Empat Tahun UU PDP dan Lembaga Pengawas yang Tak Kunjung Hadir

Oleh: M Lillah Sahrul Mubarok, Mahasiswa Magister Kebijakan Publik Universitas Padjajaran

Pada pertengahan Juni 2026, sekelompok warga dan mahasiswa menempuh langkah yang jarang terpikirkan, yaitu mengajukan uji materi Undang-Undang Pelindungan Data Pribadi (UU PDP) ke Mahkamah Konstitusi. Persoalan yang mereka angkat sederhana namun mendasar: hampir empat tahun setelah undang-undang itu disahkan, lembaga pengawas yang diamanatkannya tak kunjung dibentuk. Pada saat yang sama, Badan Siber dan Sandi Negara mencatat 3,64 miliar percobaan serangan siber sepanjang 2025. Angka itu memperlihatkan betapa intensnya tekanan terhadap data warga, sementara perangkat kelembagaan yang seharusnya melindunginya belum sepenuhnya hadir.

Argumen pokok tulisan ini sangat sederhana. Selama kekosongan kelembagaan ini dibiarkan, UU PDP berisiko berhenti sebagai norma di atas kertas, dan perlindungan warga di era Big Data menjadi tidak optimal.

Untuk memahami taruhannya, kita perlu melihat data pribadi sebagaimana wujudnya hari ini, yaitu sebagai bagian dari fenomena Big Data. Ada Volume yang masif, mulai dari nomor induk kependudukan, kartu keluarga, data biometrik, rekam medis, hingga jejak transaksi ratusan juta penduduk. Ada Velocity, kecepatan data mengalir secara waktu nyata setiap kali kita membuka aplikasi. Ada pula Variety, keragaman bentuk dari teks, lokasi, hingga citra wajah. Namun ada satu karakter lain yang jarang dibahas tetapi sangat relevan, yaitu Vulnerability atau kerentanan. Setiap penambahan volume, kecepatan, dan keragaman data turut memperluas permukaan risiko. Semakin kaya data yang kita miliki, semakin besar pula yang berpotensi hilang.

Persoalan menjadi kompleks karena pemegang data terbesar di negeri ini adalah negara sendiri. Literatur kebijakan menyebut fenomena ini sebagai big data for population and social policies, yaitu ketika pemerintah menghimpun data warga demi pelayanan publik, dari bantuan sosial hingga layanan digital. Di sinilah muncul potensi tumpang tindih peran ketika fungsi pengawasan PDP untuk sementara masih melekat pada kementerian yang juga mengelola data publik. Dugaan bocornya puluhan juta data siswa dari sistem pendidikan menunjukkan bahwa sektor publik bukan pengecualian, melainkan salah satu titik yang perlu perhatian serius. Hingga pertengahan 2025, puluhan dugaan kasus pelanggaran tercatat, namun penanganannya belum sepenuhnya berujung pada akuntabilitas yang jelas.

Di sinilah konsep Big Data Maturity menjadi relevan. Kematangan tata kelola data tidak semata diukur dari ada atau tidaknya undang-undang, melainkan dari kelembagaan, kapasitas, dan budaya yang menopangnya. Indonesia masih berada pada tahap awal. Dari sekitar 350 platform yang ditinjau Komdigi, ditemukan potensi pelanggaran pada 41 persen situs web dan 34 persen aplikasi. Penegakan yang bersifat sementara, tanpa otoritas tetap, belum mencerminkan kematangan yang diharapkan. Bahkan ancaman sanksi yang dijanjikan undang-undang, berupa denda hingga dua persen dari pendapatan tahunan perusahaan, sulit berjalan efektif bila belum ada lembaga independen yang berwenang menjatuhkannya secara konsisten.

Pengalaman tata kelola data di kota-kota cerdas memberi pelajaran berharga, yaitu bahwa kapasitas analitik dan pengawasan data sebaiknya dibangun untuk jangka panjang, bukan sebagai proyek sesaat yang berhenti ketika anggaran habis. Lembaga pengawas yang independen bukanlah sekadar formalitas administratif, melainkan infrastruktur permanen yang menjaga agar perlindungan tidak bergantung semata pada kebijakan pejabat yang sedang menjabat.

Urgensi ini bertambah karena data warga kini kerap melintasi batas negara. Tata kelola data global menuntut pendekatan antisipatif, yakni menyiapkan aturan sebelum risikonya muncul, bukan setelahnya. Integrasi layanan lintas yurisdiksi, seperti sistem pembayaran QRIS antarnegara, memindahkan data warga ke wilayah hukum lain. Tanpa otoritas yang siap dan kredibel, kerja sama digital semacam itu dapat menempatkan warga pada posisi yang lebih rentan. Pengalaman sektor asuransi memperjelas taruhannya: ketika Big Data dan kecerdasan buatan dipakai untuk memetakan profil dan menilai risiko individu, data pribadi dapat berubah menjadi komoditas ekonomi. Tanpa pengawasan yang memadai, profil semacam itu berpotensi memengaruhi akses seseorang terhadap layanan, harga, atau bahkan peluang kerja, sering kali tanpa ia sadari.

Tentu, sebagian pihak berpendapat bahwa pembentukan lembaga membutuhkan waktu dan kehati-hatian, dan pandangan itu tidak keliru. Namun empat tahun merupakan rentang yang cukup panjang. UU PDP juga tidak menetapkan tenggat kapan lembaga ini harus berdiri, sehingga kewajiban tersebut menjadi norma yang terbuka tanpa batas waktu. Akibatnya, warga belum memiliki kepastian ke mana harus mengadu ketika datanya bocor.

Karena itu, langkah para pemohon ke Mahkamah Konstitusi sebaiknya dibaca bukan sebagai bentuk perlawanan, melainkan sebagai pengingat. Yang dibutuhkan ke depan adalah keputusan yang konkret: menerbitkan peraturan pelaksana, membentuk Lembaga Pelindungan Data Pribadi yang independen dan kredibel, serta memberinya kewenangan yang memadai untuk menegakkan aturan secara setara, baik bagi sektor swasta maupun publik.

Pada akhirnya, nilai sejati dari Big Data, yaitu manfaatnya bagi pembangunan dan pelayanan publik, hanya dapat dipanen jika ada kepercayaan. Dan kepercayaan hanya akan tumbuh ketika warga merasa datanya benar-benar dijaga. Masyarakat telah menyerahkan datanya untuk kepentingan bersama. Melengkapi perlindungan melalui lembaga yang kredibel adalah langkah yang kini layak dinantikan.