Kebocoran data pribadi sanksi hukumnya kini jauh lebih jelas sejak Undang-Undang Pelindungan Data Pribadi (UU PDP) berlaku. Perusahaan, instansi, bahkan perorangan bisa dikenai hukuman bila lalai menjaga data orang lain.
Kenapa topik ini penting? Karena hampir semua orang pernah menerima pesan penipuan yang tahu nama dan nomor ponselnya. Itu tanda data pribadi kita beredar di tempat yang tidak semestinya.
Sebagai praktisi hukum yang kerap mendampingi klien korban maupun pelaku usaha dalam perkara data, saya melihat satu kekeliruan yang berulang. Banyak pengelola data menganggap kebocoran hanya musibah teknis, padahal hukum memandangnya sebagai tanggung jawab.
Nah, di artikel ini kita akan bahas secara runtut. Mulai dari pengertian, sanksi administratif, ancaman pidana, kewajiban saat terjadi kebocoran, sampai langkah yang bisa kamu tempuh sebagai korban.
Apa Itu Kebocoran Data Pribadi? Pengertian dan Dasar Hukumnya
Kebocoran data pribadi adalah kejadian ketika data seseorang terbuka, hilang, berubah, atau diakses pihak yang tidak berwenang. Kejadian ini bisa terjadi akibat peretasan, kelalaian karyawan, atau sistem yang lemah.
Dasar hukum utamanya adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Selain itu, aturan turunan dan ketentuan sektoral ikut melengkapi.
UU PDP memberi masa transisi bagi para pengendali data untuk menyesuaikan diri. Masa itu sudah berakhir, sehingga seluruh ketentuan kini berlaku penuh.
Menurut saya, berakhirnya masa transisi adalah titik balik. Tidak ada lagi alasan “belum siap” ketika terjadi insiden.
Jenis Data Pribadi yang Dilindungi
UU PDP membagi data pribadi menjadi dua kelompok. Pembagian ini memengaruhi tingkat kehati-hatian yang wajib diterapkan.
- Data pribadi yang bersifat umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, dan status perkawinan.
- Data pribadi yang bersifat spesifik, seperti data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.
Data spesifik punya risiko lebih besar bila bocor. Karena itu, pengamanannya harus lebih ketat.
Penyebab Umum Kebocoran
Kebocoran jarang terjadi tanpa sebab yang bisa dicegah. Beberapa penyebab yang paling sering ditemui adalah sebagai berikut.
- Serangan siber seperti peretasan dan ransomware.
- Kata sandi lemah atau akses yang dibagikan sembarangan.
- Kelalaian karyawan, misalnya salah kirim berkas.
- Penyimpanan data tanpa enkripsi.
- Vendor atau pihak ketiga yang tidak diawasi.
Dari daftar ini, kamu bisa melihat bahwa sebagian besar kebocoran berakar pada tata kelola. Teknologi hanya sebagian dari persoalannya.
Kebocoran Data Pribadi Sanksi Administratif Menurut UU PDP
Sanksi administratif menjadi lapis pertama yang diberlakukan pada pelanggaran. Sanksi ini dijatuhkan oleh lembaga yang berwenang dalam pelindungan data pribadi.
Sifatnya berbeda dari pidana. Fokusnya adalah memperbaiki kepatuhan dan memberi efek jera tanpa harus melalui pengadilan pidana.
Jenis Sanksi Administratif
UU PDP mengenal beberapa bentuk sanksi administratif. Berikut yang dapat dijatuhkan kepada pengendali atau prosesor data.
- Peringatan tertulis.
- Penghentian sementara kegiatan pemrosesan data pribadi.
- Penghapusan atau pemusnahan data pribadi.
- Ganti kerugian.
- Denda administratif.
Penjatuhan sanksi disesuaikan dengan tingkat pelanggaran. Pelanggaran ringan bisa berhenti di peringatan, sedangkan pelanggaran berat dapat berujung pada penghentian kegiatan.
Batas Denda Administratif
Denda administratif dihitung dari pendapatan. UU PDP menetapkan batas paling tinggi sebesar dua persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Artinya, semakin besar pendapatan perusahaan, semakin besar potensi dendanya. Ketentuan ini membuat perusahaan besar tidak bisa menganggap denda sebagai ongkos biasa.
Rincian tata cara penghitungan diatur lebih lanjut dalam peraturan pelaksanaan. Karena itu, cek ketentuan terbaru sebelum menghitung eksposur hukum.
Peran Lembaga Pelindungan Data Pribadi
Penegakan sanksi administratif berada pada lembaga yang ditetapkan pemerintah. Lembaga ini menerima pengaduan, memeriksa, dan menjatuhkan sanksi.
Dalam praktik, pengaduan juga sering disampaikan melalui kementerian yang membidangi komunikasi dan digital. Kamu bisa memulai dari jalur ini bila menjadi korban.
Sanksi Pidana Kebocoran Data Pribadi
Selain sanksi administratif, UU PDP memuat ketentuan pidana. Ketentuan ini menyasar perbuatan yang dilakukan dengan sengaja dan melawan hukum.
Perlu dipahami, tidak semua kebocoran otomatis berujung pidana. Unsur kesengajaan dan sifat melawan hukum menjadi penentu.
Perbuatan yang Dilarang
UU PDP melarang beberapa perbuatan terhadap data pribadi milik orang lain. Larangan ini berlaku bagi siapa saja, bukan hanya perusahaan.
- Memperoleh atau mengumpulkan data pribadi yang bukan miliknya untuk keuntungan diri sendiri atau pihak lain.
- Mengungkapkan data pribadi yang bukan miliknya.
- Menggunakan data pribadi yang bukan miliknya.
- Membuat data pribadi palsu atau memalsukan data pribadi untuk keuntungan.
Menurut saya, larangan memperoleh dan menjual data adalah yang paling relevan hari ini. Jual beli data pribadi di ruang digital sudah terlalu lazim.
Ancaman Pidana Penjara dan Denda
Ancaman pidana bervariasi menurut perbuatannya. Secara umum, pidana penjara berkisar antara empat sampai enam tahun.
Dendanya juga besar, yaitu sekitar Rp4 miliar sampai Rp6 miliar. Pemalsuan data pribadi diancam lebih berat dibanding pengungkapan atau penggunaan.
Hakim dapat menjatuhkan penjara, denda, atau keduanya. Besaran pastinya mengikuti pasal yang terbukti.
Pidana bagi Korporasi
Korporasi juga bisa dipidana. Pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, atau korporasinya sendiri.
Khusus korporasi, pidana yang dijatuhkan berupa denda dengan batas paling banyak sepuluh kali dari maksimum denda yang diancamkan. Selain itu, ada pidana tambahan seperti perampasan keuntungan, pembekuan usaha, dan pencabutan izin.
Dengan ketentuan ini, direksi tidak bisa berlindung di balik nama perusahaan. Tanggung jawab bisa menjangkau orang yang mengendalikan keputusan.
Kewajiban Pengendali Saat Terjadi Kebocoran
UU PDP tidak hanya menghukum setelah kebocoran terjadi. Undang-undang ini juga mewajibkan langkah tertentu ketika insiden muncul.
Kepatuhan pada kewajiban ini sangat memengaruhi berat ringannya sanksi. Pengendali yang sigap biasanya berada pada posisi lebih baik.
Pemberitahuan Tertulis 3×24 Jam
Bila terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi pemberitahuan tertulis. Waktunya paling lambat tiga kali dua puluh empat jam.
Pemberitahuan ditujukan kepada subjek data pribadi dan lembaga yang berwenang. Isinya memuat data apa yang terungkap, kapan, dan bagaimana kejadiannya.
Pemberitahuan juga memuat upaya penanganan dan pemulihan oleh pengendali. Dalam kondisi tertentu, masyarakat perlu diberi tahu bila kegagalan mengganggu pelayanan publik.
Langkah Mitigasi dan Pencegahan
Selain pemberitahuan, pengendali perlu bergerak cepat. Langkah berikut umumnya diperlukan.
- Menghentikan sumber kebocoran dan mengamankan sistem.
- Menelusuri data apa saja yang terdampak.
- Menyiapkan pemulihan dan pendampingan bagi korban.
- Mendokumentasikan seluruh kronologi.
- Memperbaiki kebijakan keamanan agar kejadian tidak terulang.
Dokumentasi yang rapi sangat membantu bila nanti ada pemeriksaan. Catatan itu menunjukkan itikad baik pengendali.
Hak Korban dan Cara Menempuh Upaya Hukum
Korban kebocoran data tidak perlu pasrah. UU PDP memberi hak untuk menuntut pertanggungjawaban.
Namun, langkah yang diambil perlu terukur. Kumpulkan bukti dulu sebelum melapor.
Hak atas Ganti Rugi
Subjek data pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi miliknya. Gugatan diajukan secara perdata ke pengadilan.
Besaran ganti rugi bergantung pada kerugian yang bisa dibuktikan. Kerugian bisa berupa materi, seperti uang yang hilang karena penipuan, maupun gangguan lain yang nyata.
Langkah Praktis yang Bisa Kamu Lakukan
Jika kamu menduga data pribadimu bocor, lakukan langkah berikut secara berurutan.
- Simpan bukti, misalnya tangkapan layar pesan penipuan atau email pemberitahuan.
- Ganti kata sandi dan aktifkan verifikasi dua langkah.
- Hubungi pengendali data untuk meminta penjelasan tertulis.
- Laporkan ke lembaga berwenang atau kementerian terkait.
- Konsultasikan peluang gugatan perdata atau laporan pidana.
Menurut saya, bukti awal sering menentukan. Banyak korban kehilangan jejak karena menghapus pesan sebelum didokumentasikan.
FAQ Seputar Kebocoran Data Pribadi Sanksi
Apakah perusahaan yang datanya bocor pasti dipidana?
Tidak otomatis. Pidana mensyaratkan adanya kesengajaan dan perbuatan melawan hukum, sedangkan kelalaian umumnya dikenai sanksi administratif.
Berapa lama perusahaan wajib memberi tahu korban?
Paling lambat tiga kali dua puluh empat jam sejak kegagalan pelindungan data diketahui. Pemberitahuan dilakukan secara tertulis.
Bisakah korban menuntut ganti rugi?
Bisa. Subjek data pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan datanya, dengan bukti kerugian yang jelas.
Kesimpulan
Kebocoran data pribadi sanksi dalam UU PDP mencakup sanksi administratif, pidana, dan ganti rugi perdata. Setiap jenis sanksi menyasar tingkat pelanggaran yang berbeda.
Menurut saya, pengelola data sebaiknya berhenti menganggap keamanan data sebagai urusan tim IT saja. Direksi dan pemilik usaha ikut menanggung risiko hukumnya.
Jika kamu korban kebocoran data atau pelaku usaha yang ingin memastikan kepatuhan pada UU PDP, klik poster yang tersedia atau tombol KONSULTASI GRATIS di pojok kanan website ini. Tim kami siap membantu menelaah posisi hukummu dengan cermat dan rahasia.
Ringkasan
- UU PDP mengatur sanksi bagi kebocoran dan penyalahgunaan data pribadi.
- Sanksi administratif meliputi peringatan, penghentian pemrosesan, penghapusan data, ganti kerugian, dan denda.
- Denda administratif dibatasi paling tinggi dua persen dari pendapatan tahunan.
- Pidana penjara berkisar empat sampai enam tahun dengan denda Rp4 miliar sampai Rp6 miliar.
- Korporasi dapat dikenai denda hingga sepuluh kali lipat dari maksimum denda.
- Pengendali wajib memberi pemberitahuan tertulis paling lambat 3×24 jam.
- Korban berhak menggugat ganti rugi secara perdata.
- Simpan bukti sejak awal untuk memperkuat laporan.
Referensi
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
- Peraturan Pemerintah tentang pelaksanaan UU Pelindungan Data Pribadi.
- Kementerian Komunikasi dan Digital Republik Indonesia, “Informasi Pelindungan Data Pribadi,” komdigi.go.id.
- Kementerian Hukum, “Basis Data Peraturan Perundang-undangan,” peraturan.go.id.
- Badan Siber dan Sandi Negara, “Informasi Keamanan Siber,” bssn.go.id.
