Data Warga RI ke AS: Pakar Bongkar Risiko Keamanan Privasi

Pemerintah Indonesia tengah menghadapi sorotan tajam terkait rencana transfer data pribadi warga negara ke Amerika Serikat (AS) sebagai bagian dari kesepakatan perdagangan bilateral. Keputusan ini, yang diumumkan oleh Gedung Putih pada 22 Juli 2025, memicu kekhawatiran serius di kalangan pakar siber dan privasi data mengenai keamanan dan kedaulatan data pribadi jutaan warga Indonesia.

Menteri Komunikasi dan Digital (Menkomdigi) Meutya Hafid serta Wakil Menteri Nezar Patria menegaskan bahwa transfer data tidak akan dilakukan secara sembarangan dan harus mematuhi Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Pemerintah Indonesia berencana mengakui AS sebagai negara atau yurisdiksi yang menyediakan perlindungan data yang memadai di bawah hukum Indonesia. Menkomdigi juga menyatakan bahwa pemindahan data pribadi diperbolehkan untuk kepentingan yang sah, terbatas, dan dapat dibenarkan secara hukum. Namun, proses pembahasan mengenai skema transfer data ini masih berlangsung dan belum mencapai kesepakatan final. Juru Bicara Kementerian Koordinator Bidang Perekonomian Haryo Limanseto sempat menjelaskan bahwa transfer data yang dimaksud dalam kesepakatan ini hanya mencakup data komersial, bukan data pribadi atau data strategis milik negara, demi transparansi transaksi perdagangan. Meskipun demikian, beberapa sumber lain secara eksplisit menyebutkan "data pribadi" sebagai bagian dari kesepakatan yang dibahas.

UU PDP sendiri tidak melarang secara mutlak transfer data pribadi ke luar negeri. Pasal 56 UU tersebut memberikan ruang legal untuk transfer data lintas batas, dengan syarat bahwa negara tujuan memiliki standar perlindungan data yang setara atau lebih tinggi dari Indonesia, atau jika telah ada perjanjian internasional yang mengikat. Jika syarat tersebut tidak terpenuhi, pengendali data wajib memastikan adanya mekanisme perlindungan data yang memadai dan bersifat mengikat.

Namun, para pakar menyoroti sejumlah risiko dan tantangan signifikan. Pakar keamanan siber dari Lembaga Riset Keamanan Siber dan Komunikasi (CISSReC), Pratama Persadha, mengingatkan pemerintah untuk berhati-hati. Menurutnya, data adalah komoditas strategis, dan membuka akses transfer data pribadi ke luar negeri berarti melepaskan kontrol atas data tersebut, yang berpotensi diakses oleh entitas asing, termasuk badan intelijen atau perusahaan teknologi besar, tanpa pengawasan penuh dari otoritas Indonesia. Pratama juga mengkhawatirkan hilangnya nilai tambah ekonomi karena data tersebut dapat dimanfaatkan perusahaan asing untuk pengembangan produk berbasis kecerdasan buatan (AI). Ia menyarankan agar disusun kesepakatan bilateral yang menjamin perlindungan hak-hak digital WNI, termasuk hak untuk dihapus dan hak untuk menggugat pelanggaran privasi.

Lembaga penelitian dan advokasi hak asasi manusia, ELSAM (Institute for Policy Research and Advocacy), mendesak pemerintah untuk meninjau ulang ketentuan data dalam perjanjian tersebut, memperingatkan bahwa hal itu dapat melanggar UU PDP dan mengekspos warga negara Indonesia pada risiko privasi yang serius. ELSAM menegaskan, "data pribadi warga negara Indonesia bukanlah komoditas". Mereka menyoroti ketidaksetaraan hukum karena AS tidak memiliki kerangka perlindungan data federal yang komprehensif seperti UU PDP Indonesia. Selain itu, ada risiko pengawasan massal di bawah Bagian 702 Undang-Undang Pengawasan Intelijen Asing (FISA) AS, yang memungkinkan badan intelijen AS mengakses data asing yang disimpan di server Amerika. Kekhawatiran ini menggemakan putusan Schrems II yang membatalkan EU-US Privacy Shield.

Pakar hukum tata negara dari Universitas Andalas, Feri Amsari, menilai kesepakatan transfer data pribadi ini dapat melanggar UU PDP dan Undang-Undang Dasar 1945, karena data adalah milik individu, bukan pemerintah. Sementara itu, Ketua DPR RI Puan Maharani mengingatkan pemerintah untuk tetap mengacu pada UU PDP dalam menjalankan kerja sama dagang ini.

Salah satu pekerjaan rumah terbesar Indonesia adalah belum sepenuhnya terbentuknya Peraturan Pemerintah (PP PDP) sebagai aturan teknis pelaksanaan UU PDP, serta belum berfungsinya Lembaga Pengawas Pelindungan Data Pribadi (LPPDP) atau Otoritas Pelindungan Data Pribadi (BPDP) yang independen. Ketiadaan lembaga pengawas ini dianggap kritis untuk menilai permintaan transfer data dan menegakkan kepatuhan UU PDP.

Di sisi lain, pakar keamanan siber Alfons Tanujaya dari Vaksincom/APTIKNAS, meski menggarisbawahi perlunya kehati-hatian, juga menyatakan bahwa sebenarnya banyak data pribadi warga Indonesia sudah tersimpan di luar negeri melalui layanan digital global seperti Google, WhatsApp, dan Instagram. Menurut Alfons, keamanan data tidak ditentukan oleh lokasi penyimpanan, melainkan oleh kedisiplinan dan metode perlindungannya, terutama melalui enkripsi yang kuat. Jika pemerintah mengizinkan transfer, perusahaan AS harus tunduk pada UU PDP Indonesia dan diaudit oleh Komisi PDP, serta data harus dienkripsi dan tidak boleh diakses tanpa persetujuan eksplisit. Alfons melihat potensi manfaat seperti penggunaan layanan cloud untuk data perbankan tanpa harus membangun pusat data lokal, yang bisa menurunkan biaya layanan data. Namun, ia juga mengakui adanya risiko berkurangnya kontrol pemerintah terhadap data pribadi.

Kesepakatan perdagangan ini juga mencakup komitmen Indonesia untuk menghilangkan sekitar 99 persen hambatan tarif untuk produk industri, pangan, dan pertanian AS, sebagai imbalan AS akan mengurangi tarif timbal balik menjadi 19 persen untuk barang-barang Indonesia. Pemerintah Indonesia meyakini bahwa perjanjian ini dapat menjadi landasan hukum yang sah, aman, dan terukur dalam tata kelola lalu lintas data pribadi lintas negara, serta memberikan kepastian hukum bagi perlindungan data pribadi WNI saat menggunakan layanan digital berbasis di AS.

Meskipun demikian, perdebatan masih terus berlanjut. Pentingnya pemerintah untuk memastikan bahwa hak-hak digital warga negara terlindungi penuh dan kedaulatan data tidak melemah dalam negosiasi yang sedang berlangsung menjadi sorotan utama.