Pemerintah telah menerbitkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”). Peraturan ini ditetapkan dan diundangkan pada 16 Juli 2026 dan mulai berlaku 6 (enam) bulan sejak tanggal diundangkan, yaitu 16 Januari 2027.
PP 33/2026 mengatur lebih lanjut sejumlah ketentuan dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”), antara lain mengenai pemrosesan Data Pribadi, Penilaian Dampak Pelindungan Data Pribadi, keberatan atas pemrosesan secara otomatis, transfer Data Pribadi ke luar wilayah hukum Indonesia, pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi (PPDP), serta pengenaan sanksi administratif.
Bagi perusahaan, pengaturan tersebut tidak hanya menambah kewajiban administratif. PP 33/2026 juga menimbulkan sejumlah konsekuensi terhadap kontrak, tata kelola internal, teknologi, transaksi korporasi, hingga risiko sanksi. Beberapa hal yang perlu diantisipasi antara lain sebagai berikut.
- DPIA Harus Dilakukan Sejak Perencanaan Pemrosesan
PP 33/2026 mewajibkan Pengendali Data Pribadi melakukan Penilaian Dampak Pelindungan Data Pribadi (“DPIA”) apabila pemrosesan memiliki potensi risiko tinggi terhadap Subjek Data Pribadi.
Karena itu, DPIA tidak seharusnya diperlakukan sebagai dokumen yang dibuat setelah suatu sistem atau produk berjalan. DPIA perlu menjadi bagian dari proses perencanaan dan pengambilan keputusan, terutama dalam pengembangan produk digital, penerapan teknologi baru, integrasi sistem, pemrosesan dalam skala besar, atau aktivitas yang berpotensi menimbulkan dampak signifikan terhadap Subjek Data Pribadi.
Perusahaan perlu memasukkan DPIA ke dalam proses persetujuan produk, teknologi, dan proyek baru agar risiko dapat diidentifikasi sebelum pemrosesan dimulai serta memiliki dokumentasi atas dasar pengambilan keputusan tersebut.
- Perjanjian Tidak Otomatis Menjadi Dasar Pemrosesan Data Pribadi
PP 33/2026 mengatur bahwa pemenuhan kewajiban perjanjian dapat menjadi dasar pemrosesan Data Pribadi apabila memenuhi persyaratan tertentu. Pasal 41 mensyaratkan antara lain adanya perjanjian yang sah, kebutuhan pemrosesan untuk melaksanakan perjanjian, pemenuhan langkah perlindungan, pertimbangan risiko, serta kemampuan Pengendali Data Pribadi memenuhi hak Subjek Data Pribadi. Pasal 43 juga menetapkan muatan minimum yang perlu tercermin dalam perjanjian.
Dengan demikian, keabsahan kontrak tidak otomatis menjadikannya dasar pemrosesan Data Pribadi. Risiko ini terutama relevan bagi perusahaan yang memiliki kontrak dalam jumlah besar yang dibuat sebelum PP 33/2026 berlaku.
Perusahaan perlu melakukan contract review terhadap perjanjian yang melibatkan pemrosesan Data Pribadi, khususnya untuk memastikan tujuan dan kebutuhan pemrosesan, hak Subjek Data Pribadi, serta konsekuensi apabila pemrosesan tidak dilakukan telah dapat ditelusuri dalam dokumentasi kontraktual.
- Kepentingan yang Sah Membutuhkan Pembuktian, Bukan Sekadar Klausul
PP 33/2026 mengakui pemenuhan kepentingan yang sah lainnya sebagai salah satu dasar pemrosesan Data Pribadi. Penggunaannya harus mempertimbangkan tujuan, kebutuhan, serta keseimbangan antara kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi.
Namun, perusahaan tidak cukup hanya mencantumkan dasar tersebut dalam privacy policy atau dokumen internal. Pasal 53 mewajibkan Pengendali Data Pribadi melakukan analisis dan penilaian, sedangkan Pasal 54 mewajibkan hasilnya didokumentasikan.
Risiko hukumnya terletak pada kemampuan perusahaan membuktikan mengapa pemrosesan diperlukan dan bagaimana kepentingan tersebut telah diseimbangkan dengan hak Subjek Data Pribadi. Karena itu, perusahaan perlu memiliki dokumentasi analisis dan penilaian untuk setiap aktivitas pemrosesan yang menggunakan dasar tersebut serta memperbaruinya apabila terjadi perubahan terhadap tujuan, metode, atau keadaan pemrosesan.
- Larangan Pengalihan Tanggung Jawab Memerlukan Contract Review
Pasal 44 PP 33/2026 melarang Pengendali Data Pribadi mencantumkan klausul perjanjian yang mengalihkan tanggung jawab kepada Subjek Data Pribadi yang seharusnya menjadi tanggung jawab Pengendali berdasarkan peraturan perundang-undangan.
Persoalannya adalah membedakan klausul yang benar-benar mengalihkan tanggung jawab hukum dengan klausul kontraktual yang secara sah mengatur alokasi risiko, seperti pembatasan tanggung jawab atau indemnity. PP 33/2026 belum memberikan batasan lebih lanjut mengenai hal tersebut.
Karena itu, perusahaan perlu melakukan contract review terhadap klausul pelindungan Data Pribadi, terutama yang menggunakan formulasi pembebasan tanggung jawab, waiver, indemnity, atau pembatasan tanggung jawab. Tujuannya bukan menghapus seluruh klausul tersebut, melainkan memastikan kontrak tidak digunakan untuk memindahkan kewajiban hukum Pengendali kepada Subjek Data Pribadi.
- Transfer Data Pribadi ke Luar Negeri Tidak Cukup Mengandalkan Klausul Kontrak
PP 33/2026 memperkenalkan mekanisme berlapis untuk transfer Data Pribadi ke luar wilayah Indonesia. Berdasarkan Pasal 165, Pengendali harus memastikan negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi. Jika tidak terpenuhi, Pengendali harus memastikan adanya pelindungan yang memadai dan bersifat mengikat. Apabila mekanisme tersebut juga tidak terpenuhi, Pengendali harus memperoleh persetujuan Subjek Data Pribadi.
Instrumen pelindungan yang memadai dan mengikat dapat berupa instrumen yang mengikat secara hukum, standar klausul kontrak, peraturan korporasi yang mengikat dalam suatu grup korporasi, atau instrumen lain yang diakui Lembaga. Pengendali juga harus dapat menunjukkan pertanggungjawaban melalui dokumen tertulis dan/atau terekam.
Dengan demikian, penggunaan cloud service, global HR system, customer relationship management, atau vendor asing tidak cukup hanya didukung klausul transfer data dalam kontrak. Perusahaan perlu mengetahui ke mana data ditransfer, siapa penerimanya, untuk tujuan apa, di mana data disimpan, siapa yang dapat mengaksesnya, dan mekanisme transfer apa yang digunakan.
Mitigasinya adalah melakukan data transfer mapping terhadap seluruh aliran Data Pribadi lintas negara dan memastikan dasar serta instrumen transfer dapat dibuktikan.
- Kegagalan Pelindungan Data Pribadi Harus Dilaporkan dalam 3×24 Jam
Pasal 114 PP 33/2026 mewajibkan Pengendali Data Pribadi menyampaikan pemberitahuan tertulis mengenai Kegagalan Pelindungan Data Pribadi paling lambat 3×24 jam kepada Subjek Data Pribadi dan Lembaga sejak kegagalan tersebut diketahui secara pasti, patut, dan wajar. Pemberitahuan setidaknya memuat Data Pribadi yang terungkap, waktu dan cara terungkapnya data, serta upaya penanganan dan pemulihan dan informasi mengenai PPDP atau narahubung yang ditunjuk.
Tantangannya bukan hanya kemampuan mengirimkan pemberitahuan dalam 72 jam, tetapi kemampuan perusahaan menentukan kapan suatu insiden telah diketahui dan memicu kewajiban pemberitahuan. Pasal 117 juga mewajibkan Pengendali memiliki kebijakan, prosedur, dan/atau pedoman internal mengenai pencegahan dan penanganan Kegagalan Pelindungan Data Pribadi.
Karena itu, perusahaan perlu memiliki incident response procedure yang jelas, termasuk mekanisme penerimaan laporan, verifikasi, klasifikasi insiden, pengambilan keputusan mengenai pemberitahuan, dan dokumentasi. Kontrak dengan Prosesor juga perlu mengatur kewajiban pelaporan insiden kepada Pengendali.
- Penghapusan Data Menimbulkan Persoalan Retensi dan Backup
PP 33/2026 mengatur pengakhiran, pemrosesan, penghapusan dan pemusnahan Data Pribadi, termasuk ketika masa retensi berakhir, terdapat permintaan Subjek Data Pribadi dalam kondisi tertentu, Data Pribadi tidak lagi berkaitan dengan penyelesaian proses hukum, atau Data Pribadi diperoleh dan/atau diproses secara melawan hukum ketentuan tersebut diatur dalam Pasal 79 sampai dengan Pasal 88 PP 33/2026.
Kewajiban tersebut menjadi tantangan ketika perusahaan juga memiliki kewajiban menyimpan data berdasarkan peraturan lain, kebutuhan audit, pembuktian transaksi, atau penyelesaian sengketa. Persoalan yang sama muncul ketika Data Pribadi masih tersimpan dalam sistem cadangan (backup).
Karena itu, perusahaan perlu menyusun data retention schedule yang menghubungkan setiap kategori Data Pribadi dengan tujuan pemrosesan, masa retensi, dasar penyimpanan, serta mekanisme penghapusan atau pemusnahannya. Pengaturan tersebut perlu memperhitungkan sistem utama maupun lingkungan penyimpanan lain yang digunakan perusahaan.
- Transaksi M&A Harus Memasukkan Data Pribadi sebagai Isu Hukum Transaksi
PP 33/2026 secara khusus mengatur pengalihan Data Pribadi dalam penggabungan, pemisahan, pengambilalihan, peleburan, dan pembubaran badan hukum. Sebelum pengalihan dilakukan, Pengendali Data Pribadi wajib menilai hak Subjek Data Pribadi dan kewajiban pelindungan Data Pribadi yang masih harus dipenuhi selama dan setelah transaksi.
Ketentuan ini menunjukkan bahwa database pelanggan, karyawan, vendor, atau pengguna tidak semata-mata merupakan aset atau informasi bisnis yang dapat langsung dialihkan kepada entitas hasil transaksi. Pengendali baru wajib memproses Data Pribadi sesuai tujuan pemrosesan sebelumnya dan baru dapat menggunakannya untuk tujuan baru setelah masa pengajuan keberatan Subjek Data Pribadi berakhir.
Karena itu, aspek pelindungan Data Pribadi perlu dimasukkan dalam legal due diligence. Pemeriksaan perlu mencakup dasar dan tujuan pemrosesan, hak Subjek Data Pribadi yang masih berjalan, kontrak dengan vendor, kewajiban Pengendali lama, serta rencana penggunaan data setelah transaksi.
- Denda Maksimal 2% Tidak Berarti Perusahaan Otomatis Dikenai 2%
PP 33/2026 menetapkan denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan Pengendali dan/atau Prosesor Data Pribadi terhadap variabel pelanggaran. Angka 2% merupakan batas maksimum, bukan besaran yang otomatis dikenakan untuk setiap pelanggaran.
Pasal 185 menetapkan sejumlah variabel dalam penghitungan denda, antara lain dampak negatif pelanggaran, durasi pelanggaran, jenis dan jumlah Data Pribadi yang terdampak, jumlah Subjek Data Pribadi, proses temuan pelanggaran, tingkat keterbukaan dan kerja sama dalam pemeriksaan, skala usaha, kemampuan membayar, kepatuhan, serta variabel lain yang ditetapkan Lembaga.
Di sisi lain, Pasal 184 memungkinkan lebih dari satu sanksi administratif dikenakan secara bersamaan dan sanksi dapat dijatuhkan dengan atau tanpa didahului peringatan tertulis. Ketentuan ini menunjukkan bahwa risiko sanksi tidak hanya bergantung pada besarnya pendapatan perusahaan, tetapi juga pada tingkat pelanggaran dan kemampuan perusahaan menunjukkan kepatuhan serta langkah pencegahan dan mitigasi yang telah dilakukan.
Karena itu, perusahaan perlu membangun dokumentasi kepatuhan yang memadai, termasuk kebijakan, penilaian risiko, hasil audit, tindakan mitigasi, dan respons terhadap insiden. Dokumentasi tersebut dapat menjadi bagian penting dalam menghadapi proses pengawasan dan penegakan administratif.
Penutup
PP 33/2026 membawa pelindungan Data Pribadi ke tingkat yang lebih operasional. Tantangan bagi perusahaan bukan sekadar bertambahnya kewajiban, tetapi kemampuan membuktikan bahwa setiap kewajiban telah dijalankan. Dasar pemrosesan harus dapat dipertanggungjawabkan, pemrosesan berisiko harus dinilai, insiden harus dapat ditangani dalam batas waktu yang ditentukan, dan pengelolaan Data Pribadi harus didukung dokumentasi yang memadai.
Pada saat yang sama, sejumlah ketentuan masih menunggu pengaturan lebih lanjut melalui Peraturan Lembaga, termasuk mengenai kepentingan yang sah lainnya, pemberitahuan Kegagalan Pelindungan Data Pribadi, transfer lintas negara, penghapusan dan pemusnahan, serta sanksi administratif.
Karena itu, masa sebelum 16 Januari 2027 sebaiknya tidak hanya digunakan untuk memperbarui privacy policy. Perusahaan perlu menguji kembali dasar pemrosesan, kontrak, alur transfer data, prosedur penanganan insiden, mekanisme retensi dan penghapusan, serta dokumentasi kepatuhan. Tujuannya sederhana: ketika PP 33/2026 mulai berlaku, kepatuhan perusahaan tidak hanya ada di atas kertas, tetapi dapat dibuktikan.
Perkembangan regulasi pelindungan Data Pribadi membawa konsekuensi langsung terhadap cara perusahaan mengelola data, menyusun perjanjian, menangani insiden, hingga menjalankan transaksi korporasi. Karena itu, pemahaman yang tepat terhadap PP 33/2026 menjadi penting agar setiap kebijakan, pemrosesan, dan praktik usaha dapat disusun sesuai dengan ketentuan yang berlaku serta didukung oleh dokumentasi kepatuhan yang memadai.
MNL Law Firm hadir untuk memberikan pendampingan dan konsultasi hukum bagi pelaku usaha dalam mengantisipasi berbagai risiko hukum terkait pelindungan Data Pribadi, termasuk peninjauan perjanjian, pemetaan dasar dan kegiatan pemrosesan, penanganan Kegagalan Pelindungan Data Pribadi, transfer Data Pribadi, hingga penguatan tata kelola kepatuhan perusahaan.
Dasar Hukum
- Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (“UU PDP”).
- Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (“PP 33/2026).
Penulis: Hotmaita Arta Purba, S.H.
Editor : Robby Simamora, S.H., M.H.