Indonesian Digital Association Gelar Webinar Seputar RUU Perlindungan Data Pribadi

"Yang perlu diperhatikan, di GDPR (aturan perlindungan data di Uni Eropa) ada sifat free flow of data cross border agar bisa bertransaksi dengan masyarakat di Eropa, namun sebagai pelaku bisnis digital harus hati-hati, karena ketika bicara cookies itu adalah bentuk data mining," katanya.

Karena data dianggap personal, terdapat teknik psuedonymisation yakni, upaya mengganti data-data pribadi yang masih bisa mengidentifikasi si pemilik data dengan kode atau nomor tertentu.

Rudi mengatakan, untuk memastikan agar data pengguna tidak bocor, ketika data controller mau mentransfer datanya ke pihak lain harus membuatnya tetap anonim.

"Kalau nanti UU sudah ada, pelaku bisnis digital harus memperhatikan untuk melakukan pseudonymisation, di mana data controller perlu memperhatikan privasi si pemilik data," katanya.

Selain itu, menurut Rudi, sebelum mengumpulkan data pengguna, data controller juga perlu memberitahu apa tujuan data dikumpulkan.

Begitu juga dengan upaya keamanan yang perlu dilakukan, karena ketika ada pelanggaran data (data breach), regulator bisa menerapkan sanksi. Kendati demikian, di RUU PDP saat ini belum ada sanksi untuk kasus data breach.

Pelaku bisnis juga perlu memberi tahu ke pengguna terkait berapa lama data disimpan dan mawas diri bahwa pemilik data bisa punya akses untuk mengubah datanya.

"Selain itu, di RUU DPD juga ada masa retensi, di mana ketika data sudah habis masa retensinya data controller harus menghapusnya," kata Rudi.

Bicara soal denda, para pelaku bisnis digital juga perlu mengetahui tentang sanksi dari RUU PDP. Di Indonesia sendiri diterapkan sanksi administrasi, denda, hingga pidana.

"RUU PDP harus diperhatikan juga karena masalah sanksi pidana yang memberatkan. Sementara, di EU sanksinya hanya administratif," kata dia.

Senada, Founder dan CEO Kontrak Hukum Rieke Caroline mengatakan, ketika RUU PDP diberlakukan, para pelaku bisnis digital yang menjadi data controller perlu memberi tahu tujuan dan aktivitas pemrosesan data kepada pengguna.

Hal lain yang juga perlu diperhatikan menurutnya adalah data controller perlu memusnahkan data ketika masa retensi berakhir.

"Data controller harus bertanggung jawab dengan memenuhi pelaksaaan prinsip perlindungan data pribadi," katanya.

(Tin/Ysl)