Maraknya kasus kebocoran data pribadi menjadi peringatan serius bagi dunia usaha di Indonesia. Tidak hanya berdampak pada kepercayaan publik, kelalaian dalam melindungi data pribadi juga dapat menyeret perusahaan hingga jajaran direksi ke ranah pidana. Undang-Undang Nomor 27 Tahun 2022tentang Pelindungan Data Pribadi (UU PDP) menegaskan tanggung jawab pengelolaan data tidak bisa lagi dipandang sebagai urusan teknis semata, tapi kewajiban hukum yang mengikat seluruh organ perusahaan.
Vice Chairman Asosiasi Praktisi Pelindungan Data Indonesia (APPDI), Danny Kobrata mengungkapkan secara prinsip, perusahaan bertanggung jawab atas seluruh aktivitas pemrosesan data yang dilakukan oleh karyawan. Relasi kerja antara perusahaan dan pegawai tidak dapat dijadikan alasan untuk melepaskan tanggung jawab hukum ketika terjadi pelanggaran.
Dalam praktik, banyak kebocoran data justru berawal dari kelalaian internal akibat lemahnya pengawasan, minimnya standar operasional prosedur (SOP), maupun rendahnya kesadaran karyawan terhadap pentingnya keamanan data. Oleh karena itu, ketika terjadi penyalahgunaan data di dalam lingkungan perusahaan, tanggung jawab tidak serta-merta berhenti pada individu pelaku.
“Pada dasarnya perusahaan itu bertanggung jawab terhadap apa yang dilakukan oleh karyawannya. Kalau di dalam perusahaan terjadi penyalahgunaan data, apalagi dalam konteks pekerjaan, maka secara hukum perusahaan juga ikut dimintai pertanggungjawaban. Tidak bisa serta-merta mengatakan bahwa itu hanya ulah oknum,” ujar Danny saat menjadi pemateri dalam Masterclass Pelindungan Data Pribadi: Menguasai Teori, Regulasi, dan Implementasi, Selasa (10/2/2026).
Baca juga:
- UU PDP Berlaku Penuh, Pelaku Usaha Terjepit antara Kewajiban Patuh dan Minim Kepastian
- Modus Deepfake Makin Canggih, Data Pribadi Masyarakat Terancam
Menurutnya, sistem pengendalian internal sangat dibutuhkan. Misalnya melalui audit pemrosesan data dan pemetaan alur pengelolaan informasi pribadi, sehingga perusahaan dapat dengan mudah melihat apakah yang dilakukan telah sejalan dengan kewajiban pelindungan data. Langkah tersebut menjadi aspek dokumentasi dan rekam jejak apabila terjadi sengketa di kemudian hari.
“Di banyak negara, termasuk di Eropa, pembuktian itu sangat bergantung pada email dan korespondensi resmi. Dari situ bisa dilihat siapa yang memberi perintah, siapa yang mengetahui, dan siapa yang mengeksekusi. Kalau semuanya terdokumentasi, maka akan terlihat apakah kesalahan itu murni inisiatif pribadi atau karena sistem dan perintah atasan,” jelasnya.
Subject Matter Expert APPDI, Ridha Aditya Nugraha menjelaskan Pasal 70 UU PDP membuka ruang pertanggungjawaban pidana bagi pengurus, pemegang kendali, hingga pemilik manfaat apabila tindak pidana dilakukan dalam lingkup korporasi. Artinya, bukan hanya badan hukum yang dapat dikenai sanksi, tetapi juga individu-individu di baliknya.
“Dalam undang-undang ini, kalau tindak pidana dilakukan oleh korporasi, maka yang bisa dimintai pertanggungjawaban itu bukan hanya perusahaannya, tapi juga pengurus, direksi, bahkan pihak yang memberi perintah. Ini sangat serius,” ujar Ridha.
Subject Matter Expert APPDI, Ridha Aditya Nugraha. Fotografer/RES
Menurutnya, sanksi terhadap korporasi tidak hanya berupa denda biasa. UU PDP memungkinkan pengenaan denda hingga sepuluh kali lipat dari batas maksimum, disertai dengan berbagai pidana tambahan. Seperti perampasan keuntungan, pembekuan usaha, penutupan tempat kegiatan, hingga pencabutan izin dan pembubaran korporasi. Apalagi, dalam Pasal 71 UU PDP diatur mekanisme pembayaran denda, negara benar-benar serius dalam menagih sanksi kepada pelaku pelanggaran.
“Kalau denda tidak dibayar dalam waktu yang ditentukan, harta kekayaan bisa disita dan dilelang. Kalau masih tidak cukup, maka bisa diganti dengan pidana penjara. Pertanyaannya, siapa yang akhirnya masuk penjara? Itu bisa mengarah ke pengurus atau pihak yang bertanggung jawab,” tegasnya.
Dosen pengampu tema Pelindungan Data Pribadi Program Studi Hukum Bisnis Universitas Prasetiya Mulya ini mengatakan kesalahan dalam menyusun atau menjalankan SOP pelindungan data pribadi dapat menjadi faktor yang memberatkan perusahaan.
“Kalau SOP-nya salah, pengawasannya lemah, lalu terjadi kebocoran, itu bukan lagi urusan pribadi staf. Itu sudah menjadi tanggung jawab perusahaan. Di situ korporasi tidak bisa cuci tangan,” pungkasnya.
