Jakarta | ElSam menilai rancangan Undang-Undang Satu Data Indonesia (UU SDI) berpotensi beririsan dengan Undang-Undang Pelindungan Data Pribadi (UU PDP). Persinggungan tersebut dinilai dapat memunculkan tumpang tindih aturan sekaligus ketidakpastian mengenai dasar, batas, dan tata cara pemrosesan data pribadi. Penilaian itu disampaikan ElSam melalui keterangan resmi pada Kamis, 29 Oktober 2026. Menurut organisasi tersebut, pembahasan mengenai Satu Data perlu memperhitungkan ketentuan pelindungan data pribadi sejak awal, bukan hanya ketika data mulai dipertukarkan atau digunakan oleh instansi.
Cakupan Satu Data, menurut ElSam, tidak terbatas pada statistik maupun data agregat yang telah diringkas sehingga tidak menunjuk pada individu. Ekosistemnya dapat mencakup data kependudukan, data sosial, serta berbagai kategori informasi lain yang dikumpulkan, dikelola, dan dibagikan oleh pemerintah. Data dalam kategori tersebut bisa mengidentifikasi seseorang secara langsung, misalnya melalui informasi identitas, atau secara tidak langsung melalui gabungan sejumlah unsur yang tampak biasa. Karena itu, label administratif sebagai data sektoral atau data pemerintah tidak dengan sendirinya menjadikan informasi tersebut bebas dari perlindungan UU PDP.
ElSam menilai sebagian besar operasi dalam penyelenggaraan SDI akan bersinggungan dengan data pribadi sebagaimana dimaknai dalam UU PDP. Kegiatan seperti pengumpulan, pencatatan, penyimpanan, pemadanan, pembaruan, pemanfaatan, dan pertukaran data dapat melibatkan informasi tentang individu, bergantung pada isi dan konteks penggunaannya. Hal ini membuat hubungan kedua undang-undang penting diperjelas, termasuk pembagian kewenangan, tanggung jawab pengelola, serta ketentuan yang berlaku ketika aturan mengenai Satu Data berinteraksi dengan kewajiban pelindungan data pribadi. Tanpa kejelasan tersebut, instansi dan pihak yang mengelola data dapat menghadapi keraguan dalam menentukan kepatuhan, sementara masyarakat berisiko tidak memperoleh kepastian tentang bagaimana informasi mereka digunakan. Bagi ElSam, mengenali luasnya irisan ini menjadi langkah penting agar kebijakan integrasi data tetap sejalan dengan hak atas privasi dan tidak menimbulkan celah perlindungan bagi individu.
ElSam menyoroti perbedaan pengaturan kerja sama dalam Pasal 18 Undang-Undang Satu Data Indonesia (UU SDI) dan Pasal 18 Undang-Undang Pelindungan Data Pribadi (UU PDP). Kedua ketentuan tersebut mengatur aspek yang berkaitan dengan pemrosesan atau pemanfaatan data, tetapi menetapkan ketentuan yang berbeda mengenai dokumen kerja sama. Perbedaan ini menjadi perhatian ketika data dikelola atau digunakan oleh lebih dari satu pihak.
Dalam kerangka UU SDI, penyebarluasan, penggunaan, dan pemanfaatan data tidak memerlukan nota kesepahaman, perjanjian kerja sama, maupun dokumen pernyataan. Ketentuan tersebut berlaku sepanjang standar keamanan data dipenuhi. Dengan demikian, pasal ini mengaitkan ketiadaan kewajiban membuat dokumen kerja sama dengan pemenuhan standar keamanan yang ditetapkan dalam penyelenggaraan Satu Data Indonesia.
Sementara itu, Pasal 18 UU PDP mengatur kebutuhan perjanjian apabila pemrosesan data pribadi melibatkan dua atau lebih pengendali data pribadi. Perjanjian tersebut digunakan untuk menetapkan peran dan tanggung jawab masing-masing pengendali serta hubungan di mereka dalam pemrosesan. Pengaturan ini menempatkan kesepakatan antar-pengendali sebagai unsur yang menjelaskan pembagian tanggung jawab dan hubungan kerja dalam pemrosesan data pribadi. Perbedaan rumusan kedua undang-undang inilah yang disoroti ElSam, tanpa menghapus perbedaan konteks pengaturan masing-masing.
Perbedaan juga terlihat pada klasifikasi data. UU PDP membedakan data pribadi ke dalam kategori data pribadi yang bersifat umum dan data pribadi yang bersifat spesifik. Kategori tersebut digunakan dalam kerangka pelindungan data pribadi. Adapun UU SDI mengenal klasifikasi data terbuka, data terbatas, dan data tertutup. Pembagian ini berkaitan dengan pengelolaan dan akses terhadap data dalam kerangka Satu Data Indonesia, bukan dengan klasifikasi umum dan spesifik dalam UU PDP.
Karena itu, penilaian ElSam berpusat pada adanya perbedaan pendekatan: UU SDI menyebut dokumen kerja sama tidak diperlukan ketika standar keamanan dipenuhi, sedangkan UU PDP mengatur perjanjian untuk memperjelas peran, tanggung jawab, dan hubungan antar-pengendali dalam pemrosesan bersama. Pada saat yang sama, kedua undang-undang memakai istilah klasifikasi yang berbeda, sehingga ketentuan masing-masing perlu dibaca sesuai kerangka pengaturannya.
ElSam menyoroti pengaturan Pasal 85 UU Satu Data Indonesia (UU SDI) mengenai akses terhadap data tertutup dan pemindahan data ke luar yurisdiksi Indonesia. Menurut ketentuan yang menjadi perhatian lembaga tersebut, akses dan transfer data tertutup ke luar wilayah yurisdiksi Indonesia harus memperoleh persetujuan Dewan Perwakilan Rakyat (DPR). Pengaturan itu juga menyatakan bahwa tindakan tersebut tetap harus mengikuti ketentuan undang-undang. Dengan demikian, Pasal 85 memuat syarat persetujuan serta kewajiban untuk mematuhi peraturan perundang-undangan terkait.
Perhatian ElSam berpusat pada bagaimana ketentuan tersebut berhubungan dengan pelindungan data pribadi. Akses dan transfer data merupakan persoalan yang juga berada dalam lingkup pengaturan UU Pelindungan Data Pribadi (UU PDP). Karena itu, ElSam mempertanyakan apakah rumusan UU SDI telah selaras dengan kerangka hukum yang mengatur data pribadi, khususnya ketika data tertutup diakses atau dipindahkan ke luar Indonesia. Sorotan ini menempatkan hubungan kedua undang-undang sebagai isu utama, bukan sekadar persoalan persetujuan atas transfer.
ElSam mengkritik bahwa Pasal 85 menghadirkan ketentuan pidana bagi orang yang mengakses dan mentransfer data ke luar yurisdiksi Indonesia. Menurut kritik lembaga itu, pengaturan tersebut justru membentuk ancaman pidana atas tindakan akses dan pemindahan data, alih-alih menyesuaikan pengaturannya dengan UU PDP. Kritik ini menekankan bahwa perumusan aturan seharusnya memperhatikan keselarasan antarketentuan hukum yang sama-sama berkaitan dengan data. Dalam pandangan ElSam, keberadaan ketentuan pidana di dalam UU SDI menimbulkan pertanyaan tentang kecocokannya dengan pengaturan pelindungan data pribadi.
Sorotan tersebut memperlihatkan potensi benturan aturan yang perlu dicermati dalam membaca Pasal 85. Di satu sisi, pasal itu menetapkan persetujuan DPR dan kepatuhan terhadap ketentuan undang-undang bagi akses serta transfer data tertutup ke luar yurisdiksi Indonesia. Di sisi lain, ElSam menilai ketentuan pidana yang dicantumkan tidak menggantikan kebutuhan untuk menyelaraskan pengaturan dengan UU PDP. Dengan mengaitkan kedua aspek tersebut, lembaga itu menggarisbawahi bahwa tata kelola akses dan transfer data lintas yurisdiksi perlu dibahas bersama kerangka hukum pelindungan data pribadi. Kritik ElSam secara khusus menyasar pilihan pengaturan dalam pasal tersebut, bukan meniadakan pentingnya mengikuti ketentuan undang-undang yang berlaku.
Ketentuan mengenai pelaporan insiden keamanan data menunjukkan perbedaan tenggat dan pihak yang harus menerima informasi. Pasal 93 ayat (3) UU SDI mengatur bahwa instansi yang mengalami kegagalan pelindungan data harus melaporkannya kepada instansi berwenang paling lama 1 x 24 jam. Ketentuan tersebut juga mengharuskan koordinasi dengan Badan Siber dan Sandi Negara (BSSN). Dengan demikian, aturan ini menempatkan pelaporan cepat dan koordinasi keamanan siber sebagai bagian dari respons atas insiden.
Sementara itu, Pasal 46 UU Pelindungan Data Pribadi (UU PDP) mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis atas kegagalan pelindungan data kepada subjek data pribadi dan/atau lembaga yang berwenang paling lambat 3 x 24 jam. Perbedaan tenggat, penerima pemberitahuan, serta rumusan kewajiban tersebut menimbulkan pertanyaan tentang bagaimana kedua rezim hukum diterapkan ketika insiden yang sama melibatkan data dalam penyelenggaraan Satu Data Indonesia. Pelaksana memerlukan pedoman yang jelas agar tindakan dan pemberitahuan tidak saling bertentangan.
ElSam menilai perbedaan ini mencerminkan ketidaksinkronan dalam penanganan insiden keamanan data. Persoalan tidak berhenti pada selisih tenggat pelaporan, tetapi juga menyangkut pembagian peran dan mekanisme koordinasi instansi berwenang, otoritas pelindungan data pribadi, serta BSSN.
Baca juga: Sinergi Bersama Hadapi Potensi Bencana, Personel Kodim Bojonegoro Segarkan Kemampuan Jinakkan Api
