Apa yang diatur UU 27/2022 (PDP) tentang transfer data pribadi?

UU 27/2022 mengatur transfer data pribadi dalam Bab VII (Pasal 55 dan Pasal 56). Di dalam wilayah hukum Indonesia, pengendali data dapat mentransfer data pribadi kepada pengendali lain, dan kedua pihak sama-sama wajib melindungi data tersebut. Untuk transfer ke luar wilayah hukum Indonesia, UU PDP menetapkan tiga syarat berjenjang. Memastikan kesetaraan standar pelindungan negara penerima, memastikan adanya pelindungan memadai yang mengikat, atau memperoleh persetujuan subjek data.

Transfer data pribadi di dalam negeri (Pasal 55)

Pasal 55 ayat (1) mengizinkan pengendali data pribadi mentransfer data pribadi kepada pengendali lain di wilayah hukum Indonesia. Pengendali yang mentransfer dan pengendali yang menerima sama-sama wajib melakukan pelindungan data pribadi sesuai ketentuan UU PDP (Pasal 55 ayat (2)).

Karena transfer merupakan salah satu bentuk pemrosesan data pribadi (Pasal 16 ayat (1) huruf e), pengendali wajib memiliki dasar pemrosesan yang sah. Seperti persetujuan eksplisit, pemenuhan kewajiban hukum, atau pelaksanaan perjanjian (Pasal 20 ayat (1) dan (2)).

Tiga syarat berjenjang transfer ke luar negeri (Pasal 56)

Pasal 56 ayat (1) mengizinkan transfer data pribadi ke luar wilayah hukum Indonesia dengan mengikuti tata urutan berjenjang berikut:

1. **Memastikan kesetaraan standar negara penerima (ayat (2)). Pengendali wajib memastikan negara tempat kedudukan pengendali atau prosesor penerima memiliki tingkat pelindungan data yang setara atau lebih tinggi dari UU PDP.

2. Pelindungan yang memadai dan mengikat (ayat (3)): Bila syarat pertama tidak terpenuhi, pengendali wajib memastikan tersedianya pelindungan data pribadi yang memadai. Selain itu, Bersifat mengikat, seperti klausul kontrak standar (Standard Contractual Clauses).

3. Persetujuan subjek data (ayat (4)): Bila kedua syarat di atas tidak terpenuhi, pengendali wajib mendapatkan persetujuan eksplisit dari subjek data pribadi untuk transfer tersebut.

Lembaga PDP berwenang menilai pemenuhan persyaratan transfer data pribadi ke luar wilayah hukum Indonesia (Pasal 60 huruf f). Ketentuan lebih lanjut diatur dalam Peraturan Pemerintah (Pasal 56 ayat (5)).

Syarat tambahan untuk data kesehatan dan sanksi

Data kesehatan tergolong data pribadi spesifik yang mewajibkan penilaian dampak DPIA (Pasal 4 ayat (2) huruf a. Pasal 34). Selain itu, aturan sektoral kesehatan menetapkan pembatasan ketat: UU 17/2023 Pasal 349 ayat (7) dan PP 28/2024 Pasal 972 ayat (2). Selain itu, (3) mewajibkan transfer data kesehatan ke luar negeri hanya untuk tujuan spesifik dan terbatas serta wajib mendapat izin Menteri Kesehatan.

Pelanggaran kewajiban transfer data pribadi dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara. Penghapusan data, dan/atau denda maksimal 2 persen pendapatan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (1)–(3)). Masa penyesuaian dua tahun (Pasal 74) telah berakhir pada Oktober 2024.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 4 ayat (2) huruf a. Pasal 16 ayat (1) huruf e. Pasal 20. Pasal 22. Pasal 24. Pasal 34. Pasal 55 sampai 57. Pasal 60 huruf f. dan Pasal 74.
• Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 349 ayat (7).
• Peraturan Pemerintah Nomor 28 Tahun 2024 tentang Peraturan Pelaksanaan Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 972 ayat (2) dan (3).