Perlindungan Data Pribadi Warga Dalam Pelayanan Publik Digital

Negara wajib menjaga data pribadi warga dalam pelayanan publik digital

ilustrasi pelayanan publik foto: pexels

Digitalisasi pelayanan publik telah mengubah cara warga berhubungan dengan negara. Administrasi kependudukan, jaminan kesehatan, perpajakan, perizinan, hingga berbagai layanan sosial kini semakin bergantung pada sistem digital.

Di balik kemudahan tersebut terdapat persoalan yang tidak kalah penting: data pribadi warga dikumpulkan dan dikelola dalam jumlah yang sangat besar.

Persoalannya, warga sering kali tidak memiliki pilihan. Untuk memperoleh layanan tertentu, mereka diwajibkan menyerahkan data pribadi kepada pemerintah atau badan publik. Posisi tersebut menimbulkan tanggung jawab yang lebih besar bagi negara. Ketika warga tidak memiliki alternatif untuk memilih penyelenggara layanan, negara harus memastikan bahwa data yang dipercayakan kepadanya benar-benar terlindungi.

Urgensi persoalan ini terlihat dari berbagai insiden keamanan data yang melibatkan lembaga pemerintah. Gangguan pada Pusat Data Nasional Sementara (PDNS) pada Juni 2024, misalnya, tidak hanya memperlihatkan persoalan keamanan informasi, tetapi juga menunjukkan bahwa kegagalan infrastruktur digital dapat berdampak langsung pada keberlangsungan pelayanan publik.

Dengan demikian, perlindungan data pribadi dalam pelayanan publik digital bukan semata-mata persoalan privasi. Ia juga berkaitan dengan hak warga, akuntabilitas pemerintah, keamanan sistem, dan keberlanjutan pelayanan publik.

Ketika Data Pribadi Menjadi Syarat Mendapatkan Layanan

Perlindungan data pribadi pada dasarnya berakar pada hak atas privasi yang merupakan bagian dari hak asasi manusia (Niffari, 2020).

Dalam konteks hukum administrasi, penyelenggara pelayanan publik juga terikat pada prinsip kepastian hukum dan akuntabilitas. Artinya, ketika negara meminta warga menyerahkan data pribadi, terdapat kewajiban untuk memastikan bahwa data tersebut dikumpulkan, digunakan, disimpan, dan dilindungi secara bertanggung jawab.

Hadjon (1987) membedakan perlindungan hukum menjadi dua bentuk, yaitu perlindungan preventif dan represif. Perlindungan preventif ditujukan untuk mencegah terjadinya pelanggaran, sedangkan perlindungan represif diberikan ketika pelanggaran telah terjadi dan diperlukan penyelesaian atau pemulihan.

Pembedaan ini penting untuk melihat perlindungan data pribadi. Pertanyaannya bukan hanya apakah warga dapat menggugat setelah datanya bocor, tetapi juga apakah hukum dan tata kelola pemerintahan telah mampu mencegah kebocoran sejak awal.

Dari sisi regulasi, Indonesia sebenarnya telah memiliki sejumlah dasar hukum. UU No. 25 Tahun 2009 tentang Pelayanan Publik mewajibkan penyelenggara menjaga kerahasiaan informasi pelayanan. Perpres No. 95 Tahun 2018 mengatur Sistem Pemerintahan Berbasis Elektronik (SPBE), sementara UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) memberikan kerangka yang lebih komprehensif mengenai hak subjek data dan kewajiban pengendali data, termasuk badan publik.

Kehadiran UU PDP merupakan perkembangan penting. Sebelumnya, pengaturan mengenai data pribadi tersebar dalam berbagai peraturan sektoral sehingga menimbulkan persoalan kepastian hukum (Rosadi dan Pratiwi, 2018).

Namun, keberadaan aturan belum tentu berarti perlindungan telah berjalan efektif.

Masalahnya Bukan Sekadar Kekurangan Aturan

Berbagai kasus dugaan kebocoran data menunjukkan bahwa tantangan terbesar justru terletak pada tata kelola dan kepatuhan.

Kasus dugaan kebocoran data peserta BPJS Kesehatan pada 2021 dan gangguan PDNS pada 2024 memperlihatkan bahwa sistem digital pemerintah tetap memiliki kerentanan. Menurut Djafar (2019), persoalan perlindungan data pribadi di Indonesia antara lain berkaitan dengan lemahnya pengawasan dan budaya kepatuhan lembaga yang mengelola data.

Kesenjangan tersebut dapat dilihat melalui beberapa kewajiban utama dalam UU PDP.

Pertama, terdapat prinsip pembatasan tujuan dan kebutuhan pengumpulan data. Instansi seharusnya hanya mengumpulkan data yang relevan dan diperlukan untuk tujuan pelayanan. Namun dalam praktiknya, warga sering berhadapan dengan formulir atau aplikasi yang meminta berbagai informasi pribadi tanpa penjelasan yang cukup mengenai mengapa data tersebut diperlukan.

Kedua, terdapat kewajiban untuk menjaga keamanan data melalui langkah teknis dan organisasi yang memadai. Persoalannya, keamanan tidak cukup hanya dengan memiliki sistem digital. Pemerintah juga membutuhkan pengujian keamanan, manajemen risiko, pengendalian akses, pencadangan, pemulihan bencana, serta audit yang dilakukan secara berkala.

Gangguan PDNS menjadi pengingat bahwa keamanan dan keberlanjutan sistem merupakan dua hal yang tidak dapat dipisahkan. Sistem yang tidak dapat diakses bukan hanya menimbulkan persoalan teknis, tetapi dapat menghambat hak warga untuk memperoleh pelayanan.

Ketiga, keterbukaan ketika terjadi insiden menjadi persoalan penting. Warga perlu mengetahui ketika data pribadinya berpotensi terdampak agar dapat mengambil langkah perlindungan, misalnya meningkatkan kewaspadaan terhadap penipuan, pencurian identitas, atau penyalahgunaan informasi.

Keempat, hak warga sebagai subjek data, seperti hak untuk mengakses dan memperbaiki data, harus dapat digunakan secara nyata. Hak yang hanya tercantum dalam undang-undang tetapi sulit digunakan dalam praktik belum dapat disebut sebagai perlindungan yang efektif.

Perlindungan Preventif Membutuhkan Pengawasan yang Kuat

Dari sisi preventif, UU PDP telah memberikan standar yang relatif jelas. Persoalannya adalah bagaimana memastikan standar tersebut benar-benar dipatuhi oleh setiap pengendali data.

Salah satu aspek penting adalah keberadaan lembaga pengawas yang efektif dan independen. Sautunnida (2018) menekankan pentingnya otoritas yang memiliki kewenangan untuk mengawasi perlindungan data dan menjatuhkan sanksi.

Persoalannya menjadi lebih kompleks ketika pengendali data adalah pemerintah sendiri. Negara berada dalam posisi sebagai penyelenggara layanan sekaligus pihak yang mengelola data masyarakat. Karena itu, mekanisme pengawasan harus dirancang sedemikian rupa agar tidak sekadar menjadi pengawasan administratif internal.

Independensi pengawasan menjadi penting agar pelanggaran terhadap data warga dapat diperiksa secara objektif, termasuk ketika pelanggaran dilakukan oleh lembaga pemerintah.

Selain pengawasan, standar keamanan juga perlu dibuat lebih konkret dan dapat diaudit. Kepatuhan seharusnya tidak berhenti pada keberadaan kebijakan tertulis, tetapi dapat dibuktikan melalui pemeriksaan terhadap sistem, prosedur, sumber daya manusia, dan mekanisme pemulihan ketika terjadi insiden.

Ketika Data Sudah Bocor, Bagaimana Warga Mendapatkan Pemulihan?

Persoalan berikutnya adalah perlindungan represif.

Secara umum, warga memiliki sejumlah jalur untuk menyampaikan pengaduan atau mencari pemulihan ketika mengalami kerugian akibat pelayanan publik yang bermasalah. Namun dalam perkara kebocoran data, pembuktian kerugian sering kali tidak sederhana.

Kerugian akibat kebocoran data dapat bersifat tidak langsung. Warga mungkin belum mengalami kerugian finansial ketika kebocoran terjadi, tetapi beberapa bulan kemudian datanya digunakan untuk penipuan atau pencurian identitas.

Kondisi tersebut membuat posisi warga menjadi sulit. Mereka harus berhadapan dengan persoalan teknis yang tidak mereka pahami sekaligus membuktikan hubungan antara kegagalan pengamanan data dengan kerugian yang dialami.

Karena itu, mekanisme pemulihan perlu dibuat lebih mudah diakses. Salah satu pendekatan yang dapat dipertimbangkan adalah memperkuat kewajiban penyelenggara untuk menunjukkan bahwa langkah pengamanan yang diwajibkan telah benar-benar dilakukan secara memadai.

Dengan demikian, beban pertanggungjawaban tidak sepenuhnya diletakkan kepada warga yang pada dasarnya tidak memiliki kendali atas sistem pengelolaan data pemerintah.

Negara Tidak Cukup Hanya Meminta Data

Digitalisasi pelayanan publik merupakan sesuatu yang sulit dihindari. Teknologi dapat membuat pelayanan lebih cepat, efisien, dan mudah diakses. Namun, semakin banyak data yang dikumpulkan negara, semakin besar pula tanggung jawab negara untuk melindunginya.

UU PDP telah memberikan fondasi penting. Tetapi efektivitas perlindungan tidak ditentukan oleh banyaknya aturan. Ia ditentukan oleh apakah aturan tersebut benar-benar diterapkan dalam desain sistem, prosedur kerja, keamanan teknologi, pengawasan, pemberitahuan insiden, dan mekanisme pemulihan bagi warga.

Karena itu, terdapat setidaknya tiga hal yang perlu diperkuat.

Pertama, pencegahan. Pemerintah perlu memastikan bahwa standar keamanan data diterapkan sejak awal dan dapat diaudit secara berkala.

Kedua, transparansi. Ketika terjadi insiden, warga harus memperoleh informasi yang jelas dan tepat waktu mengenai risiko terhadap data mereka.

Ketiga, pemulihan. Warga harus memiliki mekanisme pengaduan dan ganti kerugian yang mudah, jelas, dan tidak membebani mereka dengan pembuktian teknis yang berada di luar kemampuan mereka.

Pada akhirnya, kepercayaan masyarakat terhadap pelayanan publik digital tidak hanya ditentukan oleh seberapa cepat sebuah aplikasi pemerintah bekerja. Kepercayaan juga ditentukan oleh satu pertanyaan mendasar:

Apakah negara mampu menjaga data yang diwajibkannya sendiri untuk diserahkan oleh warga?

Jika jawabannya belum sepenuhnya, maka digitalisasi pelayanan publik masih memiliki pekerjaan rumah yang besar: bukan sekadar membangun sistem yang semakin canggih, tetapi membangun sistem yang aman, akuntabel, transparan, dan benar-benar melindungi warga.