PP 33/2026: Aturan Pelaksana UU PDP dan Kewajiban Baru Perusahaan

PP 33 2026 adalah peraturan pemerintah pelaksana UU Pelindungan Data Pribadi (UU PDP) yang ditetapkan pada 16 Juli 2026 dan berlaku enam bulan kemudian, yaitu 16 Januari 2027. Aturan ini merinci kewajiban pengendali dan prosesor data, dari hak subjek data hingga notifikasi kebocoran, sementara lembaga pengawasnya belum terbentuk. Berikut isi pokoknya per 29 Oktober 2026.

Ringkasan PP 33 2026 dan Status Berlakunya

• Nama: Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, sebagaimana disebut Hukumonline.
• Ditetapkan: 16 Juli 2026. Mulai berlaku: 16 Januari 2027, enam bulan sejak diundangkan.
• Sasaran: pengendali dan prosesor data pribadi, yang dalam UU PDP mencakup orang perseorangan, korporasi, badan publik, dan organisasi internasional.
• Masa transisi: menurut ringkasan penyedia layanan verifikasi Verihubs, pemrosesan dapat berjalan sesuai PP selama peraturan lembaga belum terbit (Pasal 223), dan regulasi data pribadi lain tetap berlaku sepanjang tidak bertentangan (Pasal 224).
• Catatan sumber: nomor pasal PP di bawah dikutip dari ringkasan pihak ketiga. Untuk keputusan kepatuhan, rujuk salinan resmi PP yang diterbitkan Kementerian Sekretariat Negara.

Kewajiban Perusahaan dalam PP 33/2026 dan UU PDP

PP 33/2026 merinci kewajiban yang dasarnya sudah ada di UU Nomor 27 Tahun 2022. Kewajiban utama yang perlu dipetakan perusahaan adalah:

• Pengawasan prosesor: pengendali wajib mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendalinya (Pasal 37 UU PDP). Prosesor hanya memproses berdasarkan perintah pengendali dan wajib memperoleh persetujuan tertulis sebelum melibatkan prosesor lain (Pasal 51 UU PDP). Karena itu, perjanjian dengan vendor perlu memuat instruksi, kewenangan audit, dan aturan subprosesor.
• Hak subjek data dan tenggatnya: UU PDP sudah menetapkan, misalnya, akses data paling lambat 3 x 24 jam sejak permintaan diterima (Pasal 32). Ringkasan Verihubs mencatat PP 33/2026 menambahkan tenggat 3 x 24 jam untuk beberapa permintaan lain, antara lain perbaikan data (Pasal 71) dan penghentian pemrosesan setelah persetujuan ditarik (Pasal 92).
• Perekaman aktivitas pemrosesan: pengendali wajib merekam seluruh kegiatan pemrosesan (Pasal 31 UU PDP), yang menjadi bukti kepatuhan saat diperiksa.
• Pengamanan data: pengendali wajib menyusun dan menerapkan langkah teknis operasional serta menentukan tingkat keamanan sesuai sifat dan risiko data (Pasal 35 UU PDP).
• Notifikasi kegagalan pelindungan data: pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga (Pasal 46 UU PDP). Menurut Verihubs, PP 33/2026 merinci isinya di Pasal 114 dan mewajibkan pengumuman kepada publik bila kegagalan mengganggu pelayanan publik atau berdampak serius bagi masyarakat (Pasal 115).
• Penilaian dampak (DPIA): wajib untuk pemrosesan berisiko tinggi, termasuk pemrosesan data yang bersifat spesifik, pemrosesan skala besar, pemantauan sistematis, dan penggunaan teknologi baru (Pasal 34 UU PDP). Data biometrik termasuk data spesifik, sehingga verifikasi wajah umumnya memicunya.
• Pejabat atau petugas pelindungan data (PPDP): wajib ditunjuk untuk pemrosesan bagi pelayanan publik, pemantauan teratur dan sistematis berskala besar, atau pemrosesan skala besar atas data spesifik (Pasal 53 UU PDP). Menurut Verihubs, PP 33/2026 mengatur penunjukannya di Pasal 142 dan membolehkan PPDP berasal dari dalam maupun luar organisasi (Pasal 144).
• Transfer lintas negara: negara tujuan harus memiliki tingkat pelindungan setara atau lebih tinggi. Bila tidak, harus ada pelindungan yang memadai dan mengikat, dan bila keduanya tidak terpenuhi, diperlukan persetujuan subjek data (Pasal 56 UU PDP).
• Aksi korporasi: badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran wajib memberitahukan pengalihan data pribadi kepada subjek data, sebelum dan sesudah peristiwa itu (Pasal 48 UU PDP).

Denda dan Sanksi: Apa yang Sudah Jelas

Pasal 57 UU PDP menetapkan sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi dijatuhkan oleh lembaga, dan tata caranya diserahkan ke Peraturan Pemerintah. Menurut ringkasan Verihubs, PP 33/2026 mengulang keempat bentuk sanksi itu di Pasal 184, sedangkan Pasal 185 mengatur penghitungan denda dengan sepuluh faktor pertimbangan dan membuka kemungkinan denda nol rupiah dalam kondisi tertentu. Sanksi pidana tetap merujuk ke UU PDP.

Perlu diingat, angka 2 persen adalah batas atas, bukan tarif tetap. Besaran nyata ditentukan lembaga berdasarkan variabel kasus.

Gugatan di Mahkamah Konstitusi: Lembaga PDP Belum Ada

Kunci pelaksanaan PP ini adalah lembaga pelindungan data pribadi, dan lembaga itu belum terbentuk. Menurut Hukumonline, empat pemohon menguji Pasal 58 ayat (5) dan Pasal 61 UU PDP ke Mahkamah Konstitusi dengan nomor perkara 153/PUU-XXIV/2026, yang disidangkan pada 7 Mei 2026. Pasal 58 ayat (5) mengatur bahwa ketentuan lebih lanjut tentang lembaga diatur dengan Peraturan Presiden, sedangkan Pasal 61 menyerahkan tata cara pelaksanaan wewenang lembaga kepada Peraturan Pemerintah. Mereka berargumen bahwa lembaga independen yang diamanatkan undang-undang belum dibentuk sejak 2022, sehingga timbul kekosongan kewenangan dalam pencegahan pelanggaran, pengawasan kepatuhan, dan penyelesaian sengketa kebocoran data. Para pemohon juga berpendapat Komdigi, yang kini menjalankan fungsi pengawasan, bukan otoritas independen sebagaimana dimaksud UU PDP.

Pantau laman resmi Mahkamah Konstitusi untuk status perkara tersebut. Hukumonline pada 6 Oktober 2026 masih menyebut lembaga pengawas belum beroperasi, dan ringkasan Verihubs mencatat rancangan Perpres pembentukannya masih menunggu penetapan. Artinya, bedakan dua hal: kewajiban UU PDP sudah mengikat dan PP 33/2026 akan berlaku pada 16 Januari 2027, tetapi lembaga yang berwenang menjatuhkan sanksi administratif belum beroperasi. Subjek data tetap dapat menempuh jalur perdata, ketentuan pidana UU PDP tetap dapat diterapkan, dan sektor tertentu tetap diawasi regulator sektornya.

Langkah Persiapan Sebelum 16 Januari 2027

1. Petakan data dan alurnya. Buat inventaris data pribadi, tujuan, dasar pemrosesan, penyimpanan, dan pihak yang menerimanya. Pelajari kewajiban dasarnya di UU PDP: kewajiban pelindungan data pribadi bagi perusahaan.
2. Tinjau kontrak prosesor. Pastikan perjanjian vendor memuat instruksi pemrosesan, hak audit, aturan subprosesor, dan kewajiban notifikasi insiden, lalu cocokkan dengan teks resmi PP.
3. Bangun prosedur hak subjek data beserta kanal dan tenggat internalnya.
4. Siapkan playbook kebocoran. Notifikasi dalam 3 x 24 jam memerlukan deteksi, triase, dan penunjukan penanggung jawab sebelum insiden terjadi. Rujukannya ada di tahapan incident response.
5. Tetapkan PPDP dan DPIA untuk proses berisiko tinggi, termasuk biometrik dan pemantauan skala besar.
6. Perkuat kontrol keamanan. Standar seperti ISO 27001 membantu membuktikan pengamanan yang dapat diaudit.

Bila Anda butuh penilaian objektif atas kontrol teknis, tim Linuxhackingid menyediakan layanan asesmen keamanan untuk organisasi. Pastikan pengujian hanya dilakukan dengan izin tertulis dari pemilik sistem.

Baca juga: Pencurian Kripto Terkait Korea Utara 2026: Kasus KelpDAO.

Pertanyaan yang Sering Diajukan

Kapan PP 33/2026 berlaku?

Ditetapkan 16 Juli 2026 dan berlaku mulai 16 Januari 2027, enam bulan sejak diundangkan.

Berapa denda maksimal pelanggaran data pribadi menurut PP ini?

Denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan, sesuai Pasal 57 ayat (3) UU PDP, dan PP 33/2026 mengatur cara penghitungannya. Angka itu batas atas, bukan tarif tetap.

Apakah PP ini bisa ditegakkan jika lembaga PDP belum ada?

Kewajibannya tetap mengikat, tetapi penegakan administratif penuh bergantung pada lembaga yang belum terbentuk. Permohonan uji materi terkait hal ini diajukan ke Mahkamah Konstitusi dan disidangkan pada Mei 2026.

Kesimpulan

Aturan PP 33 2026 menutup banyak celah teknis UU PDP, dan enam bulan masa persiapan cukup untuk melakukan asesmen kesenjangan bila dimulai sekarang. Jangan menunggu lembaga terbentuk untuk mulai berbenah. Linuxhackingid siap membantu tim Anda lewat konsultasi langsung untuk memetakan prioritas kepatuhan dan keamanan data.