Beda Lapor Insiden 1x24 Jam di UU SDI dan Notifikasi Kebocoran 3x24 Jam di PP 33/2026

Dua aturan, dua tenggat

Pembaca sering bingung karena dua angka yang mirip muncul dalam pemberitaan. Pertama, 1x24 jam pada UU Satu Data Indonesia (SDI) untuk insiden keamanan data. Kedua, 3x24 jam pada PP 33/2026 tentang Pelindungan Data Pribadi untuk notifikasi kebocoran.

Keduanya bukan pilihan alternatif. Masing-masing berlaku pada situasi dan pihak tertentu, sehingga satu kejadian bisa memicu dua laporan dengan tenggat berbeda.

Contoh sederhana membantu. Bila sistem pengumuman desa diretas tetapi tidak ada data pribadi yang bocor, jalur insiden keamanan data mungkin relevan sementara notifikasi data pribadi belum tentu. Sebaliknya, kebocoran daftar warga hampir pasti menyentuh keduanya.

Objek yang diatur

UU SDI, menurut pemberitaan, berbicara tentang insiden keamanan data dalam tata kelola Satu Data. Objeknya data yang berada dalam ekosistem SDI, yang diklasifikasikan sebagai terbuka, terbatas, atau tertutup.

PP 33/2026 berbicara tentang data pribadi. Menurut KRES.ID, notifikasi kebocoran harus tertulis, ditujukan kepada subjek data dan Lembaga, dan diatur pada Pasal 114. Pemberitahuan kepada publik diatur pada Pasal 115 bila ada gangguan layanan publik atau dampak serius.

Pertanyaan penting yang belum terjawab adalah apakah laporan 1x24 jam dapat sekaligus dianggap memenuhi notifikasi lain. Sumber kami tidak membahasnya. Sampai ada kejelasan, anggap keduanya terpisah dan penuhi masing-masing.

Penerima laporan berbeda

Penerima laporan UU SDI belum kami temukan dalam sumber. Sedangkan penerima notifikasi PP 33/2026 menurut KRES.ID adalah subjek data pribadi dan Lembaga. PP itu hanya menyebut Lembaga tanpa nama, dan lembaga pengawas data pribadi belum jelas pembentukannya.

Ketidakjelasan ini bisa menyulitkan pada awal penerapan. Instansi perlu memantau pengumuman resmi tentang kanal pelaporan agar tidak salah alamat.

Agar tidak salah, instansi sebaiknya meminta klarifikasi tertulis dari lembaga yang berwenang begitu kanal pelaporan diumumkan. Simpan jawaban itu sebagai pegangan sehingga keputusan Anda dapat dipertanggungjawabkan.

Kapan berlaku

Menurut KRES.ID, PP 33/2026 diundangkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Tanggal berlaku UU SDI belum kami ketahui. Jangan menganggap keduanya berlaku bersamaan.

Meski begitu, UU Pelindungan Data Pribadi sendiri sudah efektif penuh sejak Oktober 2024 menurut pengetahuan umum, dan memuat kewajiban notifikasi juga. Jadi kewajiban memberi tahu atas kebocoran data pribadi bukan hal baru.

Menurut pengetahuan umum, tenggat notifikasi pada UU PDP juga dikenal sebagai tiga kali dua puluh empat jam dan menyebut Pasal 46. Angka pasal ini perlu dicek ulang, sebab PP 33/2026 menurut KRES.ID memuat rincian pelaksanaan pada Pasal 114.

Cara menggabungkan prosedur

Daripada membuat dua prosedur terpisah, banyak organisasi memakai satu rencana penanganan insiden dengan beberapa jalur laporan. Pemicunya sama, yaitu penemuan insiden. Cabangnya ditentukan oleh jenis data yang terdampak.

Penjadwalan internal dapat dibuat berupa hitung mundur. Jam ke-0 saat insiden diketahui, jam ke-24 batas laporan awal SDI, jam ke-72 batas notifikasi data pribadi. Hitung mundur membuat semua orang melihat tenggat yang sama.

• Tentukan jam pertama kali insiden diketahui dan catat.
• Nilai apakah data pribadi ikut terdampak.
• Siapkan laporan awal untuk jalur UU SDI dalam sehari.
• Siapkan notifikasi tertulis untuk subjek data dan Lembaga dalam tiga hari.
• Perbarui laporan seiring bertambahnya fakta.

Perbedaan isi laporan

Laporan insiden untuk pengelola sistem berfokus pada sisi teknis: sistem terdampak, cara masuk penyerang, dan langkah pemulihan. Notifikasi untuk subjek data berfokus pada manusia: data apa yang bocor, apa risikonya, dan apa yang dapat dilakukan korban.

Bahasa untuk subjek data harus mudah dipahami awam. Hindari istilah teknis berlebihan. Beri saran sederhana, seperti mengganti kata sandi dan waspada penipuan yang memakai data yang bocor.

Pengumuman publik menurut Pasal 115 PP 33/2026 diberitakan hanya bila ada gangguan layanan publik atau dampak serius. Ini berbeda dari notifikasi kepada subjek data. Jangan menyamakan keduanya karena jalur dan isinya tidak sama.

Catatan kehati-hatian

Semua penjelasan ini bergantung pada pemberitaan. Bunyi pasal, definisi, dan pengecualian hanya bisa dipastikan dari naskah resmi. Bila organisasi Anda mengelola data sensitif, mintalah pendapat penasihat hukum.

Anggap angka 1x24 dan 3x24 sebagai batas maksimum, bukan target. Semakin cepat Anda melapor dan memberi tahu, semakin kecil peluang kerugian meluas.

Terakhir, latih tim dengan simulasi. Berikan skenario kebocoran fiktif, lalu ukur berapa lama tim membuat laporan awal dan notifikasi. Hasil latihan menunjukkan bagian proses yang paling sering tersendat.

Contoh kasus

Contoh: Sebuah pemerintah kota mendeteksi bahwa data warga yang dikelola dinasnya diakses pihak tak dikenal. Tim mencatat waktu penemuan, menyusun laporan insiden dalam sehari, lalu menilai bahwa data pribadi ikut terdampak. Pada hari berikutnya mereka menyiapkan pemberitahuan tertulis kepada warga terdampak dan lembaga yang berwenang, selesai sebelum tenggat tiga hari.

Hal yang sering keliru

• Mengira satu laporan cukup untuk dua aturan sekaligus.
• Mengira 3x24 jam lebih longgar sehingga laporan insiden juga boleh menunggu tiga hari.
• Mengira tanggal berlaku PP 33/2026 sama dengan UU SDI.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (Pasal 114 dan 115 menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Beda Lembaga Penyelenggara SDI dan Badan Satu Data Indonesia: Apa yang Berubah?
• Beda Pidana UU Satu Data dan UU ITE: Peretasan dan Gangguan Sistem Elektronik
• Beda Pidana UU Satu Data dan UU PDP: Data Nasional atau Data Pribadi?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.