Terjadi Pencurian Data Pribadi (Identity Theft)? Tempuh Langkah Ini

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran kedua dari artikel dengan judul Langkah Hukum terhadap Pencurian Data Pribadi (Identity Theft) yang pertama kali dibuat oleh Laksono Daniel Christian Hutagalung, S.H., LL.M. yang dipublikasikan pada Selasa, 5 November 2019, lalu dimutakhirkan pertama kali oleh Bernadetha Aurelia Oktavira, S.H. pada 07 Oktober 2022.

KLINIK TERKAIT

Jerat Hukum bagi Pelaku Cracking

12 Okt, 2026

Ini Kewajiban-Kewajiban dalam UU PDP dan Sanksinya Jika Melanggar

28 Sep, 2026

Penyelesaian Sengketa Pelindungan Data Pribadi Non Litigasi

21 Sep, 2026

Sharing Data Pribadi antar Perusahaan, Bolehkah?

30 Sep, 2022

Artikel ini dibuat berdasarkan KUHP lama dan UU 1/2023 tentang KUHP yang diundangkan pada tanggal 2 Januari 2023.

Artikel ini dibuat berdasarkan KUHAP lama dan UU 20/2025 tentang KUHAP yang diundangkan pada tanggal 17 Desember 2025.

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Pelindungan Data Pribadi

Pertama-tama untuk membuat terang jawaban atas pertanyaan Anda, maka kita akan membahas mengenai pelindungan data pribadi terlebih dahulu yang diatur dalam UU PDP.

Kenapa data pribadi harus dilindungi? Hal ini karena pelindungan data pribadi merupakan salah satu hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi maka perlu diberikan landasan hukum untuk memberikan keamanan atas data pribadi sekaligus menjamin hak warga negara.[1]

Lantas apa yang dimaksud dengan data pribadi? Dalam UU PDP, data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non-elektronik.[2]

Apa saja yang masuk dalam data pribadi? Data pribadi terdiri atas:[3]

1. data pribadi yang bersifat spesifik, meliputi data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
2. data pribadi yang bersifat umum, meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Sanksi Pidana Pencurian Data Pribadi

Kemudian kami akan menerangkan mengenai sanksi pidana pencurian data pribadi. Pada dasarnya pencurian data pribadi termasuk pada tindak pidana khusus yang merupakan jenis perkara pidana yang pengaturannya berada di luar KUHP lama yang saat artikel ini diterbitkan tidak berlaku dan UU 1/2023 tentang KUHP baru yang mulai berlaku sejak 2 Januari 2026.[4]

Terhadap perkara pencurian data pribadi, diatur secara khusus dalam UU PDP. Oleh karena itu, dapat disimpulkan bahwa KUHP merupakan lex generalis, sedangkan UU PDP merupakan lex specialis. Akibatnya, berlaku asas lex specialis derogat legi generali, yang berarti UU PDP sebagai peraturan yang lebih khusus atau lex specialis mengesampingkan KUHP sebagai peraturan yang lebih umum atau lex generali.

Baca juga: Asas Lex Superior, Lex Specialis, dan Lex Posterior

Dalam UU PDP sendiri, sanksi pidana diatur untuk perbuatan sebagai berikut.

1. Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi dipidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[5]
2. Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya dipidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[6]
3. Setiap orang yang dengan sengaja dan melawan hukum menggunakan data pribadi yang bukan miliknya dipidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.[7]
4. Setiap orang yang dengan sengaja membuat data pribadi palsu atau memalsukan data pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain dipidana penjara paling lama 6 tahun dan/atau pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.[8]

Berdasarkan bunyi ketentuan di atas, tindak pidana pencurian data pribadi (identity theft) sebagaimana Anda tanyakan dapat dijerat menggunakan Pasal 67 ayat (1) dan (3) UU PDP dan Pasal II ayat (5) huruf d UU 1/2026 jis. Pasal 79 ayat (1) huruf d UU 1/2023 yakni dengan ancaman pidana penjara maksimal 5 tahun dan/atau pidana denda maksimal kategori IV, yaitu sebesar Rp200 juta.

Selain dijatuhi pidana, pelaku juga bisa dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana dan pembayaran ganti kerugian.[9]

Sedangkan jika pencurian data pribadi dilakukan oleh korporasi, maka pidana dalam Pasal 67 UU PDP dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat dan/atau korporasi (khusus pidana denda).[10]

Pidana yang dapat dijatuhkan terhadap korporasi hanya pidana denda.[11] Dengan demikian, menurut hemat kami jadi berlaku ketentuan Pasal II ayat (2) huruf b UU 1/2026, yang menyatakan bahwa jika ketentuan pidana di luar UU 1/2023 memuat ancaman pidana tunggal berupa pidana denda diubah dengan ketentuan dalam hal subjek hukum yang diatur merupakan korporasi, pidana denda yang diancamkan diubah menjadi pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.[12]

Namun, pidana denda yang dijatuhkan kepada korporasi ini dapat dijatuhkan paling banyak 10 kali dari maksimal pidana denda yang diancamkan, sebagaimana diatur dalam Pasal 70 ayat (3) UU PDP.

Selain pidana denda, korporasi juga bisa dijatuhi pidana tambahan berupa:[13]

1. perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana;
2. pembekuan seluruh atau sebagian usaha korporasi;
3. pelarangan permanen melakukan perbuatan tertentu;
4. penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan korporasi;
5. melaksanakan kewajiban yang telah dilalaikan;
6. pembayaran ganti kerugian;
7. pencabutan izin; dan/atau
8. pembubaran korporasi.

Hukum Acara yang Berlaku

Berpedoman pada asas lex specialis, Pasal 64 ayat (2) UU PDP menyebutkan hukum acara yang berlaku dalam proses peradilan pelindungan data pribadi dilaksanakan berdasarkan hukum acara yang berlaku sesuai ketentuan peraturan perundang-undangan. Serta, apabila diperlukan untuk melindungi data pribadi, proses persidangan dilakukan secara tertutup.[14]

Adapun alat bukti yang sah dalam UU PDP ini meliputi:[15]

1. alat bukti sebagaimana dimaksud dalam hukum acara; dan
2. alat bukti lain berupa informasi elektronik dan/atau dokumen elektronik sesuai dengan ketentuan peraturan perundang-undangan.

Sehingga menjawab pertanyaan Anda, meskipun sanksi pidana telah diatur secara spesifik dalam UU PDP, namun untuk hukum acara yang berlaku dalam proses peradilan pidana terkait pelindungan data pribadi tetap merujuk pada ketentuan dalam KUHAP lama yang sudah tidak berlaku pada saat artikel ini diterbitkan dan UU 20/2025 tentang KUHAP baru yang berlaku mulai 2 Januari 2026.[16] Adapun alat bukti dalam hukum acara yang dimaksud yaitu sebagai berikut.

Langkah yang Dapat Ditempuh Korban

Kemudian langkah hukum apa yang dapat ditempuh korban pencurian data pribadi? Selain melaporkan pelaku ke pihak kepolisian, menurut Pasal 12 ayat (1) UU PDP subjek data pribadi berhak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai ketentuan peraturan perundang-undangan.
Selain itu, berdasarkan Pasal 26 ayat (1) dan (2) UU 19/2016, korban bisa mengajukan gugatan perdata di mana ketentuan terkait menegaskan sebagai berikut.

1. Kecuali ditentukan lain oleh peraturan perundang-undangan, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan Orang yang bersangkutan.
2. Setiap Orang yang dilanggar haknya sebagaimana dimaksud pada ayat (1) dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan Undang-Undang ini.

Gugatan ganti rugi terhadap pihak yang menyalahgunakan data pribadi adalah berupa gugatan perbuatan melawan hukum berdasarkan Pasal 1365 KUH Perdata.

Baca juga: Contoh Perbuatan Melawan Hukum dan Dasar Gugatannya

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Dasar Negara Republik Indonesia Tahun 1945;
2. Kitab Undang-Undang Hukum Perdata;
3. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik;
4. Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik;
5. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
6. Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana;
7. Undang-Undang Nomor 1 Tahun 2024 tentang Perubahan Kedua atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik;
8. Undang-Undang Nomor 20 Tahun 2025 tentang Kitab Undang-Undang Hukum Acara Pidana;
9. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana.