ELSAM Peringatkan UU Satu Data Bisa Bertabrakan dengan UU PDP, Otoritas Pelindungan Data Pribadi Belum Terbentuk

Jakarta — Lembaga Studi dan Advokasi Masyarakat (ELSAM) menilai Undang-Undang Satu Data Indonesia (UU SDI) berpotensi tumpang tindih dengan Undang-Undang Pelindungan Data Pribadi (UU PDP). Tumpang tindih itu, kata lembaga tersebut, pada akhirnya dapat menimbulkan ketidakpastian dalam pemrosesan data pribadi di Indonesia.

"UU SDI tidak hanya mengatur 'data nasional' dalam pengertian statistik atau data agregat. Ekosistemnya juga akan mengelola data kependudukan, sosial, dan berbagai kategori data lain yang dapat secara langsung maupun tidak langsung mengidentifikasi individu. Sebagian besar operasi SDI akan bersinggungan dengan data pribadi sebagaimana dimaksud dalam UU PDP," ungkap ELSAM, Kamis (29/10/2026).

Potensi tabrakan aturan

Menurut ELSAM, salah satu titik gesekan ada pada Pasal 18 UU SDI yang menyatakan bahwa penyebarluasan, penggunaan, dan pemanfaatan data dalam kerangka SDI tidak memerlukan nota kesepahaman, perjanjian kerja sama, maupun dokumen pernyataan, selama memenuhi standar keamanan data.

Hal ini bertolak belakang dengan Pasal 18 UU PDP yang mengatur adanya perjanjian untuk menata peran, tanggung jawab, dan hubungan antar-pengendali data pribadi ketika ada dua pengendali atau lebih dalam satu proses pemrosesan data pribadi.

Perbedaan juga terlihat pada cara pengklasifikasian data. UU PDP memakai istilah data umum dan data spesifik, sementara UU SDI membaginya menjadi data terbuka, data terbatas, dan data tertutup.

Tumpang tindih lanjutan muncul pada Pasal 85 UU SDI yang mengatur akses dan transfer data tertutup ke luar yurisdiksi Indonesia harus mendapat persetujuan dari DPR. "Sedangkan, dihadirkan aturan pidana terhadap orang yang melakukan akses dan transfer data ke luar yurisdiksi Indonesia alih-alih menyesuaikan UU PDP," jelas ELSAM.

Penanganan insiden tak sinkron

Ketidaksinkronan juga terlihat dalam penanganan insiden keamanan data. Pasal 93 ayat (3) UU SDI mengatur pelaporan insiden kepada instansi berwenang paling lama 1 x 24 jam serta berkoordinasi dengan BSSN, sementara UU PDP mewajibkan informasi kepada subjek data pribadi atau lembaga dalam 3 x 24 jam.

"ELSAM menilai aturan itu menciptakan ketidaksinkronan upaya penanganan insiden. Termasuk peranan lembaga PDP dan BSSN saat berkoordinasi soal insiden yang terjadi," ujarnya.

Yang menjadi perhatian besar, sampai pertengahan 2026 pemerintah belum membentuk Otoritas Pelindungan Data Pribadi yang justru diperintahkan oleh UU PDP. Di sisi lain, kerangka hukum kecerdasan artifisial (AI) dan blockchain pun masih absen, padahal penggunaannya sudah mulai diterapkan dalam UU SDI.

Bagi industri telekomunikasi dan layanan digital, tumpang tindih regulasi semacam ini dapat memperlambat kepastian hukum bagi pelaku usaha yang menanganikan jutaan data pelanggan, sekaligus membuka ruang sengketa di tengah ambisi pemerintah membangun ekosistem data nasional yang andal.