Tanggung Jawab BPJS atas Kebocoran Data Pribadi Pesertanya

BPJS selaku Pengendali Data Pribadi

Data pribadi peserta Badan Penyelenggara Jaminan Sosial (“BPJS”) yang Anda sebutkan yaitu nama lengkap, nomor KTP, nomor KK, alamat rumah, tempat tanggal lahir, agama, dan sebagainya, tergolong sebagai data pribadi yang bersifat umum. Data-data tersebut wajib dilindungi berdasarkan UU PDP dan peraturan pelaksananya, yaitu PP 33/2026.

Lantas, apakah BPJS tunduk pada ketentuan UU PDP berkaitan dengan kewajiban untuk melindungi data pribadi pesertanya? BPJS tunduk pada UU PDP, mengingat BPJS merupakan pengendali data pribadi, yaitu setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Selain itu, tunduknya BPJS kepada UU PDP dapat dijelaskan melalui bunyi Pasal 2 ayat (1) UU PDP, sebagai berikut:

Undang-undang ini berlaku untuk setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum sebagaimana diatur dalam undang-undang ini:

1. yang berada di wilayah hukum Negara Republik Indonesia; dan
2. di luar wilayah hukum Negara Republik Indonesia, yang memiliki akibat hukum:

1. di wilayah hukum Negara Republik Indonesia; dan/atau
2. bagi subjek data pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia.

BPJS termasuk kategori pengendali data pribadi berbentuk badan publik, yaitu lembaga eksekutif, legislatif, yudikatif dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari APBN dan/atau APBD, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya dari APBN dan/atau APBD, sumbangan masyarakat, dan/atau luar negeri.

Adapun yang dimaksud BPJS adalah badan hukum yang dibentuk untuk menyelenggarakan program jaminan sosial. BPJS didirikan untuk mewujudkan sistem jaminan sosial nasional yang berbentuk badan hukum publik. Sementara itu, sistem jaminan sosial merupakan program negara yang bertujuan memberikan kepastian perlindungan dan kesejahteraan sosial.

Aset BPJS sendiri salah satunya bersumber dari modal awal dari pemerintah yang merupakan kekayaan negara yang dipisahkan dan tidak terbagi atas saham. Modal awal tersebut ditetapkan masing-masing maksimal Rp2 triliun dari APBN untuk BPJS Kesehatan dan BPJS Ketenagakerjaan.

Dengan demikian, BPJS termasuk dalam kategori badan publik yang berkedudukan sebagai pengendali data pribadi sehingga tunduk pada ketentuan UU PDP.

Tanggung Jawab BPJS atas Kebocoran Data Pribadi

Sebelum menjawab pertanyaan Anda, kami asumsikan bahwa kebocoran data pribadi BPJS terjadi karena ada peretasan pihak ketiga. Perihal hal tersebut, UU PDP memberikan kewajiban-kewajiban kepada pengendali data pribadi (dalam kasus ini BPJS).

Salah satunya adalah kewajiban untuk melakukan pemrosesan data pribadi sesuai dengan prinsip pelindungan data pribadi, salah satunya adalah pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan, yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan dan/atau penghilangan data pribadi.

Lebih lanjut, terdapat juga kewajiban yang diatur dalam Pasal 39 ayat (1) UU PDP, yang menyatakan bahwa pengendali data pribadi wajib mencegah data pribadi diakses secara tidak sah. Pencegahan ini dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab.

Berdasarkan kewajiban-kewajiban tersebut, sudah jelas bahwa BPJS memiliki kewajiban untuk mencegah terjadinya kebocoran data pribadi dari peserta BPJS.

Lantas, bagaimana jika tidak dapat dicegah? Dalam situasi tersebut, maka telah terjadi kegagalan pelindungan data pribadi, yaitu kegagalan melindungi data pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak sengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap data pribadi yang dikirim, disimpan, atau diproses.

Jika sudah terjadi kegagalan pelindungan data pribadi, maka pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam terhitung sejak kegagalan data pribadi diketahui secara pasti, patut, dan wajar, kepada subjek data pribadi dan lembaga yang menyelenggarakan pelindungan data pribadi, yang paling sedikit memuat:

1. data pribadi yang terungkap;
2. kapan dan bagaimana data pribadi terungkap; dan
3. upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.

Pengendali data pribadi juga wajib memberitahukan kepada masyarakat mengenai kegagalan pelindungan data pribadi dalam hal:[12]

1. kegagalan pelindungan data pribadi mengganggu pelayanan publik; dan/atau
2. kegagalan pelindungan data pribadi berdampak serius terhadap kepentingan masyarakat.

Selain itu, pengendali data pribadi menyusun dokumentasi atas terjadinya kegagalan pelindungan data pribadi paling sedikit memuat:[13]

1. data pribadi yang dilindungi;
2. deskripsi kegagalan pelindungan data pribadi;
3. dampak atau akibat kegagalan pelindungan data pribadi terhadap subjek data pribadi dan pengendali data pribadi;
4. upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan
5. jangka waktu pemberitahuan kepada subjek data pribadi dan lembaga.

BPJS juga menetapkan dan melaksanakan kebijakan, prosedur, dan/atau pedoman internal mengenai pencegahan dan penanganan kebocoran data pribadi.

Sanksi bagi BPJS atas Kebocoran Data Pribadi

Terhadap kasus kebocoran data peserta BPJS, pihak BPJS menurut hemat kami telah melanggar kewajiban-kewajiban yang sudah diuraikan di atas. Oleh karena itu, BPJS dapat dikenai sanksi administratif berupa:

1. peringatan tertulis;
2. penghentian sementara semua kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif dikenakan paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.

Dalam hal ini, Anda dapat mengajukan ke lembaga khusus yang menyelenggarakan pelindungan data pribadi yang nantinya akan ditetapkan oleh presiden.

Selain sanksi administratif, peserta BPJS selaku subjek data pribadi yang dirugikan dapat menggugat secara perdata. Hal ini diatur di dalam Pasal 12 ayat (1) UU PDP yang menyebutkan bahwa subjek data pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi berdasarkan Pasal 1365 KUH Perdata tentang perbuatan melawan hukum.

Jerat Pidana Penyebar Data Diri Hasil Peretasan

Di lain sisi, pelaku yang meretas sistem BPJS dan menyebarkan data pribadi peserta BPJS melalui Telegram, diancam dengan pidana berdasarkan UU PDP. Hal tersebut sebagaimana tercantum dalam Pasal 67 ayat (1) dan (2) UU PDP jo. Pasal II ayat (5) huruf d UU 1/2026, yang mengatur:

1. Setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi dipidana dengan pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.
2. Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya dipidana dengan pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta.

Selain pada ketentuan UU PDP, pelaku peretasan juga menurut hemat kami dapat dijerat dengan ketentuan Pasal 332 UU 1/2023 jo. Pasal VII angka 35 UU 1/2026, yang berbunyi:

1. Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik milik orang lain dengan cara apa pun, dipidana dengan pidana penjara paling lama 6 tahun atau pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.
2. Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik dengan cara apa pun dengan tujuan untuk memperoleh informasi elektronik dan/atau dokumen elektronik, dipidana dengan pidana penjara paling lama 7 tahun atau pidana denda paling banyak kategori V, yaitu sebesar Rp500 juta.
3. Setiap orang yang tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik dengan cara apa pun dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan, dipidana dengan pidana penjara paling lama 8 tahun atau pidana denda paling banyak kategori VI, yaitu sebesar Rp2 miliar.

Muhammad Raihan Nugraha, S.H.