Landasan Hukum Pelindungan Data Pribadi di Indonesia

PERTANYAAN

Sejauh mana data pribadi penduduk dilindungi oleh hukum? Adakah landasan hukum bagi pemerintah untuk mendapatkan data pribadi masyarakat? Bagaimana penanganan apabila terjadi kebocoran data pribadi?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran kedua dari artikel dengan judul Pelindungan Hukum atas Privasi dan Data Pribadi Masyarakat yang dibuat oleh Rizky P.P. Karo Karo, S.H., M.H. dan pertama kali dipublikasikan pada Selasa, 8 Oktober 2019, lalu dimutakhirkan pertama kali oleh David Christian, S.H. pada 26 September 2022.

KLINIK TERKAIT

Aturan dan Risiko Transfer Data Pribadi Antarnegara

13 Okt, 2026

Scan Retina Mata, Apakah Melanggar Pelindungan Data Pribadi?

06 Okt, 2026

Jenis Tindak Pidana Pelindungan Data Pribadi

29 Sep, 2026

Jika Perusahaan Memalsukan Data Karyawan untuk Klaim JKP

05 Mar, 2025

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Pengertian Data Pribadi

Sejak tahun 2022, Indonesia telah memiliki UU PDP sebagai dasar hukum pelindungan data pribadi. Kemudian, pada tahun 2026, peraturan pelaksana dari UU PDP telah diundangkan yaitu PP 33/2026.

Data pribadi didefinisikan sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.[1]

Apa saja yang tergolong data pribadi? Data pribadi terdiri atas:[2]

1. Data pribadi yang bersifat spesifik, meliputi data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi; dan/atau data lainnya sesuai dengan ketentuan peraturan perundang- undangan.
2. Data pribadi yang bersifat umum, meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Pelindungan Data Pribadi Masyarakat oleh Pemerintah

UU PDP sendiri merupakan pengejawantahan dari Pasal 28G ayat (1) UUD 1945 yang berbunyi:

Setiap orang berhak atas pelindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.

Lalu, apa yang dimaksud dengan pelindungan data pribadi? Pengertian pelindungan data pribadi berdasarkan Pasal 1 angka 2 UU PDP adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi.

Dalam UU PDP terdapat pengendali data pribadi dan prosesor data pribadi. Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[3]

Sedangkan, yang dimaksud dengan prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi.[4]

Siapa itu badan publik? Menurut Pasal 1 angka 9 UU PDP, badan publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari APBN dan/atau APBD, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari APBN dan/atau APBD, sumbangan masyarakat, dan/atau luar negeri. Dengan kata lain, badan publik merupakan pemerintah yang dapat menjadi pengendali data pribadi maupun prosesor data pribadi.

Kewajiban pengendali data pribadi diatur dalam Pasal 20 s.d. Pasal 50 UU PDP di antaranya wajib menunjukkan bukti persetujuan yang telah diberikan subjek data pribadi saat melakukan pemrosesan data pribadi, wajib menjaga kerahasiaan data pribadi, dan wajib mencegah data pribadi diakses secara tidak sah.[5]

Sementara itu, kewajiban prosesor data pribadi tercantum dalam Pasal 51 s.d. Pasal 52 UU PDP antara lain wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi, wajib mendapatkan persetujuan tertulis dari pengendali data pribadi sebelum melibatkan prosesor data pribadi lain.[6]

Berkaitan dengan dasar pemerintah mendapatkan data pribadi masyarakat, maka hal tersebut berkenaan dengan pemrosesan data pribadi, yang meliputi pemerolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan dan sebagainya.[7]

Pengendali data pribadi harus mempunyai dasar pemrosesan data pribadi sebelum melakukan pemrosesan data pribadi.[8] Dasar pemrosesan tersebut dapat berupa:[9]

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 atau beberapa tujuan tertentu yang disampaikan oleh pengendali data pribadi;
2. pemenuhan kewajiban perjanjian jika subjek data pribadi adalah salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan ketentuan peraturan perundangan-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

Dengan demikian, pemerintah pada dasarnya dapat mendapatkan data pribadi masyarakat dengan syarat wajib memiliki dasar pemrosesan data pribadi ketika akan melakukan pemrosesan data pribadi.

Misalnya, pemerintah selaku pengendali data pribadi menggunakan dasar pemrosesan data pribadi pemenuhan pelindungan kepentingan vital subjek data pribadi, maka harus memenuhi ketentuan Pasal 46 s.d. Pasal 48 PP 33/2026. Bahwa pemrosesan data pribadi tersebut dilakukan dalam hal:[10]

1. terdapat ancaman terhadap hidup, fisik, dan/atau properti/aset subjek data pribadi atau pihak lainnya; dan
2. terdapat kesulitan untuk mendapatkan persetujuan dari subjek data pribadi tersebut.

Namun demikian, pengendali data pribadi harus menginformasikan pelaksanaan pemrosesan data pribadi tersebut kepada subjek data pribadi, yang meliputi:[11]

1. tindakan yang dilakukan pasca berakhirnya tujuan pemrosesan data pribadi;
2. jenis ancaman yang akan terjadi kepada subjek data pribadi atau pihak lainnya jika pemrosesan data pribadi tidak dilakukan; dan
3. informasi lainnya yang sesuai dengan PP 33/2026.

Hak-hak Subjek Data Pribadi

Subjek data pribadi adalah orang perseorangan yang pada dirinya melekat data pribadi,[12] yang tidak lain adalah diri kita sebagai masyarakat.

Mengenai hak-hak subjek data pribadi diatur lebih lanjut di dalam Pasal 5 s.d. Pasal 15 UU PDP antara lain berhak mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, dan akuntabilitas pihak yang meminta data pribadi, berhak mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi tentang dirinya, serta berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya.[13]

Namun, hak-hak subjek data pribadi tersebut dapat dikecualikan. Hal ini sebagaimana tercantum dalam Pasal 15 ayat (1) UU PDP, yang berbunyi:

Hak-hak subjek data pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2) dikecualikan untuk:

1. kepentingan pertahanan dan keamanan nasional;
2. kepentingan proses penegakan hukum;
3. kepentingan umum dalam rangka penyelenggaraan negara;
4. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau
5. kepentingan statistik dan penelitian ilmiah.

Adapun yang dimaksud dalam kepentingan proses penegakan hukum adalah kepentingan yang berkaitan dengan upaya atau langkah dalam rangka menjalankan atau menegakkan aturan hukum berdasarkan ketentuan peraturan perundang-undangan antara lain proses penyelidikan, penyidikan, dan penuntutan.[14]

Kemudian yang dimaksud dengan kepentingan umum dalam rangka penyelenggaraan negara antara lain penyelenggaraan administrasi kependudukan, jaminan sosial, perpajakan, kepabeanan, dan pelayanan perizinan berusaha terintegrasi secara elektronik.[15]

Hukumnya Jika Terjadi Kebocoran Data Pribadi

Kegagalan pelindungan data pribadi merupakan kegagalan melindungi data pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap data pribadi yang dikirim, disimpan, atau diproses.[16]

Sementara itu, pada prinsipnya, pengendali data pribadi wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya, dengan melakukan:[17]

1. penyusunan dan penerapan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi; dan
2. penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi.

Dalam hal terjadi kegagalan pelindungan data pribadi, pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga, dengan minimal memuat:[18]

1. data pribadi yang terungkap;
2. kapan dan bagaimana data pribadi terungkap; dan
3. upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.

Bahkan dalam hal tertentu misalnya jika kegagalan itu mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat, pengendali data pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan data pribadi.[19]

Selain itu, pengendali data pribadi menyusun dokumentasi atas terjadinya kegagalan pelindungan data pribadi paling sedikit memuat:[20]

1. data pribadi yang dilindungi;
2. deskripsi kegagalan pelindungan data pribadi;
3. dampak atau akibat kegagalan pelindungan data pribadi terhadap subjek data pribadi dan pengendali data pribadi;
4. upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan
5. jangka waktu pemberitahuan kepada subjek data pribadi dan lembaga yang menyelenggarakan pelindungan data pribadi.

Namun patut dicatat, kewajiban menyampaikan pemberitahuan secara tertulis kepada subjek data pribadi saat terjadi kegagalan pelindungan data pribadi dikecualikan untuk:[21]

1. kepentingan pertahanan dan keamanan nasional;
2. kepentingan proses penegakan hukum;
3. kepentingan umum dalam rangka penyelenggaraan negara; atau
4. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara.

Akan tetapi, pengecualian ini hanya dalam rangka pelaksanaan ketentuan undang-undang.[22] Di sisi lain, dalam Pasal 47 UU PDP secara tegas menyebutkan bahwa:

Pengendali data pribadi wajib bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip pelindungan data pribadi.

Pelanggaran terhadap ketentuan Pasal 46 ayat (1) dan (3) serta Pasal 47 UU PDP sebagaimana disebut di atas dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif.[23]

Penjatuhan sanksi administratif diberikan oleh lembaga dan untuk denda paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[24]

Jadi menjawab pertanyaan Anda mengenai tanggung jawab apabila terjadi kebocoran data pribadi, maka pengendali data pribadi wajib memberitahukan adanya kegagalan pelindungan data pribadi secara tertulis termasuk upaya penanganan dan pemulihan. Selain itu, subjek data pribadi juga berhak menggugat dan menerima ganti rugi jika terjadi pelanggaran pemrosesan data pribadi tentang dirinya.[25]

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Dasar Negara Republik Indonesia Tahun 1945;
2. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
3. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

---

[1] Pasal 1 angka 1 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)

[2] Pasal 4 UU PDP

[3] Pasal 1 angka 4 UU PDP

[4] Pasal 1 angka 5 UU PDP

[5] Pasal 24, Pasal 36, dan Pasal 39 ayat (1) UU PDP

[6] Pasal 51 ayat (1) dan (5) UU PDP

[7] Pasal 16 ayat (1) UU PDP

[8] Pasal 30 ayat (1) dan (2) Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)

[9] Pasal 30 ayat (3) PP 33/2026

[10] Pasal 46 PP 33/2026

[11] Pasal 47 PP 33/2026

[12] Pasal 1 angka 6 UU PDP

[13] Pasal 5, Pasal 8, dan Pasal 12 ayat (1) UU PDP

[14] Penjelasan Pasal 15 huruf b UU PDP

[15] Penjelasan Pasal 15 huruf c UU PDP

[16] Pasal 1 angka 18 PP 33/2026

[17] Pasal 35 UU PDP

[18] Pasal 46 ayat (1) dan (2) UU PDP

[19] Pasal 46 ayat (3) dan penjelasannya UU PDP

[20] Pasal 116 ayat (1) PP 33/2026

[21] Pasal 50 ayat (1) UU PDP

[22] Pasal 50 ayat (2) UU PDP

[23] Pasal 57 ayat (1) dan (2) UU PDP

[24] Pasal 57 ayat (3) dan (4) UU PDP

[25] Pasal 12 ayat (1) UU PDP