Kebocoran Data

Definisi

Kebocoran data adalah peristiwa terungkapnya, terambilnya, atau teraksesnya data pribadi oleh pihak yang tidak berhak. UU Pelindungan Data Pribadi tidak memakai kata “kebocoran” sebagai istilah resmi; yang dipakai adalah kegagalan pelindungan data pribadi. Perbedaan istilah ini penting, karena rumusan undang-undang menempatkan beban pada pihak yang menyimpan data, bukan pada pihak yang mencurinya saja.

Kebocoran tidak selalu berarti ada peretasan. Basis data yang dibiarkan terbuka tanpa kata sandi, berkas ekspor yang dikirim ke alamat surel yang salah, laptop kerja yang hilang, sampai karyawan yang menjual data pelanggan — semuanya masuk kategori yang sama di mata undang-undang.

Yang membedakan kebocoran data dari sekadar kelalaian internal adalah akibatnya: begitu data keluar, ia tidak bisa ditarik kembali. Nomor telepon, alamat, nomor induk kependudukan, dan riwayat transaksi yang beredar akan dipakai ulang untuk penipuan bertahun-tahun setelahnya.

Kewajiban Pengendali Data Saat Terjadi Kebocoran

Begitu insiden diketahui, pengendali data pribadi punya kewajiban yang jelas dan berbatas waktu:

1. Memberitahu paling lambat 3x24 jam kepada subjek data yang terdampak dan kepada lembaga pengawas pelindungan data pribadi.
2. Menjelaskan isi pemberitahuan secara lengkap: data apa yang terungkap, kapan dan bagaimana terungkapnya, serta apa yang sedang dilakukan untuk menanganinya.
3. Menghentikan sumber kebocoran dan memulihkan sistem, termasuk mematikan akses yang disalahgunakan.
4. Mendokumentasikan insiden, karena catatan inilah yang nanti diperiksa untuk menilai apakah kewajiban keamanan sudah dipenuhi.
5. Memberitahu publik dalam hal kebocoran mengganggu pelayanan publik atau berdampak serius pada kepentingan umum.

Yang sering dilanggar bukan poin pertama saja, tetapi poin kedua. Pengumuman yang berbunyi “tidak ada data penting yang bocor” tanpa merinci apa pun tidak memenuhi kewajiban pemberitahuan.

Dasar Hukum

Rezim utamanya adalah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Undang-undang ini punya masa transisi dua tahun dan berlaku penuh sejak Oktober 2024, sehingga insiden yang terjadi sesudah itu sepenuhnya tunduk pada kewajiban dan sanksinya.

Kewajiban pemberitahuan 3x24 jam berada di Pasal 46. Sanksi atas pelanggaran kewajiban dalam undang-undang ini bersifat administratif lebih dulu — peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, sampai denda administratif yang dihitung dari pendapatan tahunan.

Untuk pelaku yang mengambil datanya, UU PDP memisahkan larangan dan ancaman pidana ke pasal yang berbeda. Pasal 65 memuat larangannya, sedangkan ancaman pidananya ada di Pasal 67, dengan ancaman terberat penjara lima tahun dan denda hingga Rp5 miliar. Penulisan yang menempelkan ancaman pidana langsung pada Pasal 65 adalah kekeliruan yang sering ditemui.

Di luar UU PDP, perbuatan meretas sistem untuk mengambil data tetap dijerat UU ITE, khususnya rumusan akses ilegal dan penerobosan sistem pengamanan. Untuk penyelenggara sistem elektronik, PP No. 71 Tahun 2019 menambahkan kewajiban teknis pengamanan dan pelaporan insiden.

Ilustrasi

Sebuah aplikasi layanan kesehatan menyimpan data 120 ribu pengguna, termasuk nomor induk kependudukan dan riwayat pemeriksaan. Seorang mantan pengembang yang akun administratornya belum dicabut mengunduh seluruh basis data, lalu menawarkannya di forum tertutup.

Perusahaan baru tahu tiga minggu kemudian dari pemberitaan. Di sini ada dua tanggung jawab yang terpisah. Mantan pengembang menghadapi jalur pidana karena mengambil data pribadi yang bukan miliknya secara melawan hukum. Perusahaan menghadapi jalur administratif: akun yang tidak dicabut menunjukkan pengamanan yang tidak memadai, dan keterlambatan pemberitahuan jauh melewati 3x24 jam adalah pelanggaran tersendiri.

Pengguna yang datanya bocor tidak berhenti di situ. Mereka dapat menuntut ganti rugi secara perdata atas kerugian yang nyata dialami, misalnya kerugian akibat penyalahgunaan identitas.

Hak Anda sebagai Subjek Data

• Hak diberi tahu kalau data Anda termasuk yang bocor, beserta rincian data apa saja.
• Hak mengakses salinan data pribadi yang disimpan tentang Anda.
• Hak meminta penghapusan data yang tidak lagi diperlukan atau yang diproses tanpa dasar yang sah.
• Hak menarik persetujuan atas pemrosesan yang dulu Anda setujui.
• Hak mengajukan keberatan dan mengadu kepada lembaga pengawas.
• Hak menuntut ganti rugi melalui gugatan perdata atas kerugian yang timbul.

Hak-hak ini tidak berjalan otomatis. Semuanya perlu diajukan tertulis kepada pengendali data, dan surat pengajuan itu yang nanti menjadi bukti kalau permintaannya diabaikan.

Langkah Praktis Setelah Data Anda Bocor

1. Ganti kata sandi akun yang terkait, dimulai dari surel utama, dan aktifkan verifikasi dua langkah.
2. Waspadai telepon dan pesan yang menyebut data Anda dengan tepat. Penipu memakai data bocor justru untuk terdengar meyakinkan, misalnya menyebut nomor pesanan atau nama dokter Anda.
3. Periksa apakah ada pinjaman atau akun baru yang dibuat atas nama Anda melalui layanan informasi keuangan resmi.
4. Kirim permintaan tertulis kepada perusahaan yang menyimpan data Anda, minta penjelasan dan penghapusan data yang tidak lagi diperlukan. Simpan bukti pengirimannya.
5. Adukan ke lembaga pengawas pelindungan data pribadi kalau permintaan Anda tidak dijawab dalam waktu yang wajar.
6. Catat setiap kerugian nyata — biaya penggantian kartu, dana yang hilang, waktu yang terpakai mengurus — karena inilah yang bisa dituntut.

Kesalahpahaman Umum

“Kalau tidak ada kata sandi yang bocor, berarti bukan kebocoran data.” Keliru. Nomor telepon, alamat, dan nomor identitas sudah cukup untuk dikategorikan data pribadi.

“Perusahaan tidak salah karena dia korban peretasan.” Tidak otomatis. Yang dinilai adalah apakah pengamanannya wajar dan apakah pemberitahuannya tepat waktu. Menjadi korban peretasan tidak menghapus kewajiban itu.

“Data sudah terlanjur beredar, percuma melapor.” Pengaduan tetap berguna. Ia menjadi dasar pemeriksaan lembaga pengawas dan alat bukti kalau kemudian ada kerugian yang harus dituntut.

“Ganti rugi otomatis diberikan.” Tidak. Ganti rugi perdata harus dibuktikan besarannya, sehingga catatan kerugian nyata perlu disimpan sejak awal.