Jakarta, innews.co.id – Terbitnya Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksana Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, setelah 4 tahun terbitnya regulasi tersebut, merupakan babak baru dalam implementasi regulasi tersebut.
Sejauh ini belum dibentuk lembaga penanggung jawab penyelenggaraan pelindungan data pribadi dan masih akan ada langkah-langkah pelaksanaan lebih lanjut, maka pengendali dan pemroses data pribadi sebaiknya memanfaatkan masa transisi sebelum PP 33/2026 mulai berlaku pada 16 Januari 2027, untuk menyelaraskan praktik pemrosesan data pribadi mereka dengan ketentuan dalam peraturan tersebut.
Secara khusus Tim Dentons HPRP yakni, Andre Rahadian (Partner), Mika Isac Kriyasa (Partner), Maharani Athina Nelwan (Senior Associate), Pritta Maharani Pribadi (Associate), dan Gabriela Zefanya Hartanto (Associate) coba mengupas PP 33/2026 ini.
Lahirnya PP 33/2026 merupakan perkembangan penting dalam lanskap perlindungan data di Indonesia. Terdiri dari 12 bab dan 225 pasal, PP 33/2026 menyediakan kerangka kerja yang lebih komprehensif untuk pelaksanaan Undang-Undang Pelindungan Data Pribadi (UU PDP), yang mencakup pemrosesan data pribadi dan hak-hak subjek data, penilaian dampak pelindungan data (Data Protection Impact Assessment/atau DPIA), petugas pelindungan data (Data Protection Officer), transfer data pribadi, pengelolaan kebocoran data, pengawasan dan investigasi regulasi, sanksi administratif, serta penyelesaian sengketa.
Beberapa ketentuan utama dalam PP 33/2026:
Pemisahan persetujuan dari syarat dan ketentuan
Persetujuan untuk pemrosesan data pribadi harus diberikan secara sukarela, sadar, spesifik, dan tidak ambigu. Dianggap ambigu jika persetujuan untuk pemrosesan data pribadi digabungkan dengan persetujuan terhadap syarat dan ketentuan, sehingga subjek data dianggap telah menyetujui pemrosesan tersebut hanya dengan menyetujui atau membaca syarat dan ketentuan yang ada. Karena itu, jika persetujuan digunakan sebagai dasar hukum untuk pemrosesan data pribadi, pengendali data harus menyediakan mekanisme yang terpisah dan bersifat afirmatif untuk memperoleh persetujuan tersebut, yang terpisah dari penerimaan kebijakan privasi, syarat dan ketentuan, atau ketentuan kontraktual lainnya.
Perlindungan yang ditingkatkan bagi anak dan penyandang disabilitas
UU PDP menetapkan ketentuan khusus terkait pemrosesan data pribadi anak dan penyandang disabilitas. PP 33/2026 menjabarkan ketentuan yang lebih konkrit, mencakup identifikasi subjek data terkait, perolehan serta verifikasi persetujuan, dan fasilitasi pelaksanaan hak-hak subjek data. Bagi anak, persetujuan wajib diperoleh dari orang tua dan/atau wali serta diverifikasi oleh pengendali data, dengan mempertimbangkan teknologi yang tersedia. Pengendali data juga harus menilai kapasitas anak dalam memahami pelaksanaan hak-hak subjek data apabila permohonan diajukan oleh anak tersebut, serta menetapkan prosedur untuk menyesuaikan pengaturan pemrosesan data ketika anak yang bersangkutan tidak lagi dikategorikan sebagai anak. Bagi penyandang disabilitas, informasi untuk memperoleh persetujuan harus disampaikan dengan cara yang sesuai dengan jenis disabilitas yang dimiliki, dan persetujuan wajib diperoleh dari penyandang disabilitas tersebut dan/atau walinya sesuai dengan ketentuan yang berlaku. Selain itu, pengendali data wajib menyediakan mekanisme aksesibilitas khusus yang memungkinkan disabilitas untuk menggunakan hak-hak mereka sebagai subjek data.
DPIA: Dari pemenuhan kepatuhan menjadi instrumen manajemen risiko
DPIA sebaiknya tidak hanya dipandang sebagai formalitas untuk memenuhi ketentuan kepatuhan. UU PDP mewajibkan pengendali data untuk melaksanakan DPIA apabila pemrosesan data berpotensi menimbulkan risiko tinggi terhadap subjek data. PP 33/2026 memberikan kejelasan lebih lanjut mengenai situasi dan persyaratan dalam pelaksanaan DPIA. Pemrosesan berisiko tinggi mencakup, antara lain, pemrosesan dalam skala besar, pengambilan keputusan secara otomatis, pemantauan atau penilaian (skoring) secara sistematis, penggabungan kumpulan data, penggunaan teknologi baru, serta pemrosesan yang berpotensi membatasi hak-hak subjek data. Yang terpenting, DPIA harus dilakukan sebelum pemrosesan data pribadi dimulai, didokumentasikan selama periode pemrosesan berlangsung, dan ditinjau kembali apabila terdapat perubahan risiko. DPIA wajib menilai urgensi dan proporsionalitas pemrosesan data pribadi, risiko terhadap hak-hak subjek data, serta langkah-langkah untuk memitigasi risiko tersebut, dengan melibatkan masukan dari Petugas Pelindungan Data.
Perkuat peran petugas pelindungan data pribadi
Penunjukan Petugas Pelindungan Data Pribadi bukan sekadar pemenuhan persyaratan kepatuhan yang bersifat formal. UU PDP mewajibkan Pengendali dan Pemroses Data Pribadi untuk menunjuk petugas pelindungan data pribadi dalam situasi tertentu, termasuk untuk kegiatan pemrosesan data berskala besar atau yang dilakukan secara sistematis. PP 33/2026 mengatur lebih lanjut mengenai kualifikasi, tanggung jawab, serta kedudukan PPDP di dalam organisasi.
PPDP bertanggung jawab untuk memberikan saran serta memantau kepatuhan, mendukung pelaksanaan penilaian DPIA, dan menjadi titik kontak untuk hal-hal yang berkaitan dengan data pribadi. PP 33/2026 juga mengharuskan PPDP untuk terlibat dalam kegiatan pemrosesan data pribadi, melapor kepada manajemen tingkat tertinggi, bekerja secara independen dan objektif, serta memiliki sumber daya dan akses yang memadai untuk menjalankan fungsinya. Oleh karena itu, bagi pelaku usaha, pertimbangan utamanya bukan sekadar siapa yang ditunjuk, melainkan apakah PPDP tersebut diberikan independensi, wewenang, dan dukungan organisasi yang diperlukan untuk menjalankan perannya secara efektif.
Transfer data pribadi
PP 33/2026 merinci bagaimana transfer data pribadi harus dikelola.
1. Transfer yang timbul akibat penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran
Dalam konteks penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran suatu badan hukum, data pribadi dapat dialihkan dari pengendali yang bertanggung jawab atas data pribadi tersebut (Pengendali lama) kepada pengendali yang akan memikul tanggung jawab atas data pribadi tersebut setelah tindakan korporasi dilakukan (Pengendali baru). Pengendali lama dan pengendali baru dianggap sebagai pengendali bersama (joint controllers) sampai tindakan korporasi tersebut selesai, dan mereka wajib membuat perjanjian perlindungan data yang menetapkan kewajiban serta tanggung jawab masing-masing pihak. Sebelum transfer dilakukan, para pengendali wajib mengevaluasi hak-hak subjek data yang belum terpenuhi serta kewajiban perlindungan data yang ada; selain itu, jika diperlukan, mereka harus memperbarui DPIA dan menetapkan langkah-langkah operasional untuk pelaksanaan transfer tersebut. Kedua pengendali juga wajib memberikan pemberitahuan kepada subjek data yang terdampak, baik sebelum maupun sesudah transaksi, yang mencakup informasi mengenai kegiatan pemrosesan, identitas Pengendali baru, serta mekanisme untuk menggunakan hak-hak terkait atau mengajukan keberatan.
2. Transfer lintas batas
PP 33/2026 mengoperasionalkan kerangka kerja tiga tingkat berdasarkan UU PDP untuk transfer data pribadi lintas batas. Pertama, transfer dapat dilakukan dengan mengandalkan tingkat pelindungan yang memadai atau lebih tinggi di yurisdiksi tujuan, sebagaimana ditetapkan oleh lembaga berdasarkan berbagai faktor, termasuk hukum pelindungan data di yurisdiksi tersebut, otoritas pengawas, serta komitmen internasional terkait pelindungan data. Lembaga akan menerbitkan daftar negara dan organisasi internasional yang dianggap memberikan tingkat pelindungan yang memadai. Kedua, jika negara tujuan tidak tercantum dalam daftar tersebut, transfer dapat tetap dilakukan dengan menerapkan pengamanan yang memadai, seperti instrumen yang mengikat secara hukum, klausul kontrak standar yang diterbitkan oleh lembaga, atau aturan perusahaan yang mengikat (binding corporate rules) yang memenuhi syarat. Pengendali data wajib mendokumentasikan kepatuhan, sementara aturan perusahaan yang mengikat harus mendapatkan persetujuan terlebih dahulu dari lembaga. Sebagai upaya terakhir, transfer dapat didasarkan pada persetujuan dari subjek data, dengan memenuhi ketentuan tambahan dan dalam situasi terbatas—misalnya, jika transfer tersebut tidak bersifat berulang dan hanya melibatkan sejumlah kecil subjek data. Pengendali data juga wajib memberi tahu Lembaga serta subjek data yang bersangkutan mengenai transfer tersebut dan kepentingan sah (legitimate interest) yang ingin dicapai.
PP 33/2026 juga mengharuskan pengendali data untuk menerapkan pendekatan yang lebih terstruktur dalam mengelola transfer lintas batas. Hal ini mencakup pemetaan dan pencatatan arus data, penilaian terhadap dasar hukum dan risiko transfer, penerapan pengamanan yang tepat—baik secara kontraktual, teknis, maupun organisasional—peninjauan berkala atas pengaturan tersebut, serta pemberian informasi kepada subjek data sebelumnya mengenai tujuan transfer, pengamanan yang diterapkan, dan risiko-risiko utama yang mungkin timbul. Dalam praktiknya, pelaku usaha perlu mengelola dokumentasi yang lebih jelas dan melakukan pengawasan yang lebih ketat terhadap arus data lintas batas mereka, alih-alih menganggap mekanisme transfer ini sekadar sebagai pemenuhan kewajiban kepatuhan yang dilakukan satu kali saja.
Penegakan hukum yang lebih kuat
UU PDP menetapkan sanksi administratif maupun pidana atas pelanggaran ketentuan pelindungan data pribadi di Indonesia, sekaligus mengakui hak subjek data untuk menuntut ganti rugi atas pemrosesan data pribadi mereka yang melanggar hukum. PP 33/2026 memperkuat kerangka penegakan hukum ini dengan menjabarkan prosedur yang lebih rinci mengenai pengenaan sanksi administratif, pemeriksaan dan investigasi regulatori, serta mekanisme bagi subjek data untuk mengajukan tuntutan ganti rugi terhadap pengendali data pribadi.
Berdasarkan PP 33/2026, penyidik, penuntut umum, dan hakim dapat meminta pengendali data pribadi dan/atau pemroses data pribadi untuk menyerahkan data pribadi yang relevan dengan kasus tindak pidana pelindungan data pribadi melalui permintaan tertulis resmi. Pengendali dan pemroses data pribadi wajib menyerahkan data yang diminta dengan tetap menjamin pelindungan dan keamanan data tersebut. Otoritas penegak hukum yang berwenang akan diperlakukan sebagai pengendali data pribadi sehubungan dengan data pribadi yang diprosesnya untuk kepentingan proses peradilan pidana, serta dapat pula meminta pendapat atau rekomendasi dari lembaga yang berwenang.
Dijelaskan, sanksi administratif mencakup (i) peringatan tertulis, (ii) penghentian sementara kegiatan pemrosesan data pribadi, (iii) penghapusan atau pemusnahan data pribadi, dan/atau (iv) denda administratif hingga sebesar 2% dari pendapatan tahunan atau omzet tahunan yang bersangkutan.
PP 33/2026 melengkapi kerangka kerja ini dengan menetapkan proses penegakan hukum formal, di mana lembaga dapat memeriksa dan menyelidiki dugaan pelanggaran sebelum menentukan sanksi administratif yang tepat, melalui tahapan-tahapan berikut: (i) penerimaan pengaduan atau laporan mengenai dugaan pelanggaran, ataupun temuan yang muncul dari kegiatan pengawasan; (ii) pemeriksaan dan peninjauan terhadap dokumen pengaduan atau laporan terkait; (iii) pemeriksaan dan penyelidikan atas dugaan pelanggaran tersebut; serta (iv) penerbitan dan pelaksanaan keputusan pengenaan sanksi administratif.
Sebagai bagian dari proses ini, lembaga tersebut dapat memanggil pihak-pihak terkait, meminta penyediaan informasi, data, dan dokumen, melibatkan para ahli, serta memeriksa sistem elektronik, fasilitas, dan tempat yang digunakan oleh pengendali atau pemroses data, termasuk dengan memperoleh akses ke data terkait atau menunjuk pihak ketiga untuk membantu pemeriksaan tersebut. Kewenangan ini disertai dengan perlindungan prosedural, antara lain berupa ketentuan mengenai surat panggilan tertulis sebelumnya, serta keharusan agar pemeriksaan sistem, tempat, dan permintaan akses data mencantumkan dasar hukum, tujuan, ruang lingkup, dan relevansinya dengan dugaan pelanggaran.
Pemeriksaan dan investigasi pada umumnya harus diselesaikan dalam waktu 14 hari kerja, meskipun jangka waktu ini dapat diperpanjang hingga 60 hari kerja jika diperlukan. Apabila pelanggaran terbukti, lembaga tersebut wajib mengeluarkan keputusan sanksi administratif dalam waktu 30 hari kerja setelah pemeriksaan dan investigasi selesai. Keputusan tersebut akan dipublikasikan melalui media resmi lembaga dan pada umumnya harus dilaksanakan oleh pengendali atau pemroses data terkait dalam waktu 30 hari kerja sejak tanggal publikasi. Pengendali atau pemroses data yang terdampak dapat mengajukan keberatan secara tertulis dalam waktu 14 hari kerja setelah menerima keputusan tersebut; namun, pengajuan keberatan tidak menangguhkan pelaksanaan sanksi. Jika keberatan ditolak, pengendali atau pemroses data dapat menempuh upaya hukum dengan menggugat keputusan tersebut ke PTUN.
Secara keseluruhan, ketentuan-ketentuan ini menghadirkan sistem penegakan hukum yang lebih terstruktur dan berpotensi lebih transparan, sehingga kesiapan regulasi serta kepatuhan yang dapat dibuktikan menjadi semakin penting bagi organisasi yang memproses data pribadi di Indonesia.
PP 33/2026 juga memperkuat penegakan hukum swasta dengan menyediakan mekanisme yang lebih terstruktur bagi subjek data untuk meminta kompensasi atas pelanggaran yang melibatkan pemrosesan data pribadi mereka. Pengontrol data harus menetapkan kebijakan dan prosedur untuk menangani permintaan kompensasi serta menilai dan menanggapi permintaan tersebut. Jika permintaan ditolak atau para pihak gagal mencapai kesepakatan tentang kompensasi, subjek data dapat mengajukan klaim sesuai dengan hukum dan peraturan yang berlaku.
Jalur penyelesaian sengketa
Meskipun UU PDP menyatakan bahwa sengketa pelindungan data pribadi dapat diselesaikan melalui arbitrase, pengadilan, atau mekanisme penyelesaian sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan yang berlaku, PP 33/2026 menghadirkan alternatif yang lebih terstruktur dengan memperkenalkan kerangka mediasi yang dikelola oleh lembaga.
Subjek data, pengendali, atau pemroses dapat melaporkan sengketa kepada lembaga, yang kemudian akan melakukan verifikasi atas laporan tersebut dan menentukan jalur penyelesaian yang tepat:
- Jika hasil verifikasi menunjukkan adanya tindak pidana, Lembaga dapat mengarahkan pihak pelapor untuk melaporkan perkara tersebut kepada kepolisian serta memberikan pendampingan.
- Jika ditemukan adanya pelanggaran administratif, maka perkara tersebut akan ditindaklanjuti melalui penegakan hukum administratif.
- Jika tidak ditemukan unsur tindak pidana maupun pelanggaran administratif, lembaga dapat memfasilitasi penyelesaian sengketa tersebut.
Untuk sengketa yang diproses melalui lembaga, mediasi diutamakan, kecuali jika perkara tersebut berada di luar lingkup sengketa pelindungan data pribadi atau para pihak telah menyepakati mekanisme penyelesaian sengketa lainnya.
Mediasi dapat dilaksanakan secara daring maupun luring, wajib dilakukan dengan iktikad baik, dan pada umumnya diselesaikan dalam waktu 30 hari kerja, yang dapat diperpanjang satu kali untuk jangka waktu paling lama 30 hari kerja berikutnya.
Setiap kesepakatan yang dicapai bersifat mengikat dan dapat diajukan ke pengadilan yang berwenang untuk memperoleh akta perdamaian yang dikuatkan oleh pengadilan. Jika mediasi tidak berhasil, para pihak dapat menempuh jalur arbitrase atau proses pengadilan. Dengan demikian, PP 33/2026 menghadirkan mekanisme kelembagaan yang terstruktur untuk menyelesaikan sengketa pelindungan data pribadi, sekaligus tetap mempertahankan upaya hukum lain yang tersedia berdasarkan UU PDP.
Bersiap songsong era baru
Pembentukan lembaga tersebut masih dalam proses dan akan menjadi langkah penting berikutnya dalam penerapan kerangka kerja perlindungan data pribadi di Indonesia. PP 33/2026 menetapkan lembaga ini sebagai otoritas pusat yang bertanggung jawab untuk mengawasi dan memantau kepatuhan terhadap ketentuan perlindungan data pribadi, menangani laporan serta keluhan terkait dugaan pelanggaran, memfasilitasi penyelesaian sengketa di luar pengadilan, menjatuhkan sanksi administratif, serta menerbitkan aturan, standar, dan pedoman lebih lanjut mengenai berbagai aspek perlindungan data pribadi.
Penting untuk dicatat bahwa, sembari menunggu pembentukan lembaga serta penerbitan peraturan lebih lanjut, pengendali dan pemroses data pribadi dapat tetap melanjutkan kegiatan pemrosesan data pribadi mereka, sepanjang pemrosesan tersebut tidak bertentangan dengan UU PDP maupun PP 33/2026.
Mengingat PP 33/2026 akan mulai berlaku pada tanggal 16 Januari 2027, pengendali dan pemroses data pribadi sebaiknya memanfaatkan masa transisi ini untuk mengidentifikasi kesenjangan, memperkuat tata kelola, serta menerapkan proses dan dokumentasi yang diperlukan.
Dentons HPRP siap membantu dalam memahami ketentuan PP 33/2026 serta mendukung penerapan tata kelola, pengaturan, dan prosedur pelindungan data pribadi yang tepat. (RN)
