--- title: "UU PDP untuk Toko Online: Kewajiban Data Pelanggan" description: "Nama, nomor HP, dan alamat pembeli termasuk data pribadi. Ini kewajiban toko online menurut UU PDP, dari dasar pemrosesan sampai lapor kebocoran 3x24 jam." url: "https://nivelva.com/insight/uu-pdp-untuk-toko-online" category: "Bisnis Digital" tags: ["uu pdp","data pribadi","toko online","kebijakan privasi","kebocoran data"] author: "Theresia Candiawan" published: "2026-11-07T12:15:00+07:00" updated: "2026-11-07T12:15:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # UU PDP untuk Toko Online: Kewajiban Data Pelanggan > **Jawaban singkat:** UU 27/2022 berlaku penuh sejak 17 Oktober 2024 dan berlaku juga untuk toko online kecil. Intinya: punya dasar sah untuk memproses data, kumpulkan secukupnya, jelaskan lewat kebijakan privasi, amankan, penuhi hak pelanggan, dan beri tahu kebocoran paling lambat 3x24 jam. Pelindungan data pribadi, menurut UU Nomor 27 Tahun 2022 (UU PDP), adalah seluruh upaya melindungi data seseorang di sepanjang pemrosesannya: saat dikumpulkan, disimpan, dipakai, dibagikan, sampai dihapus. Bagi toko online, data itu ada di mana-mana: nama dan alamat di label pengiriman, nomor WhatsApp di daftar broadcast, email di akun pelanggan, sampai bukti transfer yang tersimpan di galeri HP admin. Sanksi hanya satu sisi persoalan. Kebocoran daftar pelanggan bisa dipakai penipu untuk mengirim tagihan palsu atas nama tokomu, dan kepercayaan pembeli yang hilang jauh lebih sulit dipulihkan. UU PDP berlaku penuh sejak 17 Oktober 2024, dan tidak ada pengecualian khusus karena usahamu kecil. ## Siapa yang terkena dan data apa saja? Dalam istilah UU PDP, tokomu adalah **pengendali data pribadi**: pihak yang menentukan tujuan dan cara data pelanggan diproses. Penyedia layanan yang memproses data atas perintahmu, misalnya penyedia hosting, layanan email marketing, atau aplikasi kasir, berperan sebagai **prosesor data pribadi**. Tanggung jawab utama tetap ada di pengendali. UU membagi data pribadi menjadi dua jenis. Data pribadi umum mencakup nama, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta data yang dikombinasikan untuk mengidentifikasi seseorang, seperti nomor HP dan alamat. Data pribadi yang bersifat spesifik lebih sensitif, antara lain data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Toko yang menjual produk kesehatan atau menyimpan foto KTP pembeli perlu ekstra hati-hati, karena masuk ke wilayah data spesifik. ## Kewajiban inti dan cara menerapkannya ### Punya dasar yang sah untuk memproses data Pasal 20 menyebut beberapa dasar pemrosesan, antara lain persetujuan yang sah dan eksplisit, pemenuhan perjanjian dengan pelanggan, kewajiban hukum, dan kepentingan yang sah. Untuk toko online, alamat pengiriman biasanya berdasar pada pemenuhan perjanjian jual beli. Mengirim promo lewat WhatsApp atau email di luar transaksi lebih aman bila didasarkan pada persetujuan yang terpisah, misalnya kotak centang "saya mau menerima info promo" yang tidak tercentang otomatis. ### Kumpulkan secukupnya Prinsip pemrosesan dalam UU PDP mengharuskan data dikumpulkan secara terbatas dan spesifik sesuai tujuan. Tanyakan pada diri sendiri: apakah tokomu benar-benar butuh tanggal lahir, foto KTP, atau nama ibu kandung pembeli? Kalau tidak, hapus kolom itu dari formulir. Data yang tidak kamu simpan tidak bisa bocor. ### Jelaskan lewat kebijakan privasi Pelanggan berhak tahu data apa yang dikumpulkan, untuk apa, berapa lama disimpan, dan dibagikan ke siapa, misalnya kurir dan payment gateway. Tulis kebijakan privasi dengan bahasa sederhana dan pasang tautannya di footer serta di halaman checkout. Hindari menyalin kebijakan toko lain mentah-mentah, karena isinya harus sesuai dengan cara kerja tokomu sendiri. ### Penuhi hak pelanggan UU PDP memberi subjek data hak untuk mengakses datanya, memperbaiki data yang salah, menarik persetujuan, dan meminta data dihapus. Siapkan satu jalur yang jelas, misalnya alamat email khusus, dan catat setiap permintaan yang masuk beserta tindakanmu. ### Amankan data dan lapor bila bocor Pengendali wajib melindungi dan memastikan keamanan data yang diprosesnya. Bila terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga. Pemberitahuan itu minimal memuat data apa yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihannya. ## Langkah keamanan praktis untuk toko kecil Keamanan yang memadai untuk toko kecil tidak harus mahal. Pastikan website memakai HTTPS di semua halaman, terutama halaman login dan checkout. Gunakan password unik dan autentikasi dua langkah untuk akun admin, email, marketplace, dan panel hosting. Panduan [password manager untuk tim](https://nivelva.com/insight/password-manager-tim-vaultwarden) membantu kalau adminmu lebih dari satu orang. Batasi siapa yang bisa melihat data pelanggan. Admin pengiriman tidak perlu akses ke laporan keuangan, dan freelancer desain tidak perlu akses ke database. Cabut akses orang yang sudah tidak bekerja denganmu. Rapikan juga data di luar sistem: tangkapan layar bukti transfer di HP pribadi, file Excel daftar pelanggan di laptop, dan grup WhatsApp lama yang berisi alamat pembeli. Buat jadwal untuk menghapus data yang sudah tidak diperlukan. Terakhir, siapkan backup yang terenkripsi dan uji pemulihannya. Kalau ada tanda peretasan, [tanda website diretas](https://nivelva.com/insight/tanda-website-diretas) menjelaskan langkah pertama yang aman, termasuk menyimpan bukti yang nanti dibutuhkan untuk pemberitahuan. ## Mana yang cukup, mana yang berlebihan? Tabel berikut membandingkan praktik umum di toko online dengan versi yang lebih sejalan dengan UU PDP. | Aspek | Praktik yang berisiko | Praktik yang lebih aman | |:--|:--|:--| | Formulir checkout | Meminta tanggal lahir dan foto KTP untuk semua pembeli | Hanya nama, kontak, dan alamat kirim | | Promo | Semua pembeli otomatis masuk daftar broadcast | Persetujuan terpisah, bisa berhenti kapan saja | | Kebijakan privasi | Tidak ada, atau salinan toko lain | Ditulis sesuai alur toko, tautan di checkout | | Akses admin | Satu akun dipakai bersama | Akun per orang, akses sesuai tugas, 2FA aktif | | Penyimpanan | Data disimpan selamanya di banyak tempat | Satu sistem utama, jadwal hapus berkala | | Kebocoran | Diam sambil berharap tidak ketahuan | Catat, tangani, beri tahu dalam 3x24 jam | Kapan langkah sederhana sudah cukup? Untuk toko yang hanya menyimpan nama, kontak, dan alamat kirim, fokus pada lima hal: data secukupnya, kebijakan privasi, akses terbatas, HTTPS dan 2FA, serta prosedur kebocoran. Kapan perlu langkah lebih serius? Bila kamu memproses data spesifik seperti data kesehatan atau keuangan, memantau perilaku pengguna secara sistematis dalam skala besar, atau berbagi data ke banyak pihak. UU PDP mewajibkan penunjukan pejabat pelindungan data pribadi dalam kondisi tertentu, misalnya pemrosesan data spesifik dalam skala besar, sehingga usaha seperti ini sebaiknya berkonsultasi dengan ahli hukum. > **PP 33/2026 berlaku mulai 16 Januari 2027:** > > Aturan pelaksana UU PDP sudah terbit sebagai Peraturan Pemerintah Nomor 33 Tahun 2026, ditetapkan dan diundangkan pada 16 Juli 2026, dan mulai berlaku enam bulan kemudian, yaitu 16 Januari 2027. PP ini merinci dasar pemrosesan, hak subjek data, kewajiban pengendali dan prosesor, serta tata cara sanksi. Per 4 November 2026, peraturan presiden tentang lembaga pengawas PDP belum terbit, dan pengawasan sementara masih dijalankan Komdigi. Jangan menunggu lembaga itu terbentuk: kewajiban di UU sudah berlaku sejak Oktober 2024, dan sisa waktu sebelum PP berlaku sebaiknya dipakai untuk merapikan kebijakan privasi dan prosedur kebocoran. ## Apa sanksinya? Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan atau pemusnahan data, dan denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga yang dibentuk berdasarkan UU PDP. Selain itu, UU juga memuat ketentuan pidana untuk perbuatan seperti mengumpulkan atau mengungkapkan data pribadi milik orang lain secara melawan hukum. Bagi toko online, risiko yang lebih dekat sering kali justru gugatan atau keluhan pelanggan, serta kerusakan reputasi setelah kebocoran. Dokumentasi yang rapi, mulai dari kebijakan privasi sampai catatan insiden, adalah bukti bahwa kamu sudah berupaya mematuhi aturan. ## Pertanyaan yang sering diajukan ### Apakah UU PDP berlaku untuk penjual yang hanya berjualan lewat WhatsApp? Ya. UU PDP tidak membedakan saluran penjualan. Daftar kontak, alamat pembeli, dan riwayat chat tetap data pribadi yang harus dilindungi. ### Apakah saya perlu persetujuan untuk mengirim paket ke alamat pembeli? Pengiriman pesanan umumnya berdasar pada pemenuhan perjanjian jual beli, salah satu dasar pemrosesan di Pasal 20. Persetujuan terpisah lebih relevan untuk promosi di luar transaksi. ### Berapa lama data pelanggan boleh disimpan? UU PDP tidak menyebut satu angka untuk semua jenis data. Simpan selama dibutuhkan untuk tujuan yang kamu jelaskan atau selama diwajibkan aturan lain, misalnya catatan transaksi untuk pajak, lalu hapus. ### Siapa yang bertanggung jawab kalau kebocoran terjadi di penyedia hosting? Penyedia hosting berperan sebagai prosesor, tetapi tokomu sebagai pengendali tetap bertanggung jawab atas pemrosesan data pelanggan. Pilih penyedia dengan praktik keamanan yang jelas dan atur kewajibannya dalam perjanjian. ## Sumber - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/uu-pdp-untuk-toko-online Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com