Pelindungan data pribadi

Pilih satu cabang untuk menyorotnya. Coba jelaskan setiap cabang dengan kata-katamu sendiri sebelum membaca lebih lanjut.

Suatu pagi Rina menerima pesan singkat dari nomor tak dikenal: "Selamat, Anda terpilih mendapat pinjaman Rp10 juta tanpa jaminan. Klik tautan berikut." Pesan itu menyebut nama lengkapnya dan nama kampusnya. Rina tidak pernah mendaftar di aplikasi mana pun. Dari mana mereka mendapat datanya? Beberapa bulan sebelumnya, sebuah aplikasi belanja yang ia pakai mengumumkan insiden keamanan. Pengumuman itu singkat dan tidak menjelaskan data apa yang bocor.

Kebocoran data sudah menjadi berita rutin di Indonesia, dari aplikasi belanja, layanan kesehatan, sampai pusat data pemerintah. Pertanyaannya: apa yang sebenarnya wajib dilakukan pihak yang mengolah datamu? Apa hakmu bila data bocor? Siapa yang mengawasi?

Bab 4 membahas kewajiban umum penyelenggara sistem elektronik. Bab ini membahas rezim khusus yang lahir dengan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan peraturan pelaksananya, PP 33/2026. Kita mulai dari konsep privasi, lalu prinsip dan dasar pemrosesan, hak subjek data, kewajiban pengendali dan prosesor, pemberitahuan kegagalan dan transfer lintas negara, sampai sanksi dan lembaga pengawas.

Privasi, data pribadi, dan dasar hukumnya

Gagasan modern tentang privasi sering dirunut ke artikel Samuel Warren dan Louis Brandeis tahun 1890, yang mendefinisikan privasi sebagai hak untuk dibiarkan sendiri (the right to be let alone) sebagai reaksi atas fotografi instan dan surat kabar gosip [1]. Sejak era komputer, fokusnya bergeser ke privasi informasi: hak seseorang mengendalikan informasi tentang dirinya. Sinta Dewi Rosadi menelusuri pergeseran ini dalam instrumen internasional dan regional, dari pedoman OECD 1980 sampai regulasi Uni Eropa [2].

Di Indonesia, dasar konstitusionalnya adalah Pasal 28G ayat (1) UUD 1945 tentang hak atas pelindungan diri pribadi [3]. Sebelum 2022, pelindungan data tersebar dalam berbagai undang-undang sektoral (perbankan, kesehatan, kependudukan, telekomunikasi) dan dalam Pasal 26 UU ITE yang mensyaratkan persetujuan untuk penggunaan data pribadi melalui media elektronik. Rosadi dan Pratama berargumen pengaturan tersebar itu tidak memadai untuk ekonomi digital, karena instrumen pelindungan data harus berkarakter internasional, melindungi privasi sebagai hak positif, dan menjadi perekat antara individu dan komunitas ekonomi [4].

UU PDP disahkan dan diundangkan pada 17 Oktober 2022 setelah pembahasan sekitar sepuluh tahun [5]. Ia mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya, baik langsung maupun tidak langsung, melalui sistem elektronik atau nonelektronik [6]. Jadi UU PDP berlaku juga untuk data di kertas, misalnya fotokopi KTP yang dikumpulkan di pos satpam.

Pasal 4UU 27/2022[6]

(1) Data Pribadi terdiri atas: a. Data Pribadi yang bersifat spesifik; dan b. Data Pribadi yang bersifat umum. (2) Data Pribadi yang bersifat spesifik sebagaimana dimaksud pada ayat (1) huruf a meliputi: a. data dan informasi kesehatan; b. data biometrik; c. data genetika; d. catatan kejahatan; e. data anak; f. data keuangan pribadi; dan/atau g. data lainnya sesuai dengan ketentuan peraturan perundang-undangan. (3) Data Pribadi yang bersifat umum sebagaimana dimaksud pada ayat (1) huruf b meliputi: a. nama lengkap; b. jenis kelamin; c. kewarganegaraan; d. agama; e. status perkawinan; dan/atau f. Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Perhatikan bahwa agama termasuk data umum, berbeda dengan regulasi Uni Eropa yang menggolongkannya sebagai data sensitif. Sebaliknya, data keuangan pribadi dan catatan kejahatan digolongkan spesifik. Penggolongan ini penting karena pemrosesan data spesifik membawa kewajiban lebih berat, misalnya penilaian dampak.

UU PDP berlaku bagi setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum di wilayah Indonesia, atau di luar wilayah Indonesia yang memiliki akibat hukum di Indonesia atau bagi warga negara Indonesia di luar negeri (Pasal 2 ayat (1)). Ia tidak berlaku bagi pemrosesan oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga (Pasal 2 ayat (2)) [6]. Daftar kontak di ponselmu tidak membuatmu menjadi pengendali data; tetapi akun media sosial usaha katering milikmu yang mengumpulkan nomor pelanggan bisa.

Prinsip dan dasar pemrosesan

Pemrosesan data pribadi dalam UU PDP sangat luas: pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; serta penghapusan atau pemusnahan (Pasal 16 ayat (1)) [6]. Pemrosesan itu wajib memenuhi delapan prinsip dalam Pasal 16 ayat (2).

Delapan prinsip pelindungan data pribadi (Pasal 16 ayat (2) UU PDP)

Prinsip	Maknanya dalam praktik
Pengumpulan terbatas, spesifik, sah, dan transparan	Aplikasi senter tidak boleh meminta akses daftar kontak
Sesuai tujuan	Nomor ponsel untuk pengiriman paket tidak boleh dipakai untuk promosi pihak lain
Menjamin hak subjek data	Menyediakan cara mudah untuk mengakses dan menghapus data
Akurat, lengkap, tidak menyesatkan, mutakhir	Skor kredit tidak boleh didasarkan pada data usang
Melindungi keamanan	Enkripsi, kontrol akses, dan cadangan data
Memberitahukan tujuan, aktivitas, dan kegagalan	Pemberitahuan privasi yang jelas dan pemberitahuan kebocoran
Dimusnahkan atau dihapus setelah masa retensi	Data pelamar kerja yang tidak diterima dihapus setelah masa tertentu
Bertanggung jawab dan dapat dibuktikan	Pengendali menyimpan catatan kepatuhan (akuntabilitas)

PP 33/2026 mengulang dan merinci prinsip ini dalam Pasal 9.

Selain prinsip, setiap pemrosesan harus punya dasar hukum. Inilah salah satu pasal terpenting UU PDP.

Pasal 20 ayat (2)UU 27/2022[6]

Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; b. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; c. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau f. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi.

Salah paham yang umum adalah menganggap persetujuan sebagai satu-satunya dasar. Padahal toko daring yang memproses alamat Rina untuk mengirim buku memakai dasar perjanjian (huruf b), bank yang melaporkan transaksi mencurigakan memakai dasar kewajiban hukum (huruf c), dan rumah sakit yang membuka data pasien tidak sadar dalam keadaan darurat memakai kepentingan vital (huruf d). Persetujuan justru dasar yang paling rapuh karena dapat ditarik kembali kapan saja (Pasal 9).

Bila memakai persetujuan, persetujuan itu harus sah: tertulis atau terekam, elektronik atau nonelektronik, dan bila diminta bersama hal lain harus dapat dibedakan, berformat mudah dipahami, dan berbahasa jelas. Persetujuan yang tidak memenuhi syarat itu batal demi hukum (Pasal 22). Pemrosesan data anak memerlukan persetujuan orang tua atau wali (Pasal 25) [6]. PP 33/2026 menegaskan kewajiban memiliki dasar pemrosesan sebelum pemrosesan dimulai, dan kewajiban menyampaikan informasi pemrosesan berlaku untuk semua dasar, bukan hanya persetujuan [7].

Coba ingat dulu

Aplikasi ojek daring memproses lokasi penumpang selama perjalanan. Dasar pemrosesan apa yang paling tepat, dan mengapa persetujuan belum tentu yang terbaik?

Jawab dalam kepala atau tulis di kertas. Setelah itu baru buka jawabannya.

Dasar yang paling tepat adalah pemenuhan kewajiban perjanjian (Pasal 20 ayat (2) huruf b), karena lokasi diperlukan untuk melaksanakan layanan antar yang dipesan penumpang. Persetujuan dapat ditarik kembali kapan saja (Pasal 9), sehingga bila layanan inti bergantung pada persetujuan, penarikan persetujuan akan menghentikan layanan. Namun bila lokasi juga dipakai untuk iklan tertarget, tujuan tambahan itu memerlukan dasar tersendiri, biasanya persetujuan eksplisit.

Hak subjek data pribadi

UU PDP memberi subjek data serangkaian hak dalam Pasal 5 sampai 13 [6].

Hak subjek data pribadi

Pasal	Hak	Contoh penggunaan
5	Mendapat informasi tentang kejelasan identitas, dasar, tujuan, dan akuntabilitas pemrosesan	Menanyakan siapa yang memproses data dan untuk apa
6	Melengkapi, memperbarui, dan memperbaiki kesalahan	Memperbaiki alamat yang salah di data bank
7	Mendapat akses dan salinan data	Meminta salinan riwayat data dari aplikasi
8	Mengakhiri pemrosesan, menghapus, dan memusnahkan data	Meminta akun dan datanya dihapus
9	Menarik kembali persetujuan	Berhenti menerima promosi
10	Keberatan atas keputusan yang hanya didasarkan pemrosesan otomatis, termasuk profil, yang berakibat hukum atau berdampak signifikan	Menolak penolakan kredit otomatis tanpa peninjauan manusia
11	Menunda atau membatasi pemrosesan secara proporsional	Meminta pemrosesan dihentikan sementara selama sengketa
12	Menggugat dan menerima ganti rugi atas pelanggaran	Menggugat ganti rugi setelah kebocoran data
13	Mendapat dan memakai data dalam format umum yang dapat dibaca sistem, serta mengirimkannya ke pengendali lain	Memindahkan data ke penyedia layanan lain (portabilitas)

Pasal 15 mengecualikan sebagian hak untuk kepentingan pertahanan dan keamanan nasional, penegakan hukum, kepentingan umum penyelenggaraan negara, pengawasan sektor jasa keuangan, serta statistik dan penelitian ilmiah.

PP 33/2026 memberi tenggat operasional. Pengendali wajib memenuhi berbagai permintaan subjek data, seperti akses, pembaruan, penarikan persetujuan, dan pembatasan, dalam 3 x 24 jam; untuk salinan data, pengendali wajib mengonfirmasi dan menyampaikan jangka waktu penyediaan dalam 3 x 24 jam sejak permohonan diterima dan terverifikasi [7]. Hak atas keberatan terhadap keputusan otomatis (Pasal 10) akan kita jumpai lagi di Bab 8 tentang kecerdasan artifisial.

Hak menggugat ganti rugi (Pasal 12) membuka jalan gugatan perdata, termasuk gugatan perwakilan kelompok bila korban kebocoran banyak. Dasar gugatannya dapat berupa pelanggaran kewajiban undang-undang yang membentuk perbuatan melawan hukum (Pasal 1365 KUH Perdata), sedangkan tata cara ganti rugi dirinci PP 33/2026.

Kewajiban pengendali dan prosesor

UU PDP membedakan dua aktor utama. Pengendali data pribadi menentukan tujuan dan melakukan kendali pemrosesan; prosesor data pribadi memproses data atas nama pengendali [6].

Pengendali dan prosesor data pribadi

Pengendali data pribadi

Menentukan tujuan dan cara pemrosesan
Contoh: toko daring, bank, rumah sakit, instansi pemerintah
Wajib punya dasar pemrosesan, memenuhi hak subjek data, menilai dampak, memberitahukan kegagalan
Bertanggung jawab atas pemrosesan dan wajib membuktikan kepatuhan

Prosesor data pribadi

Memproses data atas nama dan sesuai perintah pengendali
Contoh: penyedia komputasi awan, jasa pusat panggilan, penyedia sistem penggajian
Wajib menjaga keamanan dan kerahasiaan
Bila memproses di luar perintah pengendali, ia ikut bertanggung jawab seperti pengendali

Kewajiban pengendali yang paling penting antara lain: memiliki dasar pemrosesan; menyampaikan informasi pemrosesan; memastikan akurasi; melindungi keamanan dengan langkah teknis dan organisasi; merekam seluruh kegiatan pemrosesan; mengawasi pihak yang terlibat; menghentikan pemrosesan bila persetujuan ditarik; dan menghapus data yang tidak lagi diperlukan [6]. Pasal 34 mewajibkan penilaian dampak pelindungan data pribadi bila pemrosesan memiliki potensi risiko tinggi. PP 33/2026 merinci kriteria risiko tinggi, antara lain keputusan otomatis yang berakibat hukum atau berdampak signifikan, pemrosesan data spesifik, pemrosesan skala besar, evaluasi atau pemantauan sistematis, pencocokan atau penggabungan data, dan penggunaan teknologi baru [7].

Pasal 53 mewajibkan pengendali dan prosesor menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (sering disebut DPO) bila pemrosesan untuk pelayanan publik, kegiatan intinya memerlukan pemantauan teratur dan sistematis atas data dalam skala besar, atau kegiatan intinya memproses data spesifik atau data terkait tindak pidana dalam skala besar [6].

Hubungan UU PDP dengan UU ITE dan aturan sektoral

UU PDP tidak menghapus aturan lain tentang data. Pasal 26 UU ITE tetap berlaku: penggunaan informasi melalui media elektronik yang menyangkut data pribadi harus dilakukan atas persetujuan orang yang bersangkutan, dan orang yang haknya dilanggar dapat menggugat. UU 19/2016 menambahkan kewajiban PSE menghapus informasi elektronik yang tidak relevan atas permintaan orang yang bersangkutan berdasarkan penetapan pengadilan, yang sering disebut hak untuk dilupakan (right to be forgotten) [8]. Bedanya, hak penghapusan dalam Pasal 8 UU PDP diajukan langsung kepada pengendali tanpa penetapan pengadilan, sedangkan hak dalam Pasal 26 UU ITE menjangkau informasi yang tidak relevan, termasuk berita lama tentang seseorang di mesin pencari.

Aturan sektoral juga tetap berlaku sepanjang tidak bertentangan. Di sektor keuangan, POJK 22/2023 mewajibkan pelaku usaha jasa keuangan menjaga kerahasiaan dan keamanan data konsumen dan melarang memberikan data kepada pihak ketiga tanpa persetujuan [9]. Untuk data anak di platform digital, kewajiban UU PDP (persetujuan orang tua atau wali, Pasal 25) berjalin dengan kewajiban pelindungan anak dalam Pasal 16A UU ITE dan PP 17/2025, termasuk larangan memakai data anak untuk iklan tertarget [10]. PP 33/2026 menyatakan peraturan perundang-undangan yang mengatur pelindungan data pribadi tetap berlaku sepanjang tidak bertentangan dengannya [7].

Akibatnya, satu pengendali bisa tunduk pada beberapa rezim sekaligus. Bank digital, misalnya, tunduk pada UU PDP sebagai pengendali data, pada POJK sebagai lembaga jasa keuangan, dan pada UU ITE serta PP 71/2019 sebagai PSE. Ketika aturan-aturan itu berbeda, misalnya tentang jangka waktu pemberitahuan insiden, pengendali yang hati-hati memakai standar yang paling ketat. Rosadi menyebut pendekatan UU PDP sebagai model komprehensif yang mengikat semua sektor, berbeda dengan model sektoral yang dianut sebelumnya [5].

Coba ingat dulu

Apa beda hak penghapusan menurut Pasal 8 UU PDP dan hak penghapusan informasi tidak relevan menurut Pasal 26 UU ITE?

Jawab dalam kepala atau tulis di kertas. Setelah itu baru buka jawabannya.

Hak dalam Pasal 8 UU PDP diajukan langsung kepada pengendali untuk mengakhiri pemrosesan dan menghapus atau memusnahkan data pribadi, tanpa memerlukan pengadilan. Hak dalam Pasal 26 UU ITE hasil UU 19/2016 mewajibkan PSE menghapus informasi elektronik yang tidak relevan tentang seseorang berdasarkan penetapan pengadilan, misalnya berita lama di mesin pencari.

Kegagalan pelindungan dan transfer lintas negara

Kegagalan pelindungan data pribadi adalah kegagalan melindungi data dalam hal kerahasiaan, integritas, dan ketersediaan, termasuk pelanggaran keamanan yang disengaja maupun tidak, yang menyebabkan perusakan, kehilangan, perubahan, pengungkapan, atau akses tidak sah. Kebocoran data adalah contoh paling umum.

Pasal 46UU 27/2022[6]

(1) Dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada: a. Subjek Data Pribadi; dan b. lembaga. (2) Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) minimal memuat: a. Data Pribadi yang terungkap; b. kapan dan bagaimana Data Pribadi terungkap; dan c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi. (3) Dalam hal tertentu, Pengendali Data Pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan Pelindungan Data Pribadi.

Pengumuman aplikasi belanja yang dialami Rina, yang tidak menyebut data apa yang bocor, tidak memenuhi isi minimal Pasal 46 ayat (2). Pelanggaran Pasal 46 ayat (1) dan (3) termasuk yang dikenai sanksi administratif menurut Pasal 57 [6].

Respons pengendali terhadap kebocoran data

Langkah 1 dari 5

Deteksi dan penahanan

Hentikan akses tidak sah, isolasi sistem terdampak, dan amankan bukti forensik.

Transfer data ke luar negeri, misalnya ketika aplikasi menyimpan data di server luar negeri atau perusahaan induk asing mengolah data karyawan Indonesia, diatur Pasal 56 dengan sistem berjenjang.

Jenjang dasar transfer data pribadi ke luar negeri (Pasal 56 UU PDP)

Pilih satu tingkat untuk melihat penjelasannya. Makin ke atas, makin tinggi kedudukannya.

Ketentuan lebih lanjut diatur PP 33/2026; daftar negara setara akan ditetapkan lembaga PDP.

Masalah praktisnya, penilaian kesetaraan negara tujuan dan standar klausul kontrak memerlukan lembaga PDP yang hingga kini belum terbentuk. Selama itu, pengendali menanggung risiko menilai sendiri kecukupan pelindungan di negara tujuan, dan Rosadi menekankan bahwa kesetaraan pelindungan justru prasyarat agar arus data lintas batas, dan karenanya perdagangan digital, tidak terhambat [4].

Coba ingat dulu

Sebuah perusahaan rintisan ingin menyimpan data pelanggannya di layanan awan di negara yang belum punya undang-undang pelindungan data. Apa yang harus dilakukan menurut Pasal 56 UU PDP?

Jawab dalam kepala atau tulis di kertas. Setelah itu baru buka jawabannya.

Karena negara tujuan tidak memiliki pelindungan setara (ayat (2)), perusahaan wajib memastikan adanya pelindungan yang memadai dan bersifat mengikat, misalnya klausul kontrak dengan penyedia awan yang menjamin standar pelindungan UU PDP (ayat (3)). Bila itu pun tidak dapat dipenuhi, perusahaan wajib mendapatkan persetujuan subjek data (ayat (4)). Ketentuan teknisnya mengikuti PP 33/2026.

Sanksi, PP 33/2026, dan lembaga PDP

UU PDP memakai tiga jenis sanksi. Pertama, sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran, yang dijatuhkan oleh lembaga (Pasal 57) [6]. PP 33/2026 merinci variabel penghitungan denda, antara lain dampak, durasi, jenis data, jumlah subjek terdampak, kerja sama pengendali, skala usaha, dan kemampuan membayar, bahkan memungkinkan denda ditetapkan Rp0 dalam pertimbangan tertentu [11].

Kedua, sanksi pidana. Pasal 65 melarang setiap orang secara melawan hukum memperoleh atau mengumpulkan, mengungkapkan, dan menggunakan data pribadi yang bukan miliknya. Pasal 67 mengancam pelanggarnya dengan penjara paling lama 5 tahun (memperoleh atau mengumpulkan dengan maksud menguntungkan diri yang dapat merugikan subjek data), 4 tahun (mengungkapkan), dan 5 tahun (menggunakan), dengan denda paling banyak Rp5 miliar, Rp4 miliar, dan Rp5 miliar. Pasal 68 memidana pembuatan data pribadi palsu. Bila dilakukan korporasi, Pasal 70 memungkinkan pidana denda sampai sepuluh kali ancaman denda maksimal, ditambah pidana tambahan [6]. Perlu dicatat, sejak 2 Januari 2026 Pasal II UU 1/2026 menyesuaikan ancaman denda di undang-undang di luar KUHP ke dalam kategori denda KUHP berdasarkan lamanya ancaman penjara, kecuali denda yang dirumuskan sebagai kelipatan kerugian atau keuntungan; angka rupiah dalam UU PDP harus dibaca bersama Lampiran I UU 1/2026 [12].

Ketiga, ganti rugi perdata berdasarkan Pasal 12.

Pasal 58 ayat (2) sampai (5)UU 27/2022[6]

(2) Penyelenggaraan Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan oleh lembaga. (3) Lembaga sebagaimana dimaksud pada ayat (2) ditetapkan oleh Presiden. (4) Lembaga sebagaimana dimaksud pada ayat (2) bertanggung jawab kepada Presiden. (5) Ketentuan lebih lanjut mengenai lembaga sebagaimana dimaksud pada ayat (2) diatur dengan Peraturan Presiden.

Inilah titik lemah rezim PDP Indonesia. UU PDP memberi masa penyesuaian dua tahun (Pasal 74) yang berakhir 17 Oktober 2024, tetapi lembaga PDP belum terbentuk. Peraturan pelaksananya, PP 33/2026, baru ditetapkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027; PP ini terdiri atas 12 bab dan 225 pasal [7]. Rancangan Perpres tentang Badan PDP, menurut Komdigi pada 4 November 2026, telah final dan diajukan kepada Presiden melalui Kementerian Sekretariat Negara; selama masa transisi, fungsi pengawasan dijalankan Direktorat Jenderal Pengawasan Ruang Digital Komdigi [13]. Ketiadaan batas waktu pembentukan lembaga sedang diuji di Mahkamah Konstitusi dalam perkara 236/PUU-XXIV/2026; pemerintah membantah adanya kekosongan hukum [14].

Perjalanan rezim pelindungan data pribadi

2008
Pasal 26 UU ITE
Penggunaan data pribadi melalui media elektronik harus dengan persetujuan.
17 Okt 2022
UU 27/2022 diundangkan
Masa penyesuaian dua tahun dimulai.
17 Okt 2024
Masa penyesuaian berakhir
Seluruh kewajiban berlaku penuh, tetapi lembaga belum ada.
16 Jul 2026
PP 33/2026 ditetapkan
Peraturan pelaksanaan UU PDP; 225 pasal.
Nov 2026
Rancangan Perpres Badan PDP di meja Presiden
Pengawasan sementara oleh Komdigi; uji materi di MK berjalan.
16 Jan 2027
PP 33/2026 berlaku
Kewajiban operasional dan tata cara sanksi mulai berlaku.

Wahyudi Djafar, pegiat kebijakan digital, menilai tanpa lembaga yang independen, standar kepatuhan dalam UU PDP dan PP 33/2026 belum dapat diterapkan efektif, karena denda administratif menurut Pasal 57 ayat (4) hanya dapat dijatuhkan lembaga [11]. Pertanyaan desain kelembagaan juga diperdebatkan: UU PDP menempatkan lembaga di bawah Presiden, sementara pengendali data terbesar justru instansi pemerintah. Bagaimana lembaga di bawah Presiden mengawasi kementerian secara independen? Pertanyaan ini akan menentukan efektivitas UU PDP ke depan.

Studi kasusPutusan PTUN Jakarta 269/G/TF/2024/PTUN.JKT, 2 Desember 2024; dikuatkan PTTUN Jakarta 4/B/TF/2025, 18 Maret 2025

Gugatan konsumen atas Pusat Data Nasional[15, 16]

Fakta
Setelah serangan ransomware melumpuhkan Pusat Data Nasional Sementara pada Juni 2024 dan pemerintah mengakui sebagian besar instansi tidak memiliki rekam cadang, Komunitas Konsumen Indonesia menggugat Menteri Komunikasi dan Informatika ke PTUN Jakarta. Objek gugatan adalah tindakan faktual: kegagalan meningkatkan keamanan PDN dan kegagalan membuat rekam cadang elektronik sebagaimana diwajibkan Pasal 40 ayat (3) sampai (5) UU ITE dan PP 71/2019.
Masalah hukum
Apakah organisasi konsumen memiliki kedudukan hukum untuk menggugat kegagalan pemerintah mengamankan pusat data, dan apakah kelalaian itu merupakan perbuatan melanggar hukum oleh pejabat pemerintahan?
Putusan dan alasannya
PTUN Jakarta tidak mengabulkan gugatan. Analisis atas putusan ini mencatat majelis menolak kedudukan hukum Komunitas Konsumen Indonesia, sejalan dengan dalil tergugat bahwa hubungan antara instansi pengguna PDN dan masyarakat bukan hubungan konsumen dan pelaku usaha menurut UU Perlindungan Konsumen. Pengadilan Tinggi TUN Jakarta menguatkan putusan itu pada 18 Maret 2025.
Pelajaran
Putusan ini memperlihatkan celah akses keadilan dalam kebocoran data sektor publik: jalur gugatan konsumen tidak cocok untuk layanan pemerintahan. Ariansyah dan Safik mengkritik pendekatan formalistik hakim yang mengabaikan gugatan kepentingan publik. Ke depan, jalur yang lebih tepat adalah hak subjek data atas ganti rugi (Pasal 12 UU PDP), pengaduan kepada lembaga PDP, dan gugatan individu atau kelompok subjek data yang dirugikan.

Untuk analisis putusan ini, baca juga Ariansyah dan Safik yang menilai pendekatan hakim terlalu formalistik [17].

Keliru

Persetujuan hanya untuk tujuan tertentu yang disampaikan (Pasal 20 ayat (2) huruf a), pemrosesan harus sesuai tujuan (Pasal 16 ayat (2) huruf b), dan persetujuan dapat ditarik kembali (Pasal 9).

Keliru

UU PDP berlaku sejak diundangkan 17 Oktober 2022 dan masa penyesuaian berakhir 17 Oktober 2024. Hak subjek data, kewajiban pengendali, dan ketentuan pidana sudah berlaku; yang tertunda terutama penjatuhan sanksi administratif oleh lembaga.

Keliru

UU PDP berlaku bagi badan publik sebagai pengendali data. Pengecualian Pasal 15 hanya membatasi sebagian hak subjek data untuk kepentingan tertentu, bukan membebaskan instansi dari kewajiban keamanan.

Tebak dulu benar atau keliru, baru buka jawabannya.

Latihan

Soal 1 dari 7

Bank memproses data nasabah untuk melaporkan transaksi keuangan mencurigakan kepada otoritas. Dasar pemrosesan yang paling tepat adalah

Soal 2 dari 7

Sebuah aplikasi belanja mengalami kebocoran data pada Senin pukul 09.00 dan mengetahuinya saat itu juga. Paling lambat kapan pemberitahuan tertulis kepada subjek data dan lembaga harus disampaikan?

Soal 3 dari 7

Aplikasi pinjol menolak pengajuan kredit Rina sepenuhnya berdasarkan skor algoritma tanpa peninjauan manusia. Hak apa yang paling relevan bagi Rina?

Soal 4 dari 7

Perusahaan ingin mentransfer data karyawan ke kantor induk di negara yang pelindungan datanya tidak setara. Langkah pertama yang diwajibkan Pasal 56 UU PDP setelah syarat kesetaraan tidak terpenuhi adalah

Soal 5 dari 7

Seorang pegawai operator seluler menjual data pelanggan (nama, NIK, nomor ponsel) kepada jaringan penipu. Ketentuan pidana UU PDP yang paling tepat adalah

Soal 6 dari 7

Mengapa denda administratif dalam UU PDP belum dapat dijatuhkan secara efektif per November 2026?

Soal 7 dari 7

Mana yang termasuk data pribadi bersifat spesifik menurut Pasal 4 ayat (2) UU PDP?

Terjawab 0 dari 7. Pilih jawaban untuk melihat penjelasannya.

Ringkasan bab

Dasar konstitusional pelindungan data adalah Pasal 28G ayat (1) UUD 1945; UU 27/2022 diundangkan 17 Oktober 2022 dan berlaku untuk data elektronik maupun nonelektronik.
Data pribadi terbagi umum dan spesifik (Pasal 4); data keuangan, kesehatan, biometrik, genetika, catatan kejahatan, dan data anak tergolong spesifik.
Pemrosesan wajib memenuhi delapan prinsip (Pasal 16) dan memiliki salah satu dari enam dasar (Pasal 20); persetujuan bukan satu-satunya dasar dan dapat ditarik.
Subjek data memiliki hak atas informasi, akses, koreksi, penghapusan, penarikan persetujuan, keberatan atas keputusan otomatis, pembatasan, ganti rugi, dan portabilitas (Pasal 5 sampai 13).
Pengendali wajib antara lain menilai dampak risiko tinggi (Pasal 34), menunjuk pejabat PDP dalam keadaan tertentu (Pasal 53), dan memberitahukan kegagalan paling lambat 3 x 24 jam (Pasal 46).
Transfer ke luar negeri berjenjang: negara setara, pelindungan memadai dan mengikat, lalu persetujuan (Pasal 56).
Sanksi meliputi denda administratif sampai 2 persen pendapatan tahunan, pidana Pasal 67 sampai 70 (denda disesuaikan UU 1/2026), dan ganti rugi; PP 33/2026 berlaku 16 Januari 2027, sedangkan lembaga PDP belum terbentuk per November 2026.

Kartu hafalan bab ini

Balik setiap kartu setelah kamu mencoba menjawab dalam kepala. Kartu yang kamu nilai “ingat” akan muncul lagi setelah jeda yang makin panjang, jadi yang sudah melekat tidak menghabiskan waktumu.

Latihan mengingat berjeda

Bab 7: Pelindungan data pribadi

Dikuasai: 0 dari 8 kartuSpasi untuk membalik, angka 1 sampai 3 untuk menilai.

Sumber bab ini

Setiap angka di dalam kurung siku merujuk ke daftar ini. Peraturan dan putusan adalah sumber primer; buku teks dan jurnal dipakai untuk doktrin, penjelasan, dan perdebatan akademik.

1
Samuel D. Warren; Louis D. Brandeis (1890). The Right to Privacy. Harvard Law Review 4(5): 193-220.
Jurnal ilmiahdoi:10.2307/1321160
Privasi sebagai hak untuk dibiarkan sendiri (the right to be let alone).
2
Sinta Dewi Rosadi (2015). Cyber Law: Aspek Data Privasi Menurut Hukum Internasional, Regional, dan Nasional. Refika Aditama, Bandung.
Buku teks
Perkembangan konsep privasi data dalam instrumen internasional dan regional.
3
Republik Indonesia (1945). Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan perubahannya. Perubahan kedua tahun 2000 memuat Pasal 28F dan 28G.
Peraturanperaturan.bpk.go.id
Hak berkomunikasi dan memperoleh informasi (Pasal 28F) serta hak atas pelindungan diri pribadi (Pasal 28G ayat (1)).
4
Sinta Dewi Rosadi; Garry Gumelar Pratama (2018). Urgensi Perlindungan Data Privasi dalam Era Ekonomi Digital di Indonesia. Veritas et Justitia 4(1): 88-110.
Jurnal ilmiahdoi:10.25123/vej.2916
Tiga kriteria instrumen pelindungan data di era ekonomi digital.
5
Sinta Dewi Rosadi (2023). Pembahasan UU Pelindungan Data Pribadi (UU RI No. 27 Tahun 2022). Sinar Grafika, Jakarta (cet. 1).
Buku teks
Pembahasan pasal demi pasal UU PDP dan model pengaturan komprehensif.
6
Republik Indonesia (2022). Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Lembaran Negara RI Tahun 2022 Nomor 196, TLN 6820.
Peraturanperaturan.bpk.go.id
Jenis data, hak subjek data, dasar pemrosesan, kewajiban pengendali dan prosesor, transfer, sanksi, lembaga, dan ketentuan pidana.
7
Hukumonline (2026). Pemerintah Akhirnya Terbitkan Kerangka Implementasi Pelindungan Data Pribadi: Berlaku Mulai 16 Januari 2027. Hukumonline Pro, 2 September 2026.
Artikel atau ulasanpro.hukumonline.com
Ringkasan PP 33/2026: tenggat 3 x 24 jam untuk hak subjek data, pejabat PDP, rekaman pemrosesan, sanksi administratif.
8
Republik Indonesia (2016). Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik. Lembaran Negara RI Tahun 2016 Nomor 251, TLN 5952.
Peraturanperaturan.bpk.go.id
Perubahan pertama: pemutusan akses Pasal 40 ayat (2a) dan (2b), hak penghapusan Pasal 26, penurunan ancaman pencemaran.
9
Otoritas Jasa Keuangan (2023). Peraturan OJK Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan. Berita Negara RI Tahun 2023 Nomor 40.
Peraturanperaturan.bpk.go.id
Kewajiban pelaku usaha jasa keuangan menangani pengaduan dan menjaga data konsumen.
10
Republik Indonesia (2025). Peraturan Pemerintah Nomor 17 Tahun 2025 tentang Tata Kelola Penyelenggaraan Sistem Elektronik dalam Pelindungan Anak. Lembaran Negara RI Tahun 2025 Nomor 36, TLN 7105; berlaku 27 Maret 2025.
Peraturanperaturan.bpk.go.id
Pelaksanaan Pasal 16A dan 16B UU ITE: klasifikasi risiko, batas usia, verifikasi usia, sanksi bagi PSE.
11
Leo Dwi Jatmiko (2026). Penerapan Aturan PP Pelindungan Data Pribadi Butuh Dukungan Otoritas Independen. Bisnis.com, 1 September 2026.
Artikel atau ulasanteknologi.bisnis.com
Pasal 185 PP 33/2026 tentang variabel penghitungan denda administratif paling tinggi 2 persen.
12
Republik Indonesia (2026). Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana. Lembaran Negara RI Tahun 2026 Nomor 1, TLN 7153; berlaku 2 Januari 2026.
Peraturanperaturan.bpk.go.id
Penyesuaian denda dan pidana di luar KUHP (Pasal II), perubahan Pasal 243, 263, 332, 407 KUHP, dan perubahan Pasal 622 ayat (1) huruf r KUHP.
13
Livia Kristianti (2026). Kemkomdigi ungkap regulasi pembentukan Badan PDP masuki tahap final. ANTARA News, 4 November 2026.
Artikel atau ulasanantaranews.com
Rancangan Perpres Badan PDP sudah diajukan kepada Presiden; fungsi pengawasan sementara dijalankan Komdigi.
14
Susana Rita Kumalasanti (2026). Sidang di MK, Pemerintah Bantah Ada Kekosongan Pengawasan Perlindungan Data Pribadi. Kompas.id, 27 Juli 2026.
Artikel atau ulasankompas.id
Uji materi Pasal 58 ayat (5) dan Pasal 61 UU PDP tentang ketiadaan batas waktu pembentukan lembaga.
15
Pengadilan Tata Usaha Negara Jakarta (2024). Putusan Nomor 269/G/TF/2024/PTUN.JKT, Komunitas Konsumen Indonesia melawan Menteri Komunikasi dan Informatika. PTUN Jakarta, dibacakan 2 Desember 2024.
Putusan pengadilanjdih.komdigi.go.id
Gugatan tindakan faktual atas kegagalan melindungi Pusat Data Nasional dan ketiadaan rekam cadang.
16
Pengadilan Tinggi Tata Usaha Negara Jakarta (2025). Putusan Nomor 4/B/TF/2025/PT.TUN.JKT. PTTUN Jakarta, dibacakan 18 Maret 2025.
Putusan pengadilanputusan3.mahkamahagung.go.id
Menguatkan putusan PTUN Jakarta 269/G/TF/2024 dalam perkara Pusat Data Nasional.
17
Dicky Ariansyah; Akhmad Safik (2025). Tanggung Jawab Kemenkominfo terhadap Keamanan Pusat Data Nasional (Studi Putusan Nomor 269/G/TF/2024/PTUN.JKT). Sang Pencerah: Jurnal Ilmiah Universitas Muhammadiyah Buton 11(2).
Jurnal ilmiahdoi:10.35326/pencerah.v11i2.7268
Analisis penolakan kedudukan hukum Komunitas Konsumen Indonesia dalam gugatan PDN.