Rancangan Undang-Undang Republik Indonesia tentang Pelindungan Data Pribadi

RANCANGAN
UNDANG-UNDANG REPUBLIK INDONESIA
NOMOR ... TAHUN ...
TENTANG
PELINDUNGAN DATA PRIBADI

DENGAN RAHMAT TUHAN YANG MAHA ESA
PRESIDEN REPUBLIK INDONESIA,

Menimbang:

bahwa pelindungan data pribadi merupakan salah satu hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi, perlu diberikan landasan hukum yang kuat untuk memberikan keamanan atas data pribadi, berdasarkan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945; bahwa pelindungan data pribadi ditujukan untuk menjamin hak warga negara atas pelindungan diri pribadi dan menumbuhkan kesadaran masyarakat serta menjamin pengakuan dan penghormatan atas pentingnya pelindungan data pribadi; bahwa pengaturan data pribadi saat ini terdapat di dalam beberapa peraturan perundang-undangan maka untuk meningkatkan efektivitas dalam pelaksanaan pelindungan data pribadi diperlukan pengaturan mengenai pelindungan data pribadi dalam suatu undang-undang; bahwa berdasarkan pertimbangan sebagaimana dimaksud dalam huruf a, huruf b, dan huruf c, perlu membentuk Undang-Undang tentang Pelindungan Data Pribadi;

Mengingat:

Pasal 5 ayat (1), Pasal 20, Pasal 28G ayat (1), Pasal 28H ayat (4), dan Pasal 28J Undang-Undang Dasar Negara Republik Indonesia Tahun 1945;

Dengan Persetujuan Bersama
DEWAN PERWAKILAN RAKYAT REPUBLIK INDONESIA
dan
PRESIDEN REPUBLIK INDONESIA

MEMUTUSKAN:

Menetapkan:

UNDANG-UNDANG TENTANG PELINDUNGAN DATA PRIBADI.

BAB I
KETENTUAN UMUM

Pasal 1

Dalam Undang-Undang ini yang dimaksud dengan: Data Pribadi adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik dan/atau nonelektronik. Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta, maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik. Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Prosesor Data Pribadi adalah pihak yang melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi. Pemilik Data Pribadi adalah orang perseorangan selaku subyek data yang memiliki Data Pribadi yang melekat pada dirinya. Setiap Orang adalah orang perseorangan atau Korporasi. Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik merupakan badan hukum maupun bukan badan hukum sesuai peraturan perundang-undangan. Badan Publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan

negara, yang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, sumbangan masyarakat dan/atau luar negeri.

9. Menteri adalah menteri yang menyelenggarakan urusan pemerintahan di bidang komunikasi dan informatika.

Pasal 2

Undang-Undang ini berlaku untuk Setiap Orang, Badan Publik, dan organisasi/institusi yang melakukan perbuatan hukum sebagaimana diatur dalam Undang-Undang ini, baik yang berada di wilayah hukum Negara Kesatuan Republik Indonesia maupun di luar wilayah hukum Negara Kesatuan Republik Indonesia, yang memiliki akibat hukum di wilayah hukum Negara Kesatuan Republik Indonesia dan/atau bagi Pemilik Data Pribadi Warga Negara Indonesia di luar wilayah hukum Negara Kesatuan Republik Indonesia.

BAB III
JENIS DATA PRIBADI

Pasal 3

Data Pribadi terdiri atas: Data Pribadi yang bersifat umum; dan Data Pribadi yang bersifat spesifik. Data Pribadi yang bersifat umum sebagaimana dimaksud pada ayat (1) huruf a meliputi: nama lengkap; jenis kelamin; kewarganegaraan; agama; dan/atau Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang. Data Pribadi yang bersifat spesifik sebagaimana dimaksud pada ayat (1) huruf b meliputi: data dan informasi kesehatan;

data biometrik; data genetika; kehidupan/orientasi seksual; pandangan politik; catatan kejahatan; data anak; data keuangan pribadi; dan/atau data lainnya sesuai dengan ketentuan peraturan perundang-undangan.

BAB III
HAK PEMILIK DATA PRIBADI

Pasal 4

Pemilik Data Pribadi berhak meminta Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi.

Pasal 5

Pemilik Data Pribadi berhak melengkapi Data Pribadi miliknya sebelum diproses oleh Pengendali Data Pribadi.

Pasal 6

Pemilik Data Pribadi berhak mengakses Data Pribadi miliknya sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 7

Pemilik Data Pribadi berhak memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi miliknya sesuai dengan ketentuan perundang-undangan.

Pasal 8

Pemilik Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi miliknya.

Pasal 9

Pemilik Data Pribadi berhak menarik kembali persetujuan pemrosesan Data Pribadi miliknya yang telah diberikan kepada Pengendali Data Pribadi.

4

Pasal 10

Pemilik Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis terkait profil seseorang (profiling).

Pasal 11

Pemilik Data Pribadi berhak untuk memilih atau tidak memilih pemrosesan Data Pribadi melalui mekanisme pseudonim untuk tujuan tertentu.

Pasal 12

Pemilik Data Pribadi berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi.

Pasal 13

Pemilik Data Pribadi berhak menuntut dan menerima ganti rugi atas pelanggaran Data Pribadi miliknya sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 14

Pemilik Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi miliknya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik atau perangkat keras yang digunakan dalam interoperabilitas antar sistem elektronik. Pemilik Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi miliknya ke Pengendali Data Pribadi lainnya, sepanjang sistem tersebut dapat saling berkomunikasi secara aman sesuai dengan prinsip pelindungan Data Pribadi berdasarkan Undang-Undang ini.

Pasal 15

Pelaksanaan hak Pemilik Data Pribadi sebagaimana dimaksud dalam Pasal 6 sampai dengan Pasal 10 dan Pasal 12 diajukan melalui permintaan tertulis kepada Pengendali Data Pribadi.

Pasal 16

Hak-hak Pemilik Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10, Pasal 11, Pasal 12, dan Pasal 14 tidak berlaku untuk:

kepentingan pertahanan dan keamanan nasional; kepentingan proses penegakan hukum; kepentingan umum dalam rangka penyelenggaraan negara; kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan; atau agregat data yang pemrosesannya ditujukan guna kepentingan statistik dan penelitian ilmiah dalam rangka penyelenggaraan negara.

1. Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.

BAB IV
PEMROSESAN DATA PRIBADI

Pasal 17

Pemrosesan Data Pribadi meliputi: perolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan. Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan prinsip pelindungan Data Pribadi meliputi: pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, patut, dan transparan. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya; pemrosesan Data Pribadi dilakukan dengan menjamin hak Pemilik Data Pribadi; pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau kehilangan Data Pribadi;

6

pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan Data Pribadi; Data Pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan Pemilik Data Pribadi kecuali ditentukan lain oleh peraturan perundang-undangan; dan pemrosesan Data Pribadi dilakukan secara bertanggung jawab dengan memenuhi pelaksanaan prinsip pelindungan Data Pribadi dan dapat dibuktikan secara jelas.

1. Ketentuan teknis pelaksanaan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) diatur oleh Menteri.

Pasal 18

Pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 17 harus memenuhi ketentuan adanya persetujuan yang sah dari Pemilik Data Pribadi untuk satu atau beberapa tujuan tertentu yang telah disampaikan kepada Pemilik Data Pribadi. Persetujuan sebagaimana dimaksud pada ayat (1) tidak diperlukan dalam hal pemrosesan Data Pribadi untuk: pemenuhan kewajiban perjanjian dalam hal Pemilik Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Pemilik Data Pribadi pada saat akan melakukan perjanjian; pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; pemenuhan pelindungan kepentingan yang sah (vital interest) Pemilik Data Pribadi; pelaksanaan kewenangan Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; pemenuhan kewajiban Pengendali Data Pribadi dalam pelayanan publik untuk kepentingan umum; dan/atau pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Pemilik Data Pribadi.

Pasal 18

Persetujuan pemrosesan Data Pribadi dilakukan melalui persetujuan tertulis atau lisan terekam.

7

Persetujuan tertulis sebagaimana dimaksud pada ayat (1) dapat disampaikan secara elektronik atau nonelektronik. Persetujuan tertulis dan lisan terekam sebagaimana dimaksud pada ayat (1) mempunyai kekuatan hukum yang sama. Dalam hal persetujuan tertulis sebagaimana dimaksud pada ayat (1) di dalamnya memuat tujuan lain, permintaan persetujuan harus memenuhi ketentuan: dapat dibedakan secara jelas dengan hal lainnya; dibuat dengan format yang dapat dipahami dan mudah diakses; dan menggunakan bahasa yang sederhana dan jelas. Persetujuan yang tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (4) dinyatakan batal demi hukum.

Pasal 20

Klausul perjanjian yang di dalamnya terdapat permintaan Data Pribadi yang tidak memuat persetujuan secara tegas (explicit consent) dari Pemilik Data Pribadi dinyatakan batal demi hukum.

Pasal 21

Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menjaga kerahasiaan Data Pribadi. Ketentuan mengenai kewajiban menjaga kerahasiaan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: Pemilik Data Pribadi telah memberikan persetujuan sebagaimana dimaksud dalam Pasal 19; diperlukan untuk tujuan melaksanakan kewajiban dan/atau hak tertentu dari Pengendali Data Pribadi atau dari Pemilik Data Pribadi di bidang ketenagakerjaan, jaminan sosial, perpajakan, pengawasan sektor termasuk sektor keuangan, penyelenggaraan administrasi kependudukan, dan/atau kesejahteraan sosial yang memberikan pelindungan terhadap hak dasar dan kepentingan Pemilik Data Pribadi; diperlukan untuk melindungi kepentingan Pemilik Data Pribadi yang tidak cakap baik secara fisik maupun hukum; dan/atau diperlukan untuk kepentingan proses penegakan hukum. Pengecualian sebagaimana dimaksud pada ayat (2) dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan.

8

Pasal 22

Pemasangan alat pemroses atau pengolah data visual di tempat umum dan/atau pada fasilitas pelayanan publik dilakukan dengan ketentuan: untuk tujuan keamanan, pencegahan bencana, dan/atau penyelenggaraan lalu lintas atau pengumpulan, analisis dan pengaturan Informasi lalu lintas; harus menampilkan Informasi bahwa pada area tersebut telah dipasang alat pemroses atau pengolah data visual; dan tidak digunakan untuk mengidentifikasi seseorang. Ketentuan sebagaimana dimaksud pada ayat (1) huruf b dan huruf c dikecualikan untuk pencegahan tindak pidana dan proses penegakan hukum sesuai dengan ketentuan peraturan perundang-undangan.

BAB V
KEWAJIBAN PENGENDALI DATA PRIBADI DAN PROSESOR DATA PRIBADI DALAM PEMROSESAN DATA PRIBADI

Bagian Kesatu
Umum

Pasal 23

Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: Setiap Orang; Badan Publik; dan organisasi/institusi.

Bagian Kedua
Kewajiban Pengendali Data Pribadi

Pasal 22

Dalam rangka mendapatkan persetujuan sebagaimana dimaksud dalam Pasal 18 ayat (1), Pengendali Data Pribadi wajib menyampaikan Informasi mengenai: legalitas dari pemrosesan Data Pribadi; tujuan pemrosesan Data Pribadi; jenis dan relevansi Data Pribadi yang akan diproses; periode retensi dokumen yang memuat Data Pribadi;

9

rincian mengenai Informasi yang dikumpulkan; jangka waktu pemrosesan Data Pribadi; dan hak Pemilik Data Pribadi.

1. Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh Pemilik Data Pribadi.
2. Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Pemilik Data Pribadi paling lambat 7 x 24 (tujuh kali dua puluh empat) jam setelah terjadi perubahan Informasi.

Pasal 25

Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Pemilik Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi. Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi.

Pasal 26

Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian atau seluruhnya paling lambat 2 x 24 (dua kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi. Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi; dapat membahayakan keselamatan pihak lain; dan/atau Pemilik Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi.

Pasal 27

Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan: penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi.

Pasal 28

Pengendali Data Pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan Data Pribadi di bawah kendali Pengendali Data Pribadi.

Pasal 29

Pengendali Data Pribadi wajib memastikan pelindungan Data Pribadi dari pemrosesan Data Pribadi yang tidak sah.

Pasal 30

Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah. Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan menggunakan sistem keamanan terhadap Data Pribadi yang diprosesnya dan/atau memproses Data Pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab. Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 31

Pengendali Data Pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi.

Pasal 32

Pengendali Data Pribadi wajib memberikan akses kepada Pemilik Data Pribadi terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi. Akses sebagaimana dimaksud pada ayat (1) diberikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses.

Pasal 33

Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Pemilik Data Pribadi dalam hal diketahui atau sepatutnya diduga: membahayakan keamanan atau kesehatan fisik atau kesehatan mental Pemilik Data Pribadi dan/atau orang lain; berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau bertentangan dengan kepentingan pertahanan dan keamanan nasional.

}}

Pasal 34

Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 1 x 24 (satu kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi. Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Pemilik Data Pribadi.

Pasal 35

Pengendali Data Pribadi wajib menjamin akurasi, kelengkapan, dan konsistensi Data Pribadi sesuai dengan ketentuan peraturan perundangundangan. Dalam menjamin akurasi, kelengkapan, dan konsistensi Data Pribadi sebagaimana dimaksud pada ayat (1) Pengendali Data Pribadi wajib melakukan verifikasi.

Pasal 36

Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi yang disetujui oleh Pemilik Data Pribadi.

Pasal 37

Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi jika: telah mencapai masa retensi; tujuan pemrosesan Data Pribadi telah tercapai; atau terdapat permintaan dari Pemilik Data Pribadi. Pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 38

Pengendali Data Pribadi wajib menghapus Data Pribadi jika: Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi; Pemilik Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi; terdapat permintaan dari Pemilik Data Pribadi; atau Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Data Pribadi yang telah dihapus sebagaimana dimaksud pada ayat (1) dapat dipulihkan atau ditampilkan kembali secara utuh dalam hal terdapat permintaan tertulis dari Pemilik Data Pribadi. Permintaan sebagaimana dimaksud pada ayat (3) dapat diajukan dalam hal belum melewati masa retensi sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 39

Pengendali Data Pribadi wajib memusnahkan Data Pribadi jika: tidak memiliki nilai guna lagi; telah habis masa retensinya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip; terdapat permintaan dari Pemilik Data Pribadi; atau tidak berkaitan dengan penyelesaian proses hukum suatu perkara. Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 40

Dalam hal terjadi kegagalan pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis dalam waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada: Pemilik Data Pribadi; dan Menteri. Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) mengenai:

Data Pribadi yang terungkap; kapan dan bagaimana Data Pribadi terungkap; dan upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi.

1. Dalam hal tertentu Pengendali Data Pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan Data Pribadi.

Pasal 41

Pengendali Data Pribadi wajib bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawabannya dalam pemenuhan kewajiban pelaksanaan prinsip pelindungan Data Pribadi.

Pasal 42

Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 32, Pasal 34, Pasal 37, Pasal 38 ayat (1) huruf a, huruf b, dan huruf c, Pasal 39 ayat (1) huruf c, dan Pasal 40 ayat (1) huruf a, tidak berlaku untuk: kepentingan pertahanan dan keamanan nasional; kepentingan proses penegakan hukum; kepentingan umum dalam rangka penyelenggaraan negara; kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan; atau agregat data yang pemrosesannya ditujukan guna kepentingan statistik dan penelitian ilmiah dalam rangka penyelenggaraan negara. Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.

Bagian Ketiga
Kewajiban Prosesor Data Pribadi

Pasal 43

Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan instruksi atau perintah Pengendali Data Pribadi kecuali ditentukan lain berdasarkan ketentuan peraturan perundang-undangan. Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1), dilaksanakan dengan memperhatikan ketentuan pemrosesan Data Pribadi berdasarkan Undang-Undang ini.

Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam tanggung jawab Pengendali Data Pribadi. Dalam hal Prosesor Data Pribadi melakukan pemrosesan Data Pribadi diluar instruksi atau perintah dan tujuan yang ditetapkan Pengendali Data Pribadi, pemrosesan Data Pribadi menjadi tanggung jawab Prosesor Data Pribadi.

Pasal 44

Kewajiban sebagaimana dimaksud dalam Pasal 21 ayat (1), Pasal 27, Pasal 28, Pasal 29, Pasal 30, Pasal 31, dan Pasal 35 berlaku juga terhadap Prosesor Data Pribadi.

Bagian Keempat
Pejabat atau Petugas Yang Melaksanakan Fungsi Pelindungan Data Pribadi

Pasal 45

Dalam hal tertentu Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk seorang pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi. Dalam hal tertentu sebagaimana dimaksud pada ayat (1) meliputi: pemrosesan Data Pribadi untuk kepentingan pelayanan publik; kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. Pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) harus ditunjuk berdasarkan kualitas profesional, pengetahuan mengenai hukum dan praktik pelindungan Data Pribadi, dan kemampuan untuk memenuhi tugas-tugasnya. Pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi sebagaimana dimaksud pada ayat (3) dapat berasal dari dalam dan/atau luar Pengendali Data Pribadi atau Prosesor Data Pribadi.

Pasal 46

Pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi memiliki tugas paling sedikit:

menginformasikan dan memberikan saran untuk Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang ini; memantau dan memastikan kepatuhan terhadap Undang Undang ini dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi, termasuk penugasan, tanggung jawab, peningkatan kesadaran dan pelatihan pihak yang terlibat dalam pemrosesan Data Pribadi, dan audit terkait; memberikan saran mengenai penilaian dampak pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi dan Prosesor Data Pribadi; dan berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi, termasuk melakukan konsultasi mengenai mitigasi risiko dan/atau hal lainnya.

1. Dalam melaksanakan tugas sebagaimana dimaksud pada ayat (1), pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi memperhatikan risiko terkait pemrosesan Data Pribadi, dengan mempertimbangkan sifat, ruang lingkup, konteks, dan atau petugas tujuan pemrosesan.
2. Ketentuan lebih lanjut mengenai pejabat yang melaksanakan fungsi pelindungan Data Pribadi diatur dalam Peraturan Pemerintah

BAB VI
TRANSFER DATA PRIBADI

Bagian Kesatu
Transfer Data Pribadi Dalam Wilayah Hukum Negara Kesatuan Republik Indonesia

Pasal 47

Pengendali Data Pribadi dapat mentransfer Data Pribadi kepada Pengendali Data Pribadi lainnya dalam wilayah hukum Negara Kesatuan Republik Indonesia. Pengendali Data Pribadi yang mentransfer Data Pribadi dan yang menerima transfer Data Pribadi wajib melakukan pelindungan Data Pribadi sebagaimana dimaksud dalam Undang-Undang ini.

Pasal 48

Pengendali Data Pribadi berbentuk badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum wajib menyampaikan pemberitahuan pengalihan Data Pribadi kepada Pemilik Data Pribadi. Pemberitahuan pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum. Dalam hal Pengendali Data Pribadi berbentuk badan hukum melakukan pembubaran atau dibubarkan, penyimpanan, transfer, penghapusan, atau pemusnahan Data Pribadi dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. Penyimpanan, transfer, penghapusan, atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (3) diberitahukan kepada Pemilik Data Pribadi.

Bagian Kedua
Transfer Data Pribadi Ke Luar Wilayah Hukum Negara Kesatuan Republik Indonesia

Pasal 49

Pengendali Data Pribadi dapat mentransfer Data Pribadi kepada Pengendali Data Pribadi di luar wilayah hukum Negara Kesatuan Republik Indonesia dalam hal: negara tempat kedudukan Pengendali Data Pribadi atau organisasi internasional yang menerima transfer Data Pribadi memiliki tingkat pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini; terdapat perjanjian internasional antarnegara; terdapat kontrak antar Pengendali Data Pribadi yang memiliki standar dan/atau jaminan pelindungan data pribadi sesuai dengan yang diatur dalam Undang-Undang ini; dan/atau mendapat persetujuan Pemilik Data Pribadi. Ketentuan lebih lanjut mengenai transfer Data Pribadi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah.

BAB VII

17

BAB VII
SANKSI ADMINISTRATIF

Pasal 50

Pelanggaran terhadap ketentuan Pasal 21 ayat (1), Pasal 24, Pasal 25 ayat (1), Pasal 26 ayat (1), Pasal 27, Pasal 28, Pasal 29, Pasal 30 ayat (1), Pasal 31, Pasal 32 ayat (1), Pasal 33, Pasal 34, Pasal 35, Pasal 36, Pasal 37 ayat (1), Pasal 38 ayat (1), Pasal 39 ayat (1), Pasal 40 ayat (1) dan ayat (3), Pasal 41, Pasal 42 ayat (1), Pasal 43, Pasal 45 ayat (1), Pasal 47 ayat (2), Pasal 48 ayat (1), dan Pasal 49 ayat (1) dikenai sanksi administratif. Sanksi administratif sebagaimana dimaksud pada ayat (1) berupa: peringatan tertulis; penghentian sementara kegiatan pemrosesan Data Pribadi; penghapusan atau pemusnahan Data Pribadi; ganti kerugian; dan/atau denda administratif. Penjatuhan sanksi administratif sebagaimana dimaksud pada ayat (2) diberikan oleh Menteri. Ketentuan mengenai tata cara pengenaan sanksi administratif sebagaimana dimaksud pada ayat (3) diatur dalam Peraturan Pemerintah.

BAB VIII
LARANGAN DALAM PENGGUNAAN DATA PRIBADI

Pasal 51

Setiap Orang dilarang memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain secara melawan hukum atau dapat mengakibatkan kerugian Pemilik Data Pribadi. Setiap Orang dilarang secara melawan hukum mengungkapkan Data Pribadi yang bukan miliknya. Setiap Orang dilarang secara melawan hukum menggunakan Data Pribadi yang bukan miliknya.

Pasal 53

Setiap Orang dilarang secara melawan hukum memasang dan/atau mengoperasikan alat pemroses atau pengolah data visual di tempat umum atau fasilitas pelayanan publik yang dapat mengancam dan/atau melanggar pelindungan Data Pribadi.

Pasal 53

18

Setiap Orang dilarang secara melawan hukum menggunakan alat pemroses atau pengolah data visual yang dipasang di tempat umum dan/atau fasilitas pelayanan publik yang digunakan untuk mengidentifikasi seseorang.

Pasal 54

Setiap Orang dilarang memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain atau yang dapat mengakibatkan kerugian bagi orang lain. Setiap Orang dilarang menjual atau membeli Data Pribadi.

BAB IX
PEMBENTUKAN PEDOMAN PERILAKU PENGENDALI DATA PRIBADI

Pasal 55

Asosiasi pelaku usaha dapat membentuk pedoman perilaku Pengendali Data Pribadi. Asosiasi pelaku usaha dalam membentuk pedoman perilaku Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1), harus mempertimbangkan: tujuan pemrosesan Data Pribadi; prinsip pelindungan Data Pribadi; dan kepentingan Pemilik Data Pribadi atau asosiasi perwakilannya. Pedoman perilaku Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) harus memiliki tingkat pelindungan yang setara atau lebih tinggi dari Undang-Undang ini. Pedoman perilaku Pengendali Data Pribadi sebagaimana dimaksud pada ayat (3) tidak boleh bertentangan dengan Undang-Undang ini.

BAB X
PENYELESAIAN SENGKETA DAN HUKUM ACARA

Pasal 56

Penyelesaian sengketa pelindungan Data Pribadi dilakukan melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan. Hukum acara yang berlaku dalam penyelesaian sengketa dan/atau

19

proses pengadilan pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan berdasarkan hukum acara yang berlaku sesuai dengan ketentuan perundang-undangan.

1. Alat bukti yang sah dalam Undang-Undang ini adalah:
   1. alat bukti sebagaimana dimaksud dalam hukum acara; dan
   2. alat bukti lain berupa informasi elektronik dan/atau dokumen elektronik sesuai dengan peraturan perundang-undangan.
2. Dalam hal diperlukan untuk melindungi Data Pribadi, proses persidangan dilakukan secara tertutup.

BAB XI
KERJA SAMA INTERNASIONAL

Pasal 57

Kerja sama internasional dilakukan oleh Pemerintah dengan pemerintah negara lain atau organisasi internasional terkait dengan pelindungan Data Pribadi. Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional.

BAB XII
PERAN PEMERINTAH DAN MASYARAKAT

Pasal 58

Pemerintah berperan dalam mewujudkan penyelenggaraan pelindungan Data Pribadi sesuai dengan ketentuan Undang-Undang ini. Penyelenggaraan pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan oleh Menteri. Ketentuan mengenai penyelenggaraan pelindungan Data Pribadi sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Pemerintah.

Pasal 59

Demi kepentingan umum dan/atau kepentingan nasional, kejaksaan selaku pengacara negara berwenang bertindak untuk dan atas nama negara atau pemerintah atas pelanggaran terhadap pelindungan Data Pribadi baik yang dilakukan di dalam negeri maupun di luar negeri. Pelaksanaan kewenangan sebagaimana dimaksud pada ayat (1)

20

dilakukan baik di dalam maupun di luar pengadilan.

Pasal 60

Masyarakat dapat berperan baik secara langsung maupun tidak langsung dalam mendukung terselenggaranya pelindungan Data pribadi. Pelaksanaan peran sebagaimana dimaksud pada ayat (1) dapat dilakukan melalui pendidikan, pelatihan, advokasi, dan/atau sosialisasi.

BAB XIII
KETENTUAN PIDANA

Pasal 61

Setiap Orang yang dengan sengaja memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain secara melawan hukum atau dapat mengakibatkan kerugian Pemilik Data Pribadi sebagaimana dimaksud dalam Pasal 51 ayat (1) dipidana dengan pidana penjara paling lama 5 (lima) tahun atau pidana denda paling banyak Rp50.000.000.000,00 (lima puluh miliar rupiah). Setiap Orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 51 ayat (2) dipidana dengan pidana penjara paling lama 2 (dua) tahun atau pidana denda paling banyak Rp20.000.000.000,00 (dua puluh miliar rupiah). Setiap Orang yang dengan sengaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 51 ayat (3) dipidana dengan pidana penjara paling lama 7 (tujuh) tahun atau pidana denda paling banyak Rp70.000.000.000,00 (tujuh puluh miliar rupiah).

Pasal 62

Setiap Orang yang dengan sengaja dan melawan hukum memasang dan/atau mengoperasikan alat pemroses atau pengolah data visual di tempat umum atau fasilitas pelayanan publik yang dapat mengancam atau melanggar pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 52, dipidana dengan pidana penjara paling lama 1 (satu) tahun atau pidana denda paling banyak Rp10.000.000.000,00 (sepuluh miliar rupiah).

21

Pasal 63

Setiap Orang yang dengan sengaja dan melawan hukum menggunakan alat pemroses atau pengolah data visual yang dipasang di tempat umum dan/atau fasilitas pelayanan publik yang digunakan untuk mengidentifikasi seseorang sebagaimana dimaksud dalam Pasal 53 dipidana dengan pidana penjara paling lama 1 (satu) tahun atau pidana denda paling banyak Rp10.000.000.000,00 (sepuluh miliar rupiah).

Pasal 64

Setiap Orang yang dengan sengaja memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain atau yang dapat mengakibatkan kerugian bagi orang lain sebagaimana dimaksud dalam Pasal 54 ayat (1) dipidana dengan pidana penjara paling lama 6 (enam) tahun atau pidana denda paling banyak Rp60.000.000.000,00 (enam puluh miliar rupiah). Setiap Orang yang dengan sengaja menjual atau membeli Data Pribadi sebagaimana dimaksud dalam Pasal 54 ayat (2) dipidana dengan pidana penjara paling lama 5 (lima) tahun atau pidana denda paling banyak Rp50.000.000.000,00 (lima puluh miliar rupiah).

Pasal 65

Selain dijatuhi pidana sebagaimana dimaksud dalam Pasal 61 sampai dengan Pasal 64 terhadap terdakwa juga dapat dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana dan pembayaran ganti kerugian.

Pasal 66

Dalam hal tindak pidana sebagaimana dimaksud dalam Pasal 61 sampai dengan Pasal 64 dilakukan oleh Korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau Korporasi. Pidana yang dapat dijatuhkan terhadap Korporasi hanya pidana denda. Pidana denda yang dijatuhkan kepada Korporasi paling banyak 3 (tiga) kali dari maksimal pidana denda yang diancamkan. Selain dijatuhi pidana denda sebagaimana dimaksud pada ayat (2), Korporasi dapat dijatuhi pidana tambahan berupa: perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana;

pembekuan seluruh atau sebagian usaha Korporasi; pelarangan permanen melakukan perbuatan tertentu; penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan Korporasi; melaksanakan kewajiban yang telah dilalaikan; dan pembayaran ganti kerugian.

Pasal 67

Jika pengadilan menjatuhkan putusan pidana denda, terpidana diberikan jangka waktu 1 (satu) bulan sejak putusan telah memperoleh kekuatan hukum tetap untuk membayar denda tersebut. Dalam hal terdapat alasan kuat, jangka waktu sebagaimana dimaksud pada ayat (1) dapat diperpanjang untuk waktu paling lama 1 (satu) bulan. Jika terpidana tidak membayar pidana denda dalam jangka waktu sebagaimana dimaksud pada ayat (1) atau ayat (2) maka harta kekayaan atau pendapatan terpidana dapat disita dan dilelang oleh Jaksa untuk melunasi pidana denda yang tidak dibayar. Jika penyitaan dan pelelangan harta kekayaan atau pendapatan sebagaimana dimaksud pada ayat (3) tidak cukup atau tidak memungkinkan untuk dilaksanakan, pidana denda yang tidak dibayar diganti dengan pidana penjara paling lama sebagaimana diancamkan untuk tindak pidana yang bersangkutan. Lamanya pidana penjara sebagaimana dimaksud pada ayat (4) yang ditentukan oleh hakim, dicantumkan dalam putusan pengadilan.

Pasal 68

Dalam hal penyitaan dan pelelangan harta kekayaan atau pendapatan sebagaimana dimaksud dalam Pasal 67 ayat (4) dilakukan terhadap terpidana Korporasi dan tidak cukup untuk melunasi pidana denda, Korporasi dikenakan pidana pengganti berupa pembekuan sebagian atau seluruh kegiatan usaha Korporasi untuk jangka waktu paling lama 5 (lima) tahun. Lamanya pembekuan sebagian atau seluruh kegiatan usaha Korporasi sebagaimana dimaksud pada ayat (1) yang ditentukan oleh hakim, dicantumkan dalam putusan pengadilan.

Pasal 69

Ketentuan sebagaimana dimaksud dalam Pasal 67 dan Pasal 68 juga berlaku dalam hal terdakwa dijatuhi pidana tambahan berupa pembayaran ganti kerugian.

BAB XIV
KETENTUAN PERALIHAN

Pasal 70

Pada saat Undang-Undang ini mulai berlaku, pihak yang telah melakukan pemrosesan Data Pribadi, wajib menyesuaikan dengan ketentuan pemrosesan Data Pribadi berdasarkan Undang-Undang ini paling lama 2 (dua) tahun sejak Undang-Undang ini diundangkan.

BAB XV
KETENTUAN PENUTUP

Pasal 71

Pada saat Undang-Undang ini mulai berlaku, semua ketentuan peraturan perundang-undangan yang mengatur mengenai pelindungan Data Pribadi dinyatakan masih tetap berlaku sepanjang tidak bertentangan dengan ketentuan dalam Undang-Undang ini.

Pasal 72

Undang-Undang ini mulai berlaku pada tanggal diundangkan.

Agar setiap orang mengetahuinya, memerintahkan pengundangan Undang-Undang ini dengan penempatannya dalam Lembaran Negara Republik Indonesia.

Disahkan di Jakarta pada tanggal … PRESIDEN REPUBLIK INDONESIA, JOKO WIDODO

Diundangkan di Jakarta pada tanggal … MENTERI HUKUM DAN HAK ASASI MANUSIA REPUBLIK INDONESIA, YASONNA H LAOLY

LEMBARAN NEGARA REPUBLIK INDONESIA TAHUN … NOMOR …