Cloud computing dan data pribadi kini terhubung dalam hampir semua aktivitas digital. Foto, dokumen kerja, sampai data pelanggan sering tersimpan di server milik penyedia layanan.
Lalu, siapa yang bertanggung jawab kalau data itu bocor? Jawabannya ada di Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
Pengguna dan perusahaan sama-sama memikul kewajiban. Penyedia cloud pun tidak bisa lepas tangan begitu saja.
Menurut saya sebagai penulis yang mendalami hukum, banyak pelaku usaha memakai cloud tanpa membaca kontraknya. Kebiasaan itu berbahaya, sebab tanggung jawab hukum tetap melekat pada pemilik data.
Pengertian Cloud Computing dan Data Pribadi dalam Hukum Indonesia
Cloud computing adalah layanan komputasi lewat internet. Isinya mencakup penyimpanan, server, basis data, dan perangkat lunak yang kamu sewa dari penyedia.
Contohnya Google Drive, Microsoft 365, dan Amazon Web Services. Banyak kantor dan UMKM memakainya setiap hari.
Sementara itu, UU PDP mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi. Data itu bisa berdiri sendiri atau digabung dengan informasi lain.
Pasal 4 membagi data pribadi menjadi dua jenis:
- data pribadi bersifat umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, dan status perkawinan,
- data pribadi bersifat spesifik, seperti data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.
Begitu data masuk ke server penyedia cloud, status hukumnya tidak berubah. Data tetap milik subjek data, dan pemrosesannya wajib mengikuti UU PDP.
Oleh karena itu, perusahaan yang menyimpan data pelanggan di cloud tetap berstatus pengendali data pribadi.
Risiko Cloud Computing bagi Data Pribadi
Setiap kemudahan membawa celah. Ada tiga risiko utama yang perlu kamu waspadai.
Kebocoran Data Pribadi dan Akses Tidak Sah
Risiko pertama adalah kebocoran data pribadi. Penyebabnya beragam, mulai dari kata sandi lemah sampai konfigurasi penyimpanan yang terbuka untuk umum.
Banyak insiden bermula dari ruang penyimpanan yang lupa dikunci. Peretas tinggal mengunduh isinya.
Selanjutnya, serangan phishing sering menyasar akun admin cloud. Satu akun yang jebol bisa membuka ribuan data pelanggan.
Kerugiannya tidak berhenti pada denda. Reputasi bisnis ikut tergerus.
Data Tersimpan di Luar Negeri
Banyak penyedia cloud global menaruh server di Singapura, Irlandia, atau Amerika Serikat. Artinya, data pribadi warga Indonesia bisa berpindah yurisdiksi.
Kondisi ini memunculkan transfer data pribadi lintas negara. Hukum negara tujuan pun bisa ikut berlaku, termasuk soal akses oleh aparat asing.
Karena itu, cari tahu lokasi penyimpanan data sebelum kamu menandatangani kontrak.
Ketergantungan pada Penyedia Layanan
Risiko lain muncul dari ketergantungan pada satu penyedia. Kalau layanan mati atau akun dibekukan, akses ke data bisa terputus.
Kontrak standar biasanya berat sebelah. Banyak klausul membatasi ganti rugi penyedia sebatas biaya langganan.
Sebagai tambahan, data sering sulit dipindahkan atau dihapus saat kontrak berakhir. Hal ini bisa mengganggu kewajiban penghapusan data.
Perlindungan Hukum Data Pribadi di Cloud Computing
Perlindungan hukumnya bersumber dari beberapa aturan. UU PDP menjadi pijakan utama, dengan dukungan aturan di bidang sistem elektronik.
Undang-undang ini diundangkan pada 17 Oktober 2022, dan masa transisi dua tahun sudah berakhir. Semua pihak kini wajib patuh.
Kewajiban Pengendali dan Prosesor Data Pribadi
UU PDP membedakan dua peran. Pengendali data menentukan tujuan pemrosesan, sedangkan prosesor data memproses data atas nama pengendali.
Dalam praktiknya, perusahaanmu biasanya menjadi pengendali, dan penyedia cloud menjadi prosesor.
Pasal 35 mewajibkan pengendali melindungi dan menjamin keamanan data yang diprosesnya. Pasal 39 menambahkan kewajiban mencegah akses tidak sah.
Bila perlindungan gagal, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam. Pemberitahuan itu dikirim kepada subjek data dan lembaga PDP.
Pasal 51 mengatur bahwa prosesor memproses data berdasarkan perintah pengendali. Maka, kontrak dengan penyedia cloud harus memuat batasan tersebut.
Hak Pemilik Data
Subjek data punya sejumlah hak yang bisa dituntut dari pengendali. Hak itu berlaku juga untuk data di cloud.
Beberapa hak utama tersebut adalah:
- meminta informasi tentang pemrosesan datanya (Pasal 5),
- melengkapi dan memperbarui data (Pasal 6),
- mengakses dan memperoleh salinan data (Pasal 7),
- mengakhiri pemrosesan, menghapus, atau memusnahkan data (Pasal 8),
- menarik kembali persetujuan pemrosesan (Pasal 9).
Dengan hak-hak itu, kamu memegang kendali atas data sendiri.
Aturan Transfer Data Pribadi Lintas Negara
Pasal 56 mengatur pengiriman data pribadi ke luar wilayah Indonesia. Pengendali wajib memastikan negara tujuan punya tingkat pelindungan setara atau lebih tinggi dari UU PDP.
Jika syarat itu belum terpenuhi, pengendali harus menjamin ada pelindungan yang memadai dan mengikat. Kalau jaminan itu juga tidak ada, pengendali perlu persetujuan subjek data.
Di sisi lain, PP Nomor 71 Tahun 2019 membuka ruang bagi penyelenggara sistem elektronik lingkup privat untuk menempatkan sistemnya di luar negeri. Namun, penyelenggara lingkup publik pada dasarnya wajib mengelola data di Indonesia.
Sanksi atas Pelanggaran Data Pribadi di Cloud
UU PDP menyiapkan sanksi administratif dan pidana. Dua jalur ini bisa berjalan bersamaan.
Pasal 57 menyebut sanksi administratif berikut:
- peringatan tertulis,
- penghentian sementara kegiatan pemrosesan,
- penghapusan atau pemusnahan data pribadi,
- denda administratif paling tinggi 2 persen dari pendapatan tahunan terhadap variabel pelanggaran.
Dari sisi pidana, Pasal 67 mengancam pelaku dengan penjara dan denda. Orang yang melawan hukum memperoleh atau mengumpulkan data milik orang lain demi keuntungan pribadi bisa dipenjara paling lama 5 tahun dan/atau didenda paling banyak Rp5 miliar.
Untuk korporasi, Pasal 70 membuka pidana denda hingga 10 kali dari denda maksimal yang diancamkan. Pengurus dan pemilik manfaat pun bisa dimintai pertanggungjawaban.
Langkah Praktis Mengamankan Data Pribadi di Cloud
Kepatuhan hukum dimulai dari kebiasaan kecil. Berikut langkah yang bisa kamu terapkan:
- Baca perjanjian layanan cloud, terutama klausul lokasi server, tanggung jawab, dan penghapusan data.
- Pastikan ada perjanjian pemrosesan data dengan penyedia.
- Aktifkan autentikasi dua faktor dan batasi hak akses karyawan.
- Enkripsi data sensitif sebelum disimpan.
- Siapkan prosedur tanggap insiden agar kewajiban lapor 3 x 24 jam terpenuhi.
- Cadangkan data secara berkala di lokasi terpisah.
Langkah-langkah ini juga menjadi bukti itikad baik bila suatu hari muncul sengketa.
FAQ
Apakah data di cloud tetap dilindungi UU PDP?
Tetap. UU PDP berlaku untuk pemrosesan data pribadi di media apa pun, termasuk cloud.
Aturan ini juga menjangkau pihak di luar negeri bila pemrosesannya berakibat hukum di Indonesia.
Siapa yang bertanggung jawab jika penyedia cloud diretas?
Pengendali data tetap bertanggung jawab kepada subjek data. Prosesor juga bisa ikut dimintai pertanggungjawaban sesuai peran dan isi perjanjian.
Bolehkah menyimpan data pelanggan di server luar negeri?
Boleh, asalkan pengendali memenuhi syarat Pasal 56 UU PDP dan aturan penyelenggara sistem elektronik. Cek juga apakah bisnismu termasuk lingkup publik atau privat.
Kesimpulan
Cloud computing mempercepat banyak pekerjaan, dan risiko terhadap data pribadi ikut meningkat. UU PDP memberi kerangka yang jelas: jaga keamanan, laporkan kebocoran, dan atur transfer lintas negara.
Langkah yang saya sarankan: periksa kontrak, perkuat keamanan akun, lalu siapkan prosedur insiden.
Menurut saya, kepatuhan terhadap UU PDP layak dianggap investasi kepercayaan pelanggan. Biaya pencegahan jauh lebih murah daripada sanksi dan hilangnya reputasi.
Kalau kamu masih ragu soal kontrak cloud atau kewajiban hukum perusahaanmu, jangan menebak sendiri. Klik poster yang tersedia atau tombol KONSULTASI GRATIS di pojok kanan website ini, dan tim kami siap membantu.
Ringkasan
- Data pribadi di cloud tetap berada di bawah perlindungan UU Nomor 27 Tahun 2022.
- Perusahaan pengguna cloud umumnya berstatus pengendali data, sedangkan penyedia berstatus prosesor.
- Risiko utamanya meliputi kebocoran data, penyimpanan di luar negeri, dan ketergantungan pada penyedia.
- Pengendali wajib menjaga keamanan data dan memberi pemberitahuan kebocoran paling lambat 3 x 24 jam.
- Transfer data pribadi lintas negara harus memenuhi syarat Pasal 56 UU PDP.
- Pelanggaran dapat berujung sanksi administratif, termasuk denda hingga 2 persen pendapatan tahunan, dan sanksi pidana.
- Baca kontrak, aktifkan keamanan berlapis, dan siapkan prosedur insiden sebagai langkah pencegahan.
Referensi
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
- Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 1 Tahun 2024
- Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
- Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik
- Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat
- Kementerian Komunikasi dan Digital Republik Indonesia: komdigi.go.id
- Jaringan Dokumentasi dan Informasi Hukum Nasional (JDIH): jdih.go.id
