Undang-Undang Perlindungan Data Pribadi (UU PDP) Indonesia berlaku penuh sejak 17 Oktober 2024, mengakhiri masa transisi dua tahun. Hampir dua tahun kemudian, otoritas pengawas yang diamanatkan undang-undang tersebut, Lembaga PDP, masih belum dibentuk, dan belum ada satu pun peraturan pelaksana yang ditandatangani. Denda hingga 2% dari pendapatan tahunan tetap tidak dapat diterapkan secara struktural, sementara Surfshark mencatat lebih dari 180 juta akun terkompromi yang terkait dengan subjek data Indonesia.
Kami menganalisis teks utama UU 27/2022, seluruh gugatan Mahkamah Konstitusi yang diputus maupun berjalan hingga Agustus 2026, riwayat administrasi peraturan pelaksana, serta langkah penegakan yang diambil Komdigi berdasarkan aturan transisi. Hasilnya adalah lingkungan kepatuhan yang tidak ada tandingannya di kawasan: undang-undang aktif, regulator tidak ada, dan pengadilan diam-diam membentuk wajah penegakan di masa depan.
Ringkasan
UU PDP diundangkan pada 17 Oktober 2022, dan Pasal 74 memberi pengendali dan pemroses data waktu dua tahun untuk menyesuaikan diri. Penegakan penuh dimulai sesuai jadwal, 17 Oktober 2024. Namun Pasal 58, yang membentuk Lembaga PDP, tidak pernah diaktifkan. Penegakan sementara dipegang oleh Direktorat Jenderal Pengawasan Ruang Digital Komdigi, dengan instrumen sekunder seperti Permenkominfo 5/2020, aturan yang ditulis sebelum era PDP.
Dua peraturan yang akan mengoperasionalkan undang-undang ini sama-sama mandek di meja presiden. RPerpres pembentukan Lembaga PDP telah dirancang sejak akhir 2022, memperoleh izin prakarsa pada 4 Maret 2025, menyelesaikan peninjauan antar-kementerian, dan diajukan kepada Presiden melalui surat MenPAN-RB tertanggal 20 Mei 2026, hingga 19 Agustus 2026 masih belum ditandatangani. RPP PDP, yang mengatur prosedur denda sebagaimana dirujuk Pasal 57 ayat (5), menyelesaikan paraf Setneg pada Desember 2025 dan juga menunggu tanda tangan Presiden. UU PDP sendiri tidak menetapkan tenggat statuter pembentukan Lembaga, dan justru karena itulah pemohon melangkah ke pengadilan.
Ini adalah kesenjangan struktural, bukan sekadar masalah jadwal. Pasal 57 ayat (3) mengatur denda administratif hingga 2% dari pendapatan tahunan. Pasal 57 ayat (4) menyatakan sanksi tersebut dijatuhkan oleh lembaga. Pasal 57 ayat (5) menyerahkan prosedurnya kepada peraturan pemerintah. Ketiga prasyarat itu belum ada. Sampai Lembaga PDP dan RPP PDP terbentuk, penalti utama rezim perlindungan data Indonesia tidak dapat dijatuhkan.
Kerangka Regulasi: UU PDP
UU PDP adalah undang-undang bercorak GDPR yang berlaku bagi setiap penyelenggara sistem elektronik yang memproses data pribadi di Indonesia, mencakup hampir semua platform e-commerce, fintech, operator telekomunikasi, dan layanan pemerintah.
| Pasal | Ketentuan | Arti Praktis |
|---|---|---|
| Pasal 4(2) | Mendefinisikan data pribadi yang bersifat spesifik, termasuk biometrik | Ketentuan pemrosesan lebih ketat untuk data kesehatan, biometrik, dan keuangan |
| Pasal 20–22 | Dasar pemrosesan dan persetujuan | Persetujuan harus eksplisit, terinformasi, dan terikat tujuan; kotak centang pra-centang tidak sah |
| Pasal 12 | Hak menggugat ganti rugi | Subjek data dapat menuntut kompensasi atas pemrosesan yang melanggar hukum |
| Pasal 46 | Pemberitahuan kebocoran | Memberi tahu subjek terdampak dan otoritas dalam 72 jam |
| Pasal 53 | Penunjukan Pejabat Perlindungan Data (PPDP) | Kewajiban dipicu oleh pemrosesan skala besar, dan menurut MK 151, oleh salah satu kondisi statuter saja |
| Pasal 56 | Transfer lintas negara | Mekanisme tiga lapis: kesetaraan → pengamanan yang memadai → persetujuan |
| Pasal 57 | Sanksi administratif | Denda hingga 2% dari pendapatan tahunan, tetapi lihat kesenjangan penegakan di bawah |
| Pasal 58–61 | Lembaga PDP | Pembentukan, fungsi, dan kewenangan badan pengawas |
| Pasal 62 | Kerja sama internasional | Perjanjian transfer data lintas negara, ditegaskan kembali dalam MK 133 |
| Pasal 65 & 67 | Pengungkapan melawan hukum | Tanggung jawab pidana: hingga 4 tahun penjara atau denda Rp 4 miliar |
| Pasal 74 | Masa transisi | Dua tahun sejak diundangkan, dasar tenggat Oktober 2024 |
Kesenjangan Penegakan
Lembaga PDP yang diamanatkan Pasal 58 bertugas merumuskan kebijakan, mengawasi kepatuhan, menjatuhkan sanksi administratif, menyelesaikan sengketa secara alternatif, dan menilai transfer data lintas negara. Ketidakhadirannya membuat sanksi paling penting dalam undang-undang ini tidak berfungsi.
| Instrumen | Tujuan | Status per 19 Agustus 2026 |
|---|---|---|
| RPerpres Badan PDP | Membentuk Lembaga PDP (Pasal 58) | Dirancang sejak akhir 2022; izin prakarsa 4 Mar 2025; peninjauan antar-kementerian Mar–Sep 2025; harmonisasi sejak Okt 2025; komentar publik dibuka 26 Feb 2026 via pdp.id; diajukan ke Presiden via surat MenPAN-RB 20 Mei 2026, belum ditandatangani |
| RPP PDP | Mengatur prosedur denda Pasal 57(5) dan aturan operasional | Penyusunan mulai 2023; harmonisasi Sep 2024–Agu 2025; surat permintaan 6 Okt 2025; paraf Setneg Des 2025, menunggu tanda tangan |
| Permenkominfo 5/2020 | Dasar transisi untuk registrasi dan sanksi PSE | Berlaku; digunakan Komdigi dalam penegakan PSE Juli 2026 |
Direktorat Jenderal Pengawasan Ruang Digital Komdigi menjalankan fungsi Lembaga secara sementara. Tetapi itu dilakukan dengan instrumen rezim lama, terutama Permenkominfo 5/2020 untuk registrasi PSE, dan Pasal 40 UU ITE (sebagaimana diubah UU 1/2024) untuk pemblokiran. Pasal 40 ayat (2b) memberi pemerintah kewenangan memerintahkan pemutusan akses atas informasi elektronik melanggar hukum; Pasal 40A ayat (5) memuat sanksi administratifnya. Semua itu tidak menyentuh arsitektur denda UU PDP itu sendiri.
Pengadilan Mendengarkan
Mahkamah Konstitusi menjadi penengah de facto atas peluncuran UU PDP. Enam permohonan telah diputus dan satu masih berjalan.
| Perkara | Pasal yang Diuji | Status |
|---|---|---|
| 151/PUU-XXII/2024 | Pasal 53 ayat (1) huruf b | Dikabulkan (30 Jul 2025): kata “dan” dimaknai “dan/atau”, sehingga salah satu kondisi saja memicu kewajiban penunjukan PPDP, amendemen yudisial pertama UU PDP |
| 135/PUU-XXIII/2025 | Pasal 65 ayat (2) & 67 ayat (2) | Ditolak (19 Jan 2026): larangan pengungkapan melawan hukum dan sanksi pidananya ditegaskan terhadap jurnalis, akademisi, dan seniman |
| 137/PUU-XXIII/2025 | Pasal 56 ayat (1)–(4) | Ditolak (19 Jan 2026): kesetaraan transfer lintas negara adalah fungsi eksekutif/teknis, bukan perjanjian yang memerlukan persetujuan DPR |
| 133/PUU-XXIV/2026 | Pasal 62 ayat (2) | Ditolak (25 Mei 2026): menegaskan kewajiban konstitusional negara mengendalikan transfer lintas negara, dengan kewenangan kesetaraan pada Lembaga yang akan datang |
| 102/PUU-XXIV/2026 | Pasal 20 ayat (2) huruf f “kepentingan yang sah” | Tidak dapat diterima (29 Apr 2026) |
| 153/PUU-XXIV/2026 | Pasal 58 ayat (5) & 61 | Tidak dapat diterima (17 Jun 2026); pemohon mengajukan ulang sebagai 236 |
| 236/PUU-XXIV/2026 | Pasal 58 ayat (5) & 61 | Berjalan: sidang 27 Jul dan 11 Agu 2026; petitum meminta tenggat pembentukan Lembaga |
Perkara 236 adalah yang layak dipantau. Permohonan ini langsung menyasar kegagalan eksekutif membentuk Lembaga PDP, dengan dasar kepastian hukum (Pasal 28D ayat (1)) dan hak atas rasa aman (Pasal 28G ayat (1)). Jika dikabulkan, putusannya akan membebani Presiden dengan tenggat, efek yang tidak dicapai MK 153 yang gugur karena kedudukan hukum.
Lanskap Kebocoran
Kesenjangan penegakan tidak dibarengi dengan lingkungan ancaman yang tenang.
| Tahun | Target | Skala | Status |
|---|---|---|---|
| 2020 | Tokopedia | ~91 juta akun dijual ~US$5.000 | Terverifikasi |
| 2021 | BPJS Kesehatan | 279 juta rekaman diklaim penjual | Diklaim/dipersengketakan |
| 2021 | BRI Life | ~2 juta dokumen nasabah | Terverifikasi |
| 2022 | KPU | 105 juta data pemilih ditawarkan Bjorka | Diklaim/dipersengketakan (KPU membantah) |
| 2023 | BSI | ~1,5 TB / ~15 juta nasabah via LockBit | Terverifikasi (Mei 2023) |
| 2023 | Imigrasi | 34.900.867 rekaman paspor ditawarkan Bjorka seharga US$10.000 | Diklaim/dipersengketakan (Imigrasi membantah) |
| 2023 | Dukcapil | 337 juta rekaman diumumkan di BreachForums | Diklaim/dipersengketakan (Kemendagri membantah) |
| 2023 | KPU DPT | 204,8 juta rekaman daftar pemilih oleh “Jimbo” | Terverifikasi (Nov 2023) |
| 2024 | PDNS | ~282 instansi negara; ransomware Brain Cipher | Terverifikasi |
| 2024 | DJP | ~6 juta rekaman NPWP ditawarkan di BreachForums | Diklaim/dipersengketakan (DJP membantah) |
| 2026 | Portal rekrutmen Komdigi | CV/KTP pelamar terekspos lewat folder Google Drive publik | Terverifikasi |
Data longitudinal Surfshark menggambarkan tren: Indonesia berada di peringkat 3 dunia pada Q3 2022 dengan 12,74 juta akun terkompromi, peringkat 13 selama 2004–2024 dengan ~157 juta rekaman, dan pada Q2 2026 total berjalan melampaui 183 juta. Angka kuartalan tetap tinggi, sekitar 944 ribu pada Q3 2025, 1,45–1,59 juta pada Q4 2025, dan 912.589 pada Q1 2026. Sebuah studi akademik 2026 secara terpisah mencatat 144, 176, dan 198 kasus kebocoran sektor publik yang tercatat pada 2023, 2024, dan hingga Oktober 2025, meskipun ini adalah estimasi sumber tunggal dan bukan statistik resmi pemerintah. BSSN mencatat 4,41 miliar anomali traffic hingga September 2025, dengan 93,8% diklasifikasikan sebagai malware.
Penegakan yang Sebenarnya Terjadi
Ketidakhadiran Lembaga tidak berarti tidak ada penegakan sama sekali; penegakan berjalan lewat instrumen lama yang lebih sempit.
Juli 2026: razia registrasi PSE. Komdigi memberitahukan 25 penyelenggara sistem elektronik lingkup privat (15 asing, 10 domestik, mencakup 57 situs dan aplikasi) pada 26 Juni 2026 bahwa mereka wajib mendaftar, dengan dasar Permenkominfo 5/2020 Pasal 2 dan 4. Tiga memenuhi kewajiban (AYO, Six Senses, Strava). Sisanya, 22 PSE, menerima peringatan tertulis sekitar 9–10 Juli dengan tenggat akhir 13 Juli 2026. Hingga 19 Agustus 2026, belum ada laporan pemblokiran akses, tetapi mekanismenya, termasuk pemblokiran berdasarkan Pasal 7 peraturan tersebut, sudah aktif.
Juni 2025: penghentian platform World. Pada 16 Juni 2025, Komdigi menegakkan penghentian sementara tanpa batas waktu terhadap platform pemindai iris yang sebelumnya dikenal sebagai Worldcoin, yang dioperasikan Tools For Humanity bersama mitra lokal PT Sandina Abadi Nusantara, setelah mengumpulkan data iris lebih dari 500.000 warga Indonesia sebagai imbalan token kripto. Arahan yang dikeluarkan memerintahkan penghapusan permanen seluruh kode iris, hash, dan salinan terenkripsi, serta perombakan tata kelola yang menjamin nol data anak. Kasus ini juga menuntaskan klasifikasi hukum: biometrik adalah data bersifat spesifik di bawah Pasal 4 ayat (2) UU PDP, bukan data pribadi biasa.
Pemblokiran konten. Dalam 100 hari pertama pemerintahan saat ini, Komdigi melaporkan 1.037.558 konten negatif diblokir (945.431 situs dan 92.127 entri media sosial), menggunakan Pasal 40 UU ITE sebagaimana diubah UU 1/2024.
Aksi sektoral dan investigatif. Pada September 2024, Komdigi bergabung dengan BSSN dan Kepolisian dalam investigasi forensik dugaan kebocoran 6 juta rekaman NPWP DJP, dan pada April 2025 mengesahkan Permenkomdigi 7/2025 yang mewajibkan verifikasi identitas untuk penerbitan e-SIM sebagai kontrol preventif terhadap pencurian identitas dan penipuan SIM-swap.
Perlindungan anak. PP 17/2025 (PP Tunas), yang mengatur kewajiban perlindungan anak bagi PSE, berlaku efektif 28 Maret 2026, pengingat bahwa kewajiban sektoral bergerak maju bahkan ketika arsitektur UU PDP sendiri masih mandek.
Pendapat kami: Narasi dominan, “undang-undang aktif tetapi tidak ada yang menegakkan, jadi kita masih punya waktu”, adalah salah baca atas risiko. Razia PSE Juli 2026 menunjukkan Komdigi akan bertindak lewat instrumen yang dimilikinya, dan instrumen itu mencakup pemblokiran akses. Denda yang dipertaruhkan perusahaan sebagai sesuatu yang belum bisa diterapkan justru akan tersedia begitu RPP PDP dan Lembaga hadir, dan Pasal 57 siap memberlakukannya. Kerusakan reputasi akibat kebocoran tidak menunggu regulator: 183 juta akun terkompromi, 4,41 miliar anomali setahun di BSSN, dan Mahkamah Konstitusi yang telah mengabulkan satu permohonan serta sedang menimbang tenggat pembentukan Lembaga. Kesenjangan itu nyata. Kesenjangan itu juga sementara.
Apa yang Harus Anda Lakukan
Lima prioritas berdasarkan lanskap penegakan per Agustus 2026:
1. Tunjuk Pejabat Perlindungan Data sekarang
Pasal 53 UU PDP mewajibkan organisasi yang memproses data dalam skala besar untuk menunjuk PPDP. MK 151 menurunkan ambang batas: salah satu kondisi statuter saja kini memicu kewajiban tersebut. Penunjukan PPDP murah, terlihat, dan merupakan sinyal kesiapan paling jelas ketika Lembaga akhirnya mulai melakukan pengawasan.
2. Terapkan manajemen persetujuan granular
Pasal 20–22 mewajibkan persetujuan eksplisit, terinformasi, dan terurai untuk setiap tujuan pemrosesan yang berbeda. Sebagian besar operator Indonesia masih mengandalkan persetujuan terikat atau tersirat. Ini kesenjangan paling umum ditemukan dalam tinjauan kepatuhan, dan yang paling dulu diuji regulator karena paling mudah diaudit.
3. Susun prosedur pemberitahuan kebocoran 72 jam
Pasal 46 mewajibkan pemberitahuan kepada subjek terdampak dan otoritas dalam 72 jam setelah kebocoran. Tanpa prosedur yang teruji (klasifikasi insiden, inventaris data, penelaahan hukum, templat pemberitahuan), sebagian besar organisasi akan melampaui tenggat saat insiden nyata terjadi. Kasus PDNS dan World menunjukkan besarnya sorotan terhadap insiden yang ditangani dengan buruk.
4. Benahi registrasi PSE Anda
Razia Juli 2026 memberlakukan kewajiban registrasi Permenkominfo 5/2020 dengan tenggat ketat dan sanksi pemblokiran sebagai cadangan. Status registrasi, kelengkapan data, dan fungsi kepatuhan internal kini diperiksa secara aktif, bukan sekadar teori.
5. Tinjau setiap kuartal dengan sumber primer
RPerpres dan RPP PDP bisa ditandatangani sewaktu-waktu, dan MK 236 bisa membebani pembentukan Lembaga dengan tenggat yudisial. Berlangganan JDIH Kemkomdigi dan registri MKRI, serta lakukan tinjauan kuartalan atas jadwal retensi, perjanjian pemrosesan vendor, dan aliran data pihak ketiga. Referensi hukum dalam dokumentasi kepatuhan Anda sebaiknya sudah mencerminkan ketentuan yang benar: Pasal 12 untuk tuntutan ganti rugi, Pasal 4 ayat (2) untuk biometrik, Pasal 74 untuk masa transisi.
Metodologi & Sumber
Analisis ini didasarkan pada teks utama UU 27/2022, UU 1/2024 (Perubahan Kedua UU ITE), PP 17/2025, dan Permenkominfo 5/2020 melalui JDIH; putusan dan data registri Mahkamah Konstitusi; serta pemberitaan terkini atas tindakan penegakan dan insiden kebocoran.
Sumber utama:
- JDIH (Kemkomdigi / Kemenkoinfra): teks utama UU 27/2022 (Pasal 4(2), 12, 20–22, 46, 53, 56, 57, 58–61, 62, 65, 67, 74) dan UU 1/2024 (Pasal 40 ayat (2b), Pasal 40A)
- MKRI: putusan dan materi pers untuk perkara 151, 135, 137, 133, 102, 153, dan 236/PUU
- Kompas, ANTARA, CNBC Indonesia, Tirto.id, Sindo News: status RPerpres/RPP PDP, sidang dan putusan MK, razia PSE
- BBC Indonesia: klaim 34 juta rekaman paspor Imigrasi (Jul 2023)
- BleepingComputer, Detik, IDN Times: insiden Tokopedia, Dukcapil/KPU, DJP, portal rekrutmen Komdigi
- Surfshark: Data Breach Statistics, angka kumulatif dan kuartalan Indonesia
- BSSN: Laporan Intelijen Ancaman Siber, jumlah anomali traffic
- penerbitadm.pubmedia.id: studi akademik 2026 tentang jumlah kasus kebocoran sektor publik (sumber tunggal)
- Hukumonline: kebocoran BRI Life; garis keturunan PP 71/2019
Volume kebocoran yang dikaitkan dengan penjual bernama dilabeli sebagai diklaim/dipersengketakan ketika lembaga terkait secara publik membantah data berasal dari sistemnya. Angka kebocoran kuartalan bersifat titik-waktu dan dapat berubah mengikuti revisi berkala basis data Surfshark.
Referensi: Two Years of Full Enforcement Without an Enforcer: A Tracking Study of UU PDP Implementation in Indonesia (2024–2026) oleh Adaptist Consulting.
Analisis ini dilakukan oleh Adaptist Consulting, Agustus 2026. Untuk pertanyaan tentang metodologi atau bagaimana temuan ini berlaku untuk infrastruktur tata kelola data organisasi Anda, hubungi kami.