Maraknya kasus kebocoran data pribadi menjadi peringatan serius bagi dunia usaha di Indonesia. Tidak hanya berdampak pada kepercayaan publik, kelalaian dalam melindungi data pribadi juga dapat menyeret perusahaan hingga jajaran direksi ke ranah pidana. Undang-Undang Nomor 27 Tahun 2022tentang Pelindungan Data Pribadi (UU PDP) menegaskan tanggung jawab pengelolaan data tidak bisa lagi dipandang sebagai urusan teknis semata, tapi kewajiban hukum yang mengikat seluruh organ perusahaan.
Vice Chairman Asosiasi Praktisi Pelindungan Data Indonesia (APPDI), Danny Kobrata mengungkapkan secara prinsip, perusahaan bertanggung jawab atas seluruh aktivitas pemrosesan data yang dilakukan oleh karyawan. Relasi kerja antara perusahaan dan pegawai tidak dapat dijadikan alasan untuk melepaskan tanggung jawab hukum ketika terjadi pelanggaran.
Dalam praktik, banyak kebocoran data justru berawal dari kelalaian internal akibat lemahnya pengawasan, minimnya standar operasional prosedur (SOP), maupun rendahnya kesadaran karyawan terhadap pentingnya keamanan data. Oleh karena itu, ketika terjadi penyalahgunaan data di dalam lingkungan perusahaan, tanggung jawab tidak serta-merta berhenti pada individu pelaku.
“Pada dasarnya perusahaan itu bertanggung jawab terhadap apa yang dilakukan oleh karyawannya. Kalau di dalam perusahaan terjadi penyalahgunaan data, apalagi dalam konteks pekerjaan, maka secara hukum perusahaan juga ikut dimintai pertanggungjawaban. Tidak bisa serta-merta mengatakan bahwa itu hanya ulah oknum,” ujar Danny saat menjadi pemateri dalam Masterclass Pelindungan Data Pribadi: Menguasai Teori, Regulasi, dan Implementasi, Selasa (10/2/2026).
Baca juga:
- UU PDP Berlaku Penuh, Pelaku Usaha Terjepit antara Kewajiban Patuh dan Minim Kepastian
- Modus Deepfake Makin Canggih, Data Pribadi Masyarakat Terancam
Menurutnya, sistem pengendalian internal sangat dibutuhkan. Misalnya melalui audit pemrosesan data dan pemetaan alur pengelolaan informasi pribadi, sehingga perusahaan dapat dengan mudah melihat apakah yang dilakukan telah sejalan dengan kewajiban pelindungan data. Langkah tersebut menjadi aspek dokumentasi dan rekam jejak apabila terjadi sengketa di kemudian hari.
“Di banyak negara, termasuk di Eropa, pembuktian itu sangat bergantung pada email dan korespondensi resmi. Dari situ bisa dilihat siapa yang memberi perintah, siapa yang mengetahui, dan siapa yang mengeksekusi. Kalau semuanya terdokumentasi, maka akan terlihat apakah kesalahan itu murni inisiatif pribadi atau karena sistem dan perintah atasan,” jelasnya.
