UU Satu Data Indonesia dan PP 33/2026 tentang Pelindungan Data Pribadi: Mana yang Berlaku bagi Apa

Dua aturan, dua lingkup

UU SDI, menurut pemberitaan, disahkan DPR pada 6 Oktober 2026 dan mengatur tata kelola data pemerintah dengan 20 bab dan 141 pasal. PP 33/2026, menurut KRES.ID, diundangkan 16 Juli 2026 sebagai pelaksana UU PDP dengan 225 pasal.

Lingkupnya berbeda. UU SDI bertumpu pada data pemerintah dan infrastrukturnya, sedangkan PP 33/2026 bertumpu pada data pribadi di tangan pengendali dan prosesor, baik swasta maupun publik.

Bagi pembaca awam, perbedaan ini cukup dipahami sebagai perbedaan sasaran: data pemerintah di satu sisi dan data pribadi di sisi lain, dengan irisan pada data pribadi di dalam sistem pemerintah.

Yang dikatakan sumber

Sumber tidak menjelaskan hubungan rinci antara UU SDI dan UU PDP beserta aturan pelaksananya. Karena itu uraian ini adalah analisis redaksi, bukan isi undang-undang.

Redaksi tidak menyatakan bahwa UU SDI mengubah PP 33/2026. Satu-satunya hubungan yang disebut sumber adalah bahwa UU SDI menyentuh perlindungan data pribadi.

Jenjang aturan juga berbeda: undang-undang lebih tinggi daripada peraturan pemerintah. Namun peringkat saja tidak menjawab bagaimana kedua aturan dipakai bersamaan. Karena itu, bila Anda membaca klaim bahwa PP 33/2026 dibatalkan atau digantikan UU SDI, periksa sumbernya. Sumber yang kami baca tidak menyatakan demikian.

Lapor insiden: 1x24 jam dan 3x24 jam

Menurut pemberitaan, UU SDI mewajibkan insiden keamanan data dilaporkan paling lambat 1x24 jam. Menurut KRES.ID, Pasal 114 PP 33/2026 mengatur notifikasi tertulis kebocoran data pribadi paling lambat 3x24 jam kepada subjek data dan Lembaga.

Kedua kewajiban tampak berbeda objek dan penerimanya. Pihak yang wajib melapor, penerima laporan, dan definisi insiden dalam UU SDI belum dirinci. Hindari menyimpulkan satu menggantikan yang lain.

Menurut KRES.ID, PP 33/2026 juga mewajibkan pengendali data memberitahukan kepada subjek data dan Lembaga, serta mengumumkan kepada publik dalam kondisi tertentu. Detail kondisi itu perlu dibaca pada teks resmi.

• Siapa yang wajib melapor.
• Kepada siapa laporan ditujukan.
• Apa yang dihitung sebagai insiden.
• Apakah dua kewajiban berjalan bersamaan.

Lembaga pengawas

Menurut pemberitaan, UU SDI membentuk Lembaga Penyelenggara SDI paling lama satu tahun. PP 33/2026 hanya menyebut Lembaga tanpa nama, dan praktisi mendesak otoritas independen, menurut Bisnis.com.

Bila ada dua lembaga yang terkait, pembagian wewenang perlu diperjelas. Sampai saat ini tidak ada sumber yang menyatakan lembaganya sama atau berbeda.

Lembaga pengawas yang kuat dinilai penting karena banyak ketentuan PP 33/2026 bergantung pada peraturan lembaga, menurut Bisnis.com dan KRES.ID. Tanpa lembaga, penerapan bisa tersendat.

Sanksi

Menurut KRES.ID, PP 33/2026 mengatur sanksi administratif, termasuk denda maksimal 2 persen pendapatan tahunan pada Pasal 185. Menurut pemberitaan, UU SDI mengatur sanksi administratif hingga pidana, dengan pidana penjara hingga 15 tahun untuk serangan pada infrastruktur tertentu.

Dua rezim sanksi ini menyasar perbuatan yang berbeda. Satu kejadian dapat menyentuh keduanya, misalnya serangan siber pada sistem yang memuat data pribadi warga.

Pertimbangan sanksi administratif, menurut KRES.ID, mencakup dampak, durasi, jumlah korban, kooperasi, dan skala usaha. Ini berbeda dari rumusan pidana yang menekankan perbuatan tertentu.

Dampak praktis

Pengendali data swasta dan publik tetap perlu mengikuti PP 33/2026 setelah berlaku. Instansi pemerintah juga perlu menyesuaikan sistem dengan standar SDI. Pelaku usaha yang bermitra dengan instansi perlu mengikuti kedua kerangka.

Pilihan aman adalah menyusun satu prosedur insiden berdasarkan batas waktu yang paling ketat, lalu menyesuaikannya bila peraturan pelaksana SDI terbit.

Bagi usaha kecil, skala usaha dikabarkan menjadi pertimbangan sanksi, tetapi kewajiban dasar tetap ada. Mulailah dari pencatatan data dan prosedur insiden yang sederhana.

Hal yang perlu dipantau

Pantau naskah resmi UU SDI, peraturan lembaga untuk PP 33/2026, dan pembentukan lembaga pengawas. Perhatikan pula apakah ada rujukan silang antarperaturan.

Bila Anda pengelola data, catat setiap dasar hukum dalam kebijakan internal dan perbarui bila ada perubahan. Dokumentasi seperti ini berguna saat audit.

Praktisi yang dikutip Bisnis.com juga menekankan perlunya otoritas independen. Pendapat ini menunjukkan bahwa kejelasan kelembagaan akan menentukan efektivitas kedua aturan. Sebagai penutup, jadikan naskah resmi sebagai rujukan utama dan anggap pemberitaan sebagai petunjuk awal. Bila ada perbedaan, naskah resmi yang berlaku, dan peraturan pelaksana dapat menambah rincian yang belum tampak sekarang. Simpan catatan sumber yang Anda pakai.

Contoh kasus

Contoh: Sebuah pemerintah daerah mengelola portal layanan yang memuat data pribadi warga. Tim teknisnya menyusun satu prosedur insiden yang memakai batas waktu paling ketat, mencatat siapa yang melapor dan kepada siapa, dan menyiapkan templat pemberitahuan kepada warga. Mereka akan meninjau prosedur itu setelah naskah resmi UU SDI dan peraturan lembaga terbit. Dokumen prosedur itu ia lampirkan pada kebijakan keamanan resmi pemerintah daerah. Ilustrasi ini fiktif.

Hal yang sering keliru

• Mengira UU SDI mengganti PP 33/2026. Faktanya sumber tidak menyebut demikian.
• Mengira 1x24 jam dan 3x24 jam adalah hal yang sama. Faktanya berasal dari aturan berbeda.
• Mengira PP 33/2026 sudah berlaku. Faktanya menurut KRES.ID berlaku mulai 16 Januari 2027.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• UU Satu Data Indonesia dan UU ITE: Keamanan Sistem, Pidana Siber, dan Batasnya
• UU Satu Data Indonesia dan UU Keterbukaan Informasi Publik: Hubungannya
• UU Satu Data Indonesia dan UU PDP: Apa Bedanya dan Apa Artinya bagi Data Pribadi Warga

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.