Banyak pelaku usaha tergoda memanfaatkan nomor telepon dan alamat surel yang berserakan di internet—misalnya yang tercantum pada situs jual beli—untuk menyebar iklan atau penawaran produk. Data itu memang mudah diperoleh dan tampak "terbuka". Namun, mudah diakses tidak berarti bebas dipakai. Memakai data pribadi milik orang lain untuk keperluan promosi tanpa dasar hukum yang sah adalah perbuatan yang melanggar hukum dan berpotensi menjerat pelakunya dengan sanksi administratif sekaligus pidana.
Berikut ulasan tim Meridian Hukum mengenai batasan hukum penggunaan data pribadi dari internet untuk kepentingan pemasaran.
Aturan Main Iklan Elektronik
Kegiatan mengirim penawaran melalui pesan singkat, surel, atau aplikasi percakapan termasuk kategori iklan elektronik. Peraturan Menteri Perdagangan Nomor 19 Tahun 2026 tentang Penyelenggaraan Usaha Perdagangan Melalui Sistem Elektronik mendefinisikan iklan elektronik sebagai informasi komersial atas barang dan/atau jasa yang dimuat dan disebarluaskan melalui sarana komunikasi elektronik.
Pelaku usaha memang diperbolehkan membuat dan menyampaikan iklan elektronik untuk memasarkan produknya. Akan tetapi, kebebasan itu dibatasi oleh dua rambu penting: substansi iklan tidak boleh bertentangan dengan peraturan perundang-undangan, dan penyelenggaraannya wajib menghormati ketentuan tentang pelindungan privasi serta data pribadi. Artinya, sarana promosinya boleh, tetapi cara memperoleh datanya tetap harus tunduk pada hukum pelindungan data pribadi.
Nomor Telepon dan Email adalah Data Pribadi
Poin yang sering luput dipahami adalah bahwa nomor telepon dan alamat surel tergolong data pribadi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengartikan data pribadi sebagai data tentang seseorang yang teridentifikasi atau dapat diidentifikasi, baik secara tersendiri maupun apabila dikombinasikan dengan informasi lain.
UU PDP secara tegas memasukkan nomor telepon dan alamat surel ke dalam jenis data pribadi yang bersifat umum, yaitu data yang bila dikombinasikan dapat dipakai untuk mengenali identitas seseorang. Dengan demikian, mengumpulkan kontak-kontak tersebut dari internet sama saja dengan memproses data pribadi milik orang lain.
Setiap Pemrosesan Harus Berdasar Hukum yang Sah
Pihak yang menentukan tujuan dan mengendalikan jalannya pemrosesan data pribadi disebut pengendali data pribadi—dalam konteks ini, pelaku usaha yang mengumpulkan kontak untuk berpromosi. Sebelum memproses data, pengendali wajib memiliki dasar pemrosesan yang sah.
Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai aturan pelaksana UU PDP menegaskan kewajiban tersebut dan menempatkan persetujuan yang sah dan eksplisit dari pemilik data untuk satu atau beberapa tujuan tertentu sebagai salah satu dasar pemrosesan yang utama. Perlu diingat pula bahwa menurut UU PDP, kegiatan memperoleh dan mengumpulkan data pribadi sudah termasuk bentuk pemrosesan. Jadi, begitu Anda menyalin nomor atau surel orang lain dari internet, saat itu juga Anda telah melakukan pemrosesan yang menuntut adanya dasar hukum.
Konsekuensinya jelas: sekalipun data ditemukan secara terbuka di internet, penggunaannya untuk promosi tetap memerlukan izin dari pemiliknya. Ketersediaan data di ruang publik bukanlah bentuk persetujuan untuk dijadikan sasaran iklan.
Ancaman Sanksi Administratif
Pelanggaran atas ketentuan pemrosesan data pribadi dapat berujung pada sanksi administratif. UU PDP memungkinkan penjatuhan sanksi berupa:
- peringatan tertulis;
- penghentian sementara kegiatan pemrosesan data pribadi;
- penghapusan atau pemusnahan data pribadi; dan
- denda administratif paling banyak 1% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran.
Ancaman Sanksi Pidana
Di luar ranah administratif, tindakan mengumpulkan data pribadi orang lain secara melawan hukum juga dapat dipidana. Ketentuan pidana pada UU PDP kini dibaca bersama Kitab Undang-Undang Hukum Pidana yang baru, yaitu Undang-Undang Nomor 1 Tahun 2023, sebagaimana ketentuan peralihannya diatur dalam Undang-Undang Nomor 1 Tahun 2026.
Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud menguntungkan diri sendiri atau orang lain dapat diancam pidana penjara paling lama 5 tahun dan/atau pidana denda kategori IV, yakni hingga Rp200 juta.
Ancaman tidak berhenti di situ. UU PDP membuka ruang penjatuhan pidana tambahan berupa perampasan keuntungan atau harta hasil tindak pidana serta pembayaran ganti kerugian. Apabila pelanggaran dilakukan oleh korporasi, pertanggungjawaban pidana dapat dikenakan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi itu sendiri. Bagi korporasi, pidana denda dapat diperberat hingga sepuluh kali lipat dari ancaman denda maksimal, dan masih dapat ditambah pidana lain seperti pembekuan atau pelarangan sebagian kegiatan usaha, penutupan tempat usaha, pencabutan izin, sampai pembubaran korporasi.
Hak Pemilik Data untuk Menuntut Ganti Rugi
Pemilik data (subjek data pribadi) tidak berada dalam posisi pasif. UU PDP memberi mereka hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya. Dengan kata lain, korban penyalahgunaan data berpeluang menempuh jalur perdata untuk menuntut kompensasi.
Kesimpulan
Data yang mudah ditemukan di internet bukanlah data yang bebas dieksploitasi. Mengumpulkan nomor telepon atau surel orang lain lalu memakainya untuk promosi tanpa persetujuan yang sah merupakan pelanggaran terhadap UU PDP dan aturan pelaksananya, sekaligus berbenturan dengan ketentuan iklan elektronik. Risikonya nyata: mulai dari denda administratif, pidana penjara hingga 5 tahun, denda pidana sampai Rp200 juta, hingga kewajiban membayar ganti rugi kepada pemilik data.
Sebelum menjalankan kampanye pemasaran berbasis data, pastikan Anda mengantongi dasar pemrosesan yang sah—terutama persetujuan eksplisit dari pemilik data. Untuk memahami kewajiban ini lebih dalam dan menelusuri peraturan terkait secara lengkap, Anda dapat memanfaatkan pusat referensi hukum dan layanan analisis dari Meridian Hukum.