Dalam era ekonomi digital, pertukaran data pribadi antarnegara sudah menjadi hal biasa. Banyak layanan internet populer seperti mesin pencari, media sosial, penyimpanan awan, dan e-commerce dikembangkan oleh perusahaan Amerika Serikat (AS). Akibatnya, data warga Indonesia yang menggunakan layanan ini sering disimpan atau diproses di server di luar negeri. Misalnya, Kementerian Kominfo mencatat sekitar 221 juta pengguna internet Indonesia (APJII 2025) telah memberikan data pribadi mereka ke berbagai platform global seperti Gmail, WhatsApp, YouTube, ChatGPT, dan Google Maps. Selain itu, kerangka perjanjian dagang AS-Indonesia yang sedang dinegosiasikan mencakup ketentuan transfer data lintas batas: Indonesia sepakat memberikan kepastian hukum mengenai pemindahan data pribadi ke AS dan mengakui AS memiliki “perlindungan data yang memadai”.
Namun, kebijakan baru ini memicu pertanyaan penting tentang privasi dan kedaulatan data Indonesia. Dokumen resmi White House menyebut fokus pada menghapus hambatan perdagangan digital, termasuk “mengakui AS sebagai negara yang memiliki perlindungan data memadai” dalam Undang-Undang Indonesia. Di satu sisi, Kominfo menegaskan pemerintah memastikan transfer data ke AS “tidak dilakukan sembarangan” dan diawasi penuh. Di sisi lain, para pengamat dan pakar keamanan mengingatkan bahaya nyata jika data pribadi dibuka lebar ke luar negeri tanpa perlindungan kuat.
Ancaman terhadap Privasi Individu
Transfer data lintas negara dapat mengancam privasi individu WNI dalam berbagai cara:
Pengawasan oleh lembaga asing: Pemerintah AS memiliki program intelijen yang luas. Ahli hukum Dr. Eko Wahyuanto mengutip kasus PRISM oleh NSA yang pernah mengakses data digital warga asing tanpa batas hukum, menjadikan warga “objek” bukan “subjek” hukum. Data WNI yang tersimpan di AS bisa saja diakses oleh lembaga seperti NSA/FBI melalui undang-undang AS (misalnya FISA atau CLOUD Act) tanpa sepengetahuan subjek data.
Penggunaan oleh perusahaan teknologi: Data pribadi juga diolah untuk kepentingan bisnis. Perusahaan media sosial dan periklanan digital dapat memprofil pengguna berdasarkan perilaku online. Sebagai contoh, skandal Cambridge Analytica (2018) menunjukkan betapa rentannya data Facebook (sekitar 87 juta akun global) dipanen untuk kampanye politik. Jika data WNI diproses oleh perusahaan AS, data tersebut dapat digunakan untuk menargetkan iklan, menilai karakter, atau kepentingan politik individu tanpa kontrol warga.
Potensi kebocoran dan penyalahgunaan: Setiap aliran data berarti risiko bocor atau disalahgunakan. Tanpa pengawasan ketat, data pribadi bisa “menjadi alat manipulasi sosial, eksploitasi ekonomi, hingga objek intelijen asing”. Misalnya data medis, keuangan, atau orientasi seksual yang seharusnya rahasia bisa terungkap jika sistem keamanan lemah. Pakar keamanan Ardi Sutedja (ICSF) bahkan khawatir perjanjian transfer data tanpa batas akan “membuka keran obral” data WNI ke AS, melemahkan perlindungan yang diatur UU PDP.
Secara ringkas, paparan bebas data pribadi dapat mengungkap informasi sensitif (seperti riwayat kesehatan, lokasi, preferensi pribadi) dan membuka celah manipulasi politik atau ekonomi. Hal ini menjadi lebih berbahaya karena AS belum memiliki undang-undang perlindungan data pribadi federal yang setara dengan GDPR Eropa. Kebijakan dan penegakan perlindungan data di AS lebih bersifat sektoral (misalnya HIPAA di kesehatan, atau UU California Consumer Privacy Act) dan beragam antar negara bagian.
Perbedaan Regulasi Indonesia dan AS
Secara hukum, Indonesia dan AS memiliki pendekatan berbeda dalam melindungi data pribadi. Indonesia baru memberlakukan UU No. 27/2022 tentang Perlindungan Data Pribadi (UU PDP) pada Oktober 2022, yang mengadopsi prinsip-prinsip mirip GDPR. Pasal 56 UU PDP misalnya mensyaratkan bahwa transfer data ke luar negeri hanya boleh ke negara yang tingkat perlindungannya setara atau lebih tinggi dari Indonesia. Jika standar itu tidak terpenuhi, pengendali data harus menjamin perlindungan data yang mengikat (misal melalui kontrak), atau paling tidak mendapatkan persetujuan eksplisit dari pemilik data. Ketua DPR Bambang Soesatyo menjelaskan ketentuan tersebut: pertama, negara tujuan harus punya perlindungan setara/lebih baik; kedua, ada perjanjian internasional resmi; ketiga, subjek data memberi izin setelah mendapat informasi lengkap mengenai risiko.
Di AS, tidak ada undang-undang perlindungan data federal yang menyeluruh. Alih-alih satu aturan utama, AS menerapkan UU spesifik sektor (perbankan, kesehatan, anak-anak, dsb.) dan berbagai peraturan negara bagian. Misalnya, California memiliki California Consumer Privacy Act (CCPA) sejak 2018 dan mengatur pengumpulan serta penggunaan data warganya. Namun, Indonesia tidak boleh menjadikan peraturan negara bagian AS ini sebagai standar perlindungan nasional. Anggota DPR Sukamta menegaskan bahwa AS belum memiliki undang-undang federal sekuat GDPR, hanya beberapa negara bagian yang punya UU PDP sendiri. Artinya, secara hukum, AS belum tentu dianggap “setara” untuk menerima data WNI.
Perbedaan regulasi ini menimbulkan ketidakseimbangan: Indonesia mewajibkan pengawasan ketat (misal audit, persetujuan eksplisit) atas data yang diekspor, sementara AS menggunakan pendekatan terfragmentasi dan perintah sepihak (seperti CLOUD Act) untuk akses data global. Kekhawatiran sempat muncul bahwa apabila Indonesia menyetujui pengakuan “perlindungan memadai” AS, maka dukungan DPPR dan prinsip kedaulatan bisa terkikis.
