Ragam Tindak Pidana dalam Pelindungan Data Pribadi

Kebocoran dan penyalahgunaan data pribadi kini menjadi salah satu risiko hukum paling nyata bagi individu maupun pelaku usaha. Melalui UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), Indonesia menegaskan bahwa pelanggaran atas data pribadi bukan sekadar persoalan administratif, melainkan dapat berujung pada sanksi pidana. Lalu, perbuatan apa saja yang tergolong tindak pidana, siapa yang dapat dijerat, dan seberapa berat ancaman hukumannya? Berikut ulasan Meridian Hukum.

Memahami Apa Itu Data Pribadi

Secara umum, data pribadi dapat dipahami sebagai data mengenai seseorang yang dapat dikenali atau diidentifikasi, baik berdiri sendiri maupun ketika digabungkan dengan informasi lain, dan baik melalui sistem elektronik maupun nonelektronik.

UU PDP membagi data pribadi ke dalam dua jenis:

1. Data pribadi yang bersifat spesifik, seperti data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, serta data lain yang ditetapkan oleh peraturan perundang-undangan.
2. Data pribadi yang bersifat umum, seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta kombinasi data lain yang dapat dipakai untuk mengenali seseorang.

Pembedaan ini penting karena data yang bersifat spesifik menuntut perlindungan dan kehati-hatian yang lebih tinggi dalam pengelolaannya.

Empat Bentuk Utama Tindak Pidana Menurut UU PDP

UU PDP mengelompokkan perbuatan yang diancam pidana ke dalam empat kategori pokok.

1. Perolehan atau Pengumpulan Data Secara Melawan Hukum

Berdasarkan Pasal 67 ayat (1) UU No. 27 Tahun 2022, setiap orang yang secara sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi milik orang lain demi keuntungan diri sendiri atau pihak lain, sehingga berpotensi merugikan pemilik data, dapat dijerat dengan:

• pidana penjara paling lama 5 tahun; dan/atau
• pidana denda paling banyak Rp5 miliar.

2. Pengungkapan Data Tanpa Hak

Pasal 67 ayat (2) UU PDP menyasar perbuatan mengungkapkan data pribadi milik orang lain secara sengaja dan melawan hukum, dengan ancaman:

• pidana penjara paling lama 4 tahun; dan/atau
• pidana denda paling banyak Rp4 miliar.

Kategori ini kerap menjerat pelaku usaha yang memperjualbelikan data nasabah atau membagikan data (data sharing) tanpa persetujuan yang sah dari pemilik data.

3. Penggunaan Data Tanpa Hak

Menurut Pasal 67 ayat (3) UU PDP, penggunaan data pribadi milik orang lain secara sengaja dan melawan hukum diancam dengan:

• pidana penjara paling lama 5 tahun; dan/atau
• pidana denda paling banyak Rp5 miliar.

4. Pemalsuan Data Pribadi

Pasal 68 UU PDP mengatur perbuatan membuat data pribadi palsu atau memalsukan data pribadi secara sengaja untuk menguntungkan diri sendiri atau orang lain yang dapat merugikan pihak lain. Ancamannya paling berat di antara keempat kategori, yaitu:

• pidana penjara paling lama 6 tahun; dan/atau
• pidana denda paling banyak Rp6 miliar.

Pidana Tambahan bagi Pelaku Perseorangan

Selain pidana pokok di atas, Pasal 69 UU PDP memungkinkan hakim menjatuhkan pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh dari tindak pidana, serta kewajiban membayar ganti kerugian.

Pertanggungjawaban Pidana Korporasi

Bagi investor dan pemilik bisnis, salah satu ketentuan yang paling perlu diperhatikan adalah pengaturan tanggung jawab korporasi. Pasal 70 ayat (1) UU PDP menyatakan bahwa apabila tindak pidana pada Pasal 67 dan Pasal 68 dilakukan oleh korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat (beneficial owner), dan/atau korporasi itu sendiri.

Denda yang Berlipat Ganda

Pasal 70 ayat (2) dan (3) UU PDP menegaskan bahwa terhadap korporasi hanya dijatuhkan pidana denda, dengan besaran paling banyak 10 kali lipat dari maksimum denda yang diancamkan bagi perseorangan. Sebagai gambaran, apabila ancaman denda bagi individu adalah Rp5 miliar, maka korporasi dapat dikenai denda hingga Rp50 miliar.

Pidana Tambahan yang Dapat Menghentikan Bisnis

Pasal 70 ayat (4) UU PDP memberi ruang bagi hakim untuk menjatuhkan pidana tambahan kepada korporasi berupa:

1. perampasan keuntungan dan/atau harta kekayaan hasil tindak pidana;
2. pembekuan seluruh atau sebagian kegiatan usaha korporasi;
3. pelarangan permanen untuk melakukan perbuatan tertentu;
4. penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan korporasi;
5. pelaksanaan kewajiban yang sebelumnya dilalaikan;
6. pembayaran ganti kerugian;
7. pencabutan izin; dan
8. pembubaran korporasi.

Rangkaian sanksi ini menunjukkan bahwa risiko hukum atas pengelolaan data pribadi yang buruk dapat berujung pada berhentinya kegiatan usaha secara permanen.

Penutup

UU PDP menempatkan pelindungan data pribadi sebagai kewajiban serius yang disertai ancaman pidana, baik bagi individu maupun korporasi beserta para pengendalinya. Karena itu, setiap pelaku usaha perlu memastikan bahwa proses perolehan, pengungkapan, penggunaan, dan pengelolaan data pribadi dilakukan sesuai koridor hukum. Untuk kajian dan referensi hukum lainnya, Anda dapat mengandalkan Meridian Hukum sebagai rujukan.

Dasar Hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi