Hukumnya Menggunakan Data Pribadi Curian untuk Paket COD

Perkembangan belanja daring memberikan kemudahan bagi masyarakat untuk membeli berbagai kebutuhan tanpa harus datang langsung ke toko. Salah satu metode pembayaran yang banyak digunakan adalah cash on delivery (COD), yaitu pembayaran yang dilakukan ketika barang diserahkan kepada penerima. Namun, metode ini juga dapat disalahgunakan, misalnya ketika seseorang memesan barang menggunakan nama dan alamat orang lain tanpa izin.

Situasi tersebut dapat menimbulkan kerugian, terutama apabila anggota keluarga yang menerima paket mengira pesanan itu benar-benar dibuat oleh penghuni rumah, lalu membayar barang yang sebenarnya tidak pernah dipesan. Selain persoalan pembayaran, penggunaan identitas tanpa izin juga dapat menimbulkan dugaan pelanggaran hukum, khususnya terkait perjanjian jual beli dan pelindungan data pribadi.

Lantas, apakah penerima wajib membayar paket COD yang tidak pernah dipesannya? Bagaimana hukum terhadap orang yang menggunakan data pribadi orang lain untuk membuat pesanan? Berikut penjelasannya.

Apakah Penerima Wajib Membayar Paket COD yang Tidak Dipesan?

Pada dasarnya, transaksi jual beli membutuhkan kesepakatan antara penjual dan pembeli. Pasal 1458 Kitab Undang-Undang Hukum Perdata (KUH Perdata) menyatakan bahwa jual beli dianggap telah terjadi setelah para pihak mencapai kesepakatan mengenai barang dan harganya, meskipun barang belum diserahkan dan pembayaran belum dilakukan.

Prinsip tersebut juga berlaku dalam perdagangan melalui sistem elektronik. Pasal 63 ayat (1) Peraturan Pemerintah Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik mengatur bahwa pedagang wajib mengirimkan barang atau jasa setelah persetujuan pembelian dilakukan. Sementara itu, Pasal 64 ayat (3) menyatakan bahwa pelaku usaha tidak dapat membebankan kewajiban pembayaran kepada konsumen atas barang yang dikirim tanpa dasar kontrak.

Dengan demikian, apabila seseorang tidak pernah memesan barang, tidak memberikan persetujuan pembelian, dan tidak memiliki hubungan kontraktual yang menjadi dasar transaksi, orang tersebut pada prinsipnya tidak dapat diwajibkan membayar paket COD hanya karena nama dan alamatnya tercantum pada kemasan.

Hal yang sama perlu diperhatikan ketika paket diterima oleh anggota keluarga. Apabila anggota keluarga membayar karena mengira paket tersebut benar-benar dipesan oleh penghuni rumah, pembayaran itu tidak serta-merta membuktikan bahwa orang yang namanya tercantum pada paket telah menyetujui transaksi.

Jika menerima paket yang tidak dikenal, langkah yang lebih aman adalah memeriksa informasi pengirim, menghubungi penjual atau platform, dan menyampaikan bahwa pesanan tersebut tidak pernah dibuat. Jangan terburu-buru membayar paket yang tidak dapat dipastikan asal-usulnya.

Kedudukan Perjanjian COD yang Tidak Disetujui

Selain ketentuan jual beli, persoalan ini berkaitan dengan syarat sah perjanjian dalam Pasal 1320 KUH Perdata. Pasal tersebut menetapkan empat syarat, yaitu:

1. Kesepakatan para pihak yang mengikatkan diri.
2. Kecakapan untuk membuat perjanjian.
3. Adanya objek atau hal tertentu.
4. Adanya sebab yang halal atau tidak terlarang.

Kesepakatan dan kecakapan merupakan syarat subjektif, sedangkan objek tertentu dan sebab yang halal merupakan syarat objektif.

Apabila kesepakatan tidak pernah diberikan oleh seseorang yang namanya digunakan dalam pesanan, tidak tepat menganggap orang tersebut otomatis terikat sebagai pembeli. Akan tetapi, perlu diperiksa terlebih dahulu siapa yang sebenarnya membuat pesanan dan apakah terdapat bukti persetujuan dari pihak yang melakukan transaksi.

Jika memang tidak pernah ada kesepakatan antara penerima dan penjual, persoalan utamanya adalah tidak adanya dasar kontrak yang membebankan kewajiban pembayaran kepada penerima tersebut. Dalam keadaan demikian, penerima dapat menyampaikan keberatan kepada penjual atau platform dan meminta pembatalan transaksi.

Tidak setiap kasus harus langsung diselesaikan melalui gugatan pengadilan. Jalur pengaduan kepada penjual, platform perdagangan elektronik, atau pihak terkait dapat ditempuh terlebih dahulu. Apabila muncul sengketa yang tidak terselesaikan, langkah hukum berikutnya dapat dipertimbangkan berdasarkan bukti dan keadaan perkara.

Hukum Menggunakan Nama dan Alamat Orang Lain untuk Memesan Paket COD

Nama dan alamat yang dapat dihubungkan dengan seseorang merupakan informasi yang perlu dilindungi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengatur pelindungan terhadap informasi yang mengidentifikasi atau dapat digunakan untuk mengidentifikasi seseorang.

Pasal 4 ayat (3) UU PDP memasukkan nama lengkap sebagai salah satu jenis data pribadi yang bersifat umum. Alamat juga dapat menjadi data pribadi apabila, secara sendiri atau bersama informasi lain, memungkinkan seseorang diidentifikasi.

Oleh karena itu, penggunaan nama dan alamat orang lain untuk membuat pesanan tanpa dasar yang sah dapat menimbulkan persoalan hukum. Namun, penilaian terhadap pelanggaran tidak cukup hanya berdasarkan adanya perbedaan nama pemesan dan penerima. Perlu diperiksa bagaimana data tersebut diperoleh, untuk tujuan apa data digunakan, apakah terdapat dasar pemrosesan yang sah, serta apakah perbuatan tersebut memenuhi unsur pelanggaran atau tindak pidana.

Pasal 20 UU PDP mengatur dasar pemrosesan data pribadi. Persetujuan yang sah dan eksplisit dari subjek data merupakan salah satu dasar pemrosesan, tetapi bukan satu-satunya dasar yang dikenal undang-undang. Karena itu, tidak tepat menyimpulkan bahwa setiap pemrosesan data pribadi tanpa persetujuan pasti melanggar hukum tanpa memeriksa kemungkinan dasar pemrosesan lainnya.

Meski demikian, seseorang yang sengaja memperoleh, mengungkapkan, atau menggunakan data pribadi milik orang lain secara melawan hukum dapat menghadapi konsekuensi hukum apabila unsur yang ditetapkan dalam peraturan terpenuhi.

Ancaman Pidana Berdasarkan UU Pelindungan Data Pribadi

UU PDP memuat larangan terhadap penggunaan data pribadi secara melawan hukum. Pasal 65 mengatur tiga jenis perbuatan yang dilarang, yaitu memperoleh atau mengumpulkan data pribadi milik orang lain secara melawan hukum dengan maksud menguntungkan diri sendiri atau orang lain yang dapat merugikan subjek data, mengungkapkan data pribadi milik orang lain secara melawan hukum, serta menggunakan data pribadi yang bukan miliknya secara melawan hukum.

Ketentuan pidananya diatur dalam Pasal 67 UU PDP. Setelah penyesuaian melalui Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana, ancaman pidananya perlu dibaca berdasarkan rumusan yang telah disesuaikan.

Secara ringkas, ancaman tersebut meliputi:

1. Memperoleh atau mengumpulkan data pribadi secara melawan hukum. Jika unsur Pasal 65 ayat (1) terpenuhi, Pasal 67 ayat (1) mengatur pidana penjara paling lama lima tahun dan/atau denda paling banyak kategori IV.
2. Mengungkapkan data pribadi milik orang lain secara melawan hukum. Jika unsur Pasal 65 ayat (2) terpenuhi, Pasal 67 ayat (2) mengatur pidana penjara paling lama empat tahun dan/atau denda paling banyak kategori IV.
3. Menggunakan data pribadi milik orang lain secara melawan hukum. Jika unsur Pasal 65 ayat (3) terpenuhi, Pasal 67 ayat (3) mengatur pidana penjara paling lama lima tahun dan/atau denda paling banyak kategori IV.

Kategori IV dalam ketentuan pidana yang berlaku merujuk pada denda paling banyak Rp200.000.000. Ancaman tersebut bukan berarti setiap kasus penggunaan nama dan alamat untuk paket COD otomatis dikenai hukuman maksimal. Penegak hukum harus membuktikan unsur tindak pidana yang relevan, termasuk sifat melawan hukum dan unsur lain yang dipersyaratkan oleh pasal terkait.

Selain pidana pokok, Pasal 69 UU PDP juga mengatur kemungkinan penjatuhan pidana tambahan berupa perampasan keuntungan atau harta kekayaan yang diperoleh dari tindak pidana serta pembayaran ganti kerugian, sesuai dengan ketentuan hukum yang berlaku.

Perlu diperhatikan pula bahwa Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP telah ditetapkan, tetapi baru mulai berlaku pada 16 Januari 2027. Dengan demikian, pada 28 Oktober 2026, peraturan tersebut belum berlaku efektif. Penilaian atas peristiwa yang terjadi sebelum tanggal berlakunya perlu didasarkan pada ketentuan yang sudah berlaku pada saat peristiwa terjadi, termasuk UU PDP dan peraturan lain yang relevan.

Siapa yang Dapat Menjadi Korban dan Pihak yang Bertanggung Jawab?

Dalam kasus paket COD yang menggunakan data pribadi tanpa izin, pihak yang namanya atau datanya digunakan dapat mengalami kerugian karena identitasnya dipakai untuk transaksi yang tidak pernah disetujui. Apabila anggota keluarga membayar paket tersebut, orang yang melakukan pembayaran juga mungkin mengalami kerugian finansial.

Pihak yang sengaja memperoleh atau menggunakan data pribadi secara melawan hukum dapat dimintai pertanggungjawaban apabila perbuatannya memenuhi unsur yang ditentukan oleh peraturan. Namun, penentuan pelaku perlu didasarkan pada bukti, bukan semata-mata dugaan.

Penjual, penyedia marketplace, dan perusahaan ekspedisi juga tidak otomatis menjadi pelaku pencurian data hanya karena terlibat dalam proses pemesanan atau pengiriman. Tanggung jawab masing-masing pihak perlu ditentukan berdasarkan peran, sumber data, tindakan yang dilakukan, dan kewajiban hukum yang berlaku. Apabila ditemukan bahwa pihak tertentu turut melakukan pelanggaran, pertanggungjawabannya harus dinilai secara terpisah sesuai dengan ketentuan yang relevan.

Langkah Hukum Jika Data Pribadi Digunakan untuk Paket COD

Jika menerima paket COD yang tidak pernah dipesan, terdapat sejumlah langkah yang dapat dilakukan untuk mengurangi kerugian dan menyiapkan bukti apabila masalah berkembang menjadi sengketa.

Pertama, hubungi penjual atau platform perdagangan elektronik. Sampaikan bahwa Anda tidak pernah melakukan pemesanan dan minta agar transaksi diperiksa serta dibatalkan. Simpan nomor laporan atau bukti komunikasi yang diberikan.

Kedua, kumpulkan bukti yang berkaitan dengan paket. Bukti dapat berupa foto label pengiriman, nomor resi, nama toko, pesan dari kurir, bukti pembayaran, serta komunikasi dengan penjual atau platform. Hindari menyebarkan foto label paket secara terbuka karena dapat mengungkap data pribadi pihak lain.

Ketiga, ajukan pengaduan apabila terdapat dugaan penyalahgunaan data. Jika terdapat indikasi bahwa nama dan alamat diperoleh atau digunakan secara melawan hukum, korban dapat melaporkannya kepada kepolisian. Bukti yang telah dikumpulkan dapat membantu proses pemeriksaan.

Keempat, pertimbangkan tuntutan ganti rugi apabila terdapat kerugian. Pasal 12 ayat (1) UU PDP memberikan hak kepada subjek data pribadi untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Pasal 1365 KUH Perdata juga dapat menjadi dasar tuntutan perbuatan melawan hukum apabila unsur-unsurnya terpenuhi.

Apabila paket telah dibayar oleh anggota keluarga, simpan bukti pembayaran dan dokumentasikan alasan pembayaran dilakukan. Bukti tersebut dapat membantu menjelaskan bagaimana kerugian terjadi dan siapa yang mengalaminya.

Tips Mencegah Penyalahgunaan Data Pribadi

Pelindungan data pribadi tidak hanya bergantung pada tindakan penegak hukum, tetapi juga pada kebiasaan masyarakat dalam menjaga informasi yang dapat mengidentifikasi dirinya. Beberapa langkah berikut dapat membantu mengurangi risiko penyalahgunaan.

1. Hindari mengklik tautan mencurigakan yang dikirim melalui pesan, surel, atau media sosial.
2. Periksa keamanan situs sebelum memasukkan informasi pribadi.
3. Gunakan kata sandi yang kuat dan berbeda untuk akun penting.
4. Aktifkan autentikasi dua faktor jika tersedia.
5. Jangan menggunakan informasi yang mudah ditebak, seperti tanggal lahir, sebagai kata sandi.
6. Batasi penyebaran nama lengkap, alamat rumah, nomor telepon, dan informasi pribadi lainnya di ruang publik.
7. Periksa kembali detail transaksi dan konfirmasi pesanan sebelum menyelesaikan pembelian.
8. Beri tahu anggota keluarga agar tidak langsung membayar paket COD yang tidak dikenali atau belum dikonfirmasi oleh orang yang namanya tercantum sebagai penerima.
9. Simpan bukti komunikasi dan transaksi apabila menemukan aktivitas yang mencurigakan.

Kesimpulan

Penggunaan nama dan alamat orang lain untuk memesan paket COD tanpa izin dapat menimbulkan persoalan hukum, baik terkait tidak adanya kesepakatan jual beli maupun dugaan penyalahgunaan data pribadi. Berdasarkan Pasal 64 ayat (3) PP Nomor 80 Tahun 2019, konsumen tidak dapat dibebani kewajiban membayar barang yang dikirim tanpa dasar kontrak.

Apabila data pribadi diperoleh atau digunakan secara melawan hukum, pelaku dapat menghadapi konsekuensi berdasarkan UU PDP apabila unsur pelanggaran atau tindak pidana yang relevan terbukti. Namun, tanggung jawab pidana tidak dapat ditentukan hanya dari fakta bahwa sebuah paket dikirim ke alamat orang lain; sumber data, kesengajaan, tujuan, dan bukti perbuatan perlu diperiksa.

Korban dapat menghubungi penjual atau platform, mengumpulkan bukti, melaporkan dugaan tindak pidana kepada kepolisian, serta mempertimbangkan tuntutan ganti rugi apabila terdapat dasar hukum dan kerugian yang dapat dibuktikan. Menjaga kerahasiaan informasi pribadi dan melakukan verifikasi sebelum membayar paket merupakan langkah penting untuk mencegah kerugian serupa.

Referensi

1. Hukumonline — Klinik Hukum. “Hukumnya Pakai Data Pribadi Curian untuk Paket COD.”
https://www.hukumonline.com/klinik/a/hukumnya-pakai-data-pribadi-curian-untuk-paket-cod-lt62f4b91d4e40f/

Klinik Hukumonline

2. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Khususnya Pasal 4, Pasal 12, Pasal 20, Pasal 65, Pasal 67, dan Pasal 69.
https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022

JDIH BPK

3. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana.
https://peraturan.bpk.go.id/Details/337869

Database Peraturan | JDIH BPK

4. Peraturan Pemerintah Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik. Khususnya Pasal 63 dan Pasal 64.
https://peraturan.bpk.go.id/Download/117172/PP%20Nomor%2080%20Tahun%202019.pdf

Database Peraturan | JDIH BPK

5. Kitab Undang-Undang Hukum Perdata (KUH Perdata). Khususnya Pasal 1320, Pasal 1365, dan Pasal 1458.

6. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Ditetapkan pada Juli 2026 dan mulai berlaku pada 16 Januari 2027.
https://www.hukumonline.com/pusatdata/detail/lt6a9164bf1e96a/peraturan-pemerintah-nomor-33-tahun-2026/

Peraturan Pemerintah Nomor 33 Tahun 2026+1