Siapa yang Terkena PP 33/2026: Swasta, Instansi Publik, dan Korporasi

Dua peran utama

PP ini bicara tentang dua peran. Pengendali menentukan tujuan dan cara pemrosesan data pribadi. Prosesor memproses data atas nama pengendali. Satu organisasi bisa berperan sebagai keduanya, tergantung kegiatannya. Menentukan peran ini adalah langkah pertama sebelum membaca kewajiban lain.

Pembedaan ini bukan sekadar istilah. Ia menentukan siapa yang harus menjawab pertanyaan subjek data, siapa yang melapor saat kebocoran, dan siapa yang membuat keputusan tentang penggunaan data.

Siapa pun yang tidak yakin sebaiknya memulai dari pertanyaan sederhana: apakah data ini bisa mengenali seseorang?

Sektor swasta

Menurut KRES.ID, PP 33/2026 berlaku bagi pengendali dan prosesor swasta. Itu mencakup toko daring, klinik, sekolah swasta, perusahaan rintisan, hingga perusahaan besar.

Yang menentukan bukan ukuran usaha, melainkan apakah data pribadi orang diproses. Pemilik warung yang mencatat nomor telepon pelanggan untuk promosi pun memproses data pribadi.

Dengan kata lain, hampir semua kegiatan usaha modern bersentuhan dengan aturan ini, sehingga pertanyaannya bukan apakah Anda terkena, melainkan seberapa besar kewajiban yang melekat. Pelaku usaha mikro dan kecil sering merasa aturan ini terlalu besar baginya, padahal kewajiban dasarnya, seperti menjaga keamanan data, relevan bagi semua.

Sektor publik

Pengendali dan prosesor publik juga terkena. Pemerintah pusat, pemerintah daerah, dan lembaga pelayanan publik yang menyimpan data warga termasuk di dalamnya.

Instansi publik mendapat perhatian khusus pada beberapa kewajiban. Misalnya, pelayanan publik disebut sebagai salah satu alasan wajibnya pejabat PDP.

Instansi juga lazim berbagi data dengan instansi lain. Pertukaran itu perlu dasar yang jelas dan pengamanan yang memadai, sama seperti pada sektor swasta. Pemerintah daerah dan desa juga mengelola banyak data warga. Mereka perlu memeriksa apakah pegawai dan vendor sistemnya sudah memahami aturan ini.

Korporasi sebagai subjek hukum

Pakar yang dikutip egindo.com, Dr. Feri Surbakti, menegaskan bahwa korporasi diakui sebagai subjek hukum. Dalam praktik, badan usaha dapat dimintai pertanggungjawaban, tidak hanya orang per orang.

Karena itu, kepatuhan perlu ditangani sebagai urusan organisasi, dengan pembagian tugas dan dokumentasi yang jelas. Dalam praktik penegakan hukum di Indonesia, pertanggungjawaban korporasi mencakup pengurus dan badan usahanya. Rincian untuk pelanggaran PDP perlu dibaca langsung pada UU PDP.

Hal ini juga berarti pimpinan perusahaan perlu ikut terlibat dalam keputusan pelindungan data, bukan menyerahkannya pada bagian teknologi saja.

Peran vendor dan penyedia layanan

Banyak usaha menyimpan data di layanan awan atau memakai vendor pembayaran dan pengiriman. Vendor tersebut bisa berstatus prosesor.

Pengendali sebaiknya memeriksa kontrak: siapa boleh mengakses data, bagaimana pelaporan kebocoran, dan di negara mana data disimpan.

Kontrak yang rapi juga melindungi vendor, sebab ia dapat menunjukkan bahwa ia hanya bertindak sesuai instruksi pengendali. Peninjauan kontrak sebaiknya dilakukan sebelum 16 Januari 2027 agar tidak ada kekosongan pengaturan saat aturan berlaku.

Yang belum jelas

Ulasan yang kami baca tidak menyebut pengecualian khusus untuk usaha mikro. Kami tidak menyimpulkan ada atau tidaknya keringanan.

Jika Anda usaha kecil, anggap saja Anda terkena, lalu cek naskah resmi untuk melihat apakah ada kelonggaran. Pembaca yang membutuhkan kepastian perlu menunggu naskah resmi atau konsultasi dengan penasihat hukum yang memahami bidang ini.

Selama ada keraguan, pendekatan hati-hati dengan mengikuti kewajiban dasar jauh lebih aman daripada mengambil asumsi.

• Cek apakah ada pengecualian untuk usaha mikro pada naskah resmi.
• Cek definisi pengendali, prosesor, dan pelayanan publik.
• Cek ketentuan peralihan bagi pihak yang sudah memproses data sebelum berlaku.

Cara cepat menilai posisi Anda

Tanyakan tiga hal. Apakah kami menyimpan data pribadi orang lain? Apakah kami yang menentukan untuk apa data itu dipakai? Apakah ada pihak lain yang memproses data atas perintah kami?

Jawaban atas ketiganya menunjukkan apakah Anda pengendali, prosesor, atau keduanya.

Catat jawabannya dalam satu halaman. Catatan itu berguna sebagai bukti bahwa organisasi telah menilai posisinya secara sadar.

Contoh kasus

Contoh: Sebuah sekolah swasta menyimpan data siswa dan memakai aplikasi absensi dari vendor. Sekolah menentukan data apa yang dikumpulkan dan untuk apa, sehingga berperan sebagai pengendali. Vendor aplikasi memproses data atas perintah sekolah, sehingga berperan sebagai prosesor. Keduanya perlu mengatur tanggung jawab dalam kontrak tertulis. Perjanjian itu juga mengatur siapa yang menghubungi orang tua murid bila data mereka bocor. Kepala sekolah juga meminta vendor menandatangani perjanjian pemrosesan data, memuat larangan memakai data siswa untuk tujuan lain, kewajiban menjaga kerahasiaan, serta kewajiban segera memberi tahu sekolah apabila terjadi kebocoran, karena sekolah yang nanti harus melapor. Sekolah menutup tahun ajaran dengan peninjauan ulang kontrak.

Hal yang sering keliru

• Mengira hanya perusahaan besar yang terkena, padahal ukuran usaha tidak menjadi penentu utama, sebab yang dilihat adalah apakah data pribadi diproses
• Mengira instansi pemerintah dikecualikan, padahal ulasan menyebut PP ini berlaku bagi pengendali dan prosesor publik sekaligus swasta
• Mengira vendor tidak punya tanggung jawab sama sekali karena hanya menjalankan perintah, padahal prosesor juga memiliki kewajiban, misalnya menjaga keamanan data dan membantu pengendali memenuhi aturan

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026 (menurut pemberitaan)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Siklus Data dalam Satu Data Indonesia: Dari Pengumpulan sampai Pemusnahan
• Simulasi Alur Permintaan Data Terbatas oleh Peneliti kepada Instansi
• Standar Data dalam Satu Data Indonesia: Apa Itu dan Mengapa Diseragamkan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.