Perlindungan Data Pribadi pada IKD dan Masa Depan Identitas Digital Indonesia

Bagian 4 dari 4 (Penutup), Seri Artikel Identitas Kependudukan Digital

Sepanjang tiga bagian sebelumnya, satu isu muncul berulang kali sebagai sumber kekhawatiran terbesar masyarakat terhadap IKD: keamanan dan perlindungan data pribadi. Bagian penutup ini akan mengupas isu tersebut secara lebih mendalam dari sudut pandang hukum, membandingkan kerangka regulasi IKD dengan Undang-Undang Perlindungan Data Pribadi, serta melihat bagaimana negara lain mengelola sistem identitas digital serupa.

Mengapa Isu Ini Begitu Krusial?

IKD, sebagaimana dibahas pada bagian pertama, menyimpan dan memproses data yang sangat sensitif, mulai dari Nomor Induk Kependudukan (NIK), data biometrik (hasil pemindaian wajah), nomor telepon, alamat surel, hingga data keluarga secara lengkap. Berbeda dengan data pada umumnya, data kependudukan bersifat permanen dan tidak dapat “diganti” seperti kata sandi apabila terjadi kebocoran; sekali NIK dan data biometrik seseorang bocor, risiko penyalahgunaannya akan terus membayangi sepanjang hidup pemiliknya.

Kekhawatiran ini bukan tanpa dasar. Indonesia sendiri, dengan populasi mencapai 278,7 juta jiwa, telah beberapa kali mengalami insiden dugaan kebocoran data kependudukan skala besar:

• September 2022: dugaan bocornya sekitar 102 juta data (dengan total file mencapai 85 gigabita) yang diperjualbelikan di sebuah forum peretas (Breached.to), diduga bersumber dari data Kementerian Sosial.
• Juli 2023: dugaan bocornya 337 juta informasi data warga Indonesia, dengan sumber data yang diduga berasal dari Direktorat Jenderal Kependudukan dan Pencatatan Sipil (Dukcapil) Kementerian Dalam Negeri. Data yang diduga bocor mencakup nama, NIK, nomor Kartu Keluarga, tanggal lahir, alamat, nama ayah dan ibu, NIK orang tua, nomor akta lahir dan akta nikah, hingga tanggal pencetakan KTP.

Kasus-kasus semacam inilah yang, sebagaimana ditemukan dalam berbagai riset yang telah dibahas pada bagian sebelumnya, menjadi salah satu penyebab utama rendahnya kepercayaan sebagian masyarakat untuk mengaktifkan dan menggunakan IKD.

Ketegangan Regulasi: Permendagri No. 72/2022 vs UU Perlindungan Data Pribadi

Kajian yuridis menemukan adanya disharmonisasi (ketidakselarasan) antara Peraturan Menteri Dalam Negeri Nomor 72 Tahun 2022 (yang menjadi payung hukum utama IKD) dengan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), yang notabene disahkan pada tahun yang sama.

Klausula Eksonerasi yang Menjadi Sorotan

Salah satu temuan paling mengejutkan dari kajian hukum ini adalah keberadaan klausula eksonerasi (klausula pembatasan/pelepasan tanggung jawab) dalam kebijakan privasi aplikasi IKD, tepatnya pada bagian “Batasan Kewajiban”. Secara substansi, klausula tersebut menyatakan bahwa selama diizinkan oleh peraturan perundang-undangan yang berlaku, instansi penyelenggara tidak akan bertanggung jawab atas berbagai bentuk kerugian yang dialami pengguna, termasuk kerugian akibat hilangnya data atau gangguan sistem, bahkan sekalipun instansi telah mengetahui potensi risiko tersebut sebelumnya.

Klausula semacam ini, menurut kajian hukum kontrak, tergolong sebagai upaya pihak pengendali data untuk membatasi atau mengalihkan tanggung jawabnya apabila terjadi kebocoran data atau kegagalan sistem. Masalahnya, keberadaan klausula ini dinilai tidak sejalan dengan semangat UU PDP, khususnya:

• Pasal 46 UU PDP, yang secara tegas mewajibkan pengendali data untuk menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga pengawas selambat-lambatnya 3×24 jam apabila terjadi kegagalan perlindungan data pribadi;
• Pasal 57 UU PDP, yang memberikan hak kepada subjek data untuk mengajukan tuntutan ganti rugi kepada Lembaga Pengawas Perlindungan Data Pribadi, serta menetapkan sanksi administratif bagi pengendali data yang melanggar kewajibannya, termasuk denda administratif hingga 2% dari pendapatan tahunan.

Dengan kata lain, sekalipun terdapat klausula pembatasan tanggung jawab dalam kebijakan privasi IKD, klausula tersebut secara hukum tidak serta-merta menghapus kewajiban dan tanggung jawab hukum yang telah diatur secara tegas dalam UU PDP, mengingat klausula tersebut sendiri dibatasi oleh frasa “sejauh diizinkan oleh undang-undang yang berlaku”.

Tujuh Kewajiban Informasi yang Belum Terpenuhi Secara Utuh

Pasal 21 ayat (1) UU PDP mewajibkan setiap pengendali data pribadi, termasuk Ditjen Dukcapil sebagai pengendali data IKD, untuk menyampaikan tujuh jenis informasi kepada subjek data ketika pemrosesan data dilakukan berdasarkan persetujuan. Kajian yuridis menemukan bahwa sebagian besar dari ketujuh kewajiban ini belum dipenuhi secara memadai, baik dalam Permendagri No. 72/2022 maupun dalam kebijakan privasi aplikasi IKD:

No.	Informasi Wajib (Pasal 21 ayat 1 UU PDP)	Status Pemenuhan pada IKD
1	Legalitas pemrosesan data pribadi	Sebagian terpenuhi melalui mekanisme persetujuan saat registrasi
2	Tujuan pemrosesan data	Hanya dijelaskan secara umum, tidak rinci per jenis data
3	Jenis dan relevansi data yang diproses	Disebutkan sebagian (KTP-el, biometrik, NIK, dsb.), namun relevansi tiap data tidak dijelaskan detail
4	Jangka waktu retensi dokumen	Tidak dijelaskan sama sekali
5	Rincian informasi yang dikumpulkan	Tergambar sebagian dari Pasal 17 & 19 Permendagri, namun belum lengkap
6	Jangka waktu pemrosesan data	Tidak dijelaskan secara eksplisit
7	Hak subjek data pribadi	Sebagian hak diakomodasi secara implisit, namun tidak dijabarkan komprehensif

Ketiadaan kejelasan mengenai jangka waktu retensi data dinilai sebagai salah satu celah paling serius. Tanpa batasan waktu penyimpanan yang jelas, data pengguna berpotensi disimpan tanpa batas, bertentangan dengan prinsip purpose limitation (pembatasan tujuan) dan prinsip penyimpanan terbatas (storage limitation) yang menjadi fondasi universal dalam hukum perlindungan data pribadi, termasuk yang dianut oleh regulasi internasional seperti General Data Protection Regulation (GDPR) Uni Eropa.

Sembilan Hak Subjek Data dan Kesenjangannya di Aplikasi IKD

UU PDP memberikan sembilan kategori hak kepada setiap warga negara selaku subjek data pribadi. Kajian yuridis memetakan sejauh mana masing-masing hak tersebut terakomodasi dalam ekosistem IKD:

1. Hak atas Informasi: sebagian terpenuhi, namun informasi risiko pemrosesan data belum disampaikan secara rinci.
2. Hak Melengkapi, Memperbarui, dan Memperbaiki Data: dalam praktiknya hanya terbatas pada perubahan nomor ponsel, PIN, dan alamat surel, tanpa panduan jelas untuk memperbaiki jenis data lain.
3. Hak Mengakses dan Memperoleh Salinan Data: tersedia akses terbatas ke dokumen digital, namun kebijakan privasi tidak menjelaskan hak ini secara eksplisit.
4. Hak Menghapus dan Menghentikan Pemrosesan Data: mekanisme penghapusan data belum dijelaskan secara tegas, hanya sebatas fitur “penghentian akun”.
5. Hak Menarik Persetujuan: penghentian akun dianggap sebagai bentuk penarikan persetujuan, tetapi prosedurnya belum dijabarkan resmi.
6. Hak Menolak Keputusan Otomatis: belum diatur sama sekali dalam kebijakan privasi IKD.
7. Hak Menunda atau Membatasi Pemrosesan: tidak diatur dalam kebijakan privasi IKD.
8. Hak atas Ganti Rugi: berpotensi bertentangan dengan keberadaan klausula eksonerasi yang justru membatasi tanggung jawab instansi.
9. Hak atas Portabilitas Data: terdapat fitur berbagi dokumen, tetapi mekanisme dan cakupan haknya tidak dijelaskan secara rinci.

Belajar dari DigiD: Sistem Identitas Digital Belanda

Untuk memberikan gambaran pembanding, kajian yuridis juga menganalisis regulasi identitas digital di Belanda, yaitu sistem DigiD, yang diatur melalui Besluit Digitale Overheid (Keputusan Pemerintah Digital). DigiD dipilih sebagai pembanding karena beberapa alasan yang relevan:

• Sama-sama dikelola oleh instansi pemerintah tingkat pusat yang membidangi urusan dalam negeri (di Belanda dikelola oleh Logius, bagian dari Kementerian Dalam Negeri dan Hubungan Kerajaan);
• Berfungsi serupa sebagai alat identitas digital nasional bagi warganya;
• Sama-sama memiliki peraturan penyelenggara sebagai dasar hukum pelaksanaannya;
• Telah menerapkan standar internasional seperti GDPR Uni Eropa.

Beberapa praktik dalam regulasi DigiD yang dinilai jauh lebih rinci dan transparan dibandingkan pengaturan IKD saat ini:

Aspek	Praktik DigiD (Belanda)	Kondisi IKD (Indonesia)
Tujuan pemrosesan data	Dijelaskan rinci per jenis data pada pasal-pasal spesifik	Hanya dijelaskan secara umum
Jangka waktu retensi	Diatur eksplisit, misalnya data pengunjung disimpan maksimal 18 bulan, data nama/tanggal lahir maksimal 6 minggu, data pelanggan hingga 5 tahun setelah penggunaan berakhir	Belum diatur sama sekali
Kewajiban pemusnahan data	Data wajib dimusnahkan segera setelah masa penyimpanan berakhir	Tidak diatur
Langkah keamanan data	Diwajibkan menerapkan langkah teknis, organisasi, dan personel yang sesuai untuk mencegah akses tidak sah	Belum ada pengaturan rinci, khususnya untuk data biometrik sensitif
Hak subjek data	Diakui secara komprehensif dalam kebijakan privasi (mengetahui, memperbarui, menghapus, menolak pemrosesan)	Diatur sebagian, banyak yang belum dijelaskan rinci
Klausula eksonerasi	Tidak ditemukan; tanggung jawab tetap berada pada pengendali data	Ditemukan dalam bagian “Batasan Kewajiban”

Rekomendasi Perbaikan Regulasi

Berdasarkan perbandingan tersebut, kajian yuridis merekomendasikan sejumlah langkah perbaikan terhadap kerangka regulasi IKD, di antaranya:

1. Merevisi Permendagri No. 72 Tahun 2022 untuk memperjelas tujuan pemrosesan data secara spesifik per jenis data, bukan hanya penjelasan umum.
2. Menetapkan jangka waktu retensi data yang jelas dan terbatas, mengikuti prinsip strict minimum, yaitu data hanya disimpan selama benar-benar diperlukan.
3. Menjabarkan hak-hak subjek data secara rinci dan mudah diakses, idealnya diintegrasikan langsung sebagai fitur dalam aplikasi (misalnya menu khusus untuk mengajukan penghapusan atau pembaruan data).
4. Memperkuat pengaturan keamanan data biometrik, mengingat sensitivitas data jenis ini jauh lebih tinggi dibandingkan data umum seperti nama atau alamat.
5. Meninjau ulang atau menghapus klausula eksonerasi dalam kebijakan privasi IKD, agar sejalan dengan prinsip akuntabilitas pengendali data sebagaimana diamanatkan UU PDP dan prinsip perlindungan konsumen.
6. Membangun kerja sama dengan ahli hukum perlindungan data dalam menyusun kebijakan privasi, serta melibatkan uji publik sebelum kebijakan tersebut diberlakukan secara luas.

Merangkum Perjalanan Empat Bagian: Ke Mana IKD Akan Melangkah?

Sampai di sini, kita telah menempuh perjalanan panjang memahami Identitas Kependudukan Digital dari berbagai sudut pandang:

• Bagian 1 menunjukkan bahwa IKD adalah lompatan besar dalam modernisasi administrasi kependudukan Indonesia, dengan landasan hukum yang jelas melalui Permendagri No. 72/2022, tiga fungsi utama (pembuktian, otentifikasi, otorisasi identitas), serta ambisi menjangkau puluhan juta pengguna dalam beberapa tahun ke depan.
• Bagian 2 memperlihatkan bahwa keberhasilan kebijakan ini di lapangan sangat bergantung pada tata kelola yang partisipatif, mulai dari sosialisasi yang merata, koordinasi antar-pemangku kepentingan, hingga kesiapan infrastruktur dan sumber daya manusia di tingkat kelurahan dan kecamatan. Program-program pendampingan seperti yang dilakukan di Ponorogo membuktikan bahwa kolaborasi antara pemerintah, akademisi, dan masyarakat dapat mempercepat proses adopsi secara nyata.
• Bagian 3 mengungkap bahwa penerimaan publik terhadap IKD bersifat ambivalen: di satu sisi masyarakat mengakui manfaat konseptualnya, namun di sisi lain tingkat kepuasan riil cenderung menurun akibat kendala teknis dan kekhawatiran privasi, sebagaimana dikonfirmasi secara konsisten oleh lima riset independen menggunakan metode analisis yang berbeda-beda.
• Bagian 4 ini menegaskan bahwa kekhawatiran privasi tersebut bukan sekadar persepsi tanpa dasar, melainkan mencerminkan kesenjangan nyata antara regulasi IKD dan kerangka hukum perlindungan data pribadi yang berlaku di Indonesia, sebuah pekerjaan rumah besar yang perlu segera dituntaskan pemerintah.

Penutup

Identitas Kependudukan Digital adalah representasi nyata dari upaya Indonesia untuk mengejar ketertinggalan dalam transformasi digital layanan publik. Konsepnya visioner: satu aplikasi di ponsel yang menggantikan tumpukan dokumen fisik, mempercepat birokrasi, dan berpotensi menghemat anggaran negara dalam jangka panjang.

Namun, sebagaimana halnya inovasi besar lainnya, keberhasilan IKD tidak ditentukan oleh kecanggihan konsepnya semata, melainkan oleh sejauh mana pemerintah mampu menjembatani tiga kesenjangan sekaligus: kesenjangan literasi digital di masyarakat, kesenjangan tata kelola antar-lembaga pelaksana, dan kesenjangan regulasi perlindungan data pribadi. Ketiganya saling terkait: sosialisasi yang baik tidak akan efektif jika kepercayaan masyarakat terhadap keamanan data tetap rendah, dan kepercayaan itu sendiri tidak akan tumbuh tanpa kerangka hukum yang benar-benar melindungi hak-hak warganya secara utuh.

Ke depan, dengan perbaikan regulasi yang lebih komprehensif, peningkatan kualitas infrastruktur teknis aplikasi, serta strategi sosialisasi yang lebih inklusif (menjangkau kelompok lanjut usia, masyarakat di daerah terpencil, dan mereka yang belum memiliki perangkat memadai), IKD memiliki peluang besar untuk benar-benar menjadi fondasi identitas digital nasional yang dipercaya oleh seluruh lapisan masyarakat Indonesia.

---

Selesai, Seri Artikel Identitas Kependudukan Digital (4 Bagian)

Referensi

1. Farhan, A., Istiadi, & Rahman, A. Y. (2025). Analisis sentimen ulasan aplikasi Identitas Kependudukan Digital di Google Play Store dengan BERT. JATI (Jurnal Mahasiswa Teknik Informatika), 9(3), 3776–3783.
2. Lestari, R. A., Erfina, A., & Jatmiko, W. (2023). Penerapan algoritma Support Vector Machine pada analisis sentimen terhadap Identitas Kependudukan Digital. Jurnal Teknologi Informasi dan Ilmu Komputer (JTIIK), 10(5), 1063–1070. https://doi.org/10.25126/jtiik.2023107264
3. Mirlana, D. E., Sunarso, Halim, A., Putra, R., Widyaningsih, A. Z., & Khasanah, U. (2024). Pedampingan penerbitan Identitas Kependudukan Digital. PROFICIO: Jurnal Pengabdian Kepada Masyarakat, 5(2), 420–426.
4. Muflihaniardi, B., Arisma, A. O., S.F, F. A., Amalia, D., & Khusna, F. (2026). Transformasi digital dalam birokrasi: Analisis implementasi Identitas Kependudukan Digital (IKD) berdasarkan prinsip tata kelola yang baik (good governance) di Kelurahan Airlangga, Kota Surabaya. Sinergi: Jurnal Ilmiah Multidisiplin, 2(2), 1641–1654.
5. Onsu, R., Sengkey, D. F., & Kambey, F. D. (2024). Implementasi Bi-LSTM dengan ekstraksi fitur Word2Vec untuk pengembangan analisis sentimen aplikasi Identitas Kependudukan Digital. Jurnal Teknologi Terpadu, 10(1), 46–55.
6. Pradipto, D. G., Maharani, D. P., & Wibowo, A. M. (2025). Analisis yuridis ketentuan-ketentuan pemrosesan data pribadi berdasarkan persetujuan pada aplikasi Identitas Kependudukan Digital. RechtJiva, 2(1), 123–143. https://doi.org/10.21776/rechtjiva.v2n1.8
7. Pratmanto, D., Imaniawan, F. F. D., & Maarif, V. (2023). Analisis sentimen pada ulasan pengguna aplikasi Identitas Kependudukan Digital dengan metode Naive Bayes dan K-Nearest. Computatio: Journal of Computer Science and Information Systems, 7(2), 151–166.
8. Rachman, M. W. A. A., & Indriyanti, A. D. (2024). Analisis penerimaan pengguna aplikasi Identitas Kependudukan Digital (IKD) berbasis mobile menggunakan metode TAM (Technology Acceptance Model). JEISBI (Journal of Emerging Information Systems and Business Intelligence), 5(1), 48–59.