Ditulis olehAdv. P. Akmal Sapriant, S.H.Advokat | Profil LinkedIn

Denda Administratif dan Ganti Rugi kepada Korban Berada dalam Rezim yang Berbeda

UU PDP mengenal sanksi administratif atas pelanggaran terhadap kewajiban tertentu. Pasal 57 mengatur bahwa pelanggaran terhadap ketentuan yang ditunjuk oleh pasal tersebut dapat dikenai sanksi berupa peringatan tertulis, penghentian sementara kegiatan Pemrosesan Data Pribadi, penghapusan atau pemusnahan Data Pribadi, dan/atau denda administratif. Denda administratif tersebut paling tinggi sebesar 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.

Denda administratif tersebut tidak sama dengan ganti rugi kepada korban. Denda administratif merupakan konsekuensi dalam ranah penegakan hukum administratif, sedangkan ganti rugi berkaitan dengan pemulihan kerugian yang dialami pihak yang haknya dilanggar. Dengan demikian, ketika perusahaan dikenai denda administratif, pembayaran denda tersebut tidak dengan sendirinya berarti konsumen yang dirugikan telah memperoleh pemulihan atas kerugiannya.

Pemisahan tersebut juga berlaku sebaliknya. Tidak adanya sanksi administratif tidak dengan sendirinya berarti korban tidak mempunyai hak untuk meminta ganti rugi. Hak Subjek Data Pribadi untuk menggugat dan menerima ganti rugi mempunyai landasan tersendiri dalam Pasal 12 UU PDP. Oleh karena itu, mekanisme administratif dan hak perdata korban perlu dianalisis sebagai dua persoalan hukum yang mempunyai hubungan, tetapi tidak identik.

Hak Subjek Data Pribadi untuk Menggugat Sudah Diberikan oleh UU PDP

Pasal 12 ayat (1) UU PDP menyatakan bahwa Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran Pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Norma ini penting karena memberikan dasar yang jelas bahwa pelanggaran terhadap hak Subjek Data Pribadi dapat menimbulkan konsekuensi ganti rugi, bukan sekadar konsekuensi administratif terhadap perusahaan.

Ketentuan tersebut berbeda dari Pasal 57 mengenai sanksi administratif. Pasal 12 berhubungan langsung dengan hak Subjek Data Pribadi, sementara Pasal 57 berhubungan dengan sanksi terhadap pelanggaran ketentuan tertentu dalam UU PDP. Karena objeknya berbeda, pembayaran denda administratif tidak boleh diposisikan sebagai pengganti ganti rugi yang seharusnya diterima oleh korban.

Namun, adanya hak untuk menggugat tidak berarti setiap insiden kebocoran data pasti menghasilkan kewajiban membayar sejumlah uang kepada setiap orang yang datanya terdampak. Hak menggugat memberikan dasar untuk mengajukan tuntutan, sedangkan apakah tuntutan tersebut dapat dikabulkan tetap bergantung pada pelanggaran, kerugian, pembuktian, dan hubungan sebab akibat yang dapat dibuktikan dalam perkara konkret.

Pertanggungjawaban Pengendali atas Pemrosesan Data Pribadi

Pasal 47 UU PDP menegaskan bahwa Pengendali Data Pribadi wajib bertanggung jawab atas Pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip Pelindungan Data Pribadi. Ketentuan ini menempatkan tanggung jawab pada pihak yang menentukan tujuan dan melakukan kendali atas Pemrosesan Data Pribadi, bukan semata-mata pada pihak yang secara teknis mengoperasikan perangkat atau server.

Dalam praktik, sebuah perusahaan dapat menyerahkan pengelolaan sistem kepada penyedia cloud, vendor teknologi, perusahaan pemasaran, penyedia pusat data, atau pihak ketiga lainnya. Fakta bahwa sebagian kegiatan teknis dilakukan pihak lain tidak dengan sendirinya mengubah posisi hukum perusahaan sebagai Pengendali apabila perusahaan tetap menentukan tujuan dan kendali Pemrosesan Data Pribadi.

Karena itu, apabila terjadi insiden yang berasal dari infrastruktur yang dikelola vendor, harus ditelusuri terlebih dahulu kedudukan masing-masing pihak. Siapa yang menentukan tujuan pemrosesan, siapa yang memberikan instruksi, siapa yang memproses atas nama siapa, kewajiban keamanan apa yang disepakati, dan apakah pihak yang melakukan pemrosesan bertindak sesuai kewenangannya merupakan pertanyaan yang menentukan konstruksi tanggung jawab.

Kewajiban Keamanan Tidak Hanya Muncul Setelah Data Bocor

Pasal 35 UU PDP mewajibkan Pengendali melindungi dan memastikan keamanan Data Pribadi yang diprosesnya. Kewajiban tersebut dilakukan dengan menyusun dan menerapkan langkah teknis operasional untuk melindungi Data Pribadi serta menentukan tingkat keamanan dengan memperhatikan sifat dan risiko Data Pribadi yang harus dilindungi. Dengan demikian, kewajiban hukum perusahaan telah ada sejak proses pengelolaan Data Pribadi berlangsung, sebelum terjadinya insiden.

Pasal 36 mewajibkan Pengendali menjaga kerahasiaan Data Pribadi. Pasal 37 mewajibkan pengawasan terhadap setiap pihak yang terlibat dalam Pemrosesan Data Pribadi di bawah kendalinya. Pasal 38 mewajibkan Pengendali melindungi Data Pribadi dari Pemrosesan yang tidak sah, sedangkan Pasal 39 mewajibkan pencegahan agar Data Pribadi tidak diakses secara tidak sah dengan sistem keamanan yang andal, aman, dan bertanggung jawab. Rangkaian ketentuan tersebut memperlihatkan bahwa kewajiban Pelindungan Data Pribadi mempunyai dimensi pengamanan, kerahasiaan, pengawasan, dan pencegahan.

Karena itu, perkara kebocoran data tidak cukup diperiksa dengan melihat apakah perusahaan sengaja membocorkan data kepada seseorang. Kelalaian dalam pengamanan, lemahnya pengawasan, pemberian akses tanpa pengendalian yang memadai, atau kegagalan mencegah akses tidak sah dapat menjadi persoalan hukum tersendiri apabila terbukti bertentangan dengan kewajiban yang ditentukan peraturan perundang-undangan.

Serangan Siber Tidak Dengan Sendirinya Membebaskan Perusahaan

Perusahaan dapat menjadi korban serangan siber dari pihak luar. Peretas dapat mengeksploitasi celah keamanan, menggunakan kredensial yang dicuri, melakukan serangan terhadap sistem, atau memanfaatkan kelemahan manusia. Akan tetapi, dari perspektif hukum, fakta bahwa serangan dilakukan oleh pihak ketiga belum dengan sendirinya menjawab apakah Pengendali telah memenuhi kewajiban Pelindungan Data Pribadi.

Yang harus diuji adalah tindakan perusahaan sebelum insiden. Apakah tingkat keamanan ditentukan berdasarkan sifat dan risiko Data Pribadi, apakah langkah teknis operasional telah diterapkan, apakah akses internal dikendalikan, apakah pihak ketiga diawasi, dan apakah perusahaan mempunyai mekanisme untuk mencegah akses yang tidak sah. Pertanyaan tersebut berhubungan langsung dengan kewajiban Pengendali berdasarkan Pasal 35 sampai dengan Pasal 39 UU PDP.

Namun, kesimpulan sebaliknya juga harus dihindari. Terjadinya serangan siber tidak secara otomatis membuktikan bahwa perusahaan telah lalai. Tetap diperlukan pemeriksaan terhadap fakta, standar pengamanan yang seharusnya diterapkan, tindakan yang benar-benar dilakukan, sifat serangan, dan hubungan antara dugaan kegagalan tersebut dengan kerugian korban.

Kegagalan Pelindungan Data Tidak Terbatas pada Publikasi Data

Pasal 46 UU PDP menggunakan istilah kegagalan Pelindungan Data Pribadi. Dalam penjelasannya, kegagalan tersebut berkaitan dengan kegagalan menjaga kerahasiaan, integritas, dan ketersediaan Data Pribadi, termasuk pelanggaran keamanan yang mengarah kepada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah. Karena itu, persoalan Pelindungan Data Pribadi mempunyai cakupan yang lebih luas daripada sekadar data yang tersebar di internet.

Perubahan Data Pribadi tanpa kewenangan, hilangnya data yang seharusnya tetap tersedia, akses internal oleh pihak yang tidak berhak, atau pengungkapan kepada pihak yang tidak berwenang dapat mempunyai implikasi hukum yang berbeda sesuai keadaan. Analisis harus diarahkan pada bentuk kegagalan yang terjadi dan kewajiban Pengendali atau Prosesor yang berkaitan dengan kegagalan tersebut.

Istilah "kebocoran data" yang umum digunakan dalam pemberitaan karena itu tidak selalu identik dengan seluruh bentuk kegagalan Pelindungan Data Pribadi. Dalam perkara hukum, yang harus dinilai adalah peristiwa yang sebenarnya terjadi, data yang terdampak, bentuk gangguan terhadap kerahasiaan, integritas, atau ketersediaan, serta ketentuan hukum yang dilanggar.

Kewajiban Pemberitahuan kepada Subjek Data Pribadi

Pasal 46 ayat (1) UU PDP mewajibkan Pengendali menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam apabila terjadi kegagalan Pelindungan Data Pribadi. Pemberitahuan tersebut disampaikan kepada Subjek Data Pribadi dan lembaga serta setidaknya memuat Data Pribadi yang terungkap, kapan dan bagaimana Data Pribadi terungkap, dan upaya penanganan serta pemulihan yang dilakukan Pengendali.

Kewajiban pemberitahuan mempunyai tujuan agar pihak yang terdampak mengetahui karakter insiden dan dapat mengambil tindakan yang diperlukan. Akan tetapi, pemberitahuan tersebut tidak sama dengan penyelesaian kewajiban ganti rugi. Perusahaan yang telah memberikan pemberitahuan tetap dapat menghadapi tuntutan apabila terdapat pelanggaran kewajiban lain yang menimbulkan kerugian kepada korban.

Sebaliknya, keterlambatan pemberitahuan tidak otomatis membuat setiap korban berhak atas jumlah ganti rugi tertentu. Pelanggaran kewajiban pemberitahuan merupakan persoalan tersendiri, sedangkan tuntutan ganti rugi tetap harus dibangun dari hak korban, kerugian, dan hubungan sebab akibat yang dapat dibuktikan.

Pelanggaran UU PDP Dapat Menjadi Dasar Unsur Melawan Hukum

Pasal 1365 KUHPerdata merupakan dasar umum pertanggungjawaban perbuatan melawan hukum. Norma tersebut mewajibkan pihak yang karena kesalahannya menimbulkan kerugian kepada orang lain untuk mengganti kerugian tersebut. Dalam perkara perbuatan melawan hukum, unsur perbuatan melawan hukum, kesalahan, kerugian, dan hubungan sebab akibat harus dianalisis berdasarkan fakta yang diajukan para pihak.

Dalam sengketa Pelindungan Data Pribadi, kewajiban yang berasal dari UU PDP dapat menjadi sumber norma yang harus ditaati perusahaan. Apabila Pengendali tidak memenuhi kewajiban keamanan berdasarkan Pasal 35, tidak menjaga kerahasiaan berdasarkan Pasal 36, tidak melakukan pengawasan berdasarkan Pasal 37, atau tidak mencegah akses yang tidak sah berdasarkan Pasal 39, pelanggaran tersebut dapat menjadi bagian dari konstruksi mengenai sifat melawan hukum.

Akan tetapi, tidak tepat mengatakan bahwa setiap pelanggaran UU PDP dengan sendirinya menyebabkan Pasal 1365 terpenuhi. Penggugat tetap harus menunjukkan kesalahan dan kerugian serta menjelaskan hubungan kausal antara pelanggaran dengan kerugian tersebut. Dengan demikian, UU PDP memberikan norma khusus yang dilanggar, sedangkan Pasal 1365 memberikan konstruksi pertanggungjawaban perdata yang harus diuji melalui unsur-unsurnya.

Hubungan antara Pelanggaran dan Kerugian Harus Dibuktikan

Persoalan paling sulit dalam perkara kebocoran Data Pribadi sering kali bukan membuktikan bahwa sebuah insiden pernah terjadi, tetapi membuktikan bahwa korban tertentu mengalami kerugian yang merupakan akibat dari pelanggaran tersebut. Data yang bocor dapat berpindah melalui beberapa pihak sebelum akhirnya digunakan untuk tujuan tertentu. Karena itu, hubungan sebab akibat tidak boleh diasumsikan hanya karena korban merupakan pelanggan perusahaan.

Misalnya, seseorang mengetahui bahwa perusahaan tempatnya pernah bertransaksi mengalami kebocoran. Beberapa bulan setelah itu ia menerima pesan penipuan dan kehilangan uang. Kedua peristiwa tersebut belum otomatis mempunyai hubungan kausal hanya berdasarkan urutan waktu. Harus ada bukti atau rangkaian fakta yang menghubungkan Data Pribadi korban dengan insiden dan kemudian menghubungkannya dengan penggunaan data tersebut.

Hubungan kausal menjadi lebih kuat apabila perusahaan mengakui jenis data tertentu memang terdampak, data korban termasuk dalam kelompok data tersebut, kemudian muncul bukti penyalahgunaan yang menggunakan informasi yang sama, dan korban mengalami kerugian yang dapat diidentifikasi. Semakin jelas rangkaian faktanya, semakin kuat pula dasar untuk menghubungkan kerugian dengan pelanggaran yang didalilkan.

Kerugian Material dan Immaterial Harus Dibedakan

Kerugian material merupakan kerugian yang dapat dinilai secara ekonomis dan harus mempunyai dasar perhitungan yang dapat dipertanggungjawabkan. Dalam konteks Pelindungan Data Pribadi, bentuk kerugian tersebut dapat berupa kerugian finansial akibat transaksi tidak sah, biaya pemulihan akun atau identitas, biaya tertentu yang dikeluarkan karena penyalahgunaan data, atau kerugian ekonomi lain sepanjang dapat dihubungkan dengan peristiwa yang menjadi dasar tuntutan.

Kerugian immaterial mempunyai karakter berbeda. Rasa takut, hilangnya rasa aman, gangguan terhadap kehidupan pribadi, atau tekanan yang dialami akibat penyalahgunaan Data Pribadi perlu diuraikan berdasarkan keadaan konkret korban. Tidak cukup hanya mencantumkan nominal tertentu tanpa menjelaskan fakta yang menyebabkan kerugian tersebut dan bukti yang mendukung dalil tersebut.

Karena itu, gugatan yang hanya menyatakan "data saya bocor sehingga saya mengalami kerugian" masih terlalu umum. Penggugat perlu menerangkan jenis Data Pribadi yang terungkap, bagaimana pengungkapan tersebut terjadi, akibat yang dialami, bentuk kerugian, dan hubungan antara kerugian tersebut dengan pelanggaran yang dilakukan tergugat.

Kedudukan Pengendali dan Prosesor Tidak Boleh Dicampur

UU PDP membedakan Pengendali Data Pribadi dengan Prosesor Data Pribadi. Pengendali adalah pihak yang menentukan tujuan dan melakukan kendali Pemrosesan Data Pribadi, sedangkan Prosesor adalah pihak yang melakukan Pemrosesan Data Pribadi atas nama Pengendali. Pembedaan ini bukan sekadar masalah istilah, tetapi menentukan struktur tanggung jawab dalam pemrosesan.

Pasal 51 UU PDP mengatur hubungan tersebut lebih lanjut. Prosesor melakukan pemrosesan berdasarkan perintah Pengendali dan pemrosesan tersebut berada dalam tanggung jawab Pengendali. Apabila Prosesor melakukan Pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali, pemrosesan tersebut menjadi tanggung jawab Prosesor. (jdih.komdigi.go.id)

Karena itu, perusahaan tidak dapat sekadar menyatakan bahwa "data dikelola vendor" tanpa menjelaskan struktur hubungan hukumnya. Sebaliknya, vendor juga tidak dapat langsung dianggap bertanggung jawab atas semua persoalan apabila kegagalan terjadi dalam lingkup perintah dan pengendalian perusahaan. Kontrak, instruksi, pembagian fungsi, pengawasan, dan tindakan masing-masing pihak perlu diperiksa.

Tidak Harus Menunggu Sanksi Administratif untuk Mengajukan Gugatan

Pasal 12 UU PDP tidak menjadikan adanya denda administratif sebagai syarat bagi Subjek Data Pribadi untuk menggunakan hak menggugat. Dengan demikian, hak korban mempunyai dasar langsung dalam UU PDP. Proses administratif dapat berlangsung tersendiri dan hasilnya dapat menjadi fakta yang relevan, tetapi proses tersebut tidak boleh dipersamakan dengan prasyarat mutlak bagi gugatan perdata.

Keadaan sebaliknya juga berlaku. Jika regulator menjatuhkan sanksi kepada perusahaan, hal itu tidak berarti seluruh unsur kerugian korban otomatis terbukti. Penggugat tetap harus menguraikan kerugian yang dialami dan hubungan sebab akibat. Putusan atau tindakan administratif dapat mempunyai nilai relevansi terhadap perkara tertentu, tetapi pembuktian perdata tetap harus disesuaikan dengan objek gugatan.

Dengan demikian, kedudukan denda administratif dan gugatan perdata harus ditempatkan sesuai fungsinya. Denda berhubungan dengan kepatuhan perusahaan terhadap rezim administratif, sedangkan gugatan korban berhubungan dengan pemulihan hak dan kerugian yang dialami Subjek Data Pribadi.

Data yang Terungkap Mempengaruhi Analisis Risiko

Pasal 4 UU PDP membedakan Data Pribadi yang bersifat spesifik dan Data Pribadi yang bersifat umum. Data kesehatan, biometrik, genetika, catatan kejahatan, data anak, serta data keuangan pribadi termasuk Data Pribadi yang bersifat spesifik. Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang termasuk Data Pribadi yang bersifat umum.

Pembedaan tersebut relevan dalam menilai risiko yang dihadapi Subjek Data Pribadi. Kebocoran nama dan nomor telepon mempunyai karakter risiko yang berbeda dari kebocoran data keuangan, biometrik, kesehatan, atau kombinasi data yang dapat digunakan untuk mengidentifikasi dan menyalahgunakan identitas seseorang.

UU PDP juga mewajibkan penilaian dampak Pelindungan Data Pribadi apabila Pemrosesan mempunyai potensi risiko tinggi. Pasal 34 antara lain memasukkan Pemrosesan Data Pribadi yang bersifat spesifik dan Pemrosesan Data Pribadi dalam skala besar sebagai keadaan yang mempunyai potensi risiko tinggi. Karena itu, dalam perkara tertentu, riwayat pengelolaan risiko perusahaan dapat menjadi relevan untuk melihat apakah kewajiban pencegahan telah dilaksanakan dengan tingkat kehati-hatian yang sesuai.

Penggunaan Vendor Tidak Menghapus Kewajiban Pengawasan

Pasal 37 UU PDP mewajibkan Pengendali melakukan pengawasan terhadap setiap pihak yang terlibat dalam Pemrosesan Data Pribadi di bawah kendalinya. Ketentuan ini mempunyai konsekuensi hukum bagi perusahaan yang menggunakan pihak ketiga untuk mengolah Data Pribadi. Penggunaan vendor bukan alasan untuk mengabaikan pengawasan terhadap proses yang dilakukan atas nama perusahaan.

Karena itu, ketika terjadi insiden yang berasal dari sistem vendor, perlu diperiksa apakah perusahaan telah menentukan persyaratan keamanan, memberikan instruksi yang tepat, membatasi akses, melakukan pengawasan, dan mengambil langkah terhadap risiko yang diketahui. Pertanyaan tersebut tidak dapat dijawab hanya dengan menunjuk kontrak jasa tanpa melihat pelaksanaannya.

Jika Prosesor ternyata memproses Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali, Pasal 51 ayat (6) memberikan konsekuensi tanggung jawab kepada Prosesor. Dengan demikian, penentuan pihak yang bertanggung jawab harus mengikuti struktur hubungan hukum dan fakta pemrosesan, bukan semata-mata siapa yang namanya paling dikenal oleh konsumen.

Pembuktian Menjadi Bagian Penting dalam Gugatan

Dalam perkara perdata, pihak yang mendalilkan mempunyai hak atau menunjuk suatu peristiwa untuk meneguhkan haknya mempunyai kewajiban pembuktian berdasarkan Pasal 1865 KUHPerdata. Pasal 1866 mengenal bukti tulisan, saksi, persangkaan, pengakuan, dan sumpah sebagai alat bukti. Dalam perkara Data Pribadi, seluruh alat bukti tersebut dapat mempunyai relevansi sesuai dengan fakta yang hendak dibuktikan.

Dokumen pemberitahuan perusahaan mengenai insiden dapat digunakan untuk menunjukkan bahwa perusahaan mengakui adanya kegagalan Pelindungan Data Pribadi. Bukti hubungan konsumen dengan perusahaan, informasi mengenai jenis Data Pribadi yang terdampak, komunikasi dengan perusahaan, bukti penyalahgunaan data, laporan kepada pihak tertentu, dan dokumen mengenai kerugian juga dapat menjadi bagian dari rangkaian pembuktian.

Informasi Elektronik dan Dokumen Elektronik mempunyai kedudukan sebagai alat bukti hukum berdasarkan Pasal 5 UU ITE sebagaimana telah diubah terakhir dengan UU Nomor 1 Tahun 2024. Karena itu, surat elektronik, pemberitahuan aplikasi, pesan elektronik, tangkapan layar, dan dokumen digital dapat menjadi bagian dari pembuktian sepanjang dapat dipertanggungjawabkan mengenai keberadaan, keaslian, konteks, dan keterkaitannya dengan perkara.

Ganti Rugi Tidak Dihitung dari Angka Denda Administratif

Pasal 57 UU PDP menetapkan batas paling tinggi denda administratif sebesar 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Angka tersebut merupakan batas denda administratif dan bukan rumus untuk menentukan ganti rugi korban. Karena itu, korban tidak dapat menjadikan persentase tersebut sebagai dasar otomatis untuk menghitung jumlah ganti rugi.

Ganti rugi harus dikaitkan dengan kerugian yang dialami Subjek Data Pribadi. Apabila korban mengalami kerugian keuangan tertentu karena penyalahgunaan Data Pribadi, nilai tersebut harus dapat dijelaskan dan dibuktikan. Demikian pula apabila korban mengajukan kerugian immaterial, dasar faktual dan akibat yang dialami perlu diuraikan kepada pengadilan.

Dengan demikian, denda administratif dan ganti rugi tidak hanya berbeda dalam jumlah, tetapi juga berbeda dalam fungsi hukumnya. Denda merupakan sanksi terhadap pelanggaran administratif, sedangkan ganti rugi berkaitan dengan pemulihan kerugian pihak yang haknya dilanggar.

PP Nomor 33 Tahun 2026 Memperjelas Mekanisme Ganti Rugi

Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah ditetapkan dan diundangkan pada 16 Juli 2026. PP tersebut mengatur lebih lanjut sejumlah materi yang memang diperintahkan UU PDP untuk diatur melalui Peraturan Pemerintah, termasuk pelanggaran Pemrosesan Data Pribadi dan tata cara pengenaan ganti rugi. Namun, berdasarkan ketentuan penutupnya, PP tersebut baru mulai berlaku enam bulan setelah diundangkan.

Dengan demikian, pada September 2026 PP 33/2026 belum berlaku. Ini penting dalam penulisan artikel maupun analisis perkara karena tidak tepat menerapkan mekanisme teknis yang belum memasuki masa berlaku sebagai ketentuan yang sudah mengikat pada tanggal sekarang.

Setelah mulai berlaku, PP 33/2026 akan memberikan kerangka yang lebih rinci mengenai pelaksanaan hak dan kewajiban berdasarkan UU PDP, termasuk mekanisme ganti rugi dan penyelesaian sengketa. Akan tetapi, hak Subjek Data Pribadi untuk menggugat dan menerima ganti rugi sendiri sudah diberikan oleh Pasal 12 UU PDP, sehingga dasar hak tersebut tidak baru lahir ketika PP 33/2026 mulai berlaku.

Konstruksi Gugatan Harus Memisahkan Hak, Pelanggaran, Kerugian, dan Kausalitas

Dalam menyusun gugatan, Subjek Data Pribadi tidak cukup menyatakan bahwa perusahaan mengalami kebocoran data dan kemudian meminta sejumlah uang. Posita harus menjelaskan hubungan korban dengan perusahaan, kedudukan perusahaan sebagai Pengendali atau Prosesor, jenis Data Pribadi yang diproses, kewajiban hukum yang berlaku, bentuk pelanggaran, kerugian, dan hubungan sebab akibat antara pelanggaran dengan kerugian.

Pelanggaran UU PDP dapat ditempatkan dalam bagian mengenai kewajiban hukum yang dilanggar. Pasal 1365 KUHPerdata kemudian menjadi dasar umum untuk menjelaskan mengapa tindakan atau kelalaian tersebut menimbulkan kewajiban mengganti kerugian. Namun, kesalahan tidak boleh hanya disebut secara abstrak. Harus diuraikan tindakan atau kelalaian apa yang dilakukan perusahaan dan mengapa tindakan tersebut dapat dipertanggungjawabkan.

Kerugian juga harus ditempatkan secara terpisah. Apabila yang dituntut adalah kerugian material, perlu ada dasar perhitungan. Apabila yang dituntut adalah kerugian immaterial, perlu ada uraian fakta mengenai dampak yang dialami korban. Setelah itu, hubungan sebab akibat harus dijelaskan melalui rangkaian peristiwa dan alat bukti yang mendukung.

Kesimpulan

Perusahaan yang gagal melindungi Data Pribadi konsumen tidak hanya berhadapan dengan kemungkinan sanksi administratif berdasarkan UU PDP. Pasal 12 UU PDP secara langsung memberikan hak kepada Subjek Data Pribadi untuk menggugat dan menerima ganti rugi atas pelanggaran Pemrosesan Data Pribadi tentang dirinya. Hak tersebut berada dalam ranah perlindungan hak Subjek Data Pribadi dan tidak sama dengan denda administratif berdasarkan Pasal 57.

Kegagalan perusahaan dalam memenuhi kewajiban keamanan, menjaga kerahasiaan, melakukan pengawasan, dan mencegah akses yang tidak sah dapat menjadi persoalan hukum apabila bertentangan dengan kewajiban yang ditentukan UU PDP. Pasal 35 sampai dengan Pasal 39 membentuk rangkaian kewajiban yang harus dilaksanakan oleh Pengendali, sedangkan Pasal 47 menegaskan pertanggungjawaban Pengendali atas Pemrosesan Data Pribadi.

Dalam konstruksi perdata, pelanggaran kewajiban tersebut dapat menjadi bagian dari unsur melawan hukum dalam gugatan berdasarkan Pasal 1365 KUHPerdata. Akan tetapi, pelanggaran UU PDP tidak dengan sendirinya membuktikan seluruh unsur Pasal 1365. Penggugat tetap harus menunjukkan adanya kesalahan, kerugian, serta hubungan sebab akibat antara pelanggaran dengan kerugian yang dituntut.

Karena itu, kebocoran Data Pribadi bukan perkara yang dapat dinilai hanya berdasarkan fakta bahwa suatu perusahaan telah diretas. Yang harus diuji adalah bagaimana perusahaan memenuhi kewajiban hukumnya sebagai Pengendali atau Prosesor, bagaimana sistem Pelindungan Data Pribadi dijalankan, apakah terdapat pelanggaran kewajiban, dan bagaimana pelanggaran tersebut berhubungan dengan kerugian yang dialami korban.

Denda administratif sebesar paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran juga tidak dapat dijadikan formula untuk menghitung ganti rugi korban. Denda tersebut merupakan sanksi administratif, sementara ganti rugi berkaitan dengan kerugian individual Subjek Data Pribadi. Kedua mekanisme tersebut mempunyai dasar dan fungsi yang berbeda.

PP Nomor 33 Tahun 2026 memperjelas mekanisme pelaksanaan UU PDP, termasuk mengenai ganti rugi, tetapi peraturan tersebut baru berlaku enam bulan setelah diundangkan pada 16 Juli 2026. Pada September 2026, hak menggugat tetap bertumpu pada UU PDP, sedangkan penerapan ketentuan teknis PP 33/2026 harus menunggu berlakunya peraturan tersebut.

Dengan demikian, korban pada prinsipnya mempunyai dasar hukum untuk menuntut ganti rugi apabila terjadi pelanggaran Pemrosesan Data Pribadi yang menimbulkan kerugian. Gugatan berdasarkan UU PDP dapat ditempatkan bersama konstruksi perbuatan melawan hukum berdasarkan Pasal 1365 KUHPerdata sepanjang unsur-unsurnya dapat dibuktikan. Yang menjadi penentu bukan sekadar adanya kebocoran, tetapi adanya pelanggaran kewajiban hukum, kesalahan, kerugian, dan hubungan sebab akibat yang dapat dipertanggungjawabkan dalam perkara konkret.

Dasar Hukum

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, khususnya Pasal 4 mengenai jenis Data Pribadi, Pasal 12 mengenai hak menggugat dan menerima ganti rugi, Pasal 27 sampai dengan Pasal 39 mengenai kewajiban Pengendali dalam Pemrosesan dan keamanan Data Pribadi, Pasal 46 mengenai pemberitahuan kegagalan Pelindungan Data Pribadi, Pasal 47 mengenai pertanggungjawaban Pengendali, Pasal 51 mengenai Prosesor Data Pribadi, dan Pasal 57 mengenai sanksi administratif.

Pasal 35 UU PDP menjadi dasar khusus mengenai kewajiban Pengendali untuk melindungi dan memastikan keamanan Data Pribadi yang diprosesnya. Ketentuan tersebut mencakup penyusunan dan penerapan langkah teknis operasional serta penentuan tingkat keamanan dengan memperhatikan sifat dan risiko Data Pribadi.

Pasal 36 sampai dengan Pasal 39 UU PDP mengatur kewajiban menjaga kerahasiaan, melakukan pengawasan terhadap pihak yang terlibat dalam Pemrosesan Data Pribadi, melindungi Data Pribadi dari Pemrosesan yang tidak sah, dan mencegah akses tidak sah terhadap Data Pribadi.

Pasal 46 dan Pasal 47 UU PDP mengatur kewajiban pemberitahuan dalam hal kegagalan Pelindungan Data Pribadi dan tanggung jawab Pengendali atas Pemrosesan Data Pribadi.

Pasal 51 UU PDP mengatur hubungan hukum Pengendali dan Prosesor Data Pribadi, termasuk tanggung jawab Pengendali atas pemrosesan oleh Prosesor berdasarkan perintah Pengendali dan tanggung jawab Prosesor apabila melakukan Pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali.

Pasal 57 UU PDP mengatur sanksi administratif, termasuk denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Denda tersebut merupakan sanksi administratif dan tidak identik dengan ganti rugi kepada Subjek Data Pribadi.

Pasal 1365 KUHPerdata merupakan dasar umum tuntutan perbuatan melawan hukum terhadap pihak yang karena kesalahannya menimbulkan kerugian kepada orang lain. Penerapannya dalam perkara Pelindungan Data Pribadi tetap mensyaratkan analisis mengenai perbuatan melawan hukum, kesalahan, kerugian, dan hubungan sebab akibat.

Pasal 1865 dan Pasal 1866 KUHPerdata berkaitan dengan pembebanan pembuktian dan alat bukti dalam perkara perdata. Ketentuan tersebut relevan dalam pembuktian hubungan hukum, pelanggaran, kerugian, serta rangkaian peristiwa yang menghubungkan kegagalan Pelindungan Data Pribadi dengan kerugian korban.

Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 1 Tahun 2024, khususnya Pasal 5, relevan terhadap kedudukan Informasi Elektronik dan Dokumen Elektronik sebagai alat bukti hukum yang sah.

Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik tetap relevan dalam aspek kewajiban Penyelenggara Sistem Elektronik, sepanjang ketentuannya berkaitan dengan penyelenggaraan sistem elektronik dan keamanan sistem. Penerapannya harus dibaca bersama UU PDP sebagai undang-undang yang mengatur secara khusus mengenai Pelindungan Data Pribadi.

Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi merupakan peraturan pelaksana yang memperinci sejumlah ketentuan UU PDP, termasuk mekanisme mengenai pelanggaran Pemrosesan Data Pribadi, ganti rugi, penilaian dampak, Prosesor, dan sanksi administratif. PP tersebut ditetapkan dan diundangkan pada 16 Juli 2026 dan mulai berlaku enam bulan setelah diundangkan.