Data Pribadi Mahasiswa Bocor, Siapa Bertanggung Jawab?

Ilustrasi perlindungan data pribadi mahasiswa dalam transaksi digital. Gambar dibuat menggunakan kecerdasan buatan (AI), bukan foto dokumentasi asli.

Awal 2026, pemberitaan mengenai dugaan kebocoran data pribadi mahasiswa di sejumlah kampus Indonesia kembali menjadi perhatian publik. Persoalan ini bukan hanya menimbulkan kekhawatiran di kalangan mahasiswa, tetapi juga memunculkan pertanyaan mengenai siapa yang sebenarnya harus bertanggung jawab ketika data pribadi tersebar.

Sebagai mahasiswi Prodi Ilmu Hukum, saya melihat persoalan ini bukan sekadar tentang siapa yang lalai menjaga data. Ada hal yang lebih penting untuk dibahas, yaitu bagaimana hukum memberikan perlindungan kepada pemilik data, dan apakah perlindungan tersebut benar-benar dapat dirasakan oleh mahasiswa dalam transaksi digital sehari-hari.

Hampir seluruh aktivitas kita kini berjalan melalui layar, mulai dari membayar UKT, mendaftar beasiswa, menggunakan sistem informasi akademik, hingga berbelanja di marketplace. Setiap aktivitas tersebut meninggalkan data seperti NIK, nomor ponsel, alamat, foto kartu identitas, dan data rekening. Menurut saya, semakin banyak data yang kita serahkan, semakin penting pula kejelasan mengenai siapa yang wajib menjaganya.

Mengapa Data Pribadi Mahasiswa Begitu Rentan?

Jika melihat kembali pola penggunaan layanan digital, kerentanan mahasiswa tidak semata-mata disebabkan oleh kelalaian pribadi. Dalam banyak kasus, persetujuan diberikan hanya dengan menekan tombol “setuju” tanpa membaca syarat dan ketentuan yang panjang. Hubungan antara pengguna dan penyelenggara layanan juga tidak seimbang karena layanan baru dapat diakses apabila seluruh persyaratan diterima.

Selain itu, kebutuhan finansial kerap mendorong sebagian mahasiswa menyerahkan dokumen identitas kepada platform yang legalitasnya belum jelas. Akibatnya, data dapat disalahgunakan untuk penipuan, pinjaman daring atas nama korban, hingga teror penagihan kepada orang yang tidak bersalah.

Pakar keamanan siber dari IPB University menyampaikan bahwa dugaan kebocoran yang beredar masih berupa indikasi awal dan belum dapat disimpulkan sebagai kesalahan pihak tertentu. Namun, ia menegaskan bahwa data yang telah bocor sangat sulit ditarik kembali (IPB University, 2026). Pernyataan ini menunjukkan bahwa pencegahan sama pentingnya dengan penegakan hukum.

Apa Kata Hukum tentang Perlindungan Data Pribadi?

Secara konstitusional, Pasal 28G ayat (1) UUD 1945 menjamin hak setiap orang atas perlindungan diri pribadi. Hak tersebut kemudian dijabarkan melalui Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).

Dalam undang-undang ini, pemilik data diakui memiliki sejumlah hak, termasuk hak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan datanya (Pasal 12). Pemrosesan data juga harus memiliki dasar yang sah, salah satunya persetujuan eksplisit (Pasal 20). Bahkan, klausul perjanjian yang meminta pemrosesan data tanpa persetujuan eksplisit yang sah dinyatakan batal demi hukum (Pasal 23).

Apabila terjadi kegagalan pelindungan data, pengendali wajib memberitahukan subjek data secara tertulis paling lambat 3 x 24 jam (Pasal 46). Pelanggaran dapat dikenai sanksi administratif (Pasal 57), sedangkan pengumpulan atau penggunaan data secara melawan hukum diancam pidana penjara hingga lima tahun dan denda hingga Rp5 miliar (Pasal 67).

Pengaturan ini diperkuat dengan Peraturan Pemerintah Nomor 33 Tahun 2026 yang ditetapkan pada 16 Juli 2026 dan mulai berlaku penuh pada 16 Januari 2027. Peraturan ini, antara lain, menegaskan hak subjek data untuk menggugat dan menerima ganti rugi (Pasal 105). Di luar UU PDP, jalur perdata juga dapat ditempuh melalui Pasal 1365 KUHPerdata, dan akses ilegal terhadap sistem elektronik dapat dijerat melalui Pasal 30 UU ITE.

Siapa yang Bertanggung Jawab atas Data Pribadi Mahasiswa?

Karena data mengalir melalui banyak pihak, menurut saya tanggung jawabnya bersifat berlapis. Pengendali data, yaitu platform, perusahaan, atau institusi yang menentukan tujuan dan cara pemrosesan, memikul tanggung jawab utama dan wajib menunjukkan pertanggungjawabannya (Pasal 47 UU PDP). Pihak yang mengolah data atas nama pengendali juga bertanggung jawab sesuai perannya.

Perguruan tinggi berada pada posisi yang tidak kalah penting. Sebagai pengelola sistem akademik, pembayaran, dan kerja sama dengan pihak ketiga, kampus berkedudukan sebagai pengendali data sivitas akademikanya. Untuk kampus yang berstatus badan publik, permintaan ganti rugi diajukan melalui ketentuan hukum tata usaha negara, sehingga jalurnya berbeda dari platform swasta (Untari, 2026). Sementara itu, peretas atau pihak yang memperjualbelikan data dapat dimintai pertanggungjawaban pidana.

Mengapa Pengawasan Menjadi Persoalan?

Di sinilah persoalan yang menurut saya paling perlu diperhatikan. UU PDP mengamanatkan pembentukan lembaga pelindungan data pribadi sebagai otoritas independen (Pasal 58 ayat (2)). Namun, hingga kini lembaga tersebut belum beroperasi efektif. Selama masa transisi, Kementerian Komunikasi dan Digital menjalankan fungsi pengawasan dan menangani dugaan pelanggaran (Dewi, 2026).

Sejumlah pengamat menilai penerapan UU PDP dan PP 33/2026 belum dapat berjalan efektif tanpa lembaga tersebut, yang diperkirakan baru berfungsi paling cepat pada 2028. Mekanisme pengaduan bagi subjek data juga ikut terkendala karena membutuhkan peran lembaga (Untari, 2026).

Artinya, hak mahasiswa sudah diakui di atas kertas, tetapi jalur untuk menegakkannya belum sepenuhnya terbuka. Dalam masa transisi ini, risiko justru ditanggung oleh pemilik data.

Apa yang Seharusnya Dilakukan ke Depan?

Melihat kondisi tersebut, saya berpendapat ada beberapa hal yang perlu menjadi perhatian.

Pertama, pemerintah perlu mempercepat pembentukan dan pengoperasian lembaga pengawas, disertai penjelasan kepada publik mengenai mekanisme pengaduan selama masa transisi. Dengan begitu, masyarakat tidak berada dalam ketidakpastian ketika datanya disalahgunakan.

Kedua, perguruan tinggi perlu menerapkan prinsip minimisasi data, menunjuk pejabat pelindungan data pribadi sebagaimana diatur dalam PP 33/2026, dan terbuka kepada sivitas akademika ketika terjadi insiden.

Ketiga, mahasiswa perlu lebih berhati-hati dengan memberikan data seperlunya, memastikan layanan keuangan terdaftar dan diawasi OJK, mengaktifkan verifikasi dua langkah, serta mendokumentasikan bukti dan melapor apabila datanya disalahgunakan. Hukum bekerja setelah kerugian terjadi, sedangkan kewaspadaan bekerja sebelum kerugian terjadi.

Perlindungan Data dan Kepercayaan Masyarakat

Pada akhirnya, saya berpendapat bahwa persoalan data pribadi tidak dapat dibebankan hanya kepada satu pihak. Penyelenggara wajib menjaga amanah, kampus wajib melindungi sivitasnya, negara wajib menghadirkan pengawasan yang bekerja, dan mahasiswa perlu menggunakan hak yang telah diberikan hukum.

Sebagai mahasiswi, saya berharap perlindungan data pribadi tidak berhenti sebagai norma di atas kertas. Sebab, perlindungan hukum yang baik bukan hanya membuat masyarakat mengetahui haknya, tetapi juga merasa aman menggunakan haknya.

Referensi

Dewi, I. R. (2026, 4 Februari). Telat 2 tahun, Komdigi janji badan penjaga data warga RI berdiri 2026. CNBC Indonesia.

IPB University. (2026, Februari). Soal dugaan kebocoran data mahasiswa, pakar sistem keamanan siber IPB University ingatkan risiko serius. IPB University.

Republik Indonesia. (1945). Undang-Undang Dasar Negara Republik Indonesia Tahun 1945.

Republik Indonesia. (2022). Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Republik Indonesia. (2026). Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

RRI. (2026, 27 Januari). Kebocoran data mahasiswa, bom waktu di dunia pendidikan. RRI.co.id.

Untari, P. H. (2026, 8 September). UU dan PP sudah ada, pengamat: Aturan PDP belum efektif tanpa lembaga. Bisnis.com.