Larangan dalam UU PDP
UU PDP menetapkan sejumlah larangan tegas yang sering kali belum disadari sebagai pelanggaran hukum oleh pelaku bisnis.
Penggunaan data pribadi di luar tujuan yang telah dikomunikasikan dan disetujui oleh subjek data adalah larangan mendasar. Ini mencakup praktik seperti menjual atau berbagi data pelanggan kepada mitra bisnis tanpa persetujuan eksplisit, menggunakan data transaksi untuk membangun profil pemasaran tanpa dasar hukum tambahan, atau menggunakan data karyawan untuk keperluan di luar hubungan kerja.
Pemalsuan, pengubahan, atau perusakan data pribadi merupakan larangan yang dapat berujung pada sanksi pidana. Demikian pula pengungkapan data pribadi kepada pihak ketiga yang tidak memiliki dasar hukum, termasuk kepada sesama entitas dalam satu grup korporasi tanpa mekanisme transfer data yang sah.
Praktik dark pattern dalam desain digital, yakni manipulasi antarmuka yang secara psikologis mendorong pengguna untuk memberikan persetujuan yang sebetulnya tidak mereka inginkan, berpotensi dikualifikasikan sebagai pelanggaran prinsip persetujuan bebas dalam UU PDP.
Sanksi UU PDP yang Wajib Dipahami
Sanksi Administratif
Otoritas pengawas perlindungan data pribadi berwenang menjatuhkan sanksi administratif secara berlapis dan progresif. Bentuk sanksi denda melanggar UU PDP yang dapat dijatuhkan mencakup hal-hal berikut.
- Peringatan tertulis sebagai sanksi awal yang menuntut perbaikan dalam jangka waktu tertentu.
- Penghentian sementara kegiatan pemrosesan data apabila pelanggaran tidak segera diperbaiki.
- Penghapusan atau pemusnahan data pribadi yang diproses secara melawan hukum.
- Denda administratif hingga 2% dari pendapatan tahunan pengendali atau prosesor data dalam lingkup Indonesia.
Bagi perusahaan dengan omzet triliunan rupiah, angka denda ini bukan angka yang dapat diabaikan. Pelanggaran yang tidak segera diperbaiki setelah peringatan pertama dapat berujung pada sanksi yang semakin berat.
Sanksi Pidana dan Perdata
Di luar sanksi administratif, sanksi denda UU PDP juga menetapkan ancaman pidana yang serius bagi pelanggaran yang bersifat kriminal.
- Pengumpulan data secara melawan hukum dipidana penjara hingga 5 tahun dan/atau denda hingga Rp5 miliar.
- Pengungkapan data pribadi yang tidak sah dipidana penjara hingga 4 tahun dan/atau denda hingga Rp4 miliar.
- Pemalsuan data pribadi untuk keuntungan diri sendiri atau pihak lain dipidana penjara hingga 6 tahun dan/atau denda hingga Rp6 miliar.
Bila tindak pidana dilakukan oleh korporasi, denda yang dikenakan berjumlah sepuluh kali lipat dari maksimum denda yang berlaku untuk perseorangan. Korporasi juga dapat dikenai sanksi tambahan berupa pengumuman putusan hakim, perampasan keuntungan hasil tindak pidana, penutupan sebagian atau seluruh kegiatan usaha, hingga pembubaran korporasi.
Di jalur perdata, subjek data yang mengalami kerugian akibat pelanggaran UU PDP berhak mengajukan gugatan ganti rugi. Potensi gugatan class action dari ribuan atau bahkan jutaan subjek data sekaligus merupakan skenario risiko yang wajib diperhitungkan dalam manajemen risiko perusahaan.
