Jawaban singkat. UU Pelindungan Data Pribadi (UU PDP, UU No. 27 Tahun 2022) sudah berlaku penuh sejak 17 Oktober 2024. Peraturan pelaksananya, PP No. 33 Tahun 2026, diundangkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Sejak tanggal itu, perusahaan harus bisa menunjukkan bukti kepatuhan: catatan pemrosesan data, dasar pemrosesan, DPIA untuk pemrosesan berisiko tinggi (termasuk AI), prosedur 3×24 jam, dan pejabat pelindungan data pribadi (DPO) bila memenuhi kriteria. Denda administratif maksimal 2% dari pendapatan tahunan.
Terakhir diperbarui: 23 Oktober 2026. Ditulis oleh tim kurikulum kepatuhan Frans Training. Artikel ini bersifat edukasi, bukan nasihat hukum.
Apa itu UU PDP dan PP 33/2026?
UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Undang-undang ini mengatur hak pemilik data (subjek data), kewajiban pengendali dan prosesor data, transfer data ke luar negeri, lembaga pengawas, serta sanksi administratif dan pidana.
PP 33/2026 adalah Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP (Lembaran Negara RI Tahun 2026 Nomor 88). PP ini terdiri atas 12 bab dan 225 pasal, dan mengubah prinsip-prinsip UU PDP menjadi kewajiban operasional yang dapat diaudit.
Perlindungan atau pelindungan? Nama resmi undang-undangnya memakai kata "Pelindungan" Data Pribadi. Dalam percakapan sehari-hari dan pencarian Google, orang lebih sering menulis "perlindungan". Keduanya merujuk pada UU No. 27 Tahun 2022 yang sama.
Kapan UU PDP dan PP 33/2026 berlaku?
| Tanggal | Peristiwa |
|---|---|
| 17 Oktober 2022 | UU 27/2022 disahkan; masa transisi 2 tahun dimulai |
| 17 Oktober 2024 | Masa transisi berakhir; UU PDP berlaku penuh |
| 30 Juli 2025 | Putusan MK 151/PUU-XXII/2024: kewajiban menunjuk DPO berlaku bila salah satu kriteria terpenuhi |
| 2 Januari 2026 | UU 1/2026 (Penyesuaian Pidana) menyesuaikan denda pidana UU PDP ke kategori KUHP |
| 16 Juli 2026 | PP 33/2026 ditetapkan dan diundangkan |
| 16 Januari 2027 | PP 33/2026 mulai berlaku (Pasal 225: enam bulan sejak diundangkan) |
20 kewajiban perusahaan menurut UU PDP dan PP 33/2026
Nomor pasal di bawah sudah kami cocokkan dengan naskah PP 33/2026.
| # | Kewajiban | Dasar hukum | Bukti yang perlu disiapkan |
|---|---|---|---|
| 1 | Memiliki dasar pemrosesan sebelum memproses data | PP 33 Pasal 30 | Register dasar pemrosesan per aktivitas |
| 2 | Persetujuan yang bebas, sadar, spesifik, dan tidak ambigu | PP 33 Pasal 32 | Teks persetujuan, mekanisme penarikan, log bukti |
| 3 | Analisis kepentingan yang sah, didokumentasikan | PP 33 Pasal 53–54 | Dokumen legitimate interest assessment |
| 4 | Pemberitahuan privasi dengan 7 informasi minimum, tanpa klausul eksonerasi | PP 33 Pasal 62, 65 | Kebijakan privasi (pelanggan, karyawan, pelamar) |
| 5 | Data yang diperoleh tidak langsung: informasikan paling lambat 30 hari kerja | PP 33 Pasal 64 | Prosedur pemberitahuan |
| 6 | Catatan seluruh kegiatan pemrosesan (13 muatan minimum) | PP 33 Pasal 74 | Record of processing (ROPA) |
| 7 | Kebijakan masa retensi (10 muatan minimum) | PP 33 Pasal 75 | Jadwal retensi dan prosedur pemusnahan |
| 8 | Perbaikan, akses, penarikan persetujuan, dan pembatasan dalam 3×24 jam | PP 33 Pasal 71, 77, 92, 99 | Alur permintaan subjek data |
| 9 | Salinan data diberikan pada kesempatan pertama; konfirmasi dan jangka waktu dalam 3×24 jam | PP 33 Pasal 78 | Prosedur permintaan salinan |
| 10 | Hak keberatan atas keputusan otomatis (termasuk profiling) dan alternatif keterlibatan manusia | UU PDP Pasal 10; PP 33 Pasal 93–95 | Inventaris keputusan otomatis (kredit, harga, rekrutmen) |
| 11 | Perjanjian dengan prosesor (11 muatan minimum); sub-prosesor perlu persetujuan tertulis | PP 33 Pasal 14–15 | Addendum kontrak vendor |
| 12 | DPIA sebelum pemrosesan berisiko tinggi, termasuk AI | UU PDP Pasal 34; PP 33 Pasal 120–122 | Dokumen DPIA |
| 13 | Keamanan sejak tahap perancangan sistem | PP 33 Pasal 123–124 | Checklist privacy by design |
| 14 | Notifikasi kegagalan pelindungan data dalam 3×24 jam | UU PDP Pasal 46; PP 33 Pasal 114 | Playbook insiden dan templat notifikasi |
| 15 | Pengumuman publik bila insiden mengganggu layanan publik atau berdampak serius | PP 33 Pasal 115 | Templat pengumuman |
| 16 | Kebijakan pencegahan dan penanganan insiden, serta dokumentasinya | PP 33 Pasal 116–117 | Kebijakan dan log insiden |
| 17 | Audit pelindungan data internal dan eksternal | PP 33 Pasal 138 | Program audit |
| 18 | Menunjuk DPO (PPDP) bila memenuhi kriteria | UU PDP Pasal 53; PP 33 Pasal 142–146 | SK penunjukan, uraian tugas, jalur pelaporan |
| 19 | Transfer ke luar negeri: penilaian instrumen hukum, risiko, dan pemberitahuan | UU PDP Pasal 56; PP 33 Pasal 160–174 | Inventaris transfer (cloud, SaaS, grup usaha) |
| 20 | Data anak: persetujuan orang tua/wali | PP 33 Pasal 38 | Mekanisme verifikasi usia dan persetujuan |
Siapa yang wajib menunjuk DPO?
Pengendali dan prosesor data wajib menunjuk pejabat atau petugas pelindungan data pribadi (PPDP, sering disebut DPO) bila salah satu kondisi ini terpenuhi (PP 33 Pasal 142; Putusan MK 151/PUU-XXII/2024):
- pemrosesan data untuk kepentingan pelayanan publik;
- kegiatan inti memerlukan pemantauan teratur dan sistematis atas data pribadi dalam skala besar; atau
- kegiatan inti berupa pemrosesan data pribadi spesifik (misalnya kesehatan, keuangan, biometrik, anak) dalam skala besar.
PP 33 tidak menetapkan angka untuk "skala besar". Penilaiannya mempertimbangkan jumlah data, jumlah subjek, durasi, jenis data, tujuan, dan wilayah geografis. DPO boleh berasal dari dalam atau luar organisasi (Pasal 144), harus memiliki akses ke manajemen tertinggi, dan harus bekerja secara independen (Pasal 146). Baca juga: DPO: tugas, kriteria, dan apakah wajib bersertifikat.
Apakah AI wajib DPIA?
Ya, bila pemrosesannya berisiko tinggi. Pasal 120 PP 33/2026 menyebut tujuh pemicu DPIA, salah satunya penggunaan teknologi baru. Penjelasan pasal itu menyebut secara eksplisit kecerdasan buatan, machine learning, smart technology, dan internet of things. DPIA wajib dilakukan sebelum pemrosesan dimulai (Pasal 121). Panduan lengkap: DPIA menurut PP 33/2026.
Berapa sanksi UU PDP?
- Administratif: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda paling tinggi 2% dari pendapatan atau penerimaan tahunan (PP 33 Pasal 184–185). Keputusan sanksi diumumkan di media resmi Lembaga (Pasal 195).
- Pidana: setelah UU 1/2026, denda pidana disesuaikan ke kategori KUHP. Pasal 67 masuk kategori IV (Rp200 juta) dan Pasal 68 kategori V (Rp500 juta). Korporasi dapat dikenai hingga 10 kali lipat, dan ancaman penjara tidak berubah.
Detail per pasal: Sanksi UU PDP setelah UU 1/2026.
Apa yang belum ada?
- Lembaga PDP (otoritas pengawas berdasarkan Pasal 58 UU PDP) belum dibentuk per Oktober 2026. Rancangan Perpresnya sudah diajukan kepada Presiden pada Mei 2026. Sementara itu, pengawasan dijalankan Kementerian Komunikasi dan Digital.
- Sekitar 30 ketentuan didelegasikan ke Peraturan Lembaga, antara lain rincian notifikasi insiden (Pasal 119), pemrosesan otomatis (Pasal 96), kompetensi DPO (Pasal 143 ayat 2), dan penilaian kesetaraan negara tujuan transfer (Pasal 167).
- Pasal 223 menegaskan: sampai Peraturan Lembaga terbit, pemrosesan data tetap wajib sesuai PP 33/2026. Menunggu lembaga bukan alasan untuk menunda kepatuhan.
Langkah praktis sebelum 16 Januari 2027
- Petakan: apakah Anda pengendali, prosesor, atau keduanya? Apakah kriteria DPO terpenuhi?
- Tunjuk dan beri sumber daya kepada DPO, dengan jalur pelaporan ke direksi.
- Susun ROPA (13 muatan) dan register dasar pemrosesan.
- Perbarui dokumen: kebijakan privasi, persetujuan, LIA, jadwal retensi, kontrak vendor.
- Bangun prosedur 3×24 jam untuk permintaan subjek data dan insiden, lalu uji dengan simulasi.
- Lakukan DPIA untuk sistem AI, HR analytics, data kesehatan dan keuangan, serta CCTV.
- Latih setiap peran, dari direksi hingga front-liner, dan simpan bukti pelatihan.
- Audit secara berkala (Pasal 138).
Pertanyaan yang sering diajukan
Kapan UU PDP berlaku? UU PDP berlaku penuh sejak 17 Oktober 2024. PP 33/2026 sebagai peraturan pelaksananya berlaku mulai 16 Januari 2027.
Di mana naskah resmi PP 33/2026? PP 33/2026 tercatat di Lembaran Negara RI Tahun 2026 Nomor 88. Rujuk JDIH Kementerian Sekretariat Negara atau peraturan.go.id untuk naskah resmi.
Apakah perusahaan kecil wajib mematuhi UU PDP? Ya. Setiap pengendali data wajib memiliki dasar pemrosesan, pemberitahuan privasi, dan pengamanan data. Kewajiban menunjuk DPO hanya berlaku bila salah satu kriteria Pasal 142 terpenuhi.
Apakah DPO wajib bersertifikat BNSP? Tidak ada ketentuan yang mewajibkannya. UU PDP dan PP 33 mensyaratkan DPO ditunjuk berdasarkan profesionalitas dan pengetahuan. Rincian kompetensinya akan diatur Peraturan Lembaga.
Berapa lama batas waktu notifikasi kebocoran data? 3×24 jam sejak kegagalan pelindungan data diketahui secara pasti, patut, dan wajar. Pemberitahuan ditujukan kepada subjek data dan Lembaga (PP 33 Pasal 114).
Siapa yang mengawasi UU PDP saat ini? Lembaga PDP belum dibentuk per Oktober 2026. Untuk sementara, pengawasan dijalankan Kementerian Komunikasi dan Digital.
Butuh tim Anda siap sebelum 16 Januari 2027? Lihat program Pelatihan DPO & UU PDP, Kepatuhan UU PDP untuk HR, Kepatuhan UU PDP untuk Industri Keuangan, atau konsultasikan kebutuhan pelatihan Anda.
Sumber
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi — peraturan.bpk.go.id/Details/229798
- PP No. 33 Tahun 2026 (LN 2026 No. 88), naskah lengkap 225 pasal
- Putusan MK No. 151/PUU-XXII/2024 (30 Juli 2025) — mkri.id
- UU No. 1 Tahun 2026 tentang Penyesuaian Pidana — peraturan.go.id