Persetujuan Subjek Data untuk Transfer ke Luar Negeri: Mengapa Syaratnya Ketat

Posisi persetujuan dalam tiga jenjang

Pasal 165 menurut KRES.ID menyusun tiga jenjang. Pertama negara setara, kedua safeguard yang mengikat, ketiga persetujuan subjek data. Urutan ini menunjukkan persetujuan adalah pilihan terakhir.

Artinya, organisasi diharapkan lebih dulu mempertimbangkan dua jenjang yang memberi pelindungan struktural. Gambaran sederhananya: dua jenjang pertama melindungi lewat sistem, sedangkan jenjang ketiga bergantung pada keputusan individu yang mungkin tidak punya cukup informasi.

Karena itu, bagi organisasi, persetujuan sebaiknya diperlakukan sebagai pelengkap, bukan fondasi utama transfer lintas negara.

Mengapa dianggap ketat

Persetujuan membebankan keputusan kepada individu, padahal individu sering tidak memahami risiko transfer ke luar negeri. Karena itu, aturan memberi syarat yang ketat.

Menurut ulasan, hanya itu yang dilaporkan. Rincian syaratnya tidak kami ketahui, jadi kami tidak menyebutkannya sebagai ketentuan resmi. Ketatnya syarat juga mencerminkan kenyataan bahwa banyak pengguna menyetujui tanpa membaca. Aturan yang ketat berusaha menutup celah itu.

Bagi organisasi, risiko terbesar bukan hanya sanksi, tetapi juga hilangnya kepercayaan bila pengguna merasa dijebak untuk menyetujui hal yang tidak mereka pahami.

Ciri persetujuan yang baik secara umum

UU PDP umumnya menuntut persetujuan yang sah, yaitu berdasarkan informasi yang jelas dan diberikan secara sukarela. Berikut ciri yang lazim dipertimbangkan.

Ciri-ciri ini berasal dari prinsip umum persetujuan dalam UU PDP dan praktik pelindungan data. Rumusan rincinya dalam PP 33/2026 belum kami temukan.

Setiap ciri ini perlu dibuktikan, bukan hanya diklaim. Bukti berupa tangkapan layar tampilan persetujuan dan catatan waktu sangat membantu.

• Dijelaskan dengan bahasa sederhana.
• Menyebut negara tujuan dan penerima data.
• Menjelaskan risiko dan tujuan transfer.
• Bisa ditolak tanpa kehilangan layanan inti.
• Bisa ditarik kembali dengan mudah.
• Penarikan persetujuan semudah pemberiannya.

Tombol setuju yang bermasalah

Tombol setuju yang digabung dengan seluruh syarat layanan, atau yang sudah tercentang, sulit dianggap persetujuan yang bermakna. Pengguna tidak benar-benar memilih. Pada transfer ke luar negeri, informasi spesifik tentang negara tujuan dan risikonya perlu ditampilkan terpisah dan jelas.

Praktik seperti ini sering ditemui dalam aplikasi. Pengelola yang ingin patuh sebaiknya meninjau kembali tampilan persetujuan, terutama bagi layanan yang mengirim data ke luar negeri.

Pengguna yang merasa dipaksa menyetujui kemungkinan besar merasa dirugikan, dan hal itu dapat berujung pada keluhan atau gugatan.

Penarikan persetujuan

Subjek data memiliki hak menarik persetujuan menurut UU PDP. Jika transfer bergantung pada persetujuan, penarikan dapat membuat transfer harus dihentikan atau dicari dasar lain.

Karena itu, organisasi yang sangat bergantung pada persetujuan menghadapi ketidakpastian jangka panjang. Dasar kontrak atau safeguard lebih stabil.

Selain itu, penarikan persetujuan tidak boleh dipersulit. Prosesnya harus semudah memberikan persetujuan. Bila persetujuan ditarik, organisasi perlu punya rencana, misalnya menghentikan fitur terkait atau menyimpan data di dalam negeri.

Kapan persetujuan masuk akal

Persetujuan masuk akal untuk transfer yang jarang terjadi dan bersifat pilihan pengguna, misalnya pengguna sendiri meminta layanan yang berpusat di luar negeri.

Untuk transfer rutin dan besar-besaran, mengandalkan persetujuan saja tidak praktis dan berisiko. Persetujuan juga lebih mudah dipakai ketika jumlah subjek data kecil dan hubungan dengan organisasi bersifat langsung.

Pada akhirnya, organisasi perlu menimbang apakah ada jalur yang lebih stabil sebelum mengandalkan persetujuan semata.

Dokumentasi bukti

Simpan bukti persetujuan: siapa, kapan, apa yang dijelaskan, dan versi teks yang ditampilkan. Bukti ini penting bila dipertanyakan. Perbarui teks dan minta persetujuan ulang bila tujuan, penerima, atau negara tujuan berubah.

Arsip persetujuan juga membantu bila ada sengketa, karena organisasi dapat menunjukkan apa yang dilihat pengguna saat memberikan persetujuan.

Pastikan pula sistem mampu mencabut akses penerima luar negeri ketika persetujuan ditarik, bukan hanya mencatat penarikan itu.

Contoh kasus

Contoh: Sebuah aplikasi belajar bahasa menyediakan fitur percakapan dengan tutor di luar negeri yang merekam suara pengguna. Karena fitur ini opsional, aplikasi menampilkan layar terpisah yang menjelaskan negara tujuan, penyedia layanan, dan risikonya. Pengguna boleh menolak dan tetap memakai fitur lain. Aplikasi menyimpan versi teks, waktu persetujuan, dan menyediakan tombol mudah untuk menarik persetujuan kapan saja. Aplikasi itu juga memeriksa secara berkala apakah teks persetujuan masih sesuai dengan penyedia layanan luar negeri yang dipakai. Tim juga menguji alur penarikan persetujuan secara berkala untuk memastikan data benar-benar berhenti dikirim ke luar negeri. Layar persetujuan itu juga dibuat dalam bahasa yang sederhana dan diuji pada beberapa pengguna untuk memastikan penjelasannya dapat dipahami orang awam. Aplikasi juga menyediakan halaman pengaturan privasi yang memperlihatkan status persetujuan dan riwayat perubahannya. Pengguna dapat membuka halaman itu kapan saja untuk melihat apa yang pernah mereka setujui, kemudian mengubahnya tanpa harus menghubungi layanan pelanggan. Tim produk memeriksa halaman tersebut setiap kali ada fitur baru yang melibatkan pengiriman data ke luar negeri.

Hal yang sering keliru

• Mengira tombol setuju pada syarat layanan otomatis memenuhi jenjang ketiga, padahal ulasan menyebut syaratnya ketat.
• Mengira persetujuan tidak dapat ditarik, padahal UU PDP umumnya memberi hak menarik persetujuan.
• Mengira persetujuan paling mudah sehingga dipakai untuk semua transfer, padahal jenjang pertama dan kedua lebih stabil.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 165 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, ketentuan tentang persetujuan

Dalam kategori yang sama

• Pertanyaan Umum tentang Sanksi UU Satu Data: Pidana, Denda, Pejabat, dan Korporasi
• Perusahaan Asuransi dan PP 33/2026: Data Nasabah, Data Kesehatan Klaim, dan Agen Pemasaran
• Perusahaan Rekrutmen dan Data Pelamar: Kepatuhan PP 33/2026 untuk CV, Wawancara, dan Basis Data Kandidat

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.