Perusahaan Harus Pastikan Perlindungan Privasi Saat Merger dan Akuisisi

Liputan6.com, Jakarta - Beberapa waktu belakangan ini terjadi sejumlah langkah merger maupun akuisisi dari perusahaan teknologi. Salah satunya adalah penggabungan Gojek dan Tokopedia (GoTo) yang cukup menyita perhatian.

Menanggapi hal ini, Lembaga Studi dan Advokasi Masyarakat (ELSAM) menilai perlu ada perhatian khusus dari perusahaan terhadap privasi dan data pribadi dalam proses merger atau akuisisi.

Privasi termasuk data pribadi merupakan hak yang dilindungi dalam peraturan perundang-undangan, termasuk data pribadi pengguna platform di bawah kendali perusahaan teknologi.

“Kita melihat tren ke sini, tidak hanya negara, tetapi korporasi juga harus mempunyai pertanggungjawaban terhadap Hak Asasi Manusia (HAM),” kata Peneliti ELSAM, Lintang Setiani, dalam keterangan resmi yang diterima Tekno Liputan6.com, Rabu (30/6/2021).

Sementara itu, menurut Praktisi Keamanan Digital, Tony Seno Hartono, perlindungan data pribadi memiliki peranan besar dalam proses merger atau akuisisi.

Contohnya, akuisisi Verizon terhadap Yahoo pada 2017 yang ditawar menjadi US$ 350 juta atau sekitar Rp 5 triliun karena Yahoo telah mengalami dua kali kebocoran data.

“Dalam proses negosiasi, Verizon menemukan bahwa Yahoo ternyata pernah mengalami kebocoran data dua kali, sehingga Verizon menawar harga Yahoo menjadi USD 350 juta,” tuturnya.

Menurutnya ada beberapa standar untuk bisa meminimalisir dampak negatif dari kegagalan perlindungan data.  

Pertama, harmonisasi beberapa aspek berkaitan dengan pelindungan data pribadi, khususnya penguatan tanggung jawab korporasi terhadap penghormatan HAM sebagaimana direkomendasikan dalam United Nations Guiding Principles on Business and Human Rights. 

Tony menambahkan perlu adanya peningkatan standar keamanan siber di tingkat regulasi, sehingga ada daya paksa kepada pelaku usaha dan pemerintah yang mengelola data pribadi untuk meningkatkan sistem keamanan informasi di organisasinya.

Kedua, perlunya ekosistem yang melindungi data pribadi di perusahaan digital, yaitu dengan menerapkan penilaian risiko dan alokasi sumber daya.

Misalnya dengan adanya Data Protection Officer (DPO) atau Chief Information Security Officer (CISO) di dalam struktur perusahaannya.

Ketiga, pelindungan menyeluruh terhadap hak subjek data dalam proses merger dan akuisisi. Dalam hal ini, tidak hanya pengguna, tetapi juga karyawan dari perusahaan digital.

“Salah satunya adalah pemberian notifikasi akan melakukan merger, sehingga dengan adanya notifikasi tersebut, subjek diingatkan adanya perpindahan data dan perubahan struktur organisasi,” tutur Lintang.

Keempat, kepemilikan keamanan infrastruktur yang bisa memastikan bahwa tidak ada pelanggaran data pribadi yang terkait dengan sistem informasi. Misalnya penerapan UU ITE yang diturunkan ke peraturan pemerintah, peraturan Kemkominfo, peraturan OJK dan BSSN.

Tony menilai peraturan ini sudah bisa memaksa para pemain di industri pemerintahan, komunikasi, keuangan untuk meningkatkan pelindungan informasi di sektornya.

Pada penerapan poin ketiga, Lintang juga menyinggung mengenai proses merger antara Gojek dan Tokopedia yang menghadirkan GoTo. Menurutnya, kemungkinan GoTo telah memiliki beberapa fungsi perlindungan data pribadi seperti DPO dan CISO

“Pihak-pihak yang secara langsung bisa dihubungi atau mengawasi proses-proses ini. Fungsi ini cukup besar karena akan mengawasi secara objektif dan memberikan masukan kepada perusahaan,” katanya.

Lintang juga memaparkan bahwa sebagai pengguna kedua aplikasi dia juga sudah menerima notifikasi bahwa kedua perusahaan itu akan melakukan merger.

Harapannya korporasi bisa mengikuti langkah-langkah pelindungan data supaya data penggunanya tetap aman meski RUU PDP masih dalam proses pembahasan.

“Saat terjadi merger dan akuisisi tidak perlu khawatir karena perusahaan itu memproses data hasil olahan - yang lebih bernilai ketimbang data pribadi. Data olahan yang sifatnya agregat ini yang menjadi the new oil. Data pribadi hanyalah bahan,” tegasnya.

Artinya perusahaan tidak memproses data pribadi, tapi data anonim dan data agregat yang di luar ranah RUU PDP.

Data-data agregat tersebut kemudian bisa menjadi masukan untuk menciptakan inovasi-inovasi yang akan dilahirkan perusahaan dan melihat tren pasar.

“Sehingga, kekhawatiran misalnya terjadinya monopoli data tidak berdasar,” tutup Tony.

(Rif/Isk)