Tanggung Jawab Pemerintah atas Kebocoran Data Pribadi

PERTANYAAN

Kami sebagai warga masyarakat was-was jika data pribadi kami yang dikelola pemerintah bocor akibat kelalaian pemerintah dalam mengelola data pribadi. Apalagi baru-baru ini PDN diretas sehingga data pribadi masyarakat bocor, diduga akibat keamanan siber PDN yang lemah. Saya sering membaca rubrik Klinik Hukum mengenai jerat pidana bagihackeryang mencuri data pribadi. Namun, bagaimana bentuk tanggung jawab pemerintah sebagai pengelola data pribadi yang lalai dalam menjalankan kewajibannya? Adakah bentuk pertanggungjawabannya? Mohon penjelasannya.

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel dibawah ini adalah pemutakhiran dari artikel dengan judul sama yang dibuat oleh Nafiatul Munawaroh, S.H., M.H. dan pertama kali dipublikasikan pada 5 Juli 2024.

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Wewenang Pusat Data Nasional dan Kewajiban Hukumnya

Kami asumsikan bahwa yang Anda maksud dengan Pusat Data Nasional atau PDN merupakan pusat data yang diatur di dalam Perpres SPBE. Definisi dari pusat data adalah fasilitas yang digunakan untuk penempatan sistem elektronik dan komponen terkait lainnya untuk keperluan penempatan, penyimpanan dan pengolahan data, dan pemulihan data.[1]

PDN sendiri merupakan bagian dari infrastruktur sistem pemerintahan berbasis elektronik (“SPBE”) nasional, yaitu infrastruktur SPBE yang terhubung dengan infrastruktur SPBE instansi pusat dan pemerintah daerah dan digunakan secara bagi pakai oleh instansi pusat dan pemerintah daerah.[2]

Adapun, yang dimaksud dengan infrastruktur SPBE merupakan semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untuk menjalankan sistem, aplikasi, komunikasi data, pengolahan dan penyimpanan data, perangkat integrasi/penghubung, dan perangkat elektronik lainnya.[3]

Secara struktur, PDN terdiri atas pusat data yang diselenggarakan oleh Menteri Komunikasi dan Digital (“Menkomdigi”) dan/atau pusat data instansi pusat dan pemerintah daerah yang memenuhi persyaratan tertentu.[4]

Adapun, beberapa kewajiban hukum PDN antara lain:[5]

1. memenuhi standar nasional Indonesia terkait desain dan manajemen pusat data (antara lain manajemen risiko dan manajemen keamanan informasi);[6]
2. menyediakan fasilitas bagi pakai dengan instansi pusat dan pemerintah daerah lain;
3. mendapatkan pertimbangan kelaikan operasi dari Menkomdigi; dan
4. mendapatkan pertimbangan kelaikan keamanan siber dari kepala lembaga yang menyelenggarakan tugas pemerintahan di bidang keamanan siber (dalam hal ini adalah Badan Siber dan Sandi Negara atau BSSN).

Tanggung Jawab Pemerintah atas Kebocoran Data Pribadi

Kebocoran data pribadi yang terjadi akibat hacking, menurut UU PDP dan peraturan pelaksananya PP 33/2026 disebut dengan istilah kegagalan pelindungan data pribadi, yaitu kegagalan melindungi data pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap data pribadi yang dikirim, disimpan, atau diproses.[7]

Dalam aturan pelindungan data pribadi, Menkomdigi sebagai penyelenggara PDN termasuk sebagai pengendali data pribadi yang berbentuk badan publik.[8]

Adapun yang dimaksud dengan pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[9]

Sebagai pengendali data pribadi, terdapat kewajiban untuk mencegah kebocoran data pribadi dengan melindungi keamanan data pribadi dari pengaksesan dan pengungkapan yang tidak sah, penyalahgunaan, perusakan dan/atau penghilangan data pribadi.[10]

Jika terjadi kebocoran data pribadi, maka pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam dihitung sejak kegagalan pelindungan data pribadi diketahui secara pasti, patut, dan wajar kepada penggunanya (subjek data pribadi) dan lembaga yang menyelenggarakan data pribadi.[11]

Pemberitahuan tersebut harus memuat data pribadi yang terungkap, kapan dan bagaimana data pribadi tersebut bocor (terungkap), serta upaya penanganan serta pemulihan atas terungkapnya data pribadi.[12]

Apabila kegagalan pelindungan data pribadi (seperti kebocoran data pribadi) mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat, maka pengendali data pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan data pribadi.[13] Kewajiban ini dilaksanakan secara umum melalui media elektronik dan/atau nonelektronik.[14]

Selain itu, pengendali data pribadi juga wajib menyusun dokumentasi atas terjadinya kegagalan pelindungan data pribadi yang paling sedikit memuat:^[15]

1. data pribadi yang dilindungi;
2. deskripsi kegagalan pelindungan data pribadi;
3. dampak atau akibat kegagalan pelindungan data pribadi terhadap subjek data pribadi dan pengendali data pribadi;
4. upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan
5. jangka waktu pemberitahuan kepada subjek data pribadi dan lembaga yang menyelenggarakan pelindungan data pribadi.

Dokumentasi atas terjadinya kegagalan pelindungan data pribadi yang disusun oleh pengendali data pribadi disampaikan kepada lembaga yang menyelenggarakan pelindungan data pribadi.[16]

Selain diatur dalam UU PDP dan PP 33/2026, kebocoran data pribadi yang diselenggarakan oleh pemerintah juga diatur di dalam PP 71/2019. Pemerintah atau penyelenggara negara dalam PP 71/2019 tergolong sebagai penyelenggara sistem elektronik lingkup publik.[17]

Jika kemudian terjadi kebocoran data pribadi (kegagalan pelindungan data pribadi) yang dikelolanya, maka penyelenggara sistem elektronik, termasuk dalam hal ini adalah pemerintah, wajib memberitahukan secara tertulis kepada pemilik data pribadi tersebut.[18]

Pemberitahuan secara tertulis apabila terjadi kegagalan pelindungan rahasia data pribadi tersebut harus memenuhi ketentuan dalam Pasal 28 huruf c Permenkominfo 20/2016 sebagai berikut:

1. harus disertai alasan atau penyebab terjadinya kegagalan perlindungan rahasia data pribadi;
2. dapat dilakukan secara elektronik jika pemilik data pribadi telah memberikan persetujuan untuk itu yang dinyatakan pada saat dilakukan perolehan dan pengumpulan data pribadinya;
3. harus dipastikan telah diterima oleh pemilik data pribadi jika kegagalan tersebut mengandung potensi kerugian bagi yang bersangkutan; dan
4. pemberitahuan tertulis dikirimkan kepada pemilik data pribadi paling lambat 14 hari sejak diketahui adanya kegagalan tersebut.

Apabila penyelenggara sistem elektronik tidak memberitahukan secara tertulis kepada pemilik data pribadi, maka dapat dikenai sanksi administratif berupa teguran tertulis, denda administratif, penghentian sementara, pemutusan akses, dan/atau dikeluarkan dari daftar. Adapun, sanksi administratif ini diberikan oleh Menkomdigi.[19]

Begitu pula di dalam UU PDP, jika pengendali data pribadi tidak memberitahukan pemberitahuan tertulis, maka dapat dikenai sanksi administratif berupa:[20]

1. peringatan tertulis;
2. penghentian sementara semua kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif dikenakan paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[21]

Sanksi administratif dapat dikenakan lebih dari satu secara bersamaan serta dapat dikenai dengan atau tanpa didahului pengenaan sanksi administratif berupa peringatan tertulis.[22]

Adapun yang berwenang menjatuhkan sanksi administratif adalah lembaga yang menyelenggarakan pelindungan data pribadi.[23]

Sepanjang penelusuran kami, selain tanggung jawab pemerintah selaku pengendali data pribadi untuk melakukan pemberitahuan tertulis jika ada kebocoran data pribadi, Pasal 12 UU PDP menegaskan bahwa subjek data pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Hak untuk menggugat dan menerima ganti rugi lebih lanjut diatur dalam Pasal 105 s.d Pasal 110 PP 33/2026.

Namun demikian, perlu diperiksa kembali, apakah pengendali data pribadi sudah mematuhi ketentuan pemrosesan data pribadi dan apakah telah melaksanakan ketentuan keamanan data pribadi. Jika kemudian masyarakat akan mengajukan gugatan, maka harus dibuktikan terlebih dahulu kebocoran data pribadi itu ada unsur kelalaian/kesalahan pemerintah atau tidak.

Baca juga: Landasan Hukum Pelindungan Data Pribadi di Indonesia

Perkaya riset hukum Anda dengan analisis hukum terbaru dwibahasa, serta koleksi terjemahan peraturan yang terintegrasi dalam Hukumonline Pro, pelajari lebih lanjut di sini.

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
2. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;
3. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
4. Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik;
5. Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik.

---

[1] Pasal 1 angka 18 Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (“Perpres SPBE”)

[2] Pasal 27 ayat (2) huruf a jo. Pasal 1 angka 16 Perpres SPBE

[3] Pasal 1 angka 15 Perpres SPBE

[4] Pasal 27 ayat (5) Perpres SPBE

[5] Pasal 30 ayat (2) Perpres SPBE

[6] Lihat Pasal 46 ayat (1) Perpres SPBE

[7] Pasal 1 angka 18 Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)

[8] Lihat Pasal 1 angka 9 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)

[9] Pasal 1 angka 4 UU PDP

[10] Pasal 16 ayat (2) huruf e UU PDP

[11] Pasal 46 ayat (1) UU PDP jo. Pasal 114 ayat (2) PP 33/2026

[12] Pasal 46 ayat (2) UU PDP

[13] Pasal 46 ayat (3) UU PDP dan penjelasannya

[14] Pasal 115 ayat (2) PP 33/2026

[15] Pasal 116 ayat (1) PP 33/2026

[16] Pasal 116 ayat (2) PP 33/2026

[17] Lihat Pasal 1 angka 4 dan 5 Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (“PP 71/2019”)

[18] Pasal 14 ayat (5) PP 71/2019

[19] Pasal 14 ayat (5) jo. Pasal 100 ayat (1), (2) dan (3) PP 71/2019

[20] Pasal 57 ayat (1) dan (2) jo. Pasal 46 dan 47 UU PDP

[21] Pasal 57 ayat (3) UU PDP

[22] Pasal 184 ayat (7) dan (8) PP 33/2026

[23] Pasal 57 ayat (4) UU PDP