Mengulas Isu Transfer Data Pribadi RI-AS: Siapkah Regulasi Kita?

Pada pertengahan 2025, Indonesia dan Amerika Serikat menandatangani Joint Statement on Framework for United States–Indonesia Agreement on Reciprocal Trade. Perjanjian ini menjadi pijakan awal untuk kerja sama dagang yang lebih luas, termasuk di dalamnya isu-isu penting seperti perdagangan digital, perlindungan kekayaan intelektual, dan pembentukan arsitektur pasar digital yang terbuka.

Namun, perhatian publik tertuju pada salah satu klausul: transfer data lintas negara (cross-border data transfer) yang memungkinkan data pribadi dari Indonesia dikirim dan diproses di Amerika Serikat.

Cross-border data transfer sendiri merujuk pada tindakan memindahkan atau mentransfer data dari satu negara ke negara lain.

Pemerintah Klaim Bukan Data Pribadi

Pemerintah Indonesia menegaskan bahwa data yang dimaksud bukanlah data pribadi, melainkan data komersial yang diperlukan untuk mendukung aktivitas perdagangan digital. Namun pernyataan ini justru memunculkan sederet pertanyaan: Apakah pemerintah Indonesia mampu menjamin tidak ada data pribadi yang ikut “terbawa” dalam arus data komersial? Lalu siapa yang bertanggung jawab mengawasi semua ini?

Bias Data Komersial dan Data Pribadi

Menurut pemerintah, fokus mereka adalah data yang bersifat agregat dan non-personal, seperti statistik perdangan dan logistik. Namun, di dunia digital, batas antara “data komersial” dan “data pribadi” kian kabur.

Data komersial seperti data transaksi, perilaku pengguna, dan metadata bisa dengan mudah diolah untuk mengidentifikasi individu secara tidak langsung (indirect identifiers).

Bahkan data yang telah dianonimkan bisa direkonstruksi ulang menggunakan teknik re-identification dan data eksternal (seperti media sosial atau data lokasi).

Artinya, sekalipun pemerintah menyebutkan data yang dikirim bukan data pribadi, risiko kebocoran identitas tetap ada.

Analisis Risiko Teknis dalam Transfer Data Lintas Negara

Beberapa risiko utama yang perlu dicermati dalam perpindahan data lintas negara ini, di antaranya:

• • Data Re-identification: Meskipun data yang dikirim bersifat agregat, seperti data dari media sosial atau data pembelian, kombinasi metadata dan third-party enrichment bisa memungkinkan re-identification dan kebocoran data.
  • Data In Transit Exploits: Tanpa keamanan yang kuat, data pribadi berisiko disadap saat berpindah negara. Protokol mutual TLS, enkripsi end-to-end, dan forward secrecy harus menjadi standar minimum.
  • Cloud Sovereignty Gap: Jika data diproses di server milik penyedia cloud asal AS, maka data tersebut tunduk pada hukum US CLOUD Act. Hal ini memungkinkan pemerintah AS mengakses data tanpa sepengetahuan subjek data di Indonesia.

UU PDP dan Tantangan Transfer Data Lintas Negara

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi dasar hukum utama dalam pengelolaan data pribadi, termasuk transfer ke luar negeri.

Dalam Pasal 56, terdapat tiga syarat yang harus dipenuhi agar transfer data diperbolehkan:

1. 1. Negara tujuan memiliki tingkat perlindungan setara,
   2. Ada perjanjian internasional,
   3. Subjek data memberikan persetujuan eksplisit.

Tantangannya?

Implementasi pasal 56 UU PDP masih memiliki tantangan, sebagai berikut:

• • Belum ada daftar resmi negara yang memiliki tingkat perlindungan data “setara”,
  • Belum tersedia mekanisme teknis untuk verifikasi legal transfer data secara otomatis,
  • Persetujuan eksplisit subjek data (consent) seringkali diberikan tanpa pemahaman atau penjelasan memadai (informed consent).

Untuk mengatasi tantangan tersebut, Indonesia bisa mempertimbangkan pendekatan yang digunakan oleh Uni Eropa. Mereka menggunakan mekanisme adequacy decision dalam General Data Protection Regulation (GDPR).

Adequacy decision ini adalah keputusan resmi dari Uni Eropa yang menyatakan bahwa suatu negara memiliki tingkat perlindungan data pribadi yang setara dengan Uni Eropa. Mekanisme ini memungkinkan transfer data pribadi dari Uni Eropa ke negara lain secara legal, tanpa perlu perlindungan tambahan atau izin khusus.

Belum Ada Otoritas Pengawas Data Pribadi, Siapa yang Jaga?

UU PDP mengamanatkan pembentukan lembaga pengawas perlindungan data pribadi yang bersifat independen dan bertanggung jawab langsung kepada Presiden. Namun, hingga saat ini, badan pengawas tersebut belum terbentuk secara resmi.

Hal ini menjadi titik lemah dalam sistem perlindungan data di Indonesia, terutama dalam menghadapi isu lintas negara seperti ini.

Tanpa otoritas pengawas, maka transfer data lintas negara berisiko disalahgunakan, karena:

• • Tidak ada lembaga yang memverifikasi apakah transfer data memenuhi syarat perlindungan yang cukup.
  • Tidak ada sistem audit dan sanksi aktif yang jelas jika terjadi pelanggaran lintas negara.
  • Pengendali data tidak memiliki rujukan ketika terjadi konflik atau permintaan otoritas asing terhadap data warga Indonesia.

Risiko Ketergantungan pada Vendor Teknologi Luar

Data tidak hanya berpindah secara hukum, tapi juga secara fisik dan logis ke server atau teknologi asing (Vendor Lock-In Risks). Hal ini menimbulkan beberapa tantangan baru:

• • Lack of transparency on sub-processing atau minimnya informasi ke pengelola data mengenai transparansi soal siapa saja yang mengakses data mereka di “lapisan bawah” cloud provider luar.
  • Sulitnya menerapkan prinsip local data residency.
  • Tidak semua penyedia teknologi memiliki kemampuan Bring Your Own Key (BYOK) atau Hold Your Own Key (HYOK).

Rekomendasi bagi Perusahaan dan Pemerintah

Agar tetap patuh pada regulasi dan menjaga kepercayaan publik, penting bagi melakukan mitigasi risiko transfer data lintas negara sejak dini, baik bagi perusahaan maupun instansi pemerintah.

Beberapa langkah yang disarankan:

• • Audit Arus Data
    Petakan seluruh arus bagaimana data Anda mengalir: ke mana data dikirim, siapa yang mengakses, dan bagaimana data dilindungi saat transit.

• • Terapkan Perjanjian dan Proteksi
    Pastikan ada Data Processing Agreement (DPA), enkripsi end-to-end, tokenisasi, dan kontrol akses berbasis Zero Trust.

• • Proaktif Mengadopsi Compliance Framework Global
    Gunakan standar global seperti ISO/EIC 27701, NIST Privacy Framework, dan siapkan prosedur untuk privacy impact assessment (PIA) secara berkala.

• • Mendorong Pembentukan Otoritas Pengawas
    Dukungan dari sektor industri juga penting untuk mendorong percepatan pembentukan otoritas pengawas data pribadi yang independen dan kredibel.

Menjaga Kedaulatan Data di Tengah Arus Global

Perjanjian dagang RI–AS memang membuka peluang ekonomi digital. Tapi, di balik peluang tersebut, ada risiko besar yang tidak boleh diabaikan, khususnya terkait keamanan dan kedaulatan data pribadi.

Pernyataan bahwa data pribadi tidak termasuk dalam skema transfer seharusnya disertai mekanisme pengawasan dan perlindungan yang solid. Kalau tidak, pelaksanaannya akan rentan terhadap risiko.

Sampai otoritas pengawas data terbentuk dan memiliki otoritas penuh untuk menegakkan regulasi, maka tanggung jawab menjaga keamanan dan kedaulatan data pribadi ada di tangan seluruh ekosistem, mulai dari regulator, pengendali data, penyedia teknologi, hingga masyarakat digital itu sendiri.