DPIA Menurut PP 33/2026: Kapan Penilaian Dampak Wajib Dilakukan

Apa itu DPIA

DPIA berasal dari istilah Data Protection Impact Assessment. Ini adalah proses menilai risiko terhadap hak orang yang datanya diproses, lalu menentukan cara mengurangi risiko itu. Penilaian dilakukan sebelum kegiatan dimulai, bukan setelah masalah muncul. Dengan begitu, organisasi dapat mengubah rancangan sebelum biaya perbaikannya membengkak.

Gagasan di balik DPIA sederhana: lebih murah mencegah daripada memperbaiki. Bila risiko ditemukan saat sistem masih di atas kertas, perubahan desain jauh lebih mudah dibandingkan setelah jutaan data masuk.

Bagi organisasi kecil, DPIA tidak perlu tebal. Beberapa halaman yang jujur dan tertata sudah jauh lebih baik daripada tidak ada sama sekali.

Dasar dalam PP 33/2026

KRES.ID melaporkan bahwa Pasal 120 sampai 122 mengatur DPIA sebelum pemrosesan berisiko tinggi. Ketiga pasal itu menjadi dasar kewajiban yang kita bahas.

Isi rinci tiap pasal tidak kami temukan. Karena itu, uraian di sini bersifat umum, dan pembaca perlu membuka naskah resmi untuk mengetahui kriteria dan isi minimal laporan DPIA.

Karena sumber kami hanya ulasan, kami menyarankan pembaca membandingkan setiap kesimpulan di sini dengan teks Pasal 120 sampai 122 yang resmi sebelum dipakai untuk keputusan bisnis. Sementara itu, pelaku usaha dapat membaca juga UU PDP yang menjadi induk aturan ini.

Apa yang disebut berisiko tinggi

Ulasan yang kami baca menyebut contoh penggunaan teknologi seperti kecerdasan buatan, pembelajaran mesin, dan Internet of Things. Teknologi semacam itu dapat mengolah data dalam jumlah besar dan menghasilkan kesimpulan tentang orang.

Daftar lengkap kriteria berisiko tinggi tidak kami temukan, dan pedoman DPIA didelegasikan ke peraturan lembaga. Maka organisasi perlu bersikap hati-hati ketika menilai sendiri.

Pembaca perlu memahami bahwa AI, pembelajaran mesin, dan IoT disebut sebagai contoh. Contoh tidak sama dengan daftar tertutup, sehingga pemrosesan lain mungkin saja berisiko tinggi tergantung ukuran dan jenis datanya.

Isi DPIA yang lazim

Secara umum, DPIA mencakup beberapa unsur. Unsur ini adalah praktik yang lazim, bukan bunyi pasal.

Unsur-unsur ini cocok dijadikan kerangka awal bagi organisasi yang belum pernah membuat DPIA. Kerangka itu mudah diperluas ketika pedoman resmi sudah tersedia.

• Gambaran kegiatan pemrosesan dan tujuannya.
• Penilaian apakah pemrosesan itu perlu dan sepadan.
• Daftar risiko bagi subjek data.
• Langkah mitigasi atau pengurangan risiko.
• Keputusan akhir dan penanggung jawabnya.

Siapa yang terlibat

DPIA sebaiknya melibatkan pemilik proses, bagian teknologi informasi, bagian hukum, dan pejabat PDP bila ada. Masing-masing memahami sisi berbeda dari risiko.

Pejabat PDP biasanya memberi saran, sedangkan keputusan akhir tetap berada pada pengendali. Hasil penilaian perlu didokumentasikan secara tertulis dan disimpan.

Pemilik proses wajib hadir karena ia yang paling mengetahui bagaimana data mengalir. Bagian hukum memeriksa dasar pemrosesan, sedangkan bagian teknologi menilai keamanan.

Hubungan dengan RoPA

RoPA memberi gambaran kegiatan pemrosesan, sehingga mempermudah menentukan mana yang perlu DPIA. Kegiatan dengan data spesifik, skala besar, atau teknologi baru adalah kandidat utama.

Organisasi yang sudah punya RoPA akan lebih cepat memilah kegiatan mana yang berisiko tinggi dan harus dinilai lebih dulu.

Contoh sederhana: layanan baru yang menggabungkan data lokasi dan data kesehatan jelas lebih berisiko daripada pengiriman buletin. RoPA membantu melihat perbedaan ini sejak awal.

Bila pedoman lembaga belum terbit

Pedoman DPIA termasuk ketentuan yang didelegasikan ke peraturan lembaga. Sementara itu, Pasal 223 disebut menegaskan pemrosesan tetap tunduk pada PP.

Dalam masa menunggu, susun DPIA dengan format sederhana dan mudah disesuaikan. Catat asumsi yang dipakai agar bisa direvisi ketika pedoman terbit.

Menyimpan DPIA bersama RoPA dalam satu arsip memudahkan pemeriksaan di masa depan dan membantu organisasi membuktikan bahwa penilaian dilakukan secara sadar dan tepat waktu.

Contoh kasus

Contoh: Sebuah bank daerah berencana memakai sistem penilaian kelayakan kredit berbasis pembelajaran mesin yang membaca riwayat transaksi nasabah. Sebelum sistem dijalankan, tim menyusun penilaian dampak. Mereka menguraikan data yang dipakai, risiko keputusan keliru yang merugikan nasabah, dan langkah mitigasi seperti peninjauan manual atas penolakan. Hasilnya disetujui direksi dan disimpan, lalu akan disesuaikan ketika pedoman lembaga terbit. Dokumen penilaian itu disimpan bersama catatan pemrosesan bank dan akan ditinjau ulang setiap kali model diperbarui. Direksi menyetujui dengan syarat DPIA ditinjau setiap kali model kredit diperbarui atau ada sumber data baru yang ditambahkan, serta hasilnya dilaporkan kepada pejabat pelindungan data pribadi bank agar dapat dipantau.

Hal yang sering keliru

• Mengira DPIA dilakukan setelah sistem berjalan, padahal menurut ulasan penilaian dilakukan sebelum pemrosesan berisiko tinggi dimulai, sebab ulasan menyebut kewajiban muncul pada pemrosesan berisiko tinggi saja.
• Mengira semua pemrosesan wajib DPIA, padahal kewajibannya terkait pemrosesan berisiko tinggi saja, padahal dokumen yang sudah ada tinggal disesuaikan dengan pedoman baru.
• Menunggu pedoman lembaga untuk memulai sama sekali, padahal analisis risiko dasar dapat dikerjakan lebih dulu dengan format sederhana, padahal pedoman lembaga belum terbit dan asas dasarnya sudah dapat diterapkan.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 120 sampai 122 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• DPO Internal atau Eksternal: Pilihan Menurut PP 33/2026 dan Cara Memilihnya
• UU Satu Data Indonesia dan Bantuan Sosial: Skenario Dampak bagi Penyaluran dan Data Penerima
• Ego Sektoral Data: Mengapa Instansi Enggan Berbagi dan Bagaimana UU SDI Mencoba Mengatasinya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.