Notifikasi Kebocoran Data Pribadi 3x24 Jam Menurut PP 33/2026: Siapa yang Diberi Tahu

Apa yang diwajibkan

Menurut KRES.ID, bila terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi notifikasi tertulis. Batas waktunya paling lambat 3x24 jam, atau tiga hari penuh. Notifikasi diberikan kepada subjek data yang terdampak dan kepada Lembaga. Dasar kewajiban ini tercantum dalam Pasal 114 menurut ulasan tersebut.

Batas tiga hari ini sangat ketat. Dalam banyak insiden, penyelidikan teknis memerlukan waktu lebih lama, sehingga organisasi harus siap memberi tahu berdasarkan informasi yang belum lengkap.

Ingat bahwa kebocoran tidak hanya akibat peretasan; kesalahan kirim surel dan laptop hilang pun dapat tergolong kegagalan pelindungan data.

Kapan jam dihitung

Bunyi pasal soal kapan hitungan 3x24 jam dimulai tidak kami temukan. Secara umum, hitungan biasanya dimulai sejak kegagalan diketahui, tetapi hal ini perlu dipastikan pada naskah resmi.

Untuk berjaga-jaga, catat waktu penemuan insiden secara tertulis sejak awal.

Ketidakpastian ini wajar. Menurut kami, mencatat waktu penemuan, siapa yang menemukan, dan bukti awalnya merupakan langkah paling aman bagi organisasi mana pun.

Isi notifikasi

Isi minimal notifikasi dalam PP belum kami temukan. UU PDP umumnya menyebut hal seperti data apa yang terungkap, kapan dan bagaimana terjadinya, serta upaya penanganan.

Karena kami tidak yakin, sebaiknya isi notifikasi dicocokkan dengan naskah. Gunakan bahasa jelas agar mudah dipahami orang awam.

Bila belum tahu seluruh fakta, sampaikan yang sudah diketahui dan janjikan pembaruan. Notifikasi yang jujur lebih baik daripada diam menunggu informasi sempurna. Contoh lain: pesan berisi tautan resmi untuk mengganti kata sandi.

Siapa yang berperan

Beberapa pihak biasanya terlibat saat insiden.

Pembagian peran ini sebaiknya ditulis dalam rencana tanggap insiden dan dilatihkan, supaya tiap orang tahu tugasnya ketika tekanan waktu sangat tinggi.

• Tim teknologi informasi menyelidiki dan menghentikan kebocoran.
• Pejabat PDP atau penanggung jawab menilai dampak dan menyusun notifikasi.
• Pimpinan memutuskan langkah dan menyetujui pengumuman.
• Bagian hukum memeriksa kewajiban lain.
• Jam dan tanggal ditemukannya insiden.

Peran vendor dan prosesor

Bila data bocor dari sistem vendor, vendor perlu segera memberi tahu pengendali. Kontrak sebaiknya menetapkan batas waktu yang jauh lebih pendek daripada 3x24 jam.

Jika vendor baru melapor pada hari ketiga, pengendali nyaris tidak punya waktu. Karena itu, atur kewajiban lapor cepat dalam kontrak sejak sekarang.

Pengendali tetap bertanggung jawab di hadapan subjek data meskipun kebocoran terjadi pada vendor. Kontrak yang rapi hanyalah alat untuk mempercepat arus informasi. Latihan simulasi dengan vendor akan menguji apakah jalur komunikasi benar-benar berfungsi.

Bila Lembaga belum ada

Ulasan menyebut Lembaga tidak diberi nama dan belum terbentuk. Maka belum jelas ke mana laporan resmi ditujukan hingga lembaga itu ada.

Dalam keadaan demikian, tetap lakukan notifikasi kepada subjek data, simpan bukti upaya melapor, dan pantau pengumuman pemerintah.

Selain itu, pantau kanal resmi pemerintah. Begitu lembaga terbentuk, tata cara pelaporan kemungkinan akan diatur dan perlu segera dimasukkan ke prosedur internal.

Persiapan sebelum insiden

Siapkan rencana tanggap insiden: siapa yang dihubungi, bagaimana mengisolasi sistem, dan templat pesan kepada pengguna. Latihan simulasi membantu menemukan kelemahan.

Siapkan juga daftar kontak pengguna dan jalur komunikasi cadangan, karena sistem utama mungkin sedang terganggu. Evaluasi setelah insiden juga penting. Catat pelajaran yang didapat, perbaiki kelemahan, dan perbarui rencana, agar kejadian serupa tidak terulang.

Terakhir, jangan lupa bahwa pelatihan staf juga bagian dari persiapan. Banyak insiden diketahui pertama kali oleh karyawan biasa, sehingga mereka perlu tahu cara melapor secara internal tanpa takut disalahkan.

Contoh kasus

Contoh: Sebuah penyedia aplikasi pesan antar menemukan pada Senin pukul 09.00 bahwa data pengguna terunduh pihak tak dikenal. Tim mencatat waktu penemuan, mengisolasi server, dan menilai data apa yang terambil. Selasa sore, pejabat PDP menyiapkan notifikasi tertulis untuk pengguna terdampak. Seluruh langkah dicatat per jam agar dapat membuktikan bahwa pemberitahuan dilakukan sebelum Kamis pukul 09.00. Setelah insiden, mereka mengevaluasi penyebab, memperbaiki kontrol akses, dan memperbarui rencana tanggap insiden. Tim juga menyimpan seluruh bukti penemuan insiden, tangkapan layar log, dan salinan notifikasi yang dikirim sebagai dokumentasi. Setelah itu mereka menggelar rapat evaluasi untuk menutup celah yang dieksploitasi dan memperbarui kontrak vendor, sehingga kewajiban lapor cepat tercantum jelas. Pada akhir pekan itu, perusahaan menugaskan pengganti pejabat PDP yang sedang cuti sehingga notifikasi tetap dapat dikirim tepat waktu.

Hal yang sering keliru

• Mengira notifikasi hanya perlu kepada pihak berwenang, padahal ulasan menyebut subjek data juga harus diberi tahu, sebab kewajiban notifikasi menurut ulasan ditujukan kepada dua pihak sekaligus.
• Mengira batas 3x24 jam berarti tiga hari kerja, padahal penulisan 3x24 jam mengacu pada tiga kali dua puluh empat jam, sebab penulisan 3x24 jam berarti tiga kali dua puluh empat jam berturut-turut.
• Menunggu penyelidikan selesai sebelum memberi tahu, padahal batas waktu tetap berjalan, sebab informasi awal yang jujur dan jelas tetap harus disampaikan sebelum batas waktu habis.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 114 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Open Data dan Inovasi dalam UU Satu Data Indonesia: Peluang, Batas, dan Pertanyaan Terbuka
• Kepatuhan PP 33/2026 bagi Toko Online dan Penjual Marketplace: Data Pembeli, Ekspedisi, dan Iklan
• Panduan Kepatuhan PP 33/2026 untuk UMKM: Langkah Sederhana Menjaga Data Pelanggan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.