UU PDP dan Realitas Lapangan: Masyarakat Diminta Taat, Sistem Masih Tertatih

Oleh /

Legal Insight

Transformasi digital di Indonesia berkembang cepat. Namun, dalam praktiknya, banyak institusi—baik sektor privat maupun layanan publik—masih mengelola data pribadi dengan pendekatan administratif lama.

Fenomena ini terlihat jelas dalam dua praktik yang kini menjadi sorotan:

  • permintaan KTP (bahkan untuk  fotokopi) saat check-in hotel,
  • serta pengambilan data biometrik (sidik jari dan wajah) dalam verifikasi pasien BPJS.

Keduanya memperlihatkan pola yang sama: pengumpulan data yang meluas, tanpa selalu diimbangi dengan standar perlindungan yang memadai.

Dalam kerangka hukum pelindungan data pribadi, ini bukan sekadar isu teknis—melainkan isu kepatuhan (compliance) dan risiko hukum yang nyata.

Verifikasi Identitas: Legitimate, tetapi Tidak Tanpa Batas

Bahwa hotel membutuhkan identifikasi tamu untuk keamanan dan ketertiban, sehingga verifikasi identitas merupakan kebutuhan yang penting. Demikian pula Fasilitas kesehatan –BPJS Kehatan membutuhkan validasi pasien untuk mencegah fraud dan memastikan hak layanan untuk tidak digunakan oleh yang tidak berhak.

Namun, legitimasi tersebut tidak bersifat absolut. Dalam rezim perlindungan data modern, setiap pengumpulan data harus tunduk pada prinsip:

  • necessity (kebutuhan yang jelas),
  • proportionality (keseimbangan dengan risiko),
  • dan limitation (pembatasan tujuan dan penyimpanan).

Artinya:
Tidak semua data boleh diminta, dan tidak semua data yang diminta boleh disimpan.

Ketika Data Biasa Berubah Menjadi Data Berisiko Tinggi

Permintaan KTP mungkin masih berada dalam spektrum risiko moderat.

Namun ketika praktik verifikasi bergeser ke:

  • sidik jari,
  • pengenalan wajah,
  • dan data kesehatan,

maka level risikonya meningkat secara signifikan.

Data biometrik dan data kesehatan bukan sekadar data identitas.
Keduanya merupakan data yang bersifat permanen dan tidak dapat diganti.

Dalam perspektif hukum:

  • kebocoran data jenis ini tidak hanya berdampak administratif,
  • tetapi dapat menimbulkan kerugian jangka panjang yang tidak dapat dipulihkan.

Dengan demikian, penggunaan data biometrik tanpa sistem perlindungan yang setara adalah eksposur risiko hukum yang serius.

Compliance Gap: Regulasi Sudah Ada, Implementasi Tertinggal

Indonesia sebenarnya tidak kekurangan regulasi.

Kerangka hukum pelindungan data sudah mengatur:

  • pembatasan pengumpulan data,
  • kewajiban pengendali data,
  • serta tanggung jawab dalam menjaga keamanan informasi.

Namun yang menjadi persoalan adalah compliance gap:

  • sistem belum terintegrasi,
  • standar keamanan belum seragam,
  • dan praktik operasional masih bergantung pada kebiasaan lama.

Contoh paling nyata:

  • e-KTP secara konsep adalah paperless, tetapi masih difotokopi,
  • biometrik digunakan, tetapi tidak selalu didukung dengan infrastruktur keamanan yang memadai.

Dalam perspektif kepatuhan, ini menciptakan kondisi yang problematik:

Data yang diminta sudah modern, tetapi sistem perlindungannya belum mature.

Risiko Nyata: Bukan Hanya Data Breach, tetapi Liability

Banyak institusi masih melihat pengumpulan data sebagai bagian dari prosedur administratif.

Padahal dalam rezim perlindungan data:

  • setiap data yang dikumpulkan = potensi liability,
  • setiap penyimpanan data = tanggung jawab hukum,
  • setiap kebocoran = risiko reputasi dan sanksi.

Dengan kata lain:

Semakin banyak data dikumpulkan, semakin besar eksposur risiko yang harus ditanggung.

Ini berlaku baik untuk:

  • hotel,
  • rumah sakit,
  • klinik,
  • maupun institusi publik.

Pendekatan yang Tepat: Risk-Based & Compliance-Oriented

Pendekatan yang relevan bukanlah menghapus verifikasi, melainkan menata ulang cara verifikasi dilakukan.

LexPoint merekomendasikan pendekatan berbasis kepatuhan sebagai berikut:

1. Layered Verification (Verifikasi Bertingkat)

Tidak semua pengguna layanan membutuhkan tingkat verifikasi yang sama.

  • Verifikasi dasar: identitas + validasi visual
  • Verifikasi lanjutan: foto wajah (dengan kontrol sistem)
  • Verifikasi khusus: biometrik (hanya jika diperlukan)

2. Data Minimization

Institusi harus mulai beralih dari:

“collect as much as possible”
menjadi
“collect only what is necessary.”

3. Storage Limitation

Data tidak boleh disimpan tanpa batas waktu.
Harus ada kebijakan retensi yang jelas dan terukur.

4. Security by Design

Penggunaan data sensitif harus sejak awal didesain dengan:

  • enkripsi,
  • kontrol akses,
  • audit trail,
  • dan breach response mechanism.

5. Governance & Accountability

Pengelolaan data tidak bisa lagi bersifat operasional semata.
Harus menjadi bagian dari:

  • corporate governance,
  • risk management,
  • dan compliance framework.

Trust sebagai Mata Uang Baru

Dalam ekonomi digital, kepercayaan (trust) adalah aset.

Masyarakat bersedia menyerahkan data mereka bukan karena kewajiban semata, tetapi karena kepercayaan bahwa data tersebut:

  • aman,
  • tidak disalahgunakan,
  • dan dikelola secara profesional.

Ketika praktik di lapangan tidak mencerminkan hal tersebut, maka yang tergerus bukan hanya kepatuhan hukum—tetapi juga legitimasi institusi itu sendiri.

Penutup

Transformasi digital tidak cukup hanya dengan mengadopsi teknologi.
Ia harus diikuti dengan transformasi cara berpikir terhadap data.

LexPoint memandang bahwa isu KTP hotel dan biometrik BPJS bukanlah kasus terpisah, melainkan indikasi dari satu hal yang sama:

Indonesia sedang bergerak menuju ekosistem data modern, tetapi belum sepenuhnya siap dalam aspek perlindungan dan kepatuhan.

Dalam konteks ini, langkah ke depan harus jelas:

Bukan mengumpulkan lebih banyak data,
melainkan mengelola data secara lebih bertanggung jawab.

Refial Fadly

Untuk pembahasan isu hukum lainnya, kunjungi Khazanah Hukum

Scroll to Top