Legalku.ai.id
Lebih dari tiga tahun setelah UU Pelindungan Data Pribadi (UU PDP) diundangkan, pemerintah menerbitkan aturan pelaksananya: Peraturan Pemerintah Nomor 33 Tahun 2026. PP ini diundangkan pada 16 Juli 2026 dan mulai berlaku enam bulan kemudian, yaitu 16 Januari 2027 (Pasal 225). Masa penyesuaian dua tahun dalam UU PDP sudah berakhir pada Oktober 2024, sehingga PP ini tidak memberi masa transisi baru. Pemrosesan yang sudah berjalan tetap boleh dilanjutkan sepanjang tidak bertentangan dengan PP (Pasal 223).
Siapa yang terkena?
Setiap pihak yang menentukan tujuan dan cara pemrosesan data pribadi (pengendali) dan pihak yang memproses atas perintahnya (prosesor): perusahaan, toko daring, aplikasi, rumah sakit dan klinik, sekolah, koperasi, kantor profesional, hingga instansi pemerintah. Perusahaan asing yang memproses data orang Indonesia juga perlu memperhatikannya.
Tujuh hal yang wajib disiapkan
| Kewajiban | Inti aturannya | Pasal PP 33/2026 |
|---|---|---|
| Dasar pemrosesan dan persetujuan | Persetujuan harus tegas, bebas, jelas tujuannya, dan dapat dibuktikan. Sediakan cara memberi dan menarik persetujuan. | 30 ayat (3), 32–37 |
| Data anak | Pengendali wajib berupaya mengenali pengguna anak; pemrosesan data anak memerlukan persetujuan orang tua/wali yang diverifikasi, bukan sekadar tombol centang. | 38 |
| Catatan pemrosesan dan audit | Wajib mencatat kegiatan pemrosesan dan melakukan audit internal maupun eksternal. | 74, 138 |
| Kontrak dengan prosesor | Perjanjian tertulis dengan muatan minimum; subprosesor perlu persetujuan tertulis pengendali. | 14–15 |
| Penilaian dampak (DPIA) | Wajib sebelum pemrosesan berisiko tinggi, misalnya keputusan otomatis, data spesifik, skala besar, pemantauan, pencocokan data, dan teknologi baru termasuk AI. | 120–121 |
| Pejabat PDP (DPO) | Wajib ditunjuk untuk pelayanan publik, pemantauan sistematis skala besar, atau pemrosesan data spesifik skala besar; harus kompeten dan independen. | 142–146 |
| Kegagalan pelindungan data (kebocoran) | Pemberitahuan tertulis kepada subjek data dan Lembaga paling lambat 3 x 24 jam; pengumuman publik bila berdampak serius pada kepentingan umum. | 114–118 |
Transfer data ke luar negeri
PP 33/2026 menetapkan urutan dasar transfer (Pasal 165): pertama, negara tujuan memiliki tingkat pelindungan setara atau lebih tinggi; kedua, bila tidak, ada pelindungan yang memadai dan mengikat seperti klausul kontrak baku; ketiga, persetujuan subjek data hanya sebagai jalan terakhir. Daftar negara setara dan klausul kontrak baku masih menunggu penetapan Lembaga (Pasal 167–170). Bagi perusahaan yang memakai layanan cloud atau induk perusahaan di luar negeri, ini perlu dipetakan sejak sekarang.
Hak subjek data yang harus dilayani
Pengguna berhak mengakses, memperbaiki, meminta salinan, menarik persetujuan, membatasi pemrosesan, dan menolak keputusan yang sepenuhnya otomatis termasuk profiling yang berdampak hukum atau signifikan (Pasal 93–96). Sediakan saluran permintaan yang jelas dan tetapkan siapa yang menanganinya.
Sanksi
Lembaga dapat menjatuhkan peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan. Sanksi dapat dijatuhkan bersamaan tanpa didahului peringatan (Pasal 184–185), dan hasil pengawasan dapat diumumkan (Pasal 183). Ketentuan pidana dalam UU PDP, misalnya untuk memperoleh atau mengungkapkan data pribadi milik orang lain secara melawan hukum, tetap berlaku.
Daftar periksa singkat sebelum 16 Januari 2027
- Petakan data apa saja yang dikumpulkan, untuk apa, disimpan di mana, dan dibagikan kepada siapa.
- Pisahkan formulir persetujuan dari syarat dan ketentuan umum; simpan buktinya.
- Perbarui kebijakan privasi dan perjanjian dengan vendor (prosesor).
- Tentukan perlu tidaknya pejabat PDP dan DPIA.
- Susun prosedur tanggap kebocoran data yang bisa dijalankan dalam 3 x 24 jam.
- Latih karyawan yang menangani data pelanggan.
Catatan: banyak rincian teknis (pedoman DPIA, klausul kontrak baku, daftar negara setara, tata cara sanksi) akan diatur dalam peraturan Lembaga pelaksana PDP. Pantau terbitnya aturan tersebut.
Tim Hukum Legalku · Artikel ini informasi umum, bukan pendapat hukum atas perkara tertentu.