Ringkasan PP 33/2026 tentang Pelindungan Data Pribadi: Isi Pokok dan Kewajiban Inti

Apa itu PP 33/2026

UU PDP (UU 27/2022) memuat prinsip besar, tetapi banyak hal teknis dititipkan ke peraturan pemerintah. PP 33/2026 tentang Pelindungan Data Pribadi dibuat untuk mengisi kekosongan itu.

Menurut KRES.ID, PP ini diundangkan pada 16 Juli 2026 dan tercatat dalam Lembaran Negara Tahun 2026 Nomor 88. Jumlahnya 225 pasal, sehingga cukup tebal untuk ukuran peraturan pelaksana.

Peraturan pemerintah berfungsi menjabarkan undang-undang agar dapat dijalankan sehari-hari. Karena itu, pembaca yang sudah akrab dengan UU PDP sebaiknya membaca PP ini sebagai buku petunjuk teknisnya, bukan sebagai aturan yang berdiri sendiri.

Kapan berlaku

Pasal 225 disebut menetapkan bahwa PP mulai berlaku enam bulan sejak diundangkan. Dari tanggal 16 Juli 2026, hitungannya jatuh pada 16 Januari 2027.

Artinya pelaku usaha dan instansi punya waktu persiapan. Waktu itu sebaiknya dipakai untuk memetakan data, bukan menunggu sampai tenggat dekat.

Tanggal ini menjadi patokan banyak pihak untuk menyusun rencana kerja. Siapa pun yang mengutip tanggal tersebut sebaiknya mencantumkan sumbernya, karena naskah resmi belum kami periksa langsung.

Siapa yang terkena

PP ini berlaku bagi pengendali dan prosesor data pribadi, baik swasta maupun publik. Pengendali adalah pihak yang menentukan tujuan dan cara pemrosesan. Prosesor adalah pihak yang memproses atas nama pengendali. Korporasi juga diakui sebagai subjek hukum, sehingga badan usaha tidak bisa berlindung di balik pengurusnya saja.

Dalam praktik, satu aplikasi kecil sekalipun bisa menjadi pengendali, asalkan ia menentukan untuk apa data pengguna dipakai. Dengan demikian, cakupan PP ini jauh lebih luas daripada sekadar perusahaan teknologi.

Subjek data, yaitu orang yang datanya diproses, tetap memegang hak-hak dasar seperti mengakses, memperbaiki, dan meminta penghapusan datanya. Hak-hak itu berasal dari UU PDP dan sudah dibahas dalam artikel lain di situs ini.

Kewajiban inti yang dilaporkan

Beberapa kewajiban yang paling banyak dibahas dalam ulasan adalah sebagai berikut.

Daftar ini adalah gambaran besar dari ulasan yang tersedia. Masing-masing kewajiban punya pasal sendiri, dan beberapa di antaranya akan kami bahas lebih rinci pada artikel lain dalam klaster ini.

• Pejabat pelindungan data pribadi (PPDP atau DPO) pada kondisi tertentu.
• Catatan aktivitas pemrosesan (RoPA) dengan sedikitnya 13 muatan.
• Penilaian dampak (DPIA) sebelum pemrosesan berisiko tinggi.
• Notifikasi tertulis kebocoran paling lambat 3x24 jam.
• Tiga jenjang dasar untuk transfer data lintas negara.
• Prinsip dasarnya: kumpulkan seperlunya, simpan seaman mungkin, dan hapus bila tidak dibutuhkan lagi.

Peraturan turunan dan lembaga

Sekitar 20 ketentuan dalam PP ini didelegasikan ke peraturan lembaga, misalnya pedoman DPIA, klausul kontrak standar, dan daftar negara yang dinilai setara. PP hanya menyebut Lembaga tanpa menyebut nama.

Bisnis.com melaporkan bahwa praktisi mendesak agar lembaga pengawas yang dibentuk bersifat independen. Sampai artikel ini ditulis, lembaga itu belum terbentuk atau belum jelas.

Selama peraturan lembaga belum terbit, pelaku usaha dihadapkan pada ketidakpastian. Namun Pasal 223 disebut menegaskan bahwa pemrosesan tetap tunduk pada PP pada masa antara tersebut. Untuk saat ini, pembaca sebaiknya memantau pengumuman resmi pemerintah tentang pembentukan lembaga dan penerbitan peraturan turunannya.

Sanksi yang dilaporkan

Menurut ulasan, sanksi administratif mencakup peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Denda paling banyak 2 persen dari pendapatan atau penerimaan tahunan.

Besaran pasti dalam rupiah tidak disebutkan, dan kami tidak menebaknya. Dampak, durasi, jumlah korban, dan sikap kooperatif disebut sebagai bahan pertimbangan.

Perlu diingat pula bahwa UU PDP memuat ancaman pidana yang terpisah dari sanksi administratif. Angka-angka pidana itu berasal dari pengetahuan umum dan perlu dicek ulang pada naskah undang-undangnya.

Langkah awal yang masuk akal

Mulailah dari hal yang tidak bergantung pada aturan turunan: mendata jenis data, siapa yang mengaksesnya, dan ke mana data dikirim. Hasil pendataan itu berguna untuk hampir semua kewajiban di atas.

Ini bukan nasihat hukum pasti. Untuk keputusan berisiko tinggi, konsultasikan dengan penasihat hukum.

Hasil pendataan dapat disimpan dalam satu tabel sederhana: jenis data, tujuan, dasar pemrosesan, lokasi simpan, penerima, dan masa simpan. Tabel semacam ini nantinya mudah diubah menjadi catatan pemrosesan yang lengkap.

Contoh kasus

Contoh: Sebuah toko daring menyimpan nama, alamat, dan nomor telepon pelanggan, serta memakai jasa penyedia gudang awan di luar negeri. Pemilik toko lalu mendata data apa saja yang disimpan, siapa yang bisa membukanya, dan ke mana data dikirim. Daftar itu menjadi dasar untuk menyusun catatan pemrosesan, menilai transfer, dan menyiapkan prosedur saat terjadi kebocoran. Pemilik juga menunjuk satu staf sebagai penanggung jawab dan menjadwalkan peninjauan kontrak dengan penyedia gudang tersebut sebelum Januari 2027. Pemilik toko menyadari bahwa tidak semua data pelanggan perlu disimpan, misalnya salinan identitas yang hanya dipakai sekali, sehingga ia memutuskan menghapusnya secara berkala.

Hal yang sering keliru

• Mengira PP 33/2026 hanya berlaku untuk perusahaan teknologi besar.
• Mengira aturan sudah berlaku penuh hari ini, padahal tanggal mulainya 16 Januari 2027.
• Mengira semua detail sudah final, padahal banyak hal diserahkan ke peraturan lembaga.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan)

Dalam kategori yang sama

• RoPA atau Catatan Pemrosesan Data Pribadi: Apa Itu dan 13 Muatan Minimal Menurut PP 33/2026
• Sanksi Administratif PP 33/2026 Pasal 184: Peringatan, Penghentian Sementara, Penghapusan Data, dan Denda
• Sanksi Administratif dalam UU Satu Data Indonesia: Yang Diketahui Sejauh Ini

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.