Selama hampir empat tahun, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berjalan tanpa aturan pelaksana yang rinci. Banyak organisasi memahami prinsipnya, tetapi belum tahu persis apa yang harus dikerjakan. Kondisi itu kini berubah.

Pada 16 Juli 2026, pemerintah menetapkan Peraturan Pemerintah Nomor 33 Tahun 2026 (PP 33/2026) sebagai aturan pelaksana UU PDP. Peraturan ini mulai berlaku pada 16 Januari 2027. Artinya, organisasi memiliki waktu kurang dari tiga bulan untuk memastikan cara mereka mengelola data pribadi sudah sesuai.

Dari prinsip umum menjadi kewajiban yang terukur

UU PDP sebenarnya sudah mengikat sejak masa penyesuaiannya berakhir pada Oktober 2024. Namun isinya masih banyak berupa prinsip. PP 33/2026 hadir untuk menjabarkan prinsip tersebut menjadi prosedur yang bisa dijalankan.

Peraturan ini terdiri atas 12 bab dan 225 pasal. Cakupannya meliputi klasifikasi data pribadi, dasar pemrosesan, hak subjek data, kewajiban pengendali dan prosesor, transfer data lintas negara, penilaian dampak, hingga sanksi administratif. Aturan ini berlaku bagi badan usaha, badan publik, dan organisasi internasional yang memproses data pribadi di Indonesia.

Perubahan terpentingnya ada pada pembuktian. Organisasi tidak cukup menyatakan bahwa mereka patuh. Mereka perlu menunjukkan dokumen, prosedur, dan catatan yang membuktikan kepatuhan itu.

Tiga kali dua puluh empat jam saat terjadi kebocoran

Salah satu ketentuan yang paling menuntut kesiapan adalah penanganan kegagalan pelindungan data. Menurut Pasal 114, pengendali data wajib memberi tahu subjek data dan lembaga pengawas secara tertulis paling lambat 3 x 24 jam sejak kegagalan tersebut diketahui.

Pemberitahuan itu setidaknya memuat data apa saja yang terungkap, kapan dan bagaimana data tersebut terungkap, upaya penanganan dan pemulihan yang dilakukan, serta kontak petugas yang bisa dihubungi. Jika kegagalan terjadi di pihak prosesor, misalnya vendor atau penyedia layanan, prosesor wajib melapor kepada pengendali pada kesempatan pertama.

Tenggat ini terasa sangat singkat bagi organisasi yang belum tahu data apa yang mereka simpan dan di mana data itu berada. Tanpa prosedur yang disiapkan sejak awal, waktu tiga hari akan habis hanya untuk mencari tahu apa yang sebenarnya terjadi.

Data anak dan data spesifik memerlukan perlakuan khusus

PP 33/2026 membedakan data pribadi yang bersifat umum dan yang bersifat spesifik. Data spesifik mencakup informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Jenis data ini membawa risiko lebih besar sehingga pengelolaannya juga lebih ketat.

Perhatian khusus diberikan pada data anak. Pasal 38 mewajibkan pengendali data mengambil langkah untuk mengidentifikasi pengguna yang tergolong anak sebelum datanya diproses. Setelah teridentifikasi, pemrosesan data tersebut wajib mendapat persetujuan dari orang tua atau wali.

Ketentuan ini berdampak langsung pada layanan pendidikan, aplikasi keluarga, platform hiburan, dan layanan digital lain yang mungkin digunakan anak. Alur pendaftaran dan persetujuan pada layanan seperti ini perlu ditinjau ulang.

Penilaian dampak dan petugas pelindungan data

Pasal 120 sampai 122 mewajibkan penilaian dampak pelindungan data sebelum organisasi menjalankan pemrosesan yang berisiko tinggi. Contohnya pemrosesan data spesifik, pemrosesan dalam skala besar, penggunaan teknologi baru, dan pengambilan keputusan otomatis yang berdampak signifikan bagi seseorang.

Bagi tim produk, ketentuan ini berarti pertimbangan privasi harus masuk sejak tahap perancangan. Penilaian dampak sebaiknya dilakukan sebelum fitur dibangun, bukan setelah fitur diluncurkan.

Selain itu, Pasal 142 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi (PPDP) dalam kondisi tertentu. Kondisi tersebut mencakup pemrosesan untuk pelayanan publik, pemantauan subjek data secara rutin dan sistematis dalam skala besar, serta pemrosesan data spesifik dalam skala besar. PPDP perlu memiliki kompetensi yang memadai dan akses ke pimpinan tertinggi organisasi.

Sanksi yang dihitung berdasarkan dampak

Pelanggaran dapat berujung pada sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan atau pemusnahan data, hingga denda. Pasal 185 menetapkan denda paling tinggi 2 persen dari pendapatan atau penerimaan tahunan.

Besaran denda tidak otomatis mencapai batas tersebut. Penghitungannya mempertimbangkan dampak pelanggaran, durasinya, jenis dan jumlah data yang terdampak, skala usaha, serta sikap kooperatif organisasi selama pemeriksaan. Organisasi yang terbuka dan sudah berupaya patuh berada pada posisi yang lebih baik.

Di luar sanksi administratif, masyarakat juga memiliki hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi mereka.

Lembaga pengawas yang masih ditunggu

Masih ada satu bagian yang belum tuntas, yaitu lembaga pengawas. UU PDP mengamanatkan pembentukan Lembaga Pelindungan Data Pribadi yang akan mengawasi kepatuhan, memeriksa pelanggaran, dan menjatuhkan sanksi.

Rancangan Peraturan Presiden tentang Badan Pelindungan Data Pribadi sudah diajukan kepada Presiden melalui surat Menteri PANRB tertanggal 20 Mei 2026. Hingga pertengahan September 2026, belum ada pengumuman resmi tentang penetapannya. Sementara itu, fungsi pengawasan dijalankan oleh Kementerian Komunikasi dan Digital melalui Direktorat Jenderal Pengawasan Ruang Digital.

Sejumlah pengamat menilai lembaga ini baru bisa bekerja efektif paling cepat pada 2028. Beberapa ketentuan teknis, termasuk rincian pemberitahuan kebocoran, juga masih menunggu peraturan dari lembaga tersebut. Meski begitu, belum adanya lembaga pengawas bukan alasan untuk menunda persiapan. UU PDP sudah berlaku, hak masyarakat untuk menggugat sudah ada, dan PP 33/2026 akan berlaku sesuai jadwal.

Langkah yang bisa dimulai sekarang

Persiapan kepatuhan tidak harus dimulai dari proyek besar. Langkah pertama adalah memetakan data pribadi yang dikelola organisasi, termasuk jenis datanya, tempat penyimpanannya, siapa yang mengaksesnya, dan untuk apa data itu digunakan.

Setelah itu, tinjau dasar pemrosesan setiap jenis data dan pastikan mekanisme persetujuan sudah jelas. Organisasi juga perlu menyusun prosedur penanganan insiden yang realistis untuk tenggat 3 x 24 jam, lengkap dengan pembagian peran dan templat pemberitahuan.

Langkah berikutnya adalah meninjau kontrak dengan vendor dan penyedia layanan yang ikut memproses data. Kontrak tersebut perlu mengatur kewajiban pelaporan insiden dan standar pengamanan data. Organisasi yang memenuhi kriteria juga perlu menunjuk PPDP dan menetapkan proses penilaian dampak untuk setiap produk atau fitur baru.

Terakhir, libatkan seluruh karyawan. Banyak kebocoran data berawal dari kelalaian sederhana, seperti berbagi berkas lewat saluran yang tidak aman atau menggunakan kata sandi yang lemah. Pelatihan rutin membantu menutup celah yang tidak bisa ditangani oleh teknologi saja.

Penutup

Dengan terbitnya PP 33/2026, aturan pelindungan data pribadi di Indonesia kini sudah memiliki rincian yang jelas. Pertanyaannya tidak lagi tentang apa yang harus dilakukan, melainkan seberapa siap organisasi menjalankannya.

Kepatuhan terhadap aturan ini sebaiknya tidak dipandang sebagai beban administratif semata. Pengelolaan data yang tertib menunjukkan bahwa organisasi menghargai kepercayaan pengguna, mitra, dan masyarakat. Organisasi yang mulai bersiap sekarang akan menghadapi Januari 2027 dengan jauh lebih tenang.

Sumber: artikel ini merujuk pada Meridian Hukum untuk metadata resmi PP 33/2026, Veritask untuk Pasal 114 tentang pemberitahuan kebocoran serta Pasal 120 sampai 122 tentang penilaian dampak, RSM Indonesia Client Alert 18 September 2026 untuk Pasal 142 sampai 146 tentang PPDP, Katadata untuk Pasal 38 tentang data anak, Bisnis.com untuk Pasal 6 tentang data pribadi spesifik dan Pasal 185 tentang denda administratif, Hukumonline Pro untuk jenis sanksi administratif, Kompas.com untuk sidang Mahkamah Konstitusi 27 Juli 2026 tentang rancangan Perpres Badan PDP, serta Bisnis.com 13 September 2026 untuk perkiraan kapan lembaga pengawas dapat bekerja efektif.