Audit Kedaulatan Data dalam UU SDI: Arti, Ruang Lingkup, dan Yang Belum Jelas

Yang disebut pemberitaan

Pemberitaan tentang UU Satu Data Indonesia (SDI) menyebut dua jenis audit: audit keamanan dan audit kedaulatan data. Kata kedaulatan juga muncul pada syarat pemanfaatan teknologi, yaitu blockchain dan kecerdasan artifisial.

Menurut pemberitaan, teknologi tersebut boleh dimanfaatkan dengan syarat menjamin kedaulatan data, keterlacakan, dan pengawasan manusia. Tolok ukur kedaulatan data itu sendiri belum kami temukan penjabarannya.

Penting dicatat bahwa pernyataan Menteri Bappenas tentang pemanfaatan data dan AI yang tidak boleh menimbulkan bias atau diskriminasi baru adalah pernyataan menteri, bukan rumusan pasal. Pernyataan seperti itu menunjukkan semangat kebijakan, tetapi tidak otomatis menjadi kewajiban hukum.

Arti kedaulatan data

Kedaulatan data berarti negara dan pengelola data yang sah tetap berkuasa atas data yang menjadi tanggung jawabnya. Mereka menentukan siapa yang boleh mengakses, menyimpan, memindahkan, dan memakainya.

Dalam bahasa sederhana, data tidak boleh lepas kendali. Bila data disimpan atau diolah pihak lain, pemilik tanggung jawab tetap mampu mengaksesnya, mengambilnya kembali, dan mengetahui ke mana data mengalir.

Dalam perbincangan umum, kedaulatan data sering dikaitkan dengan lokasi server. Lokasi memang penting, tetapi bukan satu-satunya ukuran. Yurisdiksi hukum, kendali atas kunci, dan kewenangan administrator sama pentingnya untuk menilai apakah data benar-benar dikuasai.

Beda dengan keamanan data

Keamanan data menjawab pertanyaan apakah data terlindung dari peretasan, kebocoran, dan kerusakan. Kedaulatan data menjawab pertanyaan siapa yang berkuasa atas data itu dan di bawah hukum mana data berada.

Sebuah data bisa sangat aman tetapi tidak berdaulat. Misalnya, data tersimpan dengan enkripsi kuat di layanan pihak lain yang kuncinya tidak dipegang pemilik data. Karena itu dua audit disebut terpisah.

Komputasi awan menjadi isu utama. Menyimpan data di layanan awan bukan sesuatu yang otomatis terlarang menurut sumber kami. Yang perlu dijaga adalah kejelasan kontrol, lokasi, dan kemampuan memulihkan data. Hal ini dibahas lebih lanjut pada artikel lain.

Hal yang mungkin diperiksa

Sumber kami tidak merinci objek audit kedaulatan data. Berikut pertanyaan yang secara logika dekat dengan konsep tersebut, sebagai gambaran dan bukan isi pasal.

Audit kedaulatan data juga dapat menyentuh rantai pemasok. Penyedia utama mungkin memakai subpenyedia di negara lain untuk pemeliharaan. Tanpa daftar subpenyedia yang jelas, instansi sulit mengetahui siapa saja yang sebenarnya dapat menjangkau datanya.

• Di mana data disimpan dan dalam yurisdiksi mana.
• Siapa yang memegang kunci enkripsi dan hak administrasi.
• Apakah ada perjanjian yang menyerahkan kendali kepada pihak lain.
• Apakah aliran data ke luar negeri tercatat dan sah.
• Apakah ada rencana keluar bila hubungan dengan penyedia berakhir.

Kaitan dengan Data Tertutup

Menurut pemberitaan, akses atau transfer Data Tertutup ke luar yurisdiksi Indonesia wajib mendapat persetujuan DPR RI. Ketua Panja yang menyampaikan hal ini, tetapi kriteria dan mekanismenya belum dijelaskan.

Audit kedaulatan data kemungkinan berhubungan dengan pengawasan hal semacam ini. Namun hubungan tersebut adalah dugaan kami dan perlu dipastikan lewat naskah resmi.

Dari sisi pelaku usaha, kejelasan dokumen akan menjadi nilai jual. Penyedia yang dapat menunjukkan lokasi data, daftar subpenyedia, dan prosedur pengembalian data akan lebih mudah dipercaya oleh klien pemerintah.

Persiapan yang masuk akal

Instansi dapat memetakan lokasi data dan penyedia layanan yang dipakai. Catat siapa memegang kunci, siapa punya akun administrator, dan apakah kontrak memungkinkan data dipindahkan atau diambil kembali.

Pelaku usaha yang menjadi penyedia layanan bagi instansi sebaiknya siap menjelaskan lokasi penyimpanan, subpenyedia yang dipakai, dan alur data secara tertulis.

Dari sisi warga, kedaulatan data berkaitan dengan kepercayaan. Warga menyerahkan data kependudukan, kesehatan, dan bantuan kepada negara. Pengelolaan yang berdaulat dan dapat diperiksa memberi alasan bagi warga untuk percaya bahwa datanya tidak berpindah tangan tanpa alasan.

Mengawasi perkembangan aturan

Cakupan audit kedaulatan data kemungkinan baru jelas setelah peraturan pelaksana terbit. Pantau juga pembentukan lembaga penyelenggara SDI, karena menurut pemberitaan lembaga itu bertanggung jawab kepada Presiden dan harus dibentuk paling lama satu tahun.

Hasil pengawasan, menurut pemberitaan, dilaporkan kepada Presiden dan DPR. Bila mekanisme ini berjalan, laporan itu dapat menjadi sumber informasi publik penting. Namun bentuk dan keterbukaan laporan tersebut belum diketahui.

Sampai aturan itu tersedia, pembaca sebaiknya berhati-hati terhadap klaim yang menyebut isi audit kedaulatan secara pasti. Bila ada pihak yang menawarkan sertifikasi kedaulatan data, tanyakan dasar hukum dan lembaga yang berwenang menerbitkannya.

Kehati-hatian ini menjaga pembaca dari informasi yang menyesatkan.

Contoh kasus

Contoh: Sebuah pemerintah kota memakai layanan pihak ketiga untuk menyimpan arsip penduduk. Saat menyusun pemetaan, petugas baru menyadari bahwa kunci enkripsi dipegang penuh oleh penyedia dan kontrak tidak mengatur pengembalian data. Kota itu lalu menegosiasikan klausul pengembalian data dan pemegang kunci bersama.

Hal yang sering keliru

• Mengira kedaulatan data sama dengan keamanan data.
• Mengira semua data harus berada di dalam negeri; sumber kami hanya menyebut persetujuan DPR untuk Data Tertutup.
• Mengira cakupan audit kedaulatan data sudah dirinci; sumber kami belum menjelaskannya.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Perpres 39 Tahun 2019 tentang Satu Data Indonesia

Dalam kategori yang sama

• Bab Larangan Dipindah ke Bab Pidana: Apa Dampaknya pada UU Satu Data?
• Backup dan Pemulihan Data Setelah Serangan Ransomware: Panduan Praktis bagi Instansi
• Beda Lapor Insiden 1x24 Jam di UU SDI dan Notifikasi Kebocoran 3x24 Jam di PP 33/2026

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.