Transfer dan Akses Data Tertutup ke Luar Negeri Wajib Persetujuan DPR: Yang Diketahui dan Belum

Apa yang dilaporkan

Menurut Liputan6 yang mengutip Ketua Panja, akses atau transfer Data Tertutup ke luar yurisdiksi Indonesia wajib mendapat persetujuan Dewan Perwakilan Rakyat Republik Indonesia. Aturan ini menjadi bagian dari UU Satu Data Indonesia (SDI) yang disahkan 6 Oktober 2026.

Pemberitaan juga menyebut bahwa kriteria dan mekanisme persetujuan belum dijelaskan. Jadi kita belum tahu bentuk persetujuan, lama prosesnya, dan siapa yang mengajukan. Jangan mengisi kekosongan itu dengan tebakan.

Perlu diingat bahwa sumbernya adalah pernyataan Ketua Panja yang dikutip media, bukan kutipan pasal. Rumusan akhir dalam naskah undang-undang dapat saja lebih rinci, memuat pengecualian, atau menggunakan istilah berbeda. Karena itu, rujukan utama tetap harus naskah resmi yang diundangkan.

Tiga kelompok data

Menurut pemberitaan, UU SDI mengklasifikasikan data menjadi terbuka, terbatas, dan tertutup sesuai peraturan perundang-undangan. Data terbuka dapat dimanfaatkan luas. Data terbatas dapat dikenai biaya akses sebagai penerimaan negara bukan pajak, menurut pemberitaan.

Data Tertutup berada pada tingkat paling ketat. Sumber kami tidak menjelaskan kriterianya, misalnya apakah mencakup data pertahanan, data pribadi, atau data lain. Karena itu, jangan menebak jenis data apa yang termasuk.

Dalam praktik, instansi biasanya menetapkan klasifikasi sejak data dibuat. Bila klasifikasi tidak jelas, data cenderung diperlakukan sama, yaitu terlalu longgar atau terlalu ketat. Penetapan klasifikasi yang tegas membantu menentukan data mana yang tidak boleh keluar tanpa izin.

Arti akses dan transfer

Kata transfer lazim dipahami sebagai pemindahan data ke luar negeri, misalnya mengirim salinan ke server di negara lain. Kata akses lebih luas: pihak di luar negeri dapat membuka atau melihat data walaupun data tetap berada di Indonesia.

Perbedaan ini penting. Data yang tersimpan di dalam negeri tetap dapat diakses teknisi asing lewat jaringan untuk pemeliharaan. Apakah akses seperti itu termasuk yang wajib mendapat persetujuan belum dijelaskan sumber, sehingga perlu diperiksa di naskah resmi.

Sebagai pembanding, banyak negara memiliki aturan lokalisasi data atau pembatasan transfer data tertentu, tetapi caranya berbeda-beda. Menurut sumber kami, pilihan Indonesia melalui persetujuan legislatif memang khas. Namun artikel ini tidak membandingkan dengan negara lain karena tidak ada bahan yang dapat diverifikasi.

Mengapa DPR, bukan menteri

Pemberitaan menunjukkan bahwa persetujuan diberikan oleh DPR, lembaga legislatif, bukan oleh instansi pelaksana. Ini tidak lazim dalam banyak aturan data lain. Alasan politik dan praktisnya tidak dirinci dalam sumber kami.

Hal yang dapat dibayangkan, tetapi belum dipastikan, adalah soal pengawasan dan akuntabilitas. Namun bagaimana DPR menjalankan persetujuan di tengah jadwal sidang yang terbatas, dan apakah ada jalur cepat untuk keadaan mendesak, belum dijelaskan.

Siapa pemohon persetujuan juga belum jelas. Mungkin instansi pembina data, mungkin pengelola data, mungkin lembaga penyelenggara SDI. Karena tidak ada keterangan, jangan berasumsi. Amati rumusan resmi dan aturan turunan yang menjelaskan tata cara pengajuan.

Dampak bagi pengelola dan penyedia

Bila aturan ini berlaku sebagaimana diberitakan, pengelola Data Tertutup perlu mengetahui ke mana datanya mengalir, termasuk melalui penyedia layanan. Pertanyaan yang layak diajukan kepada penyedia terkait sebagai berikut.

Bagi penyedia layanan, ketidakpastian ini dapat berpengaruh pada kontrak. Klausul yang mengizinkan pemindahan data bebas ke pusat data asing dapat menjadi bermasalah bila data tersebut ternyata Data Tertutup. Menyisipkan klausul penyesuaian terhadap peraturan baru adalah langkah antisipasi yang lazim.

• Di negara mana data disimpan, termasuk salinan cadangan?
• Siapa saja yang dapat mengakses dari luar negeri, termasuk teknisi pemeliharaan?
• Apakah ada subpenyedia di luar negeri?
• Apakah kontrak melarang pemindahan data tanpa izin tertulis?

Beda dengan transfer data pribadi

Menurut KRES.ID, PP 33/2026 mengatur transfer data pribadi lintas negara dalam tiga jenjang pada Pasal 165: negara dengan perlindungan setara, jaminan mengikat seperti SCC atau BCR, dan persetujuan subjek data dengan syarat ketat. Itu pintu yang berbeda dari persetujuan DPR untuk Data Tertutup.

Data tertentu bisa saja tunduk pada dua aturan sekaligus. Kriteria Data Tertutup yang belum jelas membuat batas antara keduanya belum bisa ditarik. Tunggu aturan turunan.

Kembali ke hal utama: aturan ini diberitakan, tetapi detailnya belum diumumkan. Perlakukan sebagai peringatan dini untuk mulai memetakan data dan aliran data, bukan sebagai larangan yang sudah pasti berlaku untuk semua jenis transfer.

Sikap praktis saat ini

Selama kriteria dan mekanisme belum jelas, pendekatan hati-hati adalah menghindari pengiriman data penting ke luar negeri tanpa memastikan statusnya. Bila perlu, tanyakan kepada pembina data atau lembaga terkait.

Pelaku usaha yang memakai layanan komputasi awan global perlu memeriksa apakah data yang diolah merupakan data pemerintah dengan klasifikasi tertentu. Bila ya, tanyakan kepada pemberi kerja dan tunggu penjelasan resmi sebelum memindahkan data.

Contoh kasus

Contoh: Sebuah dinas ingin memakai layanan analitik milik penyedia asing untuk mengolah data warga. Sebelum menandatangani kontrak, petugas memeriksa klasifikasi data, bertanya kepada pembina data apakah ada data yang masuk kelompok tertutup, dan meminta penyedia menjelaskan lokasi server. Karena jawabannya belum pasti, dinas menunda hingga ada kejelasan aturan.

Hal yang sering keliru

• Mengira persetujuan DPR berlaku untuk semua jenis data.
• Mengira mekanisme dan kriteria sudah dijelaskan; sumber kami menyatakan belum.
• Menyamakan aturan ini dengan transfer data pribadi lintas negara dalam PP 33/2026.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (Pasal 162 sampai 165 menurut KRES.ID)

Dalam kategori yang sama

• UU Satu Data dan UU PDP Saat AI Memproses Data Pribadi: Mana yang Berlaku?
• UU Satu Data Indonesia dan PP 33/2026 tentang Pelindungan Data Pribadi: Mana yang Berlaku bagi Apa
• UU Satu Data Indonesia dan UU ITE: Keamanan Sistem, Pidana Siber, dan Batasnya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.