Undang-Undang Perlindungan Data Pribadi Digital (DPDP) India telah melampaui tahap teoretis. Dengan sebagian besar ketentuannya diperkirakan akan berlaku efektif pada Mei 2027, setiap perusahaan yang mengumpulkan atau memproses data pribadi, termasuk startup, harus mematuhi serangkaian kewajiban hukum yang baru. Namun pertanyaan yang lebih mendesak bagi pengguna biasa bukanlah apakah startup sudah siap. Melainkan apa arti hak konsumen atas data berdasarkan UU DPDP bagi orang yang nomor telepon, riwayat lokasi, dan rincian keuangannya kini tersimpan di puluhan basis data aplikasi.
Apa yang Berubah dari UU DPDP bagi Pengguna India Sehari-hari
Hingga saat ini, sebagian besar warga India hanya memiliki sedikit kewenangan formal atas cara perusahaan menggunakan informasi pribadi mereka setelah diserahkan saat pendaftaran. UU DPDP mengubah kerangka hubungan tersebut. Undang-undang ini menetapkan individu sebagai "Prinsipal Data" dan perusahaan yang mengumpulkan data mereka sebagai "Fidusia Data", suatu pembedaan yang terdengar birokratis namun memiliki bobot nyata. Fidusia berkewajiban bertindak demi kepentingan orang yang datanya mereka pegang, bukan sekadar kepentingan komersial mereka sendiri.
Bagi startup yang menjalankan aplikasi pesan-antar makanan, platform pinjaman, atau pelacak kebugaran, ini berarti persetujuan tidak lagi bisa berupa kotak centang yang tersembunyi. Perusahaan harus menyatakan dengan jelas mengapa mereka mengumpulkan data, mendapatkan persetujuan spesifik untuk tujuan tersebut, dan berhenti menggunakan data setelah tujuan itu terpenuhi. Ini adalah pergeseran dari "kumpulkan semuanya, minta maaf belakangan" ke sistem di mana beban pembenaran ada di pihak perusahaan.
Hak Data Baru Anda: Akses, Koreksi, dan Penghapusan
Nilai praktis UU DPDP bagi konsumen terletak pada sejumlah hak yang dapat ditegakkan. Begitu ketentuan terkait berlaku, individu akan dapat menanyakan kepada perusahaan data pribadi apa yang mereka miliki tentangnya, meminta koreksi jika data tersebut tidak akurat atau kedaluwarsa, serta menuntut penghapusan setelah tujuan pengumpulan data tersebut tidak lagi berlaku.
Hak-hak ini tidak eksklusif bagi India, namun merupakan perubahan signifikan dari cara operasi sebagian besar aplikasi dan platform India saat ini. Saat ini, menghapus akun jarang berarti data Anda lenyap dari server perusahaan. Berdasarkan UU DPDP, perusahaan akan diwajibkan untuk membangun mekanisme nyata, bukan sekadar bahasa kebijakan, bagi masyarakat untuk menggunakan hak-hak ini. Hal ini membawa konsekuensi nyata bagi cara startup merancang produk mereka dari awal, sebuah pergeseran yang dieksplorasi lebih rinci dalam liputan tentang bagaimana UU DPDP mendorong privasi data India ke ruang dewan, di mana kepatuhan menjadi perhatian tingkat pimpinan, bukan sesuatu yang ditangani secara diam-diam oleh tim hukum.
Pemberitahuan Pelanggaran dan Apa yang Terjadi Jika Startup Gagal Mematuhi
Hak di atas kertas hanya berarti jika ada konsekuensi saat diabaikan. UU DPDP memperkenalkan kewajiban pemberitahuan pelanggaran, artinya perusahaan harus memberi tahu regulator dan individu yang terdampak saat data pribadi dikompromikan. Bagi negara di mana pelanggaran data sering tidak diakui atau hanya ditemukan melalui peneliti keamanan atau laporan media, ini adalah perubahan berarti dalam akuntabilitas.
Undang-undang ini juga memberi regulator kewenangan untuk mengenakan sanksi finansial kepada perusahaan yang gagal memenuhi kewajibannya, baik itu pengamanan keamanan yang tidak memadai, mengabaikan persyaratan persetujuan, atau gagal memberi tahu pengguna yang terdampak setelah pelanggaran. Bagi startup yang beroperasi dengan margin ketat, masa transisi kepatuhan dari sekarang hingga Mei 2027 dimaksudkan untuk memberi mereka waktu membangun sistem ini dengan benar, bukan terburu-buru setelah kejadian.
Apa Artinya Bagi Anda: Tuntutan yang Harus Diajukan Sebelum 2027
Batas waktu kepatuhan masih di depan, yang berarti kesenjangan antara apa yang dijanjikan undang-undang dan apa yang benar-benar dilakukan aplikasi masih lebar. Pengguna tidak perlu menunggu pasif hingga 2027 untuk mulai bertanya. Sebelum memercayakan data sensitif ke aplikasi, wajar untuk bertanya berapa lama data tersebut disimpan, apakah data dibagikan kepada pihak ketiga, dan apakah perusahaan sudah memiliki proses yang jelas untuk permintaan penghapusan saat ini, bukan sekadar janji di masa depan.
Penting juga untuk tetap skeptis tentang sejauh mana perlindungan yang akan diberikan oleh regulasi saja. Efektivitas UU DPDP sangat bergantung pada penegakan, dan pertanyaan sudah muncul tentang seberapa independen sebenarnya Badan Perlindungan Data India dalam praktiknya. Itu detail yang krusial, karena undang-undang dengan hak kuat di atas kertas tidak berarti banyak jika lembaga yang bertanggung jawab menegakkannya kurang memiliki independensi untuk meminta pertanggungjawaban perusahaan-perusahaan besar. Pembaca yang prihatin dengan kesenjangan ini harus mencermati laporan tentang Independensi Badan Perlindungan Data India yang Dipertanyakan, yang menguraikan mengapa perlindungan regulasi mungkin bukan jaring pengaman yang diharapkan konsumen.
Intinya
UU DPDP menetapkan batas minimum baru yang berarti bagi hak konsumen atas data dalam UU DPDP di India, memberi individu dasar hukum untuk mengakses, mengoreksi, dan menghapus data pribadi mereka, serta mewajibkan perusahaan mengungkapkan pelanggaran, bukan menyembunyikannya. Namun periode antara sekarang dan pemberlakuan penuh pada tahun 2027 justru merupakan saat di mana kewaspadaan paling penting. Ajukan pertanyaan langsung ke aplikasi dan layanan tentang penyimpanan dan penghapusan data sekarang, jangan berasumsi bahwa diam berarti patuh, dan pantau seberapa independen Badan Perlindungan Data sebenarnya berfungsi begitu penegakan nyata dimulai. Hak yang ada di atas kertas hanya menjadi nyata ketika seseorang bersedia menggunakannya, dan ketika mekanisme penegakan di belakangnya memiliki kekuatan yang memadai.
