Jawaban singkat. DPIA (Data Protection Impact Assessment, atau penilaian dampak pelindungan data pribadi) adalah evaluasi sistematis atas risiko suatu kegiatan pemrosesan data pribadi terhadap hak subjek data, beserta langkah mitigasinya. Menurut PP 33/2026, DPIA wajib dilakukan sebelum pemrosesan bila pemrosesan berpotensi berisiko tinggi, termasuk penggunaan AI dan machine learning (Pasal 120–121). PP 33 berlaku mulai 16 Januari 2027.
Terakhir diperbarui: 23 Oktober 2026 · Tim kurikulum kepatuhan Frans Training · Bukan nasihat hukum.
DPIA adalah apa, dan apa dasar hukumnya?
DPIA berangkat dari Pasal 34 UU PDP (UU 27/2022), yang mewajibkan pengendali data melakukan penilaian dampak bila pemrosesan berpotensi berisiko tinggi. PP 33/2026 Pasal 120–122 kemudian merinci kapan DPIA wajib, apa isinya, dan kapan harus ditinjau ulang. Penjelasan Pasal 120 menyebut tujuan DPIA: mengevaluasi potensi risiko dan langkah mitigasi, termasuk terhadap hak subjek data.
Kapan DPIA wajib? 7 pemicu dalam Pasal 120
DPIA wajib bila pemrosesan memenuhi satu atau lebih kondisi berikut:
| # | Pemicu (PP 33 Pasal 120 ayat 2) | Contoh di perusahaan |
|---|---|---|
| a | Keputusan otomatis yang berakibat hukum atau berdampak signifikan | Credit scoring otomatis, penyaringan CV otomatis |
| b | Pemrosesan data pribadi spesifik | Data kesehatan karyawan, data keuangan nasabah, biometrik |
| c | Pemrosesan skala besar | Basis data pelanggan nasional |
| d | Evaluasi, penskoran, atau pemantauan sistematis | Penilaian kinerja berbasis aktivitas digital, pemantauan perilaku |
| e | Pencocokan atau penggabungan kumpulan data | Menggabungkan data HRIS dengan data absensi dan GPS |
| f | Penggunaan teknologi baru | AI, machine learning, smart technology, IoT (disebut eksplisit dalam penjelasan pasal) |
| g | Pemrosesan yang membatasi pelaksanaan hak subjek data | Sistem yang menyulitkan akses atau penghapusan data |
"Skala besar" tidak diberi angka. Penjelasan Pasal 120 menyebut faktor yang dipertimbangkan: jumlah data, jumlah subjek, durasi, jenis data, tujuan, dan wilayah geografis. Dokumentasikan alasan Anda saat menyimpulkan suatu pemrosesan bukan skala besar.
Isi minimum DPIA (Pasal 121)
DPIA paling sedikit memuat empat hal:
- Deskripsi kegiatan pemrosesan dan tujuannya, termasuk kepentingan pengendali;
- Penilaian kebutuhan dan proporsionalitas antara tujuan dan kegiatan pemrosesan;
- Penilaian risiko terhadap hak subjek data;
- Langkah perlindungan untuk memitigasi risiko tersebut.
Kewajiban yang menyertainya:
- DPIA dilakukan sebelum pemrosesan dimulai.
- DPIA dan langkah mitigasinya didokumentasikan.
- DPIA ditinjau ulang bila risiko pemrosesan berubah.
- Bila ada DPO, sarannya wajib diperhatikan dan didokumentasikan.
- Pengendali dapat berkonsultasi dengan Lembaga PDP bila pemrosesan menimbulkan kerugian atau langkah teknis tidak tersedia (Pasal 122). Rincian lebih lanjut akan diatur Peraturan Lembaga.
DPIA, PTA, dan ROPA: apa bedanya?
| Dokumen | Fungsi | Kapan |
|---|---|---|
| ROPA (record of processing, Pasal 74) | Inventaris semua kegiatan pemrosesan (13 muatan) | Selalu, untuk seluruh pemrosesan |
| PTA (privacy threshold assessment) | Penyaringan awal: apakah aktivitas ini memicu DPIA? | Saat ada proyek atau sistem baru |
| DPIA (Pasal 120–122) | Analisis risiko mendalam dan mitigasi | Hanya untuk pemrosesan berisiko tinggi, sebelum dimulai |
Urutan praktisnya: ROPA menunjukkan apa saja yang Anda proses, PTA menyaring mana yang berisiko, dan DPIA menganalisis yang berisiko.
Contoh DPIA untuk AI di HR
Skenario: perusahaan memakai AI untuk menyaring lamaran kerja dan memberi skor kandidat.
| Bagian DPIA | Isi singkat |
|---|---|
| Deskripsi | CV dan hasil tes kandidat diproses model AI untuk menghasilkan skor kecocokan; HR menetapkan shortlist |
| Pemicu | Teknologi baru (f), keputusan otomatis berdampak signifikan (a), penskoran (d) |
| Kebutuhan & proporsionalitas | Hanya data yang relevan dengan jabatan; tanpa foto, usia, atau agama sebagai fitur |
| Risiko | Bias atau diskriminasi, kandidat tidak tahu dinilai mesin, kebocoran data pelamar, transfer data ke vendor AI di luar negeri |
| Mitigasi | Peninjauan manusia sebelum penolakan; informasi tentang penggunaan AI dalam pemberitahuan privasi; mekanisme keberatan (Pasal 93–95); uji bias berkala; perjanjian prosesor dengan vendor (Pasal 14); penilaian transfer lintas negara (Pasal 162–164) |
| Saran DPO | Dicatat dan ditindaklanjuti |
| Tinjauan ulang | Saat model diperbarui atau ada keluhan |
DPIA di sektor keuangan (OJK)
Lembaga jasa keuangan memproses data keuangan pribadi, yang termasuk data spesifik, sering dalam skala besar dan dengan keputusan otomatis (misalnya persetujuan kredit). Artinya, beberapa pemicu terpenuhi sekaligus. DPIA berdasarkan PP 33 tetap wajib di samping ketentuan pelindungan konsumen OJK (POJK 22/2023). Petakan kedua rezim dan terapkan standar yang lebih ketat.
Unduh template DPIA
Kami menyiapkan template DPIA sesuai PP 33/2026 (DOCX dan PDF). Isinya: lembar PTA, bagian empat isi minimum Pasal 121, matriks risiko, rencana mitigasi, kolom saran DPO, dan pemicu tinjauan ulang. Unduh template DPIA gratis →
Pertanyaan yang sering diajukan
DPIA adalah apa? DPIA adalah penilaian dampak pelindungan data pribadi: evaluasi risiko suatu pemrosesan terhadap hak subjek data beserta langkah mitigasinya, wajib menurut UU PDP Pasal 34 dan PP 33/2026 Pasal 120–122.
Apakah semua pemrosesan data wajib DPIA? Tidak. Hanya pemrosesan yang berpotensi berisiko tinggi, yaitu yang memenuhi salah satu dari tujuh pemicu dalam Pasal 120. Namun semua pemrosesan wajib dicatat dalam ROPA.
Apakah penggunaan AI wajib DPIA? Ya, bila pemrosesannya menggunakan teknologi baru. Penjelasan Pasal 120 menyebut kecerdasan buatan, machine learning, smart technology, dan IoT secara eksplisit.
Kapan DPIA harus dilakukan? Sebelum pemrosesan dimulai (Pasal 121), dan ditinjau ulang setiap kali risiko pemrosesan berubah.
Siapa yang menyusun DPIA? Pengendali data bertanggung jawab atas DPIA. Bila ada DPO, saran DPO wajib diperhatikan dan didokumentasikan.
Ingin tim Anda mampu menyusun DPIA untuk sistem AI? Ikuti Pelatihan DPO & UU PDP (termasuk lab DPIA), atau konsultasikan workshop DPIA untuk tim data dan HR. Kembali ke ringkasan PP 33/2026 dan UU PDP.
Sumber
- UU No. 27 Tahun 2022, Pasal 34 — peraturan.bpk.go.id/Details/229798
- PP No. 33 Tahun 2026 (LN 2026 No. 88), Pasal 74, 93–95, 120–122, 14, 162–164
- POJK No. 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan