Bisnis.com, JAKARTA – Aturan turunan dari Undang-Undang No. 27/2022 tentang Pelindungan Data Pribadi (UU PDP) dikhawatirkan menambah beban pengusaha karena dinilai tak sesuai standar internasional.
Executive Director Indonesia Services Dialogue (ISD) Council, Devi Ariyani menyebut beberapa klausul aturan dalam RPP PDP akan memberatkan pelaku usaha dan tidak sesuai standar international.
"Salah satu contohnya menyangkut kewajiban bagi pelaku usaha untuk memenuhi permintaan subjek data dalam waktu 3x24 jam," ujarnya dalam siaran pers, Jumat (8/9/2023).
Dia menuturkan berdasarkan beleid tersebut, perusahaan yang menjadi pengendali data pribadi wajib memenuhi ketentuan terkait hak subjek data dalam waktu 3x24 jam. Hal ini berlaku bagi penghentian, penundaan, dan pembatasan pemrosesan data pribadi, serta pemberian akses kepada subjek data dan penghapusan data pribadi.
Menurutnya, jangka waktu tersebut berisiko menimbulkan biaya kepatuhan yang cukup tinggi bagi pelaku usaha. Pengusaha bakal terkendala keterbatasan kapasitas, sumber daya, hingga kompleksitas proses atau prosedur internal masing-masing untuk bisa mematuhi.
Sebelumnya, Kementerian Komunikasi dan Informatika (Kemenkominfo) mulai melakukan sosialisasi terhadap materi RPP PDP tersebut dan berharap peran serta publik untuk memberikan masukan.
Devi mengingatkan, masing-masing pelaku usaha memiliki kapasitas maupun kapabilitas yang berbeda dalam pemrosesan data pribadi. Tidak seluruh perusahaan rintisan memiliki sumber saya yang cukup.
"Maklum, sebagian perusahaan rintisan di Indonesia merupakan perusahaan skala kecil dan mikro," ujarnya.
Selain itu, lanjutnya, volume permintaan juga akan mempengaruhi waktu yang dibutuhkan perusahaan untuk memenuhi hak subjek data. Jika ada jutaan permintaan dalam satu waktu bersamaan, waktu yang perusahaan butuhkan untuk memproses permintaan tersebut akan semakin lama.
Berdasarkan survei yang digelar ISD, untuk penghentian pemrosesan data pribadi, sebanyak 76 persen responden membutuhkan waktu satu bulan. Sementara untuk penundaan atau pembatasan pemrosesan data, sebanyak 78 persen responden membutuhkan waktu 21 hari.
Dia berpendapat jangka waktu 3x 24 jam juga tidak sesuai standar internasional. Standar waktu bagi perusahaan untuk memenuhi hak pemilik data pribadi adalah satu bulan dan bisa diperpanjang menjadi 60 hari atua total tiga bulan.
Praktik internasional tersebut mengacu pada General Data Protection Regulation (GDPR), regulasi mengenai pemrosesan data pribadi di Uni Eropa yang telah efektif berlaku sejak 2018.
