Sanksi Administratif dan Pidana dalam UU PDP: Jenis, Pihak Berwenang, dan Contoh

Apa itu sanksi dalam UU PDP dan siapa yang bisa terkena

UU PDP mengatur akibat hukum bagi pelanggaran dalam tiga jalur. Pertama, sanksi administratif yang dijatuhkan lembaga pengawas kepada pengendali atau prosesor data pribadi yang melanggar kewajiban. Kedua, pidana bagi orang atau korporasi yang melakukan perbuatan terlarang tertentu, misalnya memperoleh atau mengumpulkan data secara melawan hukum. Ketiga, ganti rugi perdata yang dapat dituntut pemilik data atas pelanggaran pemrosesan.

Yang bisa terkena bukan hanya perusahaan besar. Pengendali dan prosesor mencakup orang perseorangan, badan usaha, dan badan publik. Karyawan yang menyalahgunakan data juga bisa dipidana secara pribadi, sementara korporasi dapat dimintai pertanggungjawaban melalui pengurus atau pemilik manfaatnya.

Sanksi administratif

Dalam undang-undang, sanksi administratif mencakup beberapa bentuk yang berjenjang secara umum:

• peringatan tertulis;
• penghentian sementara kegiatan pemrosesan data pribadi;
• penghapusan atau pemusnahan data pribadi;
• ganti kerugian;
• denda administratif.

Sanksi ini dikenakan atas pelanggaran kewajiban pengendali atau prosesor, seperti tidak punya dasar pemrosesan yang sah, tidak mengamankan data, tidak memberitahukan kebocoran, atau tidak memenuhi hak pemilik data. Denda administratif dirumuskan sebagai batas persentase tertentu dari pendapatan atau penerimaan tahunan pelanggar, bukan jumlah tetap. Besarnya dan tata cara penghitungannya perlu dibaca pada teks resmi dan aturan pelaksanaan.

Sanksi administratif dijatuhkan oleh lembaga pengawas pelindungan data pribadi. Di sinilah letak masalahnya: undang-undang memerintahkan pembentukan lembaga itu, tetapi kami belum dapat memastikan status pembentukan dan kewenangannya per Oktober 2026. Selama itu belum jelas, cara penjatuhan sanksi administratif sebagaimana digambarkan undang-undang perlu dicek pada pengumuman resmi.

Ketentuan pidana

Ketentuan pidana UU PDP menyasar perbuatan seperti:

• memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud menguntungkan diri sendiri atau orang lain dan dapat merugikan pemilik data;
• mengungkapkan data pribadi yang bukan miliknya secara melawan hukum;
• menggunakan data pribadi yang bukan miliknya secara melawan hukum;
• membuat data pribadi palsu atau memalsukan data pribadi dengan maksud menguntungkan diri sendiri atau orang lain dan dapat menimbulkan kerugian bagi orang lain;
• menjual atau membeli data pribadi.

Ancaman berupa pidana penjara dan denda, dengan pidana tambahan seperti perampasan keuntungan atau harta hasil kejahatan dan pembayaran ganti kerugian. Untuk korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, atau korporasinya sendiri, dengan denda yang lebih berat serta pidana tambahan seperti pembekuan usaha atau pencabutan izin. Angka pastinya tidak dicantumkan di sini. Selain itu, Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana berlaku sejak 2 Januari 2026 dan dapat mempengaruhi ancaman di undang-undang di luar KUHP, sehingga periksa teks resmi terbaru.

Siapa yang berwenang dan bagaimana prosesnya

Pembagian umum wewenang adalah sebagai berikut.

Hukum acara pidana saat ini mengikuti KUHAP baru (Undang-Undang Nomor 20 Tahun 2025) yang berlaku sejak 2 Januari 2026. Tahapan pelaporan, penyelidikan, dan penyidikan mengikuti ketentuan tersebut.

Perubahan aturan yang perlu Anda ketahui

Sebelum UU PDP, korban kebocoran data biasanya mengandalkan pasal UU ITE, ketentuan perlindungan konsumen, dan aturan sektor. Kini ada undang-undang khusus. Ketentuan pidananya berlaku sejak diundangkan, sedangkan kewajiban pengendali dan prosesor memiliki masa penyesuaian dua tahun yang berakhir Oktober 2024. Perubahan penting lain: Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana berlaku sejak 2 Januari 2026 untuk menyelaraskan ancaman pidana di luar KUHP dengan KUHP baru. Dampaknya, banyak angka denda di undang-undang lama dapat berbeda. Selalu cek teks resmi yang terkini.

Langkah praktis bagi korban

1. Dokumentasikan. Simpan pesan penipuan yang memuat data Anda, tangkapan layar situs yang membocorkan, dan pemberitahuan dari perusahaan bila ada.
2. Hubungi pengendali data secara tertulis. Minta penjelasan sumber kebocoran, penghentian pemrosesan, dan penghapusan data bila relevan. Lihat hak subjek data pribadi.
3. Amankan akun. Ganti kata sandi, aktifkan autentikasi dua langkah, dan beri tahu bank bila data keuangan terkait.
4. Laporkan ke lembaga yang berwenang bila sudah berfungsi, atau ke kementerian yang membidangi komunikasi dan digital melalui kanal aduan resmi.
5. Buat laporan polisi bila ada perbuatan pidana seperti jual beli data atau pemakaian data untuk menipu.
6. Pertimbangkan gugatan ganti rugi bila kerugian nyata dan dapat dibuktikan.

Langkah praktis bagi pengendali dan prosesor

1. Segera hentikan sumber kebocoran dan amankan bukti.
2. Hitung waktu: pemberitahuan tertulis kepada pemilik data dan lembaga dalam 3 x 24 jam sejak kegagalan diketahui.
3. Catat isi pemberitahuan: data apa yang terungkap, kapan, bagaimana, dan upaya penanganan.
4. Perbaiki celah dan latih ulang staf.
5. Simpan dokumentasi untuk pembelaan bila ada pemeriksaan.

Kesalahan umum

Contoh: Seorang staf pemasaran sebuah penyedia layanan menyalin daftar nomor telepon pelanggan lalu menjualnya kepada pihak lain untuk komisi. Pembeli memakai daftar itu untuk menawarkan produk dan menipu. Staf tersebut dapat dijerat ketentuan pidana jual beli data, sedangkan perusahaan dapat dimintai pertanggungjawaban administratif karena tidak mengamankan data, serta digugat pelanggan yang dirugikan.

Ganti rugi dan gugatan perdata

Pemilik data yang dirugikan berhak menuntut ganti rugi atas pelanggaran pemrosesan data pribadinya sesuai ketentuan peraturan perundang-undangan. Jalur ini terpisah dari sanksi administratif dan pidana. Dalam praktik, gugatan perdata mengharuskan penggugat membuktikan tiga hal: ada pelanggaran oleh tergugat, ada kerugian yang nyata, dan ada hubungan sebab akibat di antara keduanya. Kerugian dapat berupa uang yang hilang karena penipuan, biaya memulihkan akun, atau kerugian nama baik. Kerugian yang hanya berupa rasa tidak nyaman lebih sulit dibuktikan.

Karena itu, korban sebaiknya menyimpan semua bukti sejak awal: pesan yang menyebut data pribadi Anda, tanggal Anda mulai menerima gangguan, dan korespondensi dengan pengendali data. Sebelum menggugat, kirimkan somasi tertulis agar ada catatan bahwa Anda telah meminta penyelesaian. Lihat somasi lewat surat tercatat atau pesan elektronik.

Hubungan dengan aturan lain

UU PDP tidak berdiri sendiri. Penyalahgunaan data yang berujung penipuan tetap dapat dijerat ketentuan penipuan dalam KUHP. Akses ilegal ke sistem untuk mengambil data dapat dikenai UU ITE. Pelanggaran oleh perusahaan jasa keuangan juga dapat diadukan ke Otoritas Jasa Keuangan. Dengan kata lain, korban memiliki beberapa pintu, dan pilihan terbaik bergantung pada tujuan: menghentikan pemakaian data, mendapat ganti rugi, atau menghukum pelaku. Pertimbangkan membicarakannya dengan advokat agar jalur tidak saling menghambat.

Faktor yang dipertimbangkan dalam menilai pelanggaran

Dalam praktik penanganan pelanggaran data, beberapa faktor lazim dipertimbangkan: seberapa berat dan luas dampak, jenis data yang terlibat, apakah ada itikad baik, langkah perbaikan yang dilakukan, apakah pelanggaran berulang, dan kerja sama pelanggar dengan pihak berwenang. Meskipun tata cara rinci penjatuhan sanksi administratif menunggu aturan pelaksana dan lembaga pengawas, pelaku usaha dapat menyiapkan diri dengan mencatat upaya pengamanan, pelatihan staf, dan respons insiden. Dokumentasi itu berguna sebagai bukti bahwa Anda tidak lalai.

Bagi korban, faktor yang sama membantu menimbang tuntutan: semakin sensitif datanya dan semakin nyata kerugiannya, semakin kuat dasar untuk menuntut. Namun, jangan menunda bertindak sambil menunggu kepastian lembaga pengawas. Bukti cepat hilang.

Pertanyaan yang sering diajukan

Berapa denda pidana UU PDP? Besarnya perlu dibaca pada teks resmi terbaru, karena Undang-Undang Penyesuaian Pidana dapat mempengaruhinya. Artikel ini sengaja tidak menyebut angka.

Bisakah saya langsung menggugat tanpa menunggu lembaga pengawas berjalan? Hak menggugat ganti rugi atas pelanggaran perdata tidak bergantung pada berjalannya lembaga pengawas. Namun, pembuktian kerugian perlu dipersiapkan.

Apakah tetangga yang menyebarkan foto KTP saya bisa dipidana? Bergantung pada fakta. Bila ia mengungkapkan data pribadi yang bukan miliknya secara melawan hukum dan merugikan, ketentuan pidana dapat terpenuhi. Lihat juga doxing dan penyebaran data pribadi.

Apakah korporasi bisa dipidana? Ya, undang-undang mengatur pertanggungjawaban pidana korporasi dengan pidana tambahan khusus.

Ringkasan

• UU PDP memuat tiga jalur akibat hukum: sanksi administratif, pidana, dan ganti rugi.
• Sanksi administratif dijatuhkan lembaga pengawas, yang statusnya perlu dicek per Oktober 2026.
• Pidana menyasar perolehan, pengungkapan, penggunaan, pemalsuan, dan jual beli data secara melawan hukum.
• Besar denda perlu dicek pada teks resmi terbaru setelah UU Penyesuaian Pidana.
• Pengendali wajib memberitahu kebocoran dalam 3 x 24 jam; korban sebaiknya mendokumentasikan dan melapor.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha
• Doxing dan Penyebaran Data Pribadi: Langkah Hukum dan Cara Menghapus Konten
• Studi Kasus: Data Pelanggan Toko Dijual ke Pihak Ketiga
• Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.