Pertanggungjawaban Pidana terhadap Korporasi yang Melakukan Data Breach Berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Pertanggungjawaban Pidana terhadap Korporasi yang Melakukan Data Breach Berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Perkembangan teknologi informasi di Indonesia yang berkembang dengan pesat membuat banyak inovasi terjadi dalam bidang teknologi dan informasi. Salah satunya adalah dimungkinkannya dilakukan suatu pengumpulan, penyimpanan, pembagian dan penganalisaan data yang memanfaatkan sistem teknologi informasi. Linear dengan pemanfaatan sistem teknologi informasi untuk menyimpan data, maka menjadi suatu urgensi untuk dilindunginya data pribadi mengingat data pribadi berhubungan dengan konsep privasi.

Sebagaimana tercantum dalam Alinea ke-4 Pembukaan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, Pemerintah Negara Indonesia mempunyai kewajiban konstitusional untuk melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia. Dalam konteks sistem teknologi informasi, hal tersebut diwujudkan dalam bentuk pelindungan data pribadi dari setiap penduduk atau warga negara Indonesia.

Pengertian data pribadi diatur dalam Pasal 1 angka 1 Undang-Undang tentang Pelindungan Data Pribadi yang menyebutkan bahwa: “Data Pribadi adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tindak langsung melalui sistem elektronik dan/atau nonelektronik.”

Salah satu masalah yang kerap terjadi mengenai pelanggaran privasi data pribadi adalah pelanggaran data atau data breach. Kasus yang baru-baru ini terjadi di Indonesia adalah diduga terdapat kebocoran sebanyak 252 GB data pelanggan Jasa Marga Toll-Road Operator (JMTO) yang terungkap melalui unggahan di breached.to oleh akun benama Desorden. Juga kasus Bjorka yang diduga memiliki 1,3 miliar data dari proses registrasi SIM CARD dan 105 juta data penduduk dari Komisi Pemilihan Umum atau KPU yang diungkap melalui situs breached.to.

Namun, terhadap dugaan-dugaan kasus pelanggaran data tersebut belum dapat ditindak secara hukum karena belum adanya instrument hukum dalam sistem hukum di Indonesia yang mengatur mengenai pelindungan data pribadi. Terlebih, saat itu Undang-Undang Pelindungan Data Pribadi masih berbentuk Rancangan Undang-Undang. Melihat urgensi tersebut, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi resmi disahkan tanggal 17 Oktober 2022. Dengan diundangkannya Undang-Undang Pelindungan Data Pribadi ini diharapkan dapat memberikan kepastian hukum juga menjamin hak warga negara atas pelindungan data pribadi.

Terkait dengan aspek pidana terhadap pelanggaran data dalam undang-undang tersebut diatur melalui BAB XIII yang berjudul “Larangan Dalam Penggunaan Data Pribadi” yang sanksinya diatur melalui BAB XIV yang berjudul “Ketentuan Pidana”. Dimana dalam Undang-Undang ini, diakui dua subjek pidana, yaitu perorangan atau korporasi. Sebagaimana dalam Pasal 1 angka 6 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi juga menyebutkan bahwa “Setiap Orang adalah orang perseorangan atau Korporasi.” Lebih lanjut dijelaskan dalam Pasal 2 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang menyebutkan bahwa “Undang-Undang   ini   berlaku   untuk   Setiap   Orang, Badan Publik, dan organisasi/institusi yang melakukan perbuatan hukum sebagaimana diatur dalam Undang-Undang ini…” yang berarti, Undang-Undang Nomor 27 Tahun tentang Pelindungan Data Pribadi mengakui korporasi sebagai subjek tindak pidana.

Berdasarkan penjelasan tersebut, akan dijelaskan lebih lanjut apabila Data Breach atau pelanggaran data dilakukan oleh subjek Korporasi dan juga bagaimana pertanggungjawaban pidananya apabila pelaku tindak pidana pelanggaran data adalah Korporasi.

Kualifikasi Tindak Pidana Pelanggaran Data yang dilakukan oleh Korporasi

Kitab Undang-undang Hukum Pidana Indonesia (KUHP), belum mengenal adanya ketentuan pidana yang mengakui subjek hukum buatan (rechtpersoon) atau korporasi, sebagai subjek yang dapat dikenakan pidana. Namun demikian, dalam perkembangannya, korporasi kemudian menjadi subjek hukum dalam rumusan pengaturan perundang-undangan khusus diluar KUHP, salah satunya adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Pengertian Korporasi dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi diatur dalam Pasal 1 angka 7 yang menyebutkan bahwa, “Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik merupakan badan hukum maupun bukan badan hukum sesuai peraturan perundang-undangan.” Dimana tindak pidana yang dilakukan oleh Korporasi adalah tindak pidana yang dilakukan berdasarkan hubungan kerja, atau berdasarkan hubungan lain baik sendiri-sendiri maupun bersama-sama yang bertindak untuk dan atas nama Korporasi di dalam maupun di luar Lingkungan Korporasi. Pengertian tersebut menjelaskan bahwa Korporasi dapat dikatakan menjadi suatu subjek hukum pidana apabila tindakan yang dilakukan seseorang masih dalam lingkup pekerjaan badan usaha/korporasi.

Peraturan Mahkamah Agung Republik Indonesia No. 13 Tahun 2016 tentang Tata Cara Penanganan Perkara Tindak Pidana oleh Korporasi juga mengatur tentang letak kesalahan Korporasi, dimana pasal ini menyebutkan kapan Korporasi dapat dikatakan mempunyai kesalahan sebagai syarat dimintakannya pertanggungjawaban pidana, yang dijelaskan dalam Pasal 4 ayat (1), yaitu:

1. Korporasi dapat memperoleh keuntungan atau manfaat dari tindak pidana tersebut atau tindak pidana tersebut dilakukan untuk kepentingan Korporasi;
2. Korporasi membiarkan terjadinya tindak pidana; atau
3. Korporasi tidak melakukan langkah-langkah yang diperlukan untuk melakukan pencegahan, mencegah dampak yang lebih besar dan memastikankepatuhan terhadap ketentuan hukum yang berlaku guna menghindari terjadinya tindak pidana.”

Dalam hal Korporasi dapat memperoleh keuntungan atau manfaat dari tindak pidana tersebut, bentuk keuntungan yang didapat Korporasi dapat berupa keuntungan materiil maupun non-materiil seperti tindak pidana dilakukan agar Korporasi mendapat izin, reward, nama baik, dan sebagainya. Bentuk keuntungan tersebut dapat dikualifikasikan menguntungkan Korporasi walaupun Korporasi tidak secara nyata mendapatkan keuntungan atau hanya secara parsial mendapatkan keuntungan dari tindak pidana yang dilakukannya.

Larangan mengenai Data Breach diatur dalam Pasal 61 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mana masing-masing ayat memuat ketentuan sebagai berikut:

1. Setiap Orang yang dengan sengaja  memperoleh  atau  mengumpulkan Data Pribadi    yang bukan  miliknya dengan  maksud untuk menguntungkan diri sendiri atau orang lain secara melawan hukum atau dapat mengakibatkan kerugian Pemilik Data Pribadi.
2. Setiap Orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 51 ayat (2).
3. Setiap Orang yang dengan sengaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 51 ayat (3).

Berdasarkan penjelasan tersebut, maka Korporasi dapat dikatakan sebagai subjek tindak pidana data breach/pelanggaaran data apabila tindakan tersebut dilakukan baik untuk kepentingan korporasi, dilakukan untuk mewujudkan tujuan dari korporasi, atau dilakukan untuk dan atas nama korporasi dan korporasi mendapatkan keuntungan dari dilakukannya tindak pidana tersebut.

Pertanggungjawaban pidana yang terhadap Korporasi yang melakukan Data Breach dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Pertanggungjawaban pidana korporasi Indonesia menganut beberapa model pertanggungjawaban, yaitu Pertanggungjawaban Mutlak (strict liability), Pertanggungjawaban Pengganti (vicarious liability), dan Pertanggungjawaban langsung (Direct Corporate Responsibility)

Strict Liability adalah dimana niat jahat  atau mens rea tidak  harus dibuktikan dalam kaitan dengan satu atau lebih unsur yang mencerminkan sifat melawan  hukum  atau  actus  reus,  meskipun  niat,  kecerobohan  atau  pengetahuan  mungkin disyaratkan dalam kaitan dengan unsur-unsur tindak pidana yang lain.

Vicarious Liability adalah dimana seseorang  bertanggungjawab  untuk  perbuatan  yang  dilakukan  oleh orang  lain,  ketika  keduanya  termasuk  dalam  suatu  bentuk kegiatan gabungan atau kegiatan bersama apabila perusahaan terlibat, pertanggungjawaban muncul sekalipun perbuatan itu dilakukan tanpa menunjuk pada pengurus dalam perusahaan. Doktrin ini dapat berlaku dengan didasarkan pada prinsip pendelegasian wewenang atau “the delegation principle”. Sehingga, niat jahat atau mens rea dari karyawan dibawah perusahaan tersebut dapat dihubungkan ke atasan apabila ada pendelegasian kewenangan dan kewajiban yang relevan menurut Undang-undang.

Sementara Direct Corporate Liability, korporasi dapat dianggap melakukan delik secara langsung melalui para pengurus yang behubungan erat dengan korporasi. Sehingga, pertanggungjawaban pidana langsung dikenakan terhadap para pengurus atau orang-orang yang mendapat delegasi wewenang dari pengurus sebagai tindakan korporasi itu sendiri, dengan akibat bahwa perbuatan dan sikap batin mereka dipandang secara langsung menyebabkan perbuatan-perbuatan tersebut, atau merupakan sikap batin dari korporasi.

Dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, dijelaskan dalam Pasal 66 bahwa:

1. Dalam hal tindak pidana sebagaimana dimaksud dalam Pasal 61 sampai dengan Pasal 64 dilakukan oleh Korporasi, Pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau Korporasi.
2. Pidana yang dapat dijatuhkan terhadap Korporasi hanya pidana denda.
3. Pidana denda yang dijatuhkan kepada Korporasi paling banyak 3 (tiga) kali dari maksimal pidana denda yang diancamkan.
4. Selain dijatuhi pidana denda sebagaimana dimaksud pada ayat (2), Korporasi dapat dijatuhi pidana tambahan berupa:
   1. Perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana;
   2. Pembekuan seluruh atau sebagian usaha korporasi;
   3. Pelarangan permanen melakukan perbuatan tertentu;
   4. Penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan Korporasi;
   5. Melaksanakan kewajiban yang telah dilalaikan; dan
   6. Pembayaran ganti kerugian.

Sehingga, berdasarkan Pasal 66 tersebut, Pertanggungjawaban pidana terhadap Korporasi yang melakukan tindak pidana pelanggaran data sebagaimana diatur dalam Pasal 61 sampai dengan Pasal 64 Undang-Undang Nomor 27 Tahun 2022 akan dikenakan terhadap pengurus, pemegang kendali, pemberi perintah, pemilik manfaat Korporasi. Namun, Korporasi juga dapat dijadikan turut terpidana dengan sanksi pidana berupa denda atau pidana tambahan lain sebagaimana dijelaskan dalam Pasal 66 ayat (4) Undang-Undang Pelindungan Data Pribadi.

Penulis: Durratul Hikmah Benga Tupen Riantobi