Awal Oktober 2026, jual beli data pribadi kembali ramai dibicarakan. Pada Jumat, 2 Oktober 2026, Direktur Jenderal Pengawasan Ruang Digital Komdigi, Alexander Sabar, menyampaikan bahwa Komdigi berkoordinasi dengan Polri untuk menindak situs yang memperjualbelikan data pribadi, termasuk lewat pemblokiran akses. Komdigi juga berkoordinasi dengan BSSN. Hasil penelusuran awal BSSN menyebut data yang beredar adalah data lama yang kembali diramaikan.

Kalau Anda punya toko, klinik, tempat kursus, atau usaha kuliner, berita seperti ini mudah terasa jauh. Yang bocor kan data besar, bukan daftar pelanggan di HP admin. Tapi justru di situ pelajarannya. Artikel ini merangkum apa yang terjadi, apa kata undang-undangnya, lalu langkah yang bisa Anda cek sendiri di usaha minggu ini.

Apa yang sebenarnya terjadi

Menurut BSSN, kumpulan data yang beredar merupakan gabungan informasi terbuka dan kebocoran sebelumnya, yang dikumpulkan ulang lalu disebarkan lagi oleh pihak tertentu. BSSN tetap menganggapnya serius dan menelusuri sumber serta jalur penyebarannya. Komdigi mengingatkan masyarakat untuk tidak ikut menyebarkan data pribadi orang lain, dan BSSN meminta orang tidak membagikan tangkapan layar atau potongan data, termasuk data pejabat publik.

Ada dua hal yang bisa dipetik untuk usaha:

  • Data yang sudah pernah bocor tidak pernah benar-benar hilang. Ia bisa dikumpulkan ulang dan dijual lagi bertahun-tahun kemudian. Daftar nomor pelanggan yang hari ini tercecer di grup WhatsApp bisa ikut jadi bahan kumpulan seperti itu.
  • Status "sudah bocor" tidak membuat data jadi bebas dipakai. Komdigi menegaskan data pribadi tetap privasi pemiliknya meski pernah terungkap.

Apa kata UU PDP, dalam bahasa sehari-hari

Dasar hukumnya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang diundangkan 17 Oktober 2022. Pasal 74 memberi waktu penyesuaian paling lama dua tahun. Artinya masa penyesuaian itu sudah selesai sejak Oktober 2024, dan kewajibannya berlaku untuk siapa pun yang mengumpulkan dan memakai data pribadi, termasuk usaha kecil.

Beberapa kewajiban yang paling dekat dengan meja kasir:

  • Punya alasan yang sah untuk memproses data, misalnya persetujuan pelanggan untuk tujuan yang sudah disampaikan, atau karena memang dibutuhkan untuk menjalankan transaksi (Pasal 20).
  • Menjaga dan mencegah akses yang tidak sah ke data yang Anda simpan (Pasal 35 dan Pasal 39), termasuk mengawasi pihak yang ikut memproses data atas nama Anda (Pasal 37).
  • Menghapus data yang tidak lagi diperlukan untuk tujuannya (Pasal 43).
  • Memberi tahu secara tertulis paling lambat 3 x 24 jam kepada pemilik data dan lembaga pengawas kalau terjadi kegagalan pelindungan data, minimal berisi data apa yang terungkap, kapan dan bagaimana, serta upaya penanganannya (Pasal 46).

Pelanggaran kewajiban ini bisa dikenai sanksi administratif: peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, sampai denda administratif paling tinggi 2 persen dari pendapatan tahunan (Pasal 57). Di sisi lain, memperoleh, mengungkapkan, atau memakai data pribadi milik orang lain secara melawan hukum diancam pidana penjara paling lama 4 sampai 5 tahun dan/atau denda paling banyak Rp4 miliar sampai Rp5 miliar, tergantung perbuatannya (Pasal 65 dan Pasal 67). Ini juga berlaku untuk tawaran "database nomor WA siap pakai" yang kadang mampir ke usaha. Membeli lalu memakainya bukan jalan pintas, tapi masalah baru.

Mulai dari peta, bukan dari aplikasi

Langkah pertama justru yang paling sering dilewati: tahu persis data pelanggan Anda tersimpan di mana saja. Di usaha kecil, jawabannya hampir selalu lebih banyak dari yang dibayangkan.

Grid tujuh tempat data pelanggan biasanya tersimpan di usaha kecil, dari HP admin dan WhatsApp, spreadsheet, buku kasir, formulir online, aplikasi kasir, kiriman ke vendor, sampai laptop dan flashdisk

Ambil selembar kertas atau satu sheet, lalu tulis tiap tempat itu bersama siapa yang memegangnya. Foto KTP yang dikirim pelanggan lewat chat, rekap pesanan yang dibagikan lewat tautan "siapa saja yang punya link", daftar alamat yang dikirim ke kurir. Semuanya masuk daftar.

Checklist lima langkah

Setelah petanya ada, rapikan secara bertahap. Urutannya sengaja dari yang paling mudah, supaya bisa mulai minggu ini tanpa menunggu sistem baru.

Lima langkah merapikan data pelanggan secara berurutan: petakan, cek alasan, batasi akses, hapus sisa, dan siapkan respons dalam 3 x 24 jam
  1. Petakan. Selesaikan daftar tadi. Tandai mana yang berisi data sensitif seperti foto KTP, data kesehatan pasien, atau data anak di tempat kursus.
  2. Cek alasan. Untuk tiap jenis data, tanyakan: buat apa disimpan, dan apakah pelanggan tahu? Kalau nomor WhatsApp dipakai untuk promo, pastikan pelanggan memang setuju dihubungi untuk itu.
  3. Batasi akses. Ini langkah dengan dampak terbesar. Satu akun per orang, bukan satu password yang dipakai bergantian. Tautan spreadsheet diubah jadi hanya untuk orang tertentu. Saat karyawan keluar, aksesnya dicabut hari itu juga.
  4. Hapus sisa. File ekspor lama di laptop, grup chat proyek yang sudah selesai, salinan di flashdisk. Kalau sudah tidak ada tujuannya, bersihkan secara berkala.
  5. Siapkan respons. Tulis satu halaman: kalau ada data yang bocor, siapa yang memutuskan, siapa yang menghubungi pelanggan, dan siapa yang menyusun pemberitahuan tertulis. Tenggat 3 x 24 jam terasa pendek kalau baru mulai berpikir setelah kejadian.

Perlindungan itu berlapis

Banyak pemilik usaha mengira keamanan data cukup diurus oleh aplikasinya. Aplikasi yang baik memang membantu, tapi kebocoran sering lewat jalur yang lebih sederhana: HP admin tanpa kunci layar, password yang ditempel di meja kasir, atau mantan karyawan yang masih ada di grup.

Empat lapis perlindungan data pelanggan dari bawah ke atas: orang, proses, perangkat, dan sistem

Lapisan orang dan proses tidak butuh biaya besar, cukup kesepakatan dan kebiasaan. Lapisan perangkat butuh sedikit disiplin, misalnya HP khusus usaha yang terkunci, bukan HP pribadi yang dipinjamkan. Lapisan sistem adalah tempat teknologi paling membantu: akun per orang, catatan siapa membuka data apa, dan backup yang tidak bisa dibuka sembarang orang.

Penutup

Kasus jual beli data awal Oktober ini mengingatkan bahwa data yang tercecer bisa hidup jauh lebih lama daripada transaksinya. Kabar baiknya, sebagian besar langkah di atas bisa dimulai tanpa membeli apa pun.

Kalau lapisan sistemnya yang ingin Anda rapikan, XETUP membangun aplikasi sesuai cara kerja usaha, dengan akun terpisah per karyawan dan catatan akses yang bisa ditelusuri, termasuk aplikasi kasir XETPOS supaya data transaksi tidak tersebar di nota dan spreadsheet. Mau cerita dulu soal kondisi data di usaha Anda? Ngobrol santai dengan tim kami lewat WhatsApp +62 823 1499 5005.