Oleh: Adv. Dr. Marita Fatimah, S.H., M.H., Alumni Doktor Ilmu Hukum Universitas Muhammadiyah Surakarta; Dosen Universitas Bali Internasional Muhammadiyah
Nilai ekonomi data pribadi semakin besar, tetapi kemampuan seseorang untuk mengetahui dan mengendalikan penggunaan datanya tidak selalu bertambah. Nomor telepon, identitas, riwayat transaksi, hingga informasi kesehatan dapat dikumpulkan dan dianalisis untuk berbagai layanan. Dalam pemrosesan yang sah, data memang dapat memberikan manfaat. Persoalan muncul ketika data diperoleh, disebarluaskan, atau digunakan tanpa dasar hukum, terlebih ketika informasi itu terus beredar setelah terjadi kebocoran.
Pada 2 Oktober 2026, Kementerian Komunikasi dan Digital menyatakan sedang mengusut dugaan jual beli data pribadi secara ilegal dan berkoordinasi dengan kepolisian serta Badan Siber dan Sandi Negara. Pemerintah juga mengingatkan bahwa data yang pernah bocor tidak serta-merta menjadi informasi yang bebas diperdagangkan. Peristiwa yang masih berada dalam proses pengusutan tersebut memperlihatkan satu masalah penting: pengamanan sistem dan penindakan terhadap dugaan pelaku tidak dengan sendirinya mengakhiri risiko bagi orang yang datanya telah tersebar.
Data digital berbeda dari barang yang hilang secara fisik. Satu salinan dapat digandakan, dipadukan dengan informasi lain, lalu digunakan kembali pada waktu berbeda. Data yang semula muncul dalam sebuah kebocoran, misalnya, dapat dimanfaatkan untuk menyamar sebagai pemilik identitas, mencoba mengambil alih akun, atau menyusun profil seseorang. Risiko-risiko tersebut tidak berarti setiap kebocoran pasti menghasilkan kerugian yang sama. Akibatnya harus dinilai berdasarkan jenis data, cara data digunakan, pihak yang terlibat, dan kerugian yang dapat dibuktikan.
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah menyediakan dasar perlindungan yang penting. Pasal 46 mewajibkan Pengendali Data Pribadi memberitahukan kegagalan pelindungan secara tertulis paling lambat 3 × 24 jam kepada subjek data dan lembaga yang dimaksud dalam undang-undang. Pemberitahuan minimal memuat data yang terungkap, waktu dan cara pengungkapannya, serta upaya penanganan dan pemulihan. Dengan demikian, undang-undang tidak hanya mengenal pemberitahuan tentang insiden, tetapi juga menempatkan tindakan penanganan dan pemulihan dalam informasi yang wajib disampaikan.
Hak warga juga tidak berhenti pada pemberitahuan. Dalam ketentuan dan syarat yang ditetapkan undang-undang, subjek data memiliki hak untuk mengakses, memperbaiki, membatasi, serta meminta pengakhiran pemrosesan atau penghapusan data. Pasal 12 mengakui hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi. Sementara itu, Pasal 65 melarang perolehan, pengungkapan, atau penggunaan data pribadi secara melawan hukum menurut unsur masing-masing perbuatan. Karena itu, tidak tepat menyatakan bahwa hukum Indonesia sama sekali belum mengenal pemulihan bagi korban penyalahgunaan data.
Tantangannya terletak pada bagaimana hak-hak tersebut bekerja ketika data telah berpindah ke banyak pihak. Pengendali yang mengalami insiden mungkin dapat mengamankan sistemnya, tetapi belum tentu mampu mengetahui seluruh salinan yang beredar di luar kendalinya. Sebaliknya, subjek data sering tidak mengetahui ke mana harus mengajukan permintaan, informasi apa yang dapat diminta, atau tindakan apa yang realistis untuk membatasi risiko lanjutan. Kerumitan ini membutuhkan koordinasi dan prosedur yang dapat dijalankan, bukan sekadar penambahan istilah hak dalam peraturan.
Dalam konteks tersebut, gagasan hak atas pemulihan data, atau right to data remediation, dapat diajukan sebagai penguatan pelaksanaan hak yang telah diakui. Tujuannya bukan menciptakan anggapan bahwa seluruh data yang bocor pasti dapat ditarik kembali dari internet. Pemulihan perlu disesuaikan dengan risiko dan kewenangan masing-masing pihak: mengamankan akun yang terdampak, membatasi penyebaran lebih lanjut, menindaklanjuti permintaan penghapusan yang berdasar, menyediakan informasi yang dapat dipertanggungjawabkan, dan membuka jalur pengaduan serta tuntutan ganti rugi apabila syarat hukumnya terpenuhi.
Pelaksanaannya juga memerlukan penelusuran tanggung jawab yang proporsional. Undang-undang membedakan Pengendali Data Pribadi dan Prosesor Data Pribadi, termasuk keadaan ketika prosesor bertindak di luar perintah dan tujuan yang ditetapkan pengendali. Perbedaan ini penting karena tidak semua pihak dalam rantai pemrosesan mempunyai kewajiban yang sama. Ketika penyalahgunaan melibatkan pihak lain yang memperoleh data secara melawan hukum, pertanggungjawaban perlu ditentukan dari tindakan, kewenangan, dan unsur pelanggaran masing-masing, bukan dibebankan secara otomatis kepada satu pihak hanya karena namanya paling dikenal masyarakat.
Pemerintah berperan mengawasi dan menegakkan hukum, sedangkan pengendali serta pihak lain yang terikat ketentuan pelindungan data harus memenuhi kewajibannya. Penanganan kasus juga perlu membedakan kegagalan pengamanan sistem, penyalahgunaan oleh pihak yang memperoleh data secara melawan hukum, dan dampak yang benar-benar dialami subjek data. Satu peristiwa dapat melibatkan lebih dari satu persoalan hukum, tetapi hubungan sebab-akibat dan kewajiban masing-masing pihak tetap harus dibuktikan. Langkah pemulihan yang tepat dapat berbeda: perubahan kredensial mungkin diperlukan untuk akun tertentu, sedangkan koreksi catatan atau keberatan atas transaksi tidak sah memerlukan proses administratif dan dukungan bukti. Mengabaikan perbedaan itu berisiko menghasilkan kebijakan yang terdengar tegas tetapi sulit dijalankan oleh korban.
Bagi masyarakat, kejelasan prosedur merupakan kebutuhan mendesak: kepada siapa kejadian dilaporkan, tindakan pencegahan apa yang perlu diambil, bagaimana perkembangan penanganan dapat diketahui, dan jalur apa yang tersedia ketika timbul kerugian. Informasi seperti itu dapat mengurangi ketidakpastian tanpa menjanjikan bahwa semua akibat kebocoran dapat diselesaikan dalam waktu singkat.
Penguatan pemulihan juga harus memperhatikan keterbatasan nyata. Informasi mengenai pihak yang telah memperoleh salinan data mungkin tidak selalu dapat diketahui secara lengkap. Permintaan penghapusan pun tidak selalu dapat diberlakukan tanpa mempertimbangkan dasar pemrosesan, kewajiban penyimpanan, serta pengecualian menurut hukum. Oleh sebab itu, yang perlu dituntut adalah tindakan yang dapat dipertanggungjawabkan berdasarkan risiko dan kewenangan, disertai penjelasan terbuka mengenai langkah yang telah dilakukan dan langkah yang belum memungkinkan. Kejelasan batas tanggung jawab justru akan membantu warga memperoleh penanganan yang lebih dapat diandalkan.
Data pribadi boleh diproses untuk kegiatan ekonomi sepanjang memiliki dasar yang sah dan mematuhi ketentuan pelindungannya. Namun, nilai komersial data tidak menghilangkan hak orang yang diwakilinya. Keberhasilan pelindungan data tidak cukup diukur dari penemuan pelaku atau jumlah situs yang diblokir. Keberhasilan juga terlihat dari kemampuan mencegah penyalahgunaan berulang, menyediakan penanganan yang masuk akal, dan membuka pemulihan hukum bagi warga yang benar-benar dirugikan. Pemberitahuan kebocoran adalah bagian penting dari tanggung jawab, bukan akhir dari tanggung jawab itu.
Tulisan ini merupakan pandangan akademik pribadi penulis dan tidak mewakili pernyataan resmi universitas.
