Studi Kasus: Data Pelanggan Toko Daring Bocor dan Dipakai Penipu

Kasus singkat

Toko daring "Toko Gadget Nusantara" dikelola Pak Hendri dan dua karyawan. Toko menyimpan data pelanggan, yaitu nama, nomor ponsel, alamat, dan riwayat pesanan, dalam lembar kerja daring yang dibagikan kepada beberapa admin dengan kata sandi sederhana. Pada Agustus 2026 lembar itu diakses pihak tidak berwenang. Beberapa hari kemudian, Bu Dewi, salah satu pelanggan, menerima telepon dari orang yang mengaku kurir toko. Penelepon menyebut nama lengkap dan barang yang dibelinya, lalu meminta kode verifikasi untuk "mengatasi masalah pengiriman". Karena percaya, Bu Dewi memberikan kode itu dan saldo dompet digitalnya terkuras Rp4.000.000 (fiktif). Belakangan banyak pelanggan melapor mengalami hal serupa.

Kronologi

Kronologi ini menunjukkan jarak antara kebocoran (pertengahan Agustus) dan pengetahuan toko (23 Agustus). Jarak itu penting karena kewajiban pemberitahuan dihitung sejak kegagalan diketahui. Toko yang tidak memantau sistemnya bisa terlambat mengetahui, tetapi hal itu juga dapat dinilai sebagai kelalaian. Selain itu, tidak adanya pemberitahuan resmi setelah 23 Agustus memperlebar celah antara kewajiban dan kenyataan.

Masalah hukum yang muncul

• Apa kewajiban toko sebagai pengendali data pribadi?
• Apakah toko wajib memberitahu pelanggan dan kepada siapa?
• Apa hak pelanggan sebagai subjek data, termasuk atas ganti rugi?
• Siapa yang bertanggung jawab atas kerugian akibat penipuan: penipu, toko, atau keduanya?
• Langkah apa yang tersedia bagi korban?

Kelima pertanyaan ini mencerminkan tiga hubungan hukum yang berbeda: hubungan pelanggan dengan toko (kewajiban keamanan dan ganti rugi), hubungan pelanggan dengan penipu (pidana), dan hubungan toko dengan negara (pemberitahuan dan pengawasan). Membedakannya membantu korban memilih langkah yang tepat.

Aturan yang berlaku

Undang-Undang Pelindungan Data Pribadi

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengatur hak subjek data dan kewajiban pengendali data pribadi, yaitu pihak yang menentukan tujuan dan cara pemrosesan data. Toko yang menyimpan data pelanggan adalah pengendali data. Kewajibannya antara lain menjaga keamanan data, memperoleh dasar pemrosesan yang sah, dan memberi tahu bila terjadi kegagalan pelindungan.

Pemberitahuan kegagalan pelindungan

Pasal 46 UU PDP menyatakan bahwa dalam hal terjadi kegagalan pelindungan data pribadi, pengendali wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga. Pemberitahuan memuat minimal data yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihan. Dalam hal tertentu, pengendali wajib memberi tahu masyarakat. Teks pasal ini diambil dari situs peraturan, dan perlu diperiksa pada sumber resmi.

Peraturan pelaksana dan lembaga

Menurut laporan media hukum, Pemerintah menetapkan PP No. 33 Tahun 2026 sebagai peraturan pelaksana UU PDP pada 16 Juli 2026, dengan tenggat berlaku enam bulan setelah diundangkan. Laporan itu menyebut PP mengatur rinci pemberitahuan kegagalan, pencatatan, dan peran prosesor. Per September 2026 lembaga pengawas pelindungan data pribadi yang dimaksud undang-undang belum terbentuk, sehingga pengaduan dan penegakan administratif belum berjalan seperti yang digambarkan. Periksa teks resmi dan perkembangan terbaru.

Hak subjek data

UU PDP memberikan hak, antara lain mengetahui dan mengakses data, memperbaiki, menghapus, membatasi pemrosesan, serta menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi. Kerugian dari penipuan yang memakai data bocor dapat dituntut dari pengendali bila terbukti ada kelalaian menjaga keamanan dan hubungan sebab akibat. Periksa pasal terkait dalam teks resmi.

Istilah yang perlu dipahami

• Data pribadi adalah data tentang orang yang teridentifikasi atau dapat diidentifikasi.
• Subjek data pribadi adalah orang yang datanya dilindungi, di sini pelanggan.
• Pengendali data pribadi adalah pihak yang menentukan tujuan dan kendali pemrosesan, di sini toko.
• Prosesor data pribadi adalah pihak yang memproses data atas nama pengendali.
• Kegagalan pelindungan data pribadi adalah kegagalan menjaga kerahasiaan, integritas, dan ketersediaan data, termasuk kebocoran.
• OTP adalah kode sekali pakai untuk verifikasi.
• Lembaga PDP adalah lembaga pengawas yang dimaksud undang-undang.

Hukum lain

UU Informasi dan Transaksi Elektronik mengatur penggunaan data pribadi lewat media elektronik dengan persetujuan pemilik data. Penipuan diatur dalam hukum pidana. KUHP baru (UU No. 1 Tahun 2023, berlaku sejak 2 Januari 2026) mengatur penipuan dalam Pasal 492. KUHAP baru (UU No. 20 Tahun 2025) berlaku sejak 2 Januari 2026. Ancaman pidana dan sanksi administratif dalam UU PDP tidak dikutip angkanya karena ada UU penyesuaian pidana yang dapat mengubahnya; periksa teks resmi terbaru.

Analisis: bagaimana aturan diterapkan pada fakta

Argumen Bu Dewi

Bu Dewi akan berkata bahwa toko lalai menjaga data: kata sandi lemah, akses dibagikan, tidak ada pembatasan. Kebocoran itu langsung memungkinkan penipu menyebut namanya dan pesanannya sehingga ia percaya. Toko tidak memberi tahu secara tertulis dalam waktu yang ditetapkan, sehingga ia dan pelanggan lain tidak sempat waspada. Karena itu ia berhak menuntut ganti rugi sebesar kerugian.

Titik lemahnya: ia sendiri memberikan kode OTP kepada penelepon. Toko akan berkata bahwa kerugian terjadi karena kelalaian korban. Ia juga harus membuktikan bahwa data yang dipakai penipu memang berasal dari kebocoran toko, bukan dari sumber lain. Bukti seperti kesamaan data khusus, misalnya detail pesanan yang hanya diketahui toko, membantu.

Argumen toko

Pak Hendri akan berkata bahwa ia tidak sengaja dan juga korban peretasan. Kebocoran bukan niatnya. Ia segera mengganti kata sandi begitu mengetahui. Kerugian pelanggan terjadi karena pelanggan memberikan OTP, yang merupakan tanggung jawab pelanggan sendiri.

Titik lemahnya: sebagai pengendali data, ia memiliki kewajiban menjaga keamanan secara memadai dan memberi pemberitahuan. Kata sandi sederhana dan akses terbuka menunjukkan kelalaian. Ia belum memberi pemberitahuan resmi dalam waktu yang ditentukan. Alasan "juga korban" tidak menghapus kewajiban.

Titik temu

Tanggung jawab bisa dibagi: penipu bertanggung jawab pidana, toko bertanggung jawab atas keamanan dan pemberitahuan, dan pelanggan bertanggung jawab atas kehati-hatian. Hakim atau mediator dapat menetapkan porsi ganti rugi sesuai tingkat kelalaian masing-masing.

Bagaimana hakim atau pengawas biasanya menimbang

Pertama, apakah toko menerapkan langkah pengamanan yang wajar sesuai ukuran dan risiko usahanya. Kata sandi sederhana dan akses yang tidak dibatasi biasanya dinilai kurang. Kedua, apakah toko memenuhi kewajiban pemberitahuan. Ketiga, apakah ada hubungan sebab akibat antara kebocoran dan kerugian: penipu menggunakan detail yang hanya ada pada toko. Keempat, apakah korban berkontribusi pada kerugian dengan memberikan OTP.

Pada akhirnya, penilaian cenderung proporsional. Tanggung jawab toko dan korban dapat dibagi sesuai porsi kelalaian masing-masing, sementara pelaku penipuan tetap bertanggung jawab pidana jika teridentifikasi.

Soal bukti sumber kebocoran

Membuktikan bahwa data berasal dari toko tertentu adalah tantangan. Petunjuk yang menguatkan: penipu menyebut detail unik pesanan, banyak pelanggan toko yang sama mengalami hal serupa dalam waktu berdekatan, dan toko sendiri mengakui adanya akses tidak sah. Korban sebaiknya mengumpulkan pengalaman pelanggan lain secara tertib.

Soal kewajiban toko kecil

Skala usaha memengaruhi cara pengamanan yang wajar, tetapi tidak menghapus kewajiban. Toko kecil tetap dapat memakai langkah sederhana: kata sandi kuat, verifikasi dua langkah, pembatasan akses, dan pencadangan. Menerapkan langkah dasar itu mengurangi risiko dan juga menjadi bukti itikad baik.

Langkah yang dapat ditempuh

1. Amankan akun. Ganti kata sandi, aktifkan verifikasi dua langkah, dan hubungi bank atau penyedia dompet digital untuk memblokir transaksi.
2. Laporkan penipuan. Laporkan ke penyedia layanan keuangan dan ke kepolisian dengan bukti.
3. Simpan bukti. Tangkapan layar pesan, nomor telepon penipu, rekaman, bukti transfer, dan riwayat pesanan.
4. Minta pemberitahuan resmi dari toko. Tanyakan data apa yang bocor, kapan, dan langkah pemulihan.
5. Ajukan keberatan tertulis dan tuntutan kepada toko, jelaskan kerugian dan dasar tuntutan.
6. Adukan ke instansi pengawas. Gunakan kanal pengaduan pemerintah di bidang komunikasi dan digital. Per saat ini lembaga PDP belum terbentuk, sehingga periksa kanal yang aktif.
7. Pertimbangkan mediasi atau gugatan ganti rugi.
8. Waspada lanjutan. Pantau rekening, kartu, dan akun yang terkait data yang bocor.

Bukti yang dibutuhkan: bukti hubungan pelanggan dengan toko, bukti data yang dipakai, bukti kerugian, dan percakapan dengan toko.

Rincian praktis per langkah

Langkah darurat korban. Segera hubungi penyedia dompet digital dan bank, laporkan penipuan, dan minta pemblokiran atau penelusuran. Waktu sangat menentukan. Ganti kata sandi akun yang terkait dan periksa riwayat login.

Menyusun laporan kepolisian. Siapkan identitas, kronologi, nomor penipu, bukti transfer, dan tangkapan layar. Minta tanda terima laporan.

Menghubungi pelanggan lain. Pelanggan yang mengalami kejadian serupa dapat menyusun pengaduan bersama. Pengaduan kolektif lebih kuat. Namun jangan menyebarkan data pribadi orang lain tanpa izin.

Mendokumentasikan kerugian. Kerugian langsung adalah uang yang hilang. Kerugian lain, misalnya waktu dan biaya mengurus pemulihan akun, dapat dicatat bila dapat dibuktikan.

Meminta pertanggungjawaban toko. Kirim surat berisi kronologi, tuntutan, dan tenggat. Tanggapan toko menentukan apakah mediasi mungkin dilakukan.

Kemungkinan hasil

Tergantung bukti dan penilaian hakim atau lembaga pengawas, beberapa skenario berikut dapat terjadi.

Pengembalian dana dari penipu jarang pasti, sehingga tuntutan terhadap pengendali menjadi pilihan penting.

Dalam kasus kebocoran data skala kecil, hasil yang paling mungkin adalah perbaikan sistem, permintaan maaf, dan ganti rugi terbatas yang disepakati. Gugatan pengadilan tersedia, tetapi mempertimbangkan biaya dan nilai kerugian, banyak korban memilih mediasi.

Karena lembaga pengawas pelindungan data pribadi belum terbentuk per September 2026 dan peraturan pelaksana baru ditetapkan, praktik penegakan masih berkembang. Pembaca perlu memantau perkembangan resmi.

Pelajaran dan kesalahan yang bisa dihindari

Pelajaran dari kasus ini jelas: data pelanggan adalah tanggung jawab. Bagi pelaku usaha, keamanan dasar dan kesiapan menghadapi kebocoran lebih murah daripada menanggung akibatnya. Bagi konsumen, kewaspadaan terhadap telepon yang meminta kode adalah garis pertahanan terakhir.

Contoh pemberitahuan kebocoran kepada pelanggan

Contoh: "Kepada pelanggan Toko Gadget Nusantara. Kami memberitahukan bahwa pada pertengahan Agustus 2026 terjadi akses tidak sah terhadap data pelanggan yang meliputi nama, nomor ponsel, alamat, dan riwayat pesanan. Kami telah mengganti kata sandi dan membatasi akses. Kami menyarankan Anda tidak memberikan kode verifikasi kepada siapa pun yang mengaku dari toko kami. Untuk informasi dan pengaduan, silakan hubungi kontak resmi kami. Kami juga telah menyampaikan pemberitahuan kepada pihak berwenang sesuai ketentuan."

Bacaan lanjut: Hak subjek data pribadi UU PDP, Keamanan siber: kebocoran data perusahaan dan kewajiban lapor, dan Akun dibobol atau diretas: langkah darurat.

Pertanyaan yang sering diajukan

Apakah toko kecil wajib mematuhi UU PDP? Pada prinsipnya UU PDP berlaku bagi pihak yang memproses data pribadi, termasuk pelaku usaha kecil. Rincian kewajiban dan pengecualian perlu diperiksa pada teks resmi dan peraturan pelaksana.

Berapa lama toko harus memberi tahu? UU PDP menyebut paling lambat 3 x 24 jam, kepada subjek data dan lembaga. Periksa teks resmi.

Apakah saya bisa menuntut ganti rugi dari toko? Bisa, bila Anda dapat membuktikan kelalaian toko dan hubungan sebab akibat dengan kerugian. Hasil tergantung bukti.

Ke mana mengadu bila lembaga PDP belum ada? Gunakan kanal pengaduan pemerintah yang tersedia, laporkan penipuan ke kepolisian dan penyedia layanan keuangan, dan konsultasikan jalur perdata.

Ringkasan

• Toko yang menyimpan data pelanggan adalah pengendali data dengan kewajiban menjaga keamanan.
• Pasal 46 UU PDP mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan.
• Subjek data berhak atas ganti rugi bila terbukti ada pelanggaran dan sebab akibat.
• Lembaga pengawas PDP belum terbentuk per September 2026, sehingga jalur pengaduan perlu diperiksa.
• Hasil tergantung bukti dan penilaian hakim.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2024 tentang Perubahan Kedua atas UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik
• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

Baca juga

• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Data pelanggan yang bocor dari usaha kecil

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.