Pada tanggal 11 Januari 2024, Undang-Undang Data Uni Eropa – Peraturan (EU) 2023/2854 – mulai berlaku, dua puluh hari setelah publikasinya di Jurnal Resmi Uni Eropa. Peraturan ini berlaku mulai 12 September 2025. Legislasi ini memberlakukan kewajiban baru yang mendasar bagi produsen produk terhubung dan penyedia layanan terkait, yang memengaruhi berbagai sektor: dari manufaktur dan energi hingga perawatan kesehatan dan industri otomotif. Siapa pun yang menghasilkan, memproses, atau menggunakan data dalam konteks bisnis sebaiknya memeriksa cakupan legislasi ini tepat waktu.
Apa yang diatur oleh Undang-Undang Perlindungan Data Pribadi?
Undang-Undang Data merupakan bagian dari strategi data Eropa, yang bertujuan untuk memperkuat posisi kompetitif Eropa dalam ekonomi data. Peraturan ini menetapkan aturan tentang siapa yang memiliki akses ke data yang dihasilkan dari penggunaan produk atau layanan, dan dalam kondisi apa data tersebut harus dibagikan. Ini bukan menyangkut hak umum atas semua data, tetapi lebih merupakan kerangka kerja dari enam kelompok spesifik: akses pengguna ke data produk dan layanan, berbagi B2B dengan syarat yang adil, akses publik dalam kasus kebutuhan luar biasa, peralihan antar layanan pemrosesan data, perlindungan terhadap akses pemerintah internasional ke data non-pribadi, dan interoperabilitas.
Kewajiban bagi bisnis: desain produk
Produk yang terhubung harus dirancang dan diproduksi sedemikian rupa sehingga data yang dihasilkan, secara default, mudah, aman, gratis, dan dalam format yang dapat dibaca mesin, serta dapat diakses langsung oleh pengguna. Pengguna produk yang terhubung – misalnya perangkat rumah pintar, mesin industri, atau kendaraan – dengan demikian memperoleh hak untuk mengakses data yang dihasilkan dari penggunaan produk tersebut. Produsen dan penyedia layanan tidak boleh lagi menyimpan data tersebut secara eksklusif untuk diri mereka sendiri.
Yang penting, kewajiban ini diberlakukan secara bertahap. Meskipun Undang-Undang Data secara keseluruhan berlaku mulai 12 September 2025, kewajiban desain dan manufaktur untuk produk terhubung hanya berlaku untuk produk yang dipasarkan setelah 12 September 2026. Oleh karena itu, produk yang sudah ada belum tercakup.
Persyaratan yang adil dalam berbagi data B2B
Regulasi tersebut memuat aturan khusus mengenai ketentuan kontrak dalam kontrak data B2B . Suatu ketentuan yang secara sepihak diberlakukan oleh satu perusahaan kepada perusahaan lain tidak mengikat pihak lain jika ketentuan tersebut tidak adil. Suatu ketentuan dianggap telah diberlakukan secara sepihak jika, meskipun telah dilakukan upaya negosiasi, pihak lain tidak dapat memengaruhi isinya. Beban pembuktian hal ini berada pada pihak yang memasukkan ketentuan tersebut.
Suatu ketentuan dianggap tidak adil jika penggunaannya sangat menyimpang dari praktik komersial yang baik dan bertentangan dengan itikad baik dan perlakuan yang adil. Peraturan tersebut memberikan contoh ketentuan yang mengecualikan tanggung jawab atas kesengajaan atau kelalaian berat, mencegah pihak lain menggunakan datanya sendiri, memungkinkan penghentian sepihak dengan pemberitahuan yang terlalu singkat, atau mengizinkan perubahan harga atau perubahan material lainnya yang signifikan dilakukan secara sepihak. Konsekuensi hukumnya adalah ketentuan yang tidak adil tersebut tidak mengikat pihak lain, sementara ketentuan kontrak lainnya tetap berlaku sejauh ketentuan tersebut dapat dipisahkan.
Interaksi dengan GDPR
Undang-Undang Perlindungan Data Pribadi (GDPR) berjalan beriringan dengan Peraturan Perlindungan Data Umum (GDPR), tetapi terdapat interaksi penting di antara keduanya. GDPR juga mencakup data pribadi, tetapi tidak memisahkannya dari hukum perlindungan data. Jika pengguna bukan subjek data yang data pribadinya diminta, data pribadi tersebut hanya dapat diberikan jika terdapat dasar hukum yang sah berdasarkan Pasal 6 GDPR. Oleh karena itu, Undang-Undang Perlindungan Data Pribadi tidak menciptakan pengecualian tersendiri terhadap GDPR: akses data berdasarkan Undang-Undang Perlindungan Data Pribadi tidak membebaskan pihak-pihak dari kewajiban GDPR mereka , dan juga tidak memberikan dasar untuk penyimpanan atau penggunaan kembali data yang diberikan di luar tujuan pengumpulannya.
Portabilitas dan peralihan cloud
Bab terpisah mewajibkan penyedia layanan pemrosesan data untuk mempermudah peralihan ke penyedia lain. Mereka tidak boleh memberlakukan hambatan pra-komersial, komersial, teknis, kontraktual, atau organisasional apa pun yang menghalangi pelanggan untuk beralih. Mulai 12 Januari 2027, penyedia layanan pemrosesan data tidak boleh lagi membebankan biaya peralihan kepada pelanggan. Transfer data dan konfigurasi yang sebenarnya harus dilakukan tanpa penundaan yang tidak semestinya dan dalam keadaan apa pun tidak setelah masa transisi wajib maksimal tiga puluh hari. Bagi organisasi yang sangat bergantung pada satu penyedia cloud, ini menawarkan daya tawar baru saat memperbarui atau menegosiasikan ulang kontrak.
Akses publik dalam kasus-kasus kebutuhan luar biasa.
Peraturan ini memberi badan-badan sektor publik kemungkinan, dengan syarat-syarat ketat, untuk meminta akses ke data pribadi dalam kasus-kasus kebutuhan luar biasa – seperti keadaan darurat publik. Dalam hal ini, pemegang data selain usaha mikro dan usaha kecil wajib menyediakan data yang diperlukan secara gratis. Dalam kasus kebutuhan luar biasa lainnya, pemegang data berhak atas kompensasi yang adil. Kewenangan ini tunduk pada syarat-syarat proporsionalitas dan subsidiaritas yang ditetapkan dalam Peraturan ini.
Penegakan hukum di Belanda
Di Belanda, penegakan hukum kini telah diintegrasikan ke dalam undang-undang melalui Undang-Undang Pelaksanaan Undang-Undang Data (Uitvoeringswet dataverordening). Otoritas Konsumen dan Pasar Belanda (ACM) adalah otoritas yang berwenang untuk sebagian besar Peraturan tersebut, termasuk bab tentang data produk, berbagi B2B, dan portabilitas cloud. Otoritas Perlindungan Data Belanda (AP) berwenang untuk elemen-elemen yang sensitif terhadap privasi dan untuk pemrosesan data pribadi dalam pasal-pasal tertentu dan Bab V. Kedua otoritas tersebut dapat mengambil tindakan penegakan hukum dalam domain mereka sendiri dengan menjatuhkan perintah yang dikenakan sanksi atau denda administratif. Undang-Undang Pelaksanaan juga mengatur kerja sama dan pertukaran informasi antara ACM dan AP, sehingga kedua pengawas dapat bertindak secara terkoordinasi pada isu-isu yang tumpang tindih.
Apa artinya ini dalam praktik?
Perusahaan yang mengembangkan, mengimpor, atau mendistribusikan produk terhubung sebaiknya meninjau desain produk dan struktur kontrak mereka berdasarkan Undang-Undang Perlindungan Data sekarang juga. Untuk produk yang dipasarkan setelah 12 September 2026, kewajiban desain dan aksesibilitas berlaku sepenuhnya. Penyedia layanan yang memproses data atas nama pengguna harus mempertimbangkan kewajiban berbagi data mana yang berlaku bagi mereka dan apakah perjanjian yang ada – termasuk klausul data yang dibuat secara sepihak – selaras dengan kewajiban tersebut.
Mereka yang menunggu hingga penegakan hukum dimulai berisiko tertinggal. Menyelaraskan produk, layanan, dan kontrak dengan peraturan baru tepat waktu bukan hanya masalah kepatuhan , tetapi juga menghadirkan peluang: mereka yang menawarkan transparansi dan akses data kepada pelanggan mereka akan menonjol di pasar yang semakin kritis terhadap cara perusahaan menangani data.
Apakah Anda memiliki pertanyaan tentang implikasi Undang-Undang Data Uni Eropa bagi bisnis atau kontrak Anda? Para pengacara di Law & More Kami dengan senang hati akan membantu Anda.
Pertanyaan yang Sering Diajukan
Apakah Undang-Undang Perlindungan Data sudah berlaku untuk produk-produk terhubung saya yang sudah ada?
Peraturan ini berlaku mulai 12 September 2025, tetapi kewajiban untuk merancang produk terhubung sehingga data dapat diakses oleh pengguna hanya berlaku untuk produk yang dipasarkan setelah 12 September 2026. Produk yang sudah ada di pasaran sebelum tanggal tersebut belum tercakup. Meskipun demikian, produsen dan importir sebaiknya menyesuaikan pengembangan produk mereka dengan persyaratan baru ini sekarang, sehingga produk di masa mendatang akan sesuai saat diluncurkan ke pasar.
Apa yang harus saya lakukan jika kontrak data saya berisi klausul yang membatasi akses ke data?
Berdasarkan Undang-Undang Perlindungan Data, ketentuan kontrak yang diberlakukan secara sepihak dan yang mencegah pihak lain menggunakan atau memanfaatkan datanya sendiri dapat dianggap tidak adil dan oleh karena itu tidak mengikat. Disarankan untuk meninjau kembali kontrak data yang ada untuk mencari klausul tersebut. Beban pembuktian bahwa suatu ketentuan tidak diberlakukan secara sepihak berada pada pihak yang memasukkannya. Negosiasi ulang sedini mungkin umumnya lebih efektif daripada menunggu sampai pihak lain menggunakan Peraturan tersebut.
Bolehkah saya membagikan data pribadi berdasarkan Undang-Undang Perlindungan Data Pribadi tanpa dasar hukum GDPR?
Tidak. Undang-Undang Perlindungan Data Pribadi tidak memberikan dasar tersendiri untuk mengungkapkan data pribadi. Jika pengguna bukan subjek data yang data pribadinya diminta, data tersebut hanya dapat diberikan jika terdapat dasar hukum yang sah berdasarkan Pasal 6 GDPR. Selain itu, akses data berdasarkan Undang-Undang Perlindungan Data Pribadi tidak memberikan dasar untuk penyimpanan atau penggunaan kembali data pribadi yang diungkapkan di luar tujuan semula. Oleh karena itu, kepatuhan terhadap GDPR dan kepatuhan terhadap Undang-Undang Perlindungan Data Pribadi harus dipastikan secara bersamaan.
Apakah saya masih bisa mengenakan biaya peralihan sebagai penyedia layanan cloud?
Mulai 12 Januari 2027, penyedia layanan pengolahan data dilarang membebankan biaya peralihan kepada pelanggan. Selain itu, mulai 12 September 2025, tidak boleh ada hambatan teknis, kontraktual, atau organisasi yang menghalangi peralihan. Transfer data aktual setelah peralihan juga harus dilakukan tanpa penundaan yang tidak semestinya dan diselesaikan dalam masa transisi paling lambat tiga puluh hari. Kontrak yang ada yang berisi jangka waktu lebih lama atau biaya peralihan perlu ditinjau ulang.
Otoritas pengawas mana yang berwenang untuk menegakkan Undang-Undang Perlindungan Data di Belanda?
Penegakan hukum dibagi antara Otoritas Konsumen dan Pasar Belanda (ACM) dan Otoritas Perlindungan Data Belanda (AP). ACM berwenang atas sebagian besar Peraturan, termasuk ketentuan tentang data produk, berbagi B2B, dan portabilitas cloud. AP berwenang atas elemen-elemen yang sensitif terhadap privasi dan pemrosesan data pribadi dalam pasal-pasal tertentu dan Bab V. Kedua otoritas tersebut dapat mengeluarkan perintah yang dikenakan sanksi atau denda administratif. Upaya hukum administratif yang biasa tersedia untuk melawan keputusan tersebut, termasuk keberatan, banding, dan upaya hukum sementara.
Apakah Undang-Undang Perlindungan Data juga berlaku untuk usaha kecil?
Peraturan ini membedakan berdasarkan ukuran perusahaan pada beberapa poin. Misalnya, usaha mikro dan usaha kecil dikecualikan, dalam kasus permintaan data darurat publik, dari kewajiban untuk menyediakan data secara gratis; dalam kasus tersebut mereka berhak atas kompensasi yang adil. Untuk kewajiban lainnya – termasuk kewajiban aksesibilitas untuk produk terhubung dan uji keadilan untuk persyaratan B2B – tidak ada pengecualian umum untuk usaha kecil dan menengah. Oleh karena itu, penyedia produk terhubung atau layanan cloud yang lebih kecil juga harus menyesuaikan operasi mereka dengan Peraturan ini tepat waktu.
