Jual Beli Data Pribadi secara Ilegal: Sanksi Pidana Menurut UU PDP

Tidak lama setelah mengisi formulir undian berhadiah di sebuah pameran, seseorang mulai dibanjiri telepon dan pesan singkat dari berbagai perusahaan asuransi, pinjaman online, hingga penawaran properti yang tidak pernah ia minta. Bisa jadi, data pribadinya telah berpindah tangan dan diperjualbelikan tanpa sepengetahuannya. Praktik jual beli data pribadi seperti ini bukan hanya persoalan etika bisnis, melainkan tindak pidana yang diatur tegas dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Artikel ini menjelaskan bentuk-bentuk perbuatan yang dilarang, ancaman sanksi pidananya, dan langkah yang bisa diambil korban.

1. Data Pribadi sebagai Objek yang Dilindungi Hukum

UU PDP menegaskan bahwa data pribadi, baik yang bersifat umum seperti nama dan alamat, maupun yang bersifat spesifik seperti data kesehatan dan data keuangan, adalah milik individu yang bersangkutan dan tidak boleh diperlakukan sebagai komoditas bebas. Setiap pemrosesan data pribadi, termasuk mengumpulkan, menggunakan, dan menyebarluaskannya kepada pihak lain, harus memiliki dasar hukum yang sah, umumnya berupa persetujuan dari pemilik data. Ketika data pribadi dikumpulkan dan dijual kepada pihak ketiga tanpa persetujuan tersebut, perbuatan itu sudah keluar dari koridor hukum yang sah.

2. Bentuk-Bentuk Perbuatan yang Dilarang

UU PDP secara spesifik melarang tiga jenis perbuatan terkait data pribadi milik orang lain. Pertama, memperoleh atau mengumpulkan data pribadi milik orang lain dengan cara melawan hukum untuk menguntungkan diri sendiri atau pihak lain yang dapat mengakibatkan kerugian bagi pemilik data. Kedua, mengungkapkan data pribadi yang bukan miliknya kepada pihak lain. Ketiga, menggunakan data pribadi milik orang lain secara melawan hukum. Ketiga bentuk perbuatan ini mencakup hampir seluruh rangkaian praktik jual beli data pribadi ilegal, mulai dari mengumpulkan data secara diam-diam, menjualnya ke pihak lain, hingga memanfaatkannya untuk kepentingan komersial tanpa izin.

3. Pemalsuan Data Pribadi Juga Dilarang

Selain larangan memperjualbelikan data, UU PDP juga melarang perbuatan membuat atau memalsukan data pribadi dengan maksud menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain. Larangan ini relevan misalnya pada kasus pemalsuan identitas untuk membuka rekening bank, mengajukan pinjaman online, atau mendaftarkan kartu SIM prabayar menggunakan data orang lain yang dicuri atau dipalsukan sebagian.

4. Ancaman Pidana bagi Pelaku Pengumpul dan Penjual Data

Bagi pelaku yang memperoleh atau mengumpulkan data pribadi secara melawan hukum untuk menguntungkan diri sendiri, ancaman pidananya adalah penjara paling lama lima tahun dan/atau denda paling banyak lima miliar rupiah. Sementara itu, pelaku yang mengungkapkan atau menjual data pribadi milik orang lain kepada pihak ketiga diancam pidana penjara paling lama empat tahun dan/atau denda paling banyak empat miliar rupiah. Adapun pelaku yang menggunakan data pribadi milik orang lain secara melawan hukum diancam pidana penjara paling lama lima tahun dan/atau denda paling banyak lima miliar rupiah.

5. Ancaman Pidana bagi Pemalsu Data Pribadi

Untuk perbuatan membuat atau memalsukan data pribadi dengan maksud menguntungkan diri sendiri atau pihak lain yang merugikan orang lain, ancaman pidananya lebih berat, yaitu penjara paling lama enam tahun dan/atau denda paling banyak enam miliar rupiah. Besarnya ancaman ini menunjukkan bahwa pembentuk undang-undang memandang pemalsuan data pribadi sebagai kejahatan yang berpotensi menimbulkan kerugian berlapis, karena identitas palsu bisa dipakai untuk berbagai tindak kejahatan lanjutan.

6. Pidana Tambahan dan Tanggung Jawab Korporasi

UU PDP tidak berhenti pada pidana pokok. Pelaku juga bisa dikenai pidana tambahan berupa perampasan keuntungan yang diperoleh dari tindak pidana dan kewajiban membayar ganti kerugian kepada korban. Jika jual beli data pribadi dilakukan oleh korporasi, misalnya perusahaan yang mengumpulkan data pelanggan lalu diam-diam menjualnya kepada pihak ketiga, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, maupun korporasi itu sendiri, dengan ancaman denda yang bisa mencapai sepuluh kali lipat dari denda maksimal bagi individu, ditambah sanksi tambahan seperti pembekuan kegiatan usaha, penutupan tempat usaha, hingga pencabutan izin usaha.

7. Bedanya dengan Pelanggaran Administratif

Tidak semua pelanggaran data pribadi otomatis dikenai sanksi pidana. Jika sebuah perusahaan lalai menjaga keamanan data sehingga terjadi kebocoran tanpa ada niat menjual atau menyalahgunakan data, biasanya yang berlaku lebih dulu adalah sanksi administratif dari lembaga pengawas, seperti peringatan tertulis, penghentian sementara pemrosesan data, hingga denda administratif. Sanksi pidana umumnya diterapkan ketika ada unsur kesengajaan dan perbuatan melawan hukum yang jelas, seperti secara sadar mengumpulkan lalu menjual data pribadi demi keuntungan pribadi.

8. Langkah yang Bisa Diambil Jika Data Anda Diperjualbelikan

Jika Anda mencurigai data pribadi Anda telah diperjualbelikan, misalnya karena tiba-tiba menerima banyak tawaran dari perusahaan yang tidak pernah Anda beri data, langkah pertama adalah menelusuri dari mana kemungkinan sumber kebocoran tersebut berasal. Kumpulkan bukti berupa pesan, panggilan, atau email yang mencurigakan, lalu laporkan kejadian tersebut kepada pihak berwajib atau lembaga pengawas pelindungan data pribadi. Anda juga berhak meminta penjelasan kepada perusahaan yang pernah menerima data Anda mengenai bagaimana data tersebut diperoleh, sekaligus mempertimbangkan langkah hukum perdata untuk menuntut ganti rugi atas kerugian yang timbul.

Dasar Hukum

Pasal 65 ayat (1) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, melarang perbuatan memperoleh atau mengumpulkan data pribadi milik orang lain secara melawan hukum untuk menguntungkan diri sendiri atau pihak lain.
Pasal 65 ayat (2) UU No. 27 Tahun 2022, melarang perbuatan mengungkapkan data pribadi yang bukan miliknya kepada pihak lain.
Pasal 66 UU No. 27 Tahun 2022, melarang perbuatan membuat atau memalsukan data pribadi dengan maksud menguntungkan diri sendiri atau orang lain yang merugikan pihak lain.
Pasal 67 UU No. 27 Tahun 2022, mengatur ancaman pidana penjara hingga lima tahun dan denda hingga lima miliar rupiah bagi pelaku yang melanggar Pasal 65.
Pasal 68 UU No. 27 Tahun 2022, mengatur ancaman pidana penjara hingga enam tahun dan denda hingga enam miliar rupiah bagi pelaku pemalsuan data pribadi.
Pasal 69 dan Pasal 70 UU No. 27 Tahun 2022, mengatur pidana tambahan berupa perampasan keuntungan dan ganti rugi, serta tanggung jawab pidana korporasi dengan denda hingga sepuluh kali lipat denda individu.