Mitigasi Risiko Reputasi atas Pemberlakuan UU Perlindungan Data Pribadi

Ilustrasi pengamanan data pribadi. Foto: Shutter Stock

Pemberlakuan penuh Undang-Undang Perlindungan Data Pribadi (UU 27/2022) sejak 17 Oktober 2024 menandai tonggak penting dalam upaya melindungi data pribadi masyarakat Indonesia. Perlindungan data pribadi merupakan Hak Konstitusional dan Hak Asasi Manusia (HAM) sebagaimana dijelaskan dalam konsideran UU PDP tersebut.

UU PDP dengan jelas mendefinisikan data pribadi yang harus dilindungi, di samping mengatur kewajiban dan sanksi hukum bagi siapa pun (individu dan badan, selanjutnya disebut lembaga) yang dengan sengaja melanggar atau lalai mengelola data pribadi.

Bahkan UMKM dan Lembaga Pendidikan yang memerlukan pengumpulan data pribadi, misalnya KTP, seperti Koperasi Simpan Pinjam dan Perguruan Tinggi, tidak lepas dari kewajiban hukum untuk melindungi data pribadi.

Potensi Risiko

Salah satu potensi risiko besar yang muncul dengan pemberlakuan UU PDP adalah risiko reputasi yang dapat berdampak langsung pada keberlanjutan lembaga. Tulisan ini akan membahas mengapa risiko reputasi menjadi isu penting dalam implementasi UU PDP dan bagaimana mitigasi risiko yang dapat dilakukan untuk menghadapi tantangan ini.

UU PDP dirancang dengan dasar konstitusional yang kuat, terkait kewajiban perlindungan terhadap Hak Asasi Manusia (Pasal 28). Dengan demikian, setiap pelanggaran terhadap UU PDP dapat dipandang sebagai pelanggaran HAM yang menuntut tanggung jawab moral dan tanggung jawab hukum pelakunya.

Pada era digital, hampir semua layanan, baik sektor publik maupun perusahaan privat, bergantung pada data pribadi. Mulai dari transaksi perbankan hingga layanan transportasi daring.

Data pribadi sudah menjadi aset strategis lembaga. Data pribadi konsumen berkaitan langsung dengan keberlangsungan lembaga. Sehingga penyalahgunaan data pribadi dapat memengaruhi kepercayaan konsumen dan reputasi lembaga secara signifikan.

Beberapa kasus dugaan kebocoran data pribadi yang sempat muncul ke permukaan dan menjadi perhatian publik beberapa tahun belakangan dapat menjadi pelajaran penting bagi lembaga mana pun tentang betapa perlindungan data pribadi sangat berkaitan erat dengan risiko reputasi sebuah lembaga.

Ambil contoh bagaimana masifnya kegelisahan dan kekhawatiran publik saat muncul pemberitaan tentang dugaan kebocoran 279 juta data pribadi oleh salah satu lembaga negara (2022), dugaan kebocoran 91 juta data pribadi oleh sebuah perusahaan layanan jasa swasta (2020), dan dugaan kebocoran 1,3 miliar data registrasi SIM Card yang berisi data pribadi (2022).

Kasus tokoh publik beberapa waktu lalu yang dikenal sebagai raja infotainment juga bisa menjadi referensi tentang betapa pentingnya perlindungan data pribadi untuk menjaga reputasi lembaga tersebut.

Pembobolan dan pengurasan isi rekening pribadi tokoh tersebut diawali dengan pembobolan data pribadi untuk membuat KTP palsu dan penggantian SIM Card telepon seluler.

Juga beberapa kasus penggunaan data pribadi karena dikuasainya foto seseorang yang sedang memegang KTP oleh orang lain. Berbekal foto tersebut, disalahgunakan untuk mengambil pinjaman online berbunga sangat tinggi atas nama pemilik KTP.

Pada tataran internasional, data pribadi 87 juta pengguna Facebook yang diakses tanpa izin oleh Cambridge Analityca (2018) telah menyebabkan menurunnya signifikan kepercayaan publik terhadap facebook disertai penurunan nilai saham dan pengguna aktif Facebook.

Begitu juga yang dialami Marriott International (2018), kasus Equifax (2017), dan kasus Sonny Pictures (2014) yang mengalami gangguan signifikan pada perusahaannya sebagai akibat tercorengnya reputasi perusahaan setelah gagal melindungi data pribadi konsumennya.

Beberapa kasus di atas menggambarkan betapa besar potensi kerugian ekonomi, psikologis, dan reputasi yang ditimbulkan akibat kelalaian dalam melindungi data pribadi.

Ilustrasi pencurian data pribadi. Foto: Argy Pradypta/kumparan

Ketentuan Pidana Terkait Data Pribadi

Sanksi pidana dalam UU PDP yang berpotensi mempengaruhi reputasi lembaga jika dilanggar terbagi dalam 3 (tiga) kategori hukuman, yaitu:

Pertama. Pidana penjara 5 tahun dan/atau pidana denda paling banyak Rp 5 miliar, Pasal 67.

Kedua. Pidana penjara 4 tahun dan/atau pidana denda paling banyak Rp 4 miliar, Pasal 67 Ayat (2).

Ketiga. Pidana penjara 6 tahun dan/atau pidana denda paling banyak Rp6 miliar, Pasal 68.

Ketentuan Perdata Terkait Data Pribadi

UU ITE (UU 19/2016) mengatur bahwa penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan (Pasal 26 Ayat 1). Seseorang dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan Undang-undang ini (Pasal 26 Ayat 2)

KUHPerdata mengatur bahwa gugatan ganti rugi terhadap pihak yang menyalahgunakan data pribadi adalah berupa gugatan perbuatan melawan hukum (Pasal 1365).

Proses persidangan pidana maupun gugatan perdata yang tidak sebentar berpotensi menggerus reputasi lembaga sehingga berkaitan langsung dengan risiko reputasi yang sangat mempengaruhi keberlanjutan lembaga.

Mengapa Risiko Reputasi Penting?

Reputasi merupakan fondasi keberhasilan bagi setiap entitas, baik entitas bisnis, sosial, maupun pendidikan. Reputasi buruk terkait pelanggaran perlindungan data pribadi dapat berujung pada situasi yang berkaitan langsung dengan keberlanjutan lembaga, di antaranya:

Hilangnya kepercayaan pelanggan.

Publik yang semakin sadar akan pentingnya perlindungan data pribadi cenderung memilih dan pindah dengan mudah kepada penyedia jasa lain yang dapat menjamin keamanan data pribadi mereka.

Penurunan nilai bisnis.

Reputasi buruk sering kali diikuti oleh menurunnya minat investor dan pemangku kepentingan lainnya.

Krisis keberlanjutan.

Ketidakmampuan mengelola risiko reputasi dapat berujung pada kebangkrutan perusahaan atau keruntuhan organisasi.

Strategi Komprehensif Mitigasi Risiko Reputasi

Guna memitigasi risiko reputasi akibat pemberlakuan UU PDP, pendekatan holistik diperlukan dan merupakan sebuah keniscayaan yang wajib dilakukan.

Beberapa langkah berikut patut untuk mendapat perhatian dan pertimbangan lembaga dalam mitigasi risiko reputasi atas pemberlakuan UU PDP.

Peningkatan Pemahaman

Kebijakan dan Teknologi

Pendidikan dan Pelatihan

Pengawasan Internal

Membangun Budaya GRC (Governance, Risk, and Compliance Culture)

Budaya GRC merupakan membudayakan integrasi nilai-nilai Tata Kelola perusahaan atau organisasi (Governance) berbasis pada Manajemen Risiko (Risk) dan Kepatuhan terhadap regulasi, baik regulasi negara maupun regulasi internal (Compliance) dalam kehidupan sehari-hari lembaga dengan penekanan pada risiko reputasi.

Budaya GRC dapat dibangun melalui pendekatan berikut :

Penegakan Hukum

Penutup

Pemberlakuan UU PDP adalah langkah maju dalam menjaga Hak Konstitusional dan HAM atas data pribadi masyarakat. Namun demikian pada saat bersamaan menjadi risiko baru bagi perusahaan, organisasi, dan individu yang menjalankannya.

Pilihan melakukan mitigasi risiko yang tepat merupakan pilihan dengan perspektif keberlanjutan lembaga karena risiko reputasi dapat mengancam keberlanjutan siapa pun (orang maupun badan) yang menguasai data pribadi namun tidak mampu melindunginya dengan baik.

Di era digital yang semakin kompleks.dan sangat cepat berubah, reputasi bukan lagi sekadar citra, tetapi aset strategis yang harus dijaga demi keberlanjutan dan kesuksesan jangka panjang lembaga.

Sehingga, pilihan lembaga untuk mengambil langkah proaktif untuk memastikan kepatuhan terhadap UU PDP tidak hanya untuk menghindari sanksi hukum, tetapi juga untuk melindungi aset paling berharga yaitu reputasi.