Sebagai advokat senior di Jakarta yang berpengalaman dalam hukum perlindungan data, berikut analisis mendalam mengenai Permenkominfo No. 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik beserta konteks historis dan informasi tambahan yang krusial:
Konteks Historis & Latar Belakang
-
Era Digitalisasi yang Masih Prematur (2016)
Pada 2016, Indonesia mengalami lonjakan pengguna internet (sekitar 88 juta pengguna), namun regulasi perlindungan data masih terfragmentasi. Permenkominfo 20/2016 muncul sebagai respons terhadap maraknya kasus kebocoran data (e.g., jual-beli data pelanggan telekomunikasi) dan kebutuhan mengakomodasi ketentuan Pasal 26 UU ITE tentang hak menghapus/memperbaiki data pribadi. -
Basis Hukum yang Terbatas
Sebelum UU PDP (2022), regulasi ini adalah satu-satunya instrumen spesifik yang mengatur perlindungan data pribadi di sektor elektronik. Ia menjadi rujukan utama untuk kasus-kasus seperti penyalahgunaan data oleh fintech atau e-commerce. -
Keterkaitan dengan RUU Perlindungan Data yang Mandek
Pembahasan RUU Perlindungan Data Pribadi telah dimulai sejak 2012, tetapi tersendat di DPR. Permenkominfo 20/2016 lahir sebagai jalan tengah darurat sambil menunggu payung hukum yang lebih komprehensif.
Analisis Kritis terhadap Substansi Permenkominfo 20/2016
-
Inovasi Konsep "Data Pribadi"
Peraturan ini mendefinisikan data pribadi secara eksplisit (Pasal 1 Ayat 1), termasuk data spesifik seperti biometrik, genetika, dan catatan kesehatan. Ini menjadi terobosan dibanding UU ITE yang hanya menyebut "data pribadi" secara umum. -
Kewajiban Operator Sistem Elektronik (OSE)
- Prinsip Consent (Persetujuan) (Pasal 5): OSE wajib memperoleh persetujuan tertulis sebelum mengumpulkan data. Namun, tidak ada penjelasan teknis tentang bentuk "persetujuan" dalam konteks digital (e.g., apakah klik "setuju" di aplikasi cukup?).
- Data Localization (Pasal 16): OSE wajib menyimpan data di Indonesia. Aturan ini memicu pro-kontra, terutama dari perusahaan asing yang mengeluhkan biaya infrastruktur tambahan.
-
Kelemahan Strategis
- Sanksi Administratif yang Lemah (Pasal 22): Sanksi hanya berupa peringatan tertulis atau pembatasan akses, tidak ada denda atau pidana. Hal ini membuat efektivitas penegakan hukum dipertanyakan.
- Tumpang-Tindih Kewenangan: Kominfo tidak memiliki kewenangan penuh untuk mengawasi seluruh sektor (e.g., data kesehatan di bawah Kemenkes), sehingga implementasi tidak optimal.
Praktik di Lapangan & Kasus Penting
-
Kasus Kebocoran Data BPJS Kesehatan (2021)
Meski terjadi setelah Permenkominfo 20/2016, kasus ini menunjukkan kelemahan regulasi: tidak ada mekanisme pelaporan wajib kebocoran data, sehingga korban tidak mendapat ganti rugi. -
Penerapan di Sektor Fintech
OJK menggunakan Permenkominfo 20/2016 sebagai dasar pengawasan fintech, tetapi seringkali ditemukan pelanggaran seperti penggunaan data nasabah untuk telemarketing tanpa consent.
Relevansi Pasca-UU PDP 2022
-
Permenkominfo 20/2016 tetap berlaku untuk kasus yang melibatkan sistem elektronik, tetapi harus disinkronkan dengan UU PDP (e.g., persyaratan Data Protection Officer (DPO) dan penilaian dampak perlindungan data).
-
Perubahan Paradigma Sanksi: UU PDP memperkenalkan sanksi dana hingga 2% penghasilan perusahaan, sehingga Permenkominfo 20/2016 kini lebih difungsikan sebagai aturan teknis pendukung.
Rekomendasi Strategis untuk Klien
- Audit Kepatuhan: Perusahaan yang mengelola data elektronik harus meninjau ulang prosedur perolehan consent dan data storage sesuai standar UU PDP.
- Mitigasi Risiko Litigasi: Meski sanksi di Permenkominfo 20/2016 ringan, klien bisa terjerat gugatan perdata berdasarkan Pasal 1365 KUHPer (perbuatan melawan hukum) jika lalai melindungi data.
Permenkominfo 20/2016 adalah landasan awal perlindungan data di Indonesia yang patut diapresiasi, meski secara praktis perlu diperkuat dengan instrumen hukum yang lebih matang. Sebagai praktisi hukum, kami selalu menekankan proactive compliance untuk menghindari risiko multidimensi di era digital.