UU Satu Data Indonesia Berpotensi Bertentangan dengan UU PDP

Pengesahan Undang-Undang Satu Data Indonesia (UU SDI) oleh DPR RI pada 6 Oktober 2026 dinilai berpotensi tidak selaras dengan Undang-Undang Pelindungan Data Pribadi (UU PDP). Lembaga Studi dan Advokasi Masyarakat (Elsam) menilai, ketidakselarasan tersebut dapat menimbulkan ketidakpastian hukum dalam pengelolaan data warga, terutama dalam pengaturan pertukaran data, penanganan insiden keamanan, dan transfer data ke luar wilayah Indonesia.

“Meminta pemerintah memastikan pelaksanaan UU SDI tetap tunduk pada prinsip dan kewajiban yang diatur dalam UU PDP,” tulis Elsam dalam keterangan tertulis (23/10). 

Pasal 18 UU SDI mengatur bahwa penyebarluasan, penggunaan, dan pemanfaatan data dalam kerangka Satu Data Indonesia tidak memerlukan nota kesepahaman, perjanjian kerja sama, ataupun dokumen pernyataan selama memenuhi standar keamanan data. Menurut Elsam, ketentuan tersebut berpotensi berbenturan dengan Pasal 18 UU PDP yang mengatur perlunya perjanjian antara dua atau lebih pengendali data pribadi yang melakukan pemrosesan data. 

“Dalam rezim pelindungan data pribadi, pemrosesan tidak cukup hanya memenuhi standar keamanan, tetapi juga harus memiliki dasar pemrosesan yang sah dan memenuhi kewajiban sesuai karakteristik serta risiko pemrosesan,” jelas Elsam.

Lebih lanjut, persoalan ini menjadi penting karena data yang dikelola dalam sistem Satu Data Indonesia tidak terbatas pada data statistik atau data agregat. Melainkan juga dapat mencakup data kependudukan, sosial, dan informasi lain yang dapat mengidentifikasi individu. Dengan begitu, integrasi data antar lembaga pemerintah berpotensi melibatkan pemrosesan data pribadi dalam skala luas.

Menurut Elsam ketidakselarasan juga terlihat dalam pengaturan penanganan insiden keamanan data. Pasal 93 ayat (3) UU SDI mengatur pelaporan insiden kepada instansi berwenang paling lama 1 x 24 jam, sedangkan Pasal 46 UU PDP menetapkan pemberitahuan kegagalan pelindungan data pribadi paling lambat 3 x 24 jam. Perbedaan pengaturan tersebut perlu diperjelas agar tidak menimbulkan kebingungan dalam pelaksanaan kewajiban pelaporan dan koordinasi antar lembaga. 

Menurut catatan Elsam, pemerintah belum membentuk Otoritas Pelindungan Data Pribadi sebagaimana diperintahkan UU PDP. Ketiadaan lembaga tersebut menimbulkan persoalan dalam memastikan pengawasan dan penegakan kewajiban pelindungan data pribadi berjalan sesuai mandat undang-undang.

Selain itu, Elsam menyoroti pengaturan transfer data ke luar yurisdiksi Indonesia dalam Pasal 85 UU SDI. Perbedaan klasifikasi data dalam UU SDI dan UU PDP dinilai berpotensi menimbulkan ketidakjelasan dalam menentukan kategori data yang dapat diakses atau ditransfer. Ketentuan tersebut juga perlu diselaraskan dengan mekanisme transfer data pribadi yang telah diatur dalam UU PDP.

Elsam juga mengingatkan potensi kriminalisasi berlebihan melalui Pasal 130 dan Pasal 131 UU SDI, yang masih belum memberikan batasan yang cukup jelas mengenai perbuatan yang dapat dikenai sanksi pidana. Atas berbagai persoalan tersebut, Elsam meminta DPR dan pemerintah membuka akses publik terhadap naskah UU SDI serta memastikan masyarakat sipil dilibatkan dalam penyusunan peraturan turunannya. []