RoPA atau Catatan Pemrosesan Data Pribadi: Apa Itu dan 13 Muatan Minimal Menurut PP 33/2026

Apa itu RoPA

RoPA adalah dokumen yang menjawab pertanyaan dasar: data apa yang kami proses, untuk apa, dari siapa, siapa yang mengakses, ke mana dikirim, dan berapa lama disimpan.

Ia seperti buku besar yang memetakan seluruh perjalanan data pribadi dalam organisasi. Tanpa catatan ini, organisasi sulit menjawab permintaan subjek data atau menilai dampak kebocoran.

Dalam bahasa sehari-hari, RoPA mirip daftar inventaris gudang, tetapi isinya data pribadi. Gudang yang tidak pernah dihitung isinya sulit dijaga. Karena itu, banyak pakar menyarankan RoPA sebagai langkah pertama kepatuhan sebelum membuat kebijakan lain.

Dasar dalam PP 33/2026

KRES.ID melaporkan bahwa Pasal 74 mengatur catatan aktivitas pemrosesan dengan sedikitnya 13 muatan. Angka 13 ini tertera dalam bahan kami, tetapi daftar muatannya tidak.

Karena itu, kami tidak menyebut satu per satu isi muatan tersebut. Pembaca perlu membuka naskah resmi Pasal 74 untuk melihat daftar lengkapnya.

Menurut ulasan yang sama, Pasal 74 memakai kata sedikitnya, yang berarti 13 itu batas bawah. Organisasi boleh mencatat lebih banyak bila dirasa perlu. Mencantumkan lebih dari batas minimum biasanya justru memudahkan kerja, karena catatan menjadi lebih utuh.

Mengapa catatan ini penting

RoPA membantu organisasi memahami data yang dimilikinya sendiri. Hampir semua kewajiban lain bergantung pada pemahaman itu.

Dengan RoPA, jawaban atas pertanyaan-pertanyaan itu tidak perlu dicari-cari saat keadaan darurat.

Sebaliknya, tanpa RoPA, waktu 3x24 jam untuk notifikasi kebocoran bisa habis hanya untuk menelusuri data apa yang bocor.

• DPIA membutuhkan gambaran jenis dan alur data.
• Notifikasi kebocoran membutuhkan tahu data siapa yang terdampak.
• Transfer lintas negara membutuhkan tahu ke mana data mengalir.
• Permintaan akses subjek data membutuhkan tahu di mana datanya disimpan.
• Permintaan penghapusan data dari pelanggan juga lebih mudah dipenuhi.

Siapa yang menyusun

Pengendali pada dasarnya memegang tanggung jawab utama atas catatan ini karena ia menentukan tujuan pemrosesan. Prosesor sebaiknya juga mencatat kegiatan yang ia jalankan atas nama pengendali.

Apakah ada pengecualian untuk organisasi kecil tidak kami temukan dalam ulasan. Anggap saja berlaku sampai naskah resmi menunjukkan lain.

Dalam kelompok usaha, tiap badan hukum yang berperan sebagai pengendali sebaiknya memiliki catatannya sendiri, meski formatnya diseragamkan. Pembagian ini penting agar jelas siapa yang bertanggung jawab pada tiap kegiatan pemrosesan.

Cara memulai tanpa menunggu pedoman

Mulailah dari tabel sederhana. Satu baris mewakili satu kegiatan, misalnya pendaftaran pelanggan atau penggajian. Kolomnya diisi tujuan, jenis data, sumber, penerima, lokasi simpan, dan masa simpan.

Ketika naskah resmi atau pedoman lembaga memerinci 13 muatan, tabel itu tinggal ditambah kolomnya.

Hindari tabel yang terlalu rumit. Tabel yang tidak pernah diperbarui lebih buruk daripada tabel sederhana yang selalu mutakhir. Simpan juga versi lama, supaya riwayat perubahan dapat ditelusuri bila diperlukan.

Menjaga catatan tetap hidup

RoPA bukan dokumen sekali jadi. Setiap ada layanan baru, vendor baru, atau perubahan tujuan data, catatan perlu diperbarui.

Tunjuk satu orang yang bertanggung jawab memperbaruinya dan tetapkan jadwal tinjauan, misalnya tiap triwulan.

Jadikan pembaruan catatan sebagai syarat sebelum meluncurkan fitur atau kampanye baru yang memakai data pribadi. Dengan cara ini, catatan ikut berjalan seiring kegiatan usaha, bukan tertinggal di belakang.

Kaitan dengan pejabat PDP

Pejabat PDP biasanya memantau kualitas RoPA, tetapi isinya diisi oleh pemilik proses di tiap bagian. Cara ini membuat catatan lebih akurat.

Pimpinan sebaiknya menegaskan bahwa kelengkapan RoPA adalah tugas semua bagian, bukan hanya tim hukum.

Pejabat PDP dapat meninjau catatan secara berkala dan memberi masukan, misalnya bila ada kegiatan yang tidak punya tujuan jelas. Hasil tinjauan sebaiknya dilaporkan kepada pimpinan agar ada tindak lanjut yang terukur.

Contoh kasus

Contoh: Sebuah perusahaan rintisan jasa pesan antar makanan membuat satu tabel dengan lima baris kegiatan: pendaftaran pengguna, pemesanan, pembayaran, layanan pelanggan, dan promosi. Tiap baris mencatat data yang dikumpulkan, tujuan, vendor yang menerima data, serta berapa lama data disimpan. Ketika ada permintaan dari pengguna untuk melihat datanya, tim dapat langsung menelusuri lokasinya. Saat naskah resmi diperiksa, tabel itu dicocokkan dengan 13 muatan yang tertulis. Tim kemudian menjadwalkan peninjauan tabel tiap tiga bulan dan menyimpan versi lamanya sebagai arsip. Pengelola juga menandai kolom yang belum terisi agar dilengkapi sebelum 16 Januari 2027, lalu meminta tiap kepala bagian memeriksa baris yang menjadi tanggung jawabnya. Dengan begitu, tidak hanya tim hukum yang memahami isi catatan, dan setiap bagian ikut merasa memiliki dokumen tersebut.

Hal yang sering keliru

• Mengira RoPA sama dengan kebijakan privasi, padahal kebijakan privasi ditujukan kepada publik dan RoPA adalah catatan internal yang lebih rinci, sehingga fungsi dan pembacanya berbeda
• Mengira cukup membuatnya satu kali lalu disimpan, padahal catatan harus mengikuti perubahan kegiatan pemrosesan, sehingga tabel harus ikut berubah mengikuti perkembangan usaha
• Menyebut daftar 13 muatan dari ingatan atau template di internet tanpa mencocokkannya dengan naskah resmi, sehingga isi pasal harus dibaca langsung agar tidak ada muatan yang terlewat

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 74 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Sanksi Administratif PP 33/2026 Pasal 184: Peringatan, Penghentian Sementara, Penghapusan Data, dan Denda
• Sanksi Administratif dalam UU Satu Data Indonesia: Yang Diketahui Sejauh Ini
• Satu Data Daerah dan UU SDI: Bagaimana Hubungannya dengan Satu Data Indonesia?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.