Lembaga Studi dan Advokasi Masyarakat (ELSAM) menilai Undang-Undang Satu Data Indonesia (UU SDI) berpotensi tumpang tindih dengan Undang-Undang Pelindungan Data Pribadi (UU PDP). Tumpang tindih regulasi ini dikhawatirkan memicu ketidakpastian hukum dalam pemrosesan data pribadi masyarakat.
ELSAM menjelaskan bahwa ekosistem UU SDI tidak hanya mengelola data nasional berbentuk statistik atau data agregat. Regulasi tersebut juga mengelola data kependudukan, sosial, serta berbagai kategori data lain yang dapat mengidentifikasi individu secara langsung maupun tidak langsung, sehingga sebagian besar operasinya bersinggungan dengan data pribadi.
Beda Klasifikasi dan Perjanjian Kerja Sama
Salah satu poin yang disorot ELSAM adalah Pasal 18 UU SDI yang menyatakan bahwa penyebarluasan, penggunaan, dan pemanfaatan data tidak memerlukan nota kesepahaman, perjanjian kerja sama, atau dokumen pernyataan selama memenuhi standar keamanan data. Hal ini dinilai bertolak belakang dengan Pasal 18 UU PDP yang mewajibkan adanya perjanjian untuk mengatur peran dan tanggung jawab antar-Pengendali Data Pribadi jika pemrosesan melibatkan dua pihak atau lebih.
Selain itu, kedua aturan memiliki skema pengklasifikasian data yang berbeda. UU PDP membagi data menjadi kategori data umum dan data spesifik, sedangkan UU SDI mengelompokkan data ke dalam kategori data terbuka, data terbatas, dan data tertutup.
Tumpang tindih juga terlihat pada Pasal 85 UU SDI yang mengatur bahwa akses dan transfer data tertutup ke luar yurisdiksi Indonesia harus mendapatkan persetujuan DPR. Regulasi tersebut menghadirkan ketentuan pidana bagi pihak yang melakukan akses dan transfer data ke luar negeri, ketimbang menyesuaikannya dengan skema yang ada pada UU PDP.
Ketidaksinkronan Penanganan Insiden Keamanan
Perbedaan signifikan lain terjadi pada mekanisme penanganan insiden keamanan data. Pasal 93 ayat (3) UU SDI mewajibkan pelaporan insiden kepada instansi berwenang paling lambat 1 x 24 jam serta berkoordinasi dengan Badan Siber dan Sandi Negara (BSSN). Sementara itu, Pasal 46 UU PDP mewajibkan penyampaian informasi kepada subjek data pribadi atau lembaga pelindung data dalam batas waktu 3 x 24 jam.
ELSAM menilai perbedaan tenggat waktu tersebut dapat menciptakan ketidaksinkronan dalam upaya penanganan insiden, termasuk kejelasan peran antara BSSN dan lembaga PDP saat berkoordinasi.
Hingga pertengahan 2026, pemerintah dicatat belum membentuk Otoritas Pelindungan Data Pribadi yang diamanatkan oleh UU PDP. Di sisi lain, ELSAM juga menyoroti absennya kerangka hukum terkait penggunaan kecerdasan artifisial (AI) dan blockchain, padahal kedua teknologi tersebut sudah mulai diterapkan dalam kerangka UU SDI, seperti dilaporkan CNBC Indonesia.
