Insiden Kebocoran Data: Kewajiban Notifikasi 72 Jam UU PDP & Playbook Respons
Pencuri data menunggu 200 hari untuk dijual. UU PDP menunggu 72 jam untuk Anda lapor — yang lebih siap menang di pengadilan.
Pasal 46: Apa yang Wajib Dilakukan dalam 72 Jam?
Pengendali yang mengalami kebocoran wajib tertulis:
- Ke Lembaga PDP — secepatnya, maksimal 3x24 jam sejak menyadari (awareness, bukan forensik selesai)
- Ke Subjek Data — jika berisiko tinggi terhadap hak (mis: NIK + finansial + alamat bocor) — bahasa Indonesia jelas, bukan jargon
Isi Notifikasi (checklist)
- Sifat insiden, kategori & perkiraan jumlah subjek/record terdampak
- Kontak DPO / titik kontak
- Konsekuensi yang mungkin (penipuan, phishing)
- Upaya mitigasi: password reset, monitoring, ganti rugi
Playbook 6 Langkah Snipeyes (72 jam pertama)
- Contain (0-6 jam): isolate, revoke key, snapshot forensik
- Assess (6-24 jam): kategori data, jumlah, risiko — tentukan perlu notif subjek atau tidak
- Notify Lembaga (≤72 jam): laporan awal (boleh dilengkapi laporan susulan)
- Notify Subjek (jika risiko tinggi): email terenkripsi + info call center, bukan link berisiko phishing
- Remediate: patch, rotation, harden — buktikan di laporan
- Post-incident: ROPA & DPIA update + pelajaran untuk audit
Denda Jika Terlambat
Keterlambatan notifikasi = sanksi administratif + memperberat denda/penjara jika dibawa ke pidana (Pasal 67). Dokumentasi timeline forensik jadi bukti pembelaan.
Siapkan “Breach Envelope” — template notifikasi + kontak Lembaga PDP + daftar prosesor — latihan tabletop tiap semester.
Template Notifikasi 72 Jam — Download → · SOC 24/7 untuk Deteksi Dini →