UU PDP dan Tanggung Jawab Operator Seluler: Membedah Peran Pengendali dan Prosesor Data

JAKARTA – Undang-Undang Pelindungan Data Pribadi (UU PDP) Nomor 27 Tahun 2022 membawa implikasi signifikan terhadap sektor telekomunikasi. Regulasi ini secara tegas mengatur tanggung jawab pihak-pihak yang memproses data pribadi, termasuk operator seluler.

Pembahasan ini menjadi relevan seiring kewajiban registrasi SIM card menggunakan data biometrik. Masyarakat perlu memahami secara mendalam sejauh mana peran dan kewajiban hukum operator seluler di bawah payung UU PDP.

Apa itu UU PDP dan Perannya dalam Pelindungan Data?

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) hadir sebagai landasan hukum utama. Regulasi ini bertujuan melindungi hak dasar warga negara terkait privasi data pribadi mereka di era digital.

UU PDP membedakan dua peran penting dalam pemrosesan data: Pengendali Data Pribadi dan Prosesor Data Pribadi. Pembagian peran ini menentukan tingkat tanggung jawab serta kewajiban hukum yang harus dipatuhi oleh setiap pihak.

Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data. Sementara itu, Prosesor Data Pribadi adalah pihak yang memproses data atas nama atau perintah dari pengendali.

Setiap peran memiliki tanggung jawab yang spesifik dan tidak dapat digantikan. Meskipun Prosesor hanya bertindak atas perintah, ia tetap memiliki kewajiban hukum independen yang harus dipenuhi.

Bagaimana Mekanisme Registrasi SIM Biometrik Berjalan?

Proses registrasi SIM card biometrik melibatkan alur data yang aman dan terenkripsi. Data biometrik seperti foto wajah pelanggan tidak disimpan langsung oleh operator seluler (opsel).

Hal tersebut disampaikan Direktur Pengendalian Ekosistem Digital Kemkomdigi, Dany Suwardany. “Operator seluler itu tidak menyimpan foto wajah pelanggan,” katanya sebagaimana dilansir ANTARA News.

Alur teknisnya, foto wajah akan dienkripsi oleh operator sebelum divalidasi ke sistem Direktorat Jenderal Kependudukan dan Catatan Sipil (Dukcapil). Operator hanya menerima notifikasi kesesuaian hasil pemindaian tanpa data foto wajah dikirim balik.

Dukcapil Kementerian Dalam Negeri menjadi pihak yang menyimpan data registrasi biometrik pelanggan. Implementasi ini juga menerapkan standar keamanan internasional ISO 27001 dan ISO 27701 di sisi operator.

Peran Operator Seluler sebagai Prosesor Data Biometrik?

Dalam konteks registrasi SIM biometrik, operator seluler berperan sebagai Prosesor Data Pribadi. Ini berarti mereka memproses data biometrik sesuai instruksi dari Dukcapil sebagai Pengendali data utama.

Tanggung jawab operator terbatas pada pemrosesan teknis dan validasi. Mereka tidak menentukan tujuan penggunaan data biometrik tersebut, sehingga kewajiban hukum mereka berbeda dari pengendali.

Direktur Eksekutif Asosiasi Penyelenggara Telekomunikasi Seluruh Indonesia (ATSI), Marwan O. Baasir, menambahkan mengenai keamanan. “Selama ini kan di operator juga tidak pernah ada cerita tentang kebocoran data,” ujarnya sebagaimana dilansir ANTARA News.

Kondisi ini menekankan pentingnya kepatuhan operator terhadap perintah pengendali data. Jika ada pelanggaran instruksi, tanggung jawab hukum dapat beralih sepenuhnya kepada operator.

Kapan Operator Menjadi Pengendali Data Pribadi Penuh?

Meski hanya sebagai prosesor untuk data biometrik registrasi SIM, operator seluler tetap menjadi Pengendali Data Pribadi penuh untuk data pelanggan lainnya. Ini mencakup nomor telepon, riwayat transaksi, dan data kontak.

Untuk data-data tersebut, operator sepenuhnya menentukan tujuan dan kendali pemrosesan. Mereka memikul beban kewajiban hukum terbesar berdasarkan UU PDP.

Sebagai Pengendali, operator wajib bertanggung jawab penuh atas seluruh tahapan pemrosesan data. Hal ini meliputi pengumpulan, penyimpanan, penggunaan, hingga penghapusan data pelanggan.

Mereka juga harus memberitahukan Subjek Data secara tertulis jika terjadi kegagalan pelindungan data. Pemberitahuan tersebut harus mencakup upaya penanganan dan pemulihan data yang terdampak.

Apa Saja Kewajiban dan Sanksi Hukum di Bawah UU PDP?

UU PDP menetapkan kewajiban yang jelas bagi Pengendali maupun Prosesor Data Pribadi. Pasal 46 dan 47 mewajibkan Pengendali bertanggung jawab penuh atas pemrosesan data, termasuk insiden kebocoran data.

Prosesor Data Pribadi, sebagaimana diatur dalam Pasal 51 dan 52, wajib memproses data sesuai perintah Pengendali. Mereka tidak boleh melakukan pemrosesan di luar instruksi yang diberikan.

Pelanggaran terhadap ketentuan UU PDP dapat dikenakan sanksi administratif yang berat. Sanksi ini meliputi peringatan tertulis, penghentian sementara pemrosesan, hingga penghapusan data pribadi.

Selain itu, terdapat potensi denda administratif hingga 2% dari pendapatan atau penerimaan tahunan. Sanksi ini dijatuhkan oleh lembaga pengawas, di luar kemungkinan sanksi pidana untuk pelanggaran serius seperti penjualan ilegal data pribadi.

Memahami perbedaan peran operator seluler sebagai Pengendali dan Prosesor Data Pribadi sangat krusial. Perbedaan ini menentukan sejauh mana tanggung jawab hukum yang melekat pada setiap pihak dalam konteks UU PDP. Senarais kini bisa lebih cermat mengidentifikasi hak dan kewajiban terkait data pribadi yang diberikan kepada operator telekomunikasi.

Byline: Arkantian, Tim Redaksi Senarai.co