Beberapa waktu lalu, data vital penduduk Indonesia yang menjadi peserta BPJS bocor dan dibagikan di grup Telegram. Data pribadi tersebut meliputi nama lengkap, nomor KTP, nomor KK, nama orang tua, alamat rumah, tempat dan tanggal lahir, status, agama, riwayat pendidikan, dan sebagainya. Apa sanksi yang dapat diterima pelaku penyebar data pribadi? Lantas bagaimana tanggung jawab BPJS atas kebocoran data pribadi penggunanya tersebut?
Daftar Isi
INTISARI JAWABAN
ULASAN LENGKAP
Terima kasih atas pertanyaan Anda.
Artikel dibawah ini adalah pemutakhiran dari artikel dengan judul sama yang dibuat olehNafiatul Munawaroh, S.H., M.H. dan pertama kali dipublikasikan pada 2Desember 2022.
Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.
BPJS selaku Pengendali Data Pribadi
Data pribadi peserta Badan Penyelenggara Jaminan Sosial (“BPJS”) yang Anda sebutkan yaitu nama lengkap, nomor KTP, nomor KK, alamat rumah, tempat tanggal lahir, agama, dan sebagainya, tergolong sebagai data pribadi yang bersifat umum.[1] Data-data tersebut wajib dilindungi berdasarkan UU PDP dan peraturan pelaksananya, yaitu PP 33/2026.
Belajar Hukum Secara Online dari Pengajar Berkompeten Dengan Biaya Terjangkau
Mulai DariRp. 149.000
Lantas, apakah BPJS tunduk pada ketentuan UU PDP berkaitan dengan kewajiban untuk melindungi data pribadi pesertanya? BPJS tunduk pada UU PDP, mengingat BPJS merupakan pengendali data pribadi, yaitu setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[2]
Selain itu, tunduknya BPJS kepada UU PDP dapat dijelaskan melalui bunyi Pasal 2 ayat (1) UU PDP, sebagai berikut:
Undang-undang ini berlaku untuk setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum sebagaimana diatur dalam undang-undang ini:
yang berada di wilayah hukum Negara Republik Indonesia; dan
di luar wilayah hukum Negara Republik Indonesia, yang memiliki akibat hukum:
di wilayah hukum Negara Republik Indonesia; dan/atau
bagi subjek data pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia.
BPJS termasuk kategori pengendali data pribadi berbentuk badan publik, yaitu lembaga eksekutif, legislatif, yudikatif dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari APBN dan/atau APBD, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya dari APBN dan/atau APBD, sumbangan masyarakat, dan/atau luar negeri.[3
Adapun yang dimaksud BPJS adalah badan hukum yang dibentuk untuk menyelenggarakan program jaminan sosial.[4] BPJS didirikan untuk mewujudkan sistem jaminan sosial nasional yang berbentuk badan hukum publik. Sementara itu, sistem jaminan sosial merupakan program negara yang bertujuan memberikan kepastian perlindungan dan kesejahteraan sosial.[5]
Aset BPJS sendiri salah satunya bersumber dari modal awal dari pemerintah yang merupakan kekayaan negara yang dipisahkan dan tidak terbagi atas saham.[6] Modal awal tersebut ditetapkan masing-masing maksimal Rp2 triliun dari APBN untuk BPJS Kesehatan dan BPJS Ketenagakerjaan.[7]
Dengan demikian, BPJS termasuk dalam kategori badan publik yang berkedudukan sebagai pengendali data pribadi sehingga tunduk pada ketentuan UU PDP.
Tanggung Jawab BPJS atas Kebocoran Data Pribadi
Sebelum menjawab pertanyaan Anda, kami asumsikan bahwa kebocoran data pribadi BPJS terjadi karena ada peretasan pihak ketiga. Perihal hal tersebut, UU PDP memberikan kewajiban-kewajiban kepada pengendali data pribadi (dalam kasus ini BPJS).
Salah satunya adalah kewajiban untuk melakukan pemrosesan data pribadi sesuai dengan prinsip pelindungan data pribadi, salah satunya adalah pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan, yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan dan/atau penghilangan data pribadi.[8]
Lebih lanjut, terdapat juga kewajiban yang diatur dalam Pasal 39 ayat (1) UU PDP, yang menyatakan bahwa pengendali data pribadi wajib mencegah data pribadi diakses secara tidak sah. Pencegahan ini dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab.[9]
Berdasarkan kewajiban-kewajiban tersebut, sudah jelas bahwa BPJS memiliki kewajiban untuk mencegah terjadinya kebocoran data pribadi dari peserta BPJS.
Lantas, bagaimana jika tidak dapat dicegah? Dalam situasi tersebut, maka telah terjadi kegagalan pelindungan data pribadi, yaitu kegagalan melindungi data pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak sengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap data pribadi yang dikirim, disimpan, atau diproses.[10]
Jika sudah terjadi kegagalan pelindungan data pribadi, maka pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam terhitung sejak kegagalan data pribadi diketahui secara pasti, patut, dan wajar, kepada subjek data pribadi dan lembaga yang menyelenggarakan pelindungan data pribadi, yang paling sedikit memuat:[11]
data pribadi yang terungkap;
kapan dan bagaimana data pribadi terungkap; dan
upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.
Pengendali data pribadi juga wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan data pribadi dalam hal:[12]
kegagalan pelindungan data pribadi mengganggu pelayanan publik; dan/atau
kegagalan pelindungan data pribadi berdampak serius terhadap kepentingan masyarakat.
Selain itu, pengendali data pribadi menyusun dokumentasi atas terjadinya kegagalan pelindungan data pribadi paling sedikit memuat:[13]
data pribadi yang dilindungi;
deskripsi kegagalan pelindungan data pribadi;
dampak atau akibat kegagalan pelindungan data pribadi terhadap subjek data pribadi dan pengendali data pribadi;
upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan
jangka waktu pemberitahuan kepada subjek data pribadi dan lembaga.
BPJS juga menetapkan dan melaksanakan kebijakan, prosedur, dan/atau pedoman internal mengenai pencegahan dan penanganan kebocoran data pribadi.[14]
Sanksi bagi BPJS atas Kebocoran Data Pribadi
Terhadap kasus kebocoran data peserta BPJS, pihak BPJS menurut hemat kami telah melanggar kewajiban-kewajiban yang sudah diuraikan di atas. Oleh karena itu, BPJS dapat dikenai sanksi administratif berupa:[15]
peringatan tertulis;
penghentian sementara semua kegiatan pemrosesan data pribadi;
penghapusan atau pemusnahan data pribadi; dan/atau
denda administratif dikenakan paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[16]
Dalam hal ini, Anda dapat mengajukan ke lembaga khusus yang menyelenggarakan pelindungan data pribadi yang nantinya akan ditetapkan oleh presiden.[17]
Selain sanksi administratif, peserta BPJS selaku subjek data pribadi yang dirugikan dapat menggugat secara perdata. Hal ini diatur di dalam Pasal 12 ayat (1) UU PDP yang menyebutkan bahwa subjek data pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi berdasarkan Pasal 1365 KUH Perdata tentang perbuatan melawan hukum.
Di lain sisi, pelaku yang meretas sistem BPJS dan menyebarkan data pribadi peserta BPJS melalui Telegram, diancam dengan pidana berdasarkan UU PDP. Hal tersebut sebagaimana tercantum dalam Pasal 67 ayat (1) dan (2) UU PDP jo. Pasal II ayat (5) huruf d UU 1/2026, yang mengatur:
Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi dipidana dengan pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[18]
Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya dipidana dengan pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[19]
Selain pada ketentuan UU PDP, pelaku peretasan juga menurut hemat kami dapat dijerat dengan ketentuan Pasal 332 UU 1/2023jo. Pasal VII angka 35 UU 1/2026, yang berbunyi:
Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik milik orang lain dengan cara apa pun, dipidana dengan pidana penjara paling lama 6 tahun atau pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.[20]
Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik dengan cara apa pun dengan tujuan untuk memperoleh informasi elektronik dan/atau dokumen elektronik, dipidana dengan pidana penjara paling lama 7 tahun atau pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.[21]
Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik dengan cara apa pun dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan, dipidana dengan pidana penjara paling lama 8 tahun atau pidana denda paling banyak kategori VI, yaitu sebesar Rp2 miliar.[22]
[10] Pasal 1 angka 18 Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)
