Ponsel Admin Hilang atau Akun Dibobol: Catatan Insiden dan Pemberitahuan 3 x 24 Jam
PP 33/2026 yang berlaku 16 Januari 2027 mewajibkan setiap kegagalan pelindungan data didokumentasikan, dengan tenggat pemberitahuan 3 x 24 jam sejak kegagalan dipastikan. Ini lembar insiden satu halaman untuk usaha kecil.Mulai 16 Januari 2027, PP 33/2026 mewajibkan setiap kegagalan pelindungan data pribadi didokumentasikan, dan menetapkan tenggat pemberitahuan 3 x 24 jam yang dihitung sejak kegagalan itu dipastikan. Demikian ulasan SIP Law Firm tertanggal 23 Oktober 2026 atas aturan pelaksana UU Pelindungan Data Pribadi tersebut, yang juga menyebut prosedur internal pencegahan dan penanganan harus tersedia.
Di usaha kecil, "kegagalan pelindungan data" jarang berbentuk peretasan canggih. Bentuknya ponsel admin tertinggal di ojek, akun marketplace yang kata sandinya ditebak, atau lembar kerja pelanggan yang terbagi ke orang yang salah. Untuk setiap insiden kebocoran data, besar atau kecil, tulisan ini menawarkan satu kebiasaan: catat, nilai, baru putuskan.
Apa yang diatur
Dari ulasan SIP Law Firm:
- Tenggat 3 x 24 jam mulai berjalan setelah kegagalan dipastikan "pasti, patut, dan wajar" berdasarkan dokumentasi, misalnya log sistem dan laporan forensik.
- Setiap kegagalan wajib didokumentasikan, termasuk data yang terdampak, kronologi, dampak, pemulihan, dan waktu pemberitahuan.
- Prosedur internal untuk pencegahan dan penanganan harus tersedia.
Yang tidak dirinci dalam ulasan itu sama pentingnya. Kami tidak menemukan di sana kepada siapa pemberitahuan dikirim, bagaimana formatnya, atau adakah ambang untuk insiden kecil. Ulasan yang sama mencatat lembaga pelindungan data pribadi belum terbentuk sepenuhnya per September 2026. Karena itu kami tidak menulis bahwa setiap ponsel yang hilang wajib dilaporkan. Yang bisa dipastikan: mencatat itu wajib, dan menilai membutuhkan catatan.
Contoh yang sedang berjalan
Satu kasus besar memberi gambaran urutan kerjanya. Menurut Katadata, 5 November 2026, PT Fore Kopi Indonesia Tbk melaporkan dugaan kegagalan pelindungan data pribadi ke Komdigi pada 28 Oktober 2026, menyatakan telah mengamankan sistem dalam 24 jam, dan meminta pelanggan mengganti PIN. Komdigi menyatakan bila terbukti ada kelalaian, tindakan atau sanksi administratif dapat dikenakan sesuai UU PDP dan PP PSTE.
Kasus itu masih berstatus dugaan dan masih diperiksa, jadi tidak ada yang bisa disimpulkan soal penyebab atau kesalahan. Yang relevan bagi kita hanya polanya: amankan, catat, beri tahu, dan minta pelanggan mengambil langkah pengaman.
Lembar insiden satu halaman
Bagian ini saran praktis kami. Cetak atau simpan sebagai templat, dan isi setiap kali ada kejadian, sekecil apa pun.
| Bagian | Yang ditulis |
|---|---|
| Apa yang terjadi | Satu kalimat: "Ponsel admin toko hilang di perjalanan pulang" |
| Kapan diketahui | Tanggal dan jam, serta siapa yang pertama tahu |
| Kronologi | Urutan kejadian dengan jam, termasuk hal yang belum diketahui |
| Data yang mungkin terdampak | Jenis data dan perkiraan jumlah pelanggan |
| Dampak | Apa yang bisa dilakukan orang lain dengan data itu |
| Langkah pemulihan | Apa yang dilakukan, oleh siapa, jam berapa |
| Penilaian | Apakah kegagalan pelindungan data dipastikan terjadi, dan dasarnya |
| Pemberitahuan | Kepada siapa, kapan, lewat apa, isi pesannya |
| Pencegahan | Satu perubahan agar tidak terulang |
Lima baris pertama mengikuti unsur dokumentasi yang disebut dalam ulasan tadi. Sisanya membantu Anda mengambil keputusan.
Satu jam pertama
Urutan ini berlaku untuk dua kejadian paling umum.
Ponsel yang memegang nomor usaha hilang:
- Kunci atau hapus ponsel dari jarak jauh bila fiturnya aktif.
- Keluarkan semua perangkat tertaut dari akun WhatsApp usaha, lalu pindahkan nomor ke kartu SIM pengganti lewat operator.
- Ganti kata sandi email, marketplace, dan aplikasi lain yang sedang masuk di ponsel itu.
- Tulis kronologi selagi masih ingat.
Akun dibobol atau dipakai orang lain:
- Ganti kata sandi dan keluarkan semua sesi aktif.
- Nyalakan verifikasi dua langkah.
- Nonaktifkan akses staf yang sudah tidak bertugas, dan periksa apakah ada penerusan email atau perangkat tertaut yang tidak dikenal.
- Simpan bukti: tangkapan layar riwayat masuk, email peringatan, pesan mencurigakan. Ini dokumentasi yang kelak menjadi dasar penilaian.
Menilai: perlu memberi tahu atau tidak
Karena tenggat dihitung sejak kegagalan dipastikan, jangan menunda penilaian. Tiga pertanyaan membantu:
- Apakah ada data pelanggan di perangkat atau akun itu, dan data jenis apa?
- Apakah ada tanda data itu dibuka atau disalin orang lain? Ponsel terkunci yang dihapus dari jarak jauh berbeda dengan akun yang riwayatnya menunjukkan login asing.
- Bila data itu jatuh ke tangan orang lain, apa yang bisa menimpa pelanggan? Penipuan yang mengatasnamakan usaha Anda adalah risiko yang paling nyata.
Tulis jawabannya di lembar insiden beserta dasarnya. Bila jawabannya "tidak terdampak", catatan itu tetap disimpan. Bila jawabannya "ya" atau "tidak yakin", hubungi konsultan hukum pada hari itu juga untuk menentukan kepada siapa dan bagaimana memberi tahu, karena rincian itu tidak tersedia di sumber kami.
Pesan ke pelanggan
Bila Anda memutuskan memberi tahu pelanggan, tulis pendek dan jujur:
- Apa yang terjadi dan kapan.
- Data jenis apa yang mungkin terdampak.
- Apa yang sudah Anda lakukan.
- Apa yang perlu mereka lakukan, termasuk mengabaikan pesan yang meminta kode OTP atau transfer atas nama usaha Anda.
- Nomor resmi untuk bertanya.
Siapkan drafnya sekarang, saat tidak ada kejadian.
Mencegah lebih murah
Tiga kebiasaan mengurangi isi lembar insiden berikutnya: nomor usaha tidak hanya hidup di satu ponsel pribadi, setiap staf punya akses sendiri yang bisa dicabut, dan data pelanggan tidak disalin ke tempat yang tidak perlu. Kotak masuk WhatsApp bersama di Polynusa, yang dikerjakan beberapa staf dari nomor usaha, membantu untuk yang pertama. Rinciannya di halaman harga.
Catatan: tulisan ini bukan nasihat hukum. Pastikan kewajiban pemberitahuan untuk kasus Anda kepada konsultan hukum atau otoritas yang berwenang.
Sumber
- SIP Law Firm, 23 Oktober 2026: PP 33/2026 Pelindungan Data Pribadi
- Katadata, 5 November 2026: Komdigi Periksa Dugaan Kebocoran 5,7 Juta Data Pelanggan Fore
FAQ
Kapan tenggat pemberitahuan 3 x 24 jam mulai dihitung?
Menurut ulasan SIP Law Firm atas PP 33/2026, hitungan dimulai setelah kegagalan pelindungan data dipastikan secara pasti, patut, dan wajar berdasarkan dokumentasi seperti log sistem dan laporan forensik.
Apakah setiap ponsel admin yang hilang wajib dilaporkan?
Sumber yang kami baca tidak merinci ambang insiden kecil maupun kepada siapa pemberitahuan dikirim, jadi kami tidak menyatakan demikian. Yang aman adalah mencatat setiap kejadian, menilai apakah data pelanggan terdampak, dan bertanya kepada konsultan bila ragu.
Apa yang harus ada dalam catatan insiden?
Sekurangnya data yang terdampak, kronologi, dampak, langkah pemulihan, dan waktu pemberitahuan. Itu unsur dokumentasi yang disebut dalam ulasan PP 33/2026.