Jawaban singkat. Bila terjadi kebocoran data pribadi (dalam istilah hukum: kegagalan pelindungan data pribadi), pengendali data wajib memberi tahu secara tertulis subjek data dan Lembaga PDP paling lambat 3×24 jam. Jam mulai berjalan sejak kegagalan itu "diketahui secara pasti, patut, dan wajar" (UU PDP Pasal 46; PP 33/2026 Pasal 114). Bila insiden mengganggu layanan publik atau berdampak serius bagi masyarakat, perusahaan juga wajib mengumumkannya kepada publik (Pasal 115).
Terakhir diperbarui: 23 Oktober 2026 · Tim kurikulum kepatuhan Frans Training · Bukan nasihat hukum.
Apa yang dimaksud kebocoran data menurut UU PDP?
UU PDP memakai istilah kegagalan pelindungan data pribadi: kegagalan melindungi data pribadi dalam hal kerahasiaan, integritas, dan ketersediaan. Istilah ini mencakup lebih dari peretasan, misalnya file yang terkirim ke penerima yang salah, tautan Google Drive yang terbuka untuk umum, atau ransomware yang membuat data tidak dapat diakses.
Kapan hitungan 3×24 jam dimulai?
Menurut PP 33/2026 Pasal 114 ayat (2), jam dihitung sejak kegagalan diketahui secara pasti, patut, dan wajar, bukan sejak kecurigaan pertama. Konsekuensinya, penetapan waktu "diketahui" adalah keputusan yang harus bisa dibuktikan. Simpan log sistem, kronologi, dan hasil forensik yang menunjukkan kapan dan atas dasar apa insiden dipastikan. Tanpa bukti ini, perusahaan sulit membela diri bila dianggap terlambat.
Siapa yang harus diberi tahu?
| Pihak | Kewajiban | Dasar |
|---|---|---|
| Subjek data yang terdampak | Pemberitahuan tertulis, ≤3×24 jam | PP 33 Pasal 114 |
| Lembaga PDP | Pemberitahuan tertulis, ≤3×24 jam | PP 33 Pasal 114 |
| Masyarakat | Pengumuman melalui media elektronik dan/atau nonelektronik bila insiden mengganggu layanan publik atau berdampak serius | PP 33 Pasal 115 |
| Pengendali (bila insiden terjadi di prosesor/vendor) | Prosesor wajib melapor pada kesempatan pertama | PP 33 Pasal 118 |
Lembaga PDP belum terbentuk (per Oktober 2026). Selama masa ini, pengawasan dijalankan Kementerian Komunikasi dan Digital. Dokumentasikan pemberitahuan Anda kepada otoritas yang berwenang saat ini, dan pantau pembentukan Lembaga.
Apa isi notifikasi?
UU PDP Pasal 46 ayat (2) mensyaratkan pemberitahuan paling sedikit memuat: 1. data pribadi yang terungkap; 2. kapan dan bagaimana data terungkap; dan 3. upaya penanganan dan pemulihan oleh pengendali.
PP 33 Pasal 114 merinci muatan pemberitahuan lebih lanjut, dan Pasal 119 mendelegasikan detail teknisnya ke Peraturan Lembaga yang belum terbit.
Dokumen yang wajib dimiliki
- Kebijakan pencegahan dan penanganan insiden (Pasal 117): pembagian peran dan tanggung jawab, mekanisme klasifikasi dan penanganan, pelaporan, serta tinjauan berkala.
- Dokumentasi setiap insiden (Pasal 116): data yang terdampak, deskripsi kegagalan, dampak terhadap subjek data dan pengendali, upaya penanganan dan pemulihan, serta waktu pemberitahuan.
Checklist 3×24 jam
| Jam | Langkah |
|---|---|
| 0 | Deteksi dan eskalasi ke tim insiden dan DPO; amankan bukti (log, snapshot) |
| 0–12 | Penahanan (containment); identifikasi sistem, jenis data, dan jumlah subjek terdampak |
| 12–24 | Putuskan dan catat waktu insiden "diketahui secara pasti, patut, dan wajar"; nilai apakah perlu pengumuman publik |
| 24–48 | Susun notifikasi untuk subjek data dan otoritas; siapkan saluran bantuan |
| 48–72 | Kirim notifikasi tertulis; terbitkan pengumuman publik bila diperlukan; lengkapi dokumentasi Pasal 116 |
| Setelah 72 | Pemulihan, evaluasi akar masalah, perbarui kebijakan dan latih ulang tim |
Uji sebelum terjadi. Konsultan memperkirakan banyak organisasi akan melewatkan tenggat 72 jam bila playbook belum pernah diuji. Simulasi tabletop minimal setahun sekali adalah cara termurah untuk menemukan celah.
Risiko bila lalai
- Sanksi administratif hingga denda 2% dari pendapatan tahunan (PP 33 Pasal 184–185), dan keputusan sanksi diumumkan kepada publik (Pasal 195).
- Gugatan perdata dari subjek data yang dirugikan, sebagaimana sudah terjadi dalam perkara data karyawan di PN Jakarta Barat (Januari 2026).
- Kerugian reputasi, terutama karena insiden yang besar wajib diumumkan.
Pertanyaan yang sering diajukan
Berapa lama batas waktu lapor kebocoran data menurut UU PDP? Paling lambat 3×24 jam, secara tertulis, kepada subjek data dan Lembaga PDP (UU PDP Pasal 46; PP 33 Pasal 114).
Sejak kapan 3×24 jam dihitung? Sejak kegagalan pelindungan data diketahui secara pasti, patut, dan wajar (PP 33 Pasal 114 ayat 2). Dokumentasikan dasar penetapan waktu tersebut.
Apakah kebocoran di vendor juga harus dilaporkan? Ya. Prosesor (vendor) wajib melapor ke pengendali pada kesempatan pertama (Pasal 118), dan pengendali tetap bertanggung jawab memberi notifikasi.
Kapan kebocoran data harus diumumkan ke publik? Bila insiden mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat (PP 33 Pasal 115).
Siapkan tim Anda menghadapi insiden. Kami menyelenggarakan simulasi tabletop kebocoran data untuk tim IT/SOC, legal, dan front-liner, serta Pelatihan DPO & UU PDP. Konsultasikan kebutuhan Anda. Lihat juga ringkasan PP 33/2026.
Sumber
- UU No. 27 Tahun 2022, Pasal 46 — peraturan.bpk.go.id/Details/229798
- PP No. 33 Tahun 2026 (LN 2026 No. 88), Pasal 114–119, 184–185, 195