Kapan Bisnis Wajib Punya Petugas Pelindungan Data Pribadi?

Wajib tidaknya bisnismu punya petugas pelindungan data pribadi ditentukan oleh apa yang kamu lakukan dengan data, bukan oleh besar kecilnya kantor. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan penunjukan dalam tiga keadaan, dan sejak putusan Mahkamah Konstitusi tahun 2025, memenuhi satu keadaan saja sudah cukup untuk memicu kewajiban itu.

Panduan ini membahas cara mengecek posisi bisnismu langkah demi langkah, apa tugas petugas tersebut menurut undang-undang, dan pilihan yang masuk akal untuk usaha kecil. Ini bukan nasihat hukum. Untuk keputusan akhir, rujuk naskah resmi dan konsultan hukum.

Siapa yang dimaksud "pejabat atau petugas" ini?

UU PDP memakai istilah pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi. Di luar negeri peran serupa sering disebut Data Protection Officer (DPO). Penjelasan Pasal 53 ayat (1) menyebut perannya adalah memastikan kepatuhan atas prinsip pelindungan data pribadi dan memitigasi risiko pelanggarannya.

Kewajiban menunjuk berlaku untuk Pengendali Data Pribadi (pihak yang menentukan tujuan pemrosesan) maupun Prosesor Data Pribadi (pihak yang memproses atas nama pengendali). Keduanya bisa berupa orang perseorangan atau korporasi, badan publik, maupun organisasi internasional.

Langkah mengecek apakah bisnismu wajib menunjuk

Langkah 1: Petakan data pribadi yang kamu proses

Buat daftar data pribadi yang dikumpulkan, dari formulir website, aplikasi, kasir, CRM, sampai data karyawan. Catat juga dari siapa datanya, untuk apa dipakai, dan di mana disimpan. Tanpa peta ini, langkah berikutnya hanya tebakan.

Langkah 2: Cek apakah ada pemrosesan untuk pelayanan publik

Kriteria pertama Pasal 53 ayat (1) adalah pemrosesan data pribadi untuk kepentingan pelayanan publik. Ini relevan bagi instansi pemerintah dan pihak yang menjalankan layanan publik.

Langkah 3: Cek apakah ada pemantauan teratur dan sistematis skala besar

Kriteria kedua adalah bila kegiatan inti pengendali memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas data pribadi dengan skala besar. Contoh yang patut kamu periksa: pelacakan perilaku pengguna aplikasi untuk profil dan iklan, pemantauan lokasi armada atau pengemudi, atau program loyalitas yang menganalisis kebiasaan belanja pelanggan dalam jumlah besar.

Kata kuncinya kegiatan inti. Toko yang sekadar menyimpan data pengiriman pelanggan berbeda dengan platform yang bisnis utamanya justru menganalisis perilaku pengguna.

Langkah 4: Cek data spesifik dan data terkait tindak pidana

Kriteria ketiga adalah bila kegiatan inti terdiri dari pemrosesan skala besar untuk data pribadi yang bersifat spesifik dan/atau data yang berkaitan dengan tindak pidana. Menurut Pasal 4 ayat (2), data spesifik meliputi data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai peraturan. Klinik, laboratorium, layanan keuangan, platform pendidikan anak, dan sistem absensi sidik jari skala besar layak memeriksa kriteria ini dengan serius.

Langkah 5: Terapkan tafsir "dan/atau" dari putusan MK

Dalam naskah asli, kriteria huruf b diakhiri kata "dan", yang bisa dibaca seolah ketiga kriteria harus terpenuhi sekaligus. Mahkamah Konstitusi, dalam Putusan Nomor 151/PUU-XXII/2024 yang diucapkan 30 Juli 2025, menyatakan kata "dan" itu tidak berkekuatan hukum mengikat sepanjang tidak dimaknai "dan/atau". Menurut pertimbangan Mahkamah, ketiga kriteria adalah kriteria mandiri: memenuhi satu, dua, atau ketiganya sudah mewajibkan penunjukan.

Langkah 6: Dokumentasikan kesimpulanmu

Apa pun hasilnya, tulis alasannya. Kalau kamu menyimpulkan belum wajib, catat kenapa. Dokumen ini berguna bila suatu saat ada pertanyaan dari lembaga pengawas, mitra, atau auditor.

Apa saja tugas petugas pelindungan data menurut UU?

Pasal 54 ayat (1) menyebut tugas paling sedikit:

1. Menginformasikan dan memberikan saran kepada pengendali atau prosesor agar mematuhi UU PDP.
2. Memantau dan memastikan kepatuhan terhadap UU PDP dan kebijakan internal pengendali atau prosesor.
3. Memberikan saran mengenai penilaian dampak pelindungan data pribadi dan memantau kinerja pengendali dan prosesor.
4. Berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan data pribadi.

Dalam menjalankan tugasnya, petugas memperhatikan risiko pemrosesan dengan mempertimbangkan sifat, ruang lingkup, konteks, dan tujuannya. Pasal 54 ayat (3) mendelegasikan ketentuan lebih lanjut tentang petugas ini ke peraturan pemerintah. Per 4 November 2026, aturan itu sudah terbit sebagai PP Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP, yang ditetapkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Baca bagian tentang pejabat atau petugas di naskah resminya sebelum menyusun penunjukan.

Siapa yang layak ditunjuk?

Pasal 53 ayat (2) menyebut penunjukan didasarkan pada profesionalitas, pengetahuan mengenai hukum, praktik pelindungan data pribadi, dan kemampuan memenuhi tugas. Undang-undang tidak menyebut sertifikasi tertentu sebagai syarat.

Ayat (3) memberi kelonggaran penting: petugas bisa berasal dari dalam dan/atau luar organisasi. Bagi usaha kecil, ini membuka tiga pilihan:

• Staf internal yang diberi peran tambahan, misalnya manajer operasional atau staf legal, dengan pelatihan yang cukup. Hindari menunjuk orang yang posisinya membuatnya menilai pekerjaannya sendiri, misalnya satu-satunya admin sistem.
• Pihak luar seperti konsultan atau firma yang menyediakan layanan petugas pelindungan data secara paruh waktu.
• Gabungan: staf internal sebagai narahubung harian, didampingi konsultan untuk penilaian dampak dan kebijakan.

Apa risikonya bila tidak menunjuk padahal wajib?

Pasal 57 menyebut pelanggaran Pasal 53 ayat (1) dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi dijatuhkan oleh lembaga pelindungan data pribadi.

Lembaga itu ditetapkan oleh Presiden. Dalam keterangan pemerintah di sidang Mahkamah Konstitusi pada 27 Juli 2026, Komdigi menyampaikan rancangan Peraturan Presiden tentang lembaga tersebut sudah diajukan penetapannya, dan hingga lembaga terbentuk fungsi pelindungan data pribadi dijalankan Komdigi melalui Direktorat Jenderal Pengawasan Ruang Digital. Per 4 November 2026, belum ada pengumuman resmi bahwa lembaga itu sudah terbentuk, jadi cek status terbarunya di kanal resmi pemerintah. Belum terbentuknya lembaga bukan alasan menunda persiapan, karena masa penyesuaian dua tahun dalam Pasal 74 sudah berakhir.

Ringkasan kriteria

Data yang dikelola petugas ini juga perlu disimpan dengan aman. Prinsip dasar memilih tempat penyimpanan database dibahas di apa itu cloud database, sedangkan kewajiban saat terjadi kebocoran ada di kewajiban lapor kebocoran data 3x24 jam.

Checklist singkat sebelum menutup topik ini:

• Peta data pribadi sudah dibuat dan diperbarui.
• Ketiga kriteria Pasal 53 sudah dicek satu per satu, dengan tafsir "dan/atau".
• Kesimpulan dan alasannya terdokumentasi.
• Bila wajib, petugas sudah ditunjuk tertulis beserta tugasnya.
• Kontak petugas dicantumkan di kebijakan privasi.
• PP 33/2026 sudah dibaca, dan status lembaga dipantau di situs resmi.