Pemerintah Daerah dan Instansi Publik: Kesiapan Menghadapi PP 33/2026 dan Pelayanan Publik

Instansi publik juga pengendali

Dinas kependudukan, dinas kesehatan, kantor kecamatan, dan perangkat desa mengumpulkan data warga untuk pelayanan. Pada saat itu mereka berstatus pengendali data pribadi. Menurut ulasan, PP 33/2026 berlaku bagi pengendali dan prosesor swasta maupun publik.

Artinya instansi tidak dikecualikan dari kewajiban hanya karena menjalankan tugas negara. Mereka tetap perlu dasar pemrosesan, keamanan, dan akuntabilitas.

Kesadaran ini penting karena sebagian pegawai menganggap data warga sebagai milik kantor yang bebas dibagikan antarbagian.

Di tingkat daerah, tantangannya sering berupa keterbatasan anggaran dan tenaga ahli. Karena itu pembagian tugas yang jelas dan pemanfaatan sumber daya bersama antarperangkat daerah dapat membantu.

Karena itu langkah pertama yang masuk akal adalah menyatukan pemahaman di seluruh perangkat daerah mengenai apa yang dimaksud data pribadi dan siapa yang bertanggung jawab atas pengelolaannya.

Dasar pemrosesan di layanan publik

Banyak pemrosesan oleh instansi berdasar kewajiban hukum atau tugas pelayanan publik. Namun pemakaian di luar tugas, misalnya memberikan data warga kepada pihak swasta untuk promosi, memerlukan dasar yang sah.

Instansi perlu memastikan petugas memahami batas penggunaan data yang mereka pegang, terutama data kependudukan yang sangat luas dipakai.

Sebaiknya setiap bagian menulis tujuan penggunaan data dalam satu halaman, sehingga mudah dikaji.

Contoh yang sering terjadi adalah data penerima bantuan atau data pelaku usaha yang diberikan kepada pihak ketiga untuk kegiatan yang tidak terkait pelayanan. Praktik seperti ini perlu ditinjau ulang.

Petugas pelindungan data

Menurut ulasan, petugas pelindungan data wajib bila ada pelayanan publik, pemantauan sistematis skala besar, atau pemrosesan data spesifik skala besar. Pelayanan publik secara tegas disebut, sehingga pemerintah daerah patut menelaah kebutuhan penunjukan petugas.

Petugas dapat internal atau eksternal menurut ulasan, dengan syarat independensi. Anggaran dan kompetensi perlu direncanakan sejak sekarang, bukan setelah aturan berlaku.

Kebutuhan pelatihan pegawai juga perlu masuk anggaran tahun berikutnya.

Instansi yang telah memiliki pejabat pengelola informasi dapat menimbang apakah tugas itu dapat dikembangkan, namun independensi petugas tetap perlu dijaga menurut ulasan.

Aplikasi layanan dan vendor

Banyak daerah memiliki aplikasi layanan dan pusat data yang dikelola vendor. Kontrak dengan vendor perlu memuat keamanan, batas penggunaan data, kewajiban melapor insiden, dan pengembalian atau penghapusan data.

Pengadaan sebaiknya memasukkan persyaratan pelindungan data dalam dokumen kerangka acuan. Ini saran praktik, bukan ketentuan dari PP.

Instansi juga dapat meminta vendor menyerahkan hasil uji keamanan secara berkala sebagai bagian dari kontrak pemeliharaan.

Untuk aplikasi lama yang sulit diubah, buat daftar risiko dan rencana penggantian bertahap.

• Aplikasi layanan publik
• Pusat data daerah
• Layanan awan
• Penyedia pemeliharaan sistem

Kebocoran dan transparansi

Menurut ulasan, kebocoran diberitahukan tertulis paling lambat 3x24 jam kepada subjek data dan Lembaga, dan diumumkan publik bila mengganggu pelayanan publik atau berdampak serius. Instansi publik perlu rencana komunikasi dengan warga.

Fakta bahwa kebocoran di instansi dapat memengaruhi banyak warga sekaligus membuat latihan tanggap insiden sangat penting.

Kerja sama dengan dinas komunikasi dan informatika membantu pelaksanaan prosedur ini.

Siapkan juga saluran pengaduan bagi warga yang merasa datanya disalahgunakan oleh petugas atau instansi.

Hubungan dengan UU Satu Data Indonesia

UU Satu Data Indonesia yang baru disahkan, menurut pemberitaan, mengatur tata kelola data pemerintah dan memuat kewajiban melaporkan insiden keamanan data paling lambat 1x24 jam. UU PDP tetap menjadi rezim khusus data pribadi.

Sumber kami tidak menjelaskan hubungan rinci kedua aturan, sehingga instansi perlu memantau peraturan pelaksana keduanya dan tidak menyimpulkan bahwa satu menggantikan yang lain.

Instansi dapat menyusun catatan kecil yang menghubungkan kewajiban dari kedua aturan agar tidak ada tumpang tindih.

Pemantauan peraturan pelaksana dari kedua undang-undang menjadi tugas bersama bagian hukum dan bagian teknologi informasi.

Sanksi bagi instansi

Menurut ulasan, sanksi administratif meliputi peringatan, penghentian sementara, penghapusan data, dan denda maksimal 2 persen pendapatan atau penerimaan tahunan. Cara penerapan denda pada instansi pemerintah tidak dijelaskan sumber kami.

Yang pasti, pengumuman sanksi di media resmi Lembaga dapat menurunkan kepercayaan publik. Bagi instansi, kepercayaan warga adalah modal pelayanan.

Evaluasi tahunan oleh inspektorat atau unit pengawas internal juga dapat membantu.

Ingat pula bahwa warga dapat melaporkan dugaan pelanggaran, sehingga keterbukaan dan perbaikan cepat lebih baik daripada menutupi masalah.

Pemantauan oleh media dan masyarakat sipil juga mungkin meningkat setelah aturan berlaku.

Contoh kasus

Contoh: Sebuah pemerintah kabupaten fiktif mengelola aplikasi pengaduan warga lewat vendor. Menjelang aturan berlaku, dinas komunikasi menunjuk satu pejabat sebagai penanggung jawab data, memperbarui kontrak vendor, membatasi akses petugas, dan menyiapkan prosedur pemberitahuan kebocoran kepada warga. Langkah ini dapat menjadi bukti kesiapan. Kasus ini hanya ilustrasi. Hasil kajian dibahas dalam rapat pimpinan agar menjadi program kerja tahun berikutnya.

Hal yang sering keliru

• Mengira instansi pemerintah otomatis dikecualikan dari PP 33/2026.
• Menyamakan UU Satu Data Indonesia dengan UU PDP.
• Menyerahkan semua urusan data kepada vendor tanpa kontrak.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)
• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)

Dalam kategori yang sama

• Pemusnahan Data Pribadi setelah Tujuan Selesai: Langkah, Bukti, dan Hak Meminta Penghapusan
• Pengawasan DPR terhadap Pelaksanaan UU Satu Data Indonesia: Apa yang Dapat Dilakukan?
• Pengendali Bersama: Dua Perusahaan Berbagi Data Pelanggan, Siapa yang Bertanggung Jawab?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.