Catatan Kritis Undang-Undang Satu Data Indonesia: Kotak Pandora Pengelolaan Data Nasional
Siaran Pers ELSAM
Catatan Kritis Undang-Undang Satu Data Indonesia: Kotak Pandora Pengelolaan Data Nasional
Jakarta, 23 Oktober 2026
Pada 6 Oktober lalu, Badan Legislasi DPR RI telah mengesahkan Undang-Undang Satu Data Indonesia (UU SDI) dalam Rapat Paripurna. Terdiri atas 20 bab dan 141 pasal, UU ini akan menjadi landasan utama bagi integrasi, interoperabilitas, penggunaan, serta bagi pakai data dalam penyelenggaraan pemerintahan. Namun, semakin besar kemampuan negara untuk menghubungkan, menganalisis, dan menggunakan data warga, maka semakin kuat pula batas hukum, pelindungan hak, transparansi serta mekanisme pengawasan yang harus dibangun. Terdapat beberapa catatan kritis ELSAM yang perlu menjadi perhatian bersama:
Pertama, proses legislasi pembentukan UU SDI belum menunjukkan terpenuhinya partisipasi bermakna. UU No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan sebagaimana yang telah diubah dengan Undang-Undang No.13 Tahun 2022 (UU PPP) menempatkan keterbukaan sebagai salah satu asas pembentukan peraturan perundang-undangan. Pasal 96 juga memberikan hak kepada warga negara memberikan masukan terhadap tahapan pembentukan peraturan dan mengharuskan rancangan peraturan serta naskah akademik dapat mudah diakses.
Meski DPR telah menyelenggarakan sejumlah forum konsultasi dan RDPU selama pembentukan UU SDI, nyatanya masyarakat sipil kesulitan untuk mendapatkan naskahnya serta memberikan masukan terhadap substansi yang berkembang selama pembahasan, serta mengetahui bagaimana masukan tersebut dipertimbangkan atau ditolak. Ruang publik memeriksa perubahan terhadap naskah final menjadi sangat terbatas.
Kedua, adanya potensi tumpang tindih pengaturan substansi dengan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) yang akhirnya akan menimbulkan ketidakpastian dalam pemrosesan data pribadi. UU SDI tidak hanya mengatur “data nasional” dalam pengertian statistik atau data agregat. Ekosistemnya juga akan mengelola data kependudukan, sosial, dan berbagai kategori data lain yang dapat secara langsung maupun tidak langsung mengidentifikasi individu. Sebagian besar operasi SDI akan bersinggungan dengan data pribadi sebagaimana dimaksud dalam UU PDP.
UU SDI menyatakan bahwa pemrosesan data pribadi tunduk pada aturan PDP, tetapi sejumlah norma yang tertuang justru berpotensi bertentangan dengan rezim UU PDP. Contohnya pada Pasal 18 yang menyatakan: penyebarluasan, penggunaan, dan pemanfaatan data dalam kerangka SDI tidak memerlukan nota kesepahaman, perjanjian kerja sama, ataupun dokumen pernyataan, selama memenuhi standar keamanan data. Sedangkan Pasal 18 UU PDP eksplisit menentukan dua atau lebih Pengendali Data Pribadi melakukan pemrosesan Data Pribadi, harus terdapat perjanjian yang mengatur peran, tanggung jawab, dan hubungan antar-Pengendali Data Pribadi. UU PDP mensyaratkan dasar pemrosesan yang sah dan mewajibkan Data Protection Impact Assessment untuk pemrosesan berisiko tinggi.
Persoalan lain muncul dalam ketentuan yang memungkinkan penggunaan data untuk tujuan berbeda atas persetujuan Wali Data atau Produsen Data, termasuk untuk penegakan hukum. Dalam konteks data pribadi, persetujuan Wali Data atau Produsen Data tidak dengan sendirinya menggantikan kewajiban Pengendali Data untuk memiliki dasar pemrosesan sebagaimana Pasal 20 UU PDP. Hak atas data melekat pada Subjek Data Pribadi, bukan pada institusi Hal ini berimplikasi terhadap pengklasifikasian data yang berbeda antara UU PDP yang mengenal istilah data umum dan data spesifik dengan UU SDI dengan istilah data terbuka, data terbatas, dan data tertutup.
Implikasi lain dari tumpang tindih klasifikasi data tersebut tercermin dalam Pasal 85 ayat (2) UU SDI yang ikut mengatur akses dan transfer data ke luar yurisdiksi Indonesia yang wajib mendapat persetujuan DPR perihal data tertutup. Lalu, pada Pasal 85 ayat (3) UU SDI disebutkan bahwa transfer data dilakukan dengan ketentuan UU PDP. Sedangkan, dihadirkan aturan pidana terhadap orang yang melakukan akses dan transfer data ke luar yurisdiksi Indonesia alih-alih menyesuaikan UU PDP.
Dalam konteks penanganan insiden keamanan data, Pasal 93 ayat (3) UU SDI mengisyaratkan pelaporan insiden kepada instansi berwenang paling lama 1x24 jam dan dapat berkoordinasi dengan BSSN, sedangkan menurut Pasal 46 UU PDP, kewajiban pemberitahuan kepada subjek data pribadi atau lembaga adalah 3x24 jam. Ini mencerminkan tidak sinkronnya upaya penanganan insiden. Khususnya, sejauh apa peran Lembaga PDP dan BSSN dalam berkoordinasi terkait insiden yang terjadi. Terlebih, sampai pertengahan 2026, pemerintah belum membentuk Otoritas Pelindungan Data Pribadi yang diperintahkan oleh UU PDP. Ketiga, absennya kerangka hukum kecerdasan artifisial (AI) dan blockchain; penggunaannya sudah mulai diterapkan dalam UU SDI. Hal penting yang harus dijawab dahulu adalah apa AI yang akan digunakan, siapa pengembang dan penyedianya, data apa yang digunakan untuk melatih atau fine-tuning, apakah sistem tersebut mengambil keputusan atau hanya memberikan rekomendasi, dimana model dan data diproses, serta siapa yang bertanggung jawab.
Pasal 34 UU PDP eksplisit menyatakan penggunaan teknologi baru sebagai pemrosesan berisiko tinggi membutuhkan penilaian dampak PDP, dalam hal ini penggunaan AI untuk automated decision-making, systematic monitoring, data matching dalam skala besar sebagaimana yang diatur dalam UU SDI. Selain itu, hingga Oktober 2026, Indonesia belum memiliki kerangka hukum pengaturan tata kelola AI yang komprehensif. Situasi serupa berlaku untuk blockchain. Regulasi yang sudah tersedia masih tersebar dan terutama bersifat sektoral, misalnya untuk aset keuangan digital dan kripto di bawah OJK, serta standarisasi tertentu.
Keempat, konsepsi kedaulatan data yang masih menjadi perdebatan secara global. UU SDI mendefinisikan kedaulatan data nasional sebagai kewenangan tertinggi negara disertai kemampuan menguasai, mengatur, melindungi, dan mengendalikan seluruh aset Data digital yang dihasilkan, diproses, atau disimpan di dalam yurisdiksi hukum Negara Kesatuan Republik Indonesia atau yang berkaitan dengan warga negara Indonesia. Seharusnya, kedaulatan data diletakkan sebagai saranan melindungi hak warga dengan memfasilitasi mekanisme akuntabilitas yang jelas dan bukan sebagai justifikasi pemusatan kendali negara atas data.
Kelima, dalam draft RUU SDI disebutkan Pemerintah dapat memberikan insentif bagi pihak yang menyelenggarakan SDI dan menunjukkan kinerja baik dalam melaksanakan penyelenggaraan SDI. Insentif ini berupa insentif fiskal dan bentuk insentif lainnya. Masalahnya, dibagian penjelasan tidak memuat kriteria bagi pihak “berkinerja baik” sehingga memperoleh insentif. Selain itu, ketentuan “bentuk insentif lainnya” berisiko multitafsir. Yang dikhawatirkan, pemerintah tak memiliki parameter yang objektif.
Keenam, potensi kriminalisasi yang berlebihan (over-criminalisation). UU SDI mengatur sanksi pidana yang dikhawatirkan menjadi “pasal karet” dalam implementasinya. Sejumlah rumusan frasa bermasalah yang termuat dalam Pasal 130 dan 131, terkait “menyalahgunakan”, “tanpa hak”, dan “tanpa izin” yang tidak diberikan definisi secara rigid, membuat klasifikasi data terbatas dan tertutup dapat ditentukan oleh pemerintah sendiri, sehingga cakupan pidananya menjadi kabur. Ketiadaan pengecualian untuk kepentingan umum dan jurnalistik semakin mengkhawatirkan masyarakat sipil. Ketentuan ini juga tumpang tindih dengan sanksi pidana yang sejatinya sudah diatur dalam UU PDP.
Atas persoalan tersebut, ELSAM menilai bahwa:
- Menuntut DPR dan Pemerintah untuk membuka akses UU SDI, yang sampai hari ini belum bisa diakses oleh publik.
- Menuntut UU SDI untuk tunduk secara penuh pada prinsip UU PDP, termasuk kewajiban pengendali, dasar pemrosesan yang sah, DPIA, dan transfer data antar yurisdiksi.
- Menuntut Pemerintah untuk segera membentuk Otoritas Pelindungan Data Pribadi dan menyelaraskan mekanisme pelaporan insiden dengan UU PDP.
- Menuntut keterlibatan masyarakat sipil dalam penyusunan aturan turunan dari UU SDI.
Jakarta, 23 Oktober 2026
Lembaga Studi dan Advokasi Masyarakat (ELSAM)
Narahubung: office@elsam.or.id cc komunikasi@elsam.or.id
