Pengaturan Teknis Pelindungan Data Pribadi dan Kewajiban Pengendali serta Prosesor Akhirnya Terbit Lewat PP 33/2026

Pendahuluan

Pada 16 Juli 2026, Pemerintah menetapkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”). Meskipun telah diundangkan, PP 33/2026 baru mulai berlaku pada 16 Januari 2027, yaitu 6 (enam) bulan sejak tanggal diundangkan. PP 33/2026 memperkuat pengaturan pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”), antara lain mengenai keberatan atas pemrosesan otomatis, tata cara pemberian ganti rugi, penilaian dampak pelindungan Data Pribadi, penunjukan Pejabat atau Petugas yang Melaksanakan Fungsi Pelindungan Data Pribadi (“PPDP”), transfer Data Pribadi lintas negara, serta pengenaan sanksi administratif oleh Lembaga Pelindungan Data Pribadi (“Lembaga”).

PP 33/2026 diterbitkan untuk memberikan pengaturan teknis atas sejumlah ketentuan dalam UU PDP yang sebelumnya masih bersifat umum dan memerlukan pengaturan lebih lanjut melalui Peraturan Pemerintah. Pengaturan tersebut mencakup mekanisme pelaksanaan hak Subjek Data Pribadi, termasuk hak mengajukan keberatan dan hak menerima ganti rugi, serta kewajiban Pengendali dan Prosesor Data Pribadi, termasuk pelaksanaan penilaian dampak, penunjukan PPDP, dan pemberitahuan kegagalan pelindungan Data Pribadi. Dengan demikian, PP 33/2026 memberikan kepastian mengenai tata cara pelaksanaan hak dan kewajiban berdasarkan UU PDP sekaligus membentuk kerangka pelindungan Data Pribadi yang lebih operasional bagi badan usaha, badan publik, dan organisasi internasional yang melakukan pemrosesan Data Pribadi di Indonesia atau yang kegiatannya menimbulkan akibat hukum di Indonesia.

Ketentuan Penting

• Pengendali Bersama dan Penunjukan Prosesor Data Pribadi

Merujuk pada Pasal 10 sampai dengan Pasal 12, pihak dalam pemrosesan Data Pribadi terdiri atas: 

1. 1. Subjek Data Pribadi, 

   2. Pengendali Data Pribadi, dan/atau 

   3. Prosesor Data Pribadi. 

Pemrosesan Data Pribadi dapat dilakukan oleh Pengendali Data Pribadi Bersama dengan memenuhi persyaratan berupa adanya perjanjian yang mengatur peran, tanggung jawab, dan hubungan antar-Pengendali Data Pribadi, tujuan yang saling berkaitan dan cara pemrosesan yang ditentukan bersama, serta narahubung yang ditunjuk bersama. Perjanjian tersebut paling sedikit memuat dasar dan tujuan pemrosesan, jenis Data Pribadi yang diproses, pembagian peran dan tanggung jawab pemenuhan kewajiban hukum, serta narahubung bersama. Merujuk pada Pasal 12, Pengendali Data Pribadi Bersama bertanggung jawab secara tanggung renteng atas pemrosesan Data Pribadi.

Merujuk pada Pasal 13 sampai dengan Pasal 16, Pengendali Data Pribadi dapat menunjuk Prosesor Data Pribadi berdasarkan perjanjian yang paling sedikit mengatur cakupan dan cara pemrosesan, jenis dan tujuan pemrosesan, kategori Subjek Data Pribadi, jangka waktu pemrosesan, hak dan kewajiban para pihak, serta mekanisme pengawasan dan audit. Pemrosesan Data Pribadi oleh Prosesor Data Pribadi tetap menjadi tanggung jawab Pengendali Data Pribadi. Prosesor Data Pribadi juga dapat melibatkan Prosesor Data Pribadi lain dengan terlebih dahulu memperoleh persetujuan tertulis dari Pengendali Data Pribadi dan wajib memastikan pemrosesan dilakukan sesuai dengan ketentuan yang berlaku. Ketentuan mengenai penunjukan Prosesor Data Pribadi tersebut juga berlaku terhadap Pengendali Data Pribadi Bersama.

• Prosedur Pelaksanaan Hak Subjek Data Pribadi

Merujuk pada Pasal 20 sampai dengan Pasal 27, pelaksanaan hak Subjek Data Pribadi diajukan melalui permohonan tercatat kepada Pengendali Data Pribadi, baik secara elektronik maupun nonelektronik. Pengendali Data Pribadi wajib menyediakan kanal permohonan yang mudah diakses dan, dalam hal pemrosesan Data Pribadi dilakukan secara elektronik, permohonan disampaikan secara elektronik. Permohonan tersebut dapat diajukan oleh Subjek Data Pribadi, orang tua atau wali Anak, wali Penyandang Disabilitas, maupun pihak yang diberi kuasa, serta paling sedikit memuat identitas pemohon, penjelasan mengenai hak dan kepentingan Subjek Data Pribadi, dan uraian permohonan atas Data Pribadi yang diproses. Merujuk pada Pasal 25, Pengendali Data Pribadi wajib melakukan verifikasi atas permohonan dengan mekanisme yang proporsional dan menentukan pemenuhan dan/atau penolakan permohonan sesuai dengan ketentuan peraturan perundang-undangan. Dalam hal Pengendali Data Pribadi tidak melaksanakan kewajibannya, Subjek Data Pribadi dapat melaporkan hal tersebut kepada Lembaga sebagaimana diatur dalam Pasal 27.

Selanjutnya, merujuk pada Pasal 28 dan Pasal 29, Pengendali Data Pribadi wajib menyusun dan menetapkan ketentuan pemrosesan Data Pribadi yang berlaku secara internal dengan mengacu pada pedoman yang ditetapkan oleh Lembaga. Pengendali Data Pribadi dapat berkonsultasi dengan Lembaga dalam penyusunan ketentuan tersebut. Selain itu, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib melaksanakan perintah Lembaga dalam rangka penyelenggaraan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.

• Dasar Pemrosesan Data Pribadi

Merujuk pada Pasal 30, setiap Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi sebelum melakukan pemrosesan. Dasar pemrosesan Data Pribadi meliputi:

1. 1. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi;

   2. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian;

   3. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan;

   4. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi;

   5. pelaksanaan tugas dalam rangka kepentingan pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau

   6. pemenuhan kepentingan yang lainnya dengan memperhatikan tujuan, kebutuhan, keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi.

Selain itu, merujuk pada Pasal 31, Pengendali Data Pribadi wajib memastikan bahwa pemrosesan Data Pribadi tidak bersifat diskriminatif terhadap Subjek Data Pribadi.

• Kewajiban Pemberitahuan atas Kegagalan Pelindungan Data Pribadi

Merujuk pada Pasal 114, dalam hal terjadi Kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada Subjek Data Pribadi dan Lembaga sejak Kegagalan Pelindungan Data Pribadi diketahui secara pasti, patut, dan wajar. Pemberitahuan tersebut paling sedikit memuat Data Pribadi yang terungkap, waktu dan cara terungkapnya Data Pribadi, upaya penanganan dan pemulihan yang dilakukan, serta informasi mengenai PPDP atau narahubung yang ditunjuk oleh Pengendali Data Pribadi. Selanjutnya, merujuk pada Pasal 115, Pengendali Data Pribadi wajib memberitahukan Kegagalan Pelindungan Data Pribadi kepada masyarakat secara umum melalui media elektronik dan/atau nonelektronik apabila kegagalan tersebut mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat.

Pasal 116 sampai dengan Pasal 119, Pengendali Data Pribadi wajib menyusun dokumentasi atas setiap Kegagalan Pelindungan Data Pribadi yang paling sedikit memuat:

1. 1. Data Pribadi yang dilindungi;

   2. deskripsi Kegagalan Pelindungan Data Pribadi;

   3. dampak atau akibat Kegagalan Pelindungan Data Pribadi terhadap Subjek Data Pribadi dan Pengendali Data Pribadi;

   4. upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan

   5. jangka waktu pemberitahuan kepada Subjek Data Pribadi dan Lembaga.

Dokumentasi tersebut wajib disampaikan kepada Lembaga. Pengendali Data Pribadi juga wajib menetapkan dan melaksanakan kebijakan, prosedur, dan/atau pedoman internal mengenai pencegahan dan penanganan Kegagalan Pelindungan Data Pribadi, termasuk pembagian peran dan tanggung jawab, mekanisme analisis dan penanganan insiden, dokumentasi dan pelaporan, serta peninjauan dan pembaruan secara berkala. Dalam hal kegagalan terjadi pada pemrosesan yang dilakukan oleh Prosesor Data Pribadi, Prosesor wajib melaporkannya kepada Pengendali Data Pribadi pada kesempatan pertama. Ketentuan lebih lanjut mengenai pemberitahuan Kegagalan Pelindungan Data Pribadi akan diatur dalam Peraturan Lembaga.

• Gugatan dan Ganti Rugi

Merujuk pada Pasal 105 sampai dengan Pasal 110, Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Permintaan ganti rugi diajukan kepada Pengendali Data Pribadi dengan paling sedikit memuat identitas Subjek Data Pribadi, data, informasi, dan/atau dokumen sebagai bukti, serta hubungan hukum antara Subjek Data Pribadi dan Pengendali Data Pribadi terkait pemrosesan Data Pribadi. Pengendali Data Pribadi wajib memiliki mekanisme dan kebijakan penanganan permintaan ganti rugi serta melakukan penilaian dan memberikan jawaban atas permintaan tersebut. Dalam hal permintaan ditolak atau tidak tercapai kesepakatan mengenai ganti rugi, Subjek Data Pribadi dapat mengajukan gugatan sesuai dengan ketentuan peraturan perundang-undangan. Ketentuan mengenai permintaan ganti rugi kepada badan publik negara dilaksanakan berdasarkan ketentuan di bidang tata usaha negara, sementara ketentuan lebih lanjut mengenai penanganan dan penyelesaian ganti rugi diatur dalam Peraturan Lembaga.

• Penilaian Dampak Pelindungan Data Pribadi

Merujuk pada Pasal 120 sampai dengan Pasal 122, Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi sebelum melakukan pemrosesan yang berpotensi menimbulkan risiko tinggi terhadap Subjek Data Pribadi, antara lain pemrosesan Data Pribadi yang bersifat spesifik, dalam skala besar, menggunakan teknologi baru, untuk pengambilan keputusan otomatis yang berdampak hukum atau signifikan, serta kegiatan evaluasi, penskoran, pemantauan sistematis, pencocokan atau penggabungan data, dan pemrosesan yang membatasi pelaksanaan hak Subjek Data Pribadi. Penilaian tersebut paling sedikit mencakup deskripsi dan tujuan pemrosesan, penilaian kebutuhan dan proporsionalitas, risiko terhadap hak Subjek Data Pribadi, serta langkah perlindungan yang diterapkan, dan wajib didokumentasikan serta ditinjau ulang apabila terdapat perubahan risiko. Dalam hal terdapat PPDP, saran PPDP harus diperhatikan dan didokumentasikan, sementara konsultasi dengan Lembaga dapat dilakukan dalam kondisi tertentu sebagaimana diatur dalam Pasal 122

• Kewajiban Penunjukan PPDP (Data Protection Officer)

Merujuk pada Pasal 142 sampai dengan Pasal 147, Pengendali dan Prosesor Data Pribadi wajib menunjuk PPDP dalam hal:

1. 1. pemrosesan Data Pribadi untuk kepentingan pelayanan publik;

   2. kegiatan inti memerlukan pemantauan Data Pribadi secara teratur dan sistematis dalam skala besar; dan/atau

   3. kegiatan inti berupa pemrosesan Data Pribadi dalam skala besar atas Data Pribadi yang bersifat spesifik dan/atau berkaitan dengan tindak pidana.

Penunjukan PPDP harus mempertimbangkan struktur, ukuran, dan kebutuhan organisasi, serta didasarkan pada profesionalitas, pengetahuan mengenai hukum dan praktik Pelindungan Data Pribadi, dan kemampuan menjalankan tugas. Merujuk pada Pasal 145, PPDP bertugas memberikan saran dan memastikan kepatuhan, memberikan saran terkait penilaian dampak, serta menjadi narahubung dalam isu pemrosesan Data Pribadi. Pengendali dan Prosesor Data Pribadi juga wajib memastikan PPDP terlibat dalam kegiatan pemrosesan, memiliki akses kepada manajemen tertinggi, bekerja secara objektif dan independen, serta memperoleh sumber daya dan akses yang memadai untuk menjalankan tugasnya.

• Transfer Data Pribadi ke Luar Wilayah Hukum Indonesia

Merujuk pada Pasal 160 sampai dengan Pasal 166, transfer Data Pribadi ke luar wilayah hukum Indonesia dapat dilakukan sepanjang dilaksanakan sesuai dengan ketentuan Pelindungan Data Pribadi. Sebelum transfer, Pengendali wajib memetakan siklus transfer, memastikan data yang ditransfer sesuai kebutuhan, mengidentifikasi dan menilai instrumen hukum yang digunakan, serta menilai risiko dan dampaknya terhadap hak Subjek Data Pribadi. Pengendali juga wajib menyampaikan informasi kepada Subjek Data Pribadi mengenai tujuan transfer, instrumen dan mekanisme pelindungan, serta risiko dan langkah mitigasinya.

Merujuk pada Pasal 165, Pengendali wajib memastikan negara penerima memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi. Apabila tidak terpenuhi, Pengendali wajib memastikan adanya pelindungan yang memadai dan mengikat. Jika kedua persyaratan tersebut tidak terpenuhi, Pengendali wajib memperoleh persetujuan Subjek Data Pribadi. Ketentuan yang sama berlaku untuk pertukaran Data Pribadi antarpenegak hukum ke luar wilayah hukum Indonesia.

• Sanksi Administratif

Pasal 184 mendaftar sejumlah ketentuan yang jika dilanggar dapat dikenai sanksi administratif berupa: 

1. 1. peringatan tertulis; 

   2. penghentian sementara kegiatan pemrosesan Data Pribadi; 

   3. penghapusan atau pemusnahan Data Pribadi; dan/atau 

   4. denda administratif, 

yang dapat dikenakan secara kumulatif atas satu pelanggaran. 

Denda administratif diatur lebih rinci dalam Pasal 185, dengan batas maksimal 2% (dua persen) dari pendapatan atau penerimaan tahunan Pengendali/Prosesor Data Pribadi, yang dihitung berdasarkan sejumlah variabel seperti dampak pelanggaran, durasi waktu terjadinya pelanggaran, jumlah Subjek Data Pribadi yang terdampak, skala usaha, dan tingkat kooperasi pihak terkait selama proses pemeriksaan dengan kemungkinan diturunkan hingga Rp0,00 (nol rupiah) berdasarkan pertimbangan tertentu. Kewenangan menjatuhkan sanksi administratif berada pada Lembaga, yang dapat didelegasikan kepada pejabat Lembaga.

Ketentuan Peralihan

Merujuk pada Pasal 223, sampai dengan ditetapkannya Peraturan Lembaga terkait pemrosesan Data Pribadi, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi tetap dapat melakukan pemrosesan Data Pribadi sepanjang tidak bertentangan dengan ketentuan PP 33/2026. Ketentuan ini memberikan dasar bagi Pengendali dan Prosesor Data Pribadi untuk tetap menjalankan kegiatan pemrosesan selama peraturan teknis lebih lanjut belum ditetapkan, dengan tetap mengacu pada ketentuan dalam PP 33/2026.

Penutup

Dengan berlakunya PP 33/2026 pada 16 Januari 2027, Pengendali dan Prosesor Data Pribadi perlu menyesuaikan kebijakan, prosedur, dan praktik pemrosesan Data Pribadi dengan ketentuan yang diatur dalam PP 33/2026. Penyesuaian tersebut mencakup pemenuhan hak Subjek Data Pribadi, dasar pemrosesan, penanganan Kegagalan Pelindungan Data Pribadi, penilaian dampak, penunjukan PPDP, transfer Data Pribadi ke luar wilayah hukum Indonesia, serta pemenuhan ketentuan terkait sanksi administratif. Selama Peraturan Lembaga yang menjadi ketentuan pelaksana belum ditetapkan, Pengendali dan Prosesor Data Pribadi tetap dapat melakukan pemrosesan sepanjang tidak bertentangan dengan PP 33/2026. Dengan demikian, PP 33/2026 menjadi dasar penting bagi penerapan kewajiban Pelindungan Data Pribadi yang lebih terstruktur dan operasional di Indonesia.