Writer and Copyright:
Dr. Appe Hutauruk, SH., MH.
Advokat & Dosen Fakultas Hukum Universitas Mpu Tantular
Ketua umum Komunitas Masyarakat Anti Korupsi & Penggelapan Pajak
AKTIVIS 1998
TANTANGAN PENEGAKAN UNDANG – UNDANG NOMOR 27 TAHUN 2022 TENTANG PERLINDUNGAN DATA PRIBADI
Perlindungan data pribadi setiap warga negara dan/atau setiap orang menjadi tanggunggung jawab negara agar tidak disalahgunaka oleh pihak – pihak tertentu atau siapapun juga yang dapat menyerang serta merugikan kepentingan hukum serta hak – hak termasuk privasi setap pihak – pihak tertentu. Perkembangan teknologi informasi dan digitalisasi layanan publik telah menjadikan data pribadi sebagai aset yang sangat penting sekaligus rentan terhadap penyalahgunaan.[1] Pemerintah, lembaga negara, dan badan publik lainnya mengelola data pribadi warga dalam skala besar, mulai dari data kependudukan, kesehatan, pendidikan, perpajakan, ketenagakerjaan, hingga data layanan administrasi elektronik. Dalam konteks tersebut, badan publik tidak hanya berfungsi sebagai penyedia layanan, tetapi juga sebagai pengendali data pribadi yang memiliki kewenangan menentukan tujuan dan cara pemrosesan data pribadi.[2] Konsekuensinya, kegagalan badan publik dalam melindungi data pribadi dapat menimbulkan kerugian yang luas bagi subjek data, seperti penyalahgunaan identitas, penipuan, diskriminasi, pencurian aset digital, hingga pencemaran nama baik. Secara formal, di Indonesia telah diberlakukan ketentuan mengenai upaya untuk melindungi data pribadi sebagaimana dalam Undang – Undang Nomor 27 Tahun 2022 Tentang Perlindungan Data Pribadi, akan tetapi dalam pelaksanaannya masih memiliki problematika berbagai tantangan oleh karena, 1) lembagai yang berfungsi melakukan pengawasan seperti Otoritas Jasa Keuangan (OJK), Kementerian Komunikasi dan Digital (Komdigi), Lembaga Perlindungan Data Pribadi (LPDP), Badan Siber dan Sandi Negara (BSSN), Kementerian Kesehatan (untuk data kesehatan) dan beberapa lembaga lainnya masih belum menjalankan fungsinya secara maksimal, profesional dan independen.
Perlindungan data pribadi umum dan data pribadi spesifik harus sungguh – sungguh diupayakan pemerintah oleh karena hal tersebut juga menyangkut kepentingan negara. Fenomena kebocoran data pribadi di Indonesia menunjukkan bahwa persoalan ini bukan sekadar isu teknologi, melainkan persoalan hukum, tata kelola, dan perlindungan hak asasi manusia.[3] Berbagai kasus dugaan kebocoran data yang melibatkan institusi publik maupun sektor swasta memperlihatkan adanya celah pengamanan data, lemahnya pengendalian internal, serta ketidakjelasan mekanisme pertanggungjawaban ketika data pribadi warga jatuh ke tangan pihak yang tidak berwenang.[4] Dalam situasi demikian, masyarakat sering menghadapi kesulitan untuk mengetahui siapa yang bertanggung jawab, apakah pelaku individual yang membocorkan data, pengendali data pribadi yang lalai mengamankan sistem, atau korporasi dan badan publik sebagai entitas yang mengelola data tersebut. Apabila terjadi kebocoran data pribadi maka menurut undang – undang yang berlaku di Indonesia sebagai hukum positif (ius constitutum) maka terdapat beberapa pihak yang dapat dimintai pertanggungjawaban hukum yaitu pengendali data pribadi (data controller) sebagai penanggung jawab utama,dan prosesor data pribadi (data processor) sebagai penanggung jawab kedua,
Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (UU PDP). secara eksplisit mengatur asas, jenis data pribadi, hak subjek data pribadi, pemrosesan data pribadi, kewajiban pengendali dan prosesor data pribadi, transfer data, sanksi administratif, kelembagaan, penyelesaian sengketa, hukum acara, larangan, serta ketentuan pidana terkait pelindungan data pribadi.[5] Secara khusus, Pasal 65 UU PDP melarang setiap orang untuk secara melawan hukum memperoleh, mengumpulkan, atau mengungkapkan data pribadi yang bukan miliknya.[6] Pelanggaran terhadap larangan tersebut dapat diancam pidana berdasarkan Pasal 67 UU PDP, yaitu pidana penjara paling lama lima tahun dan/atau denda paling banyak Rp5.000.000.000,00 untuk perbuatan memperoleh atau mengumpulkan data pribadi secara melawan hukum, serta pidana penjara paling lama empat tahun dan/atau denda paling banyak Rp4.000.000.000,00 untuk perbuatan mengungkapkan data pribadi secara melawan hukum.[7]
Norma hukum yang diatur dalam Undang – Undang Perlindungan Data Pribadi mempunyai spesifikasi yang khusus karena dalam undang – undang tersebut dientukan mengenai sanki administratif dan sanksi pidana. Ketentuan pidana dalam UU PDP menggunakan unsur kesengajaan sebagai unsur pokok pertanggungjawaban pidana.[8] Artinya, untuk dapat memidana seseorang, penuntut umum harus membuktikan bahwa pelaku melakukan perbuatan dengan sengaja dan melawan hukum. Persoalan muncul ketika kebocoran data pribadi terjadi dalam lingkungan badan publik yang melibatkan sistem informasi kompleks, banyak aktor, serta proses pemrosesan data yang terdesentralisasi. Dalam praktiknya, tidak selalu mudah membuktikan adanya kesengajaan pelaku, baik berupa kesengajaan sebagai maksud (dolus directus), kesengajaan sebagai tujuan, maupun kesengajaan sebagai kesadaran akan akibat yang pasti atau patut disadari.[9] Padahal, kebocoran data dapat terjadi akibat kelalaian sistemik, kelemahan keamanan siber, penyalahgunaan akses oleh pegawai, atau kegagalan pengendali data pribadi dalam melaksanakan kewajiban pengamanan. Undang – Undang Perlindungan Data Pribadi sebagai hukum positif di Indonesia tidak menentukan secara terperinci (detail) mengenai penggunaan teknologi dan standar enkripsi yang wajib dipergunakan oleh Pengendali Data dalam rangka melakukan perlindungan data. Hal tersebut berbeda dengan General Data Protection Regulation (GDPR) di Eropa yang dengan tegas mewajibkan adanya enkripsi end to end, pseudonymisasi (menyamarkan data), audit keamanan berkala dan tes penetrasi (pentest).
Persoalan penerapan tanggung jawab pidana terhadap badan publik yang mengelola data pribadi menurut hukum di Indonesia sangat rumit, misalnya apabila terjadi kebocoran data pemerintah seperti BPJS, Dukcapil, KPU, dan sebagainya maka sangat sulit untuk meminta pertanggungjawaban pidana terhadap pemerintah. Kedudukan badan publik sebagai pengendali data pribadi menimbulkan persoalan tersendiri mengenai bentuk tanggung jawab pidana. Badan publik pada dasarnya bukan “orang” dalam pengertian subjek hukum pidana individual. Oleh karena itu, diperlukan kejelasan mengenai apakah badan publik dapat dimintai pertanggungjawaban pidana, ataukah pertanggungjawaban lebih tepat diarahkan kepada pejabat, pegawai, atau orang yang secara nyata melakukan perbuatan pidana.[10] Persoalan ini semakin relevan karena UU PDP menempatkan pengendali data pribadi sebagai pihak yang menentukan tujuan dan cara pemrosesan data pribadi, sehingga badan publik memiliki posisi sentral dalam mencegah kebocoran data.[11]
Pemerintah kemudian menerbitkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (PP 33/2026). Peraturan ini ditetapkan pada 15 Juli 2026 dan mulai berlaku pada 15 Januari 2027.[12] PP tersebut memperkuat kerangka tata kelola dan pengawasan pelindungan data pribadi, termasuk kewajiban pengendali dan prosesor data, mekanisme notifikasi kegagalan pelindungan data, penilaian dampak pemrosesan data, serta pengawasan dan sanksi administratif oleh lembaga yang berwenang.[13] Dalam konteks badan publik, PP 33/2026 menjadi penting karena memperjelas kewajiban operasional pengendali data pribadi. Namun, peraturan pelaksana tersebut terutama menekankan sanksi administratif dan tata kelola, sehingga persoalan pembuktian unsur kesengajaan serta tanggung jawab pidana badan publik tetap memerlukan analisis hukum pidana yang lebih mendalam.[14] Perkembangan hukum acara pidana juga memengaruhi kajian ini. Undang-Undang Nomor 20 Tahun 2025 tentang Kitab Undang-Undang Hukum Acara Pidana (KUHAP baru) telah ditetapkan pada 17 Desember 2025 dan berlaku efektif sejak 2 Januari 2026, menggantikan Undang-Undang Nomor 8 Tahun 1981.[15] KUHAP baru mengatur pola hubungan koordinasi antaraparat penegak hukum serta membawa perubahan dalam sistem peradilan pidana Indonesia, termasuk penguatan pendekatan keadilan restoratif dan perlindungan hak asasi manusia.[16] Dalam tindak pidana kebocoran data pribadi, perubahan tersebut relevan karena penyidikan membutuhkan kemampuan mengelola barang bukti digital, melacak aliran data, memeriksa sistem informasi, serta menentukan siapa yang memiliki kendali atas pemrosesan data pribadi.[17]
Merujuk perspektif doktrin hukum pidana, pembuktian kesengajaan tidak dapat dilakukan hanya dengan menunjukkan adanya kebocoran data. Ketentuan Pasal 67 dan 68 secara eksplisit menyebutkan frasa “Setiap yang dengan sengaja dan melawan hukum…”, sehingga pelaku yang dengan sengaja membocorkan data harus memenuhi 2 unsur yaitu:1) unsur dengan sengaja (kesengajaan atau dolus), dan 2) melawan hukum (wederrechtelijk). Hubungan kausal antara perbuatan pelaku dan terjadinya kebocoran, kesadaran pelaku atas perbuatannya, serta kesengajaan terhadap akibat yang ditimbulkan.[18] Dalam konteks badan publik, pembuktian menjadi lebih kompleks karena perbuatan dapat dilakukan oleh pegawai atau pejabat, sementara kerugian dan kewajiban pengamanan data melekat pada institusi. Kajian mengenai pertanggungjawaban pidana korporasi atas penyalahgunaan data pribadi menunjukkan bahwa hukum pidana Indonesia masih menghadapi tantangan dalam menentukan mekanisme pertanggungjawaban entitas kolektif, khususnya ketika entitas tersebut berbentuk badan publik.[19]
[1] Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Lembaran Negara Republik Indonesia Tahun 2022 Nomor 237, Tambahan Lembaran Negara Republik Indonesia Nomor 6853.
[2] Ibid., Pasal 1 angka 6 dan Pasal 24.
[3] Raden Sihar Martogi Sinambela, Appe Hutauruk, Hotman Sinambela, Mardiman Sane, dan Fendi Maruba Parlindungan Hutahaean, “Tinjauan Hukum Kebocoran Data Pribadi,” Jurnal Hukum dan Globalisasi, Vol. 7, No. 4, 2026.
[4] Lebrina Wonlele, Appe Hutauruk, Hotman Sinambela, dan Sunarno, “Criminal Liability for the Misuse of Personal Data by Corporations,” JIHAD: Jurnal Ilmu Hukum dan Administrasi, Vol. 8, No. 3, 2026.
[5] Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Pasal 1 sampai dengan Pasal 74.
[6] Ibid., Pasal 65 ayat (1) dan ayat (2).
[7] Ibid., Pasal 67 ayat (1) dan ayat (2).
[8] Ibid., Pasal 67.
[9] Moeljatno, Asas-Asas Hukum Pidana, Jakarta: Rineka Cipta, 2008, hlm. 163–170.
[10] Lebrina Wonlele, Appe Hutauruk, Hotman Sinambela, dan Sunarno, op.cit.
[11] Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Pasal 1 angka 6, Pasal 20, dan Pasal 24.
[12] Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Pasal mengenai ketentuan penutup.
[13] Ibid., ketentuan mengenai kewajiban pengendali data pribadi, notifikasi kegagalan pelindungan data, penilaian dampak, pengawasan, dan sanksi administratif.
[14] Eti Kusharyanti, FX Suyud Margono, Sendi Sanjaya, dan Appe Hutauruk, artikel dalam Journal Indonesia Law and Policy Review, Vol. 7, No. 1, 2026.
[15]Undang-Undang Nomor 20 Tahun 2025 tentang Kitab Undang-Undang Hukum Acara Pidana, Lembaran Negara Republik Indonesia Tahun 2025 Nomor 188, Pasal 369.
[16] Kementerian Sekretariat Negara Republik Indonesia, “KUHP dan KUHAP Baru Resmi Berlaku, Penegakan Hukum di Indonesia Masuki Era Baru,” 2026.
[17] Undang-Undang Nomor 20 Tahun 2025 tentang Kitab Undang-Undang Hukum Acara Pidana, ketentuan mengenai penyidikan, alat bukti, dan tata cara pemeriksaan.
[18] Moeljatno, op.cit., hlm. 163–170.
[19] Lebrina Wonlele, Appe Hutauruk, Hotman Sinambela, dan Sunarno, op.cit.
Writer and Copyright:
Dr. Appe Hutauruk, SH., MH.
Advokat & Dosen Fakultas Hukum Universitas Mpu Tantular
Ketua umum Komunitas Masyarakat Anti Korupsi & Penggelapan Pajak
AKTIVIS 1998