Kerja Sama Transfer Data Indonesia-AS, Momentum Percepat Pembentukan Lembaga Pengawas PDP

JAKARTA, KOMPAS — Kerja sama Indonesia dan Amerika Serikat terkait arus data diharapkan justru menjadi pemicu untuk mempercepat penyusunan peraturan pemerintah sebagai aturan teknis pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Hingga saat ini, pembentukan lembaga pengawas pelindungan data pribadi yang independen juga belum terwujud.

Sebelumnya diberitakan, AS dan Indonesia menyepakati kerangka kerja untuk perjanjian perdagangan resiprokal atau timbal balik. Kerangka kerja itu tidak hanya mencakup sektor perdagangan barang, tetapi juga sektor investasi, ketenagakerjaan, lingkungan hidup, ekonomi digital, dan keamanan ekonomi.

Kesepakatan berupa pernyataan bersama (joint statement) itu diumumkan melalui pernyataan Gedung Putih pada Selasa (22/7/2025) waktu setempat atau Rabu (23/7/2025) waktu Indonesia. Kerangka kerja sama tersebut merupakan bagian dari kesepakatan penurunan tarif resiprokal antara AS dan Indonesia dari 32 persen menjadi 19 persen.

Kepala Lembaga Riset Keamanan Siber Communication and Information System Security Research Center (CISSRec) Pratama Persadha menuturkan, tanpa perangkat pelaksana dan lembaga pengawas tersebut, komitmen Indonesia dalam melindungi hak digital warganya akan sulit diterjemahkan dalam kebijakan yang operasional dan berdaya guna.

”UU Pelindungan Data Pribadi sendiri tidak melarang secara mutlak transfer data lintas batas. Namun, mensyaratkan negara tujuan memiliki standar perlindungan yang setara atau lebih tinggi dari Indonesia, atau adanya perjanjian internasional yang mengikat,” ujar Pratama melalui keterangan tertulis, Kamis (24/7/2025).

Lebih dari dua tahun sejak UU No 27/2022 tentang Pelindungan Data Pribadi ditetapkan, lembaga pengawas pelindungan data pribadi belum terbentuk. Akibatnya, jutaan data pribadi masyarakat bocor terus setiap tahun.  

Undang-Undang (UU) Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ditetapkan pada 17 Oktober 2022. Pasal 58 UU No 27/2022 mengamanatkan pembentukan lembaga pelindungan data pribadi paling lama dua tahun sejak UU berlaku. 

Sesuai Pasal 60 UU No 27/2022, lembaga pengawas pelindungan data pribadi memiliki 15 kewenangan, di antaranya menetapkan kebijakan, pengawasan kepatuhan pengendali data pribadi, menerima aduan dugaan pelanggaran, serta menjatuhkan sanksi administratif (Kompas.id, 9 Juni 2025).

Pemerintah Indonesia yang memberikan sinyal akan memberikan kepastian hukum terkait mekanisme transfer data pribadi ke luar negeri, termasuk ke Amerika Serikat, justru dinilainya sebagai momentum strategis untuk mempercepat pembentukan lembaga pengawas pelindungan data pribadi (LPPDP) dan penyusunan peraturan pemerintah (PP) sebagai turunan teknis dari UU No 27/2022 tentang UU PDP.

”Kerja sama itu dapat menjadi pemicu bagi Indonesia untuk segera merampungkan infrastruktur hukum dan kelembagaan tata kelola data yang modern dan adaptif,” katanya.

Meski terbuka terhadap arus data global, pemerintah menegaskan bahwa prinsip kedaulatan digital tetap menjadi pijakan utama. Hak negara untuk melindungi, mengatur, dan memastikan aktivitas digital sesuai dengan hukum nasional akan dijaga melalui evaluasi ketat terhadap negara-negara tujuan transfer data.

Kekhawatiran terhadap potensi penyalahgunaan data oleh entitas asing, termasuk korporasi teknologi dan lembaga keamanan, menjadi perhatian tersendiri. Apalagi, hingga kini Amerika Serikat belum memiliki undang-undang federal perlindungan data seketat General Data Protection Regulation (GDPR) Uni Eropa.

UU Pelindungan Data Pribadi sendiri tidak melarang secara mutlak transfer data lintas batas. Namun, mensyaratkan negara tujuan memiliki standar perlindungan yang setara atau lebih tinggi dari Indonesia, atau adanya perjanjian internasional yang mengikat.

Untuk menjawab tantangan itu, Indonesia didorong untuk menyusun standar evaluasi obyektif terhadap negara mitra. Jika perlu, mengikatnya dalam perjanjian bilateral yang menjamin hak-hak digital warga Indonesia.

”Hak untuk dihapus, diberi tahu, dan menggugat pelanggaran privasi harus tetap berlaku meskipun data disimpan di luar negeri,” tegasnya.

Selain aspek regulasi, isu transfer data juga berkaitan langsung dengan nilai tambah ekonomi digital nasional. Data warga Indonesia, jika dikelola dengan tepat, dapat menjadi bahan baku strategis untuk kecerdasan buatan, layanan algoritmik, dan inovasi teknologi. Sebaliknya, bila tak dikendalikan, data hanya akan menjadi komoditas mentah yang diolah pihak asing dan dijual kembali ke dalam negeri.

”Karena itu, penguatan infrastruktur digital, riset teknologi domestik, dan pengembangan talenta digital lokal harus menjadi agenda prioritas. Kerja sama internasional di bidang data harus diarahkan pada alih teknologi dan investasi yang memperkuat ekosistem digital Indonesia,” jelasnya.

Lain halnya dengan Imparsial. Lembaga nirlaba yang bergerak di isu pertahanan, keamanan, dan hak asasi manusia itu keras mengecam kesepakatan antara Pemerintah Indonesia dan Amerika Serikat terkait transfer data pribadi warga negara Indonesia ke luar negeri. Mereka menilai langkah tersebut sebagai bentuk pengkhianatan terhadap konstitusi dan kedaulatan negara.

Kritik ini muncul setelah Pemerintah Amerika Serikat secara resmi mengumumkan poin kesepakatan dalam kerangka Agreement on Reciprocal Trade, yang menyebut bahwa Indonesia akan memberikan kepastian hukum atas kemampuan mentransfer data pribadi ke Amerika Serikat.

”Imparsial menegaskan bahwa data pribadi tidak boleh dijadikan obyek perdagangan antarnegara karena merupakan bagian dari hak privasi yang dijamin dalam prinsip-prinsip hak asasi manusia,” kata Direktur Imparsial Ardi Manto Adiputra.

Imparsial juga menilai bahwa komitmen transfer data ini berpotensi melanggar UU PDP yang secara jelas mengatur mekanisme pengelolaan dan perlindungan data pribadi. UU tersebut menjadi landasan penting untuk mencegah penyalahgunaan data oleh pihak mana pun, termasuk oleh negara.

Selain itu, kebijakan transfer data ini dinilai bertentangan dengan peraturan teknis yang berlaku, khususnya Pasal 20 Ayat (2) PP No 71/2019, yang mewajibkan penyimpanan dan pengelolaan data oleh penyelenggara sistem elektronik lingkup publik dilakukan di wilayah Indonesia. Imparsial menilai, bila data justru dikirim ke luar negeri, keberadaan data center dalam negeri dan komitmen terhadap kedaulatan digital menjadi tidak berarti.

Imparsial juga menyoroti lemahnya regulasi perlindungan data di Amerika Serikat, yang belum memiliki undang-undang federal yang komprehensif seperti GDPR di Uni Eropa. Hal ini dikhawatirkan akan meningkatkan risiko penyalahgunaan data pribadi warga Indonesia tanpa adanya mekanisme hukum yang melindungi mereka di yurisdiksi luar negeri.

”Atas dasar itu, Imparsial mendesak pemerintah untuk segera membatalkan komitmen transfer data tersebut, serta menegaskan kembali posisi Indonesia dalam menjaga kedaulatan data rakyatnya dan mencegah praktik perdagangan data yang mengabaikan hak-hak privasi warga negara,” tegasnya.