UU PDP untuk Pemilik Bisnis: Kewajiban 3×24 Jam dan Denda 2 Persen Pendapatan

Undang-Undang Perlindungan Data Pribadi mewajibkan perusahaan melaporkan kebocoran data dalam 3 kali 24 jam sejak insiden diketahui. Sanksi administratifnya mencakup denda hingga 2 persen dari pendapatan tahunan, sementara sanksi pidana untuk korporasi bisa mencapai Rp50 miliar untuk perolehan data secara melawan hukum, Rp40 miliar untuk pengungkapan, dan Rp60 miliar untuk pemalsuan data. Tulisan ini merangkum kewajiban yang paling sering terlewat oleh perusahaan menengah, bukan tinjauan hukum lengkap.

Kewajiban yang paling sering terlewat

Melaporkan kebocoran dalam 3 kali 24 jam. Tenggat ini dihitung sejak insiden diketahui, bukan sejak insiden selesai ditangani. Banyak perusahaan menunda pelaporan sambil menyelidiki, dan justru itu yang menambah masalah. Kalau kebocoran mengganggu layanan publik atau berdampak signifikan pada kepentingan umum, pengendali data juga harus menerbitkan pemberitahuan publik.

Menunjuk pejabat pelindungan data. Kewajiban ini berlaku bagi organisasi dengan kriteria tertentu, termasuk yang memproses data pribadi dalam skala besar. Banyak perusahaan menengah mengira ini hanya untuk korporasi besar, padahal yang menentukan adalah skala pemrosesan, bukan ukuran perusahaan.

Menerapkan pengamanan teknis dan organisasional. Kata organisasional sering diabaikan. Yang dimaksud bukan cuma perangkat keamanan, melainkan juga aturan siapa boleh mengakses apa, prosedur saat karyawan keluar, dan pencatatan pemrosesan data.

Perlu dicatat, aturan turunan UU PDP masih berproses. Artinya beberapa detail teknis pelaksanaan berpotensi berubah, dan status terbarunya sebaiknya diperiksa dengan penasihat hukum sebelum menyusun kebijakan formal.

Data pemasaran adalah titik paling rawan

Bagi sebagian besar perusahaan menengah, data pribadi terbesar justru tidak berada di sistem inti, melainkan tersebar di alat pemasaran dan penjualan.

• Formulir di situs yang mengumpulkan nama, nomor, dan email, sering tanpa penjelasan data itu dipakai untuk apa.
• Daftar kontak di alat pengiriman email dan pesan, termasuk daftar lama yang tidak pernah dibersihkan.
• Basis data pelanggan di sistem penjualan, yang sering bisa diunduh utuh oleh siapa pun yang punya akses.
• Data yang dibagikan ke pihak ketiga seperti agensi dan penyedia alat, yang sering tidak pernah diinventarisasi.

Titik terakhir yang paling sering luput. Ketika data pelanggan Anda ada di sistem pihak lain, kewajiban Anda sebagai pengendali data tidak ikut berpindah.

Checklist yang bisa dikerjakan bulan ini

• Buat daftar tempat data pribadi berada. Semua sistem, semua spreadsheet, semua pihak ketiga. Tanpa daftar ini, kewajiban pelaporan mustahil dipenuhi dalam 3 kali 24 jam karena Anda tidak tahu apa yang bocor.
• Perbaiki formulir pengumpulan data. Cantumkan tujuan pemakaian, berapa lama disimpan, dan cara menariknya kembali. Persetujuan yang tidak menjelaskan tujuan bukan persetujuan yang sah.
• Bersihkan daftar lama. Data yang tidak lagi dipakai untuk tujuan awalnya bukan aset, melainkan kewajiban.
• Cabut akses yang tidak perlu. Luas kerusakan saat terjadi insiden ditentukan oleh berapa banyak orang yang bisa mengunduh data utuh.
• Periksa perjanjian dengan pihak ketiga. Pastikan ada kewajiban mereka memberi tahu Anda saat terjadi insiden, karena tenggat 3 kali 24 jam tetap berlaku untuk Anda.
• Tulis prosedur insiden satu halaman. Siapa yang dihubungi, siapa yang memutuskan, siapa yang berbicara ke luar, dan apa yang dicatat.

Hubungannya dengan risiko yang sedang meningkat

Kewajiban ini bukan latihan administratif. Badan Siber dan Sandi Negara mencatat 1,52 miliar serangan siber sepanjang 1 Januari sampai 15 April 2026, dan serangan ransomware naik 67 persen pada periode 2025 sampai 2026 dengan pola pemerasan ganda yang kini menjadi standar. Artinya kemungkinan data dicuri lalu dibocorkan, bukan sekadar dikunci, jauh lebih besar daripada beberapa tahun lalu. Kami membahasnya terpisah di tulisan tentang kesiapan perusahaan menengah menghadapi serangan siber.

Ada juga jalur kebocoran yang tidak terekam sama sekali, yaitu ketika karyawan menempelkan data pelanggan ke alat AI lewat akun pribadi. Perusahaan tidak bisa melaporkan sesuatu yang tidak pernah dicatatnya, dan ini kami bahas di tulisan tentang shadow AI di perusahaan.

Pertanyaan yang sering diajukan

Berapa lama waktu melaporkan kebocoran data menurut UU PDP?

Pengendali data wajib melaporkan kebocoran data pribadi dalam waktu 3 kali 24 jam sejak insiden diketahui. Jika kebocoran mengganggu layanan publik atau berdampak signifikan terhadap kepentingan umum, pengendali juga harus menerbitkan pemberitahuan publik.

Berapa sanksi pelanggaran UU PDP bagi perusahaan?

Sanksi administratif mencakup peringatan tertulis, penghentian sementara pemrosesan data, penghapusan data, serta denda administratif hingga 2 persen dari pendapatan tahunan. Untuk tindak pidana korporasi, dendanya dapat mencapai Rp50 miliar untuk perolehan data secara melawan hukum, Rp40 miliar untuk pengungkapan, dan Rp60 miliar untuk pemalsuan data.

Apakah perusahaan menengah wajib menunjuk pejabat pelindungan data?

Kewajiban ini berlaku bagi organisasi dengan kriteria tertentu, termasuk yang memproses data pribadi dalam skala besar. Yang menentukan adalah skala pemrosesan data, bukan ukuran perusahaan.

Di mana data pribadi paling rawan bagi perusahaan menengah?

Umumnya di alat pemasaran dan penjualan, yaitu formulir situs, daftar kontak di alat pengiriman email dan pesan, basis data pelanggan di sistem penjualan, serta data yang dibagikan ke agensi dan penyedia alat pihak ketiga.

Sumber data

• Undang-Undang Perlindungan Data Pribadi, ketentuan kewajiban pelaporan, penunjukan pejabat pelindungan data, dan sanksi administratif
• Ketentuan sanksi pidana bagi korporasi dalam UU PDP
• Badan Siber dan Sandi Negara, data serangan siber 1 Januari sampai 15 April 2026

Tulisan ini bersifat informasi umum dan bukan nasihat hukum. Aturan turunan UU PDP masih berproses, sehingga detail pelaksanaannya sebaiknya diperiksa dengan penasihat hukum sebelum kebijakan formal disusun.