Dasar UU PDP untuk pemakai AI

UU PDP, yaitu Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, mengatur bagaimana data pribadi dikumpulkan, diproses, disimpan, dan dipindahkan. Setiap kali kamu meminta AI membaca CV, meringkas keluhan yang menyebut nama, atau menganalisis data karyawan, kamu sedang memproses data pribadi, dan undang-undang ini ikut berlaku.

Undang-undang ini membagi data pribadi menjadi dua. Data pribadi yang bersifat umum (Pasal 4 ayat (3)) meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengenali seseorang. Data pribadi yang bersifat spesifik (Pasal 4 ayat (2)) meliputi data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai peraturan perundang-undangan. Data spesifik membawa risiko lebih besar bila bocor dan menuntut kehati-hatian lebih.

Orang yang datanya diproses disebut Subjek Data Pribadi. Mereka punya sejumlah hak. Salah satunya, menurut Pasal 5, hak mendapatkan informasi tentang kejelasan identitas pihak yang meminta datanya, dasar kepentingan hukumnya, tujuan permintaan dan penggunaan datanya, dan akuntabilitas pihak tersebut. Jadi pelamar yang CV-nya akan dibaca AI berhak tahu untuk apa datanya dipakai dan siapa yang bertanggung jawab. Hak lain yang khusus menyangkut keputusan otomatis dibahas di pelajaran keputusan otomatis dan hak orang.

Ada dua peran yang perlu kamu kenali. Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan; biasanya itu organisasimu, bukan kamu pribadi. Prosesor Data Pribadi adalah pihak yang memproses data atas nama Pengendali; penyedia layanan AI yang dikontrak organisasimu sering berada di posisi ini, tergantung isi kontraknya. Pembagian peran ini menjelaskan kenapa akun kerja yang dikontrak berbeda dari akun pribadimu: dengan akun pribadi, tidak ada kontrak antara organisasimu dan penyedia yang mengatur data itu.

Dua kewajiban berikut paling sering bersinggungan dengan pemakaian AI sehari-hari.

Transfer ke luar negeri (Pasal 56). Banyak layanan AI memproses data di server luar Indonesia. Mengirim data pribadi ke sana adalah transfer data pribadi ke luar wilayah hukum Indonesia. Undang-undang menyusun syaratnya berurutan: Pengendali harus memastikan negara penerima punya tingkat pelindungan yang setara atau lebih tinggi; bila tidak, harus ada pelindungan yang memadai dan bersifat mengikat; bila keduanya tidak ada, Pengendali wajib mendapat persetujuan Subjek Data Pribadi. Bagi kamu, artinya: sebelum mengirim data pribadi ke layanan AI, tanyakan di mana datanya diproses dan apakah organisasimu sudah menyiapkan dasarnya.

Pemberitahuan kegagalan pelindungan (Pasal 46). Bila terjadi kegagalan pelindungan data pribadi, misalnya data karyawan terunggah ke tempat yang salah, Pengendali wajib memberi tahu secara tertulis paling lambat 3 x 24 jam kepada Subjek Data Pribadi dan lembaga pelaksana pelindungan data. Pemberitahuan itu memuat data apa yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihannya. Tenggat ini dihitung oleh organisasi, tetapi jam pertamanya ada di tanganmu: kalau kamu yang tahu, laporkan ke dalam secepatnya.

Satu kewajiban lagi perlu kamu ketahui namanya: penilaian dampak (Pasal 34), yang wajib dilakukan Pengendali untuk pemrosesan berisiko tinggi, misalnya pemrosesan data spesifik, pemrosesan skala besar, atau keputusan otomatis yang berdampak signifikan. Kalau timmu berencana memakai AI untuk hal seperti itu, rencanakan penilaian dampak sejak awal bersama petugas pelindungan data.