Pemerintah Klaim Transfer Data dalam Kesepakatan RI–AS Tak Ganggu Kedaulatan Nasional

JAKARTA, KOMPAS  —  Pemerintah Indonesia menegaskan bahwa substansi kesepakatan transfer data dalam perjanjian agreement on reciprocal trade (ART) dengan Amerika Serikat tetap tunduk pada Undang-Undang Pelindungan Data Pribadi dan tidak mengorbankan kedaulatan data nasional.

Adanya substansi kesepakatan itu juga dinilai oleh Pemerintah Indonesia bakal memperkuat posisi Indonesia sebagai hub ekonomi digital kawasan, sekaligus menarik investasi pusat data dan infrastruktur komputasi awan. 

”Transfer data yang disepakati dalam perjanjian ART tetap tunduk pada aturan domestik, yaitu Undang-Undang Nomor 82 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Data yang dimaksud dalam perjanjian tersebut adalah data yang diperlukan untuk bisnis (sistem aplikasi),” ujar Juru Bicara Kementerian Koordinator Bidang Perekonomian Haryo Limanseto, Minggu (22/2/2026), di Jakarta. 

Pemerintah Indonesia dan AS per 19 Februari 2026 menandatangani perjanjian dagang yang disebut ART. Dalam Pasal 3.2 ART yang menyebar luas pada Jumat (20/2/2026) disebutkan, ”Indonesia harus memberikan kepastian terkait kemampuannya memindahkan data pribadi ke luar wilayahnya ke AS, dengan mengakui AS sebagai negara atau yurisdiksi yang memberikan perlindungan data yang memadai berdasarkan hukum Indonesia.”

Transfer data lintas batas, menurut Haryo, merupakan infrastruktur utama bagi perdagangan secara elektronik atau e-dagang, layanan keuangan digital, komputasi awan, dan jasa digital lainnya. Artinya, tidak ada unsur penyerahan kedaulatan data. 

Dia menekankan, Pemerintah Indonesia memastikan proses pemindahan data secara fisik ataupun secara digital, seperti transmisi komputasi awan dan kabel, tetap dilakukan dalam kerangka yang aman dan tata kelola yang dapat diandalkan, tanpa mengorbankan hak-hak warga negara. 

Haryo menambahkan, kepastian aturan transfer data memperkuat posisi Indonesia sebagai hub ekonomi digital di kawasan. Perusahaan teknologi global membutuhkan regulasi yang dapat memfasilitasi pemrosesan data lintas batas dengan perlindungan data yang memadai. 

”Dengan tata kelola yang kredibel, Indonesia dapat menarik investasi pusat data, infrastruktur komputasi awan, dan layanan digital lainnya,” ucapnya.

Direktur Eksekutif Catalyst Policy-Works Wahyudi Djafar memaknai, dalam naskah ART, AS dinyatakan memiliki tingkat perlindungan data pribadi yang setara (adequate) dengan Indonesia.

Konsekuensinya, transfer data pribadi dari Indonesia ke AS harus dibuka secara bebas. Masalahnya, konsep pengakuan adequacy melalui perjanjian bilateral seperti ini sebenarnya kurang dikenal dalam UU PDP.

Merujuk pada Pasal 56 UU PDP, apabila suatu negara tidak memiliki tingkat perlindungan data yang setara, pengecualian hanya dapat dilakukan melalui persetujuan eksplisit dari subyek data. Sejauh ini, ketentuan Indonesia belum ada yang secara spesifik mengatur mekanisme perjanjian bilateral, perjanjian pemerintah ke pemerintah (G2G), dan perjanjian bisnis ke bisnis (B2B) sebagai dasar pengecualian. 

”Oleh karena itu, substansi ART mengenai transfer data ini justru berpotensi ’memaksa’ Indonesia menyesuaikan bahkan merevisi ketentuan dalam UU PDP agar dapat mengakomodasi klausul ART,” ujar Wahyudi. 

Dari sisi perlindungan data, risiko bagi Indonesia cukup besar. Sebab, AS tidak memiliki undang-undang perlindungan data pribadi yang komprehensif di tingkat federal. Regulasi bergantung pada negara bagian atau otoritas seperti Federal Trade Commission (FTC). 

Jaminan perlindungan bagi data warga Indonesia yang ditransfer ke AS pun sangat bergantung pada kapasitas otoritas perlindungan data Indonesia yang hingga kini belum terbentuk. Tanpa otoritas yang kuat, mekanisme pengaduan dan penegakan hukum menjadi tidak jelas apabila terjadi pelanggaran, kebocoran, atau penyalahgunaan data. 

Menurut Wahyudi, adanya ART semestinya menjadi dorongan bagi pemerintah untuk mempercepat pembentukan dan penguatan lembaga perlindungan data pribadi agar hak subyek data Indonesia tetap terlindungi. Selain soal transfer data, ART juga memuat ketentuan bahwa setiap perjanjian terkait ekonomi digital Indonesia dengan pihak lain yang berkaitan dengan kesepakatan ini harus dikonsultasikan lebih dahulu dengan AS. 

”Substansi seperti ini tidak seimbang karena hampir seluruh klausul berbunyi ’Indonesia shall’. Kami menilai, perjanjian ini lebih banyak memuat kewajiban Indonesia dibandingkan kewajiban timbal balik AS,” kata Wahyudi.

Pengacara hukum perlindungan data pribadi Danny Kobrata menyebut belum jelas bagaimana proses penentuan adequacy tersebut dilakukan. Dalam UU PDP, mekanisme dan tata cara penilaian tingkat kesetaraan perlindungan data akan diatur lebih lanjut melalui peraturan pemerintah (PP).

Hingga kini, PP tersebut belum terbit. Ditambah lagi, lembaga otoritas perlindungan data pribadi yang berwenang melakukan penilaian juga belum terbentuk. ”Dengan demikian, secara hukum belum ada prosedur ataupun institusi yang dapat secara resmi menyatakan bahwa AS memiliki tingkat perlindungan data yang setara dengan Indonesia,” ucapnya.

UU PDP mengatur bahwa transfer data ke luar negeri dapat dilakukan dengan tiga faktor. Pertama, negara tujuan memiliki tingkat perlindungan data yang memadai. Kedua, terdapat perlindungan yang memadai dan mengikat. Ketiga, ada persetujuan eksplisit dari subyek data. 

Dalam rancangan peraturan pemerintah (RPP) turunan UU PDP, perlindungan yang memadai dan mengikat dapat mencakup perjanjian bilateral. Namun, RPP tersebut belum diketuk sehingga dasar hukum untuk menggunakan skema bilateral sebagai pengganti penetapan adequacy juga belum kuat.

Selain itu, berdasarkan pengamatan Danny, proses penetapan adequacy regulasi perlindungan data pribadi bisa memakan waktu bertahun-tahun. Penilaian tidak hanya melihat kesamaan regulasi, tetapi juga efektivitas penegakan hukumnya. Situasi ini bisa dilihat dari pengalaman sejumlah negara yang berhadapan dengan General Data Protection Uni Eropa. 

”Jadi, tidak otomatis suatu negara bisa langsung dianggap setara tanpa melalui asesmen menyeluruh. Apabila pengakuan terhadap AS sebagai negara adequate perlindungan data pribadi otomatis dijalankan, itu berpotensi bertentangan dengan kerangka hukum domestik Indonesia,” katanya.