Suatu pagi, ponsel Anda berdering. Penelepon menyebut nama lengkap, nomor KTP, bahkan alamat rumah Anda, lalu menawarkan “pinjaman” yang tak pernah Anda ajukan. Anda tidak pernah memberikan data itu kepadanya. Data itu bocor dari suatu tempat, dan Anda bahkan tidak tahu dari mana.
Skenario ini begitu sering terjadi hingga banyak orang menganggapnya takdir digital. Hukum berpandangan lain. Kebocoran data bukan sekadar musibah teknologi, melainkan persoalan tanggung jawab. Pertanyaannya: siapa yang harus menanggung, dan bagaimana korban menuntut haknya?
1. Peta Hukum yang Berlaku
Tulang punggung pelindungan data adalah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang masa transisinya berakhir pada Oktober 2024 sehingga kini berlaku penuh. Aturan pelaksananya, PP No. 33 Tahun 2026, diundangkan pada 16 Juli 2026 dengan 225 pasal, dan menurut Pasal 225 mulai berlaku pada 16 Januari 2027.
Selain itu, UU ITE dan PP No. 71 Tahun 2019 tetap menjadi payung bagi penyelenggara sistem elektronik. Perlu dicatat pula bahwa lembaga pelindungan data pribadi yang diamanatkan UU PDP, per September 2026, belum terbentuk sepenuhnya. Namun kewajiban dalam UU PDP tetap berjalan, dan ketiadaan lembaga bukan alasan untuk lalai. Putusan Mahkamah Konstitusi No. 151/PUU-XXII/2024 juga mempertegas kewajiban menunjuk pejabat pelindungan data (DPO) bila salah satu kondisi dalam Pasal 53 UU PDP terpenuhi.
2. Siapa yang Bertanggung Jawab?
UU PDP membedakan pengendali data (pihak yang menentukan tujuan dan cara pemrosesan) dan prosesor data (pihak yang memproses atas nama pengendali). Pengendali wajib melindungi dan memastikan keamanan data yang diprosesnya, termasuk mencegah akses yang tidak sah (Pasal 35 dan 39).
Bila terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga yang berwenang. PP 33/2026 memperinci bahwa hitungan 3 x 24 jam berjalan setelah kegagalan itu dinyatakan pasti, patut, dan wajar berdasarkan dokumentasi seperti log sistem dan laporan forensik. PP ini juga melarang klausul eksonerasi yang mengurangi atau meniadakan kewajiban pengendali, sehingga kalimat “kami tidak bertanggung jawab atas kebocoran data” dalam syarat dan ketentuan tidak bisa menjadi perisai.
3. Kapan Sebuah Kebocoran Disebut Kelalaian?
Tidak setiap peretasan otomatis berarti perusahaan salah. Ukurannya adalah apakah pengendali telah menerapkan pengamanan teknis dan organisasional yang memadai. Beberapa indikator yang lazim dipakai untuk menilai kelalaian:
- tidak ada enkripsi atau kontrol akses yang layak atas data sensitif;
- tidak adanya catatan kegiatan pemrosesan dan penilaian dampak pelindungan data (ROPA dan DPIA) sebagaimana dirinci PP 33/2026;
- vendor atau prosesor tidak diawasi dan tidak terikat perjanjian pelindungan data;
- kebocoran terjadi tetapi tidak diberitahukan, atau diberitahukan terlambat.
Dengan kata lain, hukum tidak menuntut perusahaan kebal dari serangan siber. Hukum menuntut perusahaan bersiap, mendokumentasikan, dan bertindak cepat. Perusahaan yang bisa menunjukkan bukti kepatuhan akan berada pada posisi jauh lebih kuat daripada yang hanya berkata bahwa dirinya juga korban peretasan.
4. Hak Korban: Menggugat dan Menerima Ganti Rugi
Pasal 12 ayat (1) UU PDP menegaskan bahwa subjek data berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai ketentuan peraturan perundang-undangan. Landasan gugatannya lazim dirumuskan sebagai perbuatan melawan hukum menurut Pasal 1365 KUH Perdata, dengan empat unsur: perbuatan melawan hukum, kesalahan, kerugian, dan hubungan sebab akibat. UU ITE (Pasal 26) juga membuka ruang gugatan atas penggunaan data pribadi tanpa persetujuan.
Kerugian yang dapat dituntut meliputi kerugian materiil, misalnya dana yang hilang akibat penipuan atau biaya memulihkan akun, dan kerugian immateriil, seperti rasa takut, tekanan psikologis, dan gangguan privasi. Bila banyak korban mengalami hal yang sama, mekanisme gugatan perwakilan kelompok (class action) berdasarkan Perma No. 1 Tahun 2002 dapat menjadi pilihan agar proses lebih efisien.
Untuk menyusun gugatan yang kuat, korban dapat memanfaatkan haknya sebagai subjek data. PP 33/2026 menegaskan permintaan seperti akses, salinan, dan pembaruan data harus dipenuhi dalam 3 x 24 jam setelah identitas pemohon terverifikasi. Jawaban tertulis pengendali atas permintaan itu dapat menjadi bukti penting tentang data apa yang dikuasai dan bagaimana data tersebut diamankan.
5. Hambatan di Lapangan
Hak di atas kertas tidak selalu mudah diwujudkan. Pertama, pembuktian sebab akibat: korban sulit menunjukkan bahwa kerugiannya berasal dari kebocoran di perusahaan tertentu, sebab data seseorang bisa tersimpan di banyak tempat. Kedua, ketimpangan informasi: bukti teknis ada di tangan korporasi. Ketiga, sejumlah kajian akademik menyoroti belum adanya prosedur khusus yang mempermudah korban, sehingga mereka harus menempuh gugatan perdata biasa yang panjang dan mahal. Keempat, lembaga pengawas yang belum sepenuhnya berdiri membuat jalur pengaduan administratif belum optimal.
UU PDP sendiri membuka penyelesaian sengketa melalui arbitrase, pengadilan, atau lembaga alternatif penyelesaian sengketa (Pasal 64). Jalur ini penting, terutama untuk perkara yang nilai kerugiannya tidak sepadan dengan biaya litigasi.
6. Sanksi untuk Korporasi: Untuk Negara, Bukan untuk Korban
UU PDP mengatur sanksi administratif bagi pelanggar, mulai dari peringatan tertulis hingga denda administratif paling tinggi 2% dari pendapatan tahunan (Pasal 57). PP 33/2026 menegaskannya dalam Pasal 185, dengan catatan bahwa “pendapatan” dimaknai sebagai arus masuk bruto, bukan laba bersih, dan besaran denda dapat dipengaruhi jumlah serta kategori subjek yang terdampak. PP ini bahkan membuka kemungkinan denda ditetapkan hingga nol rupiah. Di jalur pidana, korporasi dapat dijatuhi pidana denda yang berlipat dari ancaman pidana pokok (Pasal 70).
Di sinilah letak persoalan yang jarang disadari: denda administratif masuk ke kas negara, bukan ke kantong korban. Karena itu, sanksi dan ganti rugi adalah dua jalur berbeda. Korban yang ingin dipulihkan tetap perlu menempuh jalur perdata atau penyelesaian sengketa.
7. Langkah Praktis
Bagi masyarakat: simpan bukti kerugian dan komunikasi dengan penyelenggara, minta pemberitahuan tertulis tentang insiden, ajukan keberatan atau permintaan akses data, dan pertimbangkan pendampingan lembaga bantuan hukum bila kerugian signifikan.
Bagi korporasi: tinjau prosedur respons insiden, susun ROPA dan DPIA, tunjuk pejabat pelindungan data bila diwajibkan, ikat vendor dengan perjanjian pelindungan data, dan hapus klausul eksonerasi dari kebijakan privasi sebelum PP 33/2026 berlaku efektif.
Penutup: Data Adalah Amanah
Data pribadi bukan komoditas gratis. Ia adalah amanah yang dititipkan warga kepada pihak yang memprosesnya. Ketika amanah itu bocor karena kelalaian, hukum menyediakan jalan untuk menagih tanggung jawab. Tantangannya kini bukan lagi ketiadaan aturan, melainkan keberanian korban menuntut dan kesungguhan negara menegakkannya.
Catatan: Artikel ini bersifat informatif dan bukan nasihat hukum. PP 33/2026 baru berlaku efektif pada 16 Januari 2027 dan lembaga pelindungan data pribadi masih dalam proses pembentukan, sehingga ketentuan teknisnya dapat berkembang. Untuk kasus konkret, konsultasikan dengan advokat atau lembaga bantuan hukum.