Keamanan Siber

Hak Anda menurut UU Pelindungan Data Pribadi

Hampir semua penjelasan undang-undang ini ditulis untuk perusahaan yang harus patuh. Yang jarang ditulis: apa yang berhak diterima orang yang datanya bocor.

Oleh Beni Nur Halim, penulis keamanan siber · 25 Agustus 2026 · ± 9 menit baca · Keamanan Siber

Diagram kewajiban pemberitahuan kebocoran data dalam 3x24 jam beserta tiga isi wajibnya menurut Pasal 46 UU Pelindungan Data Pribadi — Isi pemberitahuan sudah ditentukan undang-undang, bukan kebijakan perusahaan.

Ringkasan

Pihak yang mengalami kebocoran wajib memberi tahu Anda tertulis paling lambat 3x24 jam sejak kebocoran diketahui.
Isi pemberitahuan itu sudah ditentukan undang-undang, bukan diserahkan pada kebijakan perusahaan.
Tidak diberi tahu sama sekali adalah pelanggaran tersendiri, terpisah dari kebocorannya.
Hak Anda tidak berhenti pada pemberitahuan: ada hak mengakses, memperbaiki, menghapus, dan menarik persetujuan.
Hak menuntut ganti rugi tidak gugur karena Anda sudah melapor ke kepolisian; keduanya jalur yang berbeda.

Kewajiban

Apa yang wajib dilakukan pihak yang kebocoran

Ketika sebuah layanan gagal melindungi data yang dititipkan kepadanya, undang-undang tidak menyerahkan penanganannya pada kebijakan internal perusahaan itu. Ada kewajiban yang sudah ditentukan, lengkap dengan tenggat dan isi minimumnya.

Tenggatnya 3x24 jam

Pemberitahuan tertulis wajib disampaikan paling lambat 3x24 jam terhitung sejak kebocoran diketahui — bukan sejak kebocoran terjadi, dan bukan sejak diberitakan media. Pemberitahuan itu ditujukan kepada dua pihak sekaligus: Anda sebagai pemilik data, dan lembaga pengawas.

Isinya sudah ditentukan

Sebuah pemberitahuan yang hanya berbunyi "telah terjadi insiden keamanan" belum memenuhi syarat. Undang-undang menetapkan pemberitahuan sekurang-kurangnya memuat tiga hal: data apa yang terungkap, kapan dan bagaimana kebocoran itu terjadi, serta upaya penanganan dan pemulihan yang sudah dilakukan.

Ketiganya bukan formalitas. Tanpa mengetahui data apa yang terungkap, Anda tidak bisa menilai akun mana yang perlu diamankan lebih dulu. Tanpa mengetahui kapan, Anda tidak bisa memperkirakan berapa lama data itu sudah beredar.

Diam juga merupakan pelanggaran

Inilah bagian yang paling sering luput. Bila sebuah layanan tidak pernah memberi tahu Anda padahal kebocorannya sudah ramai diberitakan, atau baru memberi tahu berbulan-bulan kemudian, kelalaian itu adalah pelanggaran tersendiri — terpisah dari kebocoran datanya. Dalam keadaan tertentu, pengendali data bahkan wajib mengumumkannya kepada publik.

Hak

Hak yang melekat pada Anda sebagai pemilik data

Hak-hak ini berlaku terus-menerus, bukan hanya ketika terjadi kebocoran. Sebagian besar orang tidak pernah memakainya karena tidak tahu hak itu ada.

Hak	Artinya dalam praktik	Kapan paling berguna
Mengakses data Anda	Meminta salinan data pribadi yang disimpan tentang Anda.	Ketika ingin tahu seberapa banyak yang sebenarnya mereka pegang.
Memperbaiki data	Meminta koreksi atas data yang keliru atau tidak lagi akurat.	Setelah pindah alamat, ganti nomor, atau salah input.
Menghapus data	Meminta data pribadi Anda dihapus atau dimusnahkan.	Ketika berhenti memakai sebuah layanan.
Menarik persetujuan	Mencabut izin pemrosesan yang pernah Anda berikan.	Ketika data dipakai untuk hal di luar yang Anda setujui.
Memindahkan data	Meminta data Anda dalam bentuk yang bisa dibaca sistem lain.	Ketika berpindah ke penyedia layanan lain.
Menuntut ganti rugi	Menuntut atas kerugian akibat pelanggaran pengelolaan data.	Ketika kebocoran menimbulkan kerugian nyata.

Ganti rugi

Jalur menuntut ganti rugi

Pemilik data yang dirugikan akibat pelanggaran pengelolaan data pribadinya berhak menuntut ganti rugi. Tata cara pengenaannya diatur lebih lanjut lewat peraturan pelaksana, jadi rinciannya bisa berubah seiring aturan turunannya terbit.

Yang perlu Anda ketahui sekarang, tiga hal berikut berlaku terlepas dari rincian itu.

Jalur ini terpisah dari laporan pidana. Membuat laporan ke kepolisian tidak menggugurkan hak menuntut ganti rugi, dan sebaliknya. Keduanya menjawab pertanyaan berbeda: yang satu soal siapa yang harus dihukum, yang lain soal siapa yang menanggung kerugian Anda.

Bukti dikumpulkan sejak awal, bukan belakangan. Simpan surel pemberitahuan dari layanan yang bocor, tangkapan layar transaksi yang tidak Anda lakukan, dan nomor laporan kepolisian. Kerugian yang tidak bisa ditunjukkan sulit dituntut, sekuat apa pun dasar hukumnya.

Tenggat pemberitahuan bisa menjadi bagian dari perkara. Bila sebuah layanan melewati batas 3x24 jam dan keterlambatan itu membuat Anda kehilangan kesempatan mengamankan akun, keterlambatan tersebut relevan — bukan sekadar catatan administratif.

Batas

Yang tidak dijanjikan undang-undang

Bagian ini perlu ditulis supaya harapan Anda terukur. Undang-undang memberi dasar hukum; ia tidak memberi tombol pembatal.

Data yang sudah tersebar tidak bisa ditarik kembali. Tidak ada pasal yang bisa menghapus salinan yang sudah berpindah tangan. Hak penghapusan berlaku terhadap pengendali data yang menyimpannya, bukan terhadap pihak yang mencurinya.

Proses ganti rugi tidak cepat. Jalur ini menuntut bukti, waktu, dan sering kali biaya. Untuk kerugian bernilai kecil, langkah pengamanan akun biasanya jauh lebih menguntungkan daripada menempuh sengketa.

Aturan pelaksananya masih berkembang. Sebagian mekanisme dalam undang-undang ini menunggu peraturan turunan. Artinya jalur formalnya bisa berubah, dan memeriksa aturan terbaru sebelum menempuh langkah hukum adalah hal yang wajar.

Meski begitu, mengetahui hak ini tetap mengubah posisi Anda. Perbedaan antara pembaca yang tahu ada tenggat 3x24 jam dan yang tidak bukan soal kemenangan di pengadilan — melainkan soal tahu bahwa keterlambatan sebuah perusahaan memberi tahu Anda bukan hal yang harus diterima begitu saja.

Panduan lain di IDN96

Telekomunikasi

Tentang tulisan ini

Ditulis oleh: Beni Nur Halim, penulis keamanan siber, kanal Keamanan Siber. Bidang yang ia kuasai dan susunan penanggung jawab ada di halaman Redaksi.
Jenis tulisan: Penjelas evergreen. Menjelaskan cara kerja dan cara menilai, bukan melaporkan peristiwa bertanggal.
Cara kami menyusun: Setiap klaim ditelusuri ke sumber primer dan disunting oleh editor yang tidak menulis artikel ini. Alur lengkapnya dijelaskan di pedoman redaksi.
Menemukan kekeliruan?: Kirim ke [email protected] dengan menyertakan tautan halaman ini. Ditanggapi dalam satu hari kerja lewat prosedur koreksi.
Kepentingan komersial: Tulisan ini bukan konten bersponsor dan tidak dibayar pihak mana pun.

Rujukan

Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Pasal 46 — kewajiban pemberitahuan tertulis 3x24 jam beserta isi minimumnya. Teks resmi: peraturan.go.id.
Salinan dan status keberlakuan undang-undang yang sama pada basis data JDIH Badan Pemeriksa Keuangan: peraturan.bpk.go.id.