Data Breach Notification: Persyaratan UU PDP yang Wajib Dipahami Perusahaan

Pukul dua dini hari, tim IT sebuah platform e-commerce di Jakarta mendapati notifikasi aneh dari sistem monitoring mereka. Ribuan baris data pelanggan, mulai dari nomor telepon hingga alamat pengiriman, ternyata sempat diakses pihak tak dikenal selama beberapa jam sebelum akhirnya terdeteksi.

Pertanyaan pertama yang muncul di ruang rapat darurat bukan “bagaimana menutup celahnya”, melainkan “siapa yang harus kami beri tahu, dan dalam berapa jam?” Skenario semacam ini kini menjadi kekhawatiran nyata bagi banyak pengendali data di Indonesia, bukan lagi sekadar simulasi di atas kertas.

Menurut IBM Cost of a Data Breach Report 2026, rata-rata biaya global akibat satu insiden kebocoran data mencapai 4,99 juta dolar AS, naik 12 persen dibanding tahun sebelumnya dan menjadi rekor tertinggi sepanjang sejarah laporan tersebut. Angka itu belum menghitung denda administratif maupun gugatan perdata yang bisa menyusul apabila perusahaan terlambat melapor ke pihak berwenang.

Di sinilah data breach notification menjadi elemen krusial, bukan sekadar formalitas administratif yang disusun setelah insiden mereda. Undang-Undang Pelindungan Data Pribadi (UU PDP) mengatur kewajiban ini secara rinci, lengkap dengan tenggat waktu, isi minimal pemberitahuan, dan sanksi bagi pihak yang lalai menjalankannya.

Apa Itu Data Breach Notification?

Secara sederhana, data breach notification adalah kewajiban pengendali data pribadi untuk memberi tahu pihak berkepentingan begitu terjadi kegagalan perlindungan data. Definisi sesederhana itu justru sering membuat orang salah kaprah, seolah cukup mengirim satu email permintaan maaf kepada pelanggan yang terdampak.

Padahal, dalam kerangka UU PDP, kewajiban ini memiliki tiga elemen yang saling terkait: siapa yang harus diberi tahu, kapan batas waktunya, dan informasi apa saja yang wajib dicantumkan di dalamnya. Ketiganya diatur secara eksplisit dalam Pasal 46, bukan diserahkan pada interpretasi masing-masing perusahaan.

Bayangkan sebuah rumah sakit swasta kehilangan kendali atas server yang menyimpan rekam medis lima ribu pasien akibat serangan ransomware. Begitu insiden itu diketahui manajemen, jam mulai berjalan, dan rumah sakit wajib menyusun serta mengirimkan notifikasi tertulis sebelum tenggat 3×24 jam berakhir.

Tujuan dari kewajiban ini bukan untuk mempermalukan perusahaan yang menjadi korban peretasan. Notifikasi yang cepat memberi ruang bagi subjek data untuk mengambil langkah pencegahan lanjutan, misalnya mengganti kata sandi atau memblokir kartu pembayaran yang datanya ikut bocor.

Dasar Hukum Data Breach Notification dalam UU PDP

Kewajiban notifikasi kebocoran data tidak muncul dari satu pasal tunggal, melainkan tersebar dalam beberapa ketentuan yang saling melengkapi. Berikut empat pasal kunci yang perlu dipahami pengendali data sebelum insiden benar-benar terjadi.

Pasal 46 Ayat (1): Batas Waktu 3×24 Jam

Ayat ini mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis paling lambat 3×24 jam sejak kegagalan perlindungan data diketahui. Penerima notifikasi ada dua, yaitu subjek data pribadi yang terdampak dan lembaga pengawas, yang saat ini fungsinya dijalankan oleh Direktorat Jenderal Pengawasan Ruang Digital di Kementerian Komunikasi dan Digital.

Sebagai gambaran, sebuah startup fintech menyadari database pinjamannya bocor pada Senin pukul sepuluh pagi. Batas akhir pengiriman notifikasi jatuh pada Kamis pukul sepuluh pagi, tanpa toleransi tambahan meski jatuh pada akhir pekan.

Pasal 46 Ayat (2): Isi Minimal Notifikasi

Ayat kedua menegaskan bahwa notifikasi tertulis tidak boleh berisi permintaan maaf generik tanpa substansi. Ada tiga informasi wajib yang harus tercantum di dalamnya:

• Data pribadi yang terungkap akibat insiden
• Kapan dan bagaimana data tersebut terungkap
• Upaya penanganan dan pemulihan yang sudah dilakukan pengendali data

Notifikasi yang memenuhi standar ini akan menyebutkan secara spesifik, misalnya, bahwa nama, nomor KTP, dan riwayat transaksi pelanggan periode Januari sampai Maret terekspos melalui celah pada API pihak ketiga. Dokumen itu juga perlu menjelaskan langkah konkret yang sudah diambil, seperti menonaktifkan sementara akses API tersebut dan mengganti seluruh kredensial sistem yang terdampak.

Pasal 46 Ayat (3): Notifikasi kepada Masyarakat

Dalam kondisi tertentu, kewajiban pemberitahuan tidak berhenti pada subjek data dan lembaga pengawas saja. Jika kebocoran data mengganggu pelayanan publik atau berdampak serius terhadap kepentingan masyarakat luas, pengendali data wajib mengumumkannya secara terbuka.

Kasus kebocoran data pada layanan pemerintah daerah biasanya masuk kategori ini karena menyangkut data warga dalam jumlah besar. Perusahaan swasta dengan basis pengguna jutaan orang, seperti aplikasi transportasi daring atau dompet digital, berpotensi menghadapi kewajiban serupa apabila dampaknya dinilai signifikan bagi masyarakat.

Pasal 47: Akuntabilitas Pengendali Data

Selain kewajiban notifikasi, Pasal 47 menegaskan bahwa pengendali data pribadi bertanggung jawab penuh atas seluruh proses pemrosesan data, bukan hanya pada saat insiden terjadi. Artinya, perusahaan harus mampu menunjukkan bukti bahwa prinsip perlindungan data sudah diterapkan sejak awal, bukan disusun mendadak begitu kebocoran terungkap ke publik.

Siapa yang Wajib Melakukan Notifikasi?

Kewajiban ini tidak otomatis berlaku untuk semua pihak yang bersentuhan dengan data pribadi. UU PDP membedakan dua peran dengan tanggung jawab yang berbeda satu sama lain.

• Pengendali data pribadi: pihak yang menentukan tujuan dan cara pemrosesan data, misalnya perusahaan e-commerce yang mengumpulkan data pelanggan untuk keperluan transaksi dan pemasaran.
• Prosesor data pribadi: pihak yang memproses data atas nama pengendali, misalnya vendor penyedia layanan cloud storage atau penyedia jasa pengiriman.

Kewajiban notifikasi ke subjek data dan lembaga melekat pada pengendali, bukan pada prosesor. Namun jika kebocoran terjadi di sisi vendor cloud, pengendali tetap wajib melapor karena merekalah yang bertanggung jawab secara hukum atas data tersebut, sehingga klausul kewajiban notifikasi dari vendor ke pengendali sebaiknya dicantumkan tegas dalam kontrak kerja sama sejak awal.

Kepada Siapa Notifikasi Harus Disampaikan?

Pertanyaan berikutnya yang sering muncul adalah, notifikasi ini harus dikirim ke mana saja. UU PDP mengatur tiga kemungkinan penerima, tergantung skala dan dampak insiden yang terjadi.

• Subjek data pribadi yang datanya terdampak langsung oleh insiden
• Lembaga pengawas, saat ini di bawah Kementerian Komunikasi dan Digital
• Masyarakat umum, apabila insiden mengganggu layanan publik atau berdampak luas

Sebuah aplikasi kesehatan digital yang datanya bocor cukup memberi tahu subjek data dan lembaga jika dampaknya terbatas pada beberapa ratus pengguna saja. Namun begitu insiden itu melibatkan jutaan data rekam medis dan berpotensi mengganggu layanan kesehatan publik, kewajiban notifikasi kepada masyarakat pun ikut berlaku.

Prosedur dan Tahapan Melapor dalam 3×24 Jam

Batas waktu tiga hari terdengar longgar di atas kertas, tapi dalam praktiknya sangat ketat jika perusahaan belum punya prosedur baku. Berikut tahapan yang umumnya harus dilalui sejak insiden terdeteksi hingga notifikasi benar-benar terkirim.

1. Deteksi dan konfirmasi insiden, memastikan kejadian benar-benar merupakan kegagalan perlindungan data, bukan sekadar kesalahan sistem biasa.
2. Investigasi awal, menentukan data apa saja yang terdampak dan sejak kapan celah tersebut mulai dieksploitasi.
3. Penyusunan notifikasi, menyusun dokumen tertulis sesuai isi minimal pada Pasal 46 ayat (2).
4. Pengiriman ke subjek data dan lembaga pengawas, dilakukan sebelum tenggat 3×24 jam berakhir.
5. Evaluasi kebutuhan notifikasi publik, menilai apakah dampaknya cukup luas untuk masuk kategori Pasal 46 ayat (3).

Perusahaan yang sudah memiliki tim tanggap insiden biasanya bisa menyelesaikan empat tahap pertama dalam waktu kurang dari dua puluh empat jam. Sebaliknya, perusahaan tanpa prosedur baku kerap baru menyadari skala kebocoran setelah lebih dari separuh waktu tenggat terlewati, karena tahap investigasi memakan waktu jauh lebih lama dari perkiraan awal.

Konsekuensi Jika Perusahaan Gagal Melakukan Notifikasi

Kegagalan memenuhi kewajiban notifikasi bukan sekadar pelanggaran administratif ringan yang bisa diselesaikan dengan surat teguran biasa. Pasal 57 UU PDP mengatur rangkaian sanksi yang dapat dikenakan secara bertahap maupun sekaligus kepada pengendali data yang lalai.

• Peringatan tertulis dari lembaga pengawas
• Penghentian sementara kegiatan pemrosesan data pribadi
• Penghapusan atau pemusnahan data pribadi
• Denda administratif, paling tinggi dua persen dari pendapatan tahunan perusahaan

Sebagai gambaran, perusahaan dengan pendapatan tahunan seratus miliar rupiah yang terbukti lalai melapor kebocoran data berpotensi menghadapi denda hingga dua miliar rupiah, di luar biaya pemulihan reputasi dan kemungkinan gugatan dari pelanggan yang dirugikan. Angka ini belum termasuk ancaman pidana pada kasus tertentu, seperti pengungkapan data secara sengaja dan melawan hukum, yang diatur terpisah dalam UU PDP.

Mengapa Kesiapan Notifikasi Kian Mendesak

Tekanan untuk siap merespons dalam hitungan jam bukan cuma soal kepatuhan hukum di Indonesia semata. Tren keamanan siber secara global menunjukkan bahwa waktu yang tersedia bagi perusahaan untuk bereaksi justru semakin sempit dari tahun ke tahun.

Laporan IBM turut mencatat bahwa satu dari empat pelanggaran data yang bersifat jahat kini melibatkan kecerdasan buatan, meningkat 56 persen dibanding tahun sebelumnya, dengan biaya rata-rata mencapai 6 juta dolar AS per insiden. Serangan yang dibantu AI cenderung bergerak jauh lebih cepat, sehingga jendela waktu antara akses ilegal pertama dan eksploitasi penuh menjadi lebih singkat dibanding beberapa tahun lalu.

Verizon Data Breach Investigations Report 2026 menambahkan gambaran serupa dari sisi penyebab insiden. Laporan itu menemukan bahwa unsur manusia terlibat dalam 62 persen kasus kebocoran data di seluruh dunia, mulai dari kesalahan konfigurasi hingga kredensial yang dicuri lewat phishing.

Kombinasi antara serangan yang makin cepat dan celah manusia yang masih lebar membuat tenggat 3×24 jam pada UU PDP terasa lebih menantang dari yang terlihat di atas kertas. Perusahaan yang masih mengandalkan proses manual untuk mendeteksi dan menyusun notifikasi berisiko kehabisan waktu sebelum sempat memenuhi kewajibannya kepada regulator.

Kesimpulan

Data breach notification dalam UU PDP bukan sekadar prosedur administratif yang bisa disusun terburu-buru begitu insiden terjadi. Kewajiban ini menuntut kesiapan menyeluruh, mulai dari sistem deteksi dini, tim tanggap insiden, hingga template notifikasi yang sudah disiapkan jauh sebelum kebocoran benar-benar terjadi.

Kegagalan memenuhi tenggat 3×24 jam bisa berujung pada sanksi administratif, denda hingga dua persen pendapatan tahunan, dan yang tak kalah merusak, hilangnya kepercayaan pelanggan. Di tengah ancaman siber yang bergerak semakin cepat seperti terlihat dari data IBM dan Verizon di atas, menunggu insiden terjadi baru menyusun prosedur bukan lagi pilihan yang bisa diambil perusahaan yang serius menjaga data penggunanya.

Bagi perusahaan yang ingin memastikan kesiapan menghadapi kewajiban UU PDP tanpa harus membangun semuanya dari nol, Adaptist PRIVE dari Accelist Adaptist Consulting hadir sebagai pendamping kepatuhan perlindungan data pribadi, mulai dari asesmen risiko, penyusunan prosedur tanggap insiden, hingga pendampingan penyusunan notifikasi kebocoran data yang sesuai dengan Pasal 46 UU PDP. Dengan pendekatan yang disesuaikan kebutuhan bisnis Anda, Adaptist PRIVE membantu perusahaan merespons insiden secara tepat waktu sekaligus meminimalkan risiko sanksi hukum di kemudian hari.

FAQ