Menakar Komitmen Negara atas Data Pribadi dalam RUU Adminduk

Ilustrasi Kartu Tanda Penduduk (KTP) sebagai salah satu data pribadi. Foto: dok. Ditjen Dukcapil Kemendagri.

Badan Siber dan Sandi Negara mencatat 1,67 juta temuan data exposure yang berdampak pada 429 pemangku kepentingan di Indonesia sepanjang 2023, dengan kebocoran data sebagai jenis insiden siber paling banyak ditemukan dari 347 dugaan insiden yang ditelusuri, menurut laporan Lanskap Keamanan Siber Indonesia. Data serupa juga menjadi bahan baku sindikat penerbitan kartu SIM ilegal berbekal Nomor Induk Kependudukan curian, yang diungkap Polda Jawa Timur pada Mei 2026. Mekanisme sanksi bagi penyelenggara yang lalai menjaga data itu selama ini terasa tumpul.

Di tengah kondisi itulah, pada Senin, 7 September 2026, Badan Legislasi DPR RI menyepakati Rancangan Undang-Undang tentang Perubahan Kedua atas Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan sebagai usul inisiatif. Panitia kerja RUU Adminduk menyampaikan sejumlah perbaikan substansi, mulai dari definisi data pribadi hingga sanksi bagi penyelenggara yang gagal melindungi data warganya. Setelah mendengarkan pandangan mini fraksi, pimpinan Badan Legislasi meminta persetujuan seluruh anggota, dan hasil harmonisasi itu disepakati untuk dilanjutkan menuju paripurna DPR.

Persetujuan ini membuka peluang menjawab keresahan publik yang bertahun-tahun mengendap. Soal yang lebih penting bukan pada ketepatan waktu kelahiran RUU ini, melainkan apakah perbaikan di dalamnya cukup strategis untuk membangun kembali kepercayaan publik atas komitmen negara menjaga data warganya.

Apa yang Ditawarkan RUU Adminduk

RUU ini membawa sejumlah perubahan penting. Definisi data pribadi diperbaiki agar selaras dengan Undang-Undang Pelindungan Data Pribadi yang berlaku sejak 2022, sementara penyelenggaraan administrasi kependudukan diarahkan menggunakan stelsel aktif digital terintegrasi, yang wajib dijalankan pemerintah pusat, provinsi, dan kabupaten/kota secara bersamaan.

Perubahan yang paling ditunggu publik terletak pada perbaikan rumusan Pasal 131 ayat 2. Penyelenggara yang gagal melindungi data kependudukan akan dikenai sanksi administratif berupa denda, dengan besaran diatur lebih lanjut melalui peraturan pemerintah. Di sisi pidana, sanksi dalam Pasal 138 juga diperberat, dengan hukuman bagi pengguna dan petugas yang tanpa hak menyebarluaskan data kependudukan dinaikkan menjadi enam tahun penjara. RUU ini turut mewajibkan pemerintah pusat dan DPR memantau serta meninjau pelaksanaannya dua tahun setelah disahkan.

Di atas kertas, seluruh poin tersebut menjawab sebagian keresahan yang selama ini disuarakan publik dan akademisi. Perbaikan definisi data pribadi, misalnya, penting agar tidak ada kerancuan antara data kependudukan yang dikelola pemerintah dan data pribadi yang diatur payung hukum lain. Namun keresahan itu tidak berhenti pada rumusan pasal, melainkan pada pertanyaan yang lebih mendasar, apakah negara benar-benar mampu menegakkannya di lapangan.

Tantangan Penegakan Aturan

Menaikkan ancaman pidana menjadi enam tahun terdengar tegas. Namun pengalaman menunjukkan kebocoran data kependudukan jarang berujung pada proses hukum tuntas. Kasus NIK yang diperjualbelikan di lokapasar daring, misalnya, lebih sering berhenti pada penangkapan pelaku penjual data, tanpa menyentuh penyelenggara sistem yang membiarkan data itu bocor dari sumbernya.

Sanksi administratif berupa denda juga masih menyisakan tanda tanya, sebab besarannya baru akan diatur melalui peraturan pemerintah. Efektivitas pasal ini bergantung pada aturan turunan yang belum tentu segera lahir begitu undang-undang disahkan. Pengalaman implementasi Undang-Undang Pelindungan Data Pribadi yang hingga kini belum memiliki lembaga pengawas independen menjadi pelajaran, bahwa jarak antara norma dan penegakan bisa sangat panjang.

Persoalan lain menyangkut kewenangan pengawasan. RUU Adminduk perlu dipastikan tidak tumpang tindih dengan Undang-Undang Pelindungan Data Pribadi, terutama soal siapa yang berwenang mengawasi kepatuhan penyelenggara. Tanpa kejelasan kewenangan, sanksi dalam undang-undang berisiko hanya menjadi ancaman formal yang jarang dijatuhkan.

Di sisi teknis, kewajiban stelsel aktif digital terintegrasi bagi pemerintah pusat, provinsi, dan kabupaten/kota menuntut kesiapan yang tidak sederhana. Kesenjangan kapasitas teknologi informasi antardaerah masih lebar. Integrasi ini perlu dibarengi penguatan keamanan di setiap simpul, agar tidak membuka celah baru.

Komitmen negara atas data pribadi warganya tidak bisa diukur dari besarnya ancaman pidana atau nilai denda dalam undang-undang, melainkan dari kecepatan negara menutup jarak itu. Setidaknya tiga langkah konkret perlu segera menyusul pengesahan RUU ini: peraturan pemerintah tentang besaran denda administratif mesti terbit bersamaan dengan pengundangan, kewenangan pengawasan RUU Adminduk dan Undang-Undang Pelindungan Data Pribadi harus dipetakan tegas agar tidak tumpang tindih, dan pembentukan Badan Pelindungan Data Pribadi yang independen tidak boleh lagi ditunda. RUU Adminduk adalah modal awal yang patut diapresiasi. Modal itu hanya bernilai jika negara mengikatnya dengan tenggat yang jelas, bukan sekadar niat baik di atas kertas.