“Bu Lita, kemarin saya baca di berita Indonesia akan mengalihkan data pribadi masyarakat ke AS sebagai bagian dari kesepakatan dagang. Memang boleh ya, Bu?”

Pertanyaan ini mencuat setelah publik membaca Joint Statement on Framework for United States–Indonesia Agreement on Reciprocal Trade yang dirilis pada 22 Juli 2025 (Joint Statement). Dalam dokumen tersebut, salah satu poin yang mendapat sorotan adalah komitmen Indonesia untuk memberikan kepastian mengenai kemampuan transfer data pribadi ke Amerika Serikat (AS).

Namun, sebelum kita panik atau mengambil kesimpulan terlalu jauh, ada sejumlah hal penting yang perlu diklarifikasi dan dipahami secara menyeluruh.

1. Transfer Data Lintas Negara: Praktik Global yang Butuh Tata Kelola Lokal

Transfer data lintas negara bukanlah hal yang luar biasa, dan justru merupakan praktik global yang jamak terjadi, terutama dalam kerja sama digital dan ekonomi.

Negara-negara anggota G7 seperti AS, Kanada, Jepang, Inggris, Jerman, Prancis, dan Italia telah lama menerapkan mekanisme pertukaran data yang aman dan berbasis standar internasional.

Namun di Indonesia, implementasi tata kelola data lintas negara masih menghadapi tantangan, karena utamanya belum rampungnya peraturan pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan pada akhirnya mengakibatkan belum terbangunnya lingkungan dan standar pemprosesan data yang aman secara menyeluruh.

2. Joint Statement Bukan Produk Hukum

Joint Statement bukanlah perjanjian internasional yang mengikat secara hukum, melainkan sebuah pernyataan politik mengenai arah kerja sama yang akan dijajaki lebih lanjut oleh para pihak.

Dokumen ini belum memuat norma atau kewajiban hukum yang bisa langsung dijalankan. Bahkan, di dalamnya secara eksplisit disebutkan bahwa Indonesia dan AS akan menyusun dan menandatangani Agreement on Reciprocal Trade di masa mendatang.

Dengan demikian, belum ada perjanjian dagang yang bersifat definitif dan mengikat, termasuk soal transfer data pribadi. Maka, anggapan bahwa Indonesia sudah menyetujui pengalihan data pribadi ke AS saat ini tidak berdasar secara hukum.

3. Kewajiban Memberikan “Kepastian Transfer Data” Harus Taat UU PDP

Dalam Joint Statement disebutkan:

“Indonesia will provide certainty regarding the ability to transfer personal data out of its territory to the United States.”

Kata “kepastian” dalam konteks hukum Indonesia tidak bisa dilepaskan dari kerangka pengaturan dalam Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
Sebelum pemerintah dapat memberikan “kepastian” sebagaimana diminta, ada syarat-syarat normatif yang wajib dipenuhi:

a. Kepastian Alasan Transfer

Berdasarkan Pasal 15 dan 20 UU PDP, serta khususnya Pasal 56, transfer data pribadi lintas negara hanya dapat dilakukan jika:

(i) Negara penerima memiliki sistem pelindungan data pribadi setara atau lebih tinggi daripada Indonesia; atau

(ii) Subjek data memberikan persetujuan eksplisit, apabila standar pelindungan di negara penerima lebih rendah.

Tanpa pemenuhan salah satu dari dua syarat di atas, transfer data tidak dapat dilakukan secara sah.

b. Kepastian Lembaga yang Berwenang Melakukan Penilaian Kesetaraan

UU PDP memberikan kewenangan kepada Lembaga Pelindungan Data Pribadi (Lembaga PDP) untuk melakukan penilaian kesetaraan perlindungan data antara Indonesia dan negara tujuan transfer.

Masalahnya, hingga saat ini Lembaga PDP belum terbentuk. Maka, timbul pertanyaan: siapa yang berwenang memberikan penilaian kesetaraan jika transfer data akan dilakukan dalam waktu dekat?

Jika tidak ada lembaga resmi yang berwenang, maka kepastian sebagaimana diminta dalam Joint Statement belum bisa secara hukum diberikan.

4. Apa Dampaknya Jika Transfer Data Diberikan Tanpa Kepastian Hukum?

Memberikan izin transfer data pribadi ke luar negeri tanpa kepastian hukum dan kelembagaan yang memadai bukan hanya berisiko secara administratif, tapi juga berdampak sistemik. Berikut beberapa dampak utamanya:

a. Risiko Terhadap Privasi Warga Negara

Data pribadi seperti identitas, riwayat transaksi, lokasi, hingga preferensi digital bisa diproses oleh entitas asing tanpa kendali atau pengawasan dari otoritas Indonesia. Ini berpotensi melanggar hak konstitusional atas privasi. Jika terjadi kebocoran atau penyalahgunaan data dan ternyata mekanisme transfernya tidak sah atau tidak melalui prosedur yang ditentukan UU PDP, pemerintah dapat digugat karena lalai menjamin pelindungan data warganya.

b. Hilangnya Kedaulatan Digital

Tanpa kendali atas bagaimana data dikumpulkan, diproses, dan disimpan di luar negeri, Indonesia kehilangan kedaulatan atas sumber daya strategis abad ini: data.

c. Ketimpangan Posisi Tawar dalam Perdagangan Digital

Jika Indonesia mengizinkan transfer data ke AS tanpa mekanisme timbal balik atau pengamanan yang kuat, pelaku usaha lokal bisa kalah bersaing karena data dikonsentrasikan di negara maju tanpa imbal hasil atau perlindungan setara.

Kesimpulan

• Belum ada persetujuan hukum yang memungkinkan transfer data pribadi rakyat Indonesia ke AS dalam konteks kesepakatan dagang;

• Kepastian transfer data pribadi hanya bisa diberikan jika sesuai dengan UU PDP, yang mewajibkan alasan yang sah, penilaian kesetaraan, dan perjanjian khusus;

• Tanpa pemenuhan ketentuan hukum tersebut, melakukan transfer data lintas negara justru dapat melanggar hukum Indonesia, meskipun diklaim sebagai bagian dari kerja sama bilateral yang menguntungkan.