Mitigasi Risiko Reputasi atas Pemberlakuan UU Perlindungan Data Pribadi
Tulisan dari Hendra J Kede, ST, SH, MH, GRCE tidak mewakili pandangan dari redaksi kumparan
PerbesarPemberlakuan penuh Undang-Undang Perlindungan Data Pribadi (UU 27/2022) sejak 17 Oktober 2024 menandai tonggak penting dalam upaya melindungi data pribadi masyarakat Indonesia. Perlindungan data pribadi merupakan Hak Konstitusional dan Hak Asasi Manusia (HAM) sebagaimana dijelaskan dalam konsideran UU PDP tersebut.
UU PDP dengan jelas mendefinisikan data pribadi yang harus dilindungi, di samping mengatur kewajiban dan sanksi hukum bagi siapa pun (individu dan badan, selanjutnya disebut lembaga) yang dengan sengaja melanggar atau lalai mengelola data pribadi.
Bahkan UMKM dan Lembaga Pendidikan yang memerlukan pengumpulan data pribadi, misalnya KTP, seperti Koperasi Simpan Pinjam dan Perguruan Tinggi, tidak lepas dari kewajiban hukum untuk melindungi data pribadi.
Potensi Risiko
Salah satu potensi risiko besar yang muncul dengan pemberlakuan UU PDP adalah risiko reputasi yang dapat berdampak langsung pada keberlanjutan lembaga. Tulisan ini akan membahas mengapa risiko reputasi menjadi isu penting dalam implementasi UU PDP dan bagaimana mitigasi risiko yang dapat dilakukan untuk menghadapi tantangan ini.
UU PDP dirancang dengan dasar konstitusional yang kuat, terkait kewajiban perlindungan terhadap Hak Asasi Manusia (Pasal 28). Dengan demikian, setiap pelanggaran terhadap UU PDP dapat dipandang sebagai pelanggaran HAM yang menuntut tanggung jawab moral dan tanggung jawab hukum pelakunya.
Pada era digital, hampir semua layanan, baik sektor publik maupun perusahaan privat, bergantung pada data pribadi. Mulai dari transaksi perbankan hingga layanan transportasi daring.
Data pribadi sudah menjadi aset strategis lembaga. Data pribadi konsumen berkaitan langsung dengan keberlangsungan lembaga. Sehingga penyalahgunaan data pribadi dapat memengaruhi kepercayaan konsumen dan reputasi lembaga secara signifikan.
Beberapa kasus dugaan kebocoran data pribadi yang sempat muncul ke permukaan dan menjadi perhatian publik beberapa tahun belakangan dapat menjadi pelajaran penting bagi lembaga mana pun tentang betapa perlindungan data pribadi sangat berkaitan erat dengan risiko reputasi sebuah lembaga.
Ambil contoh bagaimana masifnya kegelisahan dan kekhawatiran publik saat muncul pemberitaan tentang dugaan kebocoran 279 juta data pribadi oleh salah satu lembaga negara (2022), dugaan kebocoran 91 juta data pribadi oleh sebuah perusahaan layanan jasa swasta (2020), dan dugaan kebocoran 1,3 miliar data registrasi SIM Card yang berisi data pribadi (2022).
Kasus tokoh publik beberapa waktu lalu yang dikenal sebagai raja infotainment juga bisa menjadi referensi tentang betapa pentingnya perlindungan data pribadi untuk menjaga reputasi lembaga tersebut.
Pembobolan dan pengurasan isi rekening pribadi tokoh tersebut diawali dengan pembobolan data pribadi untuk membuat KTP palsu dan penggantian SIM Card telepon seluler.
Juga beberapa kasus penggunaan data pribadi karena dikuasainya foto seseorang yang sedang memegang KTP oleh orang lain. Berbekal foto tersebut, disalahgunakan untuk mengambil pinjaman online berbunga sangat tinggi atas nama pemilik KTP.
Pada tataran internasional, data pribadi 87 juta pengguna Facebook yang diakses tanpa izin oleh Cambridge Analityca (2018) telah menyebabkan menurunnya signifikan kepercayaan publik terhadap facebook disertai penurunan nilai saham dan pengguna aktif Facebook.
Begitu juga yang dialami Marriott International (2018), kasus Equifax (2017), dan kasus Sonny Pictures (2014) yang mengalami gangguan signifikan pada perusahaannya sebagai akibat tercorengnya reputasi perusahaan setelah gagal melindungi data pribadi konsumennya.
Beberapa kasus di atas menggambarkan betapa besar potensi kerugian ekonomi, psikologis, dan reputasi yang ditimbulkan akibat kelalaian dalam melindungi data pribadi.
Ketentuan Pidana Terkait Data Pribadi
Sanksi pidana dalam UU PDP yang berpotensi mempengaruhi reputasi lembaga jika dilanggar terbagi dalam 3 (tiga) kategori hukuman, yaitu:
Pertama. Pidana penjara 5 tahun dan/atau pidana denda paling banyak Rp 5 miliar, Pasal 67.
"Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi" (Ayat 1)
"Setiap orang yang dengan sengaja dan melawan hukum menggunakan data pribadi yang bukan miliknya" (Ayat 3)
Kedua. Pidana penjara 4 tahun dan/atau pidana denda paling banyak Rp 4 miliar, Pasal 67 Ayat (2).
"Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya"
Ketiga. Pidana penjara 6 tahun dan/atau pidana denda paling banyak Rp6 miliar, Pasal 68.
"Setiap orang yang dengan sengaja membuat data pribadi palsu atau memalsukan data pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain"
Ketentuan Perdata Terkait Data Pribadi
UU ITE (UU 19/2016) mengatur bahwa penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan (Pasal 26 Ayat 1). Seseorang dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan Undang-undang ini (Pasal 26 Ayat 2)
KUHPerdata mengatur bahwa gugatan ganti rugi terhadap pihak yang menyalahgunakan data pribadi adalah berupa gugatan perbuatan melawan hukum (Pasal 1365).
Proses persidangan pidana maupun gugatan perdata yang tidak sebentar berpotensi menggerus reputasi lembaga sehingga berkaitan langsung dengan risiko reputasi yang sangat mempengaruhi keberlanjutan lembaga.
Mengapa Risiko Reputasi Penting?
Reputasi merupakan fondasi keberhasilan bagi setiap entitas, baik entitas bisnis, sosial, maupun pendidikan. Reputasi buruk terkait pelanggaran perlindungan data pribadi dapat berujung pada situasi yang berkaitan langsung dengan keberlanjutan lembaga, di antaranya:
Hilangnya kepercayaan pelanggan.
Publik yang semakin sadar akan pentingnya perlindungan data pribadi cenderung memilih dan pindah dengan mudah kepada penyedia jasa lain yang dapat menjamin keamanan data pribadi mereka.
Penurunan nilai bisnis.
Reputasi buruk sering kali diikuti oleh menurunnya minat investor dan pemangku kepentingan lainnya.
Krisis keberlanjutan.
Ketidakmampuan mengelola risiko reputasi dapat berujung pada kebangkrutan perusahaan atau keruntuhan organisasi.
Strategi Komprehensif Mitigasi Risiko Reputasi
Guna memitigasi risiko reputasi akibat pemberlakuan UU PDP, pendekatan holistik diperlukan dan merupakan sebuah keniscayaan yang wajib dilakukan.
Beberapa langkah berikut patut untuk mendapat perhatian dan pertimbangan lembaga dalam mitigasi risiko reputasi atas pemberlakuan UU PDP.
Peningkatan Pemahaman
Pahami prinsip dasar perlindungan data pribadi sebagai bagian dari Hak Konstitusional dan HAM seluruh rakyat Indonesia;
Pahami dengan baik UU PDP, khususnya terkait kewajiban dan sanksi;
Lakukan identifikasi modus-modus kejahatan yang memanfaatkan data pribadi orang lain melalui konsultasi ke pihak terkait, seperti konsultan maupun Aparat Penegak Hukum (APH);
Membangun budaya empati dan tanggung jawab seluruh pengelola lembaga terhadap data pribadi orang lain sebagai sesuatu yang perlu dilindungi dengan segala daya upaya.
Kebijakan dan Teknologi
Perbarui kebijakan internal lembaga, rumuskan dan tetapkan SOP kerja sebagai peraturan internal lembaga berdasarkan ketentuan UU PDP beserta peraturan turunannya.;
Implementasikan teknologi perlindungan data terkini sesuai dengan perkembangan teknologi, seperti enkripsi, firewall. Lakukan antisipasi pembobolan data pribadi oleh hacker ke sistem IT lembaga.
Pendidikan dan Pelatihan
Tingkatkan pengetahuan, kesadaran, dan keterampilan pada semua level tanggung jawab secara periodik mengenai pentingnya perlindungan data pribadi konsumen;
Sosialisasikan dan ingatkan semua pihak, melalui instrumen yang ada, tentang resiko dan tanggung jawab hukum pengurus dan karyawan lembaga terkait UU PDP.
Pengawasan Internal
Perkuat mekanisme pengawasan internal terkait kepatuhan terhadap UU PDP dan peraturan internal perusahaan, seperti SOP;
Pastikan setiap pimpinan pada semua tingkatan dan seluruh staf memahami dan menjalankan Standard Operating Procedure (SOP) terkait perlindungan data pribadi;
Membangun Budaya GRC (Governance, Risk, and Compliance Culture)
Budaya GRC merupakan membudayakan integrasi nilai-nilai Tata Kelola perusahaan atau organisasi (Governance) berbasis pada Manajemen Risiko (Risk) dan Kepatuhan terhadap regulasi, baik regulasi negara maupun regulasi internal (Compliance) dalam kehidupan sehari-hari lembaga dengan penekanan pada risiko reputasi.
Budaya GRC dapat dibangun melalui pendekatan berikut :
Senantiasa berusaha mewujudkan terbangunnya budaya kerja lembaga berbasis prinsip-prinsip tata kelola yang baik berdasarkan manajemen risiko dan kepatuhan;
Melibatkan seluruh elemen lembaga untuk membangun kesadaran kolektif tentang pentingnya perlindungan data pribadi dan potensi timbulnya risiko reputasi jika gagal dalam mengelola perlindungan data pribadi.
Penegakan Hukum
Tindak tegas pelanggaran yang melibatkan penyalahgunaan data pribadi untuk memberikan efek jera. Baik pelanggaran yang dilakukan oleh manajemen maupun oleh karyawan;
Kalau perlu gunakan dan terapkan mekanisme Whistleblowing Sistem untuk melakukan deteksi dini potensi pelanggaran perlindungan data pribadi;
Berkolaborasi secara rutin dengan pemerintah untuk mengidentifikasi celah dalam implementasi UU PDP dan memperbaikinya.
Penutup
Pemberlakuan UU PDP adalah langkah maju dalam menjaga Hak Konstitusional dan HAM atas data pribadi masyarakat. Namun demikian pada saat bersamaan menjadi risiko baru bagi perusahaan, organisasi, dan individu yang menjalankannya.
Pilihan melakukan mitigasi risiko yang tepat merupakan pilihan dengan perspektif keberlanjutan lembaga karena risiko reputasi dapat mengancam keberlanjutan siapa pun (orang maupun badan) yang menguasai data pribadi namun tidak mampu melindunginya dengan baik.
Di era digital yang semakin kompleks.dan sangat cepat berubah, reputasi bukan lagi sekadar citra, tetapi aset strategis yang harus dijaga demi keberlanjutan dan kesuksesan jangka panjang lembaga.
Sehingga, pilihan lembaga untuk mengambil langkah proaktif untuk memastikan kepatuhan terhadap UU PDP tidak hanya untuk menghindari sanksi hukum, tetapi juga untuk melindungi aset paling berharga yaitu reputasi.