Definisi
Data biometrik adalah data pribadi yang berupa karakteristik fisik atau perilaku unik seseorang yang dapat digunakan untuk mengidentifikasi dirinya. Contoh paling umum adalah sidik jari, pemindaian wajah, iris mata, suara, hingga pola pembuluh darah. Karena sifatnya yang melekat pada tubuh dan sulit diubah, data biometrik dianggap sebagai salah satu jenis data pribadi yang paling sensitif.
Dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, data biometrik dikategorikan sebagai data pribadi yang bersifat spesifik. Pasal 4 ayat (2) menyebutkan data biometrik bersama dengan data kesehatan, genetika, catatan kejahatan, data anak, dan data keuangan pribadi sebagai kelompok data yang memerlukan perlindungan lebih ketat dibandingkan data pribadi umum.
Kategorisasi sebagai data spesifik membawa konsekuensi hukum yang signifikan. Pemrosesan data biometrik tidak boleh dilakukan secara sembarangan. Pengendali data wajib memenuhi syarat yang lebih berat, termasuk memperoleh persetujuan eksplisit dari pemilik data dan menerapkan langkah keamanan yang lebih tinggi. Ini berbeda dengan data pribadi umum seperti nama atau alamat yang pemrosesannya lebih longgar.
Mengapa Data Biometrik Dianggap Sensitif
Data biometrik bersifat permanen dan tidak dapat diganti. Jika kata sandi atau nomor kartu bocor, seseorang masih bisa menggantinya. Namun sidik jari atau pola wajah tidak bisa diubah, sehingga kebocoran data biometrik menimbulkan risiko yang bertahan seumur hidup. Pelaku kejahatan dapat menyalahgunakan data ini untuk membobol sistem keamanan yang mengandalkan biometrik.
Sifat unik dan melekat pada tubuh membuat data biometrik menjadi kunci akses yang sangat berharga. Banyak layanan kini menggunakan pemindaian wajah atau sidik jari untuk membuka ponsel, aplikasi perbankan, hingga gerbang keamanan. Jika data ini jatuh ke tangan yang salah, pelaku dapat meniru identitas digital korban dan mengakses berbagai layanan atas nama korban.
Karena risikonya yang tinggi, hukum menempatkan data biometrik dalam kelompok yang memerlukan perlindungan ekstra. Prinsip ini sejalan dengan praktik internasional, misalnya Peraturan Pelindungan Data Umum Uni Eropa yang juga memperlakukan data biometrik sebagai kategori data sensitif dengan pengaturan ketat.
Kewajiban Pengendali Data
Pengendali data yang memproses data biometrik memiliki kewajiban yang lebih berat. Pertama, wajib memperoleh persetujuan eksplisit dari pemilik data sebelum memproses. Persetujuan ini harus diberikan secara sadar dan spesifik untuk tujuan tertentu, bukan sekadar persetujuan umum yang tercantum dalam syarat dan ketentuan yang panjang.
Kedua, pengendali data wajib menerapkan langkah keamanan yang memadai untuk melindungi data biometrik dari akses tidak sah, kebocoran, dan penyalahgunaan. Langkah ini mencakup enkripsi, pembatasan akses, dan pengawasan terhadap siapa saja yang dapat mengakses data. Pengendali data juga harus melakukan penilaian dampak pelindungan data atau data protection impact assessment ketika memproses data spesifik.
Ketiga, pengendali data wajib menjaga kerahasiaan dan keamanan data, serta memberitahukan kepada pemilik data dan otoritas jika terjadi kebocoran. Kewajiban pelaporan insiden ini penting agar dampak kebocoran dapat segera dimitigasi dan pemilik data dapat mengambil langkah perlindungan.
Sanksi Pelanggaran
Pelanggaran terhadap perlindungan data biometrik dapat berujung pada sanksi pidana yang berat. Pasal 67 ayat (1) UU PDP mengancam pidana penjara paling lama lima tahun dan denda hingga lima miliar rupiah bagi siapa pun yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud menguntungkan diri sendiri atau orang lain.
Selain sanksi pidana, terdapat sanksi administratif yang dapat dikenakan oleh lembaga pengawas pelindungan data pribadi. Sanksi administratif berupa teguran tertulis, penghentian sementara pemrosesan, hingga denda administratif. Jika pelanggaran dilakukan oleh korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, atau korporasi itu sendiri dengan denda hingga sepuluh kali lipat.
Beratnya sanksi ini menunjukkan keseriusan negara dalam melindungi data biometrik warga. Pelaku usaha dan penyelenggara sistem elektronik yang mengumpulkan data biometrik harus memastikan kepatuhan penuh terhadap UU PDP untuk menghindari risiko hukum yang besar.
Data Biometrik dalam Praktik Sehari-hari
Penggunaan data biometrik semakin meluas dalam kehidupan sehari-hari. Banyak perusahaan menggunakan pemindaian sidik jari untuk sistem absensi karyawan. Aplikasi perbankan memakai pemindaian wajah untuk verifikasi transaksi. Layanan pemerintahan juga mulai memanfaatkan biometrik untuk identitas digital dan layanan publik.
Meskipun praktis, setiap penggunaan data biometrik harus memperhatikan aspek hukum. Perusahaan yang memakai absensi sidik jari wajib memberi tahu karyawan, memperoleh persetujuan, dan menjamin keamanan data. Bank yang memakai pemindaian wajah wajib menerapkan langkah keamanan tinggi dan memastikan data tidak disalahgunakan.
Masyarakat juga perlu cerdas dalam memberikan data biometrik. Sebelum menyerahkan sidik jari atau pemindaian wajah, pastikan pihak yang meminta memiliki dasar hukum yang jelas dan mampu menjaga keamanan data. Kewaspadaan ini penting karena data biometrik yang bocor tidak dapat diganti seperti kata sandi.
Contoh Kasus
Sebuah perusahaan fintech di Jakarta mengumpulkan data biometrik nasabah berupa pemindaian wajah untuk verifikasi transaksi. Karena kelalaian dalam pengamanan, data tersebut bocor dan digunakan oleh pihak tidak bertanggung jawab untuk membobol akun beberapa nasabah. Para nasabah mengalami kerugian finansial dan identitas digital mereka disalahgunakan.
Otoritas pelindungan data kemudian memeriksa perusahaan tersebut. Ditemukan bahwa perusahaan tidak melakukan penilaian dampak pelindungan data dan tidak menerapkan enkripsi yang memadai. Perusahaan dikenai sanksi administratif dan para pelaku penyalahgunaan data dituntut berdasarkan Pasal 67 UU PDP dengan ancaman pidana penjara dan denda miliaran rupiah.
Kasus fiktif ini menggambarkan pentingnya kepatuhan terhadap UU PDP dalam pengelolaan data biometrik. Kelalaian pengamanan data sensitif tidak hanya merugikan nasabah, tetapi juga membawa konsekuensi hukum berat bagi penyelenggara dan pelaku penyalahgunaan.
Pertanyaan yang Sering Diajukan
Apakah perusahaan boleh meminta sidik jari karyawan untuk absensi? Boleh, sepanjang memenuhi ketentuan UU PDP. Perusahaan wajib memberi tahu tujuan pemrosesan, memperoleh persetujuan karyawan, dan menerapkan langkah keamanan yang memadai untuk melindungi data biometrik dari kebocoran dan penyalahgunaan.
Apa yang harus dilakukan jika data biometrik saya bocor? Segera laporkan kepada pengendali data yang bersangkutan dan otoritas pelindungan data pribadi. Ganti kata sandi dan kunci akses lain yang terkait, serta pantau aktivitas akun untuk mendeteksi penyalahgunaan sejak dini.
Apakah data biometrik bisa diganti jika bocor? Tidak. Berbeda dengan kata sandi, data biometrik seperti sidik jari dan wajah bersifat permanen dan tidak dapat diubah. Inilah sebabnya data biometrik memerlukan perlindungan yang lebih ketat dibandingkan jenis data pribadi lainnya.