ini bisa terus dilakukan selama proses pembahasan RUU PDP ini di Majelis, sehingga masa transisi dan implementasi RUU PDP inian implementasi) sehingga masa transisi dan implementasi RUU PDP ini. Dengan cepatnya digitalisasi dan perkembangan
15 - teknologi ternasuk penyerangan siber (cyber attack), kami berharap industri dapat menjadi mitra dari Dewan, khususnya Komisi I, serta pemerintah dan kami secara bersama-sama, dapat memastikan bahwa kami dapat satu langkah lebih depan dengan melindungi data pribadi dan juga memberikan layanan yang terbaik bagi konsumen kami. Sebagai pemain industri Fintech, kami tidak hanya memberikan layanan, tapi kami sendiri secara pribadi adalah pengguna dari layanan tersebut dan juga kami ingin adanya Pelindungan apabila kami menggunakan layanan tersebut. Kami siap mendukung DPR dan juga Pemerintah untuk mengimplementasikan prinsip Pelindungan data yang baik, untuk kemajuan dan kebaikan masyarakat dan ekonomi Indonesia di era digital ini. Akhlir kata, mewakili Aftech dan juga AFPBI, saya mengucapkan terima kasih sekali lagi atas kesempatan yang telah diberikan kepada kami hari ini. Wabillahitaufik Walhidayah. Wassalamualaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Waalaikumsalam Warahmatullahita'ala Wabarakatuh. Terima kasih kepada Saudara Budi Gandasoebrata. Dan selanjutnya akan kita dengarkan paparan dari Saudara Landry Harso Subianto, Kepala Kantor Perwakilan US-Asean Business Council. Waktu kami persilakan. KEPALA KANTOR PERWAKILAN INDONESIA US-ASEAN BUSINESS COUNCIL (LANDRY HARYO SUBIANTO): Terima kasih Bapak Pimpinan Rapat. Yang mulia Bapak Pimpinan Rapat, Bapak H. Bambang Kristiono, S.E., Yang mulia seluruh Anggota Komisi I yang hadir pada pagi hari ini, Bapak dan Ibu serta rekan-rekan sekalian yang saya hormati. Assalamualaikum Warahmatullahi Wabarakatuh. Salam sejahtera, om swastiastu, salam kebajikan. Pertama-tama atas nama President, Chairman dan CEO US-Asean Business Council, Bapak Alexander Feldman beserta seluruh perusahaan Anggota US-A BC, izinkan kami mengucapkan terima kasih atas Rapat Dengar Pendapat Umum pada hari ini, dalam rangka pembahasan RUU Pelindungan Data Pribadi. Kami sangat mendukung dan mengapresiasi penuh upaya pemerintah bersama DPR RI untuk membahas dan menyelesaikan RUU ini secara inklusif, termasuk dengan mengundang kami pada hari ini. Tapi sebagai
16 - pembicara terakhir, banyak sekali hal-hal yang tadi telah disampaikan oleh rekan-rekan dari PERSI, dari Aftech, dan juga rekan-rekan dari idEA, yang pada intinya kami juga banyak share Bapak, pandangan dan juga posisinya dari teman-teman pada pagi ini. Tapi bagi kami, dialog hari ini merupakan kesempatan yang sangat berharga dan penting khususnya, untuk menindaklanjuti masukan atau usulan yang telah kami sampaikan secara tertulis kepada, eh melalui surat dari Bapak Alexander Feldman kepada Yang Mulia Ketua Komisi I tertanggal 2 April 2020. Dan juga pada kesempatan ini kami hadir bersama rekan-rekan dari Kantor US-A BC Indonesia serta Komite-Komite Indonesia, Financial dan ICT yang atas izin dari Bapak Pimpinan Rapat, mungkin akan membantu kami untuk memberikan penjelasan jika diperlukan. Dalam kesempatan ini, sekali lagi seperti halnya rekan-rekan di forum yang sangat terhormat ini, kami kembali menekankan bahwa US-A BC beserta seluruh Anggota US-A BC yakni hampir 170 perusahaan besar Amerika berskala global yang masuk dalam Fortune 500 memiliki komitmen yang kuat untuk mendukung ekonomi digital yang kuat, maju serta aman. Kami juga memandang bahwa regulasi PDP sangat penting untuk menjaga kepercayaan publik, investor dan konsumen, yang selanjutnya akan sangat mendukung keberlangsungan industri dan ekonomi pada khususnya. Oleh karena itu penting kiranya untuk dapat merumuskan RUU yang selaras dan harmoni dengan kerangka-kerangka internasional atau best practices lainnya seperti misalnya efek CBPR (Cross Border Private Rules) dan praktek-praktek di negara-negara maju, agar Indonesia tetap menjadi atau, agar Indonesia bisa menjadi hap industry digital dan berdaya saing global. Demi meningkatnya, eh demi meningkatkan daya saing Indonesia dengan negara-negara lain yang lebih maju di bidang teknologi, kami juga menekankan tidak hanya pentingnya menyelaraskan Pelindungan data pribadi dengan pengembangan inovasi di bidang data dan teknologi, tapi juga pentingnya memiliki aturan yang dapat diterapkan dan menjangkau ke depan, terutama oleh dunia usaha baik skala besar maupun kecil, termasuk UMKM, seperti yang tadi juga telah disampaikan oleh rekan kita dari idEA. Bukankah kita semua, baik pemerintah di berbagai negara serta pelaku usaha menyadari penuh arti strategis data dalam ekonomi modern dewasa ini dan ke depan. Yang Mulia Bapak Pimpinan serta Anggota Komisi I. Dalam surat kami tanggal 2 April lalu, US-A BC menyampaikan 11 pokok masukan dalam berbagai aspek RUU PDP. Kami juga telah melakukan kajian teknis, dalam membantu pembahasan daftar inventarisasi masalah yang atas izin Bapak Pimpinan akan kami sampaikan pada kesempatan hari ini. internal, menyusun bahan masukan yang lebih
17 - izinkan kami untuk menggarisbawahi pada 4 hal utama yakni terkait definisi dan cakupan data pribadi, pemrosesan data pribadi, manajemen kegagalan, serta pemberlakuan grandfathering clause. Namun mengingat keterbatasan waktu, Pertama, terkait definisi dan cakupan data pribadi, kami sangat memandang pentingnya kejelasan atas konsep-konsep dasar, khususnya terkait dengan definisi dan ruang lingkup yang sangat krusial dalam RUU ini. Kami ingin juga memastikan melalui Bapak dan Ibu sekalian, bahwa ruang lingkup dan cakupan data pribadi dalam RUU ini hanya mengacu pada data individu atau orang per orangan, dan bukan data organisasi atau korporasi. Hal ini selaras dengan berbagai peraturan lain dan praktik-praktik yang ada di dunia. Guna menajamkan RUU ini, kiranya dapat pula diberikan kejelasan antara pengontrol dan pemroses data, termasuk dalam hal ikhwal hak dan kewajibannya masing-masing, seperti yang termaksud dalam Bab V RUU PDP. Di sini kami juga ingin menekankan pentingnya perbedaan antara isu- isu keamanan siber dan isu privasi, di mana isu keamanan siber lebih terfokus kepada tadi telah disampaikan rekan-rekan sekalian, sementara privasi menyangkut mengenai posisi hukum terhadap bagaimana data digunakan secara efektif, bertanggung jawab dan konstruktif bagi inovasi dan ruang berusaha bagi seluruh pelaku ekonomi digital. infrastruktur, seperti yang US-A BC juga melihat bahwa definisi data pribadi, hendaknya tidak mencakup data-data yang dienkripsi, dianonimkan, tidak diidentifikasi dan data pseudonym atau disamarkan dengan alasan-alasan bahwa hal tersebut kurang selaras dengan best practices dalam mendukung pengembangan di era digital ekonomi modern, di mana data sering digunakan untuk berinovasi, karena penggunaan data tersebut beresiko rendah untuk pemilik data. Kemudian jenis data tersebut sangatlah penting bagi perusahaan dalam menganalisis data, untuk meningkatkan produk, operasi, layanan bagi konsumen. Karenanya memberlakukan tambahan pada tipe data ini berpotensi untuk membatasi kemampuan bisnis untuk berinovasi, dan bersaing secara efektif dalam ekonomi digital modern dan global. Misalnya saja, dalam beberapa hal, penyamaran data mungkin tidak dapat dilakukan, tidak praktis atau tidak sesuai untuk setiap keadaan. Dan justru akan menyulitkan secara teknis dan bukan tidak mungkin, tidak dapat dilakukan oleh pengendali data pribadi khususnya terutama oleh usaha kecil. Harus terus-menerus melakukan pseudominisasi atau debs dominisasi data atas permintaan pemilik data pribadi. juga terkadang itu kami menyarankan perlunya mungkin kami menyarankan agar data pseudonym dan lain sebagainya ini tidak termasuk data pribadi, agar tidak terdapat multi intepretasi di kemudian hari. Dan ini selaras dengan apa yang sudah disampaikan oleh rekan-rekan dalam kesempatan yang berharga ini. Oleh karena juga mengharapkan kiranya data keuangan pribadi dapat dikecualikan dari data Masih dalam konteks definisi dan ruang lingkup, kami
18 - pribadi yang bersifat spesifik. Seperti tadi juga kembali juga disampaikan oleh rekan-rekan dari dalam kesempatan pagi ini. Perlakuan data pribadi dalam kategori data pribadi spesifik dapat mengakibatkan bahaya yang tidak disengaja bagi pemilik data sistem keuangan dan pemerintah dengan alasan- alasan bahwa pertama, pemrosesan data keuangan memililki manfaat mendasar, dan penting untuk pemilik data pribadi dan pelaku lain dalam digital ekonomi. Dengan menetapkan batasan yang ketat, akan menempatkan industri keuangan Indonesia pada kerugian kompetitif yang signifikan dengan pesaing negara lain yang tidak memiliki kendala serupa. Kemudian kendala keuangan juga tidak dimasukkan sebagai data sensitif di berbagai hukum di negara-negara lain termasuk Undang-undang Privacy Australia, Undang- undang Jepang tentang Pelindungan Informasi Pribadi, Undang-undang Pelindungan Informasi Pribadi Korea, Undang-undang Pelindungan Data Pribadi Malaysia, dan UGDPR. Data keuangan dapat menginformasikan apakah pelanggaran data beresiko menimbulkan dampak material kepada pemilik data. Berdasarkan pada berbagai kasus pelanggaran data di Amerika Serikat, pelanggaran yang melibatkan data keuangan misalnya informasi rekening bank, informasi kartu kredit dan PIN dapat dilaporkan tapi tidak tunduk kepada persetujuan eh pada persyaratan persetujuan yang lebih tinggi untuk data sensitif. Selain itu, sebagaimana juga tadi telah disampaikan, data keuangan telah diatur secara ketat melalui sektor keuangan dan karenanya Pelindungan data tambahan melalui kerangka pribadi yang jauh lebih luas semestinya tidak diperlukan. terkait konteks pemrosesan data. Kami sangat mengharapkan agar RUU ini dapat memastikan atau menjamin transfer data termasuk cross border data transfer, yang akuntabel melalui modal tanggung jawab bersama, share responsibility. Tujuannya adalah agar tercipta interoperabilitas dimana transfer data dapat dilakukan melalui berbagai mekanisme internasional yang telah diakui, sehingga kendala atau beban administratif yang tidak perlu bagi pelaku usaha dan konsumen dapat dihindari. Upaya ini juga hendaknya didasarkan pada tanggung jawab bersama antar berbagai pihak seperti pengendali dan pemroses data, serta pihak ketiga lainnya dalam seluruh rantai pemrosesan data. Dengan demikian kami mengharap agar data pribadi masih dapat ditransfer melewati batas negara. Karena pengendali data tetap harus bertanggung terlepas dari dimanapun keberadaan geografisnya. Hal kedua yang ingin kami sampaikan adalah jawab dalam melindungi data Guna memastikan berjalannya interoperabilitas ini, maka RUU ini seyogyanya dapat juga memperkuat justru, peraturan-peraturan korporasi yang mengikat serta kewajiban pemenuhan-pemenuhan kontrak. Saat ini juga RUU memperluas hak portabilitas terhadap jenis data pribadi di luar yang disediakan oleh pemilik data pribadi. Hal ini kiranya mungkin kurang selaras dengan hak portabilitas data berdasarkan praktik-praktik yang telah diterapkan di berbagai negara, dimana data pribadi, yang mencakup data pribadi yang disediakan oleh subjek data. Kami ingin memastikan bahwa ruang lingkup dari data portabilitas terbatas hanya pada data-data elektronik yang disediakan oleh pihak pemilik data. Dan bahwa ketentuan portabilitas
19 - data ini ditentukan sesuai dengan visibilitas teknis dan kiranya agar dilakukan konsultasi dengan berbagai pemangku kepentingan, termasuk industri, sebelum klausula tentang portabilitas data ini diberlakukan. Juga terkait aspek lain seperti target profiling, kami menyarankan kiranya perlu dibuat kejelasan bahwa hak pemilik data untuk keberatan pada pemeriksaan otomatis tidak berlaku, jika keputusan diperlukan untuk memasuki dan melaksanakan kontrak antara subjek data dan pengontrol data pribadi atau jika didasarkan pada persetujuan eksplisit subjek data pribadi. Kami menyarankan pula agar kiranya ketentuan untuk melakukan verifikasi menjamin keakuratan, kelengkapan dan konsistensi data, kiranya dapat dihapuskan. Untuk memverfikasi pengendali data akan membutuhkan data-data tambahan dari pemilik data. Hal ini tidak sesuai dengan prinsip minimalisasi data dalam pemrosesan data, sehingga khususnya data sensitif dalam forum-forum yang besar akan sangat meningkatkan resiko keamanan. Dan karenanya sangat menyulitkan dan sulit untuk dipenuhi terutama bagi usaha-usaha kecil. Kemudian terkait persyaratan persetujuan eksplisit. Pemilik data dapat persetujuan mereka terhadap penggunaan data keuangan untuk pencegahan penipuan. Hal ini akan membuat mereka terbuka untuk situasi berbahaya dan akan mengurangi jumlah data yang tersedia untuk mengindentifikasi pola penipuan juga menghambat upaya-upaya hukum oleh perusahaan untuk menyelidik dan memulihkan utang. Hal-hal ini akhirnya akan sangat terkait dengan hal ketiga yang ingin kami garis bawahi, yakni manajemen kegagalan Pelindungan data yang efektif. Beberapa hal juga tadi setelah disampaikan, bahwa manajemen Pelindungan data pribadi perlu aplikatif dan sesuai dengan praktik internasional di berbagai negara, misalnya saja sebagai contoh di Canada. Termasuk di dalamnya adalah mendefinisikan dan mengkategorisasikan kebocoran data berdasarkan resiko, guna menghindari pelaporan yang berlebihan, over reporting notification fethic, dari sisi pengguna dan lembaga pengawas data pribadi. Kiranya juga dapat diberikan persyaratan dan kerangka waktu yang diperpanjang guna memastikan pelaku usaha memiliki waktu yang memadai untuk melakukan investigasi dan memberikan respon yang memadai terhadap permintaan terkait data. Manajemen kebocoran ini juga terkait erat dengan sanksi. Kami mendorong agar kiranya lebih dimajukan peringatan denda administratif dan pembatasan-pembatasan sipil lainnya serta sedapat mungkin menghilangkan saksi-saksi punitif atas hukuman pidana. Jika memang perlu dirasakan adanya penerapan hukum pidana, tadi kami sepakat, perlunya, hal ini remedium. Hanya diberlakukan atas diberlakukan sebagai ultimatum kebocoran-kebocoran yang disengaja, berulangkali, dan berdampak mengerikan, engregious, yang secara nyata dan terukur sangat membahayakan keamanan dan keselamatan dan diberlakukan kepada pelaku-pelaku yang jahat yang diberlakukan juga secara bertahap.
20 - Terakhir, kami juga mengusulkan perlunya diberlakukan grandfathering clause, atau pengecualian atas data pribadi yang telah dikumpulkan dan menjamin kepatuhan terhadap regulasi yang sebelumnya telah berlaku di Indonesia. Kami mendorong sepakat dengan ketiga rekan kami, asosiasi lain di sini, bahwa kami mendorong kiranya Pemerintah agak membentuk lembaga independen, semisal komisi independen untuk Pelindungan data pribadi, yang diberikan tugas untuk memastikan dan mengawasi pelaksanaan RUU ini. Demikian Bapak Pimpinan, Bapak-Ibu sekalian, masukan dan saran- saran yang dapat kami sampaikan dalam forum yang sangat terhormat ini. Sekali lagi, masukan ini merupakan wujud komitmen, tanggung jawab, dan upaya nyata dari US-A BC beserta seluruh anggotanya untuk memberikan Pelindungan terhadap pemilik data, mendorong investasi dan memperkuat pembangunan ekonomi digital nasional serta tetap menjaga iklim investasi yang kompetitif ditengah persaingan global yang semakin tajam. Pemulihan ekonomi pasca Covid-19 akan menjadi momentum bagi penguatan upaya bersama kita. Demikian kami sampaikan. Wabillahitaufik Walhidayah. Wassalamualaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Waalaikumsalam Warahmatullahita'ala Wabarakatuh. Terima kasih Saudara Landry Harso Subianto. Bapak dan Ibu narasumber sekalian, Terima kasih atas paparan dan penjelasan yang telah disampaikan. Dan selanjutnya kita akan memasuki kepada materi pendalaman atau tanya-jawab. Untuk itu dipersilakan kepada yang terhormat Ibu-Bapak Anggota Komisi I DPR RI untuk menyampaikan pertanyaan juga masukan- masukannya. Telah masuk di meja kami, beberapa penanya, yang pertama nanti akan disampaikan oleh Pak Sturman Panjaitan, kemudian berikutnya adalah Pak TB. Hasanuddin. Pak Sturman, waktu kami persilakan. F-PDI PERJUANGAN PANJAITAN, S.H.): (MAYJEN TNI. MAR (PURN) STURMAN Terima kasih Pimpinan. Assalamualaikum Warahmatullahi Wabarakatuh. Salam sejahtera bagi kita sekalian. Dan semoga kita diberikan kesehatan, kekuatan, agar mampu menghadapi segala macam tantangan yang ada saat ini. Pertama-tama saya ucapkan terima kasih seluruh para ahli yang sangat profesional di bidang nya
21 - masing-masing untuk memberikan masukan kepada Komisi I, untuk bahan yang harus kita bisa masukkan dalam Rancangan Undang-undang Pelindungan Data Pribadi. Dan ini memang sudah menjadi kewajiban Anggota DPR RI khususnya Komisi I untuk menerima masukan dari berbagai macam pihak, baik yang pro, bahkan yang kontra pun kita harus tetap masukkan. Karena setiap undang-undang yang sudah diundangkan bahkan sudah berjalan sebagai undang-undang yang positif, tidak semua masyarakat bisa menerima itu. ini hal yang perlu kita yakini. Jadi oleh karena itu dari ini kita dapat dari PERSI, terima kasih Bapak- Ibu, dan kemudian dari Ketua Umum idEA, dari Aftech, terakhir dari apa, US apa ini Pak? US-Asean Business Council yang memang bergerak di bidang masing-masing. Bukan US Marine ya Pak ya? Oh bukan, alhamdulillah. Kalau bukan, berarti Bapak teman saya. Bapak-Ibu sekalian yang luar biasa. Saya hanya ingin meminta Pak, karena kalau mencermati, saya banyak sekali, saya mencoba renungkan itu, memang tidak mudah, karena kami tidak ahli di bidang masukan Anda-anda itu. Minggu lalu, kami juga mendapatkan informasi seperti ini. Justru yang mereka katakan bahwa yang lebih perlu dilindungi adalah behavior, bukan sekedar data-data kesehatan, keuangan atau apa itu, yang ini justru yang memang menurut mereka, yang sering disalahgunakan. Kebiasaan Bapak, misalnya dari US-Asean Council yang suka ke karaoke, misalnya, itu ketauan Pak. Ya Bapak naik pesawat dengan menggunakan aplikasi apa, Bapak duduk di kelas bisnis atau ekonomi, itu ada. Justru itu yang paling rawan sebetulnya. Nah oleh karena itu Bapak-Ibu sekalian, tadi dari Pak Ketua Umum idEA sudah menyampaikan berapa pasal-pasal yang akan diperbaiki. Nah saran saya juga dari masing-masing pembicara ini, mohon sampaikan Pak, pasal-pasal mana yang menurut Bapak perlu dikurangi atau ditambahi. Tidak harus yang ada di dalam rancangan undang-undang itu. Karena rancangan undang-undang itu perlu kita tambahi. Dan ini kalau bisa memang saya bagian dari Badan Legislasi, pokoknya jadi dulu deh. Tapi saya bilang, "Jangan, kalau memang kita lebih baik, kenapa tidak, begitu lho". Jadi mohon masukan yang lebih detail, dan pertemuan ini saran saya, bukan hanya pada siang ini saja. Tapi mungkin dalam waktu lain, dalam konteks yang lebih detail, sehingga apa yang kita hasilkan dalam rancangan undang- undang ini sangat bermanfaat bagi masyarakat. Karena kita harus masukkan ini dalam, segera. Ada 3 sebenarnya dari DPR RI Komisi I ini yang kita ajukan rancangan undang-undang, salah satunya yang disetujui kalau saya tidak keliru, adalah ini. Itu kita bicara untuk sampai bulan Oktober. Jadi masukan dari Bapak-Ibu sekalian kami sangat harapkan, sehingga kami pun bisa langsung. Karena ini sangat penting buat Panitia Kerja atau DIM yang akan dibicarakan nanti. Terima kasih Pimpinan.
22 - Wassalamualaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Waalaikumsalam Warahmatullahita'ala Wabarakatuh. Terima kasih Pak Sturman. Selanjutnya kami persilakan kepada Bapak TB. Hasanudin. Dan cadangannya Ibu Hillary Brigita Lasut. F-PDI PERJUANGAN (DR. H. HASANUDIN, S.E., M.M., M.SI.): Terima kasih Pimpinan Rapat. Bapak dan Ibu sebagai narasumber yang kami hormati, Saya ucapkan, Assalamualaikum Warahmatullahi Wabarakatuh. Pertama saya menyampaikan rasa apresiasi kepada Bapak-Bapak. Ini narasumber yang cukup memberikan masukan sampai ke pasal-pasal. Jadi nanti kita akan tampung. Tapi tentu kita berharap karena undang-undang ini juga inisiatif dari Pemerintah, mungkin sebaiknya Bapak dan menyampaikannya juga kepada Pemerintah. Sehingga ketika kami membahas di Komisi I antara DPR dengan Pemerintah, maka semua akan menjadi klop. Itu yang pertama. Ibu Yang kedua, masukan tadi dari idEA, kemudian Aftech, kemudian US- A BC dan lain sebagainya, soal katakanlah ada komisi itu tadi, independen. Kami memandang, mungkin perlu, tetapi tidak di bawah itu kementerian. Lebih baik semacam komisi-komisi yang lain, komisi independen ini khusus menangani seluruh masalah ini. Itu akan lebih bagus. Tetapi tentu harus ada juga masalah-masalah anggaran. proses pembentukan Menyangkut APBN dan lain sebagainya. Nanti akan kami sounding dengan Pemerintah, karena ini memang perlu, sehingga seperti apa komisi ini. Itu yang kedua. kemudian Yang ketiga, saya khusus untuk PERSI. Nah ini. Berbicara soal the right to be forgotten, nah ini saya mohon penjelasan, karena di dalam Undang-undang lebih menyangkut kepada pidana, maka ya menghilangkan jejak digital dengan pasal the right to be forgotten itu harus melalui pengadilan. Nah menurut Bapak, yang ahlinya ini, ini siapa, lembaga mana, jabatannya apa dan sebagainya, untuk menyatakan quote and quote ya, the right to be forgotten ini supaya valid, supaya sah. Begitu. Nah ini harus dimasukkan. ITE itu Kemudian untuk Pasal 17, saya sepakat, menyangkut hal-hal yang pengaturan teknis, itu dimasukkan di dalam Perpres saja, begitu. Dan Perpres terbuka juga publik itu memberikan masukan-masukan. Dan kalau Perpres juga kurang teknis, kita mungkin nanti menteri terkait membuat Perpres.
23 - Kemudian nah untuk US-A BC, saya mohon pencerahan, Kang, satu kampung kebetulan ini, tidak memasukkan data keuangan sebagai data sensitif. Jadi narasi ini sesungguhnya apa yang dimaksud? Saya kira ini saja. Terima kasih Pimpinan. Wassalamualaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Waalaikumsalam Warahmatullahita'ala Wabarakatuh. Berikutnya Ibu Hillary Brigitta. F-NASDEM (HILLARY BRIGITTA LASUT, S.H.): Baik, terima kasih atas kesempatan yang diberikan. Saya hanya ingin melihat sedikit dari sisi usulan ya, dari PERSI tadi, yang menyatakan bahwa sekalipun pasien adalah pemilik data pribadi, namun berkas rekam medis adalah milik fasilitas pelayanan kesehatan. Menurut saya ini agak kurang bisa diterima ya, karena kalau dari sisi pemilik, kita tahu bahwa dari hukum perdata, kita menyatakan bahwa kata kepemilikan itu akan membawa dampak hak milik kepada seseorang, yakni di mana hak milik adalah hak untuk menikmati atau menggunakan suatu kebendaan dengan leluasa untuk berbuat bebas terhadap kebendaan itu dengan kedaulatan sepenuhnya asal tidak bertentangan dengan undang- undang atau peraturan umum yang ditetapkan oleh suatu kekuasaan. Sehingga menurut saya tidak ada sesuatu kelembagaan pun atau asosiasi pun yang berhak menyatakan bahwa data pribadi ini pada dasarnya adalah milik fasilitas kesehatan tertentu. Karena biar bagaimanapun, kepemilikan yang tadi itu juga disampaikan, GDPR ini kan General Data Protection Regulation ini dibuat oleh parlemen Eropa kan? Dan kita tidak harus meng- copy paste seluruhnya karena kita memiliki sistem culture dan budaya yang berbeda dengan mereka. Berbeda mungkin dengan di Eropa, di Indonesia data kesehatan itu lebih dianggap sebagai suatu yang krusial dan dianggap penting, karena bisa membuat suatu stigma di hadapan masyarakat. Dan menurut saya malah di Indonesia, the right to be forgotten ini malah harus kita tegakkan, gitu. Jadi kalau menurut saya memang tidak ada yang namanya, apa ya, tidak ada yang namanya kalau membuat data pribadi ini milik perusahaan atau menghapus, kalau misalnya kita menghapus dari undang-undang, dari RUU ini. tidak ada masalah, karena untuk memaksakan keadaannya nanti, dimana data pribadi itu dihapus dan rekam medis ini akan membuat Pelindungan data pribadi menjadi rancu. Menurut saya, saya ingin meminta penjelasan lebih rinci lagi kira-kira seperti apa, kalau misalnya keadaannya atau pandangan masyarakat seperti ini. Saya rasa nanti memang
24 - Dan kalau untuk misalnya dianggap sebagai hak milik, ada berkas yang menyangkut data pribadi seseorang, data pribadi masyarakat, diberikan kepada misalnya asosiasi Fintech atau misalnya kepada suatu company atau suatu fasilitas kesehatan, berarti fasilitas kesehatan ini memiliki hak untuk memperjualbelikan, mengubah, memindahtangankan dan sebagainya. Sehingga saya ingin meminta penjelasan lebih rinci lagi kepada PERSI, apakah kalau misalnya kita menyatakan ini sebagai suatu hal yang tidak bisa kita terima?, misalnya, usulan dari PERSI, kita nyatakan bahwa seseorang tetap memiliki hak untuk menghapus data pribadinya di dalam fasilitas kesehatan misalnya. Atau di lembaga-lembaga berhubungan dengan kesehatan, kira-kira dampaknya seperti apa, secara krusial ya, secara nasional kira-kira seperti apa kepada masyarakat. Dan juga untuk dari sisi Fintechnya tadi, saya sempat membaca, saya jujur saja. Saya secara pribadi sangat penasaran dengan cara Fintech ini menerima nasabahnya sebagai nasabah yang cocok dan berhak mendapatkan bantuan pinjaman. Karena saya secara pribadi saya masih ada SMS-nya, data saya, data pribadi saya digunakan oleh seseorang yang tidak saya kenal, untuk menyatakan bahwa saya adalah penjamin dari hutangnya tersebut. Sehingga sekarang saya masih diteror, ada 3 nomor yang mungkin nanti bisa saya sampaikan di slide, kalau memang perlu, masih ada 3 nomor dari Fintech, ada DanaKu dan sebagainya. Saya harap ini penipuan ya, dan saya harap mereka tidak tergabung di dalam asosiasi Fintech. Dan saya ingin melihat apakah dari Fintech sendiri itu asosiasinya ada melindungi data pribadi dari penjamin yang tidak menyatakan diri menyetujui untuk memberikan dirinya menjadi penjamin, begitu. Sehingga saya tidak dikejar-kejar dan saya tidak dianggap sebagai salah satu pihak yang juga bertanggung jawab atas hutang dari orang lain yang bahkan tidak saya kenal sama sekali. Saya berharap ada juga perhatian dari situ, dan saya mungkin tidak akan berbicara lagi soal itu ya, soal pidana, karena menurut saya, kan di sini ada US-Asean Council ya, saya tahu bahwa kalau misalnya di Indonesia ini mungkin kita agak berbeda dengan Amerika, tapi bagaimanapun perbedaan kita, saya tahu bahwa di Amerika itu, di US itu tetap saja FBI dan lain sebagainya, mereka menerapkan hukum pidana untuk berbagai tingkat kejahatan korporasi atau white colour criminal, yang benar-benar sudah terbukti. Jadi kalau memang ini harus dijadikan sebagai salah satu saran, karena memang asas hukum pidana di Indonesia kan kita sudah menetapkan bahwa hukum pidana adalah last resource, kan? Jadi kita tidak perlu mengkuatirkan ini. Jadi ini mungkin juga bisa dijelaskan kepada anggota- anggota asosiasi dan badan-badan yang ada. Dan itu saja dari saya, saya berharap saya bisa dapat penjelasan tambahan. Terima kasih.
25 - KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Ibu Hillary. Dan penanya berikutnya kami persilakan kepada Bapak Charles Honoris. F-PDI PERJUANGAN (CHARLES HONORIS): Ya, terima kasih Pimpinan. Bapak-Ibu narasumber yang saya hormati' Terima kasih sudah hadir pada siang hari ini sehingga kita bisa mendapatkan banyak tambahan agar kita bisa segera menghadirkan adanya legislasi primer terkait Pelindungan data pribadi di Indonesia. Hari ini seperti yang kita ketahui, saya yakin Indonesia menjadi satu dari sedikit negara di Asia Tenggara yang tidak memiliki legislasi primer terkait Pelindungan data pribadi. informasi Nah saya yakin semangatnya dari kita semua harus sama ya, bahwa data pribadi adalah mutlak milik dari si pemilik data. Sehingga sebetulnya saya kurang sepakat adanya terhadap penggunaan data yang dikombinasi (di enkripsi, dianonimkan) dan walaupun tidak bisa mengindentifikasi si pemilik data. Menurut saya, pemilik data harus mengetahui dan memberikan persetujuan terkait apa pun data itu digunakan untuk apa pun. Ya walaupun data tersebut pada akhirnya nantinya juga dienkripsi, sehingga tidak bisa mengindentifikasi si pemilik data. Saya paham, maksudnya di sini adalah data yang akhirnya bisa menggambarkan pola berperilaku masyarakat ya. Tetapi ya sekali lagi, ini tetap harus di apa ya, diregulasi, diatur. Pertanyaan saya kepada para narasumber, mungkin lebih mengetahui terkait hal ini. Bagaimana best practices apa pengaturan data yang dienskripsi di negara-negara lain, contohnya GDPR atau best practice di Amerika, best practise di negara-negara lain yang sudah memiliki legislasi primer terkait PDP. rekomendasi pengecualian teman-teman yang sudah menyampaikan rekomendasi dan juga Pak TB, bahwa kita perlu lembaga atau komisi independen. Karena suka tidak suka, pemerintah adalah salah satu pengelola terbesar data dari warga negaranya. Sehingga ya saya rasa harus ada lembaga yang imparsial yang bukan di bawah kementerian mana pun, yang bisa secara independen menjadi regulator dari Pelindungan data pribadi. Ya jadi saya rasa ini penting sekali, mungkin nanti para narasumber bisa memberikan masukan yang lebih detail, terkait hal ini. Kedua, saya sepakat tadi dengan Yang ketiga, berikutnya, terkait Fintech ya. Ya ini spesifik untuk teman yang dari asosiasi Fintech. Ini saya sebagai Anggota DPR sering sekali mendapat keluhan dari masyarakat di dapil saya khususnya, terkait apa ya, data pribadi yang disalahgunakan, disebarluaskan tanpa izin dan seterusnya. Nah harapan saya, khususnya nantinya ketika kita sudah, walaupun kita belum punya Undang-undang PDP, tapi sudah ada 23 regulasi yang mengatur Pelindungan data pribadi, ya. Harapan saya, nantinya ketika kita
26 - sudah memiliki Undang-undang PDP, teman-teman Fintech ini harus lebih hati-hati lagi, lebih was-was. Kita berharap, lebih aware lah dan tidak melakukan pelanggaran undang-undang. Ya karena sekali ini, Pelindungan data pribadi ini penting sekali. Tentu saja kita juga memahami harapan dari berbagai pihak tentang tidak adanya atau diminimalisirnya sanksi pidana terhadap PDP (Pelanggaran data pribadi), tetapi sekali lagi, kita juga berharap hak masyarakat, hak publik, hak individu, terkait data pribadinya tetap harus dilindungi termasuk oleh pelaku usaha. lagi Berikutnya mungkin saya ingin menambahkan sedikit saja yang disampaikan Ibu Hillary tadi, bahwa memang kita dengan Eropa berbeda ya, jadi kita memang tidak perlu copy paste tapi GDPR kan ada aturan, ada klausul, apa, ada aturan di GDPR yang tidak mengizinkan adanya transmisi data ke negara lain yang tidak memiliki regulasi yang sepadan, sehingga tentu saja kita berharap Undang-undang PDP kita nantinya bisa tetap equip ya, bisa sepadan dengan GDPR, ya apa, standarnya GDPR. Saya rasa itu saja, terima kasih, ya itu saja. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Pak Charles. Penanya berikutnya dipersilakan Bapak Dave Akbarsyah Fikarno. F- PG (DAVE AKBARSYAH FIKARNO, M.E.): Baik, terima kasih Pimpinan yang telah menyebutkan namanya dengan lengkap, biasanya cukup Dave saja. Baik, rekan-rekan yang telah hadir, mitra kita. Tadi sudah cukup banyak yang sudah dibahas rekan-rekan Komisi I. Yang saya ingin pertanyakan saja, ingin diskusikan ini, ini kan lebih kepada untuk menggali informasi atau sepertinya belanja masalah lah, akan hal apa yang bisa menjadi input dalam kita menyelesaikan RUU PDP yang kita targetkan selesai dalam beberapa bulan ke depan ini. Nah yang dari PERSI ini mengenai data pribadi kesehatan ya, tadi sudah dipaparkan dengan cukup jelas dan ada materinya diberikan ini. Nah ini yang ingin saya tanyakan ya, pengalaman pribadi juga, kalau misalnya ini data dari rumah sakit ke rumah sakit ya. Let say, umpamanya saya dirawat di RSPI Puri. Terus selebihnya saya mau mencari second opinion ke Rumah Sakit Medistra, nah untuk transfer data ini apakah bisa dibuat suatu sistem juga yang mana dijamin keamanannya. Jadi antara dokter dengan dokter, rumah sakit dengan rumah sakit dapat mentransfer data, sesuai dengan concern dari kita, tanpa ada resiko itu akan bocor. Dan bocor itu bocor ke companies kah, atau ke other institutions, yang bisa membahayakan data- data tersebut atau juga nama pasien. Karena ini kan yang pernah sering terjadi juga penjualan data ya, seperti tadi saya baru baca di kumparan, tadi katanya ada 91 juta data, tadi apa ya, tokped ya, tokped itu bocor dan
27 - diberikan secara gratis di facebook. Nah berarti itu kan hanya nama, apalagi kalau misalnya bocor nomor kartu kredit, dan juga nomor CCV-nya. Nah, itu kan juga bisa memberi potensi kepada permasalahan ataupun kerugian finansial dalam jumlah besar. Ini juga yang mesti menjadi perhatian ya. Ada sistem, apakah dari asosiasi Fintechnya, ataukah dari idEA, yang bisa dimasukkan di dalam RUU ini, apakah di dalam RUU atau di dalam turunannya, di PP-nya atau Kepmennya atau apa pun itu, untuk bisa memberikan jaminan keamanan bagi kita semua. Ya karena tadi saja Mba Hillary menceritakan bahwa datanya dicuri sehingga ada orang melakukan pinjaman dengan jaminan dia dengan nilai miliaran. Nah, inilah yang harus menjadi perhatian kita juga untuk bisa memberikan Pelindungan. Karena ini kan berkembang terus, teknologi apa, internet. Semuanya itu evergrowing, jadi hari ini Aftech hari ini ya, mungkin 5- 10 tahun yang lalu itu juga enggak pernah kepikiran ada kebutuhan untuk membuat suatu asosiasi seperti ini. Ini menjadi suatu lembaga yang sangat penting. Nah ini Cuma contoh ya, i'm not pointing you upon anything. Lalu begitu juga dengan US-Asean Business Council terkait bisnis internasional juga dalam PDP ini, regulasi apakah yang ada di dunia internasional ini yang dapat kita gunakan dan kita sesuaikan ya, tadi seperti diutarakan juga harus disesuaikan dengan karakteristik dan juga kebutuhan dan sistem model hukum di Indonesia. Karena memang banyak contoh yang baik yang diterapkan di Amerika, di Eropa, di mana-mana. Nah, tapi ketika masuk di Indonesia ya harus penyesuaian. Itu juga mungkin bisa ada masukan juga. Apa yang, ketika kita sudah bicara pasal demi pasal, jangan sampai ini tabrakan dengan regulasi ataupun juga dengan gaya-gaya culture kita, ya, agar undang-undang itu dapat berjalan dengan baik. Ya, gitu, sekian, terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Pak Dave. Berikutnya Ibu Farah. F- PAN (HJ. FARAH PUTERI NAHLIA, B.A, M.SC.): Terima kasih Pimpinan. Yang saya hormati dari PERSI, idEA, Aftech, dan juga US-Asean Business Council. Ada 4 pertanyaan, 3 pertanyaan yang ingin saya tanyakan. Yang pertama ini untuk PERSI, terkait dengan transfer data kesehatan WNI ke luar negeri. Let say jika ada seseorang WNI yang terkena musibah atau kecelakaan di luar negeri dan pasien dalam keadaan tidak sadar, apakah Bapak dan Ibu dari PERSI ini setuju bahwa kita bisa melakukan proses transfer data ke luar negeri? Karena kan kalau di RUU ini demi kepentingan
28 - kesehatan itu dikecualikan, dan dengan adanya PDP ini misal Indonesia mencapai level adequate kayak Jepang, transfer data itu bisa dilakukan, jadi kita tidak perlu lagi cek dari nol. Tapi tentu kalau kita belum sampai level adequate, kita bisa lakukan transfer data, tapi kita enggak bisa minta data dari mereka. Jadi ini jadi sedikit apa ya, hal yang kurang baik bagi kita. Jadi tanggapan dari Ibu ini seperti apa, terkait dengan requirement adequate pada GDPR ini. Kemudian juga pertanyaan berikutnya ini untuk idEA dan Aftech, terkait dengan enkripsi data pribadi. Sehingga seadainya ada data bridge terjadi, data pribadi tetap tidak terbaca. Tapi masih ada perusahaan-perusahaan yang kita tahu bahwa menghindari terjadinya enkrispsi data, karena kalau adanya enkripsi data itu akan menambah biaya kemudian juga mengurangi performa aplikasi. Dan tentu hal ini tidak mudah digunakan. Jika alasan ini digunakan untuk menghindari enskripsi dan hanya relevan untuk bisnis e- commerce kecil, apakah hal ini juga akan menjadi isu yang sensitif bagi perusahaan elas decacorn, misalnya, atau Perusahaan Unicorn, yang tentu memiliki pemasukan ratusan miliar hingga 200-an triliun rupiah setahunnya. Dan apakah teman-teman dari idEA dan Aftech ini tahu enggak, kira-kira perusahaan-perusahaan mana saja sih yang sudah melakukan enkripsi data dan mana yang belum, bagaimana caranya mengajak perusahaan yang belum mengenkripsi data ini agar mau mengenskripsi datanya. Kemudian berikutnya untuk US-Asean Business Council, saya hanya mau bertanya terkait kira-kira rekomendasi-rekomendasi apa saja yang dirasa sangat penting, biar ke depannya RUU PDP ini bisa menjembatani investor untuk bisa masuk ke Indonesia. Karena kita semua tahu tentu bahwa kalau punya PDP dan PDP kita ini bisa sampai level adequate, misalnya, itu pasti bakal let to bigger trust dari perusahaan-perusahaan luar negeri dan tentunya ini akan semakin menambahkan jumlah investasi yang masuk ke Indonesia. Mungkin itu dari saya. Terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Ibu Farah. Dan yang terakhir dari Bapak Bobby Rizaldi. F- PG (BOBBY ADHITYO RIZALDI, SE., Ak., MBA, CFE): Terima kasih Pimpinan. Bapak-Bapak dan Ibu-Ibu yang hadir dari Aftech, dari idEA, dan US- ABC. Saya ingin menanyakan karena ini berhubungan dengan landasan utama dari undang-undang ini, mungkin ke seluruhnya, ke seluruhnya sehingga kami bisa memetakan keinginan publik itu mayoritas apa, terkait dengan usulan tadi dari US-Asean, US - A BC, mengenai ruang lingkup data
29 - pribadi. Jadi ruang data lingkup pribadi, kalau yang disampaikan dari US-A BC ini adalah perlunya pengecualian penggunaan data yang dikombinasi, yaitu dienkripsi, dianonimkan, tidak diidentifikasi dan pseudonym, karena tidak bisa mengidentifikasi orang dan beresiko rendah untuk pemilik data. Ini adalah berbanding 1800 dengan konsep utama dari undang-undang ini. Nah jadi pertama, apa kiranya dari, respon balik dari rekan-rekan selain dari US-A BC, karena sepengetahuan kami, di Amerika pun data yang disebutkan dalam pengecualian ini, ini masuk di dalam lingkup tersebut. Oleh karenanya kan kalau di google ada 15 kasus bridge out yang paling besar, termasuk itu healed taker, IB, Google, itu 15 perusahaan tersebut itu kalah di pengadilan dengan civil public clausul yang paling besar, mereka membayarkan kompensasi ke negara, karena datanya adalah data pseudonym. Data pseudonym ini memang tidak terindentifikasi langsung dengan data yang ada di dalam Undang-undang Adminduk yang 12 hal tersebut. Misalkan di platform komersial itu ada toko A, toko A itu memang tidak terindentifikasi langsung dengan pemilik account tersebut. Tetapi di situ kan ada nomor rekening. Di situ juga perusahaan Masking, perusahaan Masking itu adalah seperti tokopedia, Ig, bukalapak, traveloka, itu perusahaan yang hanya traffic yang tidak mungkin dan tidak akan bayar pajaklah, seumur hidup. Karena itu pasti perusahaan rugi. Perusahaan tersebut setelah mendapatkan data pseudonym, dan melakukan transaksi, itu memiliki data perilaku konsumen. Nah data perilaku konsumen ini yang oleh crawler-crawler ini diambil masuklah di dark web hosting yang kemarin sempat ribut-ribut itu. Nah kalau pasal ini masuk, kita tidak bisa menuntut si pengelola data. Nah apakah itu yang dimaksudkan Bapak-Bapak dan Ibu sekalian, atau kita mau membuat seperti yang sudah dikonsepkan undang-undang ini? Kalau data perilaku konsumen yang dibocorkan, seperti data Covid, data Covid itu yang berhubungan dengan data Adminduk hanya nama, alamat, tanggal lahir, sudah, itu saja. Kalau masalah dia diinjeksi atau apa itu, dianggap bukan data yang terindentifikasi langsung. Nah ini yang saya ingin pastikan. Juga misalkan di perusahaan Fintech. Perusahaan Fintech itu kan beli data rating. Data rating itu kan sekarang ada di Pefindo. Tetapi ada juga perusahaan seperti Pefindo yang KW-nya lah, yang itunya lebih murah. Nah kalau pasal ini dimasukkan pengecualian data, pemerintah, negara, tidak bisa mengejar data pemilik big data ini. Jadi sebelumnya saya ingin menyampaikan, kita ini ingin mengatur tidak sampai artificial intelligence. Pertama kita atur data yang ada di platform Masking. Platform Masking ini seperti data perilaku konsumen yang tidak langsung, seperti di platform-platfom komersial. Dari terindentifikasi perusahaan masking ini mereka memiliki data di perusahaan big data. Inilah yang kenapa perusahaan masking ini selalu terpisah dengan perusahaan big data. Kemampuan undang-undang payung hukum kita untuk mengejar pajak ini baru sampai di perusahaan masking. Perusahaan masking yang tidak pernah membayar pajak. Tetapi untuk di perusahaan big data, ini pintar. Perusahaan big datanya adanya di luar negeri. Sehingga kita tidak bisa
30 - masuk di sana. Nah big data tersebut rata-rata memang pseudonyim, sudah dienkripsi. Sudah dimodifikasi, sehingga tidak teridentifikasi langsung dengan data yang dilindungi Undang-undang Adminduk. Nah dari perusahaan Fintech, dari perusahaan apa, Aftech, dari PERSI, apakah memang ini yang dimaui? Karena contoh dari PERSI, PERSI punya data di rumah sakit swasta. Rumah sakit swasta itu nama dihilangkan, tanggal lahir dihilangkan, alamat dihilangkan, semua yang teridentifikasi dengan data Adminduk hilang. Tetapi di situ ada data perilaku konsumen, oh berapa kali orang beli obat influenza, berapa kali orang cek mata dalam 1 tahun, berapa kali orang ngambil tes lab. Itu bisa demonetifikasi lewat perusahaan big data. Nah apakah ini yang di publik diinginkan? Karena kalau di konsep undang-undang kita ini, ini konsep data pribadi itu adalah data sapujagat. Kalau orang yang dapat datanya itu merasa tidak dicuri, atau merasa dicuri, dia dapat mengajukan lawsuit. Seperti yang di Amerika. Makanya ada 15 kasus terbesar data bridge out yang akhirnya perusahaan tersebut itu membayarkan lumpsum ke publik. Nah dari semuanya, apakah ini yang diinginkan? Saya hanya perlu ya atau tidak. Sehingga kita ingin memastikan, mayoritas dari elemen publik ini mau kita ini melindungi data seperti apa. Karena kalau data seperti dalam ruang lingkup pribadi yang dikecualikan ini, mau datanya gojek, tokopedia, traveloka, dijual di mana-mana data perilaku konsumen kita, berapa banyak orang minum kopi, berapa banyak orang perlu transport dalam sehari, berapa banyak orang beli baju warna kuning, merah, hijau, itu bisa dimonetisasi itu negara tidak ada tangan untuk masuk ke dark web hosting. Kita tidak bisa suruh si BSSN mengejar data Malindo yang hilang di Malaysia, itu tidak bisa. Nah apakah itu yang diinginkan? Atau lebih condong dengan apa yang kita konsepkan pertama di dalam ruang lingkup data pribadi. Itu yang pertama. Yang kedua, nah ini yang data yang kedua ini saya ya sedikit-sedikit rada-rada setuju juga. Dari sanksi, apakah penggunaan data pribadi yang ini ada resiko tinggi dan resiko rendah, ini yang disampaikan US-A BC. Tidak semua data itu rahasia, tapi tidak semua data itu tidak rahasia. Apakah sanksi itu pidana diperlukan? Ataukah sanksi pidana itu hanya diperuntukkan untuk hal-hal data tertentu, ataukah murni hanya sanksi perdata? Kalau dilihat di Amerika, memang tidak ada sanksi pidana. Hanya perdata saja. Karena dianggap ya data itu semua orang, nantinya bakal tahulah. Nah yang dikatakan Pak Presiden ini juga sama, bahwa data ini, data perilaku konsumen kita ini lebih bernilai dari minyak. Dia tidak mengatakan data ini rahasia ini rahasia sehingga mungkin ada diintepretasikan kalau data ini dikomersialkan, kita ini tinggal rugi banyak apa rugi dikit, itu saja. Kalau rugi dikit minimal dipajakkin, lah. Minimal diduitin lah. Tapi tidak ada ini sampai harus dipenjara 10 tahun, gitu. Lain misalkan data menurut Undang-undang ITE, karena ada fitnah, ada melakukan ketidaknyamanan. Kalau data perilaku konsumen memang ada debatable, sehingga saya ingin memastikan dari elemen publik, ya ini kan yang datang ini elemen publik. Ini maunya lebih kemana, PERSI maunya bagaimana, Fintech juga maunya bagaimana. Karena Fintech ini kan terus-
31 - terang Pak, saya di Badan Anggaran, Fintech ini sudah mulai ancaman ke bank konvensional. Ini sudah mulai ada shadow banking. Nah shadow banking inilah yang kami takut asumsi-asumsi makro kita ini tidak akurat karena ada shadow banking, karena Fintech ini Pak. Nah jadi Fintech ini sudah sangat signifikan. Nah Fintech ini saya enggak tahu kalau di OJK itu kalau beli credit rating itu wajib sama Pefindo atau Bapak bisa beli ke perusahaan yang memiliki data big, data biometrik, sehingga oh kalau mukanya model kayak gini, ini pasti enggak bayar, atau ini. Nah itu kan harganya kalau enggak salah lebih murah. Kalau di Pefindo Rp12 ribu, kalau beli yang perusahaan-perusahaan dari Singapur itu Cuma Rp6 ribu perak. Nah apakah perlu sanksi pidana? Apakah hanya sanksi perdata, atau diatur dua-duanya ada level up. Itu saja. Terima kasih. Wassalamualaikum Warahmatullahi Wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Pak Bobby. Selanjutnya Ibu Christina. F-PG (CHRISTINA ARYANI, S.E., S.H., M.H.): Ya, terima kasih Pimpinan. Untuk PERSI, saya ingin tanya, bukannya rekam medis itu ada masa retensi ya? Berapa tahun, setelah itu data dimusnahkan. Itu satu. Dan jelas kita enggak terlalu setuju juga Pak, kalau data yang, itu kan di bawah pengendalian Bapak, itu tidak mengalihkan hak milik ya, itu satu hal. Lalu yang kedua untuk idEA, ini kan tokopedia dan bhineka ini kan salah satu dari establisher Bapak ya, soal kasus kebocoran data kemarin itu statusnya sudah sampai mana begitu, penanganannya bagaimana. Ini untuk menunjukkan ke teman-teman juga bahwa kebocoran data adalah salah satu ancaman yang riil dan pemerintah harus pastikan diatur, gitu. Apakah perangkat yang ada sekarang belum sufficient enough untuk mengatur, sehingga ini harus kita masukkan dalam draft RUU PDP. Jadi kita mau lihat dari Bapak, penanganannya kayak gimana dan kenapa itu bisa terjadi? Pelindungan seperti apa yang perusahaan-perusahaan ini sebetulnya sudah terapkan, begitu. Lalu yang kedua, untuk asosiasi Fintech tadi. Jadi memang apa ya, idealnya memang kita ingin ekosistem digital berkembang, begitu. Kita enggak ingin menyulitkan pelaku usaha, satu. Kita ingin Indonesia tetap menarik untuk investor untuk masuk, nah jadi terkait dengan jangka waktu, tadi saya setuju ya, kita mesti lihat juga. Mungkin 1x24 jam dalam implementasinya juga susah. Kita bikin undang-undang yang ternyata nanti tidak bisa diterapkan juga susah sendiri, begitu ya, ribet banget. Nah soal jangka waktu tidak ingin memberatkan pelaku usaha, soal akurasi data, siapa
32 - yang harus melakukan verifikasi tadi, itu menjadi masukan bagi kami. Pidana ultimum remedium, yes, tapi harus juga memberikan efek jera, pasti, berdasarkan masukan dari LBH juga banyak korban yang mereka representasikan itu tidak ingin pelakunya masuk penjara. Tapi jelas, mereka ingin ada satu ganti rugi. Jadi itu juga menarik untuk kita lihat. Lalu soal ruang lingkup data. Kemarin kami dapat masukan juga dari beberapa akademisi terkait dengan pola perilaku konsumsi. Tadi Mas Bobby juga sudah angkat. Nah ini juga menarik, karena ini kan juga yang sangat bisa dijual. Kalau untuk starter atau apa, bisnis, ini sangat menarik untuk lebih mengerucutkan gitu, langkah-langkah marketing mereka selanjutnya. Nah jadi apakah ini harus kita atur, teman-teman? Itu kita juga harus perhatikan. Lalu terkait dengan komisi yang independen. Ada 2 pendapat. Jadi kalau dari Kominfo itu kemarin bilangnya enggak haruslah komisi independen, tetap saja, tapi make sure orang-orangnya independent. Ternyata mereka sudah menyiapkan sekitar 20 orang dan sertifikasi GDPR dan lain-lain, yang mereka pikir, cukup gitu, untuk mengurusi masalah ini. Terus-terang kami kurang sependapat sepenuhnya karena itu tadi, pemerintah merupakan salah satu pengendali dan prosesor data yang banyak sekali ya. Jadi ini menjadi satu perhatian saja, bagi kita juga. Terakhir, sepertinya itu dulu dari saya, Pimpinan. Terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Bapak dan Ibu narasumber yang kami hormati. Demikian tadi beberapa pertanyaan dan masukan-masukan yang telah disampaikan oleh yang terhormat Ibu dan Bapak Anggota Komisi I DPR RI. Selanjutnya kami persilakan dengan hormat kepada Bapak dan Ibu narasumber untuk menyampaikan jawaban-jawaban ataupun penjelasan lebih lanjutnya. Kesempatan pertama kami persilakan kepada Pimpinan PERSI, dan selanjutnya kepada narasumber-narasumber yang lain, yang akan diberikan secara bergantian. Waktu kami persilakan. SEKRETARIS JENDERAL PERSI (DR. LIA G. PERTAKUSUMA, Sp.PK. (K), MM., MARS.): Terima kasih banyak Bapak Pimpinan. Di sini kami mencatat ada kurang lebih 6 pertanyaan yang bisa dijawab oleh kami dari pihak PERSI. Selanjutnya saya mohon kepada Prof. Budi Sampurno untuk bisa menjawab langsung.
33 - KETUA KOMPARTEMEN HUKUM ADVOKASI DAN MEDIASI PERSI (PROF. DR. BUDI SAMPURNO, DFM. SH., Sp.F. (K), S.PKP.): Terima kasih Bu Lia. Pimpinan yang terhormat. Ada beberapa pertanyaan yang bisa dijawab oleh PERSI, karena PERSI terbatas lingkupnya. PERSI memang membawahi atau menjadi himpunan bagi sekitar 2.900 rumah sakit di Indonesia. Dan terbagi dalam beberapa kluster-kluster, ada milik pemerintah, ada milik swasta dan seterusnya. Tentang pertanyaan yang terkait dengan kita terlebih dahulu adalah yang disampaikan oleh Ibu Hillary, Ibu Lasut ya, yang pertanyaannya adalah khususnya adalah tentang right to be forgotten tadi ya. Pertanyaannya adalah, kenapa kok PERSI jadi tidak setuju dengan penghapusan tadi ya? Atau perubahan, segala macam tadi. Ada 2 masalah di sana sebetulnya. Yang pertama adalah di semua negara, di negara kita, di, mengatur tentang kerumahsakitan dan mengatur tentang kesehatan, itu ada yang disebut dengan rekam medik, dan rekam medik itu tata cara penulisannya semua diatur, sama dengan di hampir semua negara, sama. semua harus ditulis, apakah itu pakai digital maupun pakai manual, boleh saja ditulis. Tapi setelah dilakukan penulisan maka setiap entry diberikan paraf dan waktu. Begitu dia digital biasanya waktu sudah tidak perlu ditulis, tapi parafnya tetap akan ada dengan tanda tangan digital. Dan yang itu menunjukkan bahwa semua yang dituliskan adalah benar. Dan itu harus dijaga otentisitasnya. Oleh karena itu dalam perjalanannya, akan selalu dilihat apakah ada perubahan enggak setelah penulisan itu tadi. Nah perubahan itu hanya boleh dilakukan kalau memang ada alasan mengapa diubah, dan pengubahnya, tanggalnya segala macam, harus jelas. Semuanya harus itu tercatat. Mengapa harus seperti menunjukkan tentang otentik atau tidaknya dokumen tadi. Peraturan seperti itu, itu dibebankan kepada pengendali. Jadi si rumah sakit itulah yang harus melaksanakan itu. Artinya kalau dia melakukan penghapusan, perubahan dan seterusnya, padahal tidak dibolehkan oleh peraturan itu, maka dia yang akan terkena sanksinya tadi. Nah oleh karena itu kita mengatakan, jangan lupa ada peraturan itu, kita akan selalu terikat dengan itu. itu? Karena Yang kedua adalah bahwa GDPR memang bukan peraturan yang harus diikuti semua negara, semua setuju ya. Seperti juga urusan rekam medis, data medis itu punya siapa, itu juga tidak sama di hampir semua negara. Di Amerika ada 50 sekian negara bagian, yang mencantumkan di dalam peraturannya bahwa data pasien itu adalah milik pasien. Itu hanya di 3 states. Dua puluh states mengatakan itu milik rumah sakit. Dan sisanya, enggak mengatur. Nah, kita mau mengatur yang mana, itu lain soal ya, berarti kita sendiri yang harus mengaturnya. Seperti apa, itu. Mengapa dibikin tidak diatur milik siapa, karena ini dianggap pidana yang mudah diakses dan diproses tanpa harus minta izin ke masing-masing pemilik data. Karena kalau itu harus dilakukan, itu sama saja kita bohong, enggak bisa mengerjakan apa-
34 - apa, begitu. Terlalu banyak orang yang harus ditanyain persetujuannya. Nah itu yang tadi juga saya usulkan, ada kemungkinan enggak kita mengatur seperti itu tadi? Nah dengan aturan itu kalau ditanya, bahanyanya apa kalau dihapus tadi? Tentu karena ini bukan, yang di sebelah sini tadi, urusannya uang. Kalau uang dihapus, ngeri sekali ya. Banyak yang hilang uang, kehilangan. Tapi di kesehatan juga bukannya enggak ada apa-apa ya, misalnya data jenis kelamin, diubah saja, banyak orang yang menggunakan nama bisa laki, bisa perempuan. Kalau itu diubah, itu hilang identitasnya. Bisa datang, keluar-masuk tanpa ketahuan. HIV misalnya, bukan saya menjelekkan HIV, tetapi HIV itu oleh asuransi kesehatan tertentu, tidak dijamin. Sehingga banyak orang-orang yang punya penyakit itu, dia minta supaya tidak disebutkan HIV-nya. Dan itu akibatnya adalah supaya tetap dijamin, dan seterusnya. Hal-hal ini sebenarnya fraud, masuknya. Jadi kalau kita melakukan itu, sama saja kita sudah melakukan fraud. Kemudian tentu saja ada lagi penyebab kematian, DNA, perubahan data tentang aborsi data, child abuse, segala macam, dan kalau itu dihilangkan dengan mudah dengan hanya permintaan, surat permintaan dari pasien, maka hilang semua. Termasuk data tentang adopsi. Dan itu sebetulnya di negara lain mengatakan itu tidak boleh hilang. Di kita, yang diatur di dalam kesehatan umumnya adalah boleh dilakukan perubahan, tetapi masih terlihat jejaknya. Jadi foot print perubahan-perubahan itu terdeteksi. Indonesia F-PG (BOBBY ADHITYO RIZALDI, SE., AK., MBA, CFE.): Pimpinan, Izin pendalaman, saya, Pimpinan, kanan. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Lanjut. F-PG (BOBBY ADHITYO RIZALDI, SE., AK., MBA, CFE.): Ini sama dengan paparan di PERSI Pak, di halaman 2 yaitu huruf a, jadi saya ingin minta secara singkatnya, terhadap ruang lingkup data pribadinya, apakah Bapak setuju dengan konsep awal dari draft rancangan Pemerintah atau setuju dengan yang disampaikan oleh US-A BC, karena ada pengecualian, atau ada modifikasi lagi dari PERSI? Karena ini, itu tadi yang itu, oke yang dilindungi disampaikan Pak. Kalau misalkan datanya Adminduknya tidak ada, tapi polanya ada. Atau data tersebut bisa diakses oleh perusahaan head hunter untuk mengetahui biaya insurance dari si calon kandidat yang nantinya mempengaruhi pengambilan keputusan rekruitmen, misalkan. Tanpa sepengetahuan si aplicant. Nah ini yang akan diatur itu Pak, nanti. Nah oleh karenanya mungkin turunannya nanti akan lebih detail, tetapi secara garis besar dalam konsep di legal draftingnya, ini pilihannya hanya 2, Pak. Sisi awal yang draft dari
35 - Pemerintah, di sebelah sananya yang rancangan tadi dari US- A BC secara legal draftnya. Nah itu mau dipilih yang mana, Pak, kalau dari PERSI. Tenang saja Pak, ini bukan seperti milih presiden, sudah lewat, Pak. Cuma dua saja, ya atau tidak, atau ada modifikasi. Jadi Bapak masih boleh modifikasi, Pak. Terima kasih. KETUA KOMPARTEMEN HUKUM ADVOKASI DAN MEDIASI PERSI (PROF. DR. BUDI SAMPURNO, DFM. SH., Sp.F (K), S.PKP): Sebetulnya bukan karena apa-apa, karena saya tidak paham betul dengan ilmunya Bapak-Bapak ini tadi. Ini yang 3 ini ahli semua Pak. Tapi kalau kita, orang kesehatan ini, tidak mengerti sebetulnya. Tapi idenya kita adalah gini, barangkali saya harus menyebutkan apa yang kita mau, nanti terserah Bapak, artinya apa begitu ya. Yang kita mau adalah, kalau data itu lengkap dan dapat ditelusuri itu milik siapa, itu adalah data pribadi. Tetapi kalau data itu sudah tidak ada lagi yang bisa ditelusuri menuju ke orang yang tadi, maka tidak apa-apa. Saya ambil contoh kalau kita mau memeriksa, sekarang kita mengumpulkan data radiologi paru-paru yang terkena Covid. Itu semua kita masukkan ke dalam suatu data kemudian dibuatkan artificial intelligentnya. Mengatakan bahwa ini adalah Covid, pasti. Itu kan penting Pak. Dan kita mengambil dari data-data itu tanpa memasukkan nama atau umur, dan segala macam. Maka ini kita anggap itu penting, bisa dilakukan itu. Dan kita menganggap itu bukan data pribadi. Kira-kira seperti itu Pak, monggo diartikan seperti apa. F-PG (BOBBY ADHITYO RIZALDI, SE., AK., MBA, CFE.): Ijin, Pimpinan. Pendalaman sekali lagi, terakhir untuk soal ini. Jadi saya bisa simpulkan dari PERSI, bahwa kalau ada data perilaku yang sudah menghilangkan 12 hal data Adminduk, itu sudah bukan data pribadi. Jadi misalkan, berapa banyak sih orang yang order obat tetes mata atau berapa banyak yang Covid itu datang ke rumah sakit itu pagi, siang atau malam. Berarti Pimpinan, ini sama dengan data perilaku konsumen yang ada di platform komersial. Ini sama dengan data yang kemarin kita anggap ada kebocoran data di luar negeri. Itu adalah data perilaku konsumen, yang memang mungkin sudah menghilangkan nama, asal, data Adminduk yang 12 titik itu. Jadi saya ini akan simpulkan bahwa PERSI setuju dengan yang US-A BC Pak ya? Enggak apa-apa Pak, ini bukan salah atau benar Pak, ini bukan pengadilan. Ini Cuma mensurvei kita. Kalau aspirasi publik, selama nanti Bapak coblos kita, kita pilih, Pak. Tenang saja, semua yang ada di sini akan kita pilih, Pak. Jadi selama coblos, kita akan pilih, Pak. Terima kasih, itu saja Pak.
36 - KETUA KOMPARTEMEN HUKUM ADVOKASI DAN MEDIASI PERSI (PROF. DR. BUDI SAMPURNO, DFM. SH., SP.F. (K), S.PKP.): Terima kasih Pak, kita tidak takut kok dengan itu, karena salah atau benar juga tetap DPR Pak, itu. Bukan PERSI. Berikutnya yang menjadi pertanyaan yang harus kita jawab adalah pertanyaan Pak Dave tadi, tentang pengiriman data dari rumah sakit ke rumah sakit lain, adakah jaminan keamanannya tadi. Semua peraturan di bidang kesehatan memaksa kita untuk harus menjamin itu, begitu. Jadi harus tidak boleh bocor dan seterusnya. Nah memang masalah kita adalah, data itu ada 2 hal, ada 2 jenis, ada yang analog dan ada yang digital, dan yang masalah biasanya adalah, enggak biasa sih sebetulnya, yang digital itu sebenarnya yang kita belum banyak mengatur. Jadi masalah itu buat kita memang ada masalah. Pengaturan tentang data digital di rumah sakit-rumah sakit atau di klinik atau di puskesmas itu belum cukup baik. Ada yang sudah menggunakan semuanya dengan digital, sehingga perpindahan data itu dapat dilakukan dengan cara digital. Tetapi pada umumnya harus kita akui, masih manual, Pak. Sehingga kalau ditanya ada kemungkinan bocor atau tidak, ya tergantung dari orang-orangnya tadi, ada kemungkinan melakukan pembocoran atau tidak. Tapi beruntungnya adalah dengan data yang hanya manual, umumnya kehilangan datanya tidak akan besar. Cuma satu, satu tadi. Tapi kewajiban rumah sakit untuk menyimpan data, menjaga safety, security dan segala macam itu, wajib memang. Kemudian dari Ibu Farah Puteri, Ibu Farah, transfer data kesehatan ke luar negeri, ini sebetulnya maaf, saya memang mungkin ada kesalahan tulis atau kurang jelas, yang ini khusus untuk data penelitian. Jadi bukan data klinis. Kalau klinis, orang membutuhkan di mana pun kalau dia butuh, kita akan kirim. Karena sepanjang itu diminta oleh rumah sakit dari sana, dan tidak bisa memberikan disetujui oleh pasiennya. Atau kalau pasien persetujuan, maka keluarganya. Kalau itu sudah dilakukan maka tidak masalah. F- PAN (HJ. FARAH PUTERI NAHLIA, B.A., M.SC.): Boleh saya tanya lagi enggak Pak, tambahan sedikit? Tapi gimana kalau misalnya negara yang dituju ini mereka belum punya regulasi terkait Pelindungan Data Kesehatan? Apakah tetap dikasih datanya? KETUA KOMPARTEMEN HUKUM ADVOKASI DAN MEDIASI PERSI (PROF. DR. BUDI SAMPURNO, DFM. SH., SP.F. (K), S.PKP.): Kalau data kesehatan sudah universal Bu, kita enggak takut. Semua mengikuti itu. Terima kasih.
37 - Kemudian Pak Bobby tadi, tapi Pak Bobby sudah dijawab tadi ya, maksudnya Pak Bobby yang menjawabkan kita. Bu Christina tentang retensi. Retensi memang ada di kita, di Permenkes yang lama itu menyebutkan bahwa retensinya maksimum adalah 5 tahun sejak kunjungan terakhir. Kecuali pada beberapa penyakit-penyakit tertentu dan orang-orang tertentu yang bisa diperpanjang. Tetapi dengan akan dibuatnya peraturan yang, sedang dalam proses, tentang rekam medis elektronik, maka ini ada kemungkinan diperpanjang. Jadi tidak hanya 5 tahun, tapi mungkin bisa terus- menerus. Toh penyimpanannya tidak terlalu masalah, begitu. Jadi itu masalah yang sekarang. Tentang kebocoran data yang selama ini terjadi, yang saya baca di koran adalah yang tentang anu ya, data pemeriksaan PCR itu ya? Atau yang katanya seperti itu. Sampai sekarang enggak jelas, bukan enggak jelas, PERSI tidak melakukan itu, yang melakukan adalah Menteri Kesehatan. Jadi monggo, kalau mau ditanyakan ke Kementerian Kesehatan. Tetapi prinsipnya adalah data itu dikirim ke rumah sakit, atau dari puskesmas. Tetapi dari mereka dikirimkan adalah melalui dinas kesehatan. Dari dinas kesehatan, sampailah ke Kementerian Kesehatan. Nah kemudian di sana masuk ke pusat data. Nah hilangnya di mana atau kelirunya di mana, itu bukan kita yang bisa mengetahui tetapi Kementerian Kesehatan tentu yang bisa mengetahui. Terima kasih Pak. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Kami persilakan kepada Wakil Ketua Umum idEA. WAKIL KETUA UMUM idEA (BIMA LAGA): Ya, terima kasih para Anggota Dewan yang terhormat. Saya coba merangkum beberapa pertanyaan yang relevan dengan Asosiasi e-Commerce Indonesia. Yang pertama di Pasal 55 kita tahu bahwa asosiasi, saya membacakan sedikit, "asosiasi atau pelaku usaha dapat membentuk pedoman perilaku pengendali data pribadi". Ini merupakan suatu rujukan bagi kita di asosiasi, yang di mana di ruang lingkup juga kita bisa meng-endorse member-member kita agar ruang lingkup data pribadi itu bisa dijabarkan. Dan yang kedua, kami menyadari kalau terkait ruang lingkup, kami harus bedakan mana yang data agregat, dan di mana individu. Sudah tidak terindentifikasi dan di mana individu masih teridentifikasi. Untuk yang tidak teridentifikasi harusnya di luar pengaturan RUU PDP ini. Dan yang ke, tadi ada pertanyaan dari Ibu Christina mengenai bagaimana kasus kebocoran data yang dialami oleh member-member
38 - asosiasi kami. Kami menyampaikan bahwa member-member yang mengenai kasus ini sudah berkoordinasi dengan penegak hukum, dan juga kementerian terkait. Untuk prosesnya sendiri masih berjalan sampai sekarang. Saya belum bisa menyampaikan prosesnya sampai di mana, karena prosesnya masih berjalan. Tetapi kami Insya Allah pastikan bahwa memang data yang sekarang beredar tidak, mudah-mudahan tidak ada data finansial yang terbocor. Dan itu juga datanya terenkripsi dan ada khas dan password-nya. Jadi tidak gampang banget diambil. Mengenai prosesnya bagaimana bisa bocor dan cara implifikasinya, maka dari itu merujuk ke Pasal 55, setelah kita berdiskusi seperti ini. Mudah- mudahan kami dari asosiasi bisa membuat pedomannya, bagaimana agar kasus-kasus ini tidak terdampak ke member-member kami. Karena di luar member-member kami juga adalah terdapat UMKM-UMKM kecil yang menggantungkan mata pencarian mereka di asosiasi, di member-member kami. Tadi menyampaikan yang dari Pak Bobby, kami setuju untuk yang ruang lingkup sesuai di draft ini Pak. Jadi itu saya sampaikan. Boleh meluruskan sedikit Pak, karena member-member kami adalah PT yang berdomisili di Indonesia, dan mematuhi ketentuan hukum di Indonesia, tentunya kami akan membayar pajak, Pak. Jadi bukan enggak membayar pajak, Cuma mungkin pajak bagian mana yang mungkin belum profitable pajaknya yang itu yang belum dibayarkan. Tapi di luar itu, pajak di luar Pph 21-nya jika mereka sudah melebihi Rp4,8 M mereka membayarkan PPN, itu semua asosiasi kami, harus tergabung di asosiasi kami, dan harus berbadan hukum dan mereka harus menaati peraturan hukum yang berlaku. Kurang lebih yang relevan saya jawab dengan asosiasi kami, itu kurang lebih. Kalau misalnya ada yang belum saya jawab, saya persilakan. Terima kasih. F-PG (BOBBY ADHITYO RIZALDI, SE., Ak., MBA., CFE.): Pimpinan, Izin pendalaman, Bobby, Pimpinan. Terima kasih Pak, bahasa sederhana sekali lagi Pak, jadi dalam ruang lingkup data pribadi, kalau dari asosiasi Fintech itu mau setuju yang draft awal dari pemerintah, atau ada modifikasi atau memang yang tadi dikecualikan dengan bahasa sederhananya. Terima kasih. WAKIL KETUA UMUM idEA (BIMA LAGA): Asosiasi idEA Pak, mohon maaf, kita setuju dengan draft awal. Terima kasih.
39 - KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih. Selanjutnya waktu kami persilakan kepada Bapak Wakil Ketua Umum Aftech. WAKIL KETUA UMUM AFTECH (BUDI GANDASOEBRATA): Terima kasih. Mohon izin Bapak-Ibu yang terhormat. Mungkin saya merangkum ada beberapa pertanyaan yang sifatnya sama, tadi dari Ibu Hillary, Pak Charles dan juga Pak Dave, mengenai penggunaan data. Memang ini juga pandangan kami mengenai RUU PDP ini juga menjadi penting. Karena ini juga salah satu yang dibahas oleh Pak Bima mengenai rujukan ke Pasal 55 mengenai asosiasi. Dan juga Code of conduct yang sudah kami lakukan. Memang saat ini juga unfortunately, banyak oknum-oknum yang berupa Fintech illegal di luar sana, dan ini juga sesuatu yang sudah diupayakan oleh, secara khusus OJK dan juga asosiasi untuk meng-address isu-isu ini. Dengan adanya Code of conduct dan juga daftar Fintech yang terdaftar, mungkin untuk jelasnya nanti saya akan serahkan ke rekan saya, Pak Adrian, ini juga merupakan Ketua Umum AFPI untuk memberikan penjelasan lebih lanjut. Selanjutnya juga mengenai, tadi ada pertanyaan dari Ibu Farah mengenai enskripsi. Saat ini memang untuk beberapa instansi yang diawasi oleh BI ataupun OJK sudah ada ketentuan untuk mengikuti standar keamanan tertentu. Mungkin kalau misalnya untuk contoh yang sangat spesifik, Bank Indonesia sudah meminta PJSP atau Penyelenggara Jasa Sistem Pembayaran untuk mengikuti standar keamanan yang didefinisikan oleh mereka. Saat ini mereka ada blueprint sistem pembayaran 2025 khususnya untuk payment system. Jadi ada beberapa standar keamanan yang diminta. Tapi selain itu juga merujuk kembali ke Pasal 55, asosiasi juga sudah memberikan, dan ini untuk pertanyaan selanjutnya, bagaimana mengajak. Nah ini juga kita sudah minta kepada beberapa member-member kami untuk mengikuti standar-standar tertentu seperti ISO 27001 maupun juga PCI-DSS apabila mereka memproses transaksi tertentu. Kemudian tadi ada pertanyaan dari Pak Bobby mengenai credit scoring. Itu sudah diatur oleh OJK, jadi hanya lewat Pefindo saja Pak. Jadi saya rasa saya sudah merangkum beberapa pertanyaan tadi, mungkin saya serahkan selanjutnya ke Pak Adrian. Silakan.
40 - F- PAN (HJ. FARAH PUTRI NAHLIA, M.SC.): Boleh nanya sedikit enggak, Pimpinan? Terkait Fintech sama OJK, ini masih banyak perusahaan Fintech yang memang sudah diberikan izin oleh OJK tapi masih pakai sistem penagihan kayak Fintech illegal misalnya sistem tagih intimidatif. Itu bagaimana pendapat dari Aftech? WAKIL KETUA UMUM AFTECH (BUDI GANDASOEBRATA): Jadi itu juga salah satunya di address di Code of conduct kami. Jadi memang kalau ada beberapa member yang melanggar, itu juga enggak hanya teguran tapi juga nanti bisa dikeluarkan. Dan itu juga kami itu juga kerja sama dengan OJK, jadi ini akan berpengaruh juga terhadap pendaftaran dan juga izin mereka. KETUA UMUM AFPI (ADRIAN GUNADI): Terima kasih Pak Budi. Selamat siang Bapak-Ibu Anggota yang kami hormati. Perkenalkan, nama saya Adrian Gunadi, sebagai Ketua Umum Asosiasi Fintech Pendanaan Indonesia. Fintech pendanaan mungkin adalah salah satu sub sektor di bawah payung asosiasi Fintech, di mana spesifik terkait dengan pinjam meminjam secara online ya. Jadi persis sebenarnya ini yang memang kami harapkan dari sisi asosiasi, terkait dengan Rancangan Undang-undang PDP tersebut. Itu ya. Karena sebagai sebuah asosiasi yang boleh dibilang menaungi perilaku pelaku usaha atau market conduct, dari 161 Fintech lending yang sudah terdaftar dan berizin. Kami menerapkan beberapa hal terkait dengan data-data apa yang dapat diakses. Kemudian tata cara penagihan, termasuk yang ketiga juga terkait dengan batasan bunga atau pun bagi hasil yang dapat ditetapkan. Jadi kalau tadi ada beberapa kasus yang terkait dengan data kontak, terus kemudian penjamin, itu sebenarnya adalah ciri-ciri dari Fintech illegal ya, yang mana tidak mengikuti ketentuan yang sudah ditetapkan oleh asosiasi, yang persis ini adalah bagian dari edukasi yang terus kita lakukan pada masyarakat. Kalau ingin bertransaksi, harus bertransaksi dengan Fintech yang legal. Karena terkait dari sisi data, dari sisi tata cara penagihan, bahkan dari sisi penetapan bunga atau bagi hasil, itu juga sudah clear, ada batas-batas atasnya, begitu ya. Nah ini yang sebenarnya kita lihat dan memang keberadaan undang- undang ini adalah untuk bagaimana kita memiliki legal frame work, dari sisi asosiasi. Karena persis tadi yang disampaikan oleh Pak Budi, dari sisi asosiasi kami memiliki kode etik yang harus ditaati oleh seluruh anggota. Kode etik tersebut diawasi oleh Komite atau Majelis Etik yang bersifat independen. Jadi bukan dari sisi pelaku usaha sendiri, begitu. ini, enforcement tersebut juga dapat kita jalankan dengan lebih efektif, sehingga Nah ini yang kita harapkan dari adanya undang-undang
41 - tentu akan ada sanksi bagi pelaku yang apalagi sudah terdaftar atau berizin, kalau masih menjalankan praktik-praktik yang tidak sesuai dengan kode etik yang sudah ditetapkan, itu ada sanksinya. Termasuk keluar dari keanggotaan, di mana pada prinsipnya keluar dari keanggotaan berarti izin dari OJK-nya juga akan dicabut, begitu. Mungkin tadi menambahkan dari Pak Budi. F-PAN (HJ. FARAH PUTRI NAHLIA, M.SC.): Izin pendalaman, Pimpinan. Jadi memang kalau Fintech berizin yang sudah terdaftar di asosiasi, berarti memang memiliki suatu standar tertentu di mana tidak boleh ada data penjamin yang diberikan secara langsung tanpa persetujuan dari penjamin tersebut, begitu. KETUA UMUM AFPI (ADRIAN GUNADI): Persis. F-PAN (HJ. FARAH PUTRI NAHLIA, M.SC.): Karena kebetulan kan di sini banyak media, jadi biar masyarakat juga tahu. KETUA UMUM AFPI (ADRIAN GUNADI): Benar. Jadi kembali lagi ya, kalau ingin bertransaksi tentunya harus melihat dulu Fintechnya sudah terdaftar atau berizin, tidak hanya dari sisi OJK, tapi apakah juga sudah menjadi Anggota dari sisi AFPI. Tapi seluruh Fintech yang terdaftar dan berizin di Indonesia harus menjadi Anggota dari Asosiasi yang tadi bertindak menaungi pelaku usaha atau market conduct. F-PG (BOBBY ADHITYO RIZALDI, SE., AK., MBA., CFE.): Pimpinan, Izin, pendalaman. Oke, terima kasih Pimpinan. Jadi dalam hal ruang lingkup data pribadi, Bapak apakah setuju dengan draft awal modifikasi, atau ini harus diatur di luar? Kenapa? Karena Fintech ini bukan hanya soal dia mendapatkan, mengelola data pribadi. Fintech ini juga melakukan validasi. Validasi data adminduk itu ada NPWP, ada data-data di Dukcapil untuk validasi KTP. Nah data itu begitu diambil oleh Fintech itu menjadi data yang dimodifikasi. Nah kalau data modifikasi itu later on, ketahuan bahwa data ini dijualbelikan. Itu kita nanti ada di dalam maaf, masalah soal siapa penanggung jawab, pengelola data pribadi. Inilah yang seperti kalau di
42 - Amerika, data bridge out itu ini. Jadi karena Fintech melakukan validasi data yang dilindungi oleh Undang-undang Adminduk. Oleh karenanya Fintech juga melakukan pengelolaan data pribadi. Nah kalau data pribadi ini walaupun sudah dimodifikasi, tetapi di situ kan sudah mengandung data yang dilindungi oleh undang-undang. Nah, dengan bahasa sederhana, setuju draft awal, tidak setuju, atau ada modifikasi? Terima kasih. KETUA UMUM AFPI (ADRIAN GUNADI): Terima kasih. Mungkin untuk menjawab pertanyaannya, ada modifikasi. Jadi kalau misalnya mohon izin, ini masukan dari asosiasi Fintech. Data pribadi adalah setiap data tentang orang perorangan baik yang teridentifikasi dan atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung atau tidak langsung melalui sistem elektronik dan/atau non elektronik, khususnya dengan merujuk kepada pengidentifikasian seperti nama, nomor identifikasi, data lokasi, pengenal online, atau satu atau lebih faktor spesifik terkait fisik, fisiologis, genetik, mental, ekonomi, budaya, atau identitas sosial dari orang tersebut. Data pribadi tidak termasuk data terenskripsi, anonym, tidak terindentifikasi dan pseudonym. F-PG (BOBBY ADHITYO RIZALDI, SE., AK., MBA., CFE.): Izin Pimpinan, ini enggak sanggup tangan saya ngikuti ngetik, ngomongnya tadi Pak. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Silakan disampaikan, terima kasih. F-PDI PERJUANGAN PANJAITAN, S.H.): (MAYJEN TNI. MAR (PURN) STURMAN Izin, Pimpinan. Pimpinan, mungkin pendalaman sedikit. Saya hanya ingin tanya kepada 4 narasumber, apakah Bapak-Ibu sekalian sudah menerima draft awal itu? Semua sudah punya? Ya kan sudah kan? Kemudian yang dikatakan Pak Bobby tadi, apakah Bapak, bila seandainya definisi data pribadi, dan yang dimaksud data pribadi itu kan sudah sudah membaca masing-masing. Nah itu yang tadi saya bilang, kita sampaikan tertulis saja. Karena Pak Bobby bilang, enggak sempat juga mencatat itu. Tertulis saja, supaya kami bisa nanti mendiskusikannya. Karena ini kan, rancangan undang-undang ini kan inisiatif DPR. Jadi kita harus memperbaiki itu sebaik mungkin. Itu Pimpinan.
43 - Terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Pak Sturman. Selanjutnya kami persilakan kepada Saudara Kepala Kantor Perwakilan US-Asean Business Council. KEPALA KANTOR PERWAKILAN INDONESIA US-ASEAN BUSINESS COUNCIL (LANDRY HARYO SUBIANTO): Terima kasih Bapak Pimpinan. Mungkin kami akan mencoba untuk mengurut jawaban dari pertanyaan-pertanyaan yang diajukan oleh Bapak-bapak, yang pertama, dan Ibu-ibu sekalian. Yang pertama adalah dari Bapak Sturman, kami setuju sepenuhnya dengan pandangan Pak Sturman bahwa dialog ini adalah sesuatu yang harus terus kita tindak lanjuti dan tentu kami siap sebagai asosiasi untuk terus berkomunikasi dengan Bapak-Ibu sekalian. Terkait juga dengan bahwa sebetulnya PDP ini adalah perubahan behavior Pak atau perubahan perilaku dan cara pandang, kami sepenuhnya sepakat yang tadi disampaikan, jika diidentifikasi pasal-pasalnya kebetulan dari awal kami sudah sampaikan, kebetulan kami sudah memasukkan, masukan kepada Komisi I sejak April, Pak Bobby dan Pak Sturman. Dan kami juga sudah mempersiapkan semacam format masukan dalam bentuk pasal per pasal, termasuk juga kalau ada modifikasi dan perubahan-perubahan yang jika seandainya dapat membantu Bapak-Ibu sekalian untuk mendapatkan gambaran dari aspirasi member-member kami. Kemudian juga terkait dengan usulan Pak Hasanuddin, kami akan sangat menyambut baik Pak, bahwa kita juga harus menyampaikan hal ini kepada pemerintah, agar terjadi proses dialog yang lebih smooth, dengan pemerintah dan lebih konstruktif. Tadi disebutkan bahwa, kami memang menyebutkan bahwa sektor keuangan sebaiknya dikecualikan dari apa, dari data spesifik. Pertama, memang seperti telah kami sampaikan, data-data keuangan ini telah diatur secara ketat oleh aturan-aturan lain yang ada di sektor keuangan Pak, juga mengusulkan grandfathering clause untuk, agar mengacu juga kepada undang-undang yang sebelumnya sudah ada. Tapi mungkin untuk argument- argument lain bisa disampaikan nanti bisa disampaikan oleh rekan kami, Bapak Hotman Simbolon, yang juga merupakan perwakilan dari Ketua Komite Indonesia dan juga Ketua Financial Services Committee di US-Asean Business Council. itu yang pertama pertimbangan, sehingga kami
44 - Kemudian hal-hal lain yang tadi Pak Dave juga sempat sampaikan terkait dengan apa, dengan data transfer, cross border dan sebagainya, saya rasa tujuan di sini adalah, bagi kami adalah tetap untuk menjadikan Indonesia tetap kompetitif di dalam persaingan digital global. Dan tuntutan bisnis ke depan juga tampaknya akan terus membutuhkan proses transfer ini. Seperti tadi disampaikan oleh Prof. tentang proses transfer data dan lain sebagainya. Kemudian hal lainnya, karena masukan kita dijadikan rujukan Pak, jadi mungkin tidak ada hal lain yang bisa kami memilih di sini, tetapi secara spesifik Pak, dalam masukan ini yang akan kami sampaikan, kami menyoroti tentang relevansi Pasal 11, Pak. Terkait hak pemilik data untuk dapat diproses secara pseudonym atau tidak. Kembali tujuannya adalah bahwa pseudonimisasi terkadang diperlukan bagi kepentingan-kepentingan inovasi dan bisnis dan market research tentunya. Memang ada hal-hal lain, ekses-ekses lain yang saya kira nanti harus kita berikan tambahan-tambahan pasal Pak, untuk mengawalnya. ini Kemudian terkait sanksi, seperti Pak Bobby tadi sebutkan, memang di Amerika tidak ada sanksi pidana, Pak. Tetapi mungkin kami juga paham sepenuhnya dalam konteks Indonesia dan lain sebagainya, apalagi kita masih rentan, tetapi tetap penekanan kami adalah pada sanksi administratif dan sanksi perdata, Pak. Jika memang tadi disebutkan juga bahwa sanksi pidana jika Dewan yang terhormat mempertimbangkan itu perlu ada, ini adalah sebagai ultimate remedy, eh ultimate punishment, Pak. Demikian. Mungkin untuk aspek finansial tadi, kami mohon izin Bapak Pimpinan, untuk Pak Hotman Simbolon bisa memberikan tambahan penjelasan. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih Pak Landry. KETUA FINANCIAL SERVICES COMMITTEE DI US-ASEAN BUSINESS COUNCIL (HOTMAN SIMBOLON): Terima kasih Pak Landry. Selamat siang Bapak-Ibu sekalian, Yang terhormat Pak Pimpinan Sidang. Untuk melanjutkan, menjawab pertanyaan Pak TB. Pak Hasanuddin tadi mempertanyakan kenapa data keuangan tidak dimasukkan data spesifik. Sebenarnya yang kami sampaikan di sini Pak, adalah data keuangan tidak dimasukkan sebagai data spesifik di berbagai hukum global Pak, bukan di Indonesianya. Kami hanya menyampaikan keterangan bahwa data keuangan itu tidak dimasukkan sebagai data sensitif di dalam hukum global, termasuk di dalam Undang-undang Hukum Privacy Australia,
45 - Informasi Pribadi, Undang-undang Pelindungan Informasi Pribadi Korea, dan beberapa undang- undang yang lain. Kami sudah siapkan di sini Pak, argumentasinya. Undang-undang Jepang tentang Pelindungan Lalu kami juga menyampaikan tentang keuangan pribadi. Keuangan pribadi pada saat ini, itu sangat luas Pak. Keuangan pribadi cenderung sekali kita berasumsi bahwa itu hanya tabungan, tapi sering kita melupakan ada keuangan pribadi yang lain. Pensiun, itu termasuk juga keuangan pribadi. Berapa dana pensiun saya, itu juga menjadi informasi yang bagus. Sering kejadian bahwasannya setelah pensiun, orang sering mendapat tawaran untuk investasi yang penggandaannya lebih cepat. Hingga sering mengalami hal-hal yang tidak semestinya. Juga asuransi, itu data keuangan. Juga pegadaian, itu juga data keuangan. Jadi terminology kata keuangan mungkin perlu lebih dispesifikasikan, Pak. Cenderung sekali kata "keuangan" itu selalu dikaitkan dengan bank. Padahal kata "keuangan" itu bukan hanya bank saja, Fintech juga termasuk data keuangan. Kartu kredit, apakah termasuk data keuangan? Jadi kata "keuangan" itu mungkin perlu lebih diperjelas di dalam undang-undang ini Pak. Karena apabila kita tidak perjelas, maka ada transaksi-transaksi kesulitan bagi elektronik. Contoh yang bisa kami sampaikan adalah ketika kita melakukan transaksi kartu kredit, maka di dalam kartu kredit itu nomor kartu kredit, CVV sama expire date, itu termasuk data keuangan atau bukan? Atau data transaksi? industri keuangan terutama untuk Nah ini yang perlu kita, eh ini yang kita sampaikan Pak, agar kita tidak terjebak bahwa data keuangan itu semua data. Hingga tidak boleh lagi transfer data. Contohnya adalah di e-commerce, Pak. Sering sekali kita ngambil e-booking, menggunakan kartu kredit kita untuk mengambil room atau membeli tiket di traveloka, for example, contohnya Pak. Nah ini perlu dilihat lagi Pak. Jadi itu masukan kami terhadap data keuangan. Dan kami sangat mendukung adanya PDP ini Pak. Tapi mungkin perlu di dalami soal keuangan saja. Karena data keuangan juga sudah diatur lebih dari pada 23 undang- undang, tadi sudah disebutkan Pak. Mungkin itu saja masukan dari kami. Terima kasih banyak atas kesempatannya, saya serahkan kembali kepada Landry. Silakan Landry. Terima kasih. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Masih ada tambahan-tambahan dari teman-teman? Cukup ya? Oke?.
46 - Terima kasih atas jawaban-jawaban serta penjelasan lebih lanjutnya dari yang terhormat Bapak dan Ibu narasumber yang telah hadir pada kesempatan rapat hari ini. Kami yakin dan percaya bahwa segala paparan penjelasan yang telah Ibu dan Bapak sampaikan ini akan sangat bermanfaat bagi Komisi I DPR RI dalam menyelesaikan RUU Pelindungan Data Pribadi. Kami dari meja pimpinan juga mengucapkan terima kasih kepada Bapak dan Ibu Anggota Komisi I DPR RI yang telah hadir pada kesempatan rapat di hari ini. Sebelum rapat kami tutup, kami persilakan kepada yang mewakili Bapak dan Ibu narasumber untuk menyampaikan closing statementnya. Mungkin dari Ibu Sekjen, silakan. SEKRETARIS JENDERAL PERSI (DR. LIA G. PERTAKUSUMA, SPPK. (K), MM., MARS.): Assalamu'alaikum Warahmatullahi Wabarakatuh. Kami dari Perhimpunan Rumah Sakit Seluruh Indonesia sekali lagi mengucapkan terima kasih Pak, atas kesempatan yang diberikan kepada kami. Tentunya selaku yang, artinya kita bicara mengenai data di rumah sakit yang begitu banyak Pak. Dan intinya kami sangat mendukung RUU ini, dengan catatan-catatan penting adalah tadi mengenai penghapusan, Pak. Jadi menghapus rekam medik ini kami mohon untuk kiranya dapat melalui aturan-aturan yang sangat jelas, sehingga bukan menghapus, tetapi kita bisa melihat rekam jejaknya. Artinya kami di tingkat medis ini sangat berkepentingan bahwa apa pun data medik yang sudah masuk tentu harus dipertanggungjawabkan oleh pihak fasilitas kesehatan. Sehingga istilah "menghapus" itu dilakukan sesuai dengan aturan yang berlaku, itu mungkin nanti kami ingin tambahkan sedikit di dalam poin-poin atau pasal-pasal yang ada. Dan kemudian juga sebagai tambahan, kami selalu melakukan adanya NDA, Pak. Non Disclosure Agreement. Jadi ada mutual NDA yang di sana masuk di dalamnya tadi beberapa hal yang ditanyakan oleh teman-teman Anggota Dewan yang terhormat, yaitu mengenai confidential. Jadi di sana disebutkan confidential, mulai dari definisi sampai obligasinya seperti apa, ada waktu dan sebagainya. Jadi saya yakin dengan penambahan ini juga akan membuat data pasien ini lebih aman. Dan yang terakhir adalah tentunya masalah-masalh yang teknis, itu sesuai dengan yang diusulkan bahwa ada GDPR yang kita pakai sebagai acuan dan tentu harus disesuaikan juga dengan kondisi Indonesia. Jadi artinya tidak semua kita terapkan tetapi nantinya, karena kita sudah berjalan cukup lama ini, dengan apa ini, dengan aturan yang "sebetulnya juga perlu jadi kami berharap kerja sama seluruhnya untuk bisa kehati-hatian",
47 - memberikan usulan-usulan yang lebih detail lagi khususnya mengenai kesehatan, Pak. Dan satu lagi, karena ini bencana, mudah-mudahan istilahnya jangan PDP, Pak. Karena PDP di kami kan pasien dengan pengawasan Pak, PDP, Pak, nanti ketukar sama OTG, gitu. Jadi mungkin ada istilah lagi mengenai Pelindungan data pribadi ini mungkin ada istilah lain, begitu, supaya enggak ketukar. Mungkin itu saja, terima kasih. Wassalamu'alaikum warahmatullahi wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Dari Wakil Ketua Umum idEA. WAKIL KETUA UMUM idEA (BIMA LAGA): Ya, terima kasih Pimpinan. Clossing dari kami adalah kami mendukung diterbitkan Undang- undang Pelindungan Data Pribadi, karena kami berpandangan bahwa ini, peraturan ini akan penting untuk menjaga kepercayaan konsumen dan pondasi serta dunia digital sebagai pondasi ekonomi digital. Yang kedua, ekosistem ekonomi digital terdiri dari model dan skala bisnis yang berbeda-beda, Pimpinan, dan Anggota Dewan yang terhormat, kami harap perumusan kebijakan yang harus mempertimbangkan dampak- dampak terhadap perilaku UMKM. Yang ketiga, kami mendukung perumusan aturan yang melibatkan public private dalam hal ini asosiasi dan member-member kami karena undang-undang harus dapat di-enforce. Jika memang aturan ini bisa diterapkan, dan diaplikasikan kepada member-member kami, kami sangat mengapresiasi. Dan yang terakhir, kami dari asosiasi idEA akan mengirimkan masukan secara tertulis kepada Anggota Dewan yang terhormat, semoga masukan kami dapat diterima dengan baik. Wassalamu'alaikum warahmatullahi wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Terima kasih. Dari Aftech, silakan. WAKIL KETUA UMUM AFTECH (BUDI GANDASOEBRATA):
48 - Terima kasih. Assalamu'alaikum warahmatullahi wabarakatuh. Dari kami, singkat kata, kami juga ingin menyampaikan apresiasi juga kepada Bapak dan Ibu dari Dewan yang sudah memfasilitasi diskusi mengenai RUU PDP ini. Kami mendukung dengan adanya Undang-undang Pelindungan Data Pribadi ini karena seperti yang tadi kami informasikan bahwa industri kami ini industri yang berpondasikan kepercayaan dan juga keamanan dari sisi publik. Mungkin akhir kata, masukan yang tadi kami sampaikan sudah kami sampaikan secara tertulis, jadi ini sudah kami sediakan di booklet, pasal per pasal juga. Jadi nanti akan kami sampaikan secara langsung juga. Terima kasih. Wassalamu'alaikum warahmatullahi wabarakatuh. KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Silakan. KEPALA KANTOR PERWAKILAN INDONESIA US-ASEAN BUSINESS COUNCIL (LANDRY HARYO SUBIANTO): Terima kasih Bapak Pimpinan. Sekali lagi atas kesempatan yang sangat berharga ini, sekaligus proses yang sanga inklusif, kami sangat menghargai tukar pikiran kita pada hari ini. Sekali lagi, kami juga tadi menyambut pandangan dari Bapak Sturman dan Pak Hasanuddin, agar kiranya proses ini tidak berhenti di sini, Bapak Pimpinan dan Ibu Ketua yang kami muliakan. Kiranya kita dapat terus berkomunikasi, baik offline ataupun melalui zoom mungkin Pak, karena saat ini sedang, atau, sorry, melalui platform digital. Kemudian kami juga tadi meng-echo kembali pandangan teman- teman, bahwa policy ini terkait erat dengan teknologi, Pak. Teknologi ini sangat pesat, dan saya rasa di sini tantangannya bahwa RUU ini harus mampu untuk menjangkau ke depan. Kemudian sekali lagi tidak, tentu pada fokus dan perhatian adalah pada usaha-usaha kecil dan menengah kita, agar jangan sampai juga mendapatkan dampak yang tidak diinginkan. Sekali lagi demi kemajuan bangsa Pak, kami siap untuk terus berkontribusi dan kami juga telah menyiapkan masukan untuk seluruh pasal. Dan jika dengan izin Bapak Pimpinan, kami ingin menyampaikan kepada Bapak-Ibu sekalian dalam kesempatan kali ini. Terima kasih Bapak, jika diizinkan.
49 - KETUA KOMISI I DPR RI (MEUTYA VIADA HAFID/F- PG): Mohon maaf, itu maksudnya ada bahan lain?. Diserahkan secara simbolis mungkin ya. Tidak usah dibacakan, nanti kita akan pelajari. KEPALA KANTOR PERWAKILAN INDONESIA US-ASEAN BUSINESS COUNCIL (LANDRY HARYO SUBIANTO): Ya, tidak, kita serahkan. (PENYERAHAN BAHAN MASUKAN RUU TENTANG PELINDUNGAN DATA PRIBADI DARI US-ASEAN BUSINESS COUNCIL) KETUA RAPAT (H. BAMBANG KRISTIONO, SE./F-PARTAI GERINDRA): Bapak dan Ibu yang kami hormati, Terima kasih atas kehadirannya, pada kesempatan rapat kita di hari ini. Akhirnya dengan mengucapkan syukur alhamdulillah, rapat kita pada hari ini saya nyatakan ditutup. (RAPAT DITUTUP PUKUL 12.53 WIB) (KETUK PALU: 3X) Jakarta, 6 Juli 2020 a.n KETUA RAPAT SEKRETARIS RAPAT, SUPRIHARTINI, S.IP., M.SI. NIP. 19710106 199003 2 001