Kebocoran data konsumen di platform e-commerce bukan lagi hal baru. Data Kementerian Komunikasi dan Informatika (Kominfo) mencatat sekitar 124 pelanggaran pelindungan data pribadi sepanjang 2019 hingga 2024, dengan 111 di antaranya merupakan kasus kebocoran data. Korporasi sering menganggap insiden ini hanya karena ulah hacker atau musibah teknologi. Padahal secara hukum, korporasi tetap berkewajiban melindungi data konsumen yang berada dalam ekosistem digital mereka.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menyebut insiden ini sebagai “Kegagalan PDP,” yang meliputi terganggunya kerahasiaan, integritas, dan ketersediaan data pribadi konsumen. Ketika kegagalan ini terjadi, Pasal 46 UU PDP mewajibkan korporasi selaku Pengendali Data Pribadi untuk menyampaikan pemberitahuan resmi kepada konsumen dan lembaga pengawas dalam waktu maksimal 3×24 jam.

Sayangnya, kewajiban ini menghadapi kendala karena lembaga pengawas PDP independen yang diamanatkan undang-undang belum juga terbentuk. Untuk sementara, semua pengaduan soal kebocoran data dialihkan ke Kementerian Komunikasi dan Digital (Komdigi) sebagai nomenklatur baru dari Kominfo. Kendala juga terjadi di sisi konsumen yang ingin menggugat ganti rugi. Meskipun hak tersebut dijamin dalam Pasal 12 ayat (1) UU PDP, konsumen tetap harus membuktikan secara konkret bahwa kerugian yang dialaminya merupakan akibat langsung dari kebocoran data, bukan karena kelalaian pribadi.

Mekanisme paling efektif untuk mendisiplinkan e-commerce yang lalai terletak pada sanksi administratif. Berdasarkan Pasal 57 ayat (3) UU PDP, e-commerce dapat dikenai denda hingga 2% dari total pendapatan per tahunnya yang dapat berdampak langsung pada keberlangsungan bisnis mereka.

Dengan demikian, tanggung jawab e-commerce dalam melindungi data pribadi konsumen sudah diatur secara tegas dalam UU PDP, mulai dari kewajiban pelaporan, hak gugat konsumen, hingga sanksi administratif. UU PDP secara substantif mengadopsi prinsip privacy by design, yang berarti kewajiban melindungi data konsumen harus dipenuhi sejak platform dirancang, bukan setelah kebocoran terjadi.

Bila Anda ingin berkonsultasi lebih lanjut terkait persoalan hukum, segera hubungi kami di:

Telp: (021) 2206-4438
Email: info@dntlawyers.com
atau datang langsung ke kantor DNT Lawyers di Harmoni Plaza Blok F-10, Petojo Utara, Gambir, Jakarta Pusat.

Artikel hukum ini ditulis oleh Alessandro Austin Putra Latumahina – Intern DNT Lawyers.

Referensi

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
• Maulana, Rafli Syah & Anggraini, Anna Maria Tri. (2025). Perlindungan Konsumen Terhadap Keamanan Data Pribadi di Sektor Perdagangan Online (Studi Terhadap Kebocoran Data Konsumen Shopee). Amicus Curiae, Vol. 2, No. 2, hlm. 560-571.
• Hukumonline Pro. (2026). Membongkar Tanggung Jawab Kegagalan Pasca-PDP: Panduan Singkat Pelaporan Wajib Kebocoran Data Pribadi. Hukumonline.com. https://pro.hukumonline.com/a/lt66fa6df840c7f/membongkar-tanggung-jawab-kegagalan-pasca-pdp–panduan-singkat-pelaporan-wajib-kebocoran-data-pribadi