Lembaga Pengawas PDP Belum Terbentuk: Dampaknya bagi Kepatuhan PP 33/2026

Mengapa lembaga itu penting

Dalam sistem pelindungan data, lembaga pengawas berperan menerima laporan, menerbitkan pedoman, mengawasi kepatuhan, dan menjatuhkan sanksi. Tanpa lembaga, banyak kewajiban kehilangan penegak.

PP 33/2026 sendiri banyak menyebut Lembaga, antara lain sebagai penerima notifikasi kebocoran dan pembuat peraturan lembaga. Dalam banyak negara, lembaga seperti ini menjadi tempat mengadu bagi warga dan tempat bertanya bagi pelaku usaha. Fungsi itu belum dapat dijalankan sepenuhnya bila lembaga belum ada.

Karena itu, pembentukan lembaga menjadi salah satu hal yang paling ditunggu oleh pelaku usaha, instansi, dan masyarakat sipil dalam rangka penerapan PP 33/2026.

Kondisi yang dilaporkan

Menurut sumber kami, PP hanya menyebut Lembaga tanpa nama. Lembaga pengawas PDP disebut belum terbentuk atau belum jelas bentuk dan kedudukannya. Kami tidak menemukan keterangan resmi tentang jadwal pembentukannya, sehingga tidak berani memperkirakan kapan lembaga itu ada.

Pembaca yang membutuhkan informasi terbaru perlu memeriksa pengumuman resmi kementerian terkait, karena keadaan ini mungkin berubah setelah artikel ini ditulis. Hingga saat ini kami hanya dapat melaporkan apa yang tertulis pada ulasan, dan menyarankan pembaca memeriksa perkembangan terbaru sebelum mengambil keputusan penting.

Ketidakjelasan ini bukan alasan untuk panik, tetapi alasan untuk berhati-hati. Pelaku usaha yang menyiapkan diri sejak sekarang akan lebih mudah menyesuaikan ketika bentuk lembaga sudah pasti.

Desakan independensi

Bisnis.com melaporkan bahwa praktisi menilai penerapan PP membutuhkan dukungan otoritas independen. Alasannya, lembaga yang juga mengawasi instansi pemerintah perlu bebas dari pengaruh pihak yang diawasinya.

Independensi dianggap penting agar kepercayaan publik terjaga, terutama karena instansi publik juga termasuk pihak yang diatur.

Perdebatan serupa muncul di banyak negara. Argumen utamanya, pengawas yang tidak independen sulit bersikap tegas terhadap pihak yang dekat dengan kekuasaan.

Dampak bagi pelaku usaha

Dampak praktisnya berupa pertanyaan terbuka.

Pertanyaan-pertanyaan itu belum dapat kami jawab. Itulah sebabnya persiapan organisasi sebaiknya bertumpu pada kewajiban yang tertulis jelas dalam PP.

Hal-hal ini belum memiliki jawaban pasti, dan organisasi sebaiknya tidak mengandalkan asumsi tentang jalur pelaporan tertentu.

• Ke mana notifikasi kebocoran harus dikirim?
• Siapa yang menerbitkan pedoman DPIA dan SCC?
• Siapa yang menyusun daftar negara setara?
• Siapa yang menegakkan sanksi?

Dampak bagi warga

Warga yang datanya bocor mungkin bingung ke mana mengadu. Sementara lembaga belum ada, jalur yang tersedia adalah pengendali data itu sendiri dan jalur hukum umum.

Untuk langkah praktis warga, lihat artikel lain di situs ini tentang hak subjek data dan pengaduan penyalahgunaan data. Hak-hak seperti akses, koreksi, dan penghapusan data tetap berasal dari UU PDP dan dapat diajukan kepada pengendali data.

Warga juga dapat mendokumentasikan kebocoran yang dialami, seperti tangkapan layar pesan dan waktu kejadian, supaya mudah dipakai ketika jalur pengaduan resmi tersedia.

Apa yang dapat dilakukan organisasi

Organisasi sebaiknya tetap menjalankan kewajiban yang jelas, mendokumentasikan upaya, dan menyiapkan jalur pelaporan internal. Simpan bukti bahwa Anda berupaya melapor ketika jalurnya belum tersedia.

Jangan menafsirkan ketiadaan lembaga sebagai ketiadaan kewajiban. Kebijakan internal yang memuat jalur pelaporan, termasuk siapa yang menghubungi Lembaga setelah terbentuk, akan mempercepat respons organisasi.

Dengan cara itu, organisasi tetap dapat menunjukkan bahwa ia bertindak patut meskipun penegak aturan belum berfungsi.

Hal yang perlu dipantau

Pantau pengumuman pemerintah tentang pembentukan lembaga, bentuk hukumnya, dan peraturan lembaga pertama. Perhatikan pula masa antara pada Pasal 223.

Setelah lembaga terbentuk, tinjau ulang seluruh dokumen kepatuhan dan sesuaikan dengan pedoman baru. Perhatikan pula pernyataan resmi mengenai masa peralihan, karena bisa menentukan bagaimana kewajiban dijalankan pada awal pembentukan lembaga.

Setelah itu, ikuti pula konsultasi publik, karena masukan pelaku usaha sering memengaruhi bentuk akhir peraturan teknis.

• Waktu pembentukan lembaga dan masa peralihan.
• Apakah lembaga bersifat independen dari pemerintah.

Contoh kasus

Contoh: Sebuah perusahaan penyedia pinjaman daring menemukan kebocoran data pada Januari 2027. Pasal 114 mewajibkan notifikasi kepada subjek data dan Lembaga paling lambat 3x24 jam, tetapi Lembaga belum ada. Perusahaan tetap memberi tahu nasabah terdampak dalam batas waktu, mengumpulkan bukti upaya menghubungi otoritas yang relevan, dan mencatat seluruh langkah. Dokumen itu disiapkan agar dapat diserahkan begitu Lembaga terbentuk dan meminta penjelasan. Mereka juga menyimpan salinan seluruh komunikasi untuk membuktikan upaya menghubungi pihak yang berwenang. Mereka menutup kasus dengan evaluasi untuk memperbaiki kontrol akses dan prosedur pelaporan, sehingga lebih siap ketika Lembaga akhirnya terbentuk dan membutuhkan laporan yang lengkap dan tertata. Perusahaan juga mengumumkan kejadian itu kepada nasabah lewat situs resminya, menyediakan layanan pengaduan khusus, dan menyarankan nasabah mengganti kata sandi serta mewaspadai pesan penipuan yang memanfaatkan data bocor tersebut. Langkah itu dilakukan karena perusahaan ingin dapat membuktikan itikad baik dan kesiapan bila suatu hari diminta penjelasan oleh pihak berwenang.

Hal yang sering keliru

• Mengira tanpa lembaga tidak ada pengawasan atau sanksi sama sekali, padahal kewajiban dalam PP tetap tertulis dan lembaga akan dibentuk.
• Mengira lembaga yang dimaksud sudah memiliki nama resmi, padahal PP hanya menyebut Lembaga.
• Mengira desakan praktisi sudah menjadi ketentuan, padahal itu pendapat yang dilaporkan media.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026 (menurut KRES.ID dan Bisnis.com)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Lembaga Penyelenggara SDI Harus Dibentuk Paling Lama Satu Tahun: Apa Artinya?
• Manajemen Risiko dalam Tata Kelola UU SDI: Cara Menilai dan Mengendalikan Risiko Data
• Masa Transisi dari Perpres 39/2019 ke UU Satu Data Indonesia: Apa yang Perlu Diperhatikan?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.