UU PDP tidak selesai dengan satu map dokumen

Sebuah organisasi menyewa konsultan, menerima map berisi kebijakan privasi, formulir persetujuan, dan prosedur internal. Semua rapi. Lalu seorang staf mengirim ekspor data penerima manfaat lewat tautan spreadsheet yang bisa dibuka siapa saja yang memegang tautannya.

Dokumennya ada. Kepatuhannya belum.

Tulisan ini berpendapat bahwa kepatuhan terhadap UU Pelindungan Data Pribadi dimulai dari dua hal yang bisa diperiksa: tahu data apa yang kamu pegang, dan mengatur akses ke data itu. Dokumen datang sesudahnya, untuk menjelaskan apa yang sudah kamu kerjakan.

Status hukum, diperiksa 13 November 2026

Pernyataan hukum perlu tanggal. Ini yang kami temukan hari ini.

• UU 27/2022 diundangkan pada 17 Oktober 2022. Pasal 74 memberi waktu paling lama 2 (dua) tahun sejak diundangkan bagi pengendali dan prosesor data untuk menyesuaikan diri. Menurut hitungan kami, masa itu berakhir pada 17 Oktober 2024.
• Pasal 58 menyatakan penyelenggaraan pelindungan data pribadi dilaksanakan oleh sebuah lembaga yang ditetapkan Presiden. Rincian lembaga itu diatur dengan Peraturan Presiden.
• Menurut pemberitaan Kompas.com tanggal 5 November 2026, lembaga itu belum terbentuk. Komdigi menyatakan rancangan Perpres sudah diajukan kepada Presiden, tetapi belum ditetapkan. Selama itu, fungsi pelindungan data pribadi dijalankan Kementerian Komdigi melalui Direktorat Jenderal Pengawasan Ruang Digital. Komdigi juga menyampaikan bahwa ketiadaan batas waktu pembentukan lembaga tidak berarti kekosongan hukum.
• Peraturan Pemerintah Nomor 33 Tahun 2026, aturan pelaksana UU PDP, dilaporkan ditetapkan 16 Juli 2026 dan berlaku mulai 16 Januari 2027. Kami menemukannya lewat ringkasan sumber sekunder dan belum menemukan teks di situs resmi. Baca teks resminya sebelum bertindak.

Artinya apa? Kami tidak akan menyebut UU ini “berlaku penuh”, karena lembaga pengawasnya belum berdiri dan aturan pelaksananya baru berlaku sebentar lagi. Kami juga tidak akan menyebutnya “belum berlaku”. Kewajiban dalam undang-undangnya sudah tertulis, dan masa penyesuaiannya sudah lewat. Tafsir yang aman bagi organisasi: kewajiban itu sudah ada, penegakannya yang masih menyusun diri.

Kami bukan kantor hukum. Untuk keputusan hukum, tanyakan penasihat hukummu.

Siapa yang terkena

Pasal 1 mendefinisikan pengendali data pribadi sebagai setiap orang, badan publik, dan organisasi internasional yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi. Definisi itu tidak mengecualikan NGO, yayasan, atau organisasi kecil. Bila organisasimu menyimpan data anggota, donatur, atau penerima manfaat dan menentukan untuk apa data itu dipakai, kamu masuk dalam definisi tersebut.

Kewajiban yang bersifat teknis

Baca pasal-pasalnya dengan satu pertanyaan: apa yang harus bisa kamu tunjukkan?

• Pasal 31: pengendali wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi. Tanpa daftar data dan alurnya, kamu tidak punya apa yang direkam.
• Pasal 35: pengendali wajib menyusun dan menerapkan langkah teknis operasional untuk melindungi data, serta menentukan tingkat keamanan sesuai sifat dan risiko data.
• Pasal 37: pengendali wajib mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendalinya. Menurut pembacaan kami, itu mencakup vendor, pengembang, dan penyedia hosting yang menyentuh data.
• Pasal 39: pengendali wajib mencegah akses tidak sah, dengan sistem keamanan yang andal, aman, dan bertanggung jawab.
• Pasal 34: penilaian dampak wajib dilakukan bila pemrosesan berisiko tinggi, dan ayat (2) menyebut contohnya: pemrosesan data pribadi yang bersifat spesifik, pemrosesan dalam skala besar, serta penggunaan teknologi baru. Pasal 4 ayat (2) menggolongkan data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi sebagai data spesifik. Bila organisasimu mengumpulkan salah satunya, periksa daftar ini.

Perhatikan kata kerjanya: merekam, menerapkan, mengawasi, mencegah. Semuanya pekerjaan, bukan dokumen.

Bila terjadi kegagalan

Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan kepada lembaga bila terjadi kegagalan pelindungan data pribadi. Isi minimalnya: data apa yang terungkap, kapan dan bagaimana terungkap, dan upaya penanganan serta pemulihan.

Coba jawab 3 pertanyaan itu sekarang untuk salah satu sistemmu. Bisa kamu isi dalam 72 jam bila sistem itu bocor besok? Orang yang tidak tahu data apa yang ia simpan dan di mana, tidak bisa menjawab “data apa yang terungkap”. Itu alasan inventaris datang lebih dulu.

Taruhan sanksi

Pasal 57 memuat sanksi administratif atas pelanggaran sejumlah pasal di atas, termasuk Pasal 35, 37, 39 ayat (1), dan 46 ayat (1). Bentuknya peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Dendanya paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga.

Kami sengaja tidak membahas sanksi pidana di sini. Itu perkara tersendiri dan layak dibaca langsung di bab ketentuan pidana undang-undangnya.

Mengapa inventaris yang pertama

Semua pasal di atas bergantung pada satu hal: kamu tahu apa yang kamu pegang. Perekaman kegiatan pemrosesan, tingkat keamanan menurut risiko, pengawasan vendor, dan pemberitahuan insiden, tidak satu pun bisa dikerjakan dari ingatan.

Inventaris juga murah. Ia butuh spreadsheet, beberapa jam, dan kejujuran. Hasilnya langsung terpakai: kamu melihat sendiri data yang tersimpan di tempat yang tidak semestinya.

Urutan kerja yang kami sarankan

1. Inventaris. Daftar semua tempat data pribadi tersimpan: basis data, spreadsheet, surel, ponsel staf, cadangan, layanan pihak ketiga. Untuk setiap tempat, catat jenis data, tujuan, pemilik, dan siapa yang punya akses.
2. Kurangi. Tanyakan untuk setiap kolom: apakah kita benar-benar perlu ini? Data yang tidak kamu simpan tidak bisa bocor.
3. Atur akses. Cabut akses staf yang sudah pindah. Matikan tautan terbuka. Pakai autentikasi dua langkah di akun yang memegang data.
4. Lindungi. Enkripsi perangkat dan cadangan. Uji pemulihan cadangan sekali.
5. Tulis dokumennya. Kebijakan, prosedur insiden, perjanjian dengan vendor. Sekarang dokumen itu menjelaskan kenyataan, bukan harapan.

Banyak organisasi memulai dari langkah 5 karena hasilnya terlihat dan bisa diserahkan ke donor atau auditor. Kami memahami godaannya. Tetapi dokumen yang tidak cocok dengan kenyataan justru menjadi bukti bahwa kewajiban Pasal 47, menunjukkan pertanggungjawaban, tidak terpenuhi.

Yang dapat kamu kerjakan minggu ini

Ambil 1 spreadsheet, formulir, atau basis data yang memuat data orang. Tulis 4 hal: apa isinya, siapa yang bisa membukanya, kapan terakhir kali daftar itu diperiksa, dan kapan data lama boleh dihapus. Kalau kamu tidak bisa menjawab salah satunya, itu langkah berikutnya.

Bila kamu ingin teman bicara untuk menyusun inventaris itu, tulis lewat halaman kontak.