Data Bocor dan Hak Kamu: Apa yang Bisa Dilakukan Setelah Data Pribadi Tersebar

Apa itu kebocoran data dan siapa yang terkena

Kebocoran data terjadi ketika data pribadi yang disimpan suatu pihak terbuka, tercuri, hilang, atau dipakai tanpa hak. Penyebabnya macam-macam: peretasan, kelalaian karyawan, kesalahan sistem, atau sengaja dijual.

Data pribadi yang sering bocor.

• Nama, nomor telepon, alamat surel, dan alamat rumah.
• Nomor induk kependudukan (NIK), nomor kartu keluarga, dan foto KTP.
• Kata sandi dan riwayat transaksi.
• Data akun media sosial dan dompet digital.
• Data kesehatan, data keuangan, atau data anak, yang tergolong lebih sensitif.

Kebocoran bisa menimpa siapa pun yang pernah mendaftar di aplikasi, toko daring, kampus, kantor, atau layanan publik. Sebagian besar anak muda sudah punya puluhan akun, sehingga kemungkinan terdampak besar. Bukan salahmu bila data bocor dari pihak lain. Namun bagaimana kamu bereaksi setelahnya sangat menentukan.

Aturan dalam bahasa sehari-hari

Dasar utamanya adalah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Ketentuan penting yang relevan.

• Pemilik data punya hak. Kamu berhak mendapat informasi tentang pengolahan datamu, mengakses dan mendapat salinan, memperbaiki, meminta penghapusan atau menghentikan pemrosesan, dan menarik persetujuan, dengan batas dan syarat dalam undang-undang. Hak-hak ini dibahas di hak subjek data pribadi menurut UU PDP.
• Pengendali data wajib menjaga keamanan. Pihak yang menentukan tujuan pemrosesan data harus melindungi data dari akses tanpa hak dan kebocoran.
• Kewajiban pemberitahuan. Pasal 46 UU PDP mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data dan kepada lembaga yang ditunjuk undang-undang ketika terjadi kegagalan pelindungan data. Dalam kondisi tertentu, pengendali juga wajib memberi tahu masyarakat.
• Sanksi. UU PDP mengatur sanksi administratif dan pidana bagi pelanggaran tertentu. Besaran sanksi sebaiknya dilihat di teks resmi.
• Larangan menggunakan data secara melawan hukum. Memperoleh, mengumpulkan, mengungkapkan, atau memakai data pribadi milik orang lain secara melawan hukum dilarang.

Catatan penting: UU PDP sudah berlaku penuh setelah masa transisi yang berakhir pada Oktober 2024, tetapi lembaga pengawas pelindungan data pribadi belum terbentuk per September 2026. Akibatnya, mekanisme pengaduan khusus yang diatur dalam undang-undang belum sepenuhnya berjalan. Sementara itu, pengaduan dapat ditempuh lewat jalur yang tersedia, misalnya ke pengelola, kementerian yang mengurus komunikasi dan digital, OJK untuk sektor keuangan, atau polisi untuk dugaan pidana. Periksa informasi resmi terbaru.

Langkah praktis setelah data bocor

1. Cari tahu apa yang bocor. Baca pemberitahuan dari pengelola, atau periksa lewat layanan pengecekan kebocoran yang tepercaya. Waspada situs palsu yang mengaku mengecek kebocoran.
2. Ganti kata sandi. Mulai dari akun yang paling penting: surel utama, dompet digital, dan perbankan. Gunakan kata sandi unik dan panjang untuk tiap akun.
3. Aktifkan verifikasi dua langkah. Lebih baik memakai aplikasi autentikator atau kunci keamanan daripada hanya SMS.
4. Periksa aktivitas akun. Lihat riwayat masuk, perangkat terhubung, dan transaksi mencurigakan. Keluarkan perangkat yang tidak dikenal.
5. Hubungi pengelola. Kirim permintaan tertulis: data apa yang bocor, sejak kapan, apa yang sudah dilakukan, dan apa dampaknya untukmu. Simpan balasannya.
6. Waspadai penipuan lanjutan. Pelaku sering memakai data bocor untuk menelepon atau mengirim pesan seolah-olah petugas resmi. Baca tertipu modus transfer, OTP, dan phishing.
7. Pantau riwayat kredit. Periksa apakah ada pinjaman atas namamu. Baca KTP dipinjam untuk pinjol bila identitasmu dipakai.
8. Beri tahu bank atau penyedia dompet digital bila data finansial terdampak, dan pertimbangkan mengganti kartu atau nomor.
9. Laporkan. Kirim aduan ke jalur yang tersedia dan simpan nomor tiketnya. Untuk dugaan pidana, buat laporan polisi dan minta tanda bukti.
10. Dokumentasikan semuanya. Tangkapan layar pemberitahuan, pesan penipuan, dan kerugian. Bukti ini penting jika kamu menuntut ganti rugi.

Contoh: Kirana menerima surel dari toko daring yang mengabarkan bahwa data pelanggan, termasuk nama, alamat, dan nomor telepon, ikut bocor. Dua hari kemudian ia mendapat telepon dari orang yang mengaku kurir dan menanyakan kode OTP. Karena sudah membaca pemberitahuan itu, Kirana tidak memberi kode, menutup telepon, mengganti kata sandi, mengaktifkan verifikasi dua langkah, dan mengirim surat permintaan penjelasan ke toko. Ia menyimpan tangkapan layar pemberitahuan dan pesan mencurigakan untuk berjaga-jaga.

Hak kamu terhadap pengelola data

Selain pemberitahuan kebocoran, kamu bisa menggunakan hak-hak berikut.

• Meminta informasi. Tanyakan data apa yang dimiliki pengelola tentangmu dan untuk apa.
• Meminta akses dan salinan. Kamu boleh meminta salinan data pribadimu.
• Meminta perbaikan. Jika data tidak akurat, minta dikoreksi.
• Meminta penghapusan. Dalam kondisi tertentu, kamu dapat meminta data dihapus, misalnya ketika data tidak lagi diperlukan atau persetujuan ditarik.
• Menarik persetujuan. Kamu boleh menarik persetujuan pemrosesan, dengan batas yang ditentukan undang-undang.
• Menuntut ganti rugi. Pelanggaran pemrosesan data dapat berujung gugatan ganti rugi, dengan syarat pembuktian yang berlaku.

Pengelola wajib menanggapi permintaan dalam jangka waktu yang diatur peraturan pelaksana. Karena detail waktunya perlu dicek di teks resmi terbaru, catat tanggal permintaanmu dan tagih jawabannya secara tertulis.

Data apa yang paling berbahaya jika bocor

Tidak semua data memiliki risiko sama. Urutan kehati-hatian kira-kira sebagai berikut.

1. Kata sandi, kode OTP, dan PIN. Langsung membuka akun. Ganti segera.
2. Nomor KTP dan swafoto dengan KTP. Bisa dipakai membuat akun atau pinjaman atas namamu.
3. Data keuangan. Nomor kartu, rekening, dan riwayat transaksi.
4. Data kontak. Nomor telepon dan surel dipakai untuk penipuan dan spam.
5. Alamat dan data keluarga. Meningkatkan risiko pelecehan atau penipuan yang terasa meyakinkan.
6. Data kesehatan dan data anak. Tergolong sangat sensitif.

Tentukan prioritas sesuai jenis data yang bocor. Jika yang bocor hanya surel dan nama, cukup waspada terhadap spam dan phishing. Jika KTP ikut bocor, tingkatkan pemantauan riwayat kredit dan akun baru atas namamu.

Perubahan aturan yang perlu kamu ketahui

• UU PDP disahkan pada 2022 dan masa transisinya berakhir Oktober 2024. Sejak itu pengendali dan prosesor data wajib mematuhinya.
• Lembaga pengawas yang seharusnya menegakkan UU PDP belum terbentuk per September 2026. Artinya penegakan dan pengaduan tersendiri belum sepenuhnya berjalan. Pantau pengumuman resmi pemerintah.
• UU ITE diubah dengan UU No. 1 Tahun 2024. Akses ilegal terhadap sistem elektronik dan pencurian data tetap dapat dipidana. Periksa teks resmi untuk pasal dan ancamannya.
• KUHP baru (UU No. 1 Tahun 2023) berlaku sejak 2 Januari 2026. Penipuan (Pasal 492) dan penggelapan (Pasal 486) relevan bila data dipakai untuk menipu.
• KUHAP baru (UU No. 20 Tahun 2025) berlaku sejak 2 Januari 2026. Artikel ini tidak mengutip nomor pasalnya. Prinsipnya, kamu berhak melapor dan memperoleh tanda bukti laporan.

Kesalahan umum

Cara menyusun surat permintaan penjelasan kepada pengelola

Surat atau surel yang jelas membuat pengelola lebih sulit mengabaikanmu. Gunakan susunan berikut.

1. Identitas dan akun. Sebutkan nama, nama pengguna, dan surel terdaftar. Jangan mengirim data sensitif berlebih.
2. Pokok persoalan. Tulis bahwa kamu meminta informasi tentang insiden kebocoran data yang mencakup akunmu.
3. Pertanyaan. Data apa yang terdampak, kapan insiden diketahui, apa penyebabnya, apa tindakan pemulihan, dan apa yang perlu kamu lakukan.
4. Dasar. Rujuk UU PDP dan kewajiban pemberitahuan tertulis dalam waktu 3 x 24 jam sejak insiden.
5. Permintaan. Minta jawaban tertulis dalam jangka waktu yang wajar, misalnya tujuh hari kerja.
6. Tembusan. Jika perlu, tembuskan ke kanal pengaduan konsumen atau pengawas sektor.

Simpan bukti pengiriman. Jika pengelola tidak menjawab, kamu punya dasar kuat untuk mengadu lebih jauh.

Kalau datamu disebarkan orang lain (doxing)

Tidak semua kebocoran berasal dari perusahaan. Kadang teman, mantan, atau orang asing menyebarkan alamat, nomor telepon, atau foto pribadimu. Perbuatan ini sering disebut doxing.

• Simpan bukti unggahan: tautan, tangkapan layar, dan waktu.
• Laporkan unggahan ke platform dan minta penghapusan.
• Bila ada ancaman, buat laporan polisi.
• Untuk konten intim, UU TPKS (UU No. 12 Tahun 2022) melindungi korban kekerasan seksual berbasis elektronik.
• Baca doxing dan penyebaran data pribadi.

Hindari membalas dengan menyebarkan data pelaku. Itu bisa menjerumuskanmu ke masalah hukum.

Kebiasaan digital yang mengurangi dampak kebocoran

Kebocoran tidak selalu bisa dicegah, tetapi dampaknya bisa diperkecil.

• Kata sandi unik. Jangan memakai satu kata sandi untuk banyak akun. Gunakan frasa panjang atau pengelola kata sandi.
• Verifikasi dua langkah. Aktifkan untuk surel, dompet digital, dan media sosial.
• Minimalkan data. Isi hanya kolom wajib saat mendaftar. Jangan mengunggah KTP ke layanan yang tidak membutuhkannya.
• Surel dan nomor cadangan. Pisahkan untuk layanan penting dan layanan coba-coba.
• Hapus akun lama. Akun yang tidak dipakai tetap menyimpan datamu. Gunakan hakmu untuk meminta penghapusan.
• Perbarui perangkat. Pembaruan keamanan menutup celah yang dipakai peretas.
• Waspada tautan. Jangan klik tautan dari pesan tak dikenal, termasuk yang mengaku dari bank atau kurir.
• Cek izin aplikasi. Batasi akses ke kontak, lokasi, dan galeri bila tidak perlu.

Kebiasaan ini terdengar sepele, namun berpengaruh besar. Banyak korban penipuan terjadi karena kata sandi sama yang dipakai ulang atau karena kode OTP diberikan kepada penipu.

Hak anak muda sebagai konsumen layanan digital

Sebagai pengguna aplikasi, kamu bukan sekadar sumber data. Beberapa hal yang patut dituntut dari penyedia layanan.

1. Kebijakan privasi yang jelas. Bacalah ringkasannya sebelum setuju. Pastikan ada keterangan tentang data apa yang dikumpulkan dan dibagikan.
2. Persetujuan yang bebas. Persetujuan yang dipaksa atau disembunyikan dalam syarat panjang bisa dipersoalkan.
3. Pemberitahuan insiden. Penyedia layanan wajib memberi tahu bila terjadi kegagalan pelindungan data.
4. Kontak yang bisa dihubungi. Penyedia perlu menyediakan kanal untuk permintaan terkait data.
5. Perlindungan data anak. Data anak mendapat perhatian khusus. Bagi pengguna di bawah 18 tahun, peran orang tua atau wali penting.

Jika layanan tidak mau menjawab, catat semua upayamu. Dokumentasi ini berguna bila kamu mengadu ke pengawas sektor, seperti OJK untuk layanan keuangan, atau mengajukan gugatan.

Pertanyaan yang sering diajukan

Berapa lama pengelola wajib memberi tahu saya? Menurut UU PDP, pemberitahuan tertulis disampaikan paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data. Jika kamu tidak menerima apa-apa, kamu bisa menanyakan secara tertulis.

Bisakah saya menuntut ganti rugi? UU PDP membuka hak menuntut ganti rugi atas pelanggaran pemrosesan data. Keberhasilannya tergantung pembuktian kerugian dan sebab akibat. Konsultasikan dengan advokat bila nilainya besar.

Mengapa lembaga pengawas belum ada, apakah UU PDP tidak berlaku? UU PDP tetap berlaku. Yang belum terbentuk adalah lembaga pengawas, sehingga mekanisme pengaduan dan sanksi administratif belum optimal. Gunakan jalur yang ada dan pantau perkembangannya.

Apakah lapor polisi bisa membantu? Bisa, terutama bila ada penipuan, pemerasan, atau penggunaan identitas tanpa izin. Bawa bukti dan minta tanda bukti laporan.

Ringkasan

• Kebocoran data bisa menimpa siapa saja; reaksi cepat mengurangi dampaknya.
• UU PDP mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam setelah kegagalan pelindungan data.
• Kamu berhak atas informasi, akses, perbaikan, penghapusan, dan ganti rugi dalam batas undang-undang.
• Amankan akun, aktifkan verifikasi dua langkah, dan waspadai penipuan lanjutan.
• Lembaga pengawas PDP belum terbentuk per September 2026; gunakan jalur pengaduan yang tersedia.
• Dokumentasikan semuanya dan laporkan bila ada penyalahgunaan.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2024 tentang Perubahan Kedua atas UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik
• UU No. 12 Tahun 2022 tentang Tindak Pidana Kekerasan Seksual
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana
• UU No. 20 Tahun 2025 tentang Hukum Acara Pidana

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Doxing dan Penyebaran Data Pribadi: Langkah Hukum dan Cara Menghapus Konten
• Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan
• Studi Kasus: Data Pelanggan Toko Daring Bocor dan Dipakai Penipu

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.