Mengenal Peraturan Pemerintah No. 33 Tahun 2026 tentang Pelaksanaan UU Pelindungan Data Pribadi

Undang-Undang Pelindungan Data Pribadi (UU PDP) sebenarnya sudah ada sejak 2022 dan berlaku penuh sejak Oktober 2024. Masalahnya, banyak ketentuannya masih bersifat umum dan belum punya panduan teknis.

Kekosongan itu kini diisi oleh Peraturan Pemerintah No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP, yang ditetapkan pada 16 Juli 2026 dan mulai berlaku pada 16 Januari 2027.

PP 33 Tahun 2026 membawa tiga perubahan utama yang paling terasa bagi pelaku usaha: permintaan subjek data wajib dijawab dalam 3×24 jam, kegagalan pelindungan data wajib diberitahukan dalam 3×24 jam, dan denda administratif mencapai 2% pendapatan tahunan.

Artikel ini merangkum isi pokoknya: apa yang diatur, siapa yang terdampak, berapa denda yang mengintai, dan apa yang perlu disiapkan sebelum tenggat tiba.

Apa Itu Peraturan Pemerintah No. 33 Tahun 2026?

PP 33 Tahun 2026 adalah peraturan pelaksana UU PDP yang menjabarkan tata cara teknis menjalankan UU PDP di lapangan. Di dalamnya ada prosedur, bentuk dokumen, tenggat waktu, hingga mekanisme lain yang belum diatur rinci oleh UU PDP.

UU PDP sendiri memang dirancang bersifat prinsip. Pasal-pasalnya menyebut “persetujuan”, “hak Subjek Data”, dan “sanksi”, tetapi jarang merinci bentuk dokumennya atau cara menghitungnya. PP 33/2026 mengisi ruang kosong itu.

Sebagai contoh, perhatikan bagaimana UU PDP merinci prinsip, dan PP 33 Tahun 2026 merinci tata cara teknis pelaksanaannya:

• UU PDP mewajibkan Pengendali memenuhi hak Subjek Data; PP merinci tata caranya di Pasal 20 sampai 27 dan menetapkan tenggat jawab 3×24 jam.
• UU PDP menyebut persetujuan sebagai dasar pemrosesan; PP mendefinisikan persetujuan yang sah secara eksplisit, melarang penggabungannya dengan syarat dan ketentuan, dan mewajibkan Pengendali menunjukkan bukti persetujuan.
• UU PDP menetapkan denda maksimal 2% pendapatan tahunan; PP memerinci variabel yang menentukan besarnya, lengkap dengan kemungkinan angkanya menyentuh nol.

Butir	Ketentuan
Nama lengkap	Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
Ditetapkan dan diundangkan	16 Juli 2026
Lembaran Negara	Tahun 2026 Nomor 88
Jumlah ketentuan	12 bab dan 225 pasal
Mulai berlaku	16 Januari 2027, enam bulan sejak tanggal diundangkan (Pasal 225)

Naskah PP ini sendiri sempat beredar lebih dulu di kalangan pelaku industri sebelum statusnya diketahui publik. Kompas memberitakan peredarannya pada 29 Agustus 2026, lebih dari sebulan setelah pengundangan.

Hubungan dengan UU No. 27 Tahun 2022

Hubungannya sederhana: UU PDP adalah kerangkanya, PP 33/2026 adalah detail pelaksanaannya. Seluruh norma UU tetap berlaku, dan PP menambahkan tata cara teknis di atasnya.

Aspek	UU No. 27 Tahun 2022	PP No. 33 Tahun 2026
Sifat pengaturan	Kerangka prinsip, hak, kewajiban, sanksi, dan kelembagaan	Tata cara operasional dan rincian teknis
Ruang lingkup utama	Definisi, hak Subjek Data, kewajiban Pengendali dan Prosesor, transfer data, sanksi administratif (Pasal 57), ketentuan pidana	Dasar pemrosesan, persetujuan, tata cara hak Subjek Data, muatan dokumen, DPIA (Penilaian Dampak Pelindungan Data Pribadi), PPDP (Pejabat atau Petugas Pelindungan Data Pribadi), transfer, pengawasan, dan tata cara sanksi
Jumlah ketentuan	16 bab, 76 pasal	12 bab, 225 pasal
Mulai berlaku	17 Oktober 2022, dengan masa transisi 2 tahun hingga berlaku penuh Oktober 2024	16 Januari 2027, dengan masa penyesuaian 6 bulan

Siapa yang Terkena Aturan Ini?

Aturan ini berlaku bagi setiap pihak yang memproses data pribadi di Indonesia, baik perusahaan swasta, kementerian dan pemerintah daerah, maupun organisasi internasional yang beroperasi di negara ini.

Namun, ada pengecualian, yaitu pemrosesan untuk kepentingan pribadi atau rumah tangga. Di dalam aturan ini, setiap pihak menempati satu dari tiga peran: Subjek Data, Pengendali, atau Prosesor.

Subjek, Pengendali, dan Prosesor Data Pribadi

PP 33/2026 mengatur tiga peran sekaligus: Subjek Data, Pengendali, dan Prosesor Data Pribadi. Ketiganya adalah poros seluruh pengaturan dalam aturan ini:

• Subjek Data Pribadi adalah pemilik data, yaitu individu yang datanya diproses. Hak-hak yang diatur PP, mulai dari akses dan perbaikan hingga penarikan persetujuan dan ganti rugi, melekat pada peran ini.
• Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan mengambil keputusan atas pemrosesan data. Perusahaan yang mengumpulkan data pelanggan untuk keperluan operasionalnya adalah Pengendali. Kewajiban dokumen, tenggat 3×24 jam, dan ancaman sanksi utamanya menimpa peran ini.
• Prosesor Data Pribadi adalah pihak yang memproses data atas nama Pengendali: vendor cloud, penyedia analitik, agensi pemasaran, atau outsourcer HR. Hubungan kontraktual antara keduanya diatur secara rinci dalam Pasal 14 dan 15.

Kebanyakan perusahaan memegang dua peran sekaligus, yaitu sebagai Pengendali atas data pelanggannya sendiri, dan Prosesor ketika memproses data milik klien lain.

Badan Publik dan Jangkauan Ekstrateritorial

Cakupan PP 33/2026 ini tercantum dalam ruang lingkupnya (Pasal 2): berlaku bagi setiap orang, badan publik, dan organisasi internasional yang melakukan pemrosesan data pribadi di Indonesia. Artinya, perusahaan swasta hanyalah sebagian dari pihak yang diatur.

Pihak lain yang juga terikat antara lain:

• Kementerian, lembaga, dan pemerintah daerah yang mengelola data warga termasuk di dalamnya.
• Organisasi internasional yang mengumpulkan data di wilayah Indonesia juga terikat.

Tidak hanya itu, jangkauan PP ini juga bersifat ekstrateritorial. Artinya, pihak di luar Indonesia ikut terikat apabila kegiatannya menimbulkan akibat hukum di Indonesia atau berdampak terhadap Subjek Data warga negara Indonesia.

Jangkauan ini mirip pendekatan GDPR di Uni Eropa. Layanan asing yang melayani pengguna Indonesia tidak bisa bersembunyi di balik domisili server.

Pengecualian: Kegiatan Pribadi atau Rumah Tangga

Ada satu pengecualian: pemrosesan data untuk kegiatan pribadi atau rumah tangga tidak termasuk cakupan aturan ini.

Contohnya, menyimpan daftar kontak keluarga di ponsel pribadi bukan aktivitas yang diatur UU PDP maupun PP ini.

Untuk pelaku usaha, pengecualian ini tidak banyak menolong. Begitu data diproses untuk tujuan bisnis dalam skala apa pun, aturan berlaku penuh. UU PDP tidak mengenal ambang batas khusus untuk usaha kecil, dan PP 33/2026 tidak menambahkannya.

Apa Saja yang Diatur dalam PP No. 33 Tahun 2026?

PP 33/2026 kami rangkum dalam sepuluh hal yang paling langsung menyentuh operasional perusahaan: klasifikasi data, dasar pemrosesan, transfer data ke luar negeri, hingga pelindungan data dalam aksi korporasi.

Dari kesepuluh hal itu, pembahasan paling panjang sengaja diletakkan pada dokumen dan tenggat. Keduanya menuntut perubahan perilaku terbesar di dalam perusahaan karena menyangkut orang dan kebiasaan kerja, bukan sekadar sistem.

1. Klasifikasi Data Pribadi: Umum dan Spesifik

PP 33/2026 mempertegas pembagian data pribadi dalam Pasal 5 menjadi dua jenis data pribadi, yang masing-masing diatur lebih lanjut dalam Pasal 6 (spesifik) dan Pasal 7 (umum):

Kategori	Cakupan	Contoh
Data Pribadi bersifat umum (Pasal 7)	Nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta kombinasi data yang dapat digunakan untuk mengidentifikasi seseorang	Nama lengkap di database pelanggan
Data Pribadi bersifat spesifik (Pasal 6)	Data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai ketentuan peraturan perundang-undangan	Rekam medis, sidik jari, mutasi rekening

Klasifikasi ini menentukan beban kerja berikutnya. Data spesifik memicu kewajiban yang lebih berat, termasuk Penilaian Dampak Pelindungan Data Pribadi dan pengamanan yang lebih ketat.

2. Dasar Pemrosesan Data Pribadi

Aturan dasarnya tercantum di Pasal 30 ayat (1) dan (2): Pengendali wajib memiliki dasar pemrosesan sebelum memulai pemrosesan data pribadi. Memiliki data di sistem Anda tidak otomatis membuat pemrosesannya sah.

Pasal 30 ayat (3) memerinci enam dasar yang diakui, masing-masing dengan contoh sederhana:

1. Persetujuan yang sah secara eksplisit dari Subjek Data untuk satu atau beberapa tujuan tertentu, misalnya pengguna menyetujui pengumpulan lokasi saat mengaktifkan fitur delivery.
2. Pelaksanaan perjanjian, seperti memroses data pembayaran untuk menyelesaikan pesanan.
3. Pemenuhan kewajiban hukum, misalnya melaporkan data karyawan ke otoritas pajak.
4. Pelindungan kepentingan vital Subjek Data, seperti menghubungi kontak darurat saat ada insiden kesehatan.
5. Pelaksanaan tugas untuk kepentingan umum atau pelayanan publik berdasarkan peraturan perundang-undangan.
6. Kepentingan sah lainnya yang tetap memperhatikan keseimbangan antara hak Subjek Data dan kepentingan Pengendali, misalnya keamanan jaringan internal yang dicatat dan dievaluasi.

Umumnya, temuan pelanggaran paling sering justru berasal dari aktivitas kecil yang dianggap remeh, seperti ekspor laporan, data uji coba di server pengembangan, log keamanan yang disimpan tanpa batas waktu. Aktivitas semacam ini sering berjalan bertahun-tahun tanpa ada yang menuliskan dasar pemrosesannya.

3. Persetujuan (Consent) yang Lebih Ketat

Bagi perusahaan yang mengandalkan persetujuan, aturan mainnya kini lebih ketat. Pasal 32 menetapkan syarat keabsahan: persetujuan harus diperoleh secara bebas, sadar, spesifik, dan tidak ambigu.

Penjelasan pasal tersebut tegas soal pola lama di formulir daring. Persetujuan pemrosesan data yang digabungkan dengan persetujuan syarat dan ketentuan tidak lagi memenuhi standar; centang ganda pada formulir lama kini gugur.

Setelah itu, Pasal 33 mewajibkan informasi mengenai pemrosesan disampaikan sebelum persetujuan diminta, dengan redaksi yang ringkas, tepat, dan sesuai kegiatan pemrosesan.

Pasal 34 mengatur mekanisme persetujuan, elektronik maupun nonelektronik, dengan syarat persetujuan itu terhubung pada informasi pemrosesan. Pasal 35 melarang cara menipu atau menyesatkan, dan Pasal 36 mewajibkan Pengendali menunjukkan bukti tiap persetujuan.

Bagi tim produk dan pemasaran, konsekuensinya berupa tiga pekerjaan konkret: pisahkan checkbox persetujuan dari checkbox penerimaan syarat dan ketentuan, simpan log bukti persetujuan (yang berisi siapa, kapan, dan apa yang disetujui), lalu pastikan informasi privasi sudah tampil sebelum tombol “Setuju” ditekan.

Customer consent yang baik diukur dari bukti yang bisa ditunjukkan kepada pemeriksa.

4. Hak Subjek Data Pribadi dan Tenggat 3×24 Jam

PP 33/2026 merinci dua hal sekaligus: bagaimana permintaan diajukan, dan berapa lama Pengendali harus menanggapinya.

Tata cara permohonan (Pasal 20–27). Permohonan diajukan secara tertulis, elektronik maupun nonelektronik, dan paling sedikit memuat identitas pemohon, penjelasan mengenai hak dan kepentingan Subjek Data, serta uraian permohonan atas data yang diproses. Permohonan dapat diajukan oleh Subjek Data itu sendiri, orang tua atau wali Anak, wali Penyandang Disabilitas, maupun pihak yang diberi kuasa.

Tenggat waktu seragam 3×24 jam. Inilah perubahan operasional paling terasa dari PP ini:

Hak Subjek Data	Dasar
Akses atas data pribadi	Pasal 77
Salinan data pribadi	Pasal 78
Perbaikan data pribadi	Pasal 71
Penarikan persetujuan	Pasal 92
Pembatasan pemrosesan	Pasal 99

Hitungannya memakai satuan jam, lengkap dengan akhir pekan. Dalam praktik, kesulitan tenggat ini baru terasa ketika permintaan pertama benar-benar masuk; sebelum itu semuanya terlihat mudah.

Tim yang menjawab permintaan dengan pencarian manual per sistem hampir mustahil untuk konsisten tanpa peta data yang jelas.

Satu beban yang jarang disebut muncul langsung dari Pasal 77: tenggat 3×24 jam dihitung sejak permintaan diterima, tetapi akses baru boleh diberikan setelah verifikasi permintaan selesai.

Praktisi hukum pelindungan data pribadi Raditya Kosasih menyoroti beban ganda ini kepada Kompas.id. Karena itu, verifikasi yang terlambat dimulai langsung memakan jatah waktu jawab.

PP juga mengatur keberatan Subjek Data atas pemrosesan otomatis (Pasal 93), sekaligus kewajiban memberi tahu mereka saat pemrosesan dihentikan (Pasal 92 ayat 4), misalnya saat data dipakai untuk penawaran barang dan jasa.

Pengendali juga wajib memiliki mekanisme internal untuk menangani tuntutan ganti rugi dari Subjek Data.

5. Kewajiban Dokumentasi dan Tata Kelola Internal

PP 33/2026 mewajibkan enam dokumen inti bagi pelaku usaha: ROPA, privacy notice, perjanjian prosesor, analisis kepentingan sah, kebijakan retensi, dan audit pelindungan data.

Inti aturannya begini: kepatuhan berubah menjadi dokumen yang bisa diminta pemeriksa kapan saja.

Dokumen/Kewajiban	Dasar	Inti ketentuan
Pencatatan kegiatan pemrosesan (ROPA)	Pasal 74	Seluruh kegiatan pemrosesan wajib dicatat dengan minimal 13 muatan, termasuk pemetaan aliran data
Privacy Notice	Pasal 62 dan 65	7 muatan informasi wajib, tanpa klausul yang mengalihkan tanggung jawab pelindungan data kepada subjek secara sepihak
Perjanjian penunjukan Prosesor	Pasal 14–15	11 muatan minimum; penunjukan sub-prosesor wajib mendapat persetujuan tertulis Pengendali
Analisis kepentingan sah (legitimate interest assessment)	Pasal 53–54	Dasar pemrosesan kepentingan sah wajib didukung analisis tertulis
Kebijakan masa retensi data	Pasal 75	Dokumen yang menyatakan berapa lama data disimpan dan kapan dihapus
Audit pelindungan data	Pasal 138	Audit internal maupun eksternal atas pelaksanaan pelindungan data

Selain keenam dokumen itu, Pengendali wajib menyusun dan menetapkan kebijakan pemrosesan data internal sesuai pedoman lembaga pengawas. Dokumen ini sering dianggap “nanti saja” oleh perusahaan yang baru membangun program compliance.

6. Pelindungan Data Pribadi Anak

PP 33/2026 memberi perlindungan khusus untuk data anak; dalam aturan ini, Anak adalah setiap orang yang berusia di bawah 18 tahun dan belum menikah (Pasal 1). Pengendali wajib mengidentifikasi terlebih dahulu apakah Subjek Data adalah anak sebelum melakukan pemrosesan.

Pemrosesan data anak sendiri memerlukan persetujuan orang tua atau wali yang harus diverifikasi (Pasal 38). Anak beserta orang tua atau walinya juga berhak mengajukan permintaan pemenuhan hak Anak sebagai Subjek Data (Pasal 38 ayat 5).

Untuk bisnis yang pasarnya menyasar anak-anak, seperti aplikasi edukasi, game, atau platform konten, konsekuensinya nyata: mekanisme verifikasi usia dan alur persetujuan orang tua harus dibangun sejak awal. Menambahkannya setelah peluncuran berarti memproses ulang seluruh basis data pengguna yang sudah terlanjur masuk.

7. Pemberitahuan Kegagalan Pelindungan Data (Kebocoran Data)

Ketika kegagalan pelindungan data terjadi, Pengendali wajib memberi tahu Subjek Data dan Lembaga, yaitu lembaga pengawas pelindungan data pribadi sebagaimana dimaksud UU PDP, paling lambat 3×24 jam sejak kegagalan diketahui.

Lengkapnya, PP menetapkan tiga kewajiban sekaligus:

• Tenggat 3×24 jam (Pasal 114): Pengendali wajib menyampaikan pemberitahuan tertulis paling lambat 3×24 jam kepada Subjek Data dan kepada Lembaga sekaligus ketika terjadi kegagalan pelindungan data pribadi.
• Pengumuman ke publik (Pasal 115): apabila kegagalan berdampak pada pelayanan publik atau kepentingan masyarakat, pengumuman kepada publik juga wajib dilakukan.
• Kebijakan dan dokumentasi (Pasal 116–117): Pengendali wajib memiliki kebijakan pencegahan dan penanganan insiden, serta mendokumentasikan setiap insiden.

Sebagai pembanding, GDPR Pasal 33 di Uni Eropa memberi tenggat 72 jam dan hanya mewajibkan lapor ke otoritas; pemberitahuan ke Subjek Data diwajibkan bila risikonya tinggi. Rezim Indonesia menuntut keduanya sekaligus, dalam tenggat yang lebih pendek.

Di lapangan, kesalahan yang sering terjadi adalah penanggung jawab yang tidak jelas. Tanpa penetapan peran sejak awal, insiden langsung membingungkan: siapa yang berwenang memutuskan notifikasi dikirim ke mana. Karena itu, siapkan playbook lebih dulu, dengan alur dari deteksi, keputusan, hingga kanal pemberitahuan.

Catatan: beberapa ketentuan teknis masih menunggu Peraturan Lembaga. Namun statusnya jelas: Pasal 223 membuat pemrosesan data tetap wajib tunduk pada PP 33/2026 selama tidak bertentangan dengannya. Karena itu, penyusunan playbook notifikasi tidak menunggu aturan turunan.

8. Penilaian Dampak Pelindungan Data Pribadi dan PPDP

DPIA (Pasal 120–122). Penilaian Dampak Pelindungan Data Pribadi wajib dilakukan sebelum menjalankan pemrosesan yang berisiko tinggi. Pemicunya antara lain:

• pengambilan keputusan otomatis yang berdampak signifikan terhadap Subjek Data;
• pemrosesan Data Pribadi bersifat spesifik;
• pemrosesan dalam skala besar;
• kegiatan profiling, scoring, atau pemantauan sistematis;
• pencocokan atau penggabungan kelompok data; dan
• penggunaan teknologi baru.

Dalam penjelasannya, PP menyebut teknologi baru secara eksplisit: kecerdasan buatan (AI), machine learning, smart technology, dan Internet of Things (IoT). Bagi organisasi yang sedang mengembangkan inisiatif AI dengan data pribadi, DPIA kini menjadi langkah wajib sebelum sistem dijalankan, tanpa terkecuali.

PPDP (Pasal 142–147). Pengendali dan Prosesor wajib menunjuk Pejabat atau Petugas Pelindungan Data Pribadi apabila memenuhi salah satu dari tiga kriteria: memproses data untuk kepentingan pelayanan publik; kegiatan intinya memerlukan pemantauan teratur dan sistematis atas data dalam skala besar; atau kegiatan intinya memproses Data Pribadi bersifat spesifik dan/atau terkait tindak pidana dalam skala besar.

PPDP dapat berasal dari internal maupun eksternal (Pasal 144), wajib memiliki akses pelaporan ke manajemen tertinggi, bekerja independen tanpa intervensi, dan bebas dari konflik kepentingan (Pasal 146).

Kriteria dalam Pasal 53 UU PDP dimaknai bersifat alternatif melalui Putusan Mahkamah Konstitusi No. 151/PUU-XXII/2024: cukup salah satu kondisi terpenuhi, tidak harus seluruhnya.

9. Transfer Data Pribadi ke Luar Negeri

BAB V PP 33/2026 (Pasal 160–174) mengatur transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia, termasuk aktivitas yang sering dianggap bukan transfer oleh banyak perusahaan, seperti penggunaan cloud dan SaaS asing.

Mekanismenya berjenjang (Pasal 165):

1. Negara tujuan memiliki tingkat pelindungan setara atau lebih tinggi. Lembaga akan menetapkan daftar negara yang memenuhi syarat (adequacy list).
2. Jika tidak tersedia, wajib ada pelindungan yang memadai dan mengikat berupa Standar Klausul Kontrak (Standard Contractual Clauses) yang ditetapkan Lembaga, Peraturan Korporasi Mengikat (Binding Corporate Rules) untuk grup usaha, atau instrumen pengikat lain yang diakui Lembaga.
3. Jika keduanya tidak terpenuhi, tersedia persetujuan Subjek Data, khusus untuk transfer yang tidak berulang, melibatkan Subjek Data terbatas, sudah dinilai risikonya, dan dilaporkan ke Lembaga.

Sebelum melakukan transfer, Pengendali wajib menjalankan penilaian risiko transfer dan memberi tahu Subjek Data (Pasal 162–164).

Arsitektur ini tidak asing bagi mereka yang terbiasa dengan rezim GDPR Uni Eropa (lihat tautan GDPR pada bagian cakupan aturan); perbedaannya: daftar negara tujuan dan klausul kontrak baku akan ditetapkan lembaga pelaksana. Prinsipnya sama; keputusannya ada di lembaga.

10. Pelindungan Data dalam Aksi Korporasi

PP 33/2026 menempatkan pelindungan data pribadi sebagai bagian dari transaksi korporasi (Pasal 131–137).

Merger, akuisisi, penggabungan, hingga pembubaran badan hukum kini wajib memperhitungkan pelindungan data pribadi, meliputi penilaian dan pemberitahuan terkait pengalihan data.

Konsekuensinya langsung terasa di meja due diligence: penilaian atas data pribadi adalah kebutuhan hukum dalam setiap transaksi. Database pelanggan yang berpindah tangan tanpa penilaian dan pemberitahuan yang tercatat adalah risiko hukum baru bagi kedua belah pihak.

Sanksi bagi Pelanggar

Ada empat jenis sanksi administratif, dari peringatan tertulis hingga denda maksimal 2% pendapatan tahunan, ditambah ganti rugi kepada Subjek Data dan jalur pengawasan lembaga.

Besaran denda tidak seragam: sepuluh variabel menentukan angkanya, dan setiap keputusan sanksi diumumkan ke publik. Keempat sanksi berlaku bagi Pengendali maupun Prosesor, dan semuanya dapat dijatuhkan setelah pemeriksaan selesai.

Sanksi Administratif dan Besaran Denda

Pasal 184 menetapkan empat jenis sanksi administratif yang dapat dijatuhkan kepada Pengendali dan/atau Prosesor Data Pribadi:

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan Data Pribadi;
3. penghapusan atau pemusnahan Data Pribadi; dan/atau
4. denda administratif.

Mengenai besaran denda, Pasal 185 menetapkan batas maksimal 2% dari pendapatan tahunan atau penerimaan tahunan Pengendali dan/atau Prosesor. Angka 2% adalah batas atas; dalam pertimbangan tertentu, denda dapat ditetapkan hingga Rp0,00 atau 0%.

Besaran denda ditentukan berdasarkan sepuluh variabel, antara lain:

• dampak pelanggaran terhadap Subjek Data;
• durasi pelanggaran;
• jenis Data Pribadi yang terdampak;
• jumlah Subjek Data yang terdampak;
• proses temuan pelanggaran;
• tingkat kooperatifitas selama pemeriksaan;
• skala usaha;
• kemampuan membayar;
• riwayat kepatuhan; dan
• variabel lain yang relevan yang ditetapkan Lembaga.

Dua hal berikut sering luput dari sorotan: sanksi dapat dijatuhkan kumulatif, bahkan tanpa didahului peringatan tertulis, dan keputusan pengenaan sanksinya diumumkan pada media resmi Lembaga (Pasal 195).

Kemungkinan denda 0% karena pertimbangan tertentu tidak menghapus kasus Anda dari catatan publik tersebut. Bagi banyak perusahaan, efek reputasi dari pengumuman inilah yang bertahan lebih lama daripada dendanya sendiri.

Ganti Rugi dan Penyelesaian Sengketa

Selain sanksi administratif, PP 33/2026 merinci tata cara pemberian ganti rugi kepada Subjek Data yang dirugikan, ketentuan yang sebelumnya hanya disinggung secara umum dalam UU PDP. Hak itu sendiri sudah diatur UU PDP bagi kerugian materiil maupun immateriil; PP memberi tata cara menagihnya.

Untuk penyelesaian sengketa nonlitigasi, PP mengatur mediasi oleh lembaga yang menyelenggarakan pelindungan data pribadi, dari fasilitasi hingga tata cara mediasi di Pasal 206–222. Subjek Data mendapat jalur di luar pengadilan, dan pelaku usaha mendapat kepastian prosedur sebelum sengketa berujung ke ranah perdata.

Kewenangan Pengawasan

Pasal 180–197 mengatur kewenangan lembaga pengawas dalam memeriksa kepatuhan Pengendali dan Prosesor. Alur penegakannya bergerak dari pengaduan hingga keberatan:

Tahap	Alur
1. Pengaduan	Subjek Data atau pihak terkait mengadukan dugaan pelanggaran
2. Pemeriksaan dokumen	Verifikasi awal atas dokumen dan keterangan
3. Pemeriksaan dan penelusuran	Pemeriksaan lebih lanjut, termasuk penelusuran bukti
4. Keputusan sanksi	Keputusan dijatuhkan dan diumumkan
5. Keberatan	Keberatan dapat diajukan atas keputusan sanksi

Kooperatifitas selama pemeriksaan adalah salah satu variabel dalam perhitungan denda. Organisasi yang responsif dan memiliki dokumentasi rapi berada di posisi yang jauh lebih baik dibandingkan yang menutup-nutupi.

Kapan PP 33/2026 Mulai Berlaku dan Apa yang Perlu Disiapkan?

PP 33/2026 resmi berlaku 16 Januari 2027, enam bulan sejak diundangkan. Tanggal itulah batas akhir seluruh penyesuaian: pemetaan data, pembaruan dokumen, hingga pengujian prosedur respons insiden harus tuntas sebelum Januari 2027.

Tidak ada masa transisi tambahan yang diberikan setelahnya. Artinya, seluruh kewajiban, termasuk tenggat 3×24 jam dan notifikasi insiden, langsung berlaku pada hari pertama.

Timeline Waktu

Empat tanggal berikut yang perlu dipegang tim kepatuhan:

• 17 Oktober 2022: UU PDP diundangkan
• Oktober 2024: masa transisi 2 tahun UU PDP berakhir, seluruh ketentuan berlaku penuh
• 16 Juli 2026: PP 33/2026 ditetapkan dan diundangkan (LN 2026 Nomor 88)
• 16 Januari 2027: PP 33/2026 mulai berlaku, kepatuhan penuh diwajibkan

Enam bulan terasa panjang di atas kertas. Dalam praktiknya, pemetaan aliran data, peninjauan kontrak vendor, dan pengujian prosedur respons insiden harus dimulai sejak sekarang, karena ketiganya saling bergantung: tanpa peta data, playbook respons tidak bisa ditulis; tanpa tinjauan kontrak, playbook itu tidak bisa dijalankan sampai ke vendor.

Jadwal enam bulan ini terasa makin singkat bila dihitung dari awal. Peneliti Catalyst Policy Works Parasurama Pamungkas menghitung: sejak UU PDP diundangkan Oktober 2022 hingga PP berlaku efektif Januari 2027, total waktu tunggu mencapai empat tahun empat bulan, jauh melampaui masa transisi dua tahun yang diamanatkan UU.

Pertanyaan yang ia angkat relevan bagi pelaku usaha: cukupkah enam bulan terakhir itu untuk menyiapkan operasional kepatuhan sekaligus lembaga pengawasnya?

Checklist Awal Kepatuhan UU PDP untuk Pelaku Usaha

Enam langkah berikut bisa dikerjakan minggu ini juga:

1. Audit dan pemetaan data (data mapping). Petakan data apa yang diproses, dari mana asalnya, untuk tujuan apa, dan ke mana dikirimkan. Ini fondasi untuk semua langkah berikutnya.
2. Perbarui kebijakan privasi dan formulir persetujuan. Pisahkan persetujuan dari syarat dan ketentuan, pastikan informasi disampaikan sebelum persetujuan diminta, dan simpan bukti persetujuan (Pasal 32–36).
3. Tunjuk PPDP bila diwajibkan. Evaluasi tiga kriteria Pasal 142; jika salah satunya terpenuhi, tunjuk Pejabat atau Petugas Pelindungan Data Pribadi internal maupun eksternal.
4. Susun ROPA sesuai minimal 13 muatan Pasal 74. Termasuk pemetaan aliran data, karena dokumen ini menjadi peta untuk memenuhi hak Subjek Data dalam 3×24 jam.
5. Siapkan playbook notifikasi insiden 3×24 jam. Tentukan siapa yang mendeteksi, siapa yang memutuskan, dan bagaimana pemberitahuan ke Subjek Data serta Lembaga disampaikan (Pasal 114–117).
6. Tinjau perjanjian dengan prosesor dan pihak ketiga. Pastikan kontrak memuat 11 muatan minimum (Pasal 14), dan seluruh sub-prosesor mendapat persetujuan tertulis Anda.

Kesimpulan

Enam bulan ke depan, dua hal menentukan apakah perusahaan Anda siap: dokumen dan kecepatan.

ROPA, privacy notice, kontrak prosesor, analisis kepentingan sah, hingga dokumentasi insiden menuntut bukti tertulis; tenggat 3×24 jam, baik untuk permintaan subjek data maupun notifikasi kebocoran, menuntut pemetaan data dan penanggung jawab yang jelas sejak hari pertama.

Dokumen tanpa kecepatan percuma; begitu pula dengan kecepatan tanpa dokumen.