GemaNusantara.id – Jakarta, 4 Juni 2026 — Dugaan kebocoran data wajib pajak menjadi peringatan serius bagi tata kelola keamanan data negara. Data yang berkaitan dengan Nomor Pokok Wajib Pajak atau NPWP diduga pernah beredar di forum peretasan dan berpotensi disalahgunakan oleh pihak tidak bertanggung jawab.
Isu dugaan kebocoran data NPWP sempat mencuat setelah muncul informasi mengenai dugaan jutaan data wajib pajak yang diperjualbelikan di forum ilegal. Data yang disebut terdampak mencakup informasi pribadi seperti nama, NIK, NPWP, alamat, email, nomor telepon, hingga tanggal lahir.
Meski demikian, dugaan tersebut tetap harus ditempatkan secara hati-hati. Direktorat Jenderal Pajak sebelumnya menyatakan tidak ada indikasi kebocoran langsung dari sistem informasi DJP berdasarkan penelitian terhadap data log access. DJP juga menyebut telah berkoordinasi dengan kementerian dan lembaga terkait untuk menindaklanjuti isu tersebut sesuai ketentuan yang berlaku.
Data Pajak Bukan Sekadar Data Administratif
Kebocoran data wajib pajak tidak dapat dipandang sebagai persoalan teknis biasa. Data perpajakan berkaitan langsung dengan identitas, aktivitas ekonomi, kepatuhan pajak, serta posisi hukum wajib pajak di hadapan negara.
Apabila data tersebut benar-benar jatuh ke tangan pihak yang tidak berwenang, risiko yang dapat muncul meliputi pencurian identitas, penipuan digital, pemalsuan dokumen, manipulasi komunikasi pajak, hingga penyalahgunaan data untuk mengakses layanan tertentu.
Persoalan ini juga menyangkut kepercayaan publik. Dalam sistem perpajakan, wajib pajak menyerahkan data pribadi, data ekonomi, dan dokumen pendukung kepada negara karena kewajiban hukum. Karena itu, keamanan dan kerahasiaan data wajib pajak menjadi bagian penting dari hubungan kepercayaan antara masyarakat dan negara.
Negara Harus Menjamin Keamanan Data Wajib Pajak
Praktisi pajak dan hukum, Adv. Yulianto Kiswocahyono, S.E., S.H., BKP, menilai dugaan kebocoran data wajib pajak harus dilihat sebagai persoalan serius yang menyangkut kepercayaan publik terhadap negara.
Yulianto, yang juga menjabat sebagai Ketua Komite Tetap Bidang Fiskal & Moneter KADIN Jawa Timur serta Ketua FERADI WPI DPC Sidoarjo, menyatakan bahwa data wajib pajak merupakan informasi yang wajib dijaga kerahasiaannya.
“Data wajib pajak bukan sekadar data administratif. Di dalamnya terdapat identitas pribadi, informasi ekonomi, dan aspek hukum yang melekat pada subjek pajak. Jika data ini bocor dan disalahgunakan, maka yang dirugikan bukan hanya individu wajib pajak, tetapi juga kepercayaan publik terhadap sistem perpajakan nasional,” ujar Yulianto.
Menurutnya, negara perlu memastikan adanya audit menyeluruh terhadap sistem pengelolaan data perpajakan. Audit tersebut tidak hanya untuk mencari titik lemah sistem, tetapi juga untuk memastikan apakah terdapat kelalaian, penyalahgunaan akses, atau celah pengamanan yang memungkinkan data keluar dari sistem resmi.
“Pemerintah harus transparan. Publik perlu tahu sejauh mana data yang terdampak, bagaimana mitigasinya, serta apa perlindungan yang diberikan kepada wajib pajak. Jangan sampai masyarakat hanya diminta patuh membayar pajak, tetapi keamanan datanya tidak dijamin secara maksimal,” tegasnya.
Yulianto juga menilai penegakan hukum harus diarahkan kepada seluruh pihak yang terbukti memperoleh, memperjualbelikan, mengungkapkan, atau menggunakan data pribadi secara melawan hukum.
Penyalahgunaan Data Pajak Bisa Merugikan Posisi Hukum Wajib Pajak
Sementara itu, Eko Wahyu Pramono, S.Tr.P., S.Ak, pemegang IKH atau Izin Kuasa Hukum di Pengadilan Pajak, menilai penyalahgunaan data wajib pajak dapat menimbulkan dampak serius dalam aspek administrasi maupun sengketa perpajakan.
Menurut Eko, data seperti NIK, NPWP, alamat, email, dan nomor telepon dapat digunakan pihak tidak bertanggung jawab untuk melakukan penipuan, mengirim dokumen palsu, atau membangun skenario seolah-olah komunikasi tersebut berasal dari lembaga resmi.
“Dari perspektif praktik perpajakan, kebocoran data wajib pajak berbahaya karena dapat dimanfaatkan untuk melakukan social engineering. Wajib pajak bisa menerima pesan, tautan, atau dokumen palsu yang dibuat sangat meyakinkan karena pelaku sudah memegang data pribadi korban,” ujar Eko.
Eko menilai DJP dan instansi terkait perlu memperkuat sistem verifikasi, kanal pengaduan, serta edukasi kepada masyarakat agar wajib pajak tidak mudah tertipu oleh pihak yang mengatasnamakan petugas pajak.
“Harus ada kanal resmi yang mudah diakses wajib pajak untuk mengecek kebenaran surat, pesan, email, atau permintaan data. Ini penting agar data yang sudah telanjur tersebar tidak semakin dimanfaatkan untuk penipuan lanjutan,” jelasnya.
Ia juga menekankan pentingnya pembuktian digital forensik untuk memastikan sumber kebocoran dan pihak yang memperoleh keuntungan dari penyalahgunaan data tersebut.
Jika Data Wajib Pajak Bocor, Siapa yang Bertanggung Jawab?
Eko menegaskan, apabila data wajib pajak benar-benar bocor, maka pertanyaan utama yang harus dijawab adalah dari mana sumber kebocoran tersebut berasal dan siapa pihak yang memiliki kewajiban menjaga data tersebut.
Menurutnya, tanggung jawab tidak boleh langsung diarahkan secara spekulatif kepada satu pihak sebelum ada hasil pemeriksaan digital forensik. Namun, secara prinsip, pihak yang mengelola, menyimpan, memproses, dan memiliki kewenangan akses terhadap data wajib pajak wajib memastikan keamanan data tersebut.
“Jika data wajib pajak bocor, maka tanggung jawab pertama harus ditelusuri kepada pihak yang menjadi pengendali dan pengelola data. Negara melalui instansi terkait wajib menjelaskan apakah kebocoran terjadi karena serangan siber, kelalaian sistem, penyalahgunaan akses internal, atau adanya pihak luar yang memperoleh data secara melawan hukum,” ujar Eko.
Eko menjelaskan, apabila kebocoran terjadi akibat kelemahan sistem atau kelalaian dalam pengamanan data, maka instansi pengelola data harus bertanggung jawab secara administratif dan kelembagaan. Namun, apabila ada pihak yang mencuri, memperjualbelikan, mengungkapkan, atau menggunakan data wajib pajak secara melawan hukum, maka pelaku harus diproses secara pidana.
“Jadi tanggung jawabnya harus dibedakan. Pengelola data bertanggung jawab memastikan sistem aman dan melakukan mitigasi. Sementara pihak yang mencuri, menjual, menyebarkan, atau menggunakan data wajib pajak secara ilegal harus dimintai pertanggungjawaban hukum. Keduanya tidak boleh saling menutupi,” tegasnya.
Ia menilai pemerintah perlu menyampaikan hasil investigasi secara terbuka kepada publik, termasuk menjelaskan jumlah data yang terdampak, jenis data yang bocor, langkah perlindungan terhadap wajib pajak, serta sanksi bagi pihak yang terbukti lalai atau terlibat.
“Wajib pajak menyerahkan data kepada negara karena kewajiban hukum. Maka negara juga memiliki kewajiban hukum dan moral untuk menjamin data itu tidak disalahgunakan. Kalau masyarakat diminta patuh pajak, maka perlindungan datanya juga harus serius,” pungkas Eko.
UU PDP Mengatur Larangan Penyalahgunaan Data Pribadi
Secara hukum, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur mengenai asas, jenis data pribadi, hak subjek data pribadi, kewajiban pengendali dan prosesor data pribadi, larangan penggunaan data pribadi, hingga ketentuan pidana.
UU PDP juga melarang setiap orang secara melawan hukum memperoleh, mengumpulkan, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya untuk kepentingan yang dapat merugikan subjek data pribadi.
Dalam konteks perpajakan, kerahasiaan data wajib pajak juga memiliki dasar penting. Pasal 34 UU KUP mengatur larangan bagi pejabat atau pihak yang menjalankan tugas di bidang perpajakan untuk mengungkapkan kerahasiaan wajib pajak yang diketahui dalam jabatan atau pekerjaannya.
Dengan demikian, dugaan kebocoran data wajib pajak perlu dilihat dari dua sisi. Pertama, aspek keamanan sistem dan tanggung jawab pengelola data. Kedua, aspek penegakan hukum terhadap pihak yang secara melawan hukum memperoleh, menjual, menyebarkan, atau menggunakan data pribadi wajib pajak.
Wajib Pajak Diminta Waspada
Masyarakat diminta tidak mudah memberikan data pribadi kepada pihak yang mengaku sebagai petugas pajak, bank, lembaga pemerintah, maupun layanan digital tertentu. Data seperti NIK, NPWP, kode OTP, kata sandi, rekening, dan dokumen pribadi tidak boleh diberikan melalui tautan atau pesan yang tidak dapat diverifikasi.
Wajib pajak juga disarankan melakukan pengecekan melalui kanal resmi apabila menerima pesan mencurigakan yang mengatasnamakan otoritas pajak. Setiap pesan, email, atau panggilan yang meminta data sensitif perlu dipastikan kebenarannya sebelum direspons.
Dugaan kebocoran dan penyalahgunaan data wajib pajak menjadi alarm serius bahwa digitalisasi layanan publik harus berjalan seimbang dengan perlindungan data yang kuat. Kepatuhan pajak membutuhkan kepercayaan. Kepercayaan itu hanya dapat tumbuh apabila negara mampu menjamin bahwa data warga dikelola secara aman, transparan, dan bertanggung jawab.