Undang-Undang Pelindungan Data Pribadi (UU PDP) Nomor 27 Tahun 2022 menetapkan sanksi hukum yang sangat tegas bagi pengendali dan prosesor data yang melakukan pelanggaran. Sanksi ini terbagi menjadi sanksi administratif berupa denda maksimal Rp6 miliar dan sanksi pidana penjara hingga 6 tahun serta denda pidana hingga Rp60 miliar bagi pelaku perseorangan maupun korporasi.
Klasifikasi Sanksi Pelanggaran UU PDP
Berdasarkan bab ketentuan pidana dan administratif dalam UU PDP, pelanggaran pemrosesan data pribadi dikenakan beberapa tingkatan sanksi tergantung pada jenis pelanggaran dan dampaknya terhadap subjek data.
| Jenis Sanksi | Besaran / Hukuman Maksimal | Keterangan Objek Pelanggaran |
|---|---|---|
| Sanksi Administratif | Peringatan tertulis, penghentian kegiatan, penghapusan data, hingga denda administratif maksimal 2% dari pendapatan tahunan | Pelanggaran administratif umum oleh Pengendali atau Prosesor Data (Pasal 57) |
| Pidana Penjara (Perseorangan) | Penjara 4 sampai 6 tahun | Memperoleh atau mengumpulkan data pribadi yang bukan miliknya untuk keuntungan pribadi secara melawan hukum (Pasal 65-67) |
| Pidana Denda (Perseorangan) | Rp4 miliar hingga Rp60 miliar | Menjual, membeli, atau menyalahgunakan data pribadi secara sengaja |
| Pidana Korporasi | Denda hingga 10 kali lipat dari denda maksimal perseorangan (Rp600 miliar) + pidana tambahan | Pelanggaran yang dilakukan, disuruh, atau diorganisir oleh korporasi atau pengurusnya |
Rincian Pasal Pidana Utama dalam UU PDP
Penegakan hukum pidana dalam UU PDP berfokus pada tindakan penyalahgunaan, pemalsuan, dan pencurian data pribadi. Berikut adalah rincian pasal krusial:
- Pasal 67 Ayat (1): Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data, dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
- Pasal 67 Ayat (2): Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya, dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah).
- Pasal 67 Ayat (3): Setiap orang yang dengan sengaja dan melawan hukum membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain, dipidana dengan pidana penjara paling lama 6 (enam) tahun dan/atau pidana denda paling banyak Rp6.000.000.000,00 (enam miliar rupiah).
Sanksi Tambahan untuk Korporasi
Jika tindak pidana dilakukan oleh korporasi, maka pidana dapat dijatuhkan kepada pengurus, pemberi perintah, pemegang kendali, dan/korporasi itu sendiri. Selain denda finansial hingga 10 kali lipat, korporasi dapat dijatuhi sanksi tambahan berupa:
- Perampasan keuntungan atau kekayaan yang diperoleh dari tindak pidana.
- Pembekuan seluruh atau sebagian kegiatan usaha korporasi.
- Pembubaran korporasi.
- Pencabutan izin usaha.
- Pengambilalihan korporasi oleh negara.
Langkah Mitigasi Kepatuhan bagi Perusahaan
Untuk menghindari sanksi berat di atas, setiap badan usaha yang memproses data pribadi warga Indonesia wajib menunjuk Pejabat Pelindungan Data (Data Protection Officer/DPO), menerapkan enkripsi data, memperkuat sistem keamanan siber, dan memastikan persetujuan (consent) dari pemilik data diperoleh secara sah sebelum pengolahan data dilakukan.