REPUBLIKA.CO.ID, JAKARTA -- Rancangan undang-undang Perlindungan Data Pribadi (RUU PDP) akan disahkan menjadi undang-undang dalam rapat paripurna DPR terdekat. Namun, draf RUU PDP yang diterima Republika tak mengatur sanksi denda atau pidana bagi lembaga eksekutif, legislatif, dan yudikatif yang melanggar perlindungan data pribadi.
Pasal 1 RUU PDP menjelaskan, lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara disebut sebagai "Badan Publik". Sedangkan "Setiap Orang" adalah orang perseorangan atau korporasi.
Lalu, "Korporasi" adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum. Pasal 65 BAB XIII tentang Larangan dalam Penggunaan Data Pribadi RUU PDP menjelaskan tiga larangan penggunaan pribadi, yakni:
1. Setiap Orang dilarang secara melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi.
2. Setiap Orang dilarang secara melawan hukum mengungkapkan data pribadi yang bukan miliknya.
3. Setiap Orang dilarang secara melawan hukum menggunakan data pribadi yang bukan miliknya.
"Setiap Orang dilarang membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain," bunyi Pasal 66 RUU PDP.
Selanjutnya, dalam Pasal 67 BAB XIV tentang Ketentuan Pidana, terdapat tiga ayat yang mengatur sanksi pidana bagi "Setiap Orang" yang melakukan tindakan larangan penggunaan data pribadi. Namun, pasal itu tak mengatur terkait sanksi untuk lembaga negara yang larangan penggunaan data pribadi.
Adapun, tiga ayat dalam Pasal 67, yakni:
1. Setiap Orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 65 ayat (1) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
2. Setiap Orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp 4.000.000.000,00 (empat miliar rupiah).
3. Setiap Orang yang dengan sengaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (3) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
Selanjutnya, Pasal 68 RUU PDP menjelaskan, setiap orang yang melakukan pemalsuan data pribadi demi keuntungannya akan dikenakan pidana penjara paling lama enam tahun dan/atau pidana denda paling banyak Rp 6 miliar.
Pihak yang melakukan larangan perlindungan data pribadi juga berlaku kepada korporasi yang mengumpulkan, membocorkan, hingga memalsukan data pribadi orang lain demi keuntungannya. Hal tersebut diatur dalam Pasal 70 RUU PDP.
"Dalam hal tindak pidana sebagaimana dimaksud dalam Pasal 67 dan Pasal 68 dilakukan oleh korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi," bunyi Pasal 70 Ayat 1 RUU PDP.
Pidana yang dapat dijatuhkan terhadap korporasi hanyalah pidana denda. Namun, pidana denda yang dijatuhkan kepada korporasi paling banyak 10 kali dari maksimal pidana denda yang diancamkan.
Selain itu, korporasi yang melakukan larangan penggunaan data pribadi dapat dijatuhi tujuh pidana tambahan. Salah satunya adalah pembayaran ganti kerugian, pencabutan izin, hingga pembubaran korporasi.
"Selain dijatuhi pidana denda sebagaimana dimaksud pada Ayat (2), Korporasi dapat dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana; pembekuan seluruh atau sebagian usaha korporasi; pelarangan permanen melakukan perbuatan tertentu; penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan korporasi; melaksanakan kewajiban yang telah dilalaikan; pembayaran ganti kerugian; pencabutan izin; dan/atau pembubaran korporasi."
RUU PDP sudah disepakati terdiri atas 16 BAB dan 76 Pasal. Namun hingga akhir draf, tak ada aturan terkait sanksi bagi lembaga eksekutif, legislatif, yudikatif, dan badan negara yang melakukan larangan perlindungan data pribadi.
