Sanksi UU PDP: Berapa Sebenarnya Biaya Ketidakpatuhan

Pembahasan sanksi UU PDP biasanya menyusut menjadi satu angka saja, umumnya angka 2 persen. Itu menyesatkan. UU 27/2022 menciptakan tiga lapis konsekuensi yang berbeda dan berjalan sendiri-sendiri: sanksi administratif dari lembaga pengawas, tanggung jawab perdata kepada subjek data yang dirugikan, serta ketentuan pidana yang menjangkau individu maupun korporasi.

Satu organisasi bisa menghadapi lebih dari satu lapis untuk insiden yang sama. Denda administratif tidak menghapus hak subjek data menuntut ganti rugi, dan keduanya tidak menghalangi proses pidana bila perbuatannya memenuhi unsur. Merencanakan hanya lapis administratif berarti meremehkan eksposur yang sebenarnya.

Masa transisi dua tahun sejak pengesahan Oktober 2022 telah berakhir, sehingga kewajiban ini berlaku penuh. Panduan ini ditujukan bagi pemimpin keamanan dan kepatuhan yang perlu mengukur risiko, bukan nasihat hukum. Sektor Anda mungkin menambah kewajiban di atasnya: lembaga keuangan juga tunduk pada OJK, dan insiden pada sistem elektronik dapat melibatkan BSSN.

Sanksi administratif adalah lapis yang paling sering dihadapi lebih dulu. Sifatnya berjenjang: peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi yang diproses secara melawan hukum, dan denda administratif.

Denda administratif dibatasi maksimal 2 persen dari pendapatan tahunan atau penerimaan tahunan. Dua hal lebih penting daripada persentasenya. Pertama, batas itu dihitung dari pendapatan, bukan laba, sehingga tidak ikut mengecil saat kinerja usaha sedang buruk. Kedua, sanksi penghentian dan penghapusan sering kali lebih mengganggu daripada dendanya. Perintah menghentikan pemrosesan dapat menghentikan onboarding nasabah; perintah menghapus data yang diproses melawan hukum dapat menghilangkan catatan yang dibutuhkan bisnis.

Bagi bank atau fintech menengah di Indonesia, sanksi operasional biasanya justru risiko yang lebih tajam. Modelkan bersama dendanya, jangan anggap persentase itu keseluruhan ceritanya.

Pasal 67 memuat inti ketentuan pidana. Memperoleh atau mengumpulkan data pribadi yang bukan miliknya secara melawan hukum dengan maksud menguntungkan diri sendiri diancam pidana penjara paling lama lima tahun dan denda paling banyak Rp5 miliar. Ketentuan terkait mengatur pengungkapan dan penggunaan data pribadi milik orang lain secara melawan hukum.

Ambangnya adalah perbuatan melawan hukum yang disertai maksud, bukan sekadar celah kepatuhan. Kesalahan konfigurasi yang membuka basis data kecil kemungkinannya dituntut dengan Pasal 67. Karyawan yang mengekspor daftar nasabah lalu menjualnya jelas masuk lingkupnya, begitu pula pihak luar yang melakukan phishing untuk mencuri kredensial demi mencapai data tersebut.

Inilah ketentuan yang paling langsung menghubungkan pelindungan data dengan perilaku karyawan. Sebagian besar akses melawan hukum terhadap data pribadi berawal dari manusia, entah orang dalam yang sengaja atau pegawai yang berhasil diperdaya.

Bila tindak pidana dilakukan oleh atau atas nama korporasi, hukum menjangkau badan usahanya, bukan hanya individu yang terlibat. Pidana tambahan yang tersedia terhadap korporasi mencakup perampasan keuntungan atau aset yang diperoleh dari tindak pidana, pembekuan sebagian atau seluruh kegiatan usaha, dan pada kasus paling berat pembubaran korporasi.

Pembekuan kegiatan usaha layak diperhatikan siapa pun yang menyusun argumen risiko untuk direksi. Bagi lembaga keuangan yang diawasi, pembekuan sebagian bisnis adalah peristiwa operasional yang bersifat eksistensial, jauh melampaui dampak finansial denda apa pun.

Implikasi praktisnya, eksposur UU PDP layak masuk daftar risiko perusahaan, bukan hanya catatan fungsi kepatuhan. Direksi lembaga keuangan Indonesia sudah diwajibkan menunjukkan pengawasan atas risiko teknologi, dan penanganan data pribadi berada di dalam ruang lingkup itu.

Regulator jarang menemukan pelanggaran sendiri. Perhatian penegakan biasanya datang lewat tiga jalur: pengaduan subjek data, insiden yang menjadi konsumsi publik, atau notifikasi wajib yang diajukan organisasi itu sendiri. UU PDP mewajibkan pemberitahuan kegagalan pelindungan data pribadi dalam 3x24 jam sejak diketahui, kepada subjek data yang terdampak dan kepada lembaga berwenang.

Kewajiban notifikasi itu menciptakan risiko operasional tersendiri. Organisasi yang terlambat mendeteksi insiden, atau tidak mampu merekonstruksi kejadiannya, akan melewatkan tenggat atau mengirim notifikasi yang tidak lengkap. Keduanya adalah kegagalan yang kasatmata dan mengundang pemeriksaan lebih dalam atas hal lainnya.

Organisasi yang paling siap bukan yang dokumen kebijakannya paling tebal, melainkan yang bisa menunjukkan, saat diminta, siapa memiliki akses ke apa, bahwa karyawan telah dilatih menangani data pribadi, dan bahwa insiden terdeteksi serta dieskalasi pada rentang waktu yang dapat dipertanggungjawabkan.

Tiga area kontrol memberi dampak terbesar dalam menekan eksposur UU PDP. Disiplin akses, agar lebih sedikit orang dapat menjangkau data pribadi dan akses dicabut saat peran berubah. Kesadaran karyawan, agar staf mengenali rekayasa sosial yang mendahului sebagian besar akses melawan hukum. Serta bukti, agar keduanya dapat ditunjukkan, bukan sekadar diklaim.

Di sini kesadaran adalah kontrol kepatuhan, bukan pelengkap. Undang-undang meminta langkah pengamanan yang sepadan dengan risiko, dan risiko dominan terhadap data pribadi di organisasi Indonesia adalah manusia yang diperdaya. Simulasi phishing yang diukur dari waktu ke waktu dan dirinci per departemen menghasilkan persis bukti yang akan diminta lembaga pengawas atau auditor.

Claro menjalankan simulasi phishing dan pelatihan kesadaran dwibahasa yang dirancang untuk organisasi Indonesia, dengan skor risiko per pengguna dan bukti yang dapat diekspor serta dipetakan ke UU PDP, OJK, dan ISO 27001. Penerapan dapat dilakukan on-premise bila kebutuhan residensi data mengharuskannya.