UU PDP: Kewajiban Pelindungan Data Pribadi bagi Perusahaan

UU PDP, yaitu Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, mewajibkan setiap perusahaan yang memproses data pribadi untuk melakukannya secara sah, aman, dan bertanggung jawab. Masa transisi dua tahunnya berakhir pada Oktober 2024, sehingga kewajiban di dalamnya kini berlaku penuh. Artikel ini merangkum kewajiban utama, sanksi, dan langkah praktis kepatuhan sebagai informasi umum, bukan nasihat hukum.

Apa Itu UU PDP dan Siapa yang Wajib Mematuhinya?

UU PDP disahkan pada 17 Oktober 2022 dan memberi waktu dua tahun bagi pengendali data, prosesor data, dan pihak terkait untuk menyesuaikan diri (Pasal 74). Dengan demikian, kepatuhan menjadi kewajiban sejak Oktober 2024. Teks resminya tersedia di JDIH Komdigi.

Ada tiga peran utama. Subjek data pribadi adalah orang yang datanya diproses. Pengendali data menentukan tujuan dan cara pemrosesan, misalnya perusahaan yang mengumpulkan data pelanggan. Prosesor data memproses atas nama pengendali, misalnya penyedia layanan cloud atau vendor pemasaran. Perusahaan Anda hampir pasti menjadi pengendali, dan mungkin juga prosesor.

Jenis data pribadi menurut undang-undang ini

Pasal 4 membagi data pribadi menjadi dua. Data umum mencakup nama lengkap, jenis kelamin, agama, status perkawinan, dan data yang bila digabung dapat mengidentifikasi seseorang. Data spesifik mencakup data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Data spesifik berdampak lebih besar bila disalahgunakan, sehingga perlindungannya patut lebih ketat.

Kewajiban Utama UU PDP bagi Perusahaan

• Memiliki dasar pemrosesan (Pasal 20). Misalnya persetujuan eksplisit yang sah dari subjek data, pemenuhan perjanjian, kewajiban hukum, atau kepentingan yang sah lainnya.
• Menyampaikan informasi kepada subjek data (Pasal 21). Termasuk tujuan pemrosesan, jenis data, jangka waktu retensi, dan hak subjek data.
• Menilai dampak pada pemrosesan berisiko tinggi (Pasal 34). Misalnya keputusan otomatis yang berdampak signifikan, pemrosesan data spesifik, atau pemrosesan skala besar.
• Melindungi keamanan data (Pasal 35 sampai 39). Menyusun langkah teknis dan operasional, menjaga kerahasiaan, mengawasi pihak yang terlibat, melindungi dari pemrosesan tidak sah, dan mencegah akses tidak sah dengan sistem keamanan yang andal, aman, dan bertanggung jawab.
• Menghentikan pemrosesan bila persetujuan ditarik (Pasal 40). Paling lambat 3 x 24 jam sejak permintaan diterima.
• Bertanggung jawab dan membuktikannya (Pasal 47). Pengendali wajib dapat menunjukkan pertanggungjawaban atas pemrosesan yang dilakukan.
• Menunjuk pejabat pelindungan data (Pasal 53). Wajib dalam kondisi tertentu, antara lain pemrosesan untuk pelayanan publik, pemantauan teratur dan sistematis atas data skala besar, atau pemrosesan skala besar atas data spesifik.
• Memastikan transfer lintas negara aman (Pasal 56). Negara penerima harus memiliki tingkat pelindungan yang setara atau lebih tinggi, atau tersedia pelindungan yang memadai.

Kewajiban notifikasi kebocoran data

Pasal 46 mengatur bahwa bila terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga. Pemberitahuan minimal memuat data yang terungkap, kapan dan bagaimana data itu terungkap, serta upaya penanganan dan pemulihan.

Perlu dipahami bahwa "kegagalan pelindungan data" didefinisikan luas dalam penjelasan Pasal 46: kegagalan menjaga kerahasiaan, integritas, dan ketersediaan, termasuk pelanggaran keamanan yang disengaja maupun tidak. Tenggat 72 jam ini hampir mustahil dipenuhi tanpa rencana yang sudah disiapkan, sehingga pelajari tahapan incident response dan pahami penyebab kebocoran data sebelum insiden terjadi.

Sanksi Administratif dan Pidana

Sanksi administratif

Pasal 57 menetapkan sanksi administratif atas pelanggaran sejumlah kewajiban, termasuk keamanan data dan notifikasi kebocoran. Bentuknya: peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga pelindungan data pribadi.

Sanksi pidana

Pasal 65 sampai 68 melarang memperoleh atau mengumpulkan, mengungkapkan, dan menggunakan data pribadi yang bukan milik sendiri secara melawan hukum, serta memalsukan data pribadi. Setelah penyesuaian oleh UU 1/2026 tentang Penyesuaian Pidana, ancaman Pasal 67 berupa penjara 4 sampai 5 tahun dan/atau denda kategori IV, sedangkan Pasal 68 berupa penjara hingga 6 tahun dan/atau denda kategori V. Pasal 70 memungkinkan pertanggungjawaban pidana dibebankan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi.

Perkembangan Terbaru: PP Pelaksana dan Lembaga PDP

Menurut Kompas.com edisi 4 September 2026, Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai peraturan pelaksananya ditetapkan dan diundangkan pada 16 Juli 2026, dan berlaku enam bulan kemudian, yaitu 16 Januari 2027. Lembaga pelindungan data pribadi yang akan mengawasi dan menjatuhkan sanksi disebut belum terbentuk, dan rancangan Perpres pembentukannya masih menunggu penetapan. Sementara itu, fungsi pelindungan data pribadi dijalankan oleh Kementerian Komunikasi dan Digital. Baca ulasannya di Kompas.com.

Implikasinya bagi perusahaan: jangan menunggu lembaga terbentuk. Kewajiban dalam undang-undang sudah berlaku, dan aturan teknis akan semakin rinci. Periksa teks PP terbaru dan konsultasikan dengan penasihat hukum untuk detail penerapannya.

Langkah Praktis Menuju Kepatuhan UU PDP

1. Petakan data. Catat data pribadi apa yang dikumpulkan, dari mana, untuk apa, di mana disimpan, dan siapa yang mengaksesnya.
2. Tetapkan dasar pemrosesan dan perbarui pemberitahuan privasi agar sesuai dengan praktik sebenarnya.
3. Perkuat kontrol keamanan: pembatasan akses, enkripsi, autentikasi berlapis, pencatatan log, dan pengujian keamanan berkala.
4. Siapkan rencana respons insiden yang memuat alur notifikasi 3 x 24 jam.
5. Kelola vendor. Pastikan perjanjian dengan prosesor data memuat kewajiban keamanan dan pelaporan insiden.
6. Tentukan masa retensi dan penghapusan data yang sudah tidak diperlukan.
7. Latih karyawan. Banyak kebocoran bermula dari kesalahan manusia, seperti dibahas di security awareness training.

Kerangka seperti ISO 27001 membantu menata kontrol keamanan secara sistematis, meski sertifikasi ISO tidak otomatis berarti patuh.

Pertanyaan yang Sering Diajukan

Apakah UU PDP berlaku untuk UMKM?

Aturan ini berlaku bagi setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum menurut undang-undang ini, tanpa membedakan ukuran usaha. Skala dan sifat pemrosesan memengaruhi kebutuhan seperti pejabat pelindungan data, tetapi kewajiban dasar tetap ada.

Berapa lama waktu untuk melaporkan kebocoran data?

Paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data, kepada subjek data dan lembaga, sesuai Pasal 46.

Apakah perusahaan wajib menunjuk DPO?

Hanya dalam kondisi yang disebut Pasal 53, misalnya pelayanan publik atau pemrosesan skala besar atas data tertentu. Pejabat tersebut boleh berasal dari dalam maupun luar perusahaan.

Berapa denda administratif terbesar?

Denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Pelanggaran pidana memiliki ancaman terpisah yang diatur Pasal 67 dan 68.

Kesimpulan

Regulasi ini menuntut perusahaan memperlakukan data pribadi sebagai tanggung jawab hukum: ada dasar pemrosesan, keamanan yang memadai, kesiapan menghadapi insiden, dan akuntabilitas. Mulailah dari pemetaan data dan penilaian keamanan agar celahnya terlihat sebelum penyerang atau regulator menemukannya. Jika Anda membutuhkan pengujian keamanan untuk mendukung kepatuhan, Linuxhackingid menyediakan informasi layanan keamanan untuk organisasi.