Peraturan pelaksana UU Pelindungan Data Pribadi sudah terbit. Kebocoran data wajib dilaporkan dalam 3×24 jam, dengan denda hingga 2% pendapatan tahunan.
Dua tahun setelah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku penuh, aturan pelaksananya akhirnya terbit. Peraturan Pemerintah Nomor 33 Tahun 2026 diundangkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Setiap usaha yang mengumpulkan data pelanggan lewat website — formulir kontak, akun, pesanan — termasuk yang perlu bersiap.
Poin penting PP 33/2026
| Ketentuan | Isi singkat |
|---|---|
| Pemberitahuan kebocoran | Wajib kepada pemilik data dan lembaga pengawas paling lambat 3×24 jam sejak kebocoran dipastikan. |
| Penilaian dampak (DPIA) | Wajib sebelum pemrosesan data pribadi yang berisiko tinggi. |
| Petugas pelindungan data (DPO) | Wajib ditunjuk dalam kondisi tertentu. |
| Sanksi administratif | Dapat berupa denda hingga 2% dari pendapatan tahunan. |
| Data anak | Diatur lebih rinci, termasuk persetujuan orang tua/wali. |
PP ini terdiri dari 225 pasal. Ringkasan isinya tersedia di Verihubs dan liputan Katadata.
Lembaga pengawas belum terbentuk
UU PDP mengamanatkan lembaga khusus pengawas pelindungan data. Hingga akhir Oktober 2026 lembaga itu belum berdiri — Kompas mendesak pembentukannya segera, dan persoalan ini juga dibawa ke Mahkamah Konstitusi. Sementara itu fungsi pengawasan dijalankan Kementerian Komunikasi dan Digital (Komdigi).
Kewajiban PSE ikut ditegakkan
Komdigi juga aktif menegakkan pendaftaran Penyelenggara Sistem Elektronik (PSE): 25 PSE swasta menerima surat peringatan dengan batas waktu 22 September 2026 dan ancaman pemblokiran.
Kenapa ini mendesak
Menurut data Surfshark yang dirangkum Databoks, sekitar 1,22 juta akun asal Indonesia bocor pada semester I 2026 — tertinggi di Asia Tenggara. Mulai 2027, kebocoran tidak lagi hanya masalah reputasi, tetapi juga kewajiban hukum dengan tenggat yang ketat.
Daftar periksa sebelum Januari 2027
- Petakan data: data pribadi apa yang dikumpulkan website Anda, untuk apa, dan disimpan di mana (hosting, email, spreadsheet, aplikasi pihak ketiga).
- Kebijakan privasi: pasang halaman yang jelas dan minta persetujuan sebelum mengumpulkan data.
- Batasi akses: hanya orang yang perlu yang bisa membuka data pelanggan; aktifkan verifikasi dua langkah.
- Amankan sambungan: gunakan HTTPS di semua halaman dan perbarui CMS/plugin secara rutin.
- Rencana tanggap kebocoran: siapa yang memutuskan, siapa yang dihubungi, dan templat pemberitahuan agar tenggat 3×24 jam terpenuhi.
- Hapus yang tidak perlu: data yang tidak lagi dipakai sebaiknya dihapus, bukan disimpan selamanya.
Sumber
- PP Pelindungan Data Pribadi berlaku Januari 2027 — Katadata — katadata.co.id
- Ringkasan PP 33 Tahun 2026 — Verihubs — verihubs.com
- Segera bentuk badan pelindungan data pribadi — Kompas — nasional.kompas.com
- Komdigi surati 25 PSE untuk penuhi kewajiban pendaftaran — Fortune Indonesia — fortuneidn.com
- Indonesia records highest data breaches in Southeast Asia in H1 2026 — Databoks — databoks.katadata.co.id
Ditulis berdasarkan sumber di atas per 31 Oktober 2026. Kebijakan dan angka dari pihak ketiga bisa berubah — periksa sumber aslinya untuk kabar terbaru.
Semua berita