Kewajiban Lapor Kebocoran Data 3x24 Jam UU PDP

Kegagalan pelindungan data pribadi, dalam bahasa sehari-hari kebocoran data, adalah keadaan ketika data pribadi yang kamu kelola tidak lagi terjaga kerahasiaan, keutuhan, atau ketersediaannya. Penjelasan Pasal 46 UU Nomor 27 Tahun 2022 (UU PDP) mencakup pelanggaran keamanan yang disengaja maupun tidak, yang berujung pada perusakan, kehilangan, perubahan, pengungkapan, atau akses tidak sah terhadap data pribadi.

Tenggatnya ketat. Pasal 46 memberi waktu 3 x 24 jam untuk pemberitahuan tertulis, dan pelanggaran atas kewajiban itu termasuk yang dikenai sanksi administratif menurut Pasal 57. Tim yang baru mulai menyusun langkah setelah insiden terjadi biasanya kehabisan waktu hanya untuk memahami apa yang bocor. Artikel ini bukan nasihat hukum, tapi bisa kamu pakai untuk menyiapkan alur sebelum insiden terjadi.

Apa persisnya yang diwajibkan Pasal 46?

Siapa yang harus diberi tahu

Ayat (1) menyebut pengendali data pribadi wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada dua pihak: subjek data pribadi (orang yang datanya bocor) dan lembaga pelindungan data pribadi.

Ayat (3) menambahkan bahwa dalam hal tertentu, pengendali wajib memberi tahu masyarakat. Penjelasannya memberi contoh: bila kegagalan itu mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat.

Isi minimal pemberitahuan

Ayat (2) menyebut pemberitahuan minimal memuat tiga hal:

1. Data pribadi yang terungkap.
2. Kapan dan bagaimana data pribadi terungkap.
3. Upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali.

Kata "minimal" penting. Dalam praktik, pemberitahuan yang baik juga memuat langkah yang bisa dilakukan penerima (misalnya mengganti password atau mewaspadai pesan penipuan) dan kontak yang bisa dihubungi.

Siapa "lembaga" itu saat ini?

Lembaga pelindungan data pribadi ditetapkan oleh Presiden (Pasal 58). Dalam keterangan pemerintah di sidang Mahkamah Konstitusi pada 27 Juli 2026, Komdigi menyampaikan bahwa hingga lembaga terbentuk, fungsi pelindungan data pribadi dijalankan Komdigi melalui Direktorat Jenderal Pengawasan Ruang Digital. Kanal pelaporan resmi bisa berubah, jadi pastikan kamu memeriksa informasi terbaru di situs resmi Komdigi saat menyusun prosedur, bukan saat insiden.

Pasal 46 tidak merinci titik mulai hitungan 3 x 24 jam. Per 4 November 2026, peraturan pelaksananya sudah terbit sebagai PP Nomor 33 Tahun 2026, ditetapkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027, yang juga mengatur kegagalan pelindungan data pribadi. Baca naskah resminya untuk rincian prosedur. Sampai prosedurmu disesuaikan, sikap paling aman adalah menghitung sejak kamu mengetahui terjadinya kegagalan.

Ringkasan kewajiban dan sanksinya

Alur kerja 72 jam yang bisa kamu siapkan dari sekarang

Alur ini membagi tenggat menjadi tiga blok. Sesuaikan dengan ukuran timmu.

Jam 0 sampai 24: pastikan dan tahan. Tunjuk satu koordinator insiden. Catat waktu pertama kali insiden diketahui. Simpan bukti (log, salinan file, tangkapan layar), lalu tahan kebocoran: cabut akses yang disalahgunakan, ganti kredensial, tutup celah. Jangan menghapus server atau install ulang sebelum bukti aman, karena jejak itu dibutuhkan untuk menjawab "bagaimana data terungkap". Tanda dan langkah pertamanya dibahas di tanda website diretas.

Jam 24 sampai 48: tentukan cakupan. Jawab pertanyaan yang nanti masuk ke pemberitahuan. Data apa saja yang terungkap (nama, email, nomor telepon, alamat, data keuangan, data kesehatan)? Berapa banyak subjek data dan siapa mereka? Sejak kapan? Libatkan petugas pelindungan data bila ada. Perannya dibahas di petugas pelindungan data pribadi.

Jam 48 sampai 72: kirim dan catat. Kirim pemberitahuan ke subjek data dan lembaga. Simpan bukti pengiriman. Kalau cakupannya belum sepenuhnya jelas, sampaikan apa yang sudah diketahui dan nyatakan bahwa pembaruan akan menyusul. Mengirim informasi yang jujur dan belum lengkap biasanya lebih baik daripada terlambat.

Contoh kerangka pemberitahuan ke subjek data

Subjek: Pemberitahuan insiden keamanan data pribadi

Kepada [nama pelanggan],

Pada [tanggal], kami mengetahui adanya [akses tidak sah / kebocoran]
pada [nama sistem]. Data pribadi Anda yang terungkap: [daftar jenis data].
Data yang tidak terdampak: [misalnya password, data kartu].

Kejadian ini terjadi [kapan] melalui [penjelasan singkat bagaimana].

Langkah yang sudah kami lakukan: [menutup celah, mengganti kredensial,
memulihkan sistem, melibatkan pihak terkait].

Langkah yang kami sarankan untuk Anda: [ganti password, waspadai pesan
yang mengatasnamakan kami, dll].

Kontak untuk pertanyaan: [email/telepon petugas].

Siapkan juga versi untuk lembaga dengan informasi teknis yang lebih rinci, misalnya perkiraan jumlah subjek data, sistem terdampak, dan kronologi.

Kapan cukup memberi tahu subjek data, kapan perlu mengumumkan ke publik?

Untuk sebagian besar insiden di bisnis swasta, pemberitahuan langsung ke subjek data (lewat email, SMS, atau surat) dan ke lembaga sudah memenuhi Pasal 46 ayat (1). Cara ini juga paling tepat sasaran, karena orang yang terdampak menerima informasi yang relevan untuk dirinya.

Pengumuman ke masyarakat menjadi wajib dalam hal tertentu, misalnya bila kegagalan itu mengganggu pelayanan publik atau berdampak serius terhadap kepentingan masyarakat. Pengumuman publik juga patut dipertimbangkan bila kamu tidak punya kontak yang valid untuk semua subjek data, atau bila jumlah terdampak sangat besar sehingga pemberitahuan satu per satu tidak bisa selesai tepat waktu.

Persiapan yang membuat 72 jam terasa cukup

Insiden yang ditangani dengan baik hampir selalu punya persiapan yang sama: peta data pribadi (data apa, di sistem mana, milik siapa), log yang aktif dan disimpan cukup lama, kontak darurat yang jelas, dan backup yang bisa dipulihkan. Backup bukan hanya soal pemulihan. Ia membantu memastikan data mana yang berubah atau hilang, yang menjadi bagian dari isi pemberitahuan. Prinsipnya dibahas di backup website otomatis.