RI-AS Sepakati Transfer Data, Bagaimana Nasib Data Pribadi Masyarakat Indonesia?

Setelah melalui negosiasi panjang, pada 20 Februari 2026 Presiden RI Prabowo Subianto dan Presiden Amerika Serikat Donald Trump akhirnya menandatangani perjanjian tarif resiprokal RI-AS. Kendati disebut sebagai kemajuan, kesepakatan dagang timbal balik itu tetap menimbulkan sejumlah tanya, bahkan kekhawatiran. Salah satunya terkait perlindungan data pribadi yang dikhawatirkan melemah pascaperjanjian itu.

Maklum saja, transfer data pribadi ke AS untuk perdagangan digital dan teknologi yang tunduk pada hukum Indonesia menjadi salah satu poin yang disepakati dalam perjanjian itu. Padahal, Indonesia dan AS tidak memiliki aturan pelindungan data pribadi yang setara.

Transfer data pribadi dari Indonesia dan AS tertuang dalam kesepakatan perdagangan timbal balik atau Agreement on Reciprocal Trade (ART) yang ditandatangani Presiden Prabowo dan Presiden Trump di Washington DC, AS. Poin tersebut masuk dalam bagian ketiga kesepakatan, mengenai perdagangan digital dan teknologi.

Pada bagian itu tertulis bahwa Indonesia berkomitmen memfasilitasi produk digital AS masuk ke pasar domestik. Indonesia juga memfasilitasi transfer data pribadi ke AS dengan mengakui AS sebagai negara atau yurisdiksi yang memberikan pelindungan data yang memadai berdasarkan hukum Indonesia.

Juru Bicara Kementerian Koordinator Bidang Perekonomian Haryo Limanseto melalui keterangan tertulis, Minggu (22/2/2026), menjelaskan, data yang dimaksud dalam perjanjian tersebut adalah data yang diperlukan untuk bisnis atau sistem aplikasi. Transfer data lintas batas merupakan infrastruktur utama bagi e-dagang, layanan keuangan digital, cloud, dan jasa digital lainnya. Adapun transfer data yang disepakati tetap tunduk pada aturan domestik, yakni Undang-Undang Nomor 27 Tahun 2002 tentang Pelindungan Data Pribadi (UU PDP).

Dengan ketentuan tersebut, ia memastikan bahwa nantinya tidak ada penyalahgunaan data pribadi masyarakat di AS. ”Artinya, tidak ada penyerahan kedaulatan data. Pemerintah memastikan proses pemindahan data secara fisik ataupun secara digital (transmisi cloud dan kabel) dilakukan dalam kerangka secure and reliable data governance, tanpa mengorbankan hak-hak warga negara,” kata Haryo.

Menurut dia, kepastian aturan transfer data tersebut memperkuat posisi Indonesia sebagai hub ekonomi digital di kawasan. Perusahaan teknologi global membutuhkan regulasi yang dapat memfasilitasi pemrosesan data lintas batas dengan pelindungan data yang memadai. Dengan tata kelola yang kredibel, Indonesia dapat menarik investasi pusat data (data centers), cloud infrastructure, dan layanan digital lainnya.

Kendati demikian, menurut Direktur Rakhsa Initiatives Wahyudi Djafar, kesepakatan itu bisa memperlemah pelindungan data pribadi masyarakat Indonesia. Sebab, dalam poin kesepakatan mengenai transfer data, aturan hukum pelindungan data pribadi AS diposisikan memadai atau setara dengan UU PDP. Padahal, AS belum memiliki aturan pelindungan data pribadi yang komprehensif sebagaimana ada di UU PDP atau General Data Protection Regulation (GDPR) yang berlaku di Eropa dan menjadi rujukan pelindungan data di banyak negara, termasuk Indonesia.

Di AS, lanjutnya, aturan pelindungan data masih secara sektoral. Itu pun berbeda di setiap negara bagian. Belum ada aturan yang komprehensif dan berlaku dalam konteks federal.

”Perjanjian ini memberi kesan bahwa AS tidak punya (aturan yang memadai), tetapi kita harus mengatakan bahwa AS itu setara dengan Indonesia,” ujar Wahyudi.

Dalam UU PDP diatur bahwa, ketika ada ketidaksetaraan, aturan bisa dikecualikan dengan adanya persetujuan dari subyek data mengenai penggunaan data mereka. Namun, kesepakatan Indonesia-AS dicapai tanpa ada persetujuan dari subyek data dimaksud. Adapun kesepakatan bilateral bukan bagian dari pengecualian yang diatur UU PDP.

”Artinya, kalau perjanjian ini mau diterapkan, ada konsekuensi bagi Indonesia untuk merevisi UU PDP, yaitu mengenai pengecualian ketika adequacy tidak tercapai,” katanya.

Selain aturan yang tidak setara, data pribadi masyarakat kian rentan karena, lebih dari tiga tahun setelah UU PDP disahkan, negara belum membentuk otoritas pelindungan data pribadi. Padahal, dalam konteks perdagangan digital dengan AS, peran otoritas tersebut sangat dibutuhkan ketika terjadi permasalahan, misalnya kebocoran ataupun eksploitasi data pribadi.

Sebelum ada kesepakatan dengan AS, data pribadi masyarakat pun sudah rentan meski UU PDP sudah disahkan. Mengacu data Kementerian Komunikasi dan Digital, sepanjang 2019-2024 saja terdapat 124 kasus pelanggaran pelindungan data pribadi, yang mayoritas (111 kasus) merupakan kebocoran data. Setiap kasus bisa melibatkan ratusan juta data pribadi penduduk (Kompas.id, 3/6/2024).

Dari sejumlah kasus tersebut, belum pernah ada permintaan pertanggungjawaban dari pengendali data. Sebab, belum ada otoritas yang berwenang melakukannya.

Kini, ketika data masyarakat ditransfer ke AS, tidak ada jaminan ada pihak yang bakal bertanggung jawab ketika pelanggaran atau eksploitasi terjadi. Lebih dari itu, tidak ada pula pihak yang secara resmi memastikan bahwa pelindungan data masyarakat Indonesia di AS dilindungi dengan standar yang sesuai dengan UU PDP.

”Belum adanya otoritas pelindungan data pribadi ini juga menjadi satu tantangan, bagaimana memastikan bahwa data pribadi subyek data di Indonesia yang ditransfer ke teritori AS itu akan dilindungi dengan hukum yang berlaku di Indonesia,” kata Wahyudi.

Di tengah konteks ini, ia mendorong DPR lebih proaktif menyoroti potensi pelemahan pelindungan data pribadi masyarakat. Sebab, kesepakatan yang dibuat Indonesia dengan AS tidak hanya terkait dengan tarif perdagangan, tetapi juga merambah ke banyak ranah nontarif yang berisiko merugikan masyarakat.

”Ada konsekuensi yang serius dalam perjanjian antara Indonesia dan AS. Semestinya DPR memanggil pemerintah, menggunakan hak untuk mempertanyakan mengapa bisa mengambil kesepakatan dan mempersoalkan klausul yang ada dalam perjanjian,” ujar Wahyudi.