Sanksi UU PDP

Definisi

Sanksi UU PDP adalah rangkaian hukuman yang dapat dijatuhkan kepada pihak yang melanggar ketentuan perlindungan data pribadi sebagaimana diatur dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Undang-undang ini mengenal dua jalur sanksi yang berbeda sifat dan tujuannya: sanksi administratif yang bersifat korektif, dan sanksi pidana yang bersifat menghukum pelaku perseorangan.

Kehadiran dua jalur sanksi ini penting dipahami karena keduanya bisa berjalan bersamaan atas satu peristiwa yang sama. Sebuah kebocoran data, misalnya, bisa memicu sanksi administratif terhadap perusahaan yang lalai menjaga sistemnya, sekaligus sanksi pidana terhadap karyawan tertentu yang secara sengaja menyalahgunakan akses untuk mencuri data tersebut.

Jenis-Jenis Sanksi

Sanksi administratif dijatuhkan oleh lembaga yang berwenang mengawasi pelindungan data pribadi, dan berupa:

1. Peringatan tertulis.
2. Penghentian sementara kegiatan pemrosesan data pribadi.
3. Penghapusan atau pemusnahan data pribadi yang diproses secara melanggar hukum.
4. Denda administratif, paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan sesuai variabel pelanggaran.

Sanksi pidana dikenakan terhadap perbuatan yang dilakukan dengan sengaja dan melawan hukum, dengan ancaman berjenjang tergantung jenis perbuatannya: memperoleh atau mengumpulkan data pribadi bukan miliknya, mengungkapkan data pribadi bukan miliknya, menggunakan data pribadi bukan miliknya, hingga membuat data pribadi palsu. Ancaman penjaranya berkisar 4 sampai 6 tahun, dengan denda dalam hitungan miliaran rupiah tergantung beratnya perbuatan.

Untuk pelaku berbentuk korporasi, undang-undang menetapkan pidana denda hingga 10 kali lipat dari denda perorangan, di luar kemungkinan sanksi tambahan seperti perampasan keuntungan hasil tindak pidana, pembekuan kegiatan usaha, atau pencabutan izin usaha.

Kedua jalur sanksi ini melengkapi, bukan menggantikan, hak korban untuk menuntut ganti rugi. Subjek data yang dirugikan tetap dapat mengajukan gugatan perdata sendiri terhadap pengendali maupun pelaku, terlepas dari sanksi administratif atau pidana yang sudah dijatuhkan oleh otoritas.

Dasar Hukum

Sanksi administratif diatur secara rinci, mulai dari jenis sanksi hingga batas maksimum denda administratif sebesar 2% dari pendapatan atau penerimaan tahunan. Denda ini dihitung berdasarkan variabel pelanggaran, bukan angka tetap, sehingga besarannya berbeda-beda tergantung skala perusahaan dan tingkat keparahan pelanggaran yang terjadi.

Sanksi pidana mengacu pada larangan memperoleh, mengungkapkan, menggunakan, dan memalsukan data pribadi milik orang lain secara melawan hukum. Ancaman pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5.000.000.000,00 berlaku untuk perbuatan memperoleh atau mengumpulkan data pribadi bukan miliknya, sedangkan ancaman berbeda berlaku untuk perbuatan mengungkapkan, menggunakan, atau memalsukan data.

Selain itu, lembaga pengawas berwenang memeriksa dan menjatuhkan sanksi administratif tanpa harus menunggu proses pidana selesai, sehingga kedua jalur sanksi dapat berjalan pada waktu yang berbeda maupun bersamaan atas peristiwa yang sama.

Siapa yang Bisa Dikenai Sanksi

Sasaran sanksi administratif adalah pengendali data pribadi dan prosesor data pribadi — pihak yang secara hukum bertanggung jawab menentukan tujuan pemrosesan data, atau memproses data atas nama pengendali. Keduanya bisa dikenai sanksi bila lalai menjaga keamanan data, memproses data tanpa dasar hukum yang sah, atau tidak memenuhi hak subjek data.

Sasaran sanksi pidana lebih sempit: perseorangan yang secara sengaja dan melawan hukum melakukan perbuatan terlarang terhadap data pribadi. Badan hukum tetap dapat dijerat sebagai pelaku, dengan konsekuensi denda yang jauh lebih besar dibanding perseorangan, dan dapat dijatuhi sanksi tambahan yang membatasi kegiatan usahanya.

Studi Kasus

Seorang karyawan perusahaan telekomunikasi terbukti menjual data pribadi pelanggan berupa nama, nomor induk kependudukan, alamat, dan nomor telepon kepada pihak ketiga yang memakainya untuk kegiatan telemarketing ilegal. Karyawan tersebut dijerat sanksi pidana karena dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya, sementara perusahaan telekomunikasi selaku pengendali data turut dikenai sanksi administratif berupa denda karena gagal menerapkan sistem keamanan yang memadai untuk mencegah akses tidak sah oleh karyawannya sendiri.

Pada kasus lain yang melibatkan platform digital, kebocoran data terjadi bukan karena kesengajaan siapa pun, melainkan celah keamanan yang tidak segera ditambal meski sudah dilaporkan peneliti keamanan. Dalam situasi seperti ini, sanksi pidana sulit dijatuhkan karena unsur kesengajaan tidak terpenuhi, tetapi sanksi administratif tetap berlaku karena pengendali data dianggap lalai menjaga sistemnya sesuai standar yang diwajibkan.

Pertanyaan yang Sering Diajukan

Apakah perusahaan bisa kena sanksi administratif dan pidana sekaligus? Bisa. Sanksi administratif menyasar badan usaha selaku pengendali atau prosesor data, sedangkan sanksi pidana menyasar orang perseorangan yang terbukti melakukan perbuatan melawan hukum, sehingga keduanya bisa berjalan atas peristiwa yang sama.

Siapa yang berwenang menjatuhkan sanksi administratif? Lembaga yang diberi kewenangan mengawasi pelindungan data pribadi berdasarkan undang-undang, yang juga berwenang memeriksa dugaan pelanggaran dan memerintahkan langkah perbaikan.

Apakah korban kebocoran data otomatis mendapat ganti rugi dari sanksi administratif? Tidak otomatis. Sanksi administratif adalah hukuman terhadap pelanggar, bukan kompensasi bagi korban. Korban yang ingin ganti rugi perlu menempuh jalur gugatan perdata tersendiri.

Apakah usaha kecil juga bisa kena sanksi UU PDP? Bisa, karena kewajiban menjaga data pribadi berlaku untuk semua pengendali data tanpa memandang skala usaha, meski penerapan pengawasannya biasanya memprioritaskan pengendali dengan volume data besar lebih dulu.

Apakah niat baik memperbaiki sistem setelah kebocoran mengurangi sanksi? Langkah perbaikan dan kepatuhan terhadap kewajiban notifikasi dapat menjadi pertimbangan meringankan, tetapi tidak menghapus kewajiban dasar untuk menjaga keamanan data sejak awal.