Setyawati Fitrianggraeni dan Taufik Nuariansyah

Pendahuluan

Peningkatan tajam dalam insiden pelanggaran data menunjukkan bahwa ketidakpatuhan terhadap undang-undang pelindungan data kini menimbulkan risiko hukum dan tata kelola yang serius. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) di Indonesia tidak hanya memperkenalkan sanksi organisasi tetapi juga potensi tanggung jawab pidana bagi anggota dewan direksi secara individual. Artikel ini mengeksplorasi bagaimana kegagalan kepatuhan dapat meningkat menjadi risiko kejahatan kerah putih, menguraikan sanksi berdasarkan UU PDP, dan menyoroti strategi berbasis tata kelola untuk mitigasi risiko. Seiring dengan penguatan rezim pelindungan data di Indonesia, UU PDP menandai pergeseran dari kepatuhan administratif ke manajemen risiko strategis, yang memerlukan pengawasan di tingkat dewan. Penegakan hukum di masa depan kemungkinan akan mencerminkan tren global, menjadikan tata kelola data yang kuat penting untuk ketahanan bisnis jangka panjang.

Kerangka Regulasi: Dari UU PDP hingga Undang-Undang Perseroan

Pasal 65 hingga 68 Undang-Undang Pelindungan Data Pribadi (PDP) Indonesia memberlakukan sanksi pidana yang tegas-hingga enam tahun penjara dan denda Rp 6 miliar-bagi individu, termasuk direktur perusahaan, yang menyalahgunakan, memalsukan, atau secara tidak sah mengungkapkan data pribadi. Pasal 97 ayat (3) Undang-Undang Perseroan lebih lanjut memperkuat tanggung jawab pribadi dengan menyatakan direktur bertanggung jawab atas kerugian perusahaan akibat kelalaian. Ketentuan-ketentuan ini secara kolektif mempermudah pihak berwenang untuk meminta pertanggungjawaban individu dalam kasus pelanggaran data. Secara global, pengadilan bergerak ke arah yang sama. Dalam kasus Nolan v. Dildar, direktur ditemukan bertanggung jawab secara pribadi atas pelanggaran GDPR yang minimal. Di Singapura, menghalangi investigasi pelindungan data dapat menyebabkan hukuman penjara hingga 18 bulan.

Matriks Risiko Pidana bagi Direktur

Studi Kasus Mitigasi Kejahatan Kerah Putih dan Pemetaan

Berbagai kasus menyoroti meningkatnya tuntutan akan akuntabilitas pribadi dalam insiden pelanggaran data. Dalam kasus Tokopedia (2020), di mana 91 akun diretas, keterlambatan pemberitahuan dianggap sebagai kelalaian. Kasus BRI Life (2021) menekankan ancaman internal dan pentingnya manajemen keamanan yang komprehensif. Tekanan publik dan regulasi kini menuntut akuntabilitas tidak hanya di tingkat institusi tetapi juga secara individual. Mitigasi risiko kejahatan kerah putih dalam pelanggaran data pribadi dapat dipetakan menjadi empat pilar. Pertama, Tata Kelola & Budaya dengan membentuk Komite Privasi Data di tingkat dewan dengan evaluasi risiko secara berkala. Kedua, Alokasi Risiko & Kontrak dengan memperkuat klausul perjanjian vendor dan melakukan audit mendadak. Ketiga, Teknis & Respons Insiden dengan menerapkan arsitektur zero trust, sistem deteksi ancaman, dan simulasi insiden yang melibatkan eksekutif. Keempat, Asuransi & Pelindungan Finansial melalui asuransi tanggung jawab siber yang mencakup denda dan litigasi, sambil mempertimbangkan pengecualian untuk kelalaian yang disengaja.

Kesimpulan

Sebagai kesimpulan, lonjakan pelanggaran data menyoroti bahwa ketidakpatuhan terhadap undang-undang pelindungan data menimbulkan risiko signifikan bagi perusahaan dan eksekutif. Undang-Undang Pelindungan Data Pribadi (PDP) dan peraturan serupa memberlakukan sanksi berat, termasuk tanggung jawab pidana bagi direktur. Kasus-kasus seperti Tokopedia dan BRI Life menunjukkan meningkatnya tuntutan akan akuntabilitas pribadi. Untuk memitigasi risiko-risiko ini, perusahaan harus mengadopsi kerangka tata kelola yang kuat, memastikan kepemimpinan yang jelas dalam privasi data, manajemen risiko, pengamanan teknis, dan pelindungan finansial seperti asuransi siber. Kepatuhan proaktif sangat penting untuk melindungi kepentingan pribadi dan korporasi.

Daftar Pustaka
•A&L Goodbody, ‘Director Held Personally Liable for Data Breach’ (2025) https://www.algoodbody.com/insights-publications/director-held-personally-liable-for-data-breach-tuesday-26th-march-2024
•Agustini P, ‘Kominfo Gandeng BSSN Dan Polri Selidiki Dugaan Kebocoran Data BRI Life’ (KOMINFO, 2021)<https://aptika.kominfo.go.id/2021/07/kominfo-gandeng-bssn-dan-polri-selidiki-dugaan-kebocoran-data-bri-life/#:~:text=Kebocoran data kali ini terkait dugaan pembobolan,USD atau di kisaran Rp 101 juta.>
•Chik WB, ‘The Singapore Personal Data Protection Act and an Assessment of Future Trends in Data PrivacyReform’ (2013) 29 Computer Law and Security Review 554
•Fathur M, ‘Tanggung Jawab Tokopedia Terhadap Kebocoran Data Pribadi Konsumen (Tokopedia’sResponsibility for the Leakage of Consumers Personal Data)’,Call for Paper 2nd National Conference onLaw Studies: Legal Development Towards A Digital Society Era(2020) http://jurnal.unissula.ac.id/index.php/PH/article/view/1476
•Kurniawan KD, Hehanussa DJA and Setiawan R, ‘Criminal Sanctions and Personal Data Protection inIndonesia’ (2024) 11 Lex Publica 221

DISCLAIMER: