Gelombang baru aktivitas kepatuhan sedang terbangun seputar Undang-Undang Perlindungan Data Pribadi Digital India, 2023 (UU DPDP), seiring firma hukum dan konsultan berlomba membantu bisnis bersiap. Menurut sebuah laporan dari ETLegalWorld, Foresight Law Offices baru-baru ini meluncurkan "Meja DPDP" khusus di samping Alat Penilaian Kesiapan interaktif yang dirancang untuk membantu organisasi mengidentifikasi celah kepatuhan sebelum aturan undang-undang tersebut berlaku penuh. Meskipun pengumuman itu ditujukan langsung kepada tim hukum korporat, ini juga merupakan sinyal yang berguna bagi pengguna internet sehari-hari: UU DPDP sedang bergerak dari sekadar dokumen ke praktik nyata, dan cara perusahaan India mengumpulkan, menyimpan, dan berbagi data pribadi akan berubah dengan cara yang secara langsung memengaruhi konsumen.
Jika Anda belum pernah membaca UU DPDP itu sendiri, Anda tidak sendirian. Kebanyakan orang hanya menemui hukum perlindungan data secara tidak langsung, melalui pop-up persetujuan, kebijakan privasi, atau email pemberitahuan pelanggaran data. Tetapi UU DPDP adalah salah satu undang-undang privasi paling signifikan yang muncul dari India dalam beberapa dekade terakhir, dan memahami dasar-dasarnya dapat membantu Anda mengetahui apa yang harus diharapkan dari aplikasi dan layanan yang Anda gunakan setiap hari.
Apa yang Sebenarnya Diwajibkan oleh UU DPDP
Pada intinya, UU DPDP menetapkan aturan tentang bagaimana "fidusia data" (pada dasarnya organisasi mana pun yang mengumpulkan atau memproses data pribadi) harus menangani informasi tersebut. Bisnis akan memerlukan persetujuan yang jelas dan spesifik sebelum mengumpulkan data pribadi, harus menyatakan mengapa mereka mengumpulkannya, dan diwajibkan menghapus data setelah tidak lagi diperlukan untuk tujuan yang dinyatakan tersebut. Undang-undang ini juga menciptakan jalur bagi individu untuk mengakses, mengoreksi, atau menarik persetujuan atas data mereka sendiri, dan memperkenalkan badan regulasi, yaitu Dewan Perlindungan Data, untuk menangani pengaduan dan penegakan hukum.
Ini adalah pergeseran yang signifikan untuk sebuah negara di mana praktik pengumpulan data secara historis diatur secara longgar. Sebagaimana pemberitaan tentang UU DPDP India mendorong privasi data ke ruang rapat direksi menunjukkan, kepatuhan bukan lagi sesuatu yang bisa dengan tenang didelegasikan perusahaan ke departemen TI. Ini menjadi masalah tata kelola yang diharapkan dimiliki langsung oleh dewan direksi dan eksekutif, dengan akuntabilitas nyata jika terjadi kesalahan.
Bagaimana Perbandingannya dengan GDPR
Para pengamat privasi sering membandingkan UU DPDP dengan Peraturan Perlindungan Data Umum (GDPR) Uni Eropa, dan ada kesamaan yang bermakna: kedua kerangka kerja mengharuskan persetujuan untuk pengumpulan data, keduanya memberikan hak kepada individu atas informasi mereka sendiri, dan keduanya menciptakan penalti untuk ketidakpatuhan. Tetapi UU DPDP secara umum dianggap lebih sempit cakupannya. UU ini secara khusus berfokus pada data pribadi digital, sementara GDPR mencakup rentang informasi pribadi yang lebih luas tanpa memandang formatnya. UU DPDP juga memberikan pemerintah India lebih banyak keleluasaan di area tertentu, seperti pengecualian untuk lembaga pemerintah dan aturan seputar transfer data lintas batas, daripada yang biasanya diizinkan GDPR.
Bagi konsumen, kesimpulan praktisnya adalah bahwa UU DPDP adalah langkah nyata menuju perlindungan privasi yang lebih kuat, tetapi mungkin tidak memberikan keluasan hak yang sama seperti yang diberikan GDPR kepada pengguna di Eropa. Ini adalah lantai, bukan langit-langit.
Mengapa Garis Waktu Penting
Satu detail yang sering hilang dari liputan yang berfokus pada kepatuhan adalah betapa sempitnya waktu yang tersedia bagi bisnis untuk bersiap. Misalnya, perusahaan rintisan (startup) menghadapi tenggat waktu yang ketat, dengan UU DPDP India menandai tenggat waktu Mei 2027 bagi startup untuk merombak praktik penanganan data mereka. Secara lebih luas, Aturan DPDP ditetapkan untuk berlaku penuh pada 2027, yang berarti alur persetujuan, kebijakan penghapusan data, dan proses pemberitahuan pelanggaran data yang sedang dibangun banyak perusahaan saat ini dimaksudkan untuk beroperasi penuh pada saat itu. Analis hukum juga telah menunjukkan garis waktu kepatuhan dan akuntabilitas tingkat direktur sebagai titik tekanan yang semakin besar, sebagaimana dirinci dalam liputan tentang garis waktu kepatuhan DPDPA India dan risiko direktur. Dengan kata lain, alat dan meja yang diluncurkan firma seperti Foresight sekarang ada karena jam sudah berjalan.
Apa Artinya Ini bagi Anda
Jika Anda menggunakan aplikasi, situs web, atau layanan yang berbasis di India, atau berinteraksi dengan perusahaan India sebagai pelanggan, Anda harus mulai melihat perubahan selama beberapa tahun ke depan. Harapkan permintaan persetujuan yang lebih eksplisit, penjelasan yang lebih jelas tentang mengapa data Anda dikumpulkan, dan (akhirnya) cara yang lebih mudah untuk meminta penghapusan data Anda. Perusahaan yang menangani data sensitif, dari aplikasi keuangan hingga platform pesan, berada di bawah tekanan yang semakin besar untuk memperketat praktik mereka jauh sebelum tenggat waktu 2027. Perlu diingat bahwa platform dengan basis pengguna India yang sangat besar sudah menyesuaikan praktik data mereka untuk mengantisipasi pengawasan yang lebih ketat, mirip dengan bagaimana WhatsApp telah menguji fitur verifikasi usia untuk sekitar 600 juta pengguna India-nya.
Meski demikian, penegakan hukum masih mengejar ketertinggalan dari teks undang-undang, dan aturan lengkap belum berlaku di semua tempat. Jangan harapkan transformasi dalam semalam. Sebaliknya, perhatikan perubahan bertahap dalam kebijakan privasi, layar persetujuan, dan bagaimana perusahaan merespons ketika Anda bertanya tentang data apa yang mereka simpan tentang Anda.
Hal-Hal yang Dapat Dilakukan
Mulailah memperhatikan lebih dekat permintaan persetujuan dan pemberitahuan privasi dari aplikasi dan layanan India, karena ini kemungkinan akan menjadi lebih terperinci seiring aturan UU DPDP diberlakukan secara bertahap. Jika Anda berinteraksi dengan perusahaan yang menangani data pribadi sensitif, seperti informasi keuangan atau kesehatan, tanyakan langsung seperti apa kebijakan retensi dan penghapusan data mereka. Dan jika Anda menjalankan atau memberi saran kepada bisnis yang beroperasi di India, perlakukan tenggat waktu 2027 UU DPDP sebagai sesuatu yang pasti, bukan sesuatu yang jauh, karena fondasi kepatuhan, mulai dari manajemen persetujuan hingga struktur akuntabilitas internal, membutuhkan waktu nyata untuk dibangun. Baik Anda konsumen atau pemilik bisnis, UU DPDP adalah pengingat bahwa privasi data di India sedang bergeser dari sekadar pemikiran hukum di belakang menjadi persyaratan operasional, dan tetap terinformasi sekarang akan membuat transisi tersebut jauh tidak terlalu mengganggu di kemudian hari.
