Data Protection Officer Bukan Sekadar Formalitas: Menguji Efektivitas Pelindungan Data Pribadi di Indonesia

Seiring perkembangan zaman, permasalahan mengenai data pribadi dihadapi oleh masyarakat Indonesia dari tahun ke tahun. Berawal dari kebocoran data pribadi yang kemudian mengarah pada penyalahgunaan data pribadi, membuat pelindungan data pribadi menjadi sebuah urgensi yang perlu ditindaklanjuti.

Salah satu contoh kasus kebocoran data pribadi terjadi di tahun 2020, dimana masyarakat dikejutkan oleh dugaan kebocoran data pengguna Tokopedia. Sekitar 91 juta akun disebut terdampak dan data tersebut kemudian ditawarkan di forum daring. Informasi yang beredar antara lain mencakup user ID, email, nama, dan data lain yang berkaitan dengan akun pengguna.

Kasus tersebut terjadi sebelum Indonesia memiliki regulasi yang konkret mengenai pelindungan data pribadi. Namun dari kasus ini kemudian timbul pertanyaan yang relevan: ketika perusahaan mengumpulkan begitu banyak data pribadi, siapa yang memastikan bahwa data tersebut benar-benar terlindungi? Salah satu pihak yang berperan adalah Data Protection Officer (DPO).

Dalam Pasal 53 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), dijelaskan pada intinya bahwa pihak yang mengendalikan dan melakukan pemrosesan data pribadi wajib untuk menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi.

Lebih lanjut, Pasal 54 UU PDP juga menguraikan mengenai tugas-tugas dari pejabat atau petugas tersebut yang meliputi pengawasan terhadap kepatuhan dari pengendali dan prosesor data pribadi, memberikan saran, hingga menjadi narahubung terhadap isu mengenai pemrosesan data pribadi. Penunjukan tersebut juga harus mempertimbangkan profesionalitas, pengetahuan hukum dan praktik pelindungan data pribadi, serta kemampuan menjalankan tugas.

Sebagai bentuk pelaksanaan terhadap UU PDP, kini PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP (PP PDP) telah ditetapkan dan diundangkan. Dalam Pasal 1 angka 24 PP PDP dijelaskan bahwa pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi disebut sebagai PPDP.

Penjelasan lebih rinci mengenai PPDP telah dijabarkan dalam Bagian Kedua Puluh Dua PPDP di  Pasal 142 sampai dengan Pasal 147 PP PDP. Jika dilihat dari ketentuan peraturan perundang-undangan tersebut, dapat dikatakan bahwa DPO merupakan PPDP yang melaksanakan fungsi pelindungan data pribadi.

Tidak sampai di situ saja, pemerintah juga menetapkan Standar Kompetensi Kerja Nasional Indonesia (SKKNI) Bidang Keahlian Pelindungan Data Pribadi  melalui Keputusan Menteri Ketenagakerjaan Nomor 103 Tahun 2023. Regulasi ini menunjukkan bahwa pelindungan data pribadi memerlukan sumber daya manusia dengan kompetensi yang terukur, bukan sekadar pengetahuan hukum secara umum.

Setelah Indonesia memiliki beberapa dasar hukum mengenai tugas dan tanggungjawab DPO hingga kompetensi yang harus dimiliki oleh DPO, ada banyak aspek yang menjadi pertanyaan selanjutnya: apakah dengan adanya penunjukan DPO lantas perusahaan telah mematuhi regulasi tersebut? Kemudian apakah DPO benar-benar mampu menjalankan fungsi pelindungan data pribadi? Jawabannya adalah belum tentu.

Bayangkan jika sebuah perusahaan menunjuk DPO, namun orang tersebut tidak mendapatkan akses terhadap manajemen, tidak dilibatkan ketika ada sistem yang baru dibangun, atau rekomendasinya tidak memiliki daya pengaruh terhadap keputusan bisnis. Secara administratif, DPO memang ada. Namun secara substantif, fungsi pelindungan datanya bisa saja tidak berjalan. Di titik inilah efektivitas DPO kemudian perlu untuk diuji.

DPO idealnya tidak bekerja setelah masalah terjadi. Ia justru perlu dilibatkan sejak awal. Misalnya ketika perusahaan merancang aplikasi baru, mengumpulkan data pelanggan, atau bekerja sama dengan pihak ketiga yang memproses data. Pendekatan ini mengubah posisi DPO dari sekadar “pemadam kebakaran” menjadi bagian dari mekanisme pencegahan risiko.

Oleh sebab itu, keberadaan DPO ke depannya perlu dilihat sebagai fungsi strategis. Organisasi perlu memastikan bahwa DPO memiliki kompetensi, akses yang memadai kepada pengambil keputusan, serta ruang untuk memberikan rekomendasi secara objektif. DPO juga perlu ditempatkan dalam proses bisnis sejak tahap perencanaan, bukan baru dilibatkan ketika terjadi insiden.

DPO bukan sekadar nama tambahan dalam struktur organisasi. DPO yang efektif juga bukanlah orang yang paling sering mengatakan “tidak boleh”. Ia adalah orang yang membantu organisasi memahami bagaimana data dapat digunakan secara sah, aman, dan bertanggung jawab.

Pada akhirnya, keberhasilan dari regulasi pelindungan data pribadi di Indonesia bukan hanya diukur dari ada atau tidaknya DPO, atau berapa banyak perusahaan yang mencantumkan DPO dalam struktur organisasi.

Ukurannya terletak pada sesuatu yang lebih esensial, yakni apakah keberadaan DPO membuat data pribadi seseorang menjadi lebih aman dan diproses secara lebih bertanggung jawab serta seberapa efektif fungsi tersebut mencegah dan mengurangi risiko pelanggaran data pribadi.

Indonesia masih berada dalam perjalanan panjang untuk membangun ekosistem yang mendukung proses pelindungan data pribadi. Tidak hanya memberikan payung hukum terhadap pelindungan data pribadi, namun juga dengan adanya implementasi peran DPO secara efektif.

Kita mungkin hanya sekadar memenuhi kewajiban di atas kertas apabila eksistensi DPO dianggap sebagai formalitas. Tetapi jika kita dapat memastikan bahwa DPO benar-benar berfungsi, kita sedang membangun sesuatu yang jauh lebih penting: kepercayaan masyarakat di tengah ekonomi digital Indonesia.

Daftar Pustaka

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

Kepmenaker No. 103 Tahun 2023 tentang Penetapan Standar Kompetensi Kerja Nasional Indonesia Kategori Informasi dan Komunikasi Golongan Pokok Aktivitas Pemrograman, Konsultasi Komputer dan Kegiatan Yang Berhubungan Dengan Itu (YBDI) Bidang Keahlian Pelindungan Data Pribadi

CNN Indonesia, Kronologi Lengkap 91 Juta Akun Tokopedia Bocor dan Dijual, https://www.cnnindonesia.com/teknologi/20200503153210-185-499553/kronologi-lengkap-91-juta-akun-tokopedia-bocor-dan-dijual