ICSF: Data Pribadi Bukan Komoditas Dagang

Jakarta — Ketua Umum Indonesia Cybersecurity Forum (ICSF), Ardi Sutedja, menekankan pentingnya kehati-hatian dalam isu transfer data pribadi lintas negara, terutama di tengah pembahasan kerja sama perdagangan antara Indonesia dan Amerika Serikat (AS) yang kini mencantumkan pertukaran data sebagai bagian dari klausul negosiasi.

“Ini hal yang tidak pernah kita bayangkan sebelumnya—bahwa pertukaran data lintas batas dimasukkan sebagai bahan negosiasi perdagangan. Industri sempat panik, karena posisi regulasi kita juga masih dalam tahap penyesuaian,” ujar Ardi, di Jakarta, Kamis (24/7/2025).

Ia menjelaskan, meskipun Undang-Undang Perlindungan Data Pribadi (UU PDP) telah resmi berlaku sejak 2022, implementasi aturan turunannya masih berjalan. Oleh karena itu, Indonesia perlu bersikap cermat dan bijak dalam merespons tuntutan kerja sama internasional yang melibatkan pengelolaan data pribadi.

Baca juga: Data Pribadi WNI Terancam dalam Kesepakatan Dagang RI-AS, Ini Tanggapan FKBI

Data Pribadi Bukan Komoditas

Ardi menegaskan bahwa data pribadi bukanlah komoditas yang bisa dipertukarkan secara sembarangan. UU PDP mewajibkan setiap pengendali data untuk memperoleh persetujuan eksplisit dari subjek data sebelum memproses atau membagikan informasi tersebut.

“Inilah saatnya kita menegaskan kembali pentingnya perlindungan data pribadi. Untuk itu, kita butuh dukungan dari berbagai pihak—dari kementerian, regulator, hingga pelaku industri. Kita harus tahu di mana data kita berada, siapa yang menyimpannya, dan untuk tujuan apa digunakan. Data pribadi bukan barang dagangan,” tegasnya.

Ia mengingatkan bahwa risiko penyalahgunaan data sangat besar—mulai dari penipuan, manipulasi, hingga pemalsuan identitas dan penyebaran informasi tanpa izin. Persetujuan yang diberikan masyarakat pun seringkali hanya bersifat formalitas.

“Pertanyaannya, apakah masyarakat benar-benar paham ketika mereka memberikan persetujuan? Apakah cukup hanya klik ‘setuju’ tanpa membaca isinya? Itu praktik yang selama ini kita alami,” ujarnya.

Ardi menyebut bahwa hanya dengan empat elemen data—seperti nama, NIK, NPWP, dan nama ibu kandung—profil seseorang bisa dibangun secara akurat. Dengan begitu, preferensi hingga kebiasaan digital seseorang dapat diketahui tanpa sepengetahuannya.

Minimnya Kontrol atas Data Medis dan Lokasi

Lebih jauh, Ardi menyoroti lemahnya kontrol individu terhadap data medis mereka sendiri.

“Kontrak saya sebagai pasien seharusnya dengan rumah sakit, bukan dengan kementerian. Tapi data saya bisa berpindah tanpa saya sadari. Itu artinya, persetujuan saya dilangkahi,” kata dia.

Ia juga mencontohkan soal data lokasi. Bila seseorang bepergian ke luar kota dan aplikasi ingin mengakses lokasinya, maka izin eksplisit harus diberikan dengan informasi yang jelas mengenai tujuan penggunaan data tersebut.

Baca juga: Ada Transfer Data Pribadi dalam Kesepakatan Dagang AS-RI, Begini Respons Komdigi

“Transfer data pribadi bukan hal yang dilarang, tapi harus dilakukan dengan tata kelola yang ketat. Harus jelas siapa yang menyimpan data, untuk apa, dan ke mana data itu akan dikirim,” tambahnya.

Untuk mencegah penyalahgunaan, Ardi menyarankan adanya mekanisme pengawasan oleh pihak ketiga atau lembaga sertifikasi independen, khususnya untuk data yang bersifat sensitif.

“Seperti dalam jual beli aset fisik, kita butuh notaris atau pihak ketiga. Hal yang sama seharusnya berlaku di dunia digital,” tegasnya.

Ia juga mengapresiasi langkah Indonesia yang telah bergabung dalam kerangka Asia Cross-Border Privacy Rules (CBPR). Namun demikian, ia berharap prinsip-prinsip tata kelola lintas negara tersebut dapat segera terintegrasi dengan implementasi UU PDP dan berbagai inisiatif ekonomi digital nasional.

Ardi mengajak semua pihak untuk bersama-sama meningkatkan literasi digital masyarakat. Menurutnya, kesadaran masyarakat terhadap pentingnya perlindungan data pribadi masih rendah dan perlu diperkuat.

“Kita tidak bisa hanya ikut-ikutan tren digital atau menyerahkan data tanpa memahami risikonya. Edukasi digital itu penting. Masyarakat harus tahu hak-haknya sebagai pemilik data pribadi,” tutup Ardi. (*) Ayu Utami