Pelindungan Data Pribadi Nasabah Berdasarkan Undang-Undang Nomor 27 Tahun 2022 Pada Perusahaan Asuransi XYZ di Kota Jakarta Selatan

IVO SANTRI LUBIS, Dina W Kariodimedjo, S.H., LL.M., Ph.D.

2026 | Tesis | S2 ILMU HUKUM JAKARTA

Penelitian ini menganalisis peran dan batas tanggung jawab Data Protection Officer (DPO) dan pertanggungjawaban hukum Perusahaan Asuransi XYZ sebagai pengendali data pribadi dalam kerangka Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Penelitian ini dilatarbelakangi oleh tingginya risiko pemrosesan data sensitif dalam industri asuransi, khususnya data kesehatan dan data polis, yang berpotensi menimbulkan konsekuensi hukum apabila terjadi pelanggaran pelindungan data pribadi (data breach).

Penelitian ini menggunakan pendekatan yuridis normatif yang diperkaya dengan data empiris melalui studi kasus pada Perusahaan Asuransi XYZ. Analisis dilakukan dengan menggunakan kerangka teori akuntabilitas dan pertanggungjawaban hukum korporasi untuk mengidentifikasi subjek hukum yang memikul kewajiban normatif (bearer of obligation) dalam rezim pelindungan data pribadi.

Hasil penelitian menunjukkan bahwa DPO memiliki fungsi koordinatif dan advisory dalam struktur tata kelola perusahaan, namun tidak memikul pertanggungjawaban hukum eksternal atas pemrosesan data pribadi. Pertanggungjawaban hukum secara normatif tetap melekat pada perusahaan sebagai pengendali data pribadi. Risiko pertanggungjawaban terutama bersumber dari kelemahan struktural dalam sistem pengendalian internal, khususnya pada pengamanan teknis, koordinasi pelaporan insiden, dan pengawasan vendor. Dalam hal terjadi pelanggaran, bentuk pertanggungjawaban yang paling mungkin timbul adalah sanksi administratif, disertai kemungkinan gugatan perdata, sedangkan pertanggungjawaban pidana bersifat residual dan bergantung pada pembuktian kesengajaan atau kelalaian berat yang sistemik. Penelitian ini menyimpulkan bahwa model pertanggungjawaban yang paling mungkin diterapkan dalam praktik peradilan Indonesia adalah pendekatan hibrida yang menggabungkan dimensi administratif dan perdata dalam satu rangkaian peristiwa hukum.

This research examines trhe role and limitation of liability of the Data Protection Officer (DPO) as well as the legal liability of Insurance Company XYZ as a data controller under Law Number 27 of 2022 on Personal Data Protection (PDP Law). The study is motivsted by the significant risks associated with the processing of sensitive personal data in the insurance secotr, particularly health records and policyholder data, which may lead to legal consequences in the event of a personal data breach.

This research employs a normative juridical approach enriched with empirical findings through a case study of Insurance Company XYZ. The analysis is conducted using accountability theory and corporate liability doctrine to determine the legal subject designated as the bearer of obligation within the personal data protection regime.

The findings indicate that the DPO performs a coordinative and advisory function within then corporate governance structure and does not bear external legal liability for personal data processing. Normatively, legal responsibility remains attached to the company as the data controller. The potential liability primariry arises from structural weaknesses in internal control systems, particularly in technical safeguards, incident reporting coordination, and vendor oversight. In the event of a violation, administrative sanctions are the most probable form of liability, potentially accompanied by civil claims, while criminal liability remains residual anf contingent upon proof of intent or gross systemic negligence. The study concludes that the most likely model of liability to be applied in Indonesian judicial practice is a hybrid approach, combining adminstrative anf civil dimensions within a single legal event.

Kata Kunci : Pelindungan Data Pribadi, Data Protection Officer, Pengendali Data Pribadi, Pertanggungjawaban Hukum, Akuntabilitas Korporasi, Data Breach, Industri Asuransi.