Perlindungan data pribadi bukan lagi sekadar isu teknis di departemen IT. Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) berlaku penuh pada 17 Oktober 2024 setelah melewati masa transisi dua tahun, setiap perusahaan yang mengumpulkan, menyimpan, atau mengolah data pelanggan di Indonesia resmi terikat kewajiban hukum yang jelas.
Kementerian Komunikasi dan Informatika menegaskan bahwa mulai 17 Oktober 2024, UU PDP dapat diberlakukan sepenuhnya dalam menangani pelanggaran terkait data dan privasi, karena masa transisi bagi para pengelola data pribadi telah berakhir.
Jika Anda menjalankan bisnis yang mengelola data pelanggan, kondisi ini membuat kepatuhan UU PDP menjadi kebutuhan mendesak, bukan pilihan.
Situasi semakin konkret setelah pemerintah menerbitkan aturan pelaksana yang lama ditunggu.
Peraturan Pemerintah Nomor 33 Tahun 2026 ditandatangani Presiden Prabowo Subianto pada 16 Juli 2026 dan diundangkan pada hari yang sama dalam Lembaran Negara Tahun 2026 Nomor 88, dengan 225 pasal dalam 12 bab yang mengoperasionalkan hampir seluruh kewajiban UU PDP yang sebelumnya masih menggantung.
Mulai dari mekanisme hak subjek data, penilaian dampak pelindungan data, pejabat perlindungan data, transfer data ke luar negeri, hingga tata cara sanksi administratif.
Meskipun sudah diundangkan, PP 33/2026 baru mulai berlaku pada 16 Januari 2027, yaitu enam bulan sejak tanggal diundangkan.
Artinya Anda memiliki jendela waktu terbatas untuk menyesuaikan sistem dan kebijakan internal sebelum aturan ini benar-benar mengikat secara operasional.
Kewajiban Pengendali Data Pribadi
UU PDP menempatkan perusahaan Anda sebagai “pengendali data pribadi”, yaitu pihak yang menentukan tujuan dan cara pemrosesan data.
Riset akademik dari jurnal VERITAS terbitan Program Pascasarjana Ilmu Hukum menjelaskan bahwa pengendali data wajib memperoleh persetujuan yang sah dari subjek data sebelum melakukan pengumpulan dan pemrosesan data pribadi, dan persetujuan tersebut harus jelas, diberikan secara sukarela, serta dipahami oleh subjek data tanpa tekanan atau manipulasi.
Kajian yang sama juga menyoroti bahwa pengendali data bisa berasal dari sektor publik maupun swasta, mulai dari instansi pemerintah, perusahaan, organisasi, hingga individu yang mengelola data dalam jumlah tertentu, dan mereka berperan penting karena berada di garis depan penjagaan keamanan serta integritas data pribadi masyarakat.
Studi ilmiah ini menjadi dasar akademik yang memperkuat alasan mengapa kewajiban pengendali data tidak bisa Anda anggap remeh, sekecil apapun skala bisnis yang Anda jalankan.
Secara garis besar, UU PDP mewajibkan Anda sebagai pengendali data untuk menjaga keamanan data yang disimpan, bertanggung jawab atas penggunaannya, dan tidak menyebarkannya tanpa izin pemilik data.
Kewajiban ini kemudian dijabarkan lebih rinci lewat PP 33/2026.
Perusahaan Anda sekarang wajib menyusun pencatatan lengkap atas seluruh aktivitas pemrosesan data, termasuk pemetaan aliran data, dengan minimal tiga belas muatan informasi sebagaimana diatur dalam Pasal 74 PP tersebut.
Dokumen kebijakan masa retensi data juga menjadi keharusan menurut Pasal 75, begitu pula kebijakan pencegahan dan penanganan insiden kebocoran data sesuai Pasal 116 hingga 117.
Salah satu perubahan paling terasa bagi organisasi berskala menengah dan besar adalah kewajiban menunjuk Pejabat atau Petugas yang Melaksanakan Fungsi Perlindungan Data Pribadi, yang sering disebut PPDP atau DPO.
Kewajiban lain yang kini bersifat wajib dan terdokumentasi adalah penilaian dampak perlindungan data pribadi atau Data Protection Impact Assessment (DPIA).
Penilaian ini harus Anda lakukan sebelum menjalankan pemrosesan berisiko tinggi, misalnya pengambilan keputusan otomatis yang berdampak signifikan, kegiatan profiling atau scoring, penggabungan kelompok data dalam skala besar, dan penggunaan teknologi baru.
Jasa Pendampingan dan Konsultan Hukum Profesional, Didampingi Advokat Resmi. KLIK DI SINI!
Cara Membuat Kebijakan Privasi Sesuai UU PDP
Menyusun kebijakan privasi yang sah menurut UU PDP dan PP 33/2026 memerlukan langkah yang terstruktur, bukan sekadar menyalin template dari internet.
Pertama, Anda perlu memetakan seluruh aktivitas pemrosesan data yang berjalan di perusahaan, termasuk data apa saja yang dikumpulkan, dari mana asalnya, untuk tujuan apa data itu digunakan, dan ke pihak mana data tersebut mungkin dibagikan.
Pemetaan ini menjadi fondasi bagi dokumen privacy notice yang wajib memuat tujuh unsur informasi sesuai Pasal 62 dan 65 PP 33/2026, dan yang penting, dokumen ini dilarang mengandung klausul eksonerasi atau klausul yang melepaskan tanggung jawab perusahaan secara sepihak.
Kedua, Anda perlu memisahkan mekanisme permintaan persetujuan (consent) dari syarat dan ketentuan layanan secara umum.
Persetujuan yang sah harus berdiri sendiri, mudah dipahami, dan bisa ditarik kembali kapanpun oleh pemilik data.
Ketiga, apabila perusahaan Anda memproses data berdasarkan dasar kepentingan yang sah atau legitimate interest, PP 33/2026 mengharuskan adanya analisis tertulis yang mendokumentasikan pertimbangan tersebut sesuai Pasal 53 dan 54.
Keempat, kebijakan privasi yang Anda susun juga harus konsisten dengan perjanjian kerja sama dengan pihak ketiga.
Jika Anda menunjuk prosesor data, misalnya penyedia layanan cloud atau vendor pemasaran digital, perjanjian penunjukan itu wajib memuat sebelas unsur minimum, dan setiap penunjukan sub-prosesor harus mendapat persetujuan tertulis dari Anda sebagai pengendali data.
Kelima, seluruh kebijakan ini perlu Anda review secara berkala, terutama saat perusahaan mengalami perubahan struktur bisnis seperti merger, akuisisi, atau pembubaran badan hukum, karena PP 33/2026 mewajibkan penilaian dan pemberitahuan atas dampak transaksi tersebut terhadap data pribadi yang dikelola.
Kadin Indonesia turut menekankan pentingnya kesiapan dunia usaha memahami cakupan regulasi ini sejak awal disahkan.
Kadin menjelaskan bahwa substansi UU PDP mencakup definisi dan ruang lingkup, asas hukum, jenis data pribadi, hak subjek data, pemrosesan data pribadi, prinsip dan dasar pemrosesan data, hingga ketentuan mengenai joint controller.
Pemahaman menyeluruh atas cakupan ini menjadi prasyarat sebelum Anda menyusun kebijakan privasi yang benar-benar sesuai ketentuan, bukan hanya sesuai kebiasaan umum di industri.
Kewajiban Perusahaan atas Data Pribadi Konsumen
Selain menyusun kebijakan, Anda memiliki kewajiban operasional yang melekat setiap hari terhadap data pribadi konsumen.
a. Memenuhi permintaan hak subjek data
UU PDP memberikan hak kepada subjek data untuk mengakses, memperbaiki, menghapus, menarik persetujuan, dan membatasi pemrosesan data pribadi mereka.
Perusahaan perlu memiliki mekanisme untuk menerima dan menindaklanjuti setiap permintaan tersebut.
b. Memenuhi permintaan dalam 3 × 24 jam
PP 33/2026 menetapkan tenggat waktu untuk pemenuhan sejumlah hak subjek data, termasuk permintaan akses data, perbaikan data, salinan data, penarikan persetujuan, dan pembatasan pemrosesan.
Permintaan tersebut harus dipenuhi dalam waktu paling lama 3 × 24 jam sesuai ketentuan yang berlaku.
c. Memberikan notifikasi ketika terjadi kebocoran data
Apabila terjadi kegagalan perlindungan data pribadi, perusahaan wajib menyampaikan pemberitahuan tertulis kepada subjek data dan Lembaga Perlindungan Data Pribadi secara bersamaan.
Berdasarkan Pasal 114 PP 33/2026, pemberitahuan tersebut juga memiliki tenggat 3 × 24 jam.
d. Mengumumkan kebocoran kepada publik dalam kondisi tertentu
Jika kegagalan perlindungan data mengganggu pelayanan publik atau berdampak serius terhadap kepentingan masyarakat, perusahaan juga wajib mengumumkannya secara terbuka kepada publik sebagaimana diatur dalam Pasal 115 PP 33/2026.
e. Memastikan keamanan transfer data lintas negara
Perusahaan yang menggunakan layanan cloud, software, atau infrastruktur digital dari penyedia luar negeri perlu memperhatikan aturan transfer data pribadi lintas negara.
PP 33/2026 mengatur mekanisme yang perlu dipenuhi sebelum data pribadi ditransfer ke negara lain.
f. Memenuhi persyaratan transfer data ke luar negeri
Perusahaan harus memastikan negara tujuan memiliki tingkat perlindungan data yang setara atau lebih tinggi. Jika tidak terpenuhi, perusahaan dapat menggunakan perlindungan yang mengikat, seperti standar klausul kontrak atau peraturan korporasi mengikat.
Jika pilihan tersebut juga tidak tersedia, transfer dapat dilakukan berdasarkan persetujuan subjek data dengan persyaratan tertentu, termasuk penilaian risiko dan pelaporan kepada Lembaga PDP.
Sanksi Administratif Pelanggaran UU PDP
Konsekuensi administratif atas pelanggaran perlindungan data pribadi diatur secara lebih rinci dalam PP 33/2026.
Lembaga PDP dapat menjatuhkan empat jenis sanksi administratif, yaitu peringatan tertulis, penghentian sementara pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan denda administratif.
Lebih dari 35 ketentuan dalam PP 33/2026 dapat dikenai sanksi administratif dan beberapa jenis sanksi dapat dijatuhkan secara kumulatif tanpa harus selalu didahului peringatan tertulis.
Denda administratif dapat ditetapkan paling tinggi sebesar 2% dari pendapatan atau penerimaan tahunan perusahaan.
Penentuan besaran denda mempertimbangkan sejumlah faktor, antara lain dampak pelanggaran, durasi pelanggaran, jenis data pribadi yang terdampak, jumlah subjek data yang dirugikan, tingkat kerja sama perusahaan selama pemeriksaan, skala usaha, serta riwayat kepatuhan perusahaan.
Artinya, besaran sanksi tidak hanya ditentukan berdasarkan ada atau tidaknya pelanggaran, tetapi juga mempertimbangkan kondisi dan dampak dari pelanggaran tersebut.
Selain konsekuensi finansial, perusahaan juga perlu memperhatikan aspek keterbukaan sanksi. Keputusan mengenai sanksi administratif dapat diumumkan melalui media resmi Lembaga PDP.
Bagi perusahaan yang mengelola data konsumen dalam jumlah besar, pengumuman tersebut dapat menjadi bagian dari risiko reputasi karena informasi mengenai pelanggaran dapat diketahui oleh pelanggan, mitra usaha, dan pihak lainnya.
Karena itu, pengelolaan data pribadi perlu menjadi bagian dari tata kelola perusahaan sehari-hari.
Sanksi Pidana bagi Individu dan Korporasi
Di luar sanksi administratif, UU PDP juga mengatur sejumlah tindak pidana terkait data pribadi.
Pasal 67 ayat (1) mengatur perbuatan dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi milik orang lain dengan maksud menguntungkan diri sendiri atau pihak lain yang dapat merugikan subjek data, dengan ancaman pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 miliar.
Pasal 67 ayat (2) mengatur pengungkapan data pribadi yang bukan miliknya secara melawan hukum dengan ancaman penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar.
Sementara itu, penggunaan data pribadi secara melawan hukum berdasarkan Pasal 67 ayat (3) dapat dikenai pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 miliar.
UU PDP juga mengatur pemalsuan data pribadi dalam Pasal 68. Perbuatan tersebut dapat dikenai pidana penjara paling lama 6 tahun dan/atau denda paling banyak Rp6 miliar.
Ketentuan pidana tersebut menunjukkan bahwa risiko hukum dalam pengelolaan data pribadi tidak hanya berkaitan dengan kesalahan administratif perusahaan, tetapi juga dapat muncul ketika terdapat perbuatan yang memenuhi unsur tindak pidana sebagaimana diatur dalam UU PDP.
Untuk tindak pidana yang dilakukan oleh korporasi, UU PDP memiliki ketentuan pertanggungjawaban tersendiri.
Jika tindak pidana dalam Pasal 67 dan Pasal 68 dilakukan oleh korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi.
Pidana yang dijatuhkan kepada korporasi berupa denda dengan nilai maksimal 10 kali lipat dari ancaman denda pokok.
Selain itu, Pasal 69 mengatur pidana tambahan berupa perampasan keuntungan atau harta kekayaan yang diperoleh dari tindak pidana serta kewajiban membayar ganti rugi kepada korban.
Jasa Pendampingan dan Konsultan Hukum Profesional, Didampingi Advokat Resmi. KLIK DI SINI!
Penegakan UU PDP dan Persiapan Kepatuhan Perusahaan
Efektivitas penerapan UU PDP juga berkaitan dengan kesiapan lembaga pengawas dan mekanisme penegakannya.
Lembaga Perlindungan Data Pribadi yang dimaksud dalam UU PDP dan PP 33/2026 masih berada dalam proses pembentukan, sementara sejumlah ketentuan teknis masih akan diatur melalui peraturan turunan.
Ketentuan tersebut antara lain berkaitan dengan pedoman DPIA, daftar negara yang memenuhi persyaratan transfer data lintas negara, serta tata cara penyelesaian sengketa.
Meski demikian, ketentuan peralihan PP 33/2026 tetap mewajibkan pemrosesan data pribadi tunduk pada ketentuan yang sudah berlaku.
Sejumlah pihak juga menyoroti pentingnya penegakan hukum dan kesiapan teknis dalam penerapan UU PDP.
Prof. Abu Bakar Munir dari University of Malaya menekankan pentingnya langkah teknis untuk mencegah kebocoran data, termasuk penerapan sistem pengamanan yang memadai.
Sementara itu, pengamat keamanan siber Alfons Tanujaya menilai efektivitas UU PDP dalam mengurangi risiko kebocoran data akan bergantung pada pelaksanaan pengawasan dan penegakan hukum.
Pandangan tersebut menunjukkan bahwa kepatuhan terhadap UU PDP perlu mencakup aspek hukum, tata kelola, dan keamanan teknologi.
Bagi perusahaan, persiapan kepatuhan dapat dimulai sebelum seluruh peraturan teknis selesai diterbitkan.
Langkah yang dapat dilakukan antara lain memetakan aktivitas pemrosesan data pribadi, meninjau kebijakan privasi, mengevaluasi kontrak dengan vendor atau pihak ketiga, menetapkan PPDP apabila memenuhi kriteria, melakukan DPIA untuk pemrosesan berisiko tinggi, serta menguji sistem keamanan dan prosedur respons insiden.
Dengan begitu, perusahaan memiliki dasar operasional untuk menjalankan kewajiban pelindungan data pribadi secara berkelanjutan, bukan hanya ketika terjadi pemeriksaan atau insiden kebocoran data.
Referensi
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi – dasar utama mengenai hak subjek data, kewajiban pengendali data, pemrosesan data, serta sanksi pidana.
- PP No. 33 Tahun 2026 tentang Pelaksanaan UU PDP – rujukan utama mengenai kewajiban operasional perusahaan, DPIA, PPDP, transfer data, notifikasi kebocoran, dan sanksi administratif.
- Kementerian Komunikasi dan Digital – Era Baru Perlindungan Data Pribadi – rujukan mengenai berakhirnya masa transisi UU PDP.
- Jurnal VERITAS, Program Pascasarjana Ilmu Hukum – rujukan mengenai pengendali data pribadi dan persetujuan dalam pemrosesan data.
- Mahkamah Konstitusi RI – rujukan mengenai kewajiban pengendali dalam pelindungan data pribadi.
- Hukumonline – Ancaman Sanksi Administratif hingga Pidana dalam UU PDP – rujukan pendukung mengenai sanksi administratif dan pidana.
- Bisnis.com – Kesiapan Sistem dan Biaya Kepatuhan E-Commerce – rujukan mengenai tantangan implementasi PP PDP bagi pelaku usaha. Bisnis.com
