Di era digital yang serba terhubung, data pribadi telah bertransformasi menjadi salah satu aset paling berharga. Setiap hari, jutaan konsumen menyerahkan data sensitif mereka—mulai dari nama lengkap, Nomor Induk Kependudukan (NIK), alamat rumah, nomor telepon, riwayat transaksi finansial, hingga data biometrik—kepada berbagai perusahaan penyelenggara sistem elektronik (baik perbankan, e-commerce, layanan kesehatan, maupun aplikasi transportasi online).
Namun, pesatnya digitalisasi ini diiringi oleh maraknya insiden kebocoran data pribadi (data breach). Ketika sistem keamanan perusahaan jebol akibat serangan peretas (cyberattack) atau kelalaian internal, data konsumen dapat tersebar luas di dark web, diperjualbelikan secara ilegal, atau dimanfaatkan untuk kejahatan seperti penipuan finansial dan judi online.
Di Indonesia, hadirnya Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) memberikan dasar hukum yang kuat bagi masyarakat. UU ini secara tegas menegaskan bahwa subjek data pribadi (konsumen/pemilik data) berhak menuntut dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi yang dilakukan oleh perusahaan sebagai Pengendali Data Pribadi.
1. Landasan Hukum Hak Ganti Rugi dalam UU PDP
UU PDP menetapkan standar baru dalam tata kelola data di Indonesia. Perusahaan tidak lagi bisa menganggap kebocoran data sebagai “musibah tak terelakkan” tanpa menanggung konsekuensi hukum.
DASAR HUKUM HAK SUBJEK DATA PRIBADI
┌────────────────────────────────────────────────────────┐
│ PASAL 12 AYAT (1) UU NO. 27 TAHUN 2022 (UU PDP) │
│ • Subjek Data Pribadi berhak menggugat dan menerima │
│ ganti rugi atas pelanggaran pemrosesan Data Pribadi │
└───────────────────────────┬────────────────────────────┘
│
▼
┌────────────────────────────────────────────────────────┐
│ PASAL 1365 KUHPERDATA (Perbuatan Melawan Hukum) │
│ • Kelalaian perusahaan menjaga keamanan sistem yang │
│ menimbulkan kerugian wajib diganti │
└───────────────────────────┘
- Hak Atas Ganti Rugi (Pasal 12 UU PDP): Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
- Kewajiban Pengendali Data (Pasal 39 & 46 UU PDP): Perusahaan wajib menjaga keamanan data dengan menerapkan langkah teknis dan operasional yang memadai. Jika terjadi kegagalan perlindungan data, perusahaan wajib menyampaikan pemberitahuan tertulis paling lambat $3 \times 24$ jam kepada subjek data dan lembaga pengawas.
2. Unsur dan Komponen Ganti Rugi yang Dapat Dituntut
Dalam mengajukan tuntutan ganti rugi atas kebocoran data perusahaan, korban dapat mengkategorikan kerugian ke dalam dua segmen utama:
┌──────────────────────────────────────────────┐
│ KOMPONEN GANTI RUGI KEBOCORAN DATA │
└──────┬───────────────────────────────────────┘
│
┌─────────────────────┼─────────────────────┐
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ KERUGIAN │ │ KERUGIAN │ │ BEBAN │
│ MATERIAL │ │ IMMATERIAL │ │ PEMULIHAN │
│ (KERUGIAN │ │ (STRES & │ │ DATA & │
│ FINANSIAL) │ │ KECEMASAN) │ │ KEAMANAN │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
│ │ │
└─────────────────────┼─────────────────────┘
▼
┌──────────────────────────────────────────────┐
│ TOTAL TUNTUTAN KOMPENSASI DI PENGADILAN │
└──────────────────────────────────────────────┘
- Kerugian Material (Riil):
- Pencurian Dana: Pembobolan rekening bank atau akun dompet digital akibat data kredensial atau One-Time Password (OTP) yang bocor.
- Kerugian Penipuan Rekayasa Sosial (Social Engineering): Kerugian finansial yang timbul karena korban ditipu oleh pihak ketiga yang menggunakan data pribadi spesifik hasil kebocoran tersebut.
- Biaya Penggantian Identitas: Biaya administratif untuk mengganti kartu kredit, dokumen kependudukan, atau jasa perlindungan identitas (identity theft protection).
- Kerugian Immaterial (Moril):
- Kecemasan dan Stres Psikologis: Beban mental akibat rasa takut data pribadinya (seperti foto KTP atau data medis) disalahgunakan.
- Pencemaran Nama Baik: Situasi di mana data korban disalahgunakan untuk pinjaman online (pinjol) ilegal yang berujung pada teror kepada kerabat korban.
3. Langkah Hukum Menuntut Ganti Rugi Atas Kebocoran Data
Korban kebocoran data perusahaan dapat menempuh mekanisme penyelesaian secara bertahap:
ALUR HUKUM PENGAJUAN TUNTUTAN GANTI RUGI
┌────────────────────────────────────────────────────────┐
│ LINGKUNGAN 1: PENGUMPULAN BUKTI (Bukti Digital/Sistem) │
│ • Notifikasi kebocoran data, screenshot penipuan │
└───────────────────────────┬────────────────────────────┘
│
▼
┌────────────────────────────────────────────────────────┐
│ LINGKUNGAN 2: SOMASI & ADUAN MENTERI / LEMBAGA PDP │
│ • Mengirim teguran hukum ke perusahaan & melapor │
└───────────────────────────┬────────────────────────────┘
│ (Jika Ditolak/Dibiarkan)
▼
┌────────────────────────────────────────────────────────┐
│ LINGKUNGAN 3: GUGATAN PERDATA / CLASS ACTION │
│ • Gugatan PMH secara individu atau kelompok (Class) │
└───────────────────────────┘
Tahap 1: Pengumpulan Bukti Digital (Digital Evidence)
- Simpan bukti notifikasi resmi kebocoran data dari perusahaan (data breach notification).
- Kumpulkan bukti transaksi tidak dikenal, pesan penipuan/spam yang masuk pasca-kebocoran, serta bukti kerugian finansial dari bank.
Tahap 2: Pengiriman Somasi dan Pengaduan ke Lembaga PDP
- Kirimkan surat somasi resmi kepada perusahaan terkait, menuntut klarifikasi dan tanggung jawab kompensasi.
- Laporkan dugaan pelanggaran penyelenggaraan data ke Lembaga Perlindungan Data Pribadi / Kementerian Komunikasi dan Digital untuk mendapatkan sanksi administratif bagi perusahaan.
Tahap 3: Pengajuan Gugatan Perdata / Class Action
- Gugatan PMH Individual: Menggugat perusahaan ke Pengadilan Negeri atas dasar Perbuatan Melawan Hukum (Pasal 1365 KUHPerdata jo. Pasal 12 UU PDP).
- Gugatan Perwakilan Kelompok (Class Action): Jika korban kebocoran data berjumlah ribuan atau jutaan orang dengan karakter kerugian yang sama, para korban dapat membentuk perwakilan kelompok untuk mengajukan gugatan class action guna menuntut ganti rugi kolektif yang bernilai fantastis.
Matriks Tanggung Jawab Perusahaan vs Hak Korban
| Aspek Regulasi | Kewajiban Perusahaan (Pengendali Data) | Hak Korban (Subjek Data) |
| Keamanan Sistem | Menerapkan enkripsi & standar keamanan cyber | Mendapat jaminan kerahasiaan data |
| Ketika Terjadi Leak | Wajib kirim notifikasi max $3 \times 24$ jam | Berhak atas transparansi dampak kebocoran |
| Dampak Kerugian | Mengganti kerugian material & immaterial | Berhak menuntut kompensasi finansial |
| Sanksi Tambahan | Dikenakan denda administratif hingga 2% pendapatan tahunan | Diberi akses pemulihan hak oleh negara |
Kesimpulan
Kebocoran data pribadi bukan sekadar masalah teknis TI, melainkan pelanggaran hak asasi dan hak hukum konsumen. Dengan berlakunya UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi, masyarakat kini memiliki taji hukum yang kuat untuk menuntut ganti rugi kepada perusahaan yang lalai menjaga keamanan data mereka. Melalui pengumpulan bukti digital yang cermat dan pemanfaatan gugatan perdata maupun class action, masyarakat dapat memaksa perusahaan untuk lebih bertanggung jawab dan mengutamakan perlindungan data pribadi.
