TANGGAPAN DAN MASUKAN ELSAM TERHADAP RANCANGAN PERATURAN MENTERI KOMUNIKASI DAN INFORMATIKA TENTANG PERLINDUNGAN DATA PRIBADI DALAM SISTEM ELEKTRONIK Diajukan kepada: Kementerian Komunikasi dan Informatika Republik Indonesia (Kominfo RI) Menindaklanjuti siaran pers Kementerian Komunikasi dan Informatika mengenai uji publik Rancangan Peraturan Menteri (RPM) Komunikasi dan Informatika (Kominfo) tentang Perlindungan Data Pribadi dalam Sistem Elektronik (PDPSE), pada tanggal 14 Juli 2015, yang membuka kesempatan bagi publik untuk memberikan masukan tertulis, bersama ini, Lembaga Studi dan Advokasi Masyarakat (ELSAM) menyampaikan beberapa poin masukan dan tanggapan terhadap Rancangan Peraturan Menteri (RPM) tersebut (draft per 28 Maret 2015). Adapun poin poin tanggapan dan masukan tersebut sebagai berikut: I. Perlindungan Data Pribadi Merupakan Bagian dari Jaminan Hak Atas Privasi 1 Perlindungan data pribadi berkaitan erat dengan jaminan perlindungan terhadap hak asasi manusia khususnya Hak Atas Privasi. Berdasarkan standar hukum hak asasi manusia internasional, 1 dan ketentuan hukum nasional sebagaimana diatur dalam ketentuan Pasal 26G ayat (1) UUD 1945, perlindungan data pribadi sebenarnya hanya mungkin dilakukan melalui pengaturan dalam Undang undang dan bukan peraturan teknis setingkat peraturan pemerintah termasuk Peraturan Menteri. Hal ini dimaksudkan untuk lebih mengokohkan mekanisme perlindungannya. Peraturan yang sifatnya teknis hanya dimaksudkan untuk mengatur hal hal terkait dengan pelaksanaan dari jaminan yang pokok pokoknya telah diatur di undang undang. Dalam laporan Frank La Rue sebagai pelapor khusus PBB untuk kebebasan berpendapat dan berekspresi menegaskan keperluan setiap negara memiliki undang undang yang secara jelas menggambarkan kondisi kondisi bahwa hak atas privasi dari individu bisa dibatasi di bawah kondisi kondisi tertentu, dan tindakan tindakan menyentuh hak ini harus diambil dengan dasar sebuah keputusan khusus. Keputusan ini diambil oleh otoritas negara yang dijamin secara jelas oleh hukum untuk melakukan tindakan tersebut. 2 Setiap program pemindaian komunikasi harus dilakukan atas dasar hukum yang dapat diakses publik, yang pada pelaksanaannya juga harus sesuai dengan hukum (the rule of law). Dalam rezim konstitusional dan hak asasi manusia internasional tidak hanya menuntut diterbitkannya hukum sebagai dasar akses tersebut. Tetapi juga harus diatur secara ketat mengenai prosedur pelaksanaanya, serta konsekuensi yang mungkin terjadi sehingga memerlukan adanya pemulihan bagi setiap orang yang privasinya dilanggar secara semena mena. 3 Pengertian Data Pribadi memiliki ruang lingkup yang sangat luas. Dari sejumlah peraturan perundang undangan Indonesia Data Pribadi yang harus dilindungi menyangkut Data Diri,
Data Kesehatan, dan Data Demografi. 4 Seiring perkembangan teknologi yang sangat pesat dan cepat inovasinya, terutama arus deras pemanfaatan teknologi internet, perlindungan data pribadi menjadi persoalan yang semakin nyata dan aktual. Pada akhirnya masyarakat menjadi kehilangan kendali atas data pribadi mereka sendiri, termasuk informasi mengenai bagaimana data pribadi mereka dikumpulkan, diolah, digunakan dan diungkapkan. Tanpa ada pengaturan yang jelas mengenai perlindungan data pribadi, maka pula berpengaruh pada tingkat aktualisasi diri masyarakat. Khususnya dalam konteks pemanfaatan internet, misalnya pembatasan anonimitas dalam dunia internet akan berpengaruh pada kebebasan ekspresi masyarakat. Dengan kata lain, perlindungan data pribadi yang menjamin hak atas privasi juga berpengaruh pada perlindungan hak atas kebebasan berekspresi. Kenyataannya pelanggaran terhadap hak atas privasi datang dari kepentingan korporasi dan berbagai badan publik untuk berbagai keperluan, dan kerapkali dilakukan tanpa otorisasi pengadilan dan pengawasan independen. 5 Di Indonesia gangguan terhadap privasi sangat mungkin dilakukan oleh perusahaan perusahaan swasta besar yang memanfaatkan teknologi untuk mengamati konsumen atau bahkan lawan usaha untuk kepentingan profit. Sedangkan praktik instrusi data oleh badan pemerintah dilakukan atas dasar penegakkan hukum atau alasan keamanan nasional tanpa adanya prosedur tunggal dalam tindakan yang dilakukan, sehingga menciptakan kerentanan yang membuka celah penyalahgunaan wewenang aparat. Dengan demikian negara berkewajiban untuk memastikan bahwa setiap gangguan terhadap hak atas privasi seseorang, keluarga, rumah atau korespondensi, haruslah diberi wewenang dalam bentuk undang undang yang kategorisasinya adalah: (i) dapat diakses publik; (b) berisi ketentuan ketentuan yang memastikan bahwa perekaman, pengumpulan, akses ke dan penggunaan data ini dirancang untuk tujuan yang sah dan spesifik; (c) cukup tepat, menentukan secara rinci keadaan yang memungkinkan penggunaan data diizinkan, prosedur untuk otorisasi, kategori kategori orang yang dapat diakses datanya, batas durasi diperbolehkannya intrusi, dan prosedur untuk menggunakan dan penyimpanan data yang dikumpulkan; serta (d) menyediakan perlindungan yang efektif terhadap terjadinya kemungkinan penyalahgunaan. 2 Oleh karena itu, apabila pemerintah hendak mengeluarkan peraturan yang mengikat bagi sektor publik (negara) maupun swasta yang memiliki layanan penyimpanan data, semestinya dirumuskan dalam bentuk undang undang, bukan sebatas peraturan menteri, supaya legitimasi dan kekuatan hukumnya juga lebih kuat. Hal ini disebabkan materi muatan perlindungan data pribadi melahirkan norma baru dan otoritas menjalankan mekanisme pemulihan yang membutuhkan sebuah lembaga independen untuk menjalankannya. Selain itu, keberadaan sejumlah data pribadi yang menjadi tanggung jawab negara memberikan perlindungan, tidak hanya berada dalam satu kementrian/lembaga, melainkan tersebar di beberapa kementerian/lembaga. Apabila hanya diatur dalam ruang lingkup sebatas peraturan Menteri, dan dalam konteks ini berada dalam ruang lingkup satu Kementerian Komunikasi dan Informatika, bisa dikatakan Kementrian Kominfo telah melampaui kewenangan untuk mengatur kementerian lain. Hal tersebut juga tidak sesuai dengan prinsip pembentukan peraturan perundang undangan sebagaimana diatur dalam Undang Undang No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang Undangan.
Rekomendasi: (i) Regulasi yang mengatur mengenai perlindungan data pribadi perlu dirumuskan dalam bentuk Undang Undang yang di dalamnya juga diatur mengenai badan yang memiliki otoritas untuk mengawasi penggunaan data data pribadi tersebut; (ii) Perlu penyelarasan rumusan cakupan Peraturan Menteri dengan batasan standar pembatasan hak yang diperbolehkan, khususnya terkait dengan hak atas privasi dalam UUD 1945 dan UU No. 39 Tahun 1999 tentang HAM, maupun UU No. 12 Tahun 2005 tentang Pengesahan Kovenan Internasional Hak hak Sipil dan Politik. II. RPM PDPSE Tidak Mengatur Dengan Detail Kriteria Data Pribadi yang Boleh Diakses, Khususnya oleh Aparat Penegak Hukum Ketentuan Pasal 24 RPM menyebutkan bahwa: aparat penegak hukum sesuai ketentuan peraturan perundang undangan berwenang memperoleh hak akses ke dalam Sistem Elektronik yang dikelola setiap Orang untuk mendapatkan Data pribadi, tanpa disertai dengan kriteria batas data pribadi dalam sistem elektronik yang boleh diakses. Setiap data tentang seseorang adalah rahasia kecuali pemilik data menyatakan sebaliknya dengan sepengetahuan dan persetujuannya. Demi kepentingan hukum, data pribadi dapat diakses sepanjang dalam proporsi dan kebutuhan yang relevan dengan tujuan pengaksesan. Sebagaimana tertulis dalam Komentar Umum Nomor 16 tentang Pasal 17, setiap ketentuan hukum harus menspesifikasi keadaan yang membolehkan instrusi atau pengaksesan terhadap data pribadi dilakukan. Selain itu setiap tindakan intrusi harus dilakukan dengan sepengetahuan (correspondence to) pemilik data. 3 Jika mengacu pada Undang undang No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE), tidak ditemukan pasal yang mengatur kriteria batas dapat diaksesnya data pribadi seseorang demi kepentingan penegakan hukum. Dalam sejumlah undang undang kelembagaan seperti UU Kepolisian, UU KPK, UU Intelijen Negara, UU Narkotika, dan sebagainya memang terdapat pengaturan mengenai kewenangan penyadapan (interception) untuk mengakses informasi seseorang demi kepentingan penegakan hukum. Akan tetapi, pola pengaturan yang tidak seragam di berbagai undang undang menimbulkan kerentanan tindakan pengaksesan yang sewenang wenang dari institusi penegak hukum. 6 Di sisi lain, dimensi pengaturan perlindungan data pribadi dalam UU ITE hanya terdapat dalam Pasal 26 UU ITE untuk pengaturan hak ganti kerugian dan hak atas persetujuan serta Pasal 43 ayat (2) UU ITE yang mengatur prinsip penyidikan data pribadi. Dalam berbagai kasus pidana, pengungkapan informasi pribadi di dalam persidangan seringkali melampaui informasi yang relevan dalam proses pembuktian tindak pidana. Selama ini tidak ada peraturan perundang undangan yang mengatur sampai batas apa sebuah informasi pribadi dapat diakses serta dibuka dalam proses penegakan hukum. Dalam proses persidangan, misalnya, seluruh informasi pribadi terdakwa diperdengarkan sebagai bukti tanpa melakukan klasifikasi mana informasi yang relevan diperdengarkan dan mana informasi yang tidak relevan diperdengarkan. Dimensi ini seharusnya menjadi pokok perhatian peraturan perundangundangan dalam mengatur penggunaan data pribadi dalam proses penegakan hukum. Frank La Rue, dalam laporannya mengungkapkan bahwa pengaksesan data pribadi untuk kepentingan penegakan hukum harus memperhatikan prinsip nesesitas (necessity) dan proporsionalitas (proportionality). 7 Batas kriteria yang diperbolehkan harus mencakup dalam
hal apa proses penegakan hukum dapat melegitimasi intrusi data pribadi seseorang dan sampai sejauh apa data pribadi dapat diakses dan dapat diungkap di dalam persidangan. Pengaksesan ini harus mempertimbangkan relevansi data yang akan diambil dan digunakan dengan pokok perkara yang sedang dijalani. Rekomendasi: Memperluas dimensi pengaturan mengenai pengaksesan data pribadi oleh aparat penegak hukum dengan menyediakan ketentuan perihal kriteria batas data pribadi yang boleh diakses demi kepentingan penegakan hukum. Namun demikian, dengan keluasan cakupan pengaturan yang demikian, sulit kiranya jika mediaum pengaturannya sebatas menggunakan Peraturan Menteri. III. RPM PDPSE Belum Memiliki Rumusan Pengaturan Ihwal Mekanisme Pemulihan Hak Warga Negara yang Dilanggar Pengaksesan (intrusi) terhadap data pribadi merupakan tindakan yang memiliki potensi melanggar hak atas privasi seseorang. Perlindungan terhadap kerahasiaan data pribadi seseorang tidak cukup hanya diwujudkan lewat mekanisme ancaman sanksi administratif untuk mencegah pengaksesan yang melampaui dari apa yang dibolehkan oleh hukum hak asasi manusia. Pasal pasal kuratif (gugatan, upaya hukum, dll.) juga harus memiliki semangat pemulihan kembali (remedy) hak asasi warga negara yang telah gagal dilindungi. Dari pembacaan ELSAM, pasal pasal penyelesaian sengketa (Pasal 30 34) yang diatur di dalam RPM hanya memberi kerangka bagi prosedur pengaduan bagi warga negara yang data pribadinya diakses dengan melampaui hukum tanpa mempertimbangkan adanya mekanisme pemulihan hak oleh pihak yang diadukan. Meski RPM secara gamblang memerintahkan penyelenggara sistem elektronik untuk menjamin kerahasiaan dan melindungi data pengguna dari intrusi pihak ketiga, RPM luput melekatkan kewajiban terhadap penyelenggara sistem elektronik untuk memulihkan hak pengguna yang dilanggar. Mekanisme penyelesaian sengketa yang tanpa disertai dengan kewajiban pemulihan justru tidak akan memberikan efek perlindungan bagi warga negara yang haknya sudah terlanjur dilanggar. Dampak dari terjadinya mekanisme keberatan atau upaya hukum terhadap penyelenggara sistem elektronik yang terbukti melanggar juga tidak cukup hanya diwujudkan dalam bentuk sanksi administratif. Pun proses hukum perdata menjadi tidak optimal jika peraturan hukum tidak membebankan kewajiban pemulihan bagi pihak yang melanggar sehingga seseorang dapat menikmati haknya sebagaimana seharusnya. 4 Sebagaimana yang dikemukan Frank La Rue dalam laporannya, bahwa adanya mekanisme pemulihan merupakan kerangka pengaturan hak atas privasi sebagai bagian dari hak atas kebebasan berekspresi dan berpendapat. La Rue menyebut tiga kerangka utama yang terdiri dari Perlindungan, Penghormatan, Pemulihan. Ketiga kerangka itu bersandar pada tiga pilar yaitu: (a) kewajiban negara untuk melindungi tindakan kesewenang wenangan yang melanggar hak asasi manusia oleh pihak ketiga, termasuk pelaku bisnis, melalui kebijakan, peraturan, dan proses peradilan yang tepat; (b) tanggungjawab korporasi untuk menghormati hak asasi manusia yang berarti pelaku bisnis harus bertindak hati hati untuk menghindari pelanggaran hak asasi orang lain dan untuk mengatasi dampak buruk yang muncul; dan (c) kebutuhan atas akses yang lebih besar bagi korban terhadap pemulihan yang efektif, baik melalui jalur yudisial maupun non yudisial. 8
Rekomendasi: (i) Apabila RPM akan dilanjutkan proses pembahasannya menjadi Peraturan Menteri, maka elemen kewajiban untuk melakukan pemulihan oleh penyelenggara sistem elektronik yang terbukti melanggar hak atas privasi harus ditambahkan dalam bagian tentang kewajiban penyelenggara sistem elektronik; (ii) RPM harus menyediakan mekanisme pemulihan sebagai bagian dari proses penyelesaian sengketa yang sesuai dengan standar internasional perlindungan hak atas privasi. IV. RPM PDPSE Belum Memuat Mekanisme Pengawasan Terhadap Efektivitas Pelaksanaan Perlindungan Data Pribadi Dalam Sistem Elektronik Pengawasan sebagai salah satu mekanisme yang penting dalam menjamin efektivitas pelaksanaan peraturan perundang undangan. Pada perkembangannya, pemahaman ini juga tercermin pada beberapa instrumen hukum yang mengatur tentang perlindungan data pribadi di luar yang dirumuskan dalam RPM PDPSE. Secara historis, mekanisme pengawasan terhadap perlindungan data pribadi terlihat dalam ketentuan Pasal 1 ayat (1) Undang Undang Nomor 21 Tahun 2011 tentang Otoritas Jasa Keuangan, yang memberikan mandat pengawasan kepada Otoritas Jasa Keuangan (OJK) terhadap kegiatan jasa keuangan di sektor perbankan. 9 Hal ini kemudian dipertegas pula dalam Pasal 51 dan 52 Peraturan OJK Nomor 1/POJK.07/2013 tentang Perlindungan Konsumen Sektor Jasa Keuangan yang memberikan kewenangan kepada OJK sebagai pengawas terhadap pengimplementasian ketentuan perlindungan konsumen sektor jasa keuangan ini. 10 5 Hal serupa juga terlihat pada mekanisme pengawasan terhadap pelaksanaan kegiatan rekam medis yang dilakukan oleh rumah sakit, 11 seperti diatur dalam Peraturan Menteri Kesehatan Nomor 269/Menkes/Per/III/2008 tentang Rekam Medis (Permenkes Rekam Medis). Berdasarkan Pasal 16 ayat (1) Permenkes Rekam Medis, kewenangan pengawasan rekam medis yang dilakukan rumah sakit berada pada ranah kewenangan Kepala Dinas Kesehatan Provinsi, Kepala Dinas Kesehatan Kabupaten/Kota dan organisasi profesional terkait. Berbeda dengan kedua peraturan di atas, RPM masih belum mengakomodir akan pentingnya ketentuan yang memuat tentang mekanisme pengawasan terhadap perlindungan data pribadi itu sendiri, sebab RPM tidak memiliki Bab atau pun Pasal khusus yang memberikan otoritas kepada lembaga negara untuk melaksanakan mekanisme pengawasan tersebut. Lebih lanjut, permasalahan lainnya yang mungkin muncul adalah terkait dengan harmonisasi terhadap sejumlah ketentuan, termasuk dua peraturan yang telah disebutkan di atas, dengan RPM. Mengingat RPM PDP tidak secara eksplisit memuat ketentuan khusus terkait dengan mekanisme pengawasan, kemudian yang menjadi pertanyaan adalah apakah mekanisme pengawasan dalam sejumlah peraturan sektoral di luar RPM PDPSE dapat berlaku secara otonom, untuk kemudian disinergikan dengan RPM PDPSE? Ketidakjelasan kedudukan mekanisme pengawasan pelaksanaan RPM ini tentunya akan berdampak buruk jika tidak diiringi dengan harmonisasi yang memadai dengan badan badan pengawas perlindungan data pribadi yang telah ada sebelumnya.
Oleh karena itu, semestinya RPM ini juga memuat ketentuan khusus terkait mekanisme pengawasan terhadap pelaksanaan ketentuan dalam RPM yang bersangkutan tersebut, seperti tercermin dalam sejumlah instrumen hukum terdahulu yang juga secara sektoral mengatur tentang isu perlindungan data pribadi. Dalam konteks ini, mekanisme pengawasan tersebut harus pula disinergikan dengan badan/lembaga pengawasan yang telah ada sebelumnya dan berada di luar struktur kelembagaan Kominfo. Rekomendasi: Perlu memuat ketentuan yang secara khusus mengatur mekanisme pengawasan terhadap pelaksanaan isi pasal dalam RPM PDPSE atau implementasi dari RPM ini. V. Kebutuhan Otoritas Independen Dalam Upaya Penyelesaian Sengketa Atas Kegagalan Sistem Elektronik Dalam Rangka Perlindungan Data Pribadi Dalam hal terjadinya kegagalan perlindungan data pribadi yang dilakukan oleh penyedia sistem elektronik penyimpan data, negara berkewajiban untuk memberikan perlindungan yang efektif terhadap terjadinya kemungkinan penyalahgunaan. Perlindungan dapat dilakukan dalam bentuk adanya upaya penyelesaian sengketa terhadap kegagalan perlindungan data pribadi. Dalam PP No. 82 Tahun 2012 tentang Penyelenggara Sistem dan Transaksi Elektronik (PSTE), pada ketentuan Pasal 15 ayat (2) hanya menyebutkan bahwa apabila terjadi kegagalan perlindungan data pribadi, maka pihak penyelenggara Sistem Elektronik wajib memberitahukan secara tertulis kepada Pemilik Data Pribadi yang merujuk pembentukan peraturan menteri ini. 6 Sedangkan berdasar pada ketentuan Pasal 30 RPM ini dijelaskan memiliki dua bentuk penyelesaian yaitu penyelesaian sengketa secara musyawarah atau melalui upaya penyelesaian alternatif dan upaya penyelesaian sengketa melalui gugatan. Dalam tingkat penyelesaian sengketa secara musyawarah, belum dijelaskan mengenai lembaga atau badan otoritas yang menjadi tim penyelesaian sengketa data pribadi. Padahal seharusnya badan yang bersangkutan harus memiliki kompetensi di bidang perlindungan data pribadi demi tercapainya perlindungan data pribadi, dan sifat kelembagaan serta orang orang di dalamnya independen, lepas dari kepentingan apapun, baik politik maupun ekonomi. Apabila upaya penyelesaian sengketa tersebut yang dapat dilimpahkan kepada proses peradilan juga harus diberikan keterangan lebih jelas. Apakah upaya penyelesaian sengketa melalui proses peradilan dilakukan secara otomatis melalui otoritas yang bersangkutan atau merupakan upaya individu dari pemegang data pribadi yang dirugikan. Hal ini juga berkaitan dengan dasar gugatan yang diajukan dan sanksi pengadilan yang akan dijatuhkan. Apabila didasarkan pada RPM ini, penjatuhan sanksi atau kompensasi berupa sanksi administratif yang dapat dijatuhkan berdasarkan selesai atau tidak dapat diselesaikan pada tahap musyawarah. Disamping itu, hal yang harus diperhatikan adalah terkait dengan kapasitas pengetahuan Pengadilan Negeri menyangkut isu Perlindungan Data Pribadi yang masih sangat minim. Dalam pembentukan Peraturan Menteri harus mengandung asas dapat dilaksanakan. Dalam artian, sebuah Peraturan Menteri tidak hanya sekedar memenuhi kuantitas melainkan dapat dilaksanakan dan sekaligus ditegakkan. Dalam konteks RPM ini, Menteri harus memperhatikan sumberdaya manusia atau aparatur mengenai otoritas perlindungan data pribadi. Selain itu juga menyangkut sumber dana untuk pelaksanaan RPM ini dapat tersedia atau diyakini akan
tersedia. Hal ini berkaitan erat dengan penegakkan RPM dan juga mewujudkan prinsip pemerintahan yang baik dalam rangka pemenuhan hak atas privasi dalam menjamin perlindungan data pribadi. Rekomendasi: Perlunya otoritas independen atau pemberian wewenang terhadap suatu pemegang otoritas yang memiliki kapasitas dalam perlindungan data pribadi dan kualifikasi independen demi terciptanya perlindungan hak atas privasi. Demikian masukan ELSAM terhadap materi muatan RPM Kominfo tentang Perlindungan Data Pribadi Dalam Sistem Elektronik, untuk dapat digunakan sebagaimana mestinya. Jakarta, 31 Juli 2015, Wahyudi Djafar Plt. Deputi Direktur 7 1 Lihat Deklarasi Umum Hak Asasi Manusia Pasal 12 : tidak seorangpun boleh diganggu secara sewenang wenang dalam urusan pribadi, keluarga, rumah tangga atau hubungan surat menyuratnya, juga tidak boleh dilakukan serangan terhadap kehormatan dan reputasinya. Setiap orang berhak mendapatkan perlindungan hukum terhadap gangguan atau penyerangan itu, serta Kovenan Internasional Hak hak Sipil dan Politik (ICCPR) Pasal 17 ayat (2) : setiap orang memiliki hak atas perlindungan hukum terhadap campur tangan yang tidak sah atau sewenang wenang dengan privasi mereka. 2 Lihat : Report of the Special Rapporteur on the promotion and protection of the right to freedom of opinion and expression, Frank La Rue (A/HRC/14/23), paragraf 59, dapat diakses di http://www2.ohchr.org/english/bodies/hrcouncil/docs/14session/a.hrc.14.23.pdf. 3 Lebih lanjut diuraikan ELSAM, Seri Internet & HAM, Perlindungan Hak Atas Privasi Di Internet dapat diakses pada http://elsam.or.id/2014/06/perlindungan hak atas privasi di internet beberapa penjelasan kunci/ halaman 7 4 Lihat UU No. 7 Tahun 1971 tentang Ketentuan Pokok Kearsipan, sebagaimana telah diubah dengan UU No. 43 Tahun 2009 tentang Kearsipan, UU No. 8 Tahun 1997 Tentang Dokumen Perusahaan, UU No. 10 Tahun 1998 tentang Perbankan, UU No. 23 Tahun 2006 tentang Administrasi Kependudukan, sebagaimana telah diubah dengan UU No. 24 Tahun 2013, dan UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik. 5 Lihat Wahyudi Djafar dan Asep Komarudin, Perlindungan Hak Atas Privasi di Internet: Beberapa Penjelasan Kunci, (Jakarta: ELSAM, 2014). 6 Lihat Wahyudi Djafar, Memastikan Perlindungan Hak Atas Privasi Dalam Pertahanan Siber, makalah disampaikan pada Seminar Nasional Cyber Defence: Kepentingan Pertahanan Nasional dan Perlindungan Hak Privasi diselenggarakan oleh Fakultas Hukum Airlangga Surabaya, 26 November 2013. 7 Lihat Frank La Rue, A/HRC/17/27 Report of the Special Rapporteur on the promotion and protection of the right to freedom of opinion and expression, para. 84. 8 Lihat Frank La Rue, A/HRC/17/27 Report of the Special Rapporteur on the promotion and protection of the right to freedom of opinion and expression, para. 45. 9 Undang Undang Nomor 21 Tahun 2011 tentang Otoritas Jasa Keuangan, Pasal 6 huruf (a). 10 Lihat Surat Edaran OJK Nomor 14/SEOJK.07/2014 tentang Kerahasiaan dan Keamanan Data dan/atau Informasi Pribadi Konsumen. 11 Undang Undang Nomor 44 Tahun 2009 tentang Rumah Sakit, Pasal 29 ayat (1) huruf (h).