Perlindungan data
Konsep Perlindungan Data

Perlindungan terhadap hak dan data pribadi di Indonesia termuat pada Undang-Undang Dasar Negara Republik Indonesia Tahun1945 Pasal 28G ayat (1) , yang berbunyi “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang dibawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.”
Konsep kehidupan pribadi berhubungan dengan manusia sebagai makhluk hidup. Dengan demikian orang perorang adalah pemilik utama dari hak perlindungan data pribadi. Dalam konteks Indonesia, Putusan No.5/PUU-VIII/2011, MK (Mahkaman Konstitusi) juga menulis bahwa right to privacy merupakan bagian dari hak asasi manusia (derogable rights) dan cakupan dari right to privacy meliputi informasi atau right to information privacy, disebut juga data privacy (data protection). Peraturan delegasi dari Undang-Undang ITE, PP Nomor 82 Tahun 2012 tentang Penyelenggara Sistem dan Transaksi Elektronik, memuat definisi data pribadi yaitu data perseorangan tertentu yang disimpan, dirawat, dijaga kebenaran serta dilindungi kerahasiaannya (Pasal 1 angka 27).
Hukum hak asasi international telah menyoroti privasi digital.  Pada Sidang Umum PBB 2013, negara-negara anggota menyepakati adanya hak untuk privasi. Negara-Negara anggota diminta untuk transparan dan bertanggung jawab Ketika mengumpulkan data pribadi. Negara lain seperti Australia dan Singapura juga telah menetapkan peraturan mengenai privasi. Australia menetapkan Privacu Act pada 1988 dan Singapura menetapkan Personal Data Protection Act pada 2012. Sementara Uni Eropa mempunyai General data Protection Regulation (GDPR) pada 2018. Berend van der Eijk menjelaskan mengenai prinsip transparansi: bahwa warga memiliki hak untuk mengakses, mengubah, dan menghapus data pribadi mereka pada waktu tertentu dari data pelanggan perusahaan. Perusahaan juga diminta untuk transparan mengenai mengapa mereka mengumpulkan data dan bagaimana mereka akan menggunakannya. Perlindungan data personal yang ada dalam GDPR terkait masalah ras, etnis, politik, kesehatan, gender, dan seksualitas yang berlaku.
Secara umum, prinsip mengenai pengaturan perlindungan data utamanya data pribadi bisa mengacu pada 6 prinsip Personal Personal Data Privacy Ordinance of 1995 (PDPO) Hong Kong :
Batasa Pengumpulan Data Pribadi, Pengumpulan data pribadi terbatas pada pengumpulan data pribadi secara sah untuk tujuan yang secara langsung berhubungan dengan fungsi dari pengumpul.
Penggunaan dan Pengungkapan Data Pribadi, Prinsip ini membatasi pengungkapan data pribadi hanya untuk atau secara langsung berhubungan dengan tujuan awal pengumpulan data pribadi tersebut, atau apabila subjek data menyatakan persetujuan.
Kewajiban Kualitas Data dan Pemberian Saran kepada Pihak Ketiga, Prinsip ini mewajibkan seluruh langkah yang mungkin diambil untuk menjamin akurasi data pribadi (dengan mempertimbangkan tujuan penggunaan dan setiap tujuan yang langsung berhubungan), dan untuk menghapus atau tidak menggunakan data yang tidak akurat.
Penghapusan dan Pemusnahan Data Pribadi, Berdasarkan prinsip ini, data pribadi tidak boleh disimpan lebih lama dari jangka waktu yang diperlukan untuk pemenuhan tujuan (termasuk setiap tujuan yang langsung berhubungan) untuk tujuan tersebut data digunakan atau akan digunakan di masa depan.
Kewajiban Keamanan Data, Berdasarkan prinsip ini, pengelola data pribadi wajib melakukan setiap langkah yang memungkinkan untuk melindungi data pribadi dari akses yang tidak disengaja, atau pemrosesan, penghapusan, penghilangan, dan penggunaan tidak sah (tanpa hak).
Keterbukaan mengenai praktik-praktik, “Data User” harus mengambil langkah-langkah untuk menjamin bahwa setiap orang (tidak hanya subjek data) dapat menentukan kebijakan dan praktik mengenai data pribadi, jenis data pribadi yang disimpan “Data User”, dan tujuan utama penggunaannya.
Prinsip mengenai pengaturan perlindungan data juga bisa mengacu pada EU GDPR artikel 5 yaitu:
Data pribadi harus diproses sesuai hukum, adil, dan transparan,
Diperoleh sesuai dengan tujuan penggunaannya, jelas, spesifik kecuali untuk kepentingan public, science dan riset.
Relevan dan terbatas sesuai dengan tujuan penggunaannya.
Terjamin keakuratannya.
Dibatasi penyimpanannya,
Terjamin keamanan, integritas dan kerahasiaannya. Juga di artikel 9 yaitu “racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation”.
Hak-hak pemilik Data pribadi dapat melihat model pengaturan EU GDPR khususnya Chapter III yakni hak subjek data untuk transparansi informasi dalam hal pemrosesan data pribadinya, hak mengakses informasi terhadap tujaun pengumpulan data pribadinya (kontrak, pengendalinya), hak untuk menghapus dan koreksi data pribadinya, hak untuk menolak pemrosesan data pribadinya, hak untuk membatasi pemrosesan data pribadinya. Pengaturan terhadap Pengendali dan Pemroses terhadap data dapat melihat model pengaturan EU GDPR khususnya Chapter IV mengenai tanggung jawab pengendali, siapakah pengendalinya, pemroses, tanggung jawab pemroses dalam keamanan data pribadi, bentuk dan mekanisme pemrosesan data pribadi. Pengaturan terhadap Kode Etik dan sertifikasi dapat melihat model pengaturan EU GDPR khususnya Article 40 mengenai kode etik terhadap pengendali dan pemroses data pribadi yang dibentuk oleh Pemeritah, selain itu Sertifikasi terhadap pengendali dan pemroses data pribadi oleh pemerintah atau lembaga pemerintahan tertentu. Pengaturan terhadap Transfer data pribadi ke negara lain atau organisasi internasional dapat melihat model pengaturan EU GDPR khususnya Chapter V bahwa negara yang menerima transfer data pribadi harus memiliki standar pengaturan yang sama terhadap perlindungan data pribadi. Pengaturan terhadap otoritas pengawas yang independen berupa komisi atau lembaga dapat melihat model pengaturan EU GDPR khususnya Chapter VI dimana otoritas tersebut bertanggung jawab untuk mengawasi pengaturan perlindungan data pribadi sesuai regulasi yang ditetapkan yang bersifat independen dari pengaruh eksternal yang juga dapat sebagai wadah untuk penyelesaian sengketa. Pengaturan terhadap Ganti Rugi dan Pertanggung jawaban, sanksi dapat melihat model pengaturan EU GDPR khususnya Chapter VIII bahwa contohnya pemilik data pribadi dapat meminta ganti rugi kepada pengendali dan/atau pemroses jika data pribadinya disalah gunakan dan diproses tidak sesuai dengan tujuan atau terdapat pelanggaran.
Selain GDPR dan PDPO, terdapat juga The OECD Privacy Framework yang diterbitkan oleh Organization for Economic Co-Operation and Development (OECD) tahun 1980 sebagaimana telah direvisi pada tahun 2013. Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data yang menerapkan prinsip-prinsip pertama privasi yang diakui secara internasional. Berikut adalah prinsip perlindungan data pribadi menurut OECD 95:
Prinsip Pembatasan Pengumpulan (Collection Limitation Principle), Harus ada batasan untuk pengumpulan data pribadi dan data semacam itu harus diperoleh dengan cara yang sah dan adil dan dengan sepengetahuan atau persetujuan dari subjek data.
Prinsip Kualitas Data (Data Quality Principle), Data pribadi harus relevan dengan tujuan penggunaannya, dan sejauh yang diperlukan untuk tujuan tersebut, harus akurat, lengkap, dan terus diperbarui.
Prinsip Spesifikasi Tujuan (Purpose Specification Principle), Tujuan pengumpulan data pribadi harus ditentukan selambat-lambatnya pada saat pengumpulan data dan penggunaan selanjutnya terbatas pada pemenuhan tujuan tersebut atau tujuan lainnya yang tidak sesuai dan ditentukan untuk setiap perubahan tujuan.
Prinsip Pembatasan Penggunaan (Use Limitation Principle), Data pribadi tidak boleh diungkapkan, tersedia atau digunakan untuk tujuan selain yang ditentukan kecuali: (a) dengan persetujuan subjek data; atau (b) oleh otoritas hukum
Prinsip Perlindungan Keamanan (Security Safeguards Principle), Data pribadi harus dilindungi oleh perlindungan keamanan yang wajar terhadap risiko seperti kehilangan atau akses tidak sah, perusakan, penggunaan, modifikasi atau pengungkapan data.
Prinsip Keterbukaan (Openness Principle), Adanya kebijakan keterbukaan tentang perkembangan, praktik, dan policy berkenaan dengan data pribadi. Sarana tersebut harus tersedia untuk menetapkan keberadaan dan sifat data pribadi, dan tujuan utama penggunaannya, serta identitas dan lokasi pengontrol data (data controller).
Prinsip Partisipasi Individu (Individual Participation Principle), Individu berhak: a. untuk memperoleh dari pengontrol data (data controller), atau konfirmasi, apakah pengontrol data memiliki data terkait atau tidak; b. untuk berkomunikasi dengan mereka, data yang berkaitan dengan mereka: (i) dalam waktu yang wajar;(ii) dengan biaya, jika ada;(iii) alasan yang cukup; dan (iv) diberikan dalam bentuk yang dapat dipahami. c. Diberikan alasan jika permintaan dibuat berdasarkan huruf (a) dan (b) di tolak, dan dapat diargumentasikan penolakan tersebut; d. Untuk melawan data terkait mereka, dan seandainya perlawanan tersebut benar, untuk menghapus data, memperbaiki, melengkapi atau mengubah.
Prinsip Akuntabilitas (Accountability Principle), Pengontrol data (data controller) harus bertanggung jawab untuk mematuhi langkah-langkah yang berdampak pada prinsip-prinsip yang disebutkan di atas.
Asas ataupun prinsip perlindungan data pribadi terdapat pada peraturan turunan dari UU ITE dan perubahannya yang secara spesifik mengatur mengenai perlindungan data pribadi, yakni Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik (Permenkominfo 20 Tahun 2016). Perlindungan data pribadi dalam sistem elektronik mencakup perlindungan terhadap perolehan data, pengumpulan data, pengolahan data, penganalisisan data, penyimpanan data, penampilan, pengumuman, pengiriman, penyebarluasan, dan pemusnahan data pribadi. Dalam melaksanakan ketentuan tersebut harus berdasarkan asas perlindungan data pribadi yang baik, antara lain adalah:
penghormatan terhadap data pribadi sebagai privasi;
data pribadi bersifat rahasia sesuai persetujuan dan/atau berdasarkan ketentuan peraturan perundang-undangan
berdasarkan persetujuan;
relevansi dengan tujuan perolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, penampilan, pengumuman, pengiriman, dan penyebarluasan;
kelaikan sistem elektronik yang digunakan;
iktikad baik untuk segera memberitahukan secara tertulis kepada pemilik data pribadi atas setiap kegagalan perlindungan data pribadi;
ketersediaan aturan internal pengelolaan perlindungan data pribadi;
tanggung jawab atas data pribadi yang berada dalam penguasaan pengguna;
kemudahan akses dan koreksi terhadap data pribadi oleh pemilik data pribadi; dan
keutuhan, akurasi, dan keabsahan serta kemutakhiran data pribadi.
Konsep perlindungan data pribadi menekankan bahwa setiap orang berhak menentukan nasibnya sendiri seperti apakah dirinya akan melakukan sharing data atau tidak dan apabila sharing data dilakukan maka ia berhak juga menentukan syarat yang hendak dipenuhi dalam suatu komunitas masyarakat. Data pribadi mengenai nama lengkap, email, akun media sosial bahkan nomor rekening dalam berbagai layanan aplikasi yang meminta data pengguna dengan berbagai macam tujuan, salah satunya untuk memastikan data pengguna adalah benar. Tidak ada jaminan bahwa data pribadi tersebut terhindar dari penyalahgunaan. Nomor kontak, nomor rekening bank, alamat rumah dapat menjadi ancaman bagi pemilik data pribadi misalnya penipuan yang dilakukan melalui telepon genggam, menjadi sasaran peretasan rekening bank dan dapat menjadi sasaran perampokan dengan berbagi alamat rumah.
Khusus untuk konteks Asia Tenggara, pengakuan itu tercermin secara jelas pada Deklarasi HAM ASEAN 2012 (ASEAN Human Rights Declaration/AHRD) yang pada butir 21 memuat: “Setiap orang memiliki hak untuk terbebas dari campur tangan yang sewenang-wenang terhadap privasi, keluarga, tempat tinggal, atau yang terkait termasuk data pribadi, atau untuk menyerang kehormatan dan reputasi orang tersebut. Setiap orang berhak atas perlindungan hukum terhadap gangguan atau serangan tersebut".