Kebocoran Data Pribadi Menurut UU PDP: Langkah Penanganan dan Pencegahannya

Apa Itu Kebocoran Data Pribadi?

Kebocoran data pribadi umumnya merujuk pada keadaan ketika data pribadi terungkap, diakses, hilang, berubah, atau tidak lagi terlindungi sebagaimana mestinya. Istilah hukum yang digunakan dalam UU PDP adalah kegagalan Pelindungan Data Pribadi.

Insiden dapat terjadi karena serangan siber, kesalahan konfigurasi sistem, kehilangan perangkat, pengiriman email kepada penerima yang salah, atau akses internal yang tidak semestinya.

Dampaknya bergantung pada jenis data yang terdampak, jumlah individu, kemungkinan penyalahgunaan, dan kecepatan penanganan.

Bagaimana UU PDP Mengatur Kegagalan Pelindungan Data?

UU Nomor 27 Tahun 2022 mengatur kewajiban pemberitahuan tertulis apabila terjadi kegagalan pelindungan data pribadi.

Pasal 46 mengatur bahwa pengendali data pribadi wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga yang berwenang sesuai ketentuan undang-undang.

Pemberitahuan tersebut memuat informasi yang diwajibkan, termasuk data pribadi yang terungkap, kapan dan bagaimana data tersebut terungkap, serta upaya penanganan dan pemulihan.

Penerapan ketentuan ini harus dilihat berdasarkan fakta insiden dan peraturan yang berlaku. Organisasi sebaiknya segera meminta nasihat hukum jika menghadapi insiden yang berpotensi serius.

Apa yang Harus Dilakukan Ketika Terjadi Kebocoran Data?

1. Aktifkan prosedur respons insiden

Begitu ada indikasi kebocoran, laporkan kepada tim yang bertanggung jawab atas keamanan informasi, teknologi, privasi, dan kepatuhan.

Catat waktu penemuan, sistem yang terdampak, indikasi awal, serta tindakan yang sudah dilakukan. Jangan menunda eskalasi hanya karena penyebab insiden belum diketahui sepenuhnya.

2. Batasi dampak insiden

Tim teknis perlu mengambil langkah yang proporsional untuk menghentikan akses tidak sah dan mencegah penyebaran lebih lanjut. Tindakan dapat mencakup menonaktifkan kredensial yang terkompromi, membatasi akses, atau mengisolasi sistem yang terdampak.

Pastikan bukti digital yang diperlukan untuk investigasi tetap dipelihara dengan benar.

3. Tentukan data dan individu yang terdampak

Organisasi perlu menyelidiki jenis data yang terlibat, perkiraan jumlah subjek data, periode insiden, kemungkinan akses pihak tidak berwenang, dan potensi dampaknya.

Hindari membuat klaim bahwa data aman atau tidak disalahgunakan sebelum tersedia dasar yang memadai.

4. Lakukan pemberitahuan sesuai ketentuan

Pengendali data pribadi perlu menilai kewajiban pemberitahuan menurut UU PDP dan memastikan batas waktu serta isi pemberitahuan dipenuhi.

Informasi yang disampaikan harus akurat, mudah dipahami, dan menjelaskan tindakan yang sudah atau sedang dilakukan. Apabila informasi masih berkembang, organisasi perlu mengikuti prosedur yang berlaku untuk menyampaikan informasi yang diperlukan secara tepat.

5. Berikan panduan kepada pihak terdampak

Jika relevan dengan jenis insiden, pihak terdampak dapat diberi saran untuk mengganti kata sandi, mengaktifkan autentikasi multifaktor, mewaspadai pesan penipuan, atau memantau aktivitas akun.

Panduan harus disesuaikan dengan risiko nyata dan tidak meminta korban membagikan kata sandi atau kode autentikasi.

6. Evaluasi dan perbaiki penyebab

Setelah penanganan awal, lakukan analisis akar masalah. Periksa apakah insiden dipicu oleh kelemahan sistem, konfigurasi yang salah, prosedur yang tidak jelas, atau kelalaian manusia.

Hasil evaluasi harus menjadi dasar perbaikan kontrol keamanan, kebijakan akses, pelatihan, dan prosedur respons insiden.

Cara Mencegah Kebocoran Data Pribadi

Pencegahan memerlukan kombinasi kontrol teknis dan tata kelola.

• Terapkan akses berdasarkan prinsip kebutuhan minimum.
• Gunakan autentikasi yang kuat dan tinjau hak akses secara berkala.
• Perbarui sistem serta perangkat lunak secara teratur.
• Lindungi data dengan kontrol keamanan yang sesuai dengan risikonya.
• Latih karyawan untuk mengenali phishing dan penipuan digital.
• Tinjau keamanan vendor yang memproses data.
• Tetapkan masa penyimpanan dan prosedur penghapusan yang jelas.
• Uji prosedur pemulihan dan respons insiden secara berkala.

Tidak ada satu kontrol yang dapat menghilangkan semua risiko. Program keamanan perlu dievaluasi dan disesuaikan dengan kondisi organisasi.

Checklist Respons Insiden Data Pribadi

• Insiden dilaporkan kepada tim yang berwenang.
• Waktu penemuan dan kronologi dicatat.
• Akses tidak sah dibatasi.
• Bukti digital relevan diamankan.
• Jenis data dan pihak terdampak diidentifikasi.
• Risiko serta dampak insiden dinilai.
• Kewajiban pemberitahuan berdasarkan UU PDP diperiksa.
• Pemberitahuan disiapkan sesuai ketentuan.
• Tindakan pemulihan dan komunikasi didokumentasikan.
• Analisis akar masalah dan rencana perbaikan dibuat.

Checklist ini membantu mengorganisasi respons, tetapi bukan pengganti prosedur insiden yang disesuaikan dengan kebutuhan dan kewajiban hukum organisasi.

Apa yang Bisa Dilakukan Individu Jika Datanya Bocor?

Jika Anda menduga data pribadi telah bocor:

1. Periksa pemberitahuan resmi dari organisasi terkait.
2. Ganti kata sandi yang berpotensi terdampak dan jangan gunakan kata sandi yang sama di berbagai layanan.
3. Aktifkan autentikasi multifaktor jika tersedia.
4. Waspadai pesan, telepon, atau email yang meminta kode OTP, PIN, atau informasi rahasia.
5. Simpan bukti komunikasi dan indikasi penyalahgunaan.
6. Hubungi organisasi melalui kanal resminya untuk meminta informasi dan langkah yang dapat dilakukan.
7. Pertimbangkan konsultasi hukum atau pelaporan kepada pihak berwenang melalui kanal resmi jika diperlukan.

Jangan menyebarkan kembali data pribadi yang bocor ketika membagikan bukti insiden.

Kesimpulan

Kebocoran data pribadi membutuhkan respons yang cepat, terkoordinasi, dan terdokumentasi. UU PDP mengatur kewajiban pengendali dalam menangani kegagalan pelindungan data, termasuk pemberitahuan tertulis sesuai ketentuan Pasal 46.

Organisasi sebaiknya memiliki rencana respons sebelum insiden terjadi. Sementara itu, individu dapat mengurangi risiko penyalahgunaan dengan mengamankan akun, mewaspadai penipuan, dan menggunakan kanal resmi untuk meminta informasi.