Data pribadi bocor hak menuntut UU PDP

Tanda-tanda data Anda kemungkinan bocor:

• Anda menerima pemberitahuan dari perusahaan atau instansi bahwa terjadi insiden keamanan data.
• Orang tak dikenal menelepon atau mengirim pesan dengan menyebut nama lengkap, NIK, alamat, atau nomor rekening Anda.
• Muncul tagihan, pinjaman, atau akun atas nama Anda yang tidak pernah Anda buat.
• Ada percobaan masuk ke akun email, media sosial, atau aplikasi keuangan Anda.

Sebelum bertindak, jawab tiga pertanyaan ini:

1. Dari mana data itu kemungkinan bocor? Pihak yang mengumpulkan dan mengelola data Anda (bank, e-commerce, aplikasi, instansi) adalah Pengendali Data Pribadi. Merekalah yang menanggung kewajiban dalam UU PDP.
2. Data apa saja yang terungkap? NIK dan foto KTP, data rekening, kata sandi, atau data kesehatan memiliki risiko yang berbeda.
3. Apakah sudah ada kerugian nyata? Misalnya saldo hilang atau pinjaman atas nama Anda. Bila ya, selain urusan dengan pengendali data, ada juga urusan pidana dengan pelaku.

---

1. Pengendali data wajib menjaga keamanan data Anda

• Pengendali Data Pribadi wajib melindungi dan memastikan keamanan data yang diprosesnya, dengan menyusun langkah teknis operasional dan menentukan tingkat keamanan sesuai sifat dan risiko data (Pasal 35 UU 27/2022).
• Pengendali juga wajib menjaga kerahasiaan data (Pasal 36) dan wajib mencegah data diakses secara tidak sah (Pasal 39 ayat (1)).
• Masa penyesuaian bagi pengendali data adalah paling lama 2 tahun sejak UU PDP diundangkan pada 17 Oktober 2022 (Pasal 74), sehingga kewajiban ini sudah berlaku penuh.

2. Anda wajib diberi tahu bila terjadi kegagalan pelindungan data

• Bila terjadi kegagalan Pelindungan Data Pribadi, pengendali wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan kepada lembaga (Pasal 46 ayat (1)).
• Pemberitahuan itu minimal memuat: data pribadi yang terungkap; kapan dan bagaimana data terungkap; serta upaya penanganan dan pemulihannya (Pasal 46 ayat (2)). Dalam hal tertentu, pengendali juga wajib memberi tahu masyarakat (Pasal 46 ayat (3)).
• Catatan: kewajiban memberi tahu subjek data dikecualikan untuk kepentingan tertentu, antara lain pertahanan dan keamanan nasional serta proses penegakan hukum (Pasal 50 ayat (1)).

3. Hak-hak Anda sebagai subjek data

• Mendapatkan informasi tentang identitas, dasar kepentingan hukum, dan tujuan pihak yang meminta data Anda (Pasal 5).
• Memperbaiki atau memperbarui data (Pasal 6), mendapatkan akses dan salinan data (Pasal 7), mengakhiri pemrosesan, menghapus, atau memusnahkan data (Pasal 8), serta menarik kembali persetujuan (Pasal 9).
• Permintaan atas hak-hak tersebut diajukan melalui permohonan tercatat, secara elektronik atau nonelektronik, kepada pengendali data (Pasal 14).
• Untuk beberapa permintaan, UU PDP memberi tenggat yang tegas: perbaikan data paling lambat 3 x 24 jam sejak permintaan diterima (Pasal 30 ayat (1)), dan akses data paling lambat 3 x 24 jam sejak permintaan akses diterima (Pasal 32 ayat (2)).

4. Hak menggugat dan menerima ganti rugi

• Subjek data berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya (Pasal 12 ayat (1)). Tata caranya diatur lebih lanjut dalam Peraturan Pemerintah (Pasal 12 ayat (2)).
• Peraturan pelaksananya, PP 33/2026, telah ditetapkan dan diundangkan pada 16 Juli 2026 dan baru mulai berlaku enam bulan setelah diundangkan.
• Gugatan juga dapat didasarkan pada perbuatan melawan hukum (Pasal 1365 KUHPerdata). Sengketa data pribadi diselesaikan melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif (Pasal 64 ayat (1)), dan informasi atau dokumen elektronik diakui sebagai alat bukti (Pasal 64 ayat (3)).

5. Sanksi bagi pengendali data dan pidana bagi pelaku

• Pengendali yang melanggar kewajiban, termasuk Pasal 35, 36, 39 ayat (1), serta Pasal 46 ayat (1) dan (3), dapat dikenai sanksi administratif: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (1)–(3)). Sanksi ini dijatuhkan oleh lembaga (Pasal 57 ayat (4)).
• Pihak yang secara melawan hukum memperoleh atau mengumpulkan, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya dilarang oleh Pasal 65 ayat (1), (2), dan (3). Ancaman pidananya diatur Pasal 67: penjara paling lama 5 tahun untuk ayat (1) dan (3), serta paling lama 4 tahun untuk ayat (2).
• Ancaman denda dalam Pasal 67 telah disesuaikan oleh UU 1/2026 tentang Penyesuaian Pidana menjadi paling banyak kategori IV (Pasal II ayat (5) huruf d dan Lampiran I UU 1/2026), yaitu Rp200 juta (Pasal 79 ayat (1) huruf d KUHP baru). Angka lama "Rp5 miliar" dan "Rp4 miliar" yang masih sering dikutip sudah tidak berlaku.
• Bila data Anda dipakai untuk menipu, pelaku juga dapat dijerat penipuan (Pasal 492 KUHP baru, UU 1/2023; dahulu Pasal 378 KUHP lama) dan penyebaran informasi menyesatkan yang merugikan konsumen dalam transaksi elektronik (Pasal 28 ayat (1) jo. Pasal 45A ayat (1) UU 1/2024 tentang Perubahan Kedua UU ITE).

6. Status lembaga pengawas PDP

• UU PDP menugaskan sebuah lembaga yang ditetapkan oleh dan bertanggung jawab kepada Presiden untuk mengawasi, menegakkan hukum administratif, dan memfasilitasi penyelesaian sengketa di luar pengadilan (Pasal 58 dan 59).
• Hingga artikel ini ditulis, lembaga tersebut belum terbentuk; Peraturan Presiden pembentukannya masih menunggu penetapan. Menurut keterangan Kementerian Komunikasi dan Digital (Komdigi), fungsi pelindungan data pribadi sementara dijalankan Komdigi melalui Direktorat Jenderal Pengawasan Ruang Digital. Akibatnya, sanksi administratif Pasal 57 belum dapat diandalkan sebagai jalan cepat bagi korban.

---

Langkah	Ke mana	Kapan	Catatan
Amankan akun	Semua akun yang memakai email, nomor HP, atau kata sandi yang sama	Segera	Ganti kata sandi, aktifkan verifikasi dua langkah, dan blokir kartu bila data rekening atau kartu ikut bocor.
Permohonan tercatat ke pengendali data	Kanal pengaduan resmi perusahaan atau instansi yang datanya bocor	Segera setelah tahu	Minta informasi data apa yang terungkap, kapan, dan upaya pemulihannya (Pasal 46 ayat (2)), salinan data Anda (Pasal 7), dan bila perlu penghapusan (Pasal 8). Simpan bukti pengiriman dan nomor tiket (Pasal 14).
Pengaduan ke OJK (bila pengendali adalah lembaga jasa keuangan)	Kontak OJK 157: telepon 157, WhatsApp 081157157157, email [email protected], atau portal kontak157.ojk.go.id	Bila tanggapan lembaga keuangan tidak memuaskan	Lampirkan nomor pengaduan dan tanggapan dari lembaga keuangan tersebut.
Laporan polisi	Polsek/Polres terdekat	Segera bila data sudah dipakai untuk menipu, mengajukan pinjaman, atau disebarkan	Sampaikan dugaan pelanggaran Pasal 65 jo. 67 UU PDP dan, bila ada kerugian uang, Pasal 492 KUHP baru. Minta tanda bukti laporan.
Informasi ke Komdigi	Komdigi (fungsi PDP sementara di Ditjen Pengawasan Ruang Digital)	Bila diperlukan	Kami belum menemukan kanal pengaduan khusus kebocoran data yang dipublikasikan resmi; periksa langsung situs resmi komdigi.go.id.
Gugatan ganti rugi	Pengadilan negeri, arbitrase, atau lembaga penyelesaian sengketa alternatif	Setelah bukti dan kerugian terdokumentasi	Dasar: Pasal 12 ayat (1) UU PDP dan Pasal 1365 KUHPerdata; forum sesuai Pasal 64 ayat (1) UU PDP.

Soal waktu: tenggat 3 x 24 jam dalam UU PDP adalah kewajiban pengendali data, bukan batas waktu bagi Anda. UU PDP tidak menetapkan tenggat khusus bagi subjek data untuk melapor atau menggugat, tetapi makin cepat Anda bertindak, makin kecil peluang data dipakai untuk penipuan dan makin lengkap bukti yang bisa dikumpulkan.

---

Wajib:

1. KTP dan bukti bahwa Anda pengguna atau pelanggan layanan tersebut (akun, kontrak, struk, tangkapan layar profil).
2. Bukti kebocoran: surat atau email pemberitahuan dari pengendali data, pengumuman publik, atau tangkapan layar data Anda yang beredar (catat alamat situs, tanggal, dan jam).
3. Kronologi tertulis: kapan Anda tahu, tanda-tanda apa yang muncul, dan langkah apa yang sudah Anda ambil.
4. Bukti permohonan tercatat ke pengendali data beserta jawabannya (atau bukti bahwa tidak dijawab).

Pendukung: 5. Bukti kerugian: mutasi rekening, tagihan atau pinjaman yang tidak Anda buat, bukti transfer kepada penipu, kuitansi biaya penggantian kartu atau dokumen. 6. Tangkapan layar pesan atau telepon dari pihak yang menyalahgunakan data Anda, beserta nomor atau akun pelaku. 7. Tanda bukti laporan polisi dan nomor pengaduan OJK (bila ada).

---

Jebakan 1: Mengira perusahaan otomatis dipidana karena datanya bocor ❌ JANGAN menganggap kebocoran data otomatis membuat perusahaan dipenjara atau didenda miliaran. ✅ YANG BENAR: pidana Pasal 67 UU PDP ditujukan kepada orang yang secara melawan hukum memperoleh, mengungkapkan, atau menggunakan data milik orang lain. Kelalaian pengendali data diancam sanksi administratif (Pasal 57), sedangkan kerugian Anda dituntut lewat gugatan ganti rugi (Pasal 12 ayat (1)).

---

Jebakan 2: Hanya mengadu lewat chat atau telepon ❌ JANGAN berhenti di percakapan customer service tanpa jejak. ✅ YANG BENAR: ajukan permohonan tercatat secara tertulis (Pasal 14) dan simpan bukti pengirimannya. Bukti ini penting bila Anda nanti mengadu ke regulator atau menggugat.

---

Jebakan 3: Menunggu "lembaga PDP" turun tangan ❌ JANGAN menunda langkah sambil menunggu lembaga pengawas. ✅ YANG BENAR: lembaga tersebut belum terbentuk. Gunakan jalur yang sudah tersedia: pengendali data, OJK bila menyangkut lembaga keuangan, polisi, dan pengadilan.

---

Jebakan 4: Menanggapi pihak yang mengaku "petugas pemulihan data" ❌ JANGAN memberikan OTP, PIN, kata sandi, atau membayar biaya kepada pihak yang menghubungi Anda setelah kebocoran. ✅ YANG BENAR: data yang bocor sering dipakai untuk penipuan lanjutan. Hubungi perusahaan hanya lewat kanal resmi yang tercantum di aplikasi atau situs resminya.

---

Jebakan 5: Menuntut angka ganti rugi tanpa bukti ❌ JANGAN mengajukan angka ganti rugi yang tidak bisa Anda buktikan. ✅ YANG BENAR: UU PDP tidak menetapkan besaran ganti rugi. Hakim akan menilai bukti pelanggaran dan kerugian, jadi dokumentasikan setiap kerugian dan biaya yang timbul.

---