Pertanyaan siapa yang wajib mematuhi UU PDP memiliki jawaban singkat, yaitu setiap orang, badan publik, dan organisasi internasional yang memproses data pribadi di Indonesia. Jika bisnis Anda menyimpan nomor telepon pelanggan di spreadsheet atau aplikasi kasir, Anda sudah berada dalam cakupan undang-undang ini, berapa pun omzet dan jumlah karyawan Anda.
UU PDP, yaitu Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, memberi masa penyesuaian dua tahun sampai 17 Oktober 2024 (Pasal 74), sehingga seluruh kewajibannya kini mengikat. Aturan turunannya, Peraturan Pemerintah (PP) 33/2026, ditandatangani pada 16 Juli 2026 dan mulai berlaku pada 16 Januari 2027.
Artikel ini menjelaskan siapa yang wajib mematuhi UU PDP, peran pengendali dan prosesor, pihak yang dikecualikan, kewajiban menunjuk petugas pelindungan data, dan langkah memastikan posisi bisnis Anda.
Siapa Saja yang Wajib Patuh UU PDP
Menurut Pasal 2 ayat (1), UU PDP berlaku bagi setiap orang, badan publik, dan organisasi internasional yang memproses data pribadi di wilayah Indonesia. Pasal 19 menegaskan bahwa ketiganya dapat berperan sebagai pengendali maupun prosesor data pribadi.
Setiap orang mencakup orang perseorangan dan korporasi, yaitu kumpulan orang dan/atau kekayaan yang terorganisasi, baik berbadan hukum maupun tidak, seperti PT, CV, koperasi, dan yayasan.
Pengendali Data Pribadi
Pengendali data pribadi menentukan tujuan dan mengendalikan pemrosesan data pribadi (Pasal 1 UU PDP). Toko online yang menyimpan data pembeli dan klinik yang mencatat data pasien adalah contohnya.
Pengendali wajib memiliki dasar pemrosesan yang sah (Pasal 20) dan merekam kegiatan pemrosesan (Pasal 31). Pengendali juga wajib mengamankan data (Pasal 35) dan memberi tahu subjek data serta lembaga dalam 3 x 24 jam jika terjadi kegagalan pelindungan data (Pasal 46).
Prosesor Data Pribadi
Prosesor data pribadi memproses data atas nama pengendali (Pasal 1 UU PDP). Penyedia cloud dan vendor penggajian adalah contohnya.
Prosesor wajib memproses data sesuai perintah pengendali (Pasal 51), dan kewajiban tertentu pengendali berlaku juga bagi prosesor, seperti merekam kegiatan dan mengamankan data (Pasal 52). Prosesor yang melibatkan prosesor lain (subprosesor), misalnya penyedia pusat data yang disewa vendor aplikasi, harus memperoleh persetujuan tertulis dari pengendali (Pasal 51).
Satu perusahaan bisa memegang dua peran sekaligus. Agensi pemasaran, misalnya, menjadi prosesor saat mengelola kontak pelanggan milik kliennya, dan menjadi pengendali atas data karyawan serta calon kliennya sendiri.
Mengalihdayakan pengelolaan data ke vendor tidak memindahkan tanggung jawab, karena Pasal 51 UU PDP menyatakan pemrosesan oleh prosesor tetap menjadi tanggung jawab pengendali. Tanggung jawab beralih ke prosesor jika prosesor memproses data di luar perintah dan tujuan yang ditetapkan pengendali.
Badan Publik dan Organisasi Internasional
Badan publik mencakup lembaga eksekutif, legislatif, yudikatif, dan badan lain penyelenggara negara yang dananya sebagian atau seluruhnya bersumber dari anggaran negara atau daerah (APBN atau APBD). Kementerian dan dinas pemerintah daerah termasuk di dalamnya.
Organisasi nonpemerintah juga termasuk jika sebagian atau seluruh dananya berasal dari APBN, APBD, sumbangan masyarakat, atau luar negeri. Organisasi internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan berwenang membuat perjanjian internasional.
Perorangan yang Termasuk dalam Cakupan UU PDP
Orang perseorangan wajib mematuhi UU PDP saat memproses data pribadi di luar kegiatan pribadi atau rumah tangga.
Pemilik toko online perorangan yang menyimpan alamat pembeli menjadi pengendali, sedangkan pekerja lepas yang mengelola kontak pelanggan milik kliennya menjadi prosesor.
Pasal 2 dan Pasal 19 tidak mengaitkan kewajiban dengan omzet atau jumlah karyawan. Yang menentukan adalah kegiatan memproses data pribadi, yaitu memperoleh, menyimpan, mengolah, atau mengungkapkan data tentang orang yang dapat dikenali (Pasal 1 dan Pasal 16).
Baca juga: Vendor Risk Management (VRM): Pengertian, Strategi, dan Framework Kepatuhan Enterprise
Siapa yang Tidak Wajib Patuh UU PDP?
Pasal 2 ayat (2) UU PDP hanya mengecualikan orang perseorangan yang memproses data pribadi untuk kegiatan pribadi atau rumah tangga.
Pemrosesan untuk Kegiatan Pribadi atau Rumah Tangga
Kegiatan pribadi atau rumah tangga umumnya mencakup pemrosesan data untuk keperluan sendiri atau keluarga. Menyimpan nomor teman di ponsel atau mengelola album foto keluarga adalah contohnya.
Batasan Pengecualian dalam UU PDP
Menyimpan nomor pelanggan untuk berjualan adalah kegiatan usaha, sehingga umumnya tidak masuk pengecualian ini. Korporasi pun tidak termasuk, karena pasal tersebut hanya menyebut orang perseorangan.
Penjelasan Pasal 2 hanya berbunyi “cukup jelas” dan tidak merinci batas kegiatan pribadi atau rumah tangga. Karena itu, anggap pemrosesan yang berkaitan dengan usaha atau pekerjaan sebagai pemrosesan yang diatur UU PDP.
Pasal 15 UU PDP bukan pengecualian cakupan, karena hanya membatasi hak tertentu subjek data (pemilik data pribadi), misalnya hak menarik persetujuan, untuk kepentingan seperti penegakan hukum dan penelitian ilmiah. Pasal itu tidak membebaskan pengendali dari kewajiban lainnya.
Siapa yang Wajib Menunjuk Petugas Pelindungan Data Pribadi?
Pengendali dan prosesor wajib menunjuk pejabat atau petugas pelindungan data pribadi (PPDP atau DPO) jika memenuhi setidaknya satu dari tiga pemicu dalam Pasal 53 ayat (1) UU PDP, yaitu:
- Pemrosesan dilakukan untuk pelayanan publik.
- Kegiatan inti pengendali memerlukan pemantauan teratur dan sistematis terhadap data pribadi dalam skala besar.
- Kegiatan inti pengendali berupa pemrosesan skala besar atas data pribadi spesifik (misalnya data kesehatan, biometrik, atau keuangan pribadi) dan/atau data terkait tindak pidana.
Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 pada 30 Juli 2025 menyatakan kata “dan” pada Pasal 53 ayat (1) huruf b harus dimaknai “dan/atau”. Akibatnya, satu pemicu sudah cukup, sedangkan sebelumnya ketiganya harus terpenuhi sekaligus.
Rumah sakit besar yang mengolah rekam medis umumnya memenuhi pemicu ketiga, sedangkan dinas kependudukan memenuhi pemicu pertama karena melayani publik. Penjelasan UU PDP tidak mendefinisikan “skala besar” dan “kegiatan inti”, sehingga perusahaan perlu mencatat alasan penilaiannya.
Kesiapan Audit UU PDP: Strategi Mitigasi Risiko dan Tata Kelola Data Enterprise
Evaluasi kesiapan perusahaan Anda menghadapi audit UU PDP dengan metode gap analysis 6 dimensi. Identifikasi celah risiko tata kelola data secara sistematis dan bangun fondasi dokumentasi yang sah di mata hukum bagi tim Legal dan IT.
Transformasi Tata Kelola Data dan Manajemen Kepatuhan Terpadu
Siapkan kelengkapan dokumen wajib pelindungan data dan tinggalkan proses operasional manual yang berisiko tinggi. Terapkan sistem pemantauan terpusat untuk mengelola hak subjek data secara otomatis.
Cara Memastikan Posisi Bisnis Anda dalam UU PDP
Anda bisa memastikan posisi bisnis lewat lima langkah berikut, dimulai dari memetakan data pribadi yang diproses:
- Catat data pribadi yang Anda kumpulkan dari pelanggan dan karyawan beserta tempat penyimpanannya, misalnya spreadsheet atau aplikasi kasir.
- Tentukan peran Anda pada setiap aktivitas, sebagai pengendali jika Anda menentukan tujuan dan caranya, atau sebagai prosesor jika Anda menjalankan perintah klien.
- Periksa vendor yang menyentuh data tersebut, termasuk apakah kontraknya mewajibkan vendor memproses data sesuai perintah Anda dan meminta persetujuan sebelum melibatkan prosesor lain.
- Cocokkan kegiatan inti Anda dengan tiga pemicu PPDP dalam Pasal 53, lalu tunjuk petugas jika satu pemicu saja terpenuhi.
- Dokumentasikan hasilnya dalam catatan aktivitas pemrosesan (RoPA), karena Pasal 31 UU PDP mewajibkan pengendali merekam seluruh kegiatan pemrosesan.
Mulailah dari data spesifik seperti data kesehatan atau keuangan pribadi, karena Pasal 34 UU PDP meminta penilaian dampak bagi pemrosesan berisiko tinggi, termasuk pemrosesan data spesifik.
Pengendali dan prosesor yang melanggar kewajiban tertentu dikenai sanksi administratif menurut Pasal 57 UU PDP, termasuk denda paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terkait pelanggaran. Jika korporasi melakukan tindak pidana data pribadi, Pasal 70 UU PDP membuka kemungkinan pidana bagi pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasinya.
Baca juga: Cara Memenuhi Kepatuhan UU PDP: Lakukan Sebelum Terlambat
Kesimpulan
Yang wajib mematuhi UU PDP adalah setiap pihak yang memproses data pribadi, baik sebagai pengendali maupun prosesor, tanpa melihat ukuran atau jenis usahanya. Pengecualian cakupan dalam Pasal 2 hanya menyangkut orang perseorangan yang memproses data untuk kegiatan pribadi atau rumah tangga.
Langkah pertama yang bisa Anda lakukan adalah memetakan data pribadi dan menentukan peran Anda sebelum PP 33/2026 berlaku pada 16 Januari 2027. Setelah itu, periksa kontrak vendor dan cocokkan kegiatan inti Anda dengan pemicu penunjukan PPDP.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
Ya, jika mereka memproses data pribadi untuk usahanya, misalnya data pembeli atau karyawan. Kewajiban dasar seperti mengamankan data berlaku bagi semua pengendali, sedangkan penunjukan PPDP baru muncul bila salah satu pemicu Pasal 53 terpenuhi.
Ya, bila pemrosesannya berakibat hukum di Indonesia atau bagi warga negara Indonesia yang berada di luar negeri (Pasal 2 ayat (1) huruf b UU PDP). Perusahaan asing yang melayani pengguna di Indonesia perlu memeriksa apakah kegiatannya masuk kriteria itu.
Ya, karena badan publik termasuk pihak yang dapat menjadi pengendali dan prosesor (Pasal 19 UU PDP). Instansi yang melayani publik juga memenuhi pemicu pertama penunjukan PPDP.
Ya, perusahaan yang menyimpan data karyawan, seperti KTP dan rekening gaji, menjadi pengendali atas data tersebut. Kewajibannya sama dengan pengendali data pelanggan, termasuk mengamankan data dan merekam kegiatan pemrosesan.
Pasal 58 UU PDP menugaskan pelindungan data pribadi kepada sebuah lembaga yang ditetapkan Presiden dan bertanggung jawab kepada Presiden. Selama lembaga itu belum beroperasi penuh, Kementerian Komunikasi dan Digital (Komdigi) menjalankan pengawasan, termasuk menangani insiden dan menerima aduan.
