Data Bocor dari Layanan Publik: Apa yang Bisa Dilakukan Warga

Apa yang dimaksud kebocoran data

Kebocoran data pribadi adalah keadaan ketika data tentang seseorang terbuka, diambil, atau tersebar kepada pihak yang tidak berhak. Penyebabnya beragam: serangan peretas, kelalaian pegawai, sistem yang tidak terlindungi, atau penyalahgunaan akses oleh orang dalam.

Data pribadi mencakup nama, nomor induk kependudukan (NIK), alamat, nomor telepon, tanggal lahir, foto, dan data kesehatan atau keuangan. Menurut UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), pihak yang menentukan tujuan dan cara memproses data disebut pengendali data pribadi. Instansi pemerintah yang menyimpan data warga termasuk pengendali data. Warga sebagai pemilik data disebut subjek data pribadi.

Hak warga menurut UU PDP

Warga sebagai subjek data memiliki sejumlah hak. Hak yang paling relevan saat data bocor antara lain:

• Hak mendapat informasi tentang kejelasan penggunaan data dan siapa yang memprosesnya.
• Hak meminta akses dan salinan data yang disimpan.
• Hak memperbaiki data yang salah.
• Hak mengakhiri pemrosesan, menghapus, atau memusnahkan data dalam keadaan tertentu.
• Hak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi.

Hak menggugat dan menuntut ganti rugi terdapat dalam Pasal 12 UU PDP. Rincian hak lain dan batasannya sebaiknya dibaca langsung pada naskah undang-undang. Untuk penjelasan hak secara umum, lihat hak subjek data pribadi menurut UU PDP dan perlindungan data pribadi UU PDP.

Kewajiban instansi saat terjadi kebocoran

Menurut ringkasan ketentuan UU PDP yang dimuat rujukan hukum, pengendali data wajib menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga pengawas paling lambat 3 x 24 jam setelah kebocoran diketahui. Pemberitahuan itu perlu memuat data apa yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihannya. Untuk kebocoran yang mengganggu pelayanan publik atau berdampak serius, pengendali data juga wajib memberi tahu masyarakat.

Pengendali data juga wajib mendokumentasikan kejadian tersebut. Bila tidak menaati kewajiban, instansi dapat dikenai sanksi administratif, antara lain peringatan tertulis, penghentian sementara pemrosesan data, dan penghapusan data. Besaran denda administratif dan ketentuan pelaksananya perlu diperiksa pada teks resmi terbaru, termasuk peraturan pelaksana UU PDP.

Satu hal yang perlu dipahami: lembaga pengawas pelindungan data pribadi, yang disebut dalam undang-undang, belum terbentuk per September 2026. Akibatnya, pengaduan ke lembaga pengawas belum dapat dilakukan seperti yang digambarkan di undang-undang. Warga tetap dapat mengadu kepada instansi yang bersangkutan, kementerian yang membidangi urusan digital, dan lembaga pengawas pelayanan publik seperti Ombudsman.

Langkah segera setelah mendengar data bocor

Fokus pertama adalah mengurangi risiko, bukan mencari siapa yang salah. Lakukan langkah berikut.

1. Pastikan kabar itu valid. Cari pengumuman resmi instansi. Hati-hati terhadap pesan yang mengaku dari instansi tetapi berisi tautan mencurigakan.
2. Ganti kata sandi akun penting, terutama surel, perbankan, dan dompet digital. Gunakan kata sandi berbeda untuk tiap akun.
3. Aktifkan verifikasi dua langkah pada surel dan aplikasi keuangan.
4. Pantau mutasi rekening dan tagihan selama beberapa bulan.
5. Waspadai pesan penipuan yang menyebut data Anda secara tepat. Penipu memakai data bocor agar tampak meyakinkan.
6. Jangan membagikan kode OTP kepada siapa pun, termasuk yang mengaku petugas.
7. Periksa catatan kredit Anda secara berkala. Bila perlu, lihat data SLIK OJK dan perbaikannya.
8. Simpan bukti: tangkapan layar pemberitaan atau pengumuman, pesan mencurigakan yang Anda terima, dan waktu kejadian.

Mengumpulkan bukti kerugian

Bila Anda mengalami kerugian, misalnya rekening dibobol, pinjaman daring atas nama Anda, atau penipuan yang menyebut data Anda, kumpulkan bukti yang menunjukkan hubungan antara kebocoran dan kerugian. Bukti yang membantu:

• Pengumuman atau pemberitaan tentang kebocoran, lengkap dengan tanggal.
• Pesan, panggilan, atau surel yang menyebut data Anda secara spesifik.
• Mutasi rekening dan laporan bank.
• Laporan kepada bank, platform, atau polisi.
• Surat tanggapan dari instansi.

Menurut rujukan hukum, untuk memenangkan tuntutan ganti rugi, kebocoran perlu dikaitkan dengan kelalaian atau kesalahan pengendali data, dan hal itu harus dibuktikan. Karena itu, dokumentasi yang rapi sangat penting. Lihat juga pembuktian bukti elektronik: chat dan rekaman.

Jalur pengaduan

Urutan yang masuk akal:

1. Ke instansi pengelola data. Kirim surat atau pengaduan resmi yang meminta penjelasan, status penanganan, dan pemulihan. Simpan nomor tiket.
2. Ke kementerian atau lembaga yang membidangi urusan digital. Mereka menerima laporan insiden siber dan pengaduan masyarakat.
3. Ke Ombudsman RI bila pelayanan publik terkait dinilai maladministrasi, misalnya instansi tidak menanggapi. Panduan ada di pengaduan layanan publik ke Ombudsman.
4. Ke bank atau penyedia layanan bila terjadi kerugian finansial. Lihat hak nasabah bank dan pengaduan OJK.
5. Ke polisi bila ada tindak pidana, misalnya penipuan atau pemerasan memakai data Anda.

Setiap jalur memiliki kegunaan berbeda. Ombudsman menilai pelayanan, bank menangani rekening, dan polisi menangani pidana. Ganti rugi perdata hanya dapat diputus pengadilan.

Menuntut ganti rugi

Pasal 12 UU PDP memberi dasar bagi subjek data untuk menuntut ganti rugi atas pelanggaran pemrosesan data pribadi. Gugatan perdata ke pengadilan dapat ditempuh. Gugatan kepada instansi pemerintah memiliki lintasan tersendiri tergantung apakah yang digugat perbuatan melawan hukum oleh penguasa atau keputusan tata usaha negara. Karena pemilihan jalur gugatan cukup teknis, konsultasikan dengan advokat. Pembahasan umum tersedia di perbuatan melawan hukum dan gugatan dan gugatan class action, karena kebocoran data sering melibatkan banyak korban.

Contoh: Bu Sari menerima pesan yang menyebut namanya, NIK, dan alamat lengkap, lalu meminta transfer uang "biaya verifikasi". Ia curiga karena instansi layanan publik baru saja mengumumkan insiden. Ia tidak mentransfer, menyimpan tangkapan layar, mengganti kata sandi akun, memantau rekening, dan mengirim pengaduan tertulis ke instansi yang datanya bocor. Karena ia tidak mengalami kerugian, ia mencatat saja bukti untuk jaga-jaga. Beberapa bulan kemudian ada tagihan pinjaman daring atas namanya. Berkat dokumentasi, ia mudah membuktikan bahwa ia tidak mengajukan pinjaman itu.

Pinjaman atas nama korban

Salah satu risiko terbesar kebocoran data adalah penyalahgunaan identitas untuk mengajukan pinjaman. Bila Anda mendapat tagihan dari pinjaman yang tidak pernah diajukan:

• Segera laporkan kepada penyedia pinjaman secara tertulis dan minta penghentian penagihan.
• Laporkan ke OJK bila penyedianya terdaftar, atau ke polisi bila ilegal.
• Jangan membayar tagihan yang tidak Anda ajukan hanya karena ditekan.
• Periksa pula pembahasan di pinjol ilegal dan hak debitur.

Mengapa data di layanan publik rentan

Layanan publik mengumpulkan data dalam jumlah besar: pendaftaran penduduk, jaminan kesehatan, pendidikan, perizinan, dan pajak daerah. Semakin banyak data terkumpul di satu tempat, semakin menarik bagi peretas. Kelemahan yang umum meliputi sistem lama yang jarang diperbarui, kata sandi petugas yang lemah, pencadangan data yang tidak terpisah, dan pelatihan petugas yang kurang. Warga tidak dapat memperbaiki sistem itu sendiri, tetapi warga berhak menuntut transparansi: apa yang terjadi, data apa yang terdampak, dan apa yang dilakukan instansi.

Prinsip dasar pelindungan data yang dikenal dalam UU PDP antara lain pengumpulan data secara terbatas dan spesifik, pemrosesan sesuai tujuan, penyimpanan secara aman, dan penghapusan bila tidak diperlukan lagi. Bila sebuah instansi meminta data yang tidak relevan dengan layanan, warga boleh menanyakan alasan dan dasar hukumnya.

Membedakan pengumuman resmi dan kabar tidak resmi

Setiap kali muncul kabar kebocoran, beredar pula data tiruan, tangkapan layar yang dimanipulasi, dan pesan penipuan yang memanfaatkan ketakutan. Cara memilah informasi:

• Cari pernyataan di situs atau akun resmi instansi, bukan hanya di grup percakapan.
• Perhatikan apakah ada nomor kontak resmi yang dapat dihubungi untuk verifikasi.
• Curigai pesan yang mendesak, mengancam, atau meminta Anda mengeklik tautan.
• Jangan mengunduh berkas "daftar data bocor" dari sumber tak jelas, karena sering berisi program berbahaya.
• Bila ragu, hubungi layanan pengaduan resmi dengan nomor yang tercantum pada situs resmi.

Menyebarkan data yang bocor, termasuk milik orang lain, dapat menimbulkan persoalan hukum bagi penyebarnya. Lihat doxing dan penyebaran data pribadi.

Pencegahan sehari-hari yang realistis

Tidak ada yang kebal dari kebocoran, tetapi kerugian dapat ditekan:

1. Bagikan fotokopi KTP hanya bila benar-benar perlu, dan tulis tujuan di atasnya, misalnya "hanya untuk keperluan X, tanggal Y". Lihat jangan kirim KTP sembarangan.
2. Gunakan alamat surel terpisah untuk layanan publik dan untuk pendaftaran promosi.
3. Perbarui aplikasi dan sistem operasi telepon.
4. Batasi izin aplikasi, misalnya akses kontak dan lokasi.
5. Periksa tagihan dan notifikasi dengan teliti setiap bulan.
6. Jangan mengklik tautan dari pesan yang tidak diminta.

Kebiasaan kecil ini terdengar sepele, tetapi dalam praktik banyak kerugian terjadi bukan karena kebocoran awal, melainkan karena korban menanggapi pesan penipuan yang menyusul.

Peran media dan ruang publik

Warga berhak menyuarakan kekecewaan, termasuk melalui media sosial. Namun ada batasnya: hindari menuduh orang atau pejabat tertentu tanpa bukti, karena dapat berujung pada persoalan pencemaran nama baik. Fokuskan kritik pada kebijakan dan kinerja instansi, sertakan data dan fakta, dan tetap tempuh jalur resmi. Dokumen pengaduan yang tertib biasanya lebih berpengaruh daripada unggahan emosional. Pembahasan batas kritik ada di pencemaran nama baik dalam UU ITE dan KUHP.

Kesalahan yang sering terjadi

• Panik dan membagikan data lagi kepada pihak yang mengaku "membantu memulihkan".
• Menggunakan kata sandi yang sama di banyak akun.
• Mengabaikan pesan penipuan yang tampak sangat meyakinkan.
• Tidak menyimpan bukti sehingga kerugian sulit dibuktikan.
• Hanya mengeluh di media sosial tanpa pengaduan resmi.
• Menyebarkan data yang bocor, termasuk data orang lain, yang bisa menimbulkan masalah hukum bagi penyebar.

Contoh isi surat pengaduan

Surat pengaduan yang baik singkat, runtut, dan lengkap. Unsur yang sebaiknya ada: identitas pengadu, instansi yang dituju, uraian kejadian dengan tanggal, data yang Anda duga bocor, bukti yang dilampirkan, kerugian atau kekhawatiran yang dialami, dan permintaan yang jelas. Permintaan dapat berupa penjelasan tertulis tentang penyebab dan ruang lingkup kebocoran, langkah pemulihan yang dilakukan, pemberitahuan resmi kepada korban, dan jaminan perbaikan sistem. Tutup dengan tenggat wajar untuk menjawab, misalnya empat belas hari kerja. Kirim melalui kanal resmi, minta tanda terima, dan simpan salinannya. Jangan menulis tuduhan kepada orang tertentu tanpa bukti. Fokuskan pada fakta dan permintaan.

Bila kebocoran melibatkan data anak atau data kesehatan

Data anak dan data kesehatan termasuk kategori yang membutuhkan pelindungan lebih ketat. Orang tua yang datanya atau data anaknya bocor perlu lebih waspada terhadap penyalahgunaan, misalnya pendaftaran pinjaman atau akun atas nama anak. Bagi data kesehatan, perhatikan pula risiko diskriminasi atau penyebaran informasi pribadi tentang penyakit. Baca juga data kesehatan dan aplikasi telemedis dan sharenting: foto anak di media sosial. Orang tua dapat menyampaikan pengaduan atas nama anak yang belum dewasa dan sebaiknya menyimpan bukti identitas anak sebagai pelengkap.

Pertanyaan yang sering diajukan

Apakah saya bisa langsung menuntut pemerintah? Hak menuntut ganti rugi ada dalam UU PDP, tetapi Anda perlu membuktikan kerugian dan hubungannya dengan kelalaian pengendali data. Mulailah dengan pengaduan tertulis dan dokumentasi, lalu konsultasikan jalur gugatan dengan advokat.

Apa yang terjadi bila lembaga pengawas belum terbentuk? Per September 2026, lembaga pengawas pelindungan data pribadi belum terbentuk. Pengaduan tetap dapat disampaikan kepada instansi, kementerian terkait, dan Ombudsman, sedangkan pengadilan tetap menerima gugatan.

Apakah NIK yang bocor bisa diganti? NIK bersifat tetap sehingga umumnya tidak diganti. Yang dapat dilakukan adalah meningkatkan kewaspadaan, mengamankan akun, dan melaporkan penyalahgunaan. Untuk data ganda atau salah, lihat NIK ganda dan data kependudukan diblokir.

Ringkasan

Bila data Anda bocor dari layanan publik, amankan dulu akun dan rekening, simpan bukti, lalu adukan secara tertulis kepada instansi, kementerian terkait, dan Ombudsman bila perlu. UU PDP memberi hak atas informasi dan hak menuntut ganti rugi, serta mewajibkan pengendali data memberi pemberitahuan tertulis paling lambat 3 x 24 jam. Lembaga pengawas belum terbentuk per September 2026, sehingga dokumentasi yang rapi dan konsultasi dengan advokat sangat penting untuk tuntutan lanjutan.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 25 Tahun 2009 tentang Pelayanan Publik
• UU No. 37 Tahun 2008 tentang Ombudsman Republik Indonesia

Baca juga

• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Pengaduan Layanan Publik ke Ombudsman: Hak Warga, Tahapan, dan Hasilnya
• Hak Nasabah Bank dan Cara Mengajukan Pengaduan hingga ke OJK
• Doxing dan Penyebaran Data Pribadi: Langkah Hukum dan Cara Menghapus Konten

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.