Penyelesaian Sengketa Pelindungan Data Pribadi Non Litigasi

PERTANYAAN

Ada hacker yang mengambil data pribadi dari web e-commerce lalu menggunakan data itu untuk mengakses dan melakukan hacking kepada pemilik data pribadi yang berdampak kerugian finansial. Adakah penyelesaian untuk meminta ganti kerugian spesifik secara nonlitigasi terkait dirugikannya data pribadi yang telah di-hack?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran kedua dari artikel dengan judul Penyelesaian Sengketa Data Pribadi yang dibuat oleh Dimas Hutomo, S.H. dan pertama kali dipublikasikan pada Kamis, 20 Juni 2019, lalu dimutakhirkan pertama kali oleh David Christian, S.H. pada 29 September 2022.

KLINIK TERKAIT

Jerat Hukum bagi Pelaku Cracking

12 Okt, 2026

Jerat Hukum Pakai KTP Orang Lain Tanpa Izin untuk Pinjol

17 Sep, 2026

Landasan Hukum Pelindungan Data Pribadi di Indonesia

15 Sep, 2026

Jika Nomor HP Dijadikan Kontak Darurat Pinjol Tanpa Izin

17 Jul, 2026

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Kewajiban Pelindungan Data Pribadi

Data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.[1]

Data pribadi terdiri atas data pribadi yang bersifat umum seperti nama lengkap dan jenis kelamin, serta data pribadi yang bersifat spesifik seperti data biometrik dan data keuangan pribadi.[2]

Dalam konteks pertanyaan Anda, perusahaan e-commerce menurut UU PDP dapat dikategorikan sebagai pengendali data pribadi, yaitu setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[3]

Sedangkan user selaku pemilik data pribadi disebut sebagai subjek data pribadi, yaitu orang perseorangan yang pada dirinya melekat data pribadi.[4]

Perusahaan e-commerce dalam menjalankan kegiatannya melakukan hal-hal yang melibatkan data pribadi user-nya, maka dari itu perusahaan e-commerce harus tunduk pada ketentuan mengenai pemrosesan data pribadi. Pemrosesan data pribadi meliputi pemerolehan dan pengumpulan, pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, dan/atau penghapusan atau pemusnahan.[5]

Pemrosesan data pribadi dilakukan sesuai dengan prinsip pelindungan data pribadi meliputi:[6]

1. pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan;
2. pemrosesan data pribadi dilakukan sesuai dengan tujuannya;
3. pemrosesan data pribadi dilakukan dengan menjamin hak subjek data pribadi;
4. pemrosesan data pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan;
5. pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan data pribadi;
6. pemrosesan data pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan data pribadi;
7. data pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan subjek data pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan; dan
8. pemrosesan data pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas

Selanjutnya, pengendali data pribadi wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya, dengan melakukan:[7]

1. penyusunan dan penerapan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan
2. penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi.

Di dalam Pasal 36 UU PDP disebutkan bahwa dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menjaga kerahasiaan data pribadi.

Selain itu, menurut Pasal 37 UU PDP, pengendali data pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendali pengendali data pribadi.

Terdapat juga kewajiban lain pengendali data pribadi, seperti melindungi data pribadi dari pemrosesan yang tidak sah dan mencegah data pribadi diakses secara tidak sah.[8]

Jika Terjadi Kegagalan Pelindungan Data Pribadi

Selaku pengendali data pribadi, maka perusahaan e-commerce harus menjalankan kewajiban yang diatur di dalam UU PDP sebagaimana kami sebutkan di atas.

Perusahaan e-commerce sebagai pengendali data pribadi wajib mencegah data pribadi user diakses secara tidak sah. Pencegahan tersebut dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab.[9]

Jika pengendali data pribadi terbukti tidak mencegah pengaksesan tidak sah atas data pribadi melalui sistem yang andal, aman, dan bertanggung jawab, maka dapat dikenai sanksi administratif.[10] Bentuk sanksi administratif tersebut berupa:[11]

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[12]

Selain itu, pihak e-commerce juga wajib menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam sejak kegagalan pelindungan data pribadi diketahui secara pasti, pautt, dan wajar kepada subjek data pribadi dan lembaga yang menyelenggarakan pelindungan data pribadi atas kegagalan pelindungan data pribadi. Pemberitahuan itu paling sedikit memuat:[13]

1. data pribadi yang terungkap;
2. kapan dan bagaimana data pribadi terungkap; dan
3. upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.

Selain penjatuhan sanksi administratif oleh lembaga yang ditunjuk,[14] subjek data pribadi juga berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.[15]

Penyelesaian Sengketa Perlindungan Data Pribadi Secara Non Litigasi

Pasal 64 ayat (1) UU PDP mengatur sebagai berikut.

Penyelesaian sengketa pelindungan data pribadi dilakukan melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan.

Hukum acara yang berlaku dalam penyelesaian sengketa dan/atau proses peradilan pelindungan data pribadi dilaksanakan berdasarkan hukum acara yang berlaku.[16]

Pengertian ‘sengketa’ dalam pelindungan data pribadi didefinisikan sebagai perbedaan kepentingan atau perselisihan yang terjadi antara para pihak yang bersengketa mengenai pelaksanaan atau pemenuhan hak dan/atau kewajiban pelindungan data pribadi salah satu pihak berdasarkan hubungan hukum di antara mereka.[17]

Merujuk ketentuan PP 33/2026 yang berlaku 6 bulan sejak tanggal diundangkan[18] yaitu 16 Januari 2027 mendatang, upaya penyelesaian sengketa pelindungan data pribadi secara nonlitigasi dapat dilakukan melalui:

1. Mediasi oleh lembaga yang menyelenggarakan pelindungan data pribadi

Hingga artikel ini diterbitkan, lembaga yang menyelenggarakan pelindungan data pribadi sebagaimana dimaksud UU PDP maupun PP 33/2026 belum dibentuk.

Namun demikian, lembaga ini nantinya akan memfasilitasi penyelesaian sengketa pelindungan data pribadi dengan mengutamakan mediasi.[19] Mediasi merupakan cara penyelesaian sengketa pelindungan data pribadi terkait data pribadi melalui proses perundingan untuk memperoleh kesepakatan para pihak yang bersengketa dengan dibantu mediator.[20]

Para pihak dapat menunjuk mediator yang harus berasal dari lembaga yang menyelenggarakan pelindungan data pribadi atau mediator dari lembaga mediasi yang terdaftar di lembaga yang menyelenggarakan pelindungan data pribadi.[21]

Selengkapnya mengenai tata cara mediasi pelindungan data pribadi dapat Anda baca ketentuan Pasal 211 s.d. Pasal 222 PP 33/2026.

Jika mediasi tidak berhasil mencapai kesepakatan dan dihentikan oleh mediator karena ada pihak yang tidak beriktikad baik, maka para pihak dapat melanjutkan penyelesaian sengketa dengan arbitrase atau pengadilan, atau tidak melanjutkan sengketa.[22]

2. Arbitrase

Arbitrase menurut Pasal 1 angka 1 UU 30/1999 adalah cara penyelesaian sengketa perdata di luar peradilan umum yang didasarkan pada perjanjian arbitrase yang dibuat secara tertulis oleh para pihak yang bersengketa.

Disarikan dari artikel 3 Perbedaan Mediasi dan Arbitrase, sengketa arbitrase diawali dengan persetujuan penyelesaian sengketa lewat arbitrase yang dimuat dalam suatu dokumen yang ditandatangani oleh para pihak. Kemudian, para pihak menentukan bersama arbiter yang akan menjadi eksekutor atau pengambil keputusan atas sengketa yang terjadi.

Arbiter adalah seorang atau lebih yang dipilih oleh para pihak yang bersengketa atau yang ditunjuk oleh pengadilan negeri atau lembaga arbitrase untuk memberikan putusan atas suatu sengketa.[23] Arbiter berperan untuk memberikan putusan sengketa para pihak.

Hasil putusan arbitrase bersifat win-lose judgement, final dan mempunyai kekuatan hukum tetap serta mengikat para pihak.

2. Lembaga Penyelesaian Sengketa Alternatif Lainnya

Menurut UU 30/1999, selain arbitrase terdapat lembaga penyelesaian sengketa alternatif selain arbitrase yaitu dengan cara konsultasi, negosiasi, mediasi, konsiliasi atau penilaian ahli.[24]

Menjawab pertanyaan Anda, saat ini Anda dapat mengajukan ganti rugi atas kegagalan pelindungan data pribadi oleh perusahaan e-commerce. Bagaimana caranya?

1. Meminta ganti rugi kepada pengendali data pribadi langsung.[25]
2. Melakukan upaya mediasi dengan mediator.
3. Menyelesaikan sengketa melalui arbitrase.

Demikian jawaban dari kami tentang penyelesaian sengketa pelindungan data pribadi, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 30 Tahun 1999 tentang Arbitrase dan Alternatif Penyelesaian Sengketa;
2. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
3. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

---

[1] Pasal 1 angka 1 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”).

[2] Pasal 4 UU PDP.

[3] Pasal 1 angka 4 UU PDP.

[4] Pasal 1 angka 6 UU PDP.

[5] Pasal 16 ayat (1) UU PDP

[6] Pasal 16 ayat (2) UU PDP

[7] Pasal 35 UU PDP

[8] Pasal 38 jo. Pasal 39 ayat (1) UU PDP

[9] Pasal 130 ayat (1) dan (2) Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)

[10] Pasal 57 ayat (1) UU PDP

[11] Pasal 57 ayat (2) UU PDP

[12] Pasal 57 ayat (3) UU PDP

[13] Pasal 114 ayat (1), (2), dan (3) PP 33/2026

[14] Pasal 57 ayat (4) UU PDP

[15] Pasal 12 ayat (1) UU PDP

[16] Pasal 200 ayat (2) PP 33/2026

[17] Pasal 1 angka 17 PP 33/2026

[18] Pasal 225 PP 33/2026

[19] Pasal 206 ayat (1) PP 33/2026

[20] Pasal 1 angka 10 PP 33/2026

[21] Pasal 207 PP 33/2026

[22] Pasal 217 ayat (6) PP 33/2026

[23] Pasal 1 angka 7 Undang-Undang Nomor 30 Tahun 1999 tentang Arbitrase dan Alternatif Penyelesaian Sengketa (“UU 30/1999”)

[24] Pasal 1 angka 10 UU 30/1999

[25] Pasal 106 ayat (1) PP 33/2026