"Mengapa demikian? Situasi tersebut hampir pasti terjadi, akibat ketidaksolidan dalam perumusan pasal-pasal terkait dengan prosedur penegakan hukum," beber dia.

Pada dasarnya kata Djafar, Indonesia harus belajar dari praktik di banyak negara, di mana kunci efektivitas implementasi UU PDP berada pada otoritas perlindungan data.

Pihak tersebut kata dia, merupakan lembaga pengawas, yang akan memastikan kepatuhan pengendali dan pemroses data, serta menjamin pemenuhan hak-hak subjek data.

"Apalagi ketika UU PDP berlaku mengikat tidak hanya bagi sektor privat, tetapi juga badan publik (kementerian/lembaga), maka independensi dari otoritas ini menjadi mutlak adanya, untuk memastikan ketegasan dan fairness dalam penegakan hukum PDP," ucapnya.

Baca juga: DPR Sahkan UU Perlindungan Data Pribadi, Pelanggar Diancam Hukuman Hingga Rp 6 Miliar

Akan tetapi, sayangnya kata dia, meski UU PDP ditegaskan berlaku mengikat baik bagi korporasi maupun pemerintah, undang-undang tersebut justru mendelegasikan kepada Presiden untuk membentuk Lembaga Pemerintah Non Kementerian (LPNK).

Lembaga itu memiliki tanggung jawab langsung kepada Presiden. Artinya otoritas ini pada akhirnya takubahnya dengan lembaga pemerintah (eksekutif) lainnya.

"Padahal salah satu mandat utamanya (UU PDP) adalah memastikan kepatuhan kementerian/lembaga yang lain terhadap UU PDP, sekaligus memberikan sanksijika institusi pemerintah tersebut melakukan pelanggaran," kata Djafar.

Atas hal itu kata dia, timbul pertanyaan besar, apakah mungkin satu institusi pemerintah memberikan sanksi pada institusi pemerintah yang lain?

Belum lagi menurut ELSAM, UU PDP juga seperti memberikan cek kosong pada Presiden dalam artian, tidak secara detail mengatur perihal kedudukan dan struktur kelembagaan otoritas ini.

"Sehingga ‘kekuatan’ dari otoritas yang dibentuk akan sangat tergantung pada ‘niat baik’ Presiden yang akan merumuskannya," tegas Djafar.

Kondisi tersebut makin problematis dengan ‘ketidaksetaraan’ rumusan sanksi yang dapat diterapkan terhadap sektor publik dan sektor privat ketika melakukan pelanggaran.

Bila melakukan pelanggaran, sektor publik hanya mungkin dikenakan sanksi administrasi yang tertuang dalam Pasal 57 ayat 2.