Penilaian Risiko Transfer Data ke Luar Negeri dan Pemberitahuan Menurut PP 33/2026

Apa yang diatur

KRES.ID melaporkan bahwa Pasal 162 sampai 164 mengatur penilaian risiko transfer dan pemberitahuan. Pasal-pasal ini melengkapi tiga jenjang dasar transfer pada Pasal 165. Dengan kata lain, memilih jenjang dasar saja tidak cukup. Organisasi juga perlu menilai risikonya dan memenuhi kewajiban pemberitahuan.

Dengan demikian, kepatuhan terhadap transfer lintas negara terdiri dari beberapa lapis: dasar hukum, penilaian risiko, dan pemberitahuan. Melewatkan satu lapis dapat membuat transfer bermasalah.

Penilaian risiko semacam ini bukan hal asing bagi sektor keuangan dan kesehatan, yang sudah terbiasa menilai risiko vendor sebelum bekerja sama.

Mengapa perlu menilai risiko

Dasar hukum yang sah tidak otomatis berarti aman. Negara tujuan bisa memiliki praktik akses pemerintah, tingkat keamanan siber, atau penegakan hukum yang berbeda. Penilaian risiko membantu organisasi memutuskan apakah transfer layak dilakukan, perlu pengamanan tambahan, atau sebaiknya dibatalkan.

Contohnya, data kesehatan yang dikirim ke penyedia yang pengamanannya lemah berisiko lebih besar daripada daftar nama yang sudah tersedia untuk umum. Hal yang kerap terlupakan adalah risiko dari rantai vendor, yaitu vendor yang memakai vendor lain di negara yang berbeda.

Jika data yang dikirim sudah dianonimkan sehingga tidak dapat lagi dikaitkan dengan orang tertentu, risikonya berbeda. Namun apakah hal ini mengubah kewajiban menurut PP perlu dicek pada naskah resmi.

Unsur yang lazim dinilai

Rincian dalam PP belum kami temukan. Secara umum, unsur berikut lazim dinilai dalam transfer lintas negara.

Unsur-unsur ini dapat dijadikan daftar periksa awal. Peraturan lembaga nantinya mungkin menetapkan unsur resmi yang harus dipenuhi.

Setiap unsur dapat diberi skor sederhana, misalnya rendah, sedang, tinggi, agar pimpinan mudah melihat gambaran keseluruhan.

• Jenis dan sensitivitas data yang dikirim.
• Jumlah subjek data dan frekuensi transfer.
• Tingkat pelindungan hukum di negara tujuan.
• Kemampuan penerima mengamankan data.
• Risiko akses pihak lain terhadap data.
• Perubahan hukum di negara tujuan.

Pemberitahuan

Menurut ulasan, selain penilaian risiko ada kewajiban pemberitahuan. Kepada siapa, kapan, dan dalam bentuk apa pemberitahuan itu ditujukan tidak kami temukan.

Bisa jadi ditujukan kepada subjek data, kepada Lembaga, atau keduanya. Kami tidak berspekulasi dan menyarankan membaca naskah resmi. Menunggu kejelasan, organisasi sebaiknya menyimpan catatan komunikasi dengan subjek data dan pihak terkait mengenai transfer sebagai bukti itikad baik.

Kewajiban pemberitahuan ini juga sebaiknya dikaitkan dengan kebijakan privasi, supaya subjek data memperoleh informasi yang konsisten.

Menghubungkan dengan RoPA dan DPIA

RoPA memperlihatkan data apa yang dikirim ke luar negeri dan ke siapa. DPIA menilai dampak pemrosesan berisiko tinggi. Penilaian risiko transfer dapat memanfaatkan hasil keduanya.

Bila transfer menyangkut AI atau IoT yang berisiko tinggi, penilaian dapat digabung dalam satu dokumen agar efisien. Penggabungan dokumen membuat arsip lebih rapi dan menghindari penilaian yang saling bertentangan dalam dokumen berbeda.

Sebagai contoh, DPIA layanan analitik berbasis AI yang memakai penyedia luar negeri dapat langsung mencakup bagian penilaian transfer.

Siapa yang menilai

Pemilik proses, bagian hukum, bagian teknologi informasi, dan pejabat PDP sebaiknya terlibat. Keputusan akhir berada pada pimpinan.

Jika vendor luar negeri terlibat, minta informasi tentang lokasi server, pengamanan, dan pihak yang dapat mengakses data. Pimpinan perlu mendapat ringkasan risiko dalam bahasa sederhana agar keputusan diambil dengan pemahaman yang cukup.

Jangan lupa melibatkan bagian pengadaan, karena keputusan memilih vendor sering diambil di bagian itu tanpa melibatkan pelindungan data.

Dokumentasi dan peninjauan ulang

Simpan hasil penilaian bersama dasar transfer yang dipilih. Tinjau ulang bila negara tujuan, vendor, atau jenis data berubah.

Pantau pula peraturan lembaga yang akan memerinci ketentuan ini, lalu sesuaikan dokumen yang ada. Hasil peninjauan ulang sebaiknya juga dibagikan kepada vendor terkait agar mereka mengetahui perubahan harapan pengamanan.

Tetapkan jadwal tinjauan, misalnya tiap tahun, dan tinjauan tambahan ketika terjadi insiden di vendor atau perubahan hukum di negara tujuan.

Contoh kasus

Contoh: Sebuah perusahaan konsultasi memakai layanan surel dan penyimpanan dari penyedia di luar negeri untuk menyimpan data klien. Sebelum kontrak diperbarui, tim menilai jenis data, jumlah klien, lokasi server, dan pengamanan penyedia. Hasilnya, data yang paling sensitif tetap disimpan di server dalam negeri, sedangkan data umum dikirim dengan kontrak pengamanan. Tim mencatat penilaian dan menjadwalkan peninjauan ketika peraturan lembaga terbit. Tim juga menyiapkan rencana cadangan bila vendor mendadak tidak lagi memenuhi syarat, termasuk pemindahan data ke penyedia lain. Dokumen penilaian disimpan bersama kontrak, sehingga auditor dapat menelusuri alasan keputusan dengan mudah. Perusahaan juga meminta penyedia memberi tahu bila ada perubahan lokasi server, supaya penilaian dapat diperbarui tepat waktu dan keputusan tetap didasarkan pada keadaan terkini. Hasil akhir penilaian ditandatangani oleh pimpinan agar ada penanggung jawab yang jelas.

Hal yang sering keliru

• Mengira penilaian risiko tidak perlu bila sudah ada kontrak, padahal ulasan menyebut penilaian risiko diatur tersendiri pada Pasal 162 sampai 164.
• Mengira penilaian risiko hanya formalitas, padahal hasilnya dapat mengubah keputusan transfer.
• Mengira cukup dilakukan sekali, padahal perubahan vendor atau data menuntut penilaian ulang.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 162 sampai 165 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Penyedia CCTV dan PP 33/2026: Peran Instalatur, Pemilik Gedung, dan Pengelola Rekaman
• Peran BPS dan Bappenas dalam Ekosistem Satu Data Indonesia: Gambaran Umum
• Peran Kementerian dan Lembaga dalam Satu Data Indonesia: Dari Produsen sampai Pembina

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.