Beda Pidana UU Satu Data dan UU PDP: Data Nasional atau Data Pribadi?

Sasaran yang berbeda

UU SDI berfokus pada tata kelola data pemerintah. Pidananya, menurut pemberitaan, menyasar perbuatan terhadap pusat data nasional dan infrastruktur teknis serta sistem SDI.

UU PDP berfokus pada data pribadi, yaitu data tentang orang yang dapat dikenali. Ia memberi hak kepada pemilik data dan kewajiban kepada pihak yang memrosesnya.

Contohnya, nomor identitas dan alamat seseorang adalah data pribadi, sedangkan konfigurasi pusat data nasional adalah bagian infrastruktur. Keduanya dapat terkait, tetapi bukan hal yang sama.

Singkatnya, UU PDP bertanya data siapa yang dilindungi, sedangkan UU SDI bertanya sistem dan data nasional mana yang harus diamankan serta dikelola bersama.

Siapa yang dilindungi

Pada UU PDP, yang dilindungi langsung adalah individu pemilik data, misalnya dari kebocoran atau penyalahgunaan. Korban dapat menuntut hak seperti akses, koreksi, dan penghapusan.

Pada UU SDI, objek yang dilindungi adalah infrastruktur dan integritas data nasional. Warga merasakan dampaknya secara tidak langsung, misalnya melalui layanan publik dan bantuan sosial yang akurat.

Dengan demikian, korban kebocoran data pribadi tidak perlu menunggu tindakan pidana terhadap pelaku untuk memakai haknya. Jalur UU PDP dapat ditempuh sesuai ketentuan yang berlaku.

Ingat pula bahwa sebuah peristiwa belum tentu pidana. Banyak kebocoran terjadi karena kelalaian dan lebih tepat ditangani lewat sanksi administratif atau perbaikan tata kelola.

Ancaman pidana yang dikenal

Menurut pemberitaan, Pasal 133 UU SDI mengancam penjara paling lama 15 tahun dan/atau denda kategori VIII. Itu untuk serangan, sabotase, manipulasi, penghancuran, penyebaran tanpa hak, atau pengambilalihan.

UU PDP, menurut pengetahuan umum, memuat larangan dan pidana tersendiri pada bagian akhirnya, dengan ancaman penjara dan denda yang berbeda. Angkanya perlu diperiksa langsung pada naskah UU 27/2022.

Karena nominal dan jenis ancaman tidak sama, jangan mencampur angka dari satu aturan ke aturan lain. Kesalahan seperti ini sering terjadi di media sosial dan menyesatkan pembaca.

Bila ragu, bacalah kedua naskah berdampingan, lalu catat angka dan pasal masing-masing.

Korporasi dan pengelola data

Kedua aturan mengenal pertanggungjawaban korporasi. UU SDI, menurut pemberitaan, mengatur pidana bagi korporasi dan pengurusnya di Pasal 135. UU PDP, menurut pengetahuan umum, juga memuat pidana bagi korporasi.

PP 33/2026, menurut KRES.ID, memuat sanksi administratif bagi pelanggaran data pribadi, seperti peringatan tertulis dan denda administratif. Aturan serupa untuk UU SDI belum dijelaskan.

Lembaga pengawas pelindungan data pribadi, menurut Bisnis.com, belum jelas dan praktisi mendesak lembaga independen. Hal ini memengaruhi seberapa cepat sanksi administratif dapat dijatuhkan dalam praktik.

Pelaku usaha sebaiknya menyiapkan prosedur pemberitahuan kebocoran sesuai UU PDP dan PP 33/2026. Menurut KRES.ID, pemberitahuan tertulis dilakukan paling lambat 3x24 jam, sedangkan UU SDI menurut pemberitaan memuat kewajiban lapor insiden 1x24 jam.

Relasi yang belum dijelaskan

Pemberitaan menyatakan UU SDI menyentuh perlindungan data pribadi, tetapi tidak menjelaskan hubungan rincinya dengan UU PDP. Karena itu, UU PDP tetap menjadi rezim khusus data pribadi.

Kami tidak menemukan informasi bahwa UU SDI mengubah UU PDP. Pernyataan seperti itu tidak boleh dibuat tanpa dasar naskah resmi.

Sikap kehati-hatian ini penting. Menyatakan bahwa satu undang-undang mengubah undang-undang lain tanpa dasar naskah dapat menimbulkan salah paham, bahkan keputusan bisnis yang keliru.

Contoh peristiwa yang menyentuh keduanya

Misalkan terjadi peretasan pada sistem pemerintah yang menyimpan data penduduk. Dari sisi serangan terhadap infrastruktur, UU SDI dapat relevan. Dari sisi data pribadi yang bocor, UU PDP juga dapat relevan.

Bagaimana penegak hukum menggabungkan atau memilih pasal bergantung pada fakta dan aturan hukum pidana umum. Pembaca perlu berhati-hati agar tidak menyimpulkan sendiri.

Bila ada gugatan, pengadilan akan menilai fakta, bukti, dan dasar hukum yang diajukan para pihak. Penegak hukum juga dapat memakai ketentuan pidana umum sepanjang cocok dengan perbuatannya.

Saran bagi warga dan pelaku usaha

Warga yang datanya bocor sebaiknya memakai jalur UU PDP dan melapor ke pengendali data. Pelaku usaha perlu patuh pada UU PDP dan menyiapkan penyesuaian terhadap UU SDI bila terhubung dengan sistem pemerintah.

PP 33/2026, menurut KRES.ID, mulai berlaku 16 Januari 2027. Tanggal berlaku UU SDI belum diketahui, sehingga pelaku usaha perlu memantau keduanya.

Bagi sekolah, rumah sakit, atau toko daring yang mengelola data pelanggan, kepatuhan terhadap UU PDP tetap menjadi prioritas. UU SDI terutama relevan bila mereka bekerja sama dengan instansi pemerintah.

Contoh kasus

Contoh: Sebuah dinas mengalami kebocoran data penerima layanan akibat peretasan. Pelaku diduga masuk ke sistem interoperabilitas dan mengambil data. Warga yang datanya bocor dapat meminta penjelasan dan menggunakan hak menurut UU PDP. Dari sisi serangan pada infrastruktur, penegak hukum dapat menilai UU SDI. Penentuan pasal sepenuhnya kewenangan penegak hukum dan pengadilan.

Hal yang sering keliru

• Mengira UU SDI mengganti UU PDP.
• Mengira pidana UU PDP dan UU SDI memiliki angka yang sama.
• Mengira data pribadi hanya dilindungi jika bocor dari instansi pemerintah.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Bias Algoritma dan Risiko Diskriminasi Baru dalam Pengelolaan Data Pemerintah
• Blockchain untuk Keterlacakan Data dalam UU Satu Data Indonesia: Apa Artinya
• Cara Melapor Dugaan Penyalahgunaan atau Peretasan Data Pemerintah: Langkah Umum

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.