Jawaban singkat. Data Protection Officer (DPO), dalam UU PDP disebut pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (PPDP), adalah orang atau tim yang memberi saran, memantau kepatuhan, memberi saran atas DPIA, dan menjadi narahubung untuk urusan data pribadi. DPO wajib ditunjuk bila salah satu dari tiga kondisi terpenuhi (PP 33/2026 Pasal 142). Tidak ada ketentuan yang mewajibkan DPO bersertifikat BNSP: UU PDP dan PP 33 mensyaratkan penunjukan berdasarkan profesionalitas dan pengetahuan. Per Oktober 2026, ada lima LSP berlisensi BNSP yang menyertifikasi sebagian unit kompetensi DPO.
Terakhir diperbarui: 23 Oktober 2026 · Tim kurikulum kepatuhan Frans Training · Bukan nasihat hukum.
Kapan perusahaan wajib menunjuk DPO?
Pengendali dan prosesor data wajib menunjuk PPDP bila (PP 33 Pasal 142; UU PDP Pasal 53):
- memproses data untuk kepentingan pelayanan publik;
- kegiatan intinya memerlukan pemantauan teratur dan sistematis atas data pribadi dalam skala besar; dan/atau
- kegiatan intinya berupa pemrosesan data pribadi spesifik (misalnya kesehatan, biometrik, keuangan, anak) dalam skala besar.
Sejak Putusan MK No. 151/PUU-XXII/2024 (30 Juli 2025), kata "dan" dalam syarat tersebut dibaca "dan/atau". Artinya, satu kondisi saja sudah cukup. "Skala besar" tidak diberi angka: penilaiannya mempertimbangkan jumlah data, jumlah subjek, durasi, jenis data, tujuan, dan wilayah geografis. Dokumentasikan analisis ruang lingkup Anda.
Apa tugas DPO? (Pasal 145)
DPO paling sedikit bertugas: - menginformasikan dan memberi saran kepada pengendali atau prosesor agar mematuhi UU PDP; - memantau dan memastikan kepatuhan terhadap peraturan dan kebijakan internal; - memberi saran atas penilaian dampak pelindungan data pribadi (DPIA); dan - menjadi narahubung untuk isu pemrosesan data pribadi.
Posisi dan independensi DPO (Pasal 143, 144, 146)
| Ketentuan | Isi |
|---|---|
| Dasar penunjukan | Profesionalitas, pengetahuan hukum, praktik pelindungan data pribadi, dan kemampuan menjalankan tugas (Pasal 143). Rincian kompetensi akan diatur Peraturan Lembaga. |
| Internal atau eksternal | Boleh satu orang atau beberapa orang, dari dalam dan/atau luar organisasi (Pasal 144) |
| Keterlibatan | Dilibatkan dalam semua kegiatan pemrosesan data pribadi |
| Akses pelaporan | Ke tingkat manajemen tertinggi |
| Independensi | Bekerja objektif, tanpa intervensi, dan bebas konflik kepentingan (Pasal 146) |
Surat penunjukan saja belum cukup. Organisasi harus bisa menunjukkan bahwa DPO punya wewenang, sumber daya, dan akses yang nyata.
Apakah DPO wajib bersertifikat BNSP?
Tidak. Tidak ada pasal dalam UU PDP maupun PP 33/2026 yang mewajibkan sertifikat tertentu. Rujukan kompetensi nasionalnya adalah SKKNI Pelindungan Data Pribadi (Kepmenaker No. 103 Tahun 2023) dengan 19 unit kompetensi. Sertifikasi BNSP bersifat sukarela, tetapi berguna sebagai bukti profesionalitas.
Daftar LSP BNSP dengan skema pelindungan data pribadi (per 23 Oktober 2026)
| LSP | Nomor lisensi | Jenis | Skema | Jumlah unit |
|---|---|---|---|---|
| LSP Pelindungan Data Pribadi | BNSP-LSP-2725-ID | Pihak ketiga (P3) | Melaksanakan Kepatuhan Pelindungan Data Pribadi | 3 |
| LSP Pelindungan Data Pribadi Indonesia | BNSP-LSP-2615-ID | Pihak ketiga (P3) | Perencanaan Program Kerja Pelindungan Data Pribadi | 5 |
| LPK Justitia Training Center | BNSP-LSP-1729-ID | Pihak pertama (P1) | Mengelola Kepatuhan Hukum Perlindungan Data Pribadi | 8 |
| LSP STIH Iblam | BNSP-LSP-2535-ID | Pihak pertama (P1) | Pengelolaan Program Perlindungan Data Pribadi | 6 |
| LSP Universitas Langlangbuana | BNSP-LSP-2465-ID | Pihak pertama (P1) | Pelaksana Teknologi Pengendali Data Pribadi | 11 |
Sumber: direktori LSP BNSP (bnsp.go.id), diakses 23 Oktober 2026. Tidak ada skema yang mencakup seluruh 19 unit SKKNI. LSP pihak ketiga melayani masyarakat umum; LSP pihak pertama umumnya menguji peserta didik atau jejaringnya sendiri. Cek kembali direktori BNSP sebelum mendaftar, karena lisensi dan skema dapat berubah.
"CIPDPO" dan gelar serupa dari penyelenggara pelatihan adalah gelar milik penyelenggara itu sendiri, bukan sertifikat kompetensi BNSP.
Bagaimana menyiapkan DPO yang kompeten?
- Petakan ruang lingkup: apakah kriteria Pasal 142 terpenuhi? Dokumentasikan alasannya.
- Tetapkan uraian tugas sesuai Pasal 145, jalur pelaporan ke direksi, dan anggaran.
- Bangun kompetensi dengan merujuk 19 unit SKKNI 103/2023: kerangka hukum, program kerja, DPIA, manajemen risiko, audit, respons insiden, dan pemenuhan hak subjek data.
- Pertimbangkan sertifikasi BNSP sebagai bukti tambahan, sesuai skema yang relevan.
- Bentuk tim lintas fungsi (legal, IT/keamanan, HR, pengadaan, pemasaran), karena DPO tidak bisa bekerja sendirian.
Pertanyaan yang sering diajukan
DPO adalah apa? DPO adalah pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi: memberi saran, memantau kepatuhan, memberi saran atas DPIA, dan menjadi narahubung (PP 33/2026 Pasal 145).
Apakah semua perusahaan wajib punya DPO? Tidak. Hanya bila salah satu kriteria Pasal 142 terpenuhi: pelayanan publik, pemantauan sistematis skala besar, atau pemrosesan data spesifik skala besar.
Apakah DPO boleh dari pihak luar (outsourcing)? Boleh. PP 33 Pasal 144 mengizinkan DPO dari dalam dan/atau luar organisasi.
Apakah sertifikasi DPO BNSP wajib? Tidak ada ketentuan yang mewajibkannya. Lima LSP berlisensi BNSP menawarkan skema sertifikasi sukarela yang mencakup 3 sampai 11 dari 19 unit SKKNI.
Kepada siapa DPO melapor? DPO harus memiliki akses pelaporan ke tingkat manajemen tertinggi dan bekerja secara independen (Pasal 146).
Siapkan DPO Anda sebelum 16 Januari 2027. Pelatihan DPO & UU PDP kami membangun kompetensi berdasarkan SKKNI 103/2023, termasuk lab DPIA dan simulasi insiden. Konsultasikan kebutuhan tim Anda. Kembali ke ringkasan PP 33/2026.
Sumber
- UU No. 27 Tahun 2022, Pasal 53–54 — peraturan.bpk.go.id/Details/229798
- PP No. 33 Tahun 2026 (LN 2026 No. 88), Pasal 142–146
- Putusan MK No. 151/PUU-XXII/2024 — mkri.id
- Kepmenaker No. 103 Tahun 2023 (SKKNI Pelindungan Data Pribadi) — jdih.kemnaker.go.id
- Direktori LSP BNSP — bnsp.go.id/lsp