Panduan Kepatuhan UU PDP untuk Bisnis Indonesia

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) ditetapkan dan diundangkan pada 17 Oktober 2022. Pasal 74 memberi pengendali dan prosesor data waktu paling lama dua tahun untuk menyesuaikan diri, sehingga sejak Oktober 2024 tidak ada lagi alasan "masih masa transisi". Setiap bisnis yang mengumpulkan nama, nomor HP, email, atau data pelanggan lain termasuk dalam cakupannya.

Di bawah ini, kewajiban pokok UU PDP diterjemahkan ke bahasa praktis untuk pemilik usaha, tim produk, dan admin IT. Isinya merujuk naskah UU di JDIH BPK dan status per 4 November 2026. Ini bukan nasihat hukum; untuk kasus spesifik, konsultasikan dengan konsultan hukum yang memahami pelindungan data.

Siapa yang wajib patuh dan apa perannya?

UU PDP membedakan tiga peran utama:

• Pengendali Data Pribadi: pihak yang menentukan tujuan dan mengendalikan pemrosesan. Toko online yang mengumpulkan data pembeli adalah pengendali.
• Prosesor Data Pribadi: pihak yang memproses data atas nama pengendali. Penyedia layanan email marketing atau software akuntansi yang memproses data pelangganmu bisa berperan sebagai prosesor.
• Subjek Data Pribadi: orang yang datanya diproses, misalnya pelanggan, karyawan, atau pelamar kerja.

Satu bisnis bisa memegang beberapa peran sekaligus. Agensi digital, misalnya, menjadi pengendali untuk data karyawannya sendiri dan prosesor untuk data pelanggan kliennya. Memetakan peran ini penting karena kewajibannya berbeda.

Data umum dan data spesifik

UU PDP membagi data pribadi menjadi dua. Data umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengidentifikasi seseorang. Penjelasan UU menyebut nomor telepon seluler dan alamat IP sebagai contoh data kombinasi. Data spesifik meliputi data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Pemrosesan data spesifik membawa risiko lebih tinggi dan memicu kewajiban tambahan.

Enam dasar pemrosesan yang sah

Pasal 20 mewajibkan pengendali memiliki dasar pemrosesan. Dasarnya ada enam:

Kesalahan yang umum adalah menjadikan persetujuan sebagai dasar untuk segala hal. Persetujuan bisa ditarik kapan saja (Pasal 9), jadi untuk proses yang memang wajib dijalankan, seperti pengiriman pesanan atau kewajiban pajak, dasar perjanjian atau kewajiban hukum lebih tepat.

Bila memakai persetujuan

Pasal 21 mewajibkan pengendali menyampaikan informasi sebelum meminta persetujuan: legalitas pemrosesan, tujuan, jenis dan relevansi data, jangka waktu retensi dokumen, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak subjek data. Praktisnya, kotak centang di form harus disertai penjelasan yang jelas dan bisa dibuktikan pernah diberikan.

Hak subjek data dan tenggat pemenuhannya

UU PDP memberi subjek data serangkaian hak, antara lain:

• mendapat informasi tentang identitas, dasar hukum, dan tujuan pemrosesan (Pasal 5);
• melengkapi, memperbarui, dan memperbaiki data (Pasal 6);
• mengakses dan memperoleh salinan data (Pasal 7);
• mengakhiri pemrosesan, menghapus, atau memusnahkan data (Pasal 8);
• menarik kembali persetujuan (Pasal 9);
• mengajukan keberatan atas keputusan yang hanya berdasar pemrosesan otomatis, termasuk profiling, yang berdampak signifikan (Pasal 10);
• menunda atau membatasi pemrosesan (Pasal 11);
• menggugat dan menerima ganti rugi atas pelanggaran (Pasal 12).

Yang sering mengejutkan tim operasional adalah tenggatnya. Untuk beberapa permintaan, seperti memperbaiki data (Pasal 30), memberi akses (Pasal 32), menghentikan pemrosesan setelah persetujuan ditarik, dan menunda atau membatasi pemrosesan, UU menetapkan batas paling lambat 3 x 24 jam sejak permintaan diterima. Tanpa prosedur dan kanal yang jelas, tenggat ini sulit dipenuhi.

Kewajiban keamanan dan dokumentasi

Pasal 35 mewajibkan pengendali melindungi dan memastikan keamanan data yang diprosesnya, dengan langkah teknis operasional dan penentuan tingkat keamanan sesuai sifat dan risiko data. Pasal 31 mewajibkan perekaman seluruh kegiatan pemrosesan data pribadi. Dalam bahasa sehari-hari: kamu perlu tahu data apa yang kamu simpan, di mana, untuk apa, siapa yang bisa mengaksesnya, dan berapa lama disimpan.

Langkah teknis yang biasanya diharapkan antara lain kontrol akses dan autentikasi yang kuat, enkripsi saat data dikirim dan disimpan, backup yang aman, pencatatan akses, dan pembaruan sistem. Panduan teknisnya tersebar di panduan lengkap keamanan website untuk bisnis dan panduan autentikasi modern. Kalau data pelanggan ada di database terkelola, pahami juga pembagian tanggung jawab keamanan dengan penyedianya, seperti dibahas di apa itu cloud database.

Penilaian dampak (DPIA)

Pasal 34 mewajibkan penilaian dampak pelindungan data pribadi bila pemrosesan berpotensi berisiko tinggi, misalnya keputusan otomatis yang berdampak hukum atau signifikan, pemrosesan data spesifik, pemrosesan skala besar, evaluasi atau pemantauan sistematis, penggabungan kumpulan data, penggunaan teknologi baru, dan pemrosesan yang membatasi hak subjek data. Fitur AI yang menilai atau memprofil pelanggan termasuk yang perlu dicermati di sini.

Kapan wajib menunjuk pejabat pelindungan data?

Pasal 53 mewajibkan pengendali dan prosesor menunjuk pejabat atau petugas yang menjalankan fungsi pelindungan data pribadi bila:

1. pemrosesan dilakukan untuk kepentingan pelayanan publik;
2. kegiatan inti memerlukan pemantauan teratur dan sistematis atas data pribadi dalam skala besar; atau
3. kegiatan inti terdiri dari pemrosesan skala besar untuk data spesifik atau data terkait tindak pidana.

Bisnis yang tidak memenuhi kriteria itu tidak wajib, tapi tetap butuh seseorang yang bertanggung jawab atas kepatuhan. Di usaha kecil, peran ini bisa dirangkap pemilik atau kepala operasional, asalkan jelas siapa orangnya.

Kegagalan pelindungan data: notifikasi 3x24 jam

Pasal 46 mengatur kewajiban yang paling sering diperbincangkan. Bila terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan kepada lembaga. Isi minimalnya: data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan. Dalam hal tertentu, pengendali juga wajib memberi tahu masyarakat.

Tenggat ini pendek. Tanpa rencana yang disiapkan sebelumnya, tim akan menghabiskan waktu itu hanya untuk mencari tahu apa yang terjadi. Karena itu, kepatuhan UU PDP sangat terkait dengan kesiapan respons insiden. Kerangka lengkapnya ada di panduan respons insiden siber.

Transfer data ke luar negeri

Banyak bisnis memakai layanan cloud, CRM, atau email yang servernya di luar Indonesia. Pasal 56 mengatur urutan syaratnya:

1. Pastikan negara penerima punya tingkat pelindungan data yang setara atau lebih tinggi dari UU PDP.
2. Bila tidak terpenuhi, pastikan ada pelindungan yang memadai dan bersifat mengikat, misalnya lewat perjanjian.
3. Bila keduanya tidak terpenuhi, wajib mendapatkan persetujuan subjek data.

Mulailah dengan mendaftar semua layanan pihak ketiga yang menyimpan atau memproses data pelanggan dan karyawan, beserta lokasi datanya dan perjanjian pemrosesan data yang mereka sediakan.

Sanksi administratif dan pidana

Pasal 57 menyebut sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga.

Selain itu ada ketentuan pidana bagi siapa pun yang dengan sengaja dan melawan hukum memperoleh, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya.

Bila dilakukan oleh korporasi, Pasal 70 menyebut pidana yang dijatuhkan kepada korporasi hanya pidana denda, paling banyak 10 kali dari denda maksimal, ditambah kemungkinan pidana tambahan seperti perampasan keuntungan atau pembekuan usaha.

Status aturan pelaksana dan lembaga PDP

Banyak ketentuan UU PDP menyebut "diatur lebih lanjut dalam Peraturan Pemerintah". Sepanjang 2026, sejumlah media dan firma hukum memberitakan bahwa peraturan pemerintah pelaksana UU PDP sudah ditetapkan. Per 4 November 2026, kami belum bisa memastikan naskah resminya di JDIH BPK atau situs resmi pemerintah, sehingga nomor, tanggal berlaku, dan isinya tidak kami tulis di sini. Sebelum menyusun kebijakan internal, cari naskah peraturan pelaksana itu di JDIH resmi dan baca langsung ketentuannya, terutama soal persetujuan, data anak, transfer ke luar negeri, pejabat pelindungan data, dan tata cara sanksi.

Lembaga pelindungan data pribadi yang dimaksud UU PDP dibentuk melalui Peraturan Presiden. Per 4 November 2026, kami belum menemukan pengumuman resmi penetapan lembaga tersebut. Pantau situs resmi Kementerian Komunikasi dan Digital untuk perkembangannya, termasuk ke mana pemberitahuan kegagalan pelindungan data disampaikan.

Langkah awal kepatuhan untuk bisnis