Siapa yang Bertanggung Jawab Menjaga Data Kita?

Suatu hari, Sari mendaftar sebuah layanan untuk mengikuti kegiatan komunitas. Ia mengisi nama, nomor telepon, alamat email, dan beberapa informasi lain yang diminta dalam formulir.

Prosesnya berlangsung cepat. Setelah menekan tombol kirim, Sari menerima pesan konfirmasi dan melanjutkan aktivitasnya.

Beberapa minggu kemudian, ia menerima pesan promosi dari pihak yang tidak ia ingat pernah dihubungi. Sari mulai bertanya-tanya, dari mana nomor teleponnya diperoleh?

Ia mencoba mengingat kembali layanan yang pernah digunakan. Apakah data yang ia masukkan ke formulir dibagikan kepada pihak lain? Siapa yang mengelolanya? Dan, kalau terjadi masalah, siapa yang harus dimintai penjelasan?

Pertanyaan Sari menggambarkan persoalan yang sering muncul ketika data pribadi berpindah dari tangan kita ke suatu organisasi.

Kita memang memiliki tanggung jawab untuk berhati-hati saat membagikan informasi. Namun, pihak yang mengumpulkan dan memproses data juga memiliki tanggung jawab yang tidak bisa begitu saja dialihkan kepada pengguna.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengenal dua istilah penting: Pengendali Data Pribadi dan Prosesor Data Pribadi.

Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data pribadi. Contohnya dapat berupa organisasi atau badan publik yang memutuskan data apa yang diperlukan untuk suatu layanan dan bagaimana data tersebut diproses.

Sementara itu, Prosesor Data Pribadi adalah pihak yang melakukan pemrosesan data pribadi atas nama pengendali. Misalnya, suatu organisasi menggunakan penyedia layanan teknologi untuk membantu mengelola sistem atau menyimpan data sesuai instruksi yang diberikan.

Sederhananya, pengendali menentukan tujuan dan mengendalikan proses, sedangkan prosesor membantu menjalankan pemrosesan atas nama pengendali.

Pembagian ini penting karena pengelolaan data sering melibatkan lebih dari satu pihak. Kita mungkin hanya melihat sebuah aplikasi atau formulir, padahal di belakangnya ada sistem dan penyedia layanan yang ikut menangani data.

Namun, keberadaan prosesor tidak otomatis membuat pengendali lepas tangan.

UU PDP menetapkan sejumlah kewajiban bagi Pengendali Data Pribadi.

Pasal 35 mengatur kewajiban melindungi dan memastikan keamanan data pribadi yang diproses, termasuk melalui langkah teknis dan operasional serta penentuan tingkat keamanan dengan mempertimbangkan sifat dan risiko data.

Pasal 36 mewajibkan pengendali menjaga kerahasiaan data pribadi. Pasal 37 mewajibkan pengendali mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendalinya.

Selanjutnya, Pasal 38 mengatur kewajiban melindungi data pribadi dari pemrosesan yang tidak sah, sedangkan Pasal 39 mengatur kewajiban mencegah akses yang tidak sah dengan sistem keamanan yang andal, aman, dan bertanggung jawab.

Pasal 47 juga menegaskan bahwa Pengendali Data Pribadi wajib bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pelaksanaan prinsip pelindungan data pribadi.

Artinya, menjaga data bukan sekadar memasang sistem keamanan atau membuat pernyataan bahwa data pengguna aman. Ada kewajiban untuk mengelola pemrosesan dengan benar, menjaga kerahasiaan, mengawasi pihak yang terlibat, dan mencegah akses yang tidak sah.

Bayangkan sebuah tempat kursus mengumpulkan nama dan nomor telepon calon peserta untuk keperluan pendaftaran. Tempat kursus tersebut kemudian menggunakan penyedia layanan teknologi untuk mengelola basis data peserta.

Suatu saat, seorang peserta menerima pesan yang menawarkan produk dari pihak yang tidak ia kenal. Ia menduga nomor teleponnya telah digunakan di luar tujuan awal.

Dari cerita ini saja, kita belum bisa menyimpulkan bahwa telah terjadi pelanggaran. Pesan tersebut mungkin berasal dari sumber lain, dan penyebabnya perlu diperiksa.

Namun, peserta berhak mengambil langkah yang wajar: menanyakan kepada tempat kursus bagaimana data pribadinya digunakan, siapa saja yang dapat mengaksesnya, dan apakah data tersebut diberikan kepada pihak lain.

Di sisi pengelola, pertanyaan itu perlu ditanggapi secara bertanggung jawab. Pengelola perlu meninjau proses pengumpulan dan penggunaan data, memeriksa akses pihak yang terlibat, serta mengevaluasi apakah pemrosesan dilakukan sesuai tujuan dan ketentuan hukum.

Jika ditemukan kegagalan pelindungan data pribadi, Pasal 46 UU PDP mengatur kewajiban pemberitahuan tertulis paling lambat 3 × 24 jam kepada Subjek Data Pribadi dan lembaga yang berwenang, dengan memuat informasi mengenai data yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan. Dalam keadaan tertentu, masyarakat juga harus diberi tahu.

Jadi, tanggung jawab tidak berhenti pada mencari siapa yang melakukan kesalahan. Yang juga penting adalah memastikan masalah ditangani dan dampaknya dikurangi.

Saat menyerahkan data pribadi kepada suatu layanan, kita bisa melakukan pemeriksaan sederhana berikut.

Bagi organisasi yang mengelola data, checklist ini menjadi pengingat bahwa keamanan dan akuntabilitas harus diterapkan dalam proses kerja sehari-hari, bukan hanya saat terjadi insiden.

Sebagai pengguna, kita perlu berhati-hati ketika membagikan data pribadi. Namun, kita tidak seharusnya dibebani seluruh tanggung jawab atas data yang sudah dipercayakan kepada pihak lain.

UU PDP menempatkan kewajiban pada pihak yang mengendalikan dan memproses data sesuai peran serta ketentuan yang berlaku. Pengelola perlu menjaga kerahasiaan, menerapkan keamanan, mengawasi pihak yang terlibat, dan mampu mempertanggungjawabkan pemrosesan data.

Ketika kita bertanya bagaimana data digunakan atau siapa yang dapat mengaksesnya, itu bukan berarti kita sedang mempersulit layanan. Kita sedang berusaha memahami bagaimana informasi pribadi kita dijaga.

Saat menyerahkan data kepada sebuah layanan, apakah kita sudah tahu siapa yang mengelolanya dan ke mana kita harus bertanya jika terjadi masalah?