UU Satu Data Indonesia dan UU PDP: Data Pemerintah, Data Pribadi, dan Batasnya

Dua undang-undang, dua fokus

UU PDP, yaitu UU Nomor 27 Tahun 2022, mengatur pelindungan data pribadi: hak subjek data, kewajiban pengendali dan prosesor, serta sanksi. Fokusnya adalah orang yang datanya diproses.

UU SDI, menurut pemberitaan, mengatur tata kelola data pemerintah agar seragam, terhubung, dan aman. Fokusnya adalah data sebagai aset negara dan mekanisme pengelolaannya.

Keduanya bersinggungan karena data pemerintah sering memuat data pribadi warga, misalnya data kependudukan dan penerima bantuan. Pembedaan ini membantu pembaca menentukan undang-undang mana yang relevan ketika menghadapi masalah tertentu. Pembaca tidak perlu menunggu aturan baru untuk mulai memahami hak dan kewajiban dalam UU PDP.

UU PDP tetap rezim khusus

Dalam bahan yang kami pegang, ditegaskan bahwa UU SDI menyentuh perlindungan data pribadi, tetapi sumber tidak menjelaskan hubungan rincinya. Karena itu pembaca sebaiknya memahami UU PDP tetap menjadi rezim khusus data pribadi.

Tidak ada pemberitaan yang menyebut UU SDI mengubah, mencabut, atau mengurangi UU PDP. Menyimpulkan sebaliknya adalah spekulasi.

Jika suatu data pemerintah berisi data pribadi, kewajiban UU PDP, misalnya dasar pemrosesan dan pelindungan, perlu tetap dipenuhi. Ini sesuai dengan pemahaman bahwa undang-undang khusus tetap berlaku sepanjang tidak dicabut atau diubah secara tegas. Pembaca perlu memeriksa naskah resmi untuk melihat apakah ada pasal yang menyinggung hubungan tersebut.

Perkembangan UU PDP dan PP 33/2026

UU PDP diundangkan pada 17 Oktober 2022, dengan masa transisi dua tahun sehingga efektif penuh sejak 17 Oktober 2024. Pelaksananya, PP 33/2026, menurut KRES.ID diundangkan 16 Juli 2026 dan berlaku mulai 16 Januari 2027.

PP tersebut disebut berlaku bagi pengendali dan prosesor swasta maupun publik. Artinya instansi pemerintah yang mengelola data pribadi juga terikat.

Lembaga pengawas pelindungan data pribadi masih belum jelas pembentukannya, dan praktisi mendesak lembaga yang independen menurut Bisnis.com. Karena belum ada otoritas yang jelas, pengaduan warga saat ini bergantung pada jalur yang tersedia dan perlu menunggu kepastian kelembagaan. Hal ini perlu diikuti karena kejelasan lembaga akan memengaruhi penegakan aturan di lapangan.

Titik singgung dalam praktik

Bayangkan data penerima bantuan sosial. Dalam kerangka Satu Data, data itu distandarkan dan dihubungkan. Dalam kerangka UU PDP, data itu mengandung data pribadi yang harus diproses sah, aman, dan sesuai tujuan.

Kedua kerangka dapat berjalan bersama: standar data memudahkan pencocokan, sementara pelindungan data pribadi menjaga agar pencocokan tidak menyalahi hak warga.

Pembenahan lebih lanjut akan bergantung pada peraturan pelaksana yang belum terbit. Kolaborasi antara tim data dan tim hukum menjadi kunci agar kedua kerangka tidak berjalan sendiri-sendiri. Pencocokan data lintas instansi juga perlu dicatat agar dapat dipertanggungjawabkan kepada warga bila diminta.

Kebocoran dan pelaporan insiden

Menurut pemberitaan, UU SDI mewajibkan pelaporan insiden keamanan data paling lambat 1x24 jam. Sementara itu, PP 33/2026 menurut KRES.ID mewajibkan notifikasi kebocoran tertulis paling lambat 3x24 jam kepada subjek data dan lembaga.

Perbedaan batas waktu ini tidak berarti bertentangan; keduanya dapat menjangkau pihak atau situasi yang berbeda. Kami belum menemukan penjelasan resmi tentang cara keduanya diselaraskan.

Instansi sebaiknya mengambil batas waktu yang lebih ketat dan menyiapkan prosedur pelaporan yang dapat memenuhi keduanya. Latihan simulasi insiden secara berkala membantu tim memahami siapa melapor kepada siapa dan dalam berapa jam.

Sanksi yang berbeda

Sanksi UU SDI, menurut pemberitaan, berjenjang dari administratif sampai pidana, dengan Pasal 133 mengancam pidana penjara hingga 15 tahun bagi serangan terhadap pusat data nasional dan infrastruktur SDI.

PP 33/2026 menurut KRES.ID mengatur sanksi administratif, termasuk denda administratif paling banyak 2 persen dari pendapatan atau penerimaan tahunan. UU PDP sendiri memuat ketentuan pidana yang perlu dicek pada naskahnya.

Perlu dibedakan sasaran masing-masing: pidana dalam UU SDI berkaitan dengan infrastruktur data nasional, sedangkan UU PDP berkaitan dengan pemrosesan data pribadi. Pembaca perlu mencermati apakah suatu perbuatan menyerang infrastruktur data nasional atau menyalahgunakan data pribadi, karena dasar hukumnya dapat berbeda. Perbandingan seperti ini hanya gambaran umum dan perlu diperiksa pada naskah masing-masing.

Langkah praktis

Pengelola data pemerintah dan swasta sebaiknya memetakan data pribadi yang dikelola, menentukan dasar pemrosesan, menyiapkan prosedur insiden, dan menunjuk penanggung jawab pelindungan data bila diwajibkan.

Warga dapat memeriksa hak-haknya, termasuk hak mengakses dan memperbaiki data pribadi, sesuai UU PDP. Bila data disalahgunakan, simpan bukti dan gunakan jalur pengaduan yang tersedia.

Untuk kasus konkret, konsultasikan dengan advokat atau lembaga bantuan hukum karena tulisan ini bukan nasihat hukum. Kehati-hatian ini penting karena kesalahan penanganan data pribadi dapat berujung pada sanksi dan hilangnya kepercayaan publik.

Contoh kasus

Contoh: Sebuah pemerintah kota menggabungkan data warga penerima subsidi dengan data dinas lain. Bagian teknologi mengikuti standar Satu Data agar data dapat dicocokkan. Bagian hukum memastikan dasar pemrosesan, membatasi akses, dan menyiapkan prosedur bila terjadi kebocoran sesuai UU PDP.

Hal yang sering keliru

• Mengira UU SDI menggantikan UU PDP untuk data pribadi.
• Mengira data pribadi dalam sistem pemerintah tidak lagi dilindungi karena sudah masuk Satu Data.
• Menyamakan batas waktu pelaporan 1x24 jam dan 3x24 jam tanpa memeriksa pihak yang diwajibkan.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• PP Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• UU Satu Data Indonesia dan UU Statistik: Siapa Mengatur Data Resmi?
• UU Satu Data Indonesia untuk Jurnalis dan Pegiat Keterbukaan: Peluang dan Kewaspadaan
• UU Satu Data Indonesia untuk Pemerintah Desa: Data Desa, Musyawarah, dan Tanggung Jawab

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.