Jawaban singkat. Kebijakan privasi (privacy policy) yang sesuai PP 33/2026 wajib memuat tujuh informasi minimum: dasar hukum (legalitas) pemrosesan, tujuan, jenis dan relevansi data, masa retensi, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak subjek data (Pasal 62). Kebijakan itu tidak boleh memuat klausul eksonerasi (Pasal 65). Untuk data yang tidak diperoleh langsung dari pemiliknya, informasi tersebut wajib disampaikan paling lambat 30 hari kerja (Pasal 64). PP 33 berlaku mulai 16 Januari 2027.
Terakhir diperbarui: 23 Oktober 2026 · Tim kurikulum kepatuhan Frans Training · Bukan nasihat hukum.
7 informasi wajib dalam kebijakan privasi (Pasal 62)
| # | Informasi wajib | Contoh kalimat |
|---|---|---|
| 1 | Legalitas pemrosesan (dasar pemrosesan) | "Kami memproses data Anda untuk melaksanakan perjanjian layanan dan berdasarkan persetujuan Anda untuk pemasaran." |
| 2 | Tujuan pemrosesan | "Untuk memproses pesanan, mengirim tagihan, dan memberi dukungan pelanggan." |
| 3 | Jenis dan relevansi data yang diproses | "Nama, email, dan nomor telepon diperlukan untuk menghubungi Anda terkait pesanan." |
| 4 | Masa retensi | "Data transaksi disimpan selama 10 tahun sesuai kewajiban perpajakan; data prospek dihapus 2 tahun setelah kontak terakhir." (sesuaikan dengan kebijakan retensi Anda) |
| 5 | Rincian informasi yang dikumpulkan | Daftar data yang dikumpulkan per kanal: formulir, aplikasi, cookie |
| 6 | Jangka waktu pemrosesan | "Selama Anda menjadi pelanggan dan selama masa retensi di atas." |
| 7 | Hak subjek data | Akses, perbaikan, salinan, penarikan persetujuan, penundaan/pembatasan, penghapusan, keberatan atas keputusan otomatis |
PP 33 menegaskan bahwa kewajiban menyampaikan informasi ini berlaku untuk semua dasar pemrosesan, bukan hanya pemrosesan berbasis persetujuan.
Larangan klausul eksonerasi (Pasal 65)
Klausul eksonerasi adalah klausul yang mengurangi, membatasi, atau membebaskan kewajiban atau tanggung jawab pengendali data. Contoh yang tidak boleh dipakai:
- ❌ "Kami tidak bertanggung jawab atas kebocoran data dalam bentuk apa pun."
- ❌ "Dengan menggunakan layanan ini, Anda melepaskan seluruh hak untuk menuntut terkait data pribadi Anda."
- ✅ "Kami menerapkan langkah pengamanan yang wajar dan akan memberi tahu Anda dalam 3×24 jam bila terjadi kegagalan pelindungan data."
Hak subjek data dan tenggat waktunya
| Hak | Tenggat menurut PP 33/2026 |
|---|---|
| Perbaikan dan pembaruan data | 3×24 jam (Pasal 71) |
| Akses data | 3×24 jam (Pasal 77) |
| Salinan data | Pada kesempatan pertama; konfirmasi beserta jangka waktunya paling lambat 3×24 jam setelah permintaan terverifikasi (Pasal 78) |
| Penarikan persetujuan, yaitu penghentian pemrosesan | 3×24 jam (Pasal 92) |
| Penundaan dan pembatasan pemrosesan | 3×24 jam (Pasal 99) |
Cantumkan cara menggunakan hak tersebut, misalnya email khusus atau formulir, dan sebutkan bahwa Anda dapat meminta verifikasi identitas.
Kesalahan umum yang perlu dihindari
- Persetujuan "dibundel" dengan syarat dan ketentuan. PP 33 mensyaratkan persetujuan yang bebas, sadar, spesifik, dan tidak ambigu (Pasal 32).
- Menyalin kebijakan privasi GDPR tanpa menyesuaikan dengan istilah, tenggat, dan dasar hukum Indonesia.
- Tidak menyebut transfer ke luar negeri, misalnya hosting cloud atau SaaS. PP 33 mewajibkan informasi sebelum transfer (Pasal 164).
- Masa retensi tidak jelas. "Selama diperlukan" saja tidak cukup; hubungkan dengan dokumen kebijakan retensi (Pasal 75).
- Lupa data karyawan dan pelamar. Kebijakan privasi tidak hanya untuk pelanggan; HR juga memerlukan pemberitahuan privasi.
- Tidak ada versi dan tanggal. Catat tanggal pembaruan agar perubahan dapat dilacak.
Struktur kebijakan privasi yang direkomendasikan
- Siapa kami (identitas pengendali dan kontak, termasuk DPO bila ada)
- Data yang kami kumpulkan, per kanal
- Tujuan dan dasar pemrosesan
- Pihak yang menerima data (prosesor, vendor, transfer ke luar negeri)
- Masa retensi
- Hak Anda dan cara menggunakannya
- Keamanan dan penanganan insiden (notifikasi 3×24 jam)
- Cookie dan teknologi pelacakan
- Perubahan kebijakan dan tanggal pembaruan
Lihat contoh penerapannya pada kebijakan privasi Frans Training.
Unduh template kebijakan privasi
Unduh template kebijakan privasi sesuai PP 33/2026 (DOCX) →. Template ini berisi kesembilan bagian di atas, kolom isian untuk tujuh informasi wajib Pasal 62, contoh kalimat hak subjek data beserta tenggatnya, dan daftar periksa klausul eksonerasi.
Pertanyaan yang sering diajukan
Apa saja isi wajib kebijakan privasi menurut PP 33/2026? Tujuh informasi minimum (Pasal 62): legalitas pemrosesan, tujuan, jenis dan relevansi data, masa retensi, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak subjek data.
Apakah kebijakan privasi boleh membatasi tanggung jawab perusahaan? Tidak. PP 33 Pasal 65 melarang klausul eksonerasi, yaitu klausul yang mengurangi, membatasi, atau membebaskan kewajiban pengendali data.
Apakah perusahaan kecil juga wajib memiliki kebijakan privasi? Ya. Kewajiban menyampaikan informasi pemrosesan berlaku bagi setiap pengendali data, berapa pun ukurannya.
Bagaimana jika data diperoleh dari pihak ketiga? Pengendali wajib menyampaikan informasi kepada subjek data paling lambat 30 hari kerja setelah data diperoleh (Pasal 64).
Apakah template GDPR bisa dipakai? Bisa sebagai titik awal, tetapi harus disesuaikan dengan dasar hukum, tenggat, dan istilah UU PDP serta PP 33/2026.
Ingin tim legal dan HR menyusun pemberitahuan privasi yang benar? Ikuti Pelatihan DPO & UU PDP atau Kepatuhan UU PDP untuk HR. Kembali ke ringkasan PP 33/2026.
Sumber
- PP No. 33 Tahun 2026 (LN 2026 No. 88), Pasal 32, 62, 64, 65, 71, 75, 77, 78, 92, 99, 164
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi