Jerat Hukum Menyebarluaskan KTP Orang Lain

KTP memuat beragam informasi yang tergolong data pribadi dan dilindungi oleh negara. Karena itu, menyebarluaskan KTP milik orang lain tanpa hak dapat berujung pada sanksi pidana, denda, hingga sanksi administratif. Bagaimana ketentuan hukumnya? Berikut ulasan selengkapnya dari Meridian Hukum.

Pertanyaan

Data pribadi berupa KTP seorang wartawan disebarluaskan oleh seorang menteri. Apa hukumnya?

KTP sebagai Data Pribadi yang Dilindungi

Menurut Pasal 1 angka 14 UU 24/2013, kartu tanda penduduk elektronik atau yang biasa disebut KTP adalah kartu tanda penduduk yang dilengkapi cip sebagai identitas resmi penduduk yang menjadi bukti diri dan diterbitkan oleh instansi pelaksana.

Dalam KTP tercantum gambar lambang Garuda Pancasila dan peta wilayah Negara Kesatuan Republik Indonesia. Selain itu, KTP memuat elemen data penduduk, yaitu nomor induk kependudukan (NIK), nama, tempat tanggal lahir, jenis kelamin, agama termasuk kepercayaan, status perkawinan, golongan darah, alamat, pekerjaan, kewarganegaraan, pas foto, masa berlaku, tempat dan tanggal dikeluarkannya KTP, serta tanda tangan pemilik KTP (Pasal 64 ayat (1) UU 24/2013 juncto Putusan Mahkamah Konstitusi Nomor 97/PUU-XIV/2016).

Lalu, apakah KTP termasuk data pribadi? Untuk menjawabnya, perlu dipahami lebih dulu pengertian data pribadi. Berdasarkan Pasal 1 angka 1 UU PDP, data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasikan dengan informasi lainnya, baik secara langsung maupun tidak langsung, melalui sistem elektronik ataupun nonelektronik.

Data pribadi terbagi menjadi dua jenis, yakni data pribadi yang bersifat spesifik dan data pribadi yang bersifat umum (Pasal 4 ayat (1) UU PDP). Adapun data pribadi yang bersifat umum meliputi (Pasal 4 ayat (3) UU PDP):

1. nama lengkap;
2. jenis kelamin;
3. kewarganegaraan;
4. agama;
5. status perkawinan; dan/atau
6. data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Melihat definisi dan jenisnya, dapat dipastikan bahwa KTP termasuk sebagai data pribadi. Sebab, dalam KTP tercantum berbagai informasi yang tergolong data pribadi bersifat umum dan dilindungi oleh negara.

Perlindungan Data Pribadi Menurut UU PDP

Pelindungan data pribadi diatur selengkapnya dalam UU PDP beserta peraturan pelaksananya, yaitu PP 33/2026. Tindakan menyebarluaskan data pribadi dalam KTP sebagaimana terjadi pada kasus di atas, menurut UU PDP, termasuk salah satu bentuk pemrosesan data pribadi (Pasal 16 ayat (1) huruf e UU PDP).

Sebelum melakukan pemrosesan data pribadi, pengendali data pribadi (dalam kasus ini kementerian) wajib memiliki dasar pemrosesan data pribadi terlebih dahulu (Pasal 30 ayat (1) dan (2) PP 33/2026). Dasar pemrosesan data pribadi terdiri atas beberapa bentuk, salah satunya adalah persetujuan yang sah secara eksplisit dari subjek data pribadi (pemilik KTP) (Pasal 20 ayat (2) huruf a UU PDP), yang dilakukan secara tertulis atau terekam dan disampaikan baik secara elektronik maupun nonelektronik (Pasal 22 ayat (1) dan (2) UU PDP).

Selain itu, persetujuan yang sah secara eksplisit harus diperoleh dari subjek data pribadi secara bebas, sadar, spesifik, dan tidak ambigu (Pasal 32 ayat (2) PP 33/2026).

Dengan demikian, sudah jelas bahwa penyebarluasan KTP yang dilakukan tanpa dasar pemrosesan data pribadi, seperti persetujuan pemilik KTP, merupakan tindakan yang melanggar ketentuan peraturan perundang-undangan.

Terlebih, Pasal 36 UU PDP menegaskan bahwa dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menjaga kerahasiaan data pribadi. Selanjutnya, Pasal 47 UU PDP menyatakan bahwa pengendali data pribadi wajib bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip pelindungan data pribadi.

Meski demikian, kewajiban menjaga kerahasiaan data pribadi sebagaimana disebut dalam Pasal 36 UU PDP dikecualikan dalam rangka pelaksanaan ketentuan undang-undang untuk (Pasal 50 UU PDP):

1. kepentingan pertahanan dan keamanan nasional;
2. kepentingan proses penegakan hukum;
3. kepentingan umum dalam rangka penyelenggaraan negara; atau
4. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara.

Tanggung Jawab Menteri Dalam Negeri

Sebagaimana diketahui, KTP merupakan dokumen kependudukan sehingga Menteri Dalam Negeri adalah penanggung jawab yang memberikan hak akses data kependudukan dan data pribadi kepada petugas provinsi, petugas instansi pelaksana, serta pengguna (Pasal 79 ayat (2) dan Pasal 86 ayat (1) UU 24/2013). Pengguna yang dimaksud antara lain lembaga negara, kementerian/lembaga pemerintah nonkementerian, dan/atau badan hukum Indonesia (Penjelasan Pasal 79 ayat (2) UU 24/2013).

Baik petugas maupun pengguna dilarang menyebarluaskan data kependudukan yang tidak sesuai dengan kewenangannya. Ketentuan ini secara tegas diatur dalam Pasal 79 ayat (3) UU 24/2013.

Sanksi bagi Pelaku yang Menyebarluaskan KTP Tanpa Hak

Kami mengasumsikan bahwa perbuatan menyebarluaskan KTP yang dilakukan oleh menteri tersebut telah melanggar kewenangannya dan tidak terdapat alasan untuk mengecualikan kewajiban menjaga kerahasiaan data pribadi.

Jika demikian kasusnya, perbuatan tersebut dapat dijerat dan dikenai sanksi berdasarkan sejumlah pasal dalam UU PDP serta UU Adminduk beserta perubahannya.

Terhadap perbuatan mengakses database kependudukan (KTP) tanpa hak, pelaku dapat dijerat berdasarkan Pasal 95 UU Adminduk juncto Pasal II ayat (5) huruf c UU 1/2026 dengan sanksi pidana penjara paling lama 2 tahun dan/atau denda paling banyak kategori III, yaitu sebesar Rp50 juta (Pasal 79 ayat (1) huruf c UU 1/2023).

Masih berdasarkan UU Adminduk, setiap orang yang tanpa hak menyebarluaskan data kependudukan dan data pribadi, termasuk dalam hal ini KTP, dipidana berdasarkan Pasal 95A UU 24/2013 juncto Pasal II ayat (5) huruf c UU 1/2026 dengan sanksi pidana penjara paling lama 2 tahun dan/atau denda paling banyak kategori III, yaitu sebesar Rp50 juta (Pasal 79 ayat (1) huruf c UU 1/2023).

Selanjutnya, dalam UU PDP, setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya telah melanggar ketentuan Pasal 65 ayat (2) UU PDP. Pelanggaran terhadap pasal tersebut dapat dipidana dengan pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak kategori IV (Pasal 67 ayat (2) UU PDP juncto Pasal II ayat (5) huruf d UU 1/2026), yaitu sebesar Rp200 juta (Pasal 79 ayat (1) huruf d UU 1/2023).

Selain sanksi pidana, terdapat pula sanksi administratif yang dapat dikenakan menurut UU PDP. Sanksi administratif tersebut berupa (Pasal 57 ayat (1) dan (2) UU PDP):

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif.

Di sisi lain, pihak korban yang KTP-nya disebarluaskan memiliki hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan (Pasal 12 ayat (1) UU PDP).

Mengingat kementerian merupakan badan publik (Pasal 1 angka 9 UU PDP), pengajuan permintaan ganti rugi atas pelanggaran pemrosesan data pribadi dilaksanakan berdasarkan ketentuan peraturan perundang-undangan di bidang tata usaha negara (Pasal 109 PP 33/2026).

Demikian jawaban dari kami, semoga bermanfaat. Untuk memperdalam riset hukum Anda serta menelusuri koleksi peraturan perundang-undangan terkait secara terintegrasi, Anda dapat memanfaatkan layanan dan pusat data peraturan Meridian Hukum.

Dasar Hukum

1. Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan;
2. Undang-Undang Nomor 24 Tahun 2013 tentang Perubahan atas Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan;
3. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
4. Undang-Undang Nomor 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana;
5. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana;
6. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Putusan

Putusan Mahkamah Konstitusi Nomor 97/PUU-XIV/2016.