PP PDP Disahkan, Jangan Sampai Kena Sanksi! Ini Hal-Hal yang Harus Dilakukan Pengendali Data Pribadi dalam Enam Bulan!

Digitalisasi ekonomi Indonesia mendorong hampir setiap sektor usaha untuk mengumpulkan, menyimpan, dan memanfaatkan data pribadi dalam skala yang semakin besar. Kegiatan pemrosesan data pribadi pada dasarnya telah diatur melalui Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”) yang mulai berlaku penuh sejak Oktober 2024. Namun dalam penerapannya, sejumlah ketentuan dalam UU PDP masih memerlukan pengaturan lebih lanjut melalui Peraturan Pemerintah.

Kondisi tersebut membuat Pengendali Data Pribadi (“Pengendali”), yaitu pihak yang menentukan tujuan dan cara pemrosesan data pribadi, harus menjalankan kewajiban pelindungan data tanpa pedoman teknis yang memadai. Kekosongan hukum tersebut akhirnya diisi melalui Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”), yang telah disahklan oleh Presiden Prabowo Subianto pada 16 Juli 2026.

Secara umum, PP 33/2026 berfungsi untuk menjabarkan ketentuan dalam UU PDP ke dalam mekanisme yang lebih teknis dan operasional. PP 33/2026 terdiri atas 225 pasal yang tersebar dalam 12 bab. Meskipun telah ditetapkan, terdapat masa transisi selama enam bulan sejak tanggal diundangkan. Dengan demikian, kepatuhan penuh terhadap PP 33/2026 mulai diwajibkan pada 16 Januari 2027.

8  Poin Penting PP 33/2026 bagi Pengendali

PP 33/2026 membawa sejumlah pengaturan baru yang perlu diperhatikan oleh Pengendali. Beberapa di antaranya berkaitan langsung dengan cara perusahaan memproses data pribadi dan mengelola risiko yang ditimbulkannya.

1. Pertama, penguatan hak atas keputusan otomatis. Ketentuan Pasal 93 sampai dengan Pasal 95 PP 33/2026 menjabarkan lebih lanjut hak Subjek Data Pribadi (“SDP”) untuk mengajukan keberatan terhadap keputusan yang diambil berdasarkan pemrosesan data secara otomatis, sebagaimana diamanatkan Pasal 10 UU PDP. Hak tersebut dapat digunakan apabila keputusan otomatis menimbulkan akibat hukum atau dampak signifikan terhadap Subjek Data Pribadi. Sebagai contoh, seseorang ditolak mengajukan pinjaman daring berdasarkan skor kredit yang dihasilkan oleh sistem yang berbasis algoritma perilaku kredit. Dalam kondisi tersebut, Pengendali wajib menyediakan mekanisme keberatan, memberikan informasi mengenai logika pemrosesan yang digunakan, serta menyediakan kemungkinan adanya campur tangan manusia dalam pengambilan keputusan.

2. Kedua, mekanisme ganti rugi bagi SDP diperjelas. Ketentuan Pasal 105 sampai dengan Pasal 110 PP 33/2026 mengatur mekanisme pengajuan klaim ganti rugi sebagai penjabaran lebih lanjut dari Pasal 12 UU PDP. SDP yang mengalami kerugian dapat mengajukan klaim kepada Pengendali dengan melampirkan identitas, bukti pelanggaran, dan bukti hubungan hukum. Apabila klaim tersebut ditolak, SDP dapat menempuh mekanisme penyelesaian melalui pengadilan. Dengan demikian, PP 33/2026 tidak hanya memberikan hak atas ganti rugi, tetapi juga memperjelas prosedur yang dapat digunakan untuk menuntut pemulihan atas kerugian tersebut.

3. Ketiga, hubungan antara Pengendali dan Prosesor Data Pribadi (“Prosesor”) diperjelas. Ketentuan Pasal 8 sampai dengan Pasal 19 PP 33/2026 mengatur lebih rinci tata kelola pemrosesan data pribadi, termasuk pembagian peran antara SDP Pengendali, dan Prosesor. Salah satu ketentuan penting adalah kewajiban adanya perjanjian tertulis ketika Pengendali melibatkan Prosesor dalam melakukan pemrosesan data pribadi. Ketentuan ini menjadi teramat penting bagi perusahaan yang menggunakan penyedia layanan pihak ketiga, seperti cloud service provider, penyedia sistem informasi, atau penyedia teknologi lainnya yang melakukan pemrosesan data pribadi atas nama Pengendali.

4. Keempat, kewajiban Data Protection Impact Assessment (“DPIA”) diperjelas. Ketentuan Pasal 120 sampai dengan Pasal 122 PP 33/2026 memberikan kerangka yang lebih terstruktur mengenai DPIA. Kewajiban tersebut berlaku terhadap tujuh kategori pemrosesan yang memiliki risiko tinggi terhadap Subjek Data Pribadi, termasuk pemanfaatan teknologi baru seperti kecerdasan buatan (artificial intelligence). DPIA harus dilakukan sebelum pemrosesan dimulai. Hal ini menunjukkan bahwa pelindungan data perlu dipertimbangkan sejak tahap perancangan suatu produk, layanan, atau kegiatan pemrosesan, bukan baru dilakukan setelah sistem tersebut digunakan.

5. Kelima, pelindungan data pribadi masuk ke dalam proses aksi korporasi. Ketentuan Pasal 131 sampai dengan Pasal 137 PP 33/2026 mengatur kewajiban dalam konteks merger, akuisisi, dan pengalihan bisnis. Pengendali perlu menilai pemenuhan hak SDP dan memperbarui DPIA sebelum data pribadi berpindah sebagai akibat dari aksi korporasi. Dengan demikian, data pribadi tidak lagi semata-mata menjadi isu kepatuhan operasional, tetapi juga perlu diperiksa dalam proses due diligence. Aspek mengenai bagaimana data diperoleh, digunakan, disimpan, dan dialihkan perlu menjadi bagian dari pemeriksaan sebelum suatu transaksi dilakukan.

6. Keenam, kewajiban penunjukan DPO diperjelas. Ketentuan Pasal 142 sampai dengan Pasal 147 PP 33/2026 mengatur kewajiban penunjukan Pejabat Pelindungan Data Pribadi atau lazim disebut Data Protection Officer (“DPO”) bagi Pengendali tertentu, antara lain yang melakukan pemrosesan data untuk kepentingan pelayanan publik atau dalam skala besar. DPO juga harus menjalankan fungsinya secara independen agar pengawasan terhadap pelindungan data tidak menimbulkan konflik kepentingan dengan kepentingan bisnis perusahaan.

7. Ketujuh, transfer data pribadi lintas negara mendapatkan pengaturan lebih rinci. Ketentuan Pasal 160 sampai dengan Pasal 174 PP 33/2026 mengatur persyaratan transfer data pribadi ke luar wilayah Indonesia. Pengendali perlu melakukan penilaian terhadap instrumen hukum yang menjadi dasar transfer untuk memastikan bahwa pemindahan data tetap memberikan tingkat pelindungan yang sesuai dengan ketentuan yang berlaku. Ketentuan ini menjadi relevan bagi perusahaan yang merupakan bagian dari grup usaha multinasional, menggunakan cloud service di luar negeri, atau melakukan pemrosesan data melalui entitas yang berada di yurisdiksi lain.

8. Kedelapan, mekanisme pengawasan dan sanksi diperkuat. Ketentuan Pasal 180 sampai dengan Pasal 187 PP 33/2026 memperjelas kewenangan lembaga pengawas dalam memastikan kepatuhan terhadap ketentuan pelindungan data pribadi. Kewenangan tersebut mencakup pemberian perintah untuk menghentikan pemrosesan hingga penjatuhan denda administratif dengan jumlah maksimal 2% dari pendapatan tahunan.

Apa yang Perlu Dilakukan Pengendali?

Masa transisi hingga 16 Januari 2027 dapat dimanfaatkan oleh Pengendali untuk melakukan gap analysis yang kemudian dijadikan dasar dalam melakukan penyesuaian terhadap praktik pemrosesan data yang telah berjalan.

1. Pertama, perusahaan perlu memeriksa apakah kegiatan pemrosesan yang dilakukan memenuhi kriteria yang mewajibkan penunjukan DPO.

2. Kedua, perusahaan yang menggunakan sistem pengambilan keputusan otomatis perlu menyiapkan mekanisme keberatan dan kebijakan intervensi manusia dalam pengambilan keputusan bagi SDP

3. Ketiga, mekanisme penanganan keluhan dan klaim ganti rugi perlu disesuaikan dengan ketentuan Pasal 105 sampai dengan Pasal 110 PP 33/2026 agar setiap klaim dapat diterima, diperiksa, dan ditanggapi secara terdokumentasi.

4. Keempat, DPIA perlu diintegrasikan ke dalam proses pengembangan produk dan layanan, khususnya yang menggunakan teknologi baru atau melakukan pemrosesan data berisiko tinggi.

5. Kelima, perusahaan yang sedang melakukan aksi korporasi merger, akuisisi, atau pengalihan bisnis perlu memasukkan aspek pelindungan data pribadi ke dalam proses due diligence.

6. Keenam, perusahaan yang melakukan transfer data lintas negara perlu memetakan alur perpindahan data, pihak penerima, jenis data, dan instrumen hukum yang menjadi dasar transfer.

Pada akhirnya, PP 33/2026 membawa kerangka pelindungan data pribadi Indonesia dari pengaturan yang sebelumnya bersifat umum menuju mekanisme yang lebih teknis dan operasional. Pelindungan data tidak lagi hanya menjadi tanggung jawab fungsi divisi kepatuhan, tetapi perlu diintegrasikan ke dalam pengembangan produk, penggunaan teknologi, hubungan dengan pihak ketiga, aksi korporasi, hingga kegiatan bisnis lintas negara.

Dengan masa transisi yang berakhir pada 16 Januari 2027, enam bulan ke depan merupakan momentum bagi perusahaan untuk memastikan bahwa praktik pemrosesan data pribadi tidak hanya sesuai secara normatif, tetapi juga siap menghadapi mekanisme pengawasan dan sanksi yang dalam PP 33/2026.

 Daftar Pustaka

Peraturan Perundang-undangan

Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Lembaran Negara Republik Indonesia Tahun 2026 Nomor 88.

Pemerintah Republik Indonesia. (2022). Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Lembaran Negara Republik Indonesia Tahun 2022 Nomor 175.