Notifikasi Insiden Data

Definisi

Notifikasi insiden data adalah kewajiban pengendali data pribadi untuk memberitahukan secara tertulis kepada subjek data dan lembaga pengawas apabila terjadi kegagalan perlindungan data pribadi, atau yang lebih dikenal masyarakat umum dengan istilah kebocoran data. Kewajiban ini bukan sekadar formalitas administratif, melainkan mekanisme agar orang yang datanya bocor bisa segera mengambil langkah melindungi dirinya, misalnya mengganti kata sandi atau mewaspadai upaya penipuan yang mengatasnamakan datanya yang telah tersebar.

Sebelum UU Pelindungan Data Pribadi berlaku, banyak insiden kebocoran data di Indonesia baru diketahui publik lewat pemberitaan media atau unggahan di forum peretas, bukan dari pengumuman resmi perusahaan yang datanya bocor. Perusahaan cenderung menutupi insiden demi menjaga reputasi. UU PDP mengubah keadaan ini dengan mewajibkan notifikasi dalam waktu yang sangat singkat, sehingga penundaan atau upaya menutup-nutupi insiden kini menjadi pelanggaran hukum tersendiri, terlepas dari penyebab kebocoran itu sendiri.

Kewajiban notifikasi berlaku untuk semua jenis pengendali data, mulai dari perusahaan rintisan kecil sampai lembaga pemerintah, selama mereka mengumpulkan dan mengolah data pribadi warga. Skala insiden — apakah menyangkut seratus atau sejuta orang — tidak menghapus kewajiban ini, meski tentu memengaruhi cara notifikasi disampaikan secara praktis.

Dasar Hukum

Ketentuan notifikasi insiden diatur secara spesifik dalam UU PDP. Pengendali data yang mengalami kegagalan perlindungan data wajib menyampaikan pemberitahuan tertulis paling lambat tiga kali dua puluh empat jam sejak diketahuinya insiden, ditujukan kepada subjek data yang terdampak sekaligus kepada lembaga yang berwenang mengawasi pelindungan data pribadi. Batas waktu yang ketat ini sengaja dirancang agar informasi sampai ke tangan korban secepat mungkin, bukan setelah kerugian sudah telanjur meluas.

Isi pemberitahuan itu sendiri tidak boleh sekadar mengakui adanya insiden. UU PDP menetapkan pemberitahuan minimal harus memuat data pribadi apa saja yang terungkap, kapan dan bagaimana kejadian itu terungkap, serta langkah penanganan dan pemulihan yang sudah dan akan dilakukan pengendali data. Ketiadaan salah satu unsur ini bisa membuat notifikasi dianggap tidak memenuhi syarat, meski secara formal sudah dikirimkan dalam batas waktu yang ditentukan.

Syarat dan Prosedur

Dalam praktiknya, proses notifikasi insiden biasanya berjalan melalui tahapan berikut begitu suatu organisasi menyadari terjadi kebocoran data:

1. Deteksi dan verifikasi — tim keamanan memastikan insiden benar terjadi dan menentukan cakupan data yang terdampak.
2. Penyusunan pemberitahuan tertulis — memuat jenis data yang bocor, kronologi kejadian, dan langkah pemulihan.
3. Pengiriman notifikasi — disampaikan kepada subjek data yang terdampak, biasanya lewat email atau pemberitahuan aplikasi, serta kepada lembaga pengawas.
4. Tindak lanjut — termasuk perbaikan sistem keamanan dan pemantauan agar insiden serupa tidak berulang.

Seluruh tahapan ini idealnya selesai dalam hitungan jam, bukan hari, mengingat batas waktu tiga kali dua puluh empat jam yang ditetapkan undang-undang. Organisasi yang matang biasanya sudah memiliki prosedur tanggap insiden yang disiapkan jauh sebelum insiden benar terjadi, karena menyusun semuanya dari nol saat insiden sedang berlangsung hampir selalu berujung keterlambatan.

Ilustrasi

Sebuah platform belanja daring mengalami serangan siber yang mengekspos data nama, alamat, dan nomor telepon jutaan penggunanya. Tim keamanan mendeteksi anomali akses tidak wajar pada dini hari, memverifikasi bahwa data memang bocor, lalu dalam waktu kurang dari dua hari mengirim notifikasi email ke seluruh pengguna terdampak dan melaporkan insiden ke lembaga pengawas. Notifikasi itu menjelaskan data yang bocor, waktu kejadian, dan imbauan agar pengguna segera mengganti kata sandi.

Kasus berbeda dialami sebuah klinik kesehatan swasta yang baru menyadari servernya diretas setelah data rekam medis pasiennya muncul dijual di forum bawah tanah, tiga bulan setelah insiden sebenarnya terjadi. Karena keterlambatan mendeteksi insiden ini, notifikasi kepada pasien juga baru bisa dikirim jauh melewati batas waktu yang ditetapkan, sehingga klinik tersebut berisiko dikenai sanksi tambahan atas keterlambatan itu, terlepas dari penyebab awal peretasannya.

Sanksi

Kegagalan melakukan notifikasi insiden data, baik karena terlambat maupun karena isinya tidak lengkap, dapat berujung sanksi administratif bagi pengendali data. Bentuknya bertingkat, mulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data yang diperoleh secara melanggar hukum, hingga denda administratif. Selain sanksi administratif, pengendali data yang lalai juga tetap bisa digugat secara perdata oleh subjek data yang dirugikan akibat keterlambatan atau ketiadaan notifikasi tersebut.

Sanksi ini tidak menggantikan tanggung jawab pengendali data untuk memperbaiki sistem keamanannya. Notifikasi yang sudah tepat waktu dan lengkap pun tidak menghapus kewajiban pengendali data untuk mencegah insiden serupa terulang di kemudian hari.

Pertanyaan yang Sering Diajukan

Apakah semua kebocoran data wajib dilaporkan, sekecil apa pun skalanya? Pada prinsipnya iya, kewajiban notifikasi berlaku selama insiden itu memang tergolong kegagalan perlindungan data pribadi, tanpa syarat jumlah minimal orang yang terdampak.

Bagaimana jika pengendali data baru menyadari insiden setelah bertahun-tahun? Batas waktu tiga kali dua puluh empat jam dihitung sejak insiden diketahui, bukan sejak insiden terjadi, tetapi keterlambatan mendeteksi insiden dalam waktu lama tetap bisa dinilai sebagai kelalaian dalam menjaga keamanan data.

Siapa yang berhak menerima notifikasi selain subjek data? Lembaga yang berwenang mengawasi pelindungan data pribadi wajib menerima notifikasi yang sama, sehingga bisa memantau penanganan insiden dan menilai perlu tidaknya tindakan pengawasan lebih lanjut.

Apakah notifikasi cukup dikirim satu kali saja? Bila penanganan insiden masih berlangsung dan ada perkembangan baru yang relevan, pengendali data sebaiknya mengirimkan pembaruan susulan, karena tujuan notifikasi adalah memastikan subjek data tetap punya informasi yang memadai untuk melindungi dirinya.