Kebocoran Data dan UU PDP di Indonesia: Antara Regulasi dan Realita

Dalam dua tahun terakhir, Indonesia mencatat setidaknya tujuh insiden kebocoran data skala besar. Mulai dari BPJS Kesehatan, Dukcapil, hingga data pajak presiden. Namun UU PDP yang sudah disahkan sejak 2022 belum satu kali pun menjerat pelaku. Regulasi yang digadang-gadang sebagai payung hukum perlindungan data pribadi ini justru masih menjadi perdebatan, baik dari sisi implementasi maupun potensi kriminalisasinya.

Dalam dua tahun terakhir, Indonesia mencatat sederet insiden kebocoran data yang skalanya sulit diabaikan. Seperti yang kami ulas dalam artikel sebelumnya tentang insiden Brain Cipher yang melumpuhkan PDNS 2 pada Juni 2024, serangan terhadap infrastruktur publik menunjukkan betapa rentannya sistem data pemerintah. Tapi kebocoran data bukan hanya soal ransomware. Ini soal ekosistem perlindungan data yang belum matang.

Infografik: Garis waktu kebocoran data besar di Indonesia, dari BPJS Kesehatan hingga klaim 4,9 juta data BCA yang ternyata hoaks. Data dihimpun dari Kompas, CNN Indonesia, dan BBC Indonesia.

Daftar Panjang Kebocoran Data: Dari 279 Juta hingga 4,6 Juta

BBC Indonesia mencatat bahwa kasus kebocoran data di Indonesia sudah berlangsung bertahun-tahun. Pada 2021, data 279 juta peserta BPJS Kesehatan diduga bocor dan diperjualbelikan di forum peretas. Angka ini mencakup hampir seluruh populasi Indonesia. Setahun kemudian, pada 2022, peretas Bjorka mengklaim telah meretas data 337 juta data Dukcapil dan dokumen milik Presiden Jokowi. Pemerintah mengakui kebocoran tersebut tapi mengklaim data yang bocor adalah data lama.

Pada 2023, 34 juta data pemegang paspor Indonesia diduga bocor. BBC Indonesia melaporkan bahwa peretas menjual data tersebut termasuk foto wajah dan tanda tangan pemilik paspor. Tahun 2024 menjadi puncaknya: 6 juta data NPWP warga negara Indonesia, termasuk milik Presiden Jokowi dan Wakil Presiden Gibran Rakabuming Raka, diduga bocor dan tersebar di internet. CNN Indonesia melaporkan bahwa Direktorat Jenderal Pajak masih melakukan penyelidikan terkait insiden ini.

Tidak berhenti di situ. Pada Juli 2025, 700 ribu data Kementerian Pertahanan diduga bocor. CNN Indonesia memberitakan bahwa data tersebut diduga milik pegawai dan personel TNI yang tersebar di forum gelap. Kemhan kemudian mengungkapkan hasil investigasi yang menyatakan data tersebut berasal dari sumber yang sudah tidak aktif. Pada bulan yang sama, 4,6 juta data warga Jawa Barat juga diduga bocor, menambah daftar panjang insiden yang melibatkan data kependudukan.

Di Januari 2026, Komdigi memanggil Meta untuk meminta penjelasan terkait dugaan kebocoran data pengguna Instagram di Indonesia, seperti dilaporkan CNN Indonesia. Sementara pada Mei 2026, ramai kabar soal 4,9 juta data nasabah BCA yang dijual di dark web. Kompas.com melakukan verifikasi dan BCA secara resmi membantah kabar tersebut setelah investigasi internal membuktikan tidak ada kebocoran dari sistem mereka. Kasus ini menunjukkan bahwa tidak semua klaim kebocoran data itu benar, tapi setiap klaim tetap menimbulkan keresahan publik.

UU PDP: Payung Hukum yang Belum Sepenuhnya Berfungsi

Indonesia sebenarnya sudah memiliki Undang-Undang Perlindungan Data Pribadi (UU PDP) yang disahkan pada September 2022 sebagai UU Nomor 27 Tahun 2022. Namun, BBC Indonesia dalam laporannya pada 2022 mencatat kekhawatiran para pengamat yang menilai implementasi UU PDP berpotensi menjadi “macan kertas”. Pasalnya, sanksi bagi badan publik pemerintah dinilai lebih ringan daripada sanksi untuk sektor swasta. Selain itu, lembaga pengawas yang dibentuk berada di bawah kekuasaan presiden, bukan sebagai lembaga independen.

Kekhawatiran ini terbukti tidak berlebihan. Hampir empat tahun setelah disahkan, belum ada kasus pidana besar yang berhasil ditindak menggunakan UU PDP. Pelaku kebocoran data seperti Bjorka dan kelompok peretas lainnya masih berkeliaran dan mengklaim korban baru. Sementara itu, korban kebocoran data seperti peserta BPJS Kesehatan dan pemilik data Dukcapil belum mendapatkan kejelasan soal ganti rugi atau pemulihan data.

Pasal 62: Gugatan ke Mahkamah Konstitusi atas Transfer Data Lintas Negara

Pada April 2026, empat warga negara Indonesia mengajukan uji materi Pasal 62 ayat (2) UU PDP ke Mahkamah Konstitusi. Kompas.com melaporkan bahwa pemohon khawatir pasal ini membuka celah transfer data pribadi ke luar negeri tanpa batasan yang jelas, terutama dalam konteks Perjanjian Perdagangan Resiprokal Indonesia–Amerika Serikat.

Menurut para pemohon, pasal tersebut tidak memberikan kejelasan mengenai ruang lingkup, mekanisme, dan jenis data yang boleh ditransfer ke luar negeri. Akibatnya, muncul ketidakpastian hukum serta potensi berkurangnya kontrol negara atas data pribadi warga. Mereka menekankan bahwa perlindungan data pribadi harus ditempatkan dalam kerangka hak asasi manusia, bukan semata-mata dalam kerangka administratif atau perdagangan digital.

Ini menjadi isu krusial karena perjanjian dagang RI–AS yang mencakup klausul transfer data pribadi. Tanpa batasan yang jelas, data jutaan warga Indonesia yang tersimpan di platform-platform Amerika seperti Google, Meta, dan Amazon bisa dipindahkan dan diproses di luar yurisdiksi hukum Indonesia.

Pasal 65: Ancaman Kriminalisasi ala UU ITE Jilid 2

Ancaman lain datang dari Pasal 65 UU PDP yang melarang membuka data pribadi milik orang lain tanpa hak. Direktur Eksekutif Catalyst Policy Works, Wahyudi Djafar, dalam pemberitaan Kompas.com pada Mei 2026, menyatakan bahwa pasal ini berpotensi menjadi UU ITE jilid kedua apabila aparat penegak hukum tidak memiliki kapasitas memadai dalam menafsirkan aturan.

Wahyudi mencontohkan kasus jurnalis investigasi yang mencari nomor telepon narasumber. Jika si pemilik nomor merasa dirugikan, mereka bisa melaporkan jurnalis tersebut ke polisi dengan tuduhan pelanggaran UU PDP. Potensi kriminalisasi ini mengingatkan pada pengalaman panjang pasal 27 ayat 3 UU ITE tentang pencemaran nama baik yang selama bertahun-tahun menjadi alat kriminalisasi terhadap jurnalis, akademisi, dan aktivis.

Selain jurnalis, pengguna media sosial yang melakukan screenshot percakapan atau membagikan informasi kontak seseorang tanpa izin juga berpotensi terjerat pasal ini. Tanpa pedoman penafsiran yang jelas, pasal ini bisa menjadi senjata baru bagi mereka yang ingin membungkam kritik atau menyelesaikan sengketa pribadi melalui jalur pidana.

BSSN dan Ekosistem Pengawasan: Masih Jauh dari Ideal

Badan Siber dan Sandi Negara (BSSN) seharusnya menjadi garda terdepan dalam pengamanan data dan sistem elektronik pemerintahan. Namun, catatan BSSN dalam beberapa tahun terakhir menunjukkan keterbatasan kapasitas. Saat serangan Brain Cipher ke PDNS 2 pada Juni 2024, BSSN tidak bisa mencegah atau merespons dengan cepat. Bahkan, BSSN juga harus mengakui bahwa data lama sistem INAFIS (Identifikasi Forensik) milik Polri bocor di dark web pada waktu yang hampir bersamaan.

Dalam konteks UU PDP, lembaga pengawas yang dibentuk berada di bawah presiden, bukan sebagai lembaga independen. Ini menjadi persoalan serius karena pengawasan terhadap pemerintah sendiri menjadi sulit dilakukan secara objektif. Ketika instansi pemerintah menjadi pihak yang melanggar, siapa yang akan mengawasi pengawas?

Masa Depan Perlindungan Data di Indonesia

Empat tahun setelah UU PDP disahkan, Indonesia masih bergulat dengan tiga masalah utama. Pertama, konsistensi penegakan hukum. Selama belum ada kasus besar yang diproses menggunakan UU PDP, regulasi ini hanya akan menjadi pajangan. Kedua, kapasitas aparat. Tanpa pelatihan dan pedoman yang jelas, pasal-pasal dalam UU PDP berpotensi disalahgunakan seperti UU ITE. Ketiga, independensi pengawas. Lembaga pengawas yang tidak independen tidak akan bisa menjalankan fungsinya secara optimal.

Kebocoran data bukan sekadar masalah teknis yang bisa diselesaikan dengan firewall atau enkripsi. Ini soal tata kelola, budaya organisasi, dan kesadaran bahwa data pribadi adalah hak asasi yang harus dilindungi. Sampai tiga masalah utama ini diselesaikan, angka kebocoran data di Indonesia kemungkinan masih akan terus bertambah. Dan UU PDP, sekuat apa pun pasal-pasalnya, hanya akan menjadi siber.web.id

Mencegah Lebih Baik daripada Mengobati: Langkah Praktis untuk Individu

Sambil menunggu ekosistem perlindungan data nasional membaik, ada beberapa langkah yang bisa kamu lakukan untuk melindungi data pribadimu. Jangan asal memberikan data KTP ke aplikasi atau layanan yang tidak jelas rekam jejaknya. Gunakan autentikasi dua faktor di setiap layanan yang mendukungnya. Bedakan password untuk setiap akun penting. Seperti yang kami bahas dalam playbook respons insiden, langkah pencegahan selalu lebih murah daripada biaya pemulihan setelah data bocor.

Di sisi organisasi, prinsip yang sama berlaku. Setiap perusahaan atau instansi yang menyimpan data pengguna wajib memiliki tim respons insiden yang siap siaga, sistem backup yang teruji reguler, dan kebijakan tata kelola data yang jelas. Ini bukan sekadar kepatuhan regulasi. Ini tentang kepercayaan publik yang lebih mahal daripada investasi keamanan mana pun.