Studi Kasus: Data Pelanggan Toko Dijual ke Pihak Ketiga

1. Kasus singkat

Bu Sari memiliki toko kosmetik daring "Toko Maju Jaya" dengan sekitar 8.000 pelanggan. Data pelanggan (nama, nomor telepon, alamat, dan riwayat belanja) disimpan dalam satu berkas yang bisa diakses beberapa karyawan. Pada Juni 2026, banyak pelanggan melapor mendapat telepon dan pesan dari perusahaan lain yang menyebut produk yang pernah mereka beli. Penelusuran awal menunjukkan bahwa Pak Andi, admin gudang yang baru keluar, menyalin berkas itu dan menjualnya kepada sebuah perusahaan pemasaran. Pak Andi berkata ia hanya "membantu kenalan".

Dua lapisan masalah: tanggung jawab pemilik toko atas keamanan data, dan tanggung jawab pelaku penyalinan serta penerima data.

2. Kronologi

3. Masalah hukum yang muncul

• Apa itu data pribadi dan siapa pengendali data dalam kasus ini?
• Apa kewajiban pengendali dalam menjaga keamanan data dan memberitahu kebocoran?
• Apakah menjual data pelanggan tanpa persetujuan melanggar hukum?
• Apa hak pelanggan sebagai pemilik data?
• Bagaimana jalur pengaduan dan sanksi bila lembaga pengawas PDP belum terbentuk?
• Apa tanggung jawab pihak ketiga yang menerima dan memakai data?
• Bagaimana toko memperbaiki sistem agar tidak terulang?

4. Aturan yang berlaku

Dasar utamanya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang berlaku sejak diundangkan pada 17 Oktober 2022 dengan masa penyesuaian dua tahun yang telah berakhir. Di samping itu berlaku UU ITE (sebagaimana diubah, termasuk oleh UU No. 1 Tahun 2024) dan KUHP baru (UU No. 1 Tahun 2023, berlaku sejak 2 Januari 2026).

Gambaran dalam bahasa sehari-hari:

• Data pribadi. Informasi tentang orang yang dapat mengidentifikasinya, seperti nama, nomor telepon, alamat, dan riwayat belanja.
• Pengendali data. Pihak yang menentukan tujuan dan cara pemrosesan data. Dalam kasus ini toko Bu Sari. Pengendali wajib memiliki dasar pemrosesan yang sah, menjaga keamanan, dan melindungi data dari akses tidak sah.
• Persetujuan dan tujuan. Data dikumpulkan untuk tujuan tertentu, misalnya memproses pesanan. Menjualnya ke pihak ketiga untuk pemasaran tanpa dasar yang sah dan tanpa persetujuan bertentangan dengan prinsip itu.
• Kebocoran. Bila terjadi kegagalan pelindungan data, pengendali wajib memberitahu subjek data dan lembaga yang berwenang dalam waktu yang ditentukan undang-undang, yaitu paling lambat tiga kali dua puluh empat jam dalam hal tertentu. Periksa teks resmi.
• Hak subjek data. Antara lain mengakses, memperbaiki, meminta penghentian pemrosesan atau penghapusan, menarik persetujuan, dan menuntut ganti rugi atas pelanggaran. Lihat hak subjek data pribadi UU PDP.
• Larangan. Undang-undang melarang memperoleh, mengumpulkan, atau mengungkapkan data pribadi yang bukan miliknya secara melawan hukum untuk keuntungan diri sendiri atau orang lain. Ancaman pidana dan sanksi administratif perlu diperiksa pada teks resmi terbaru karena penyesuaian pidana (UU No. 1 Tahun 2026); angkanya tidak disebut di sini.
• Lembaga pengawas. UU PDP mengamanatkan pembentukan lembaga pengawas. Menurut pemberitaan per September 2026 lembaga tersebut belum terbentuk (periksa perkembangan terbaru), sehingga mekanisme pengaduan khusus belum berjalan penuh. Karena itu, jalur praktisnya adalah perdata, pidana, dan pengawas sektor bila relevan.

Rujukan terkait: perlindungan data pribadi UU PDP, spam penawaran dan data pribadi bocor, doxing dan penyebaran data pribadi.

5. Analisis: aturan diterapkan pada fakta

Pertanyaan kunci: apakah toko menerapkan langkah pengamanan yang wajar, apakah pelanggan pernah menyetujui pemasaran pihak ketiga, dan apakah penyalinan dilakukan oleh Pak Andi tanpa sepengetahuan toko.

Argumen Bu Sari. Toko adalah korban penyalinan oleh orang dalam. Ia segera memeriksa log dan menindaklanjuti begitu mengetahui. Pak Andi dan perusahaan pemasaran yang memakai data secara melawan hukum bertanggung jawab. Pelanggan harus diberi tahu agar tidak menjadi korban penipuan.

Argumen Pak Andi dan pihak ketiga. Pak Andi mungkin berkata ia tidak tahu data itu rahasia atau menyalin untuk keperluan kerja. Perusahaan pemasaran mungkin berkata mereka membeli data dari "penyedia" dan tidak tahu asalnya sehingga beritikad baik.

Titik lemah Bu Sari.

• Berkas disimpan tanpa pembatasan akses; akses Pak Andi tidak dicabut setelah ia berhenti.
• Tidak ada kebijakan privasi yang jelas dan perjanjian kerahasiaan dengan karyawan.
• Keterlambatan menyadari dan memberitahu pelanggan dapat dinilai pelanggaran kewajiban pengendali.
• Ia belum tentu bisa membuktikan siapa penerima data berikutnya.

Titik lemah Pak Andi dan pihak ketiga.

• Mengambil dan menjual data tanpa hak adalah perbuatan yang sulit dibela.
• Alasan "tidak tahu" lemah bila ia menerima imbalan.
• Pihak ketiga yang memakai data tanpa dasar persetujuan dapat dipertanyakan kepatutannya.
• Jejak transaksi (transfer, pesan) dapat menjadi bukti kuat.

Tanggung jawab bisa berlapis. Pelaku penyalinan bertanggung jawab atas perbuatannya, sedangkan pengendali bertanggung jawab atas kewajiban pengamanan.

6. Langkah yang dapat ditempuh

1. Hentikan sumber kebocoran. Cabut semua akses lama, ganti kata sandi, dan batasi akses berkas data.
2. Amankan bukti. Log akses, salinan berkas yang ditemukan, pesan pemasaran yang diterima pelanggan, dan bukti transaksi Pak Andi.
3. Telusuri. Siapa pihak yang memakai data? Periksa pesan pelanggan untuk menemukan pengirim.
4. Beritahu pelanggan terdampak. Jelaskan data apa yang bocor, risiko (penipuan, spam), dan apa yang harus diwaspadai. Pemberitahuan tepat waktu adalah kewajiban pada kegagalan pelindungan data tertentu.
5. Kirim somasi. Kepada Pak Andi dan pihak ketiga: hentikan pemakaian, hapus data, dan jelaskan penerima lain. Lihat somasi yang jelas.
6. Pertimbangkan laporan pidana. Pelaku penjualan data dapat dilaporkan; periksa ketentuan yang berlaku pada waktu kejadian.
7. Gugatan perdata. Pelanggan atau toko dapat menggugat ganti rugi bila ada kerugian yang dapat dibuktikan.
8. Perbaiki sistem. Kebijakan privasi, klasifikasi data, kontrol akses, pencatatan log, perjanjian kerahasiaan, dan pelatihan karyawan.

Bukti yang dibutuhkan:

• Log akses dan salinan berkas.
• Pesan pemasaran yang diterima pelanggan.
• Bukti jual beli data.
• Kebijakan privasi toko dan persetujuan pelanggan.
• Bukti pemberitahuan kepada pelanggan.

7. Kemungkinan hasil

Hasil tergantung bukti dan penilaian hakim atau pihak berwenang. Skenario yang masuk akal:

Perlu diperhatikan bahwa pelaksanaan pengawasan oleh lembaga khusus belum tersedia penuh, sehingga langkah pencegahan dan penanganan mandiri oleh pengendali menjadi lebih penting.

8. Pelajaran dan kesalahan yang bisa dihindari

9. Contoh pemberitahuan kepada pelanggan

Contoh: Surat berikut hanya ilustrasi fiktif dan perlu disesuaikan dengan fakta serta nasihat advokat.

Kepada Pelanggan Toko Maju Jaya yang kami hormati. Kami menyampaikan bahwa pada bulan April 2026 terjadi penyalinan data pelanggan tanpa izin oleh mantan karyawan. Data yang terdampak mencakup nama, nomor telepon, alamat, dan riwayat belanja. Tidak ada data kartu pembayaran yang tersimpan di sistem kami. Kami telah mencabut seluruh akses, meminta pihak terkait menghentikan pemakaian data, dan menempuh langkah hukum. Mohon waspada terhadap telepon, pesan, atau tautan yang mencurigakan dan jangan membagikan kode verifikasi. Anda dapat meminta informasi lebih lanjut atau meminta penghapusan data melalui layanan pelanggan kami. Hormat kami, Sari, Toko Maju Jaya. Malang, 12 Juli 2026.

Sesuaikan isi dengan fakta kebocoran sebenarnya dan kewajiban pemberitahuan menurut UU PDP.

10. Pertanyaan yang sering diajukan

Apakah toko wajib memberi tahu pelanggan bila datanya bocor? UU PDP mengatur kewajiban pemberitahuan pada kegagalan pelindungan data dalam batas waktu tertentu. Periksa teks resmi dan konsultasikan kasus Anda.

Apakah pelanggan bisa menggugat? Subjek data berhak menuntut ganti rugi atas pelanggaran pemrosesan datanya, dengan pembuktian kerugian dan hubungan sebab.

Ke mana mengadu bila lembaga pengawas belum ada? Untuk saat ini jalur yang tersedia adalah laporan pidana, gugatan perdata, dan pengawas sektor bila relevan. Pantau perkembangan pembentukan lembaga.

Apakah pihak yang membeli data ikut bertanggung jawab? Dapat, bila ia memproses data tanpa dasar yang sah atau mengetahui asalnya melawan hukum. Itikad baik dan fakta diperiksa.

Ringkasan

• Data pelanggan adalah data pribadi; pemilik toko berperan sebagai pengendali dengan kewajiban pengamanan.
• Menjual data tanpa dasar sah dan tanpa persetujuan melanggar UU PDP.
• Hentikan sumber kebocoran, amankan bukti, beri tahu pelanggan, somasi, dan pertimbangkan laporan.
• Lembaga pengawas PDP belum terbentuk per September 2026; jalur perdata dan pidana tetap tersedia.
• Hasil perkara tergantung bukti dan penilaian hakim; tidak ada jaminan hasil tertentu.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2024 tentang Perubahan Kedua atas UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan
• Doxing dan Penyebaran Data Pribadi: Langkah Hukum dan Cara Menghapus Konten

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.