UU Satu Data Bisa Tubruk Aturan Data Pribadi, ELSAM Beberkan Risikonya
Jakarta, CNBC Indoinesia - Lembaga Studi dan Advokasi Masyarakat (ELSAM) menilai UU Satu Data Indonesia (UU SDI) berpotensi tumpang tindih dengan UU Pelindungan Data Pribadi (UU PDP). Pada akhirnya bisa menimbulkan ketidakpastian dalam pemrosesan data pribadi.
"UU SDI tidak hanya mengatur 'data nasiona'" dalam pengertian statistik atau data agregat. Ekosistemnya juga akan mengelola data kependudukan, sosial, dan berbagai kategori data lain yang dapat secara langsung maupun tidak langsung mengidentifikasi individu. Sebagian besar operasi SDI akan bersinggungan dengan data pribadi sebagaimana dimaksud dalam UU PDP," kata ELSAM, dikutip dari keterangan resmi, Kamis (29/10/2026).
Salah satunya Pasal 18 yang menyatakan penyebarluasan, penggunaan, dan pemanfaatan data dalam kerangka SDI tidak memerlukan nota kesepahaman, perjanjian kerja sama, ataupun dokumen pernyataan, selama memenuhi standar keamanan data.
Pasal 18 UU PDP berisi ketentuan perjanjian untuk mengatur peran, tanggung jawab, dan hubungan antar-Pengendali Data Pribadi jika ada dua atau lebih pengendali data dalam pemrosesan data pribadi.
Selain itu, kedua aturan juga memiliki pengklasifikasian data yang berbeda. UU PDP dengan istilah data umum dan data spesifik, UU SDI dengan data terbuka, data terbatas, dan data tertutup.
Tumpang tindih juga terdapat Pasal 85 UU SDI yang mengatur soal akses dan transfer data tertutup ke luar yurisdiksi Indonesia harus mendapatkan persetujuan dari DPR. Transfer data juga dilakukan dengan ketentuan UU.
"Sedangkan, dihadirkan aturan pidana terhadap orang yang melakukan akses dan transfer data ke luar yurisdiksi Indonesia alih-alih menyesuaikan UU PDP," ungkap ELSAM.
Begitu juga dalam penanganan insiden keamanan data. Ini diatur dalam Pasal 93 ayat (3) UU SDI dan Pasal 46 UU PDP.
UU SDI mengatur pelaporan insiden kepada instansi berwenang paling lama 1 x 24 jam dan berkoordinasi dengan BSSN, dan UU PDP mewajibkan informasi pada subjek data pribadi atau lembaga adalah 3 x 24 jam.
ELSAM menilai aturan itu mencerta ketidaksinkronan upaya penanganan insiden. Termasuk peranan lembaga PDP dan BSSN saat berkoordinasi soal insiden yang terjadi.
"Terlebih, sampai pertengahan 2026, pemerintah belum membentuk Otoritas Pelindungan Data Pribadi yang diperintahkan oleh UU PDP. Ketiga, absennya kerangka hukum kecerdasan artifisial (AI) dan blockchain; penggunaannya sudah mulai diterapkan dalam UU SDI," jelas lembaga itu.
(dem/dem) [Gambas:Video CNBC]