Jakarta, CNBC Indonesia - Sejumlah platform digital seperti Facebook dan Instagram diketahui menyimpan data pengguna di luar wilayah Indonesia. Direktur Eksekutif Catalyst Policy-Works, Wahyudi Djafar, menjelaskan bahwa Undang-Undang Pelindungan Data Pribadi (UU PDP) sebenarnya tidak secara khusus mewajibkan lokalisasi data atau penentuan lokasi penyimpanan fisik data.
Menurutnya, UU PDP lebih berfokus pada pengaturan mekanisme transfer data pribadi, termasuk ketika data dikirim dari dalam negeri ke luar negeri. Sementara itu, ketentuan teknis mengenai penyimpanan data diatur dalam Peraturan Pemerintah (PP) Nomor 71 Tahun 2019 yang kemudian diturunkan melalui Permen Komdigi Nomor 5 Tahun 2025 tentang Penyelenggara Sistem Elektronik (PSE) lingkup publik.
"Di situ ada klasifikasi data publik dan kemudian bagaimana proses penyimpanannya, gitu kan," ujar Wahyudi kepada CNBC Indonesia melalui sambungan telepon, Rabu (16/9/2026).
Wahyudi menjelaskan, UU PDP memberikan ruang bagi data pribadi warga Indonesia untuk ditransfer ke luar negeri, asalkan negara tujuan memiliki tingkat pelindungan hukum yang setara dengan regulasi PDP di Indonesia.
Ketentuan tersebut tercantum secara jelas dalam Pasal 56 UU PDP. Persyaratan mutlak dalam transfer data lintas negara ini adalah adanya kesetaraan tingkat pelindungan data pribadi antara Indonesia dan negara tujuan.
"Jadi persyaratan utamanya itu kesetaraan. Apabila kemudian kesetaraan itu tidak tercapai, artinya kesetaraan itu tidak ada. Misalnya data akan ditransfer ke Amerika Serikat, lalu ternyata Amerika Serikat itu dianggap tidak setara dengan Indonesia," jelasnya.
Kendati demikian, jika negara tujuan transfer tidak memenuhi tingkat kesetaraan tersebut, proses transfer data tetap dapat dilakukan melalui sejumlah pengecualian tertentu. Salah satu celah hukum yang sah adalah dengan mengantongi persetujuan eksplisit (explicit consent) dari subjek data yang bersangkutan.
"Maka kemudian, klausul pengecualiannya, transfer tetap bisa dilakukan itu apabila ada explicit consent, ada persetujuan yang jelas dari subjek datanya yang membolehkan, gitu ya, memberikan persetujuan datanya ditransfer ke luar negeri," kata Wahyudi.
Ia menambahkan, mekanisme untuk menilai tingkat kesetaraan negara tujuan transfer tersebut juga telah diatur lebih lanjut melalui PP Nomor 33 Tahun 2026. Aturan ini memuat berbagai kewajiban yang harus dipatuhi oleh pengendali data tatkala hendak memindahkan data pribadi dari Indonesia ke luar wilayah kedaulatan negara.
Salah satu kewajiban utama pengendali data adalah melakukan penilaian risiko (risk assessment) terhadap skema transfer data yang dilakukan.
"Nah, sayangnya untuk melakukan assessment risiko, bagaimana proses dan detailnya itu nantinya akan diatur melalui panduan yang dikeluarkan oleh Badan Pelindungan Data Pribadi," ungkapnya.
Persoalan Krusial Perlindungan Data Pribadi Warga RI
Menurut Wahyudi, persoalan mendasar justru muncul karena lembaga Badan Pelindungan Data Pribadi yang semestinya menjadi rujukan utama untuk menjalankan fungsi tersebut hingga kini belum terbentuk. Panduan teknis terkait penilaian risiko pun belum tersedia.
Selain assessment risiko, Badan Pelindungan Data Pribadi nantinya juga memegang kewenangan penuh untuk menilai tingkat kesetaraan perlindungan hukum di negara tujuan transfer data pribadi.
Wahyudi menilai kondisi kekosongan kelembagaan ini menjadi hambatan serius dalam implementasi aturan transfer data pribadi lintas negara. Menurutnya, meski substansi persyaratan transfer sudah diatur secara normatif, aturan teknis operasional serta lembaga pengawas yang menaunginya belum berfungsi secara penuh.
"Problemnya di situ. Jadi, meskipun sudah diatur persyaratan transfernya dan sebagainya-bagaimana kemudian kewajiban dari pengendali data ketika akan melakukan transfer data pribadi dari Indonesia ke luar wilayah Indonesia-tetapi tadi, rujukan aturan teknisnya sampai sekarang juga belum ada," tegasnya.
Ia pun menekankan bahwa kehadiran lembaga tersebut merupakan elemen krusial agar UU PDP dapat diimplementasikan secara optimal di lapangan. Lembaga itu, menurutnya, harus didukung oleh kewenangan yang memadai agar UU PDP bisa diterapkan secara efektif.
"Jadi, tanpa Badan Pelindungan Data Pribadi yang kuat dan independen, sulit untuk kemudian sebuah UU PDP bisa diterapkan secara efektif," pungkasnya.
(fab/fab)
[Gambas:Video CNBC]
