PP 33 Tahun 2026: Kewajiban UU PDP untuk Bisnis

Tanggal penting: Peraturan Pemerintah Nomor 33 Tahun 2026 (PP 33/2026), yang melaksanakan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, diundangkan pada 16 Juli 2026. Pasal 225 menetapkan masa enam bulan sebelum mulai berlaku, sehingga tanggal berlakunya adalah 16 Januari 2027. UU PDP sendiri sudah berlaku sejak 17 Oktober 2022, dengan masa penyesuaian paling lama dua tahun berdasarkan Pasal 74. Kewajiban dasar dalam UU PDP karena itu sudah harus dijalankan sebelum PP ini mulai berlaku. UU PDP, Pasal 74 dan 76.

Pembahasan ini diperbarui pada 14 September 2026. Rujukan PP membantu bisnis mempersiapkan pelaksanaannya; rujukan UU menjelaskan kewajiban yang sudah berlaku. Periksa juga aturan khusus sektor usaha Anda.

Bisnis apa yang wajib mengikuti UU PDP?

UU PDP dan PP 33/2026 mencakup pemrosesan elektronik maupun nonelektronik. Arsip kertas, daftar pengunjung, dan dokumen hasil cetak perlu masuk dalam pemeriksaan, selain aplikasi dan database.

Cakupannya juga dapat menjangkau pihak di luar Indonesia apabila perbuatannya menimbulkan akibat hukum di Indonesia dan/atau bagi subjek data warga negara Indonesia di luar negeri. Pengecualian kegiatan pribadi atau rumah tangga tidak dapat begitu saja digunakan untuk kegiatan profesional atau komersial. Toko rumahan yang memproses data pembeli untuk usaha perlu menilai kewajibannya sebagai bisnis. Dasar: PP Pasal 1–3; UU Pasal 1–2.

Mulailah dari siapa yang menentukan penggunaan data. Perbedaan peran ini memengaruhi isi kontrak dan tanggung jawab masing-masing pihak:

• Pengendali data pribadi: menentukan tujuan dan mengendalikan pemrosesan. Contohnya perusahaan yang menentukan penggunaan data pelanggan untuk penjualan.
• Prosesor data pribadi: memproses atas nama pengendali. Contohnya penyedia penggajian yang menjalankan instruksi klien.
• Pengendali bersama: dua pihak bersama-sama menentukan tujuan dan cara pemrosesan. PP Pasal 11–12 mengatur perjanjian pembagian peran, narahubung, dan tanggung jawabnya.

Satu perusahaan dapat menjadi pengendali untuk data karyawannya dan prosesor untuk data klien. Label dalam kontrak harus diperiksa terhadap kegiatan yang benar-benar dilakukan.

Kewajiban pelindungan data menurut jenis bisnis

Cari jenis usaha yang paling dekat dengan kegiatan Anda pada tabel berikut. Gunakan kolom kewajiban untuk menentukan pemeriksaan awal dan kolom dokumen untuk menyiapkan tindak lanjut. Kebutuhan versi bilingual atau tersumpah tetap bergantung pada pembaca, tujuan penggunaan, dan persyaratan penerima.

Ukuran perusahaan bukan satu-satunya ukuran risiko. Klinik kecil tetap dapat memproses data spesifik. Perusahaan besar pun harus menilai kewajiban PPDP berdasarkan kriteria hukumnya, bukan hanya jumlah karyawan.

Apa dasar hukum untuk memakai data pelanggan?

Pasal 20 UU PDP dan Pasal 30 PP memuat enam dasar: persetujuan eksplisit yang sah, pemenuhan perjanjian, kewajiban hukum, kepentingan vital, pelaksanaan tugas kepentingan umum/pelayanan publik/kewenangan, dan kepentingan sah lainnya dengan penilaian keseimbangan yang sesuai.

Contoh penerapannya: alamat pelanggan untuk mengirim barang dapat dinilai dalam konteks pemenuhan perjanjian. Penyimpanan catatan untuk kewajiban pajak memerlukan identifikasi dasar hukum yang relevan. Penggunaan nomor yang sama untuk promosi adalah tujuan lain yang perlu dinilai tersendiri. Kontrak dengan vendor juga tidak otomatis membuat seluruh pemrosesan data pelanggan memiliki dasar perjanjian dengan pelanggan.

Jika memakai persetujuan, PP Pasal 32–37 mensyaratkan persetujuan yang bebas, sadar, spesifik, dan tidak ambigu, informasi sebelum persetujuan, bukti persetujuan, serta mekanisme penarikan. Penolakan persetujuan tidak boleh otomatis menurunkan layanan, kecuali pemrosesan memang diperlukan untuk penyediaannya. Untuk penawaran berbasis persetujuan, jelaskan pihak ketiga penerima data, bentuk penawaran, dan mekanisme pencabutan serta pelaporan.

Untuk mencatatnya, buat satu baris untuk setiap tujuan pemrosesan: jenis data, dasar hukum, penanggung jawab, penerima, retensi, dan bukti pemenuhannya. Apabila menggunakan kepentingan sah lainnya, dokumentasikan analisis dan penilaiannya sesuai PP Pasal 53–54.

Apa yang perlu dijelaskan dalam pemberitahuan privasi?

PP Pasal 62 memperluas rincian pemberitahuan untuk semua dasar pemrosesan. Informasi mencakup legalitas, tujuan, jenis dan relevansi data, retensi, rincian informasi yang dikumpulkan, jangka pemrosesan, dan hak subjek data. Secara umum informasi diberikan sebelum pemrosesan dan tersedia selama pemrosesan; terdapat aturan khusus, termasuk untuk data yang diperoleh tidak langsung.

Jangan menyalin kebijakan grup lalu hanya mengganti nama perusahaan. Periksa apakah daftar vendor, lokasi akses, tujuan penggunaan, kontak, dan retensinya sesuai dengan operasi Indonesia. PP Pasal 28 mengatur ketentuan pemrosesan internal; Pasal 68 menghubungkan dokumentasi tujuan dengan kebijakan internal dan pemberitahuan kepada subjek data.

Untuk bahasa, Pasal 22 ayat (4) UU PDP mengatur permintaan persetujuan yang memuat tujuan lain agar dapat dibedakan, mudah diakses dan dipahami, serta menggunakan bahasa sederhana dan jelas. Penjelasannya menyebut Bahasa Indonesia. Versi Inggris dapat membantu pembaca asing dan tim regional, tetapi harus konsisten dengan versi Indonesia. Ketentuan bahasa tersebut tidak dengan sendirinya mewajibkan seluruh pemberitahuan privasi memakai terjemahan tersumpah. UU PDP dan Penjelasan Pasal 22.

Apakah NDA cukup untuk melindungi dokumen klien?

Permintaan klien pada awal tulisan ini memperlihatkan mengapa percakapan tentang NDA perlu sampai ke cara kerja sehari-hari. Janji menjaga rahasia perlu diterjemahkan menjadi pengaturan akses, penggunaan, penyimpanan, dan penghapusan berkas. Sumpah jabatan penerjemah tersumpah sendiri memuat kewajiban untuk tidak mengumumkan hal yang harus dirahasiakan dalam tugasnya; lihat Permenkum 4/2025, Pasal 13 ayat (5).

PP Pasal 14 mengatur isi minimum perjanjian penunjukan prosesor: cakupan dan cara pemrosesan, jenis serta tujuan pemrosesan, jenis data, kategori subjek data, jangka waktu, hak dan kewajiban, mekanisme pengawasan/dokumentasi/audit/inspeksi, penyelesaian sengketa, pelibatan prosesor lain, dan narahubung bersama.

NDA yang hanya melarang pengungkapan belum tentu memuat seluruh unsur tersebut. Prosesor juga wajib memperoleh persetujuan tertulis sebelum melibatkan prosesor lain menurut Pasal 15. Instruksi pemrosesan harus terdokumentasi dan sesuai perjanjian menurut Pasal 139.

Periksa kontrak payroll, cloud, CRM, call center, dan penyedia penerjemahan. Catat siapa mengakses dokumen, untuk tujuan apa, apakah ada subprosesor, bagaimana insiden dilaporkan, serta bagaimana data dikembalikan, dihapus, atau dimusnahkan. Tetapkan ketentuan operasional yang benar-benar dapat dijalankan oleh vendor.

Bagaimana jika data diakses dari luar Indonesia?

Pengiriman file bukan satu-satunya aktivitas yang perlu diperiksa. PP Pasal 160 mencakup keadaan ketika pengendali membuat data tersedia bagi pengendali atau prosesor penerima di luar wilayah hukum Indonesia. Karena itu, akses tim dukungan atau kantor pusat asing juga perlu dipetakan dan dinilai.

UU Pasal 56 dan PP Pasal 165 menetapkan urutan mekanisme: tingkat pelindungan negara penerima yang setara atau lebih tinggi; jika tidak terpenuhi, pelindungan memadai yang mengikat; jika keduanya tidak terpenuhi, persetujuan subjek data.

Batas penting dalam PP Pasal 173: jalur persetujuan ini hanya dapat digunakan dengan persyaratan tertentu, termasuk transfer tidak berulang, jumlah subjek terbatas, tujuan yang tidak mengesampingkan kepentingan atau hak dan kebebasan subjek, penilaian risiko serta langkah pelindungan, dan pemberian informasi kepada Lembaga serta subjek data. Artinya, persetujuan umum saat pendaftaran tidak boleh diasumsikan cukup untuk transfer CRM atau payroll yang berlangsung rutin.

PP Pasal 161–164 juga mengatur pemetaan, penilaian instrumen dan risiko sebelum transfer, serta informasi kepada subjek data. Pasal 169–171 mengatur instrumen seperti standar klausul kontrak dan peraturan korporasi yang mengikat. Standar klausul ditetapkan oleh Lembaga; penggunaan peraturan korporasi yang mengikat memerlukan persetujuan Lembaga sebelum transfer. Jangan menganggap template GDPR asing otomatis memenuhi mekanisme Indonesia.

Untuk koordinasi dengan mitra asing, siapkan versi bahasa yang konsisten dari peta transfer, penilaian risiko, perjanjian pemrosesan/transfer, kebijakan grup, dan informasi untuk subjek data. Penasihat hukum menentukan kecukupan mekanismenya; penerjemah menjaga kesetaraan bahasa.

Kapan bisnis perlu penilaian dampak dan PPDP?

Penilaian dampak diwajibkan untuk pemrosesan berpotensi risiko tinggi. UU Pasal 34 dan PP Pasal 120 mencakup, antara lain, data spesifik, pemrosesan skala besar, keputusan otomatis dengan akibat hukum/dampak signifikan, penskoran atau pemantauan sistematis, penggabungan kelompok data, dan teknologi baru. PP Pasal 121 mengatur penilaian sebelum pemrosesan, dokumentasi risiko dan mitigasi, serta peninjauan jika risiko berubah.

PPDP, atau pejabat/petugas pelindungan data pribadi, wajib ditunjuk ketika kriteria Pasal 142 terpenuhi: pelayanan publik; kegiatan inti yang memerlukan pemantauan teratur dan sistematis skala besar; dan/atau kegiatan inti berupa pemrosesan skala besar atas data spesifik atau data terkait tindak pidana. Kriteria tersebut tidak harus terkumpul sekaligus. Pembacaan UU Pasal 53 juga harus memperhatikan Putusan MK 151/PUU-XXII/2024 yang dicatat BPK.

PP Pasal 143–146 mengatur kompetensi, penunjukan, akses pelaporan ke manajemen tertinggi, independensi, sumber daya, dan pencegahan konflik kepentingan. Menunjuk seseorang dalam surat saja tidak menyelesaikan kewajiban operasionalnya.

Menangani permintaan, penyimpanan, dan kebocoran data

Sediakan kanal permintaan yang mudah diakses, verifikasi secara proporsional, dan catat waktu penerimaan. Jangan menganggap semua permintaan memiliki tenggat yang sama. PP Pasal 71 menetapkan maksimal 3 × 24 jam sejak permintaan diterima untuk pembaruan/perbaikan; Pasal 77 mengatur tenggat akses. Pasal 78 membedakan penyerahan salinan pada kesempatan pertama dengan konfirmasi dan penyampaian jangka waktu penyediaan salinan.

Keamanan perlu diterapkan sejak perencanaan. PP Pasal 123–124 mengatur langkah teknis dan operasional sesuai risiko, pemulihan akses/ketersediaan, serta pengujian. Contoh penerapan: pembatasan hak akses, autentikasi berlapis, enkripsi yang sesuai, pencadangan, pengujian pemulihan, dan pencabutan akses saat pegawai keluar.

Tetapkan retensi per kategori dokumen dan dasar penyimpanannya. PP Pasal 79–88 mengatur pengakhiran, penghapusan, pemusnahan, pemberitahuan, dan keterlibatan prosesor. Jangan menetapkan penyimpanan selamanya atau penghapusan otomatis tanpa mempertimbangkan kewajiban hukum yang berlaku. Pasal 138 juga memasukkan dokumentasi seluruh kegiatan pemrosesan serta audit internal dan eksternal dalam pertanggungjawaban pengendali.

Jika terjadi kegagalan pelindungan data, UU Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 × 24 jam kepada subjek data dan Lembaga. PP Pasal 114 memperjelas bahwa penghitungannya sejak kegagalan diketahui secara pasti, patut, dan wajar. Isi minimum meliputi data yang terungkap, kapan dan bagaimana, upaya penanganan/pemulihan, serta informasi PPDP atau narahubung. Pasal 115 mengatur pemberitahuan kepada masyarakat untuk kondisi tertentu; Pasal 118 mewajibkan prosesor melapor kepada pengendali pada kesempatan pertama.

Siapkan templat notifikasi Indonesia–Inggris, kontak eskalasi, pembagian tugas, dan simulasi insiden. Templat perlu diisi dengan fakta terverifikasi saat kejadian. Proses penerjemahan harus masuk dalam rencana respons agar komunikasi lintas negara tidak menunda pemenuhan tenggat.

Apa sanksi pelanggaran UU PDP?

UU Pasal 57 serta PP Pasal 184–185 mengatur peringatan tertulis, penghentian sementara pemrosesan, penghapusan/pemusnahan, dan/atau denda administratif. Batas denda adalah paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Ini bukan tarif otomatis 2% untuk setiap kesalahan, dan bukan 2% dari laba. PP memuat faktor seperti dampak, durasi, jenis data, jumlah subjek, kerja sama, skala usaha, kemampuan membayar, dan riwayat kepatuhan.

Bagi bisnis, berhentinya pemrosesan juga dapat mengganggu layanan. Karena itu, bukti penerapan kebijakan, pengawasan vendor, penanganan permintaan, dan perbaikan kelemahan sama pentingnya dengan dokumen kebijakannya.

Dari mana bisnis sebaiknya mulai?

Mulailah dengan satu alur dokumen yang benar-benar berjalan di perusahaan, misalnya penerimaan CV atau pengiriman data ke penyedia payroll. Telusuri dari dokumen diterima sampai dihapus. Urutan berikut membantu membagi pekerjaan; temuan yang mendesak tetap perlu ditangani segera.

Kapan menggunakan penerjemahan tersumpah?

Untuk dokumen yang akan dibaca tim Indonesia dan mitra asing, ketepatan istilah perlu diperiksa bersama tujuan penggunaan dokumennya. Berikut kebutuhan yang berbeda-beda itu:

Terjemahan tersumpah tidak mengesahkan praktik pemrosesan yang tidak sah dan tidak menggantikan penilaian penasihat hukum. Namun, ketika status atau formalitas tersebut dibutuhkan, pemilihan penerjemah sejak awal membantu mengurangi pekerjaan ulang.

Kembali ke permintaan klien saya: NDA membantu mencatat kesepakatan, tetapi penjelasan tentang penanganan dokumenlah yang membuatnya dapat dijalankan. Untuk dokumen bilingual, rincian seperti batas akses, masa penyimpanan, kewajiban penghapusan, dan pengecualian harus terbaca sama dalam kedua bahasa. Di situlah pekerjaan penerjemahan saya berkaitan langsung dengan pelaksanaan kesepakatan.

Pertanyaan yang sering diajukan

Apakah UMKM wajib mengikuti UU PDP?

Ya, jika usaha memproses data pribadi dalam cakupan UU PDP. Contohnya penggunaan nama, nomor telepon, atau alamat pembeli untuk penjualan. Status UMKM atau usaha rumahan tidak otomatis masuk pengecualian kegiatan pribadi atau rumah tangga. Lihat UU Pasal 2.

Apakah semua perusahaan harus memiliki PPDP?

Tidak semua perusahaan wajib menunjuk PPDP. Kewajibannya mengikuti kriteria UU Pasal 53 sebagaimana dimaknai MK dan PP Pasal 142, termasuk pemantauan teratur dan sistematis skala besar sebagai kegiatan inti. Perusahaan tetap perlu membagi tanggung jawab pengelolaan data meskipun tidak wajib menunjuk PPDP.

Apakah penggunaan cloud asing dilarang?

Tidak dilarang secara umum. Bisnis perlu menilai aliran data, penerima, mekanisme transfer, dan aturan sektornya. PP Pasal 160–173 mengatur transfer ke luar negeri; lokasi server saja belum menentukan apakah seluruh persyaratan sudah dipenuhi.

Apakah privacy policy berbahasa Inggris saja sudah cukup?

Belum tentu. Permintaan persetujuan harus memenuhi ketentuan bahasa yang mudah dipahami; Penjelasan Pasal 22 UU PDP menyebut Bahasa Indonesia. Versi Inggris dapat mendampingi versi Indonesia untuk pembaca asing, dengan isi yang sesuai praktik bisnis sebenarnya.

Apakah semua dokumen PDP perlu terjemahan tersumpah?

Tidak. Ketentuan PDP yang dibahas di sini tidak mewajibkan semua dokumen diterjemahkan secara tersumpah. Periksa tujuan penggunaan, syarat instansi penerima, kontrak, dan ketentuan hukum yang berlaku pada dokumen tersebut.

Apakah penerjemah tersumpah tetap perlu NDA?

Kewajiban kerahasiaan sudah melekat pada sumpah jabatan penerjemah tersumpah. NDA dapat memperjelas kesepakatan dengan klien. Jika penugasan melibatkan pemrosesan data pribadi atas nama klien, perjanjian juga perlu mengatur tanggung jawab pemrosesan yang relevan; larangan pengungkapan saja belum tentu cukup. Lihat PP 33/2026 Pasal 14–15.

---

Sumber: PP No. 33 Tahun 2026, khususnya pasal-pasal yang dirujuk dalam artikel, dalam naskah 120 halaman PP 33/2026 — PDF Bahasa Indonesia; katalog PP 33/2026; UU No. 27 Tahun 2022 dan penjelasannya, JDIH Komdigi; catatan Putusan MK pada katalog UU PDP, BPK.

Artikel ini memberikan informasi umum. Penilaian kepatuhan harus mempertimbangkan kegiatan, sektor, aturan pelaksana terbaru, dan keadaan perusahaan. Penerjemahan mendukung ketepatan komunikasi dan dokumentasi; keputusan hukumnya tetap perlu ditangani pihak yang berwenang.