Penelitian ini bertujuan untuk menganalisis kualifikasi penipuan siber (phishing) sebagai perbuatan melawan hukum (PMH) dalam perspektif Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi serta menelaah pengaturan dan pelaksanaan hak atas ganti rugi bagi korban phishing berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. Penelitian ini menggunakan metode penelitian hukum normatif dengan sifat preskriptif. Pendekatan yang digunakan meliputi pendekatan perundang-undangan (statute approach) dan pendekatan konseptual (conceptual approach). Bahan hukum yang dianalisis terdiri atas bahan hukum primer, khususnya peraturan perundang-undangan terkait perlindungan data pribadi dan perbuatan melawan hukum, serta bahan hukum sekunder berupa doktrin, teori hukum, dan literatur ilmiah yang relevan. Analisis dilakukan secara deduktif melalui penalaran silogistik untuk menarik kesimpulan normatif atas isu hukum yang dikaji. Hasil penelitian menunjukkan bahwa phishing memenuhi seluruh unsur perbuatan melawan hukum, yaitu adanya perbuatan, sifat melawan hukum, kesalahan, kerugian, dan hubungan kausalitas, sehingga dapat menimbulkan pertanggungjawaban perdata. Selain pelaku langsung, pertanggungjawaban perdata juga berpotensi dibebankan kepada pengendali data atau penyelenggara sistem elektronik apabila terbukti adanya kelalaian dalam pengamanan data pribadi. Namun demikian, pelaksanaan hak atas ganti rugi bagi korban penipuan siber (phishing) belum berjalan efektif akibat ketiadaan peraturan pelaksana dan belum dibentuknya lembaga pengawas independen sebagaimana diamanatkan Undang-Undang Perlindungan Data Pribadi. Penelitian ini menyimpulkan bahwa diperlukan percepatan pembentukan regulasi teknis dan penguatan kelembagaan agar hak atas ganti rugi tidak berhenti pada tataran normatif, serta membuka ruang bagi penelitian lanjutan mengenai model pertanggungjawaban perdata yang lebih adaptif terhadap kejahatan siber.