Menuntut Ganti Rugi Kebocoran Data Pribadi: Apa yang Perlu Disiapkan Korban

Hak ganti rugi dalam UU PDP

UU 27/2022 memberi hak kepada subjek data untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi. Nomor pasalnya perlu dicek pada naskah. Hak ini berdiri di samping sanksi administratif dan pidana yang dijatuhkan kepada pihak yang melanggar.

Sanksi administratif, seperti denda kepada pengendali data, tidak otomatis berarti uang masuk kepada korban. Ganti rugi adalah jalur terpisah yang harus diminta.

Perlu dipahami bahwa undang-undang hanya membuka pintu. Untuk melewatinya, korban tetap perlu membuktikan pelanggaran, kerugian, dan hubungan di antara keduanya. Tanpa itu, tuntutan sulit dikabulkan.

Karena aturan pelaksanaan baru berlaku mulai 16 Januari 2027 menurut KRES.ID, praktik penanganan tuntutan seperti ini masih akan berkembang. Pantau perkembangan aturan turunan sebelum mengambil langkah besar.

Kerugian apa yang dapat dibuktikan

Kerugian dapat berupa uang yang hilang karena penipuan, biaya mengurus pemulihan identitas, atau kerugian lain yang terukur. Kerugian immaterial, seperti tekanan batin, lebih sulit dibuktikan dan penilaiannya bergantung pada hakim.

Kami tidak dapat menyebut besaran. Tidak ada rumus pasti yang kami ketahui dari sumber yang tersedia.

Kerugian yang belum terjadi, misalnya kekhawatiran akan disalahgunakan, lebih sulit diganti. Karena itu, bukti penyalahgunaan nyata sangat membantu, seperti pinjaman atas nama Anda atau akun yang dibobol.

• Bukti transaksi atau kehilangan uang
• Bukti biaya pemulihan, misalnya ongkos mengurus dokumen
• Tangkapan layar pesan penipuan
• Bukti waktu kerja yang hilang bila ada

Menghubungkan kebocoran dengan kerugian

Tantangan utama adalah sebab-akibat. Data Anda mungkin bocor dari beberapa sumber sekaligus. Bukti bahwa penipu memakai informasi yang hanya dimiliki satu perusahaan dapat memperkuat dugaan. Contohnya, penipu menyebut nomor pesanan terakhir Anda di satu toko daring.

Simpan semua pesan dan catat waktunya. Urutan peristiwa yang rapi sering lebih meyakinkan daripada klaim yang umum.

Bila beberapa korban mengalami hal serupa dari perusahaan yang sama, berkoordinasi dapat memperkuat posisi. Namun hati-hati membagikan data pribadi satu sama lain, dan gunakan saluran yang aman.

Kewajiban pemberitahuan sebagai bukti

Menurut ingatan umum UU 27/2022 dan KRES.ID mengenai PP 33/2026, pengendali data wajib memberi tahu subjek data dan lembaga tertulis paling lambat 3x24 jam bila terjadi kegagalan pelindungan. Bila Anda tidak pernah diberi tahu padahal terdampak, itu dapat menjadi poin penting.

Simpan pula pemberitahuan resmi bila ada. Isinya menunjukkan data apa yang bocor dan kapan perusahaan mengetahuinya.

Bila Anda menerima pemberitahuan kebocoran, baca isinya dengan teliti. Perhatikan data apa saja yang disebut terdampak dan langkah apa yang disarankan. Isi pemberitahuan ini juga dapat memengaruhi penilaian apakah perusahaan sudah bertindak wajar.

Prinsip yang berlaku di semua langkah ini sama: bertindaklah tertulis, tenang, dan terdokumentasi. Dengan begitu, apa pun hasil akhirnya, Anda memiliki dasar yang rapi untuk melangkah lebih jauh dan tidak bergantung pada ingatan semata.

Jalur penyelesaian

Mulailah dengan surat tuntutan kepada pengendali data. Banyak sengketa selesai lewat musyawarah. Jika buntu, mediasi atau gugatan perdata dapat dipertimbangkan. Lembaga pengawas PDP belum jelas bentuknya menurut pemberitaan, sehingga tidak dapat dipastikan lembaga mana yang menerima pengaduan.

Gugatan memerlukan biaya, waktu, dan bukti. Pertimbangkan apakah nilai kerugian sebanding. Bantuan hukum atau konsultasi dapat membantu menilainya.

Sebelum menempuh gugatan, tanyakan juga apakah tersedia asuransi atau jaminan dari penyedia layanan, misalnya pada transaksi keuangan. Skema seperti itu bergantung pada kebijakan masing-masing dan tidak dapat kami pastikan.

Kaitan dengan UU Satu Data Indonesia

Menurut pemberitaan, UU SDI mengatur penyelesaian sengketa di luar pengadilan lewat mediasi paling lama 14 hari kerja, namun itu untuk lingkup tata kelola data SDI, bukan otomatis untuk sengketa data pribadi.

Praktisi di Bisnis.com juga mengusulkan dana kompensasi bagi korban kebocoran data. Itu usulan, bukan aturan yang berlaku.

Karena kebocoran sering melibatkan banyak pihak, mulailah dari pihak yang paling jelas hubungannya dengan Anda. Menggugat pihak yang salah dapat membuang waktu dan biaya.

Menghindari kesalahan yang melemahkan tuntutan

Jangan menghapus pesan penipuan atau riwayat transaksi sebelum disalin. Jangan pula membagikan data sensitif Anda ke pihak yang menawarkan jasa pengembalian dana dengan imbalan di muka, karena penawaran seperti itu sering merupakan penipuan lanjutan.

Hindari pernyataan publik yang menuduh tanpa bukti. Tuduhan yang tidak dapat dibuktikan dapat menimbulkan masalah hukum baru bagi Anda sendiri. Sampaikan keluhan lewat jalur tertulis yang tercatat.

Contoh kasus

Contoh: Wulan mengalami pembobolan dompet digital setelah data pelanggan sebuah toko daring bocor. Ia mengumpulkan bukti transfer, pesan penipu yang menyebut pesanan terakhirnya, dan surel pemberitahuan dari toko. Ia menyusun kronologi satu halaman, lalu mengirim surat tuntutan dan meminta musyawarah. Ia baru mempertimbangkan gugatan setelah berkonsultasi dengan penasihat hukum mengenai biaya dan peluangnya.

Hal yang sering keliru

• Mengira setiap kebocoran otomatis menghasilkan ganti rugi.
• Menetapkan angka tuntutan tanpa bukti kerugian.
• Mengira denda administratif dibayarkan kepada korban.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Menyumbang Data Secara Sukarela: Peran Warga dan Komunitas dalam UU Satu Data Indonesia
• Merger, Akuisisi, atau Usaha Bubar: Nasib Data Pribadi Pelanggan dan Kewajiban Memberi Tahu
• Metadata dalam Satu Data Indonesia: Fungsi, Contoh, dan Cara Membacanya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.