UU Satu Data Indonesia untuk Pengelola Situs dan Aplikasi: Keamanan, Insiden, dan Pidana

Siapa yang dimaksud pengelola situs

Pengelola situs dan aplikasi mencakup pengembang, pemilik situs berita, toko daring, dan layanan yang menyimpan data pengguna. Sebagian dari mereka juga menyediakan layanan bagi instansi pemerintah.

Sumber yang kami baca tidak merinci kewajiban pihak swasta menurut UU SDI. Karena itu, pengelola perlu membedakan antara kewajiban yang jelas, yakni dari UU PDP, dan yang belum jelas, yakni dari UU SDI.

Bagi pengembang lepas atau agensi, pertimbangkan pula klausul kontrak dengan klien. Tentukan siapa yang bertanggung jawab melaporkan insiden dan siapa yang menyimpan log akses.

• Pengembang dan agensi aplikasi.
• Pemilik toko daring dan marketplace kecil.
• Pengelola situs komunitas dan berita.
• Vendor yang melayani instansi pemerintah.

Lapor insiden 1x24 jam

Menurut pemberitaan, UU SDI mewajibkan insiden keamanan data dilaporkan paling lambat 1x24 jam. Sumber tidak menjelaskan siapa pelapor, kepada siapa, atau apa yang dihitung sebagai insiden.

Sebagai pembanding, KRES.ID menyebut PP 33/2026 mengatur notifikasi kebocoran tertulis paling lambat 3x24 jam. Kedua angka itu berasal dari rezim berbeda dan perlu dibaca dalam teks resminya.

Dalam praktik, penentuan apa yang dihitung sebagai insiden sering menjadi sumber perdebatan. Tuliskan kriteria internal, misalnya akses tidak sah, kehilangan data, atau perubahan data tanpa izin.

• Tentukan siapa yang memutuskan suatu kejadian sebagai insiden.
• Siapkan templat laporan insiden.
• Catat waktu pertama kali insiden diketahui.
• Siapkan daftar kontak pihak yang harus dihubungi.

Pidana atas serangan ke infrastruktur

Menurut pemberitaan, penjara paling lama 15 tahun dan/atau denda kategori VIII dikenakan bagi yang menyerang, menyabotase, memanipulasi, menghancurkan, menyebarluaskan tanpa hak, atau mengambil alih pusat data nasional atau infrastruktur SDI.

Pasal ini dikabarkan menyasar infrastruktur tertentu, bukan setiap situs. Meski demikian, mengakses sistem milik orang lain tanpa izin tetap berisiko diatur undang-undang lain, termasuk UU ITE.

Perlu diingat pula bahwa pasal pidana yang diberitakan memuat kata tanpa hak. Pengujian keamanan yang sah, yang dilakukan dengan izin tertulis, berbeda dari akses tanpa izin.

Audit dan standar keamanan

Pemberitaan menyebut adanya audit keamanan, audit kedaulatan data, sertifikat digital, dan standar keamanan dari lembaga bidang siber dan persandian. Penerapannya pada swasta belum jelas.

Pengelola yang bermitra dengan instansi sebaiknya siap diaudit. Dokumentasikan kebijakan keamanan, hasil uji kerentanan, dan riwayat perbaikan.

Jika Anda menyediakan layanan yang terhubung dengan sistem instansi, tanyakan standar keamanan yang diharapkan dan simpan jawabannya. Dokumen tersebut berguna ketika ada audit.

Keamanan dasar yang selalu berguna

Kritik praktisi dalam pemberitaan menekankan bahwa ancaman pidana bukan pertahanan utama. Mereka menyarankan deteksi anomali, penanganan insiden, dan audit arsitektur.

Bagi pengelola kecil, langkah dasar sudah sangat membantu: autentikasi berlapis, pembaruan perangkat lunak, pembatasan akses, enkripsi, dan cadangan yang diuji.

Uji pemulihan dari cadangan setidaknya berkala. Banyak organisasi baru tahu cadangan mereka rusak justru ketika insiden sudah terjadi.

Hubungan dengan UU PDP

Bila situs Anda menyimpan data pribadi pengguna, UU PDP dan PP 33/2026 tetap menjadi pegangan utama. Menurut KRES.ID, PP itu mulai berlaku 16 Januari 2027 dan mengatur notifikasi, penilaian dampak, dan sanksi administratif.

UU SDI tidak dilaporkan mengubah UU PDP. Pengelola perlu memenuhi keduanya sejauh berlaku, dan memilih prosedur internal yang paling ketat agar aman.

Beri tahu pengguna dengan bahasa sederhana apa yang terjadi dan apa yang perlu mereka lakukan, misalnya mengganti kata sandi. Komunikasi yang jujur menjaga kepercayaan.

Transfer data ke luar negeri

Menurut pemberitaan, akses atau transfer data tertutup ke luar yurisdiksi Indonesia wajib persetujuan DPR RI. Penerapannya pada data milik swasta belum jelas.

Bila layanan Anda memakai komputasi awan di luar negeri, catat data apa yang disimpan di mana. Catatan ini akan berguna ketika aturan teknis terbit.

Dokumentasikan arsitektur sistem, termasuk lokasi server dan penyedia layanan. Dokumen ini membantu menjawab pertanyaan tentang kedaulatan data bila diminta di kemudian hari. Dengan peta ini, pengelola dapat menilai aturan mana yang paling mungkin menyentuh mereka. Sebagai penutup, jadikan naskah resmi sebagai rujukan utama dan anggap pemberitaan sebagai petunjuk awal. Bila ada perbedaan, naskah resmi yang berlaku, dan peraturan pelaksana dapat menambah rincian yang belum tampak sekarang. Simpan catatan sumber yang Anda pakai.

Contoh kasus

Contoh: Sebuah pengelola aplikasi belanja daring menemukan akun karyawan diretas. Tim mencatat waktu penemuan, mengunci akun, menelusuri log, dan menghubungi pihak yang ditentukan dalam prosedur. Karena data pelanggan terdampak, mereka juga menyiapkan notifikasi tertulis sesuai aturan perlindungan data pribadi. Setelah selesai, tim menulis catatan pembelajaran dan memperbaiki prosedur untuk insiden berikutnya. Ilustrasi ini fiktif. Tim hukum perusahaan lalu memeriksa apakah ada kewajiban pelaporan tambahan kepada instansi mitra sesuai perjanjian kerja sama, dan menyimpan semua korespondensi sebagai arsip.

Hal yang sering keliru

• Mengira UU SDI sudah jelas mewajibkan swasta melapor ke lembaga tertentu. Faktanya sumber tidak merinci.
• Mengira pidana 15 tahun berlaku bagi semua kebocoran data. Faktanya pemberitaan mengaitkannya dengan infrastruktur tertentu.
• Mengira cukup patuh pada satu aturan. Faktanya UU PDP, UU ITE, dan UU SDI dapat berjalan bersamaan.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• UU Satu Data Indonesia untuk UMKM dan Startup: Apa yang Perlu Disiapkan
• UU Satu Data Indonesia untuk Orang Awam: Ringkasan Mudah Dipahami
• Wali Data dalam UU Satu Data Indonesia: Peran Penghubung antara Produsen dan Pengguna

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.