Peraturan Pemerintah Nomor 33 Tahun 2026 resmi menjadi aturan pelaksana Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Regulasi ini mulai berlaku efektif pada 16 Januari 2027 setelah ditetapkan pada 16 Juli 2026.
Bagi perusahaan, startup, lembaga pendidikan, klinik, e-commerce, atau organisasi yang memproses data pribadi, PP 33 Tahun 2026 bukan lagi sekadar lampiran hukum yang bisa diabaikan. Regulasi ini memperjelas klasifikasi data, dasar pemrosesan yang sah, hak subjek data, kewajiban pengendali data dan pemroses data, mekanisme pelanggaran data, serta sanksi administratif yang mulai bernasib nyata.
Artikel ini membahas poin-poin utama PP 33 Tahun 2026 dan implikasi praktisnya bagi organisasi yang memproses data pribadi di Indonesia.
Latar belakang PP 33 Tahun 2026
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi telah ada sejak tahun 2022. Namun, banyak ketentuan memerlukan peraturan pelaksana agar implementasinya tidak hanya menjadi prinsip umum di atas kertas.
PP 33 Tahun 2026 berfungsi mengisi kekosongan tersebut dengan mengatur:
klasifikasi data pribadi,
dasar pemrosesan yang diakui hukum,
hak subjek data,
kewajiban pengendali data,
kewajiban pemroses data,
notifikasi pelanggaran data,
tata cara kerja otoritas pengaturan,
sanksi administratif, dan
mekanisme penyelesaian pelanggaran.
Dengan keluarnya PP ini, organisasi kini memiliki acuan yang lebih jelas untuk menyesuaikan kebijakan internal, sistem informasi, kontrak, dan prosedur operasional.
Klasifikasi data pribadi
PP 33 Tahun 2026 memperjelas bahwa data pribadi bukan kategori tunggal. Ada perbedaan antara data pribadi umum dan data pribadi khusus yang memerlukan perlindungan lebih tinggi.
Data pribadi umum
Contoh:
Nama
Alamat
Nomor telepon
Tanggal lahir
Jenis kelamin
Pekerjaan
Data pribadi khusus
Data pribadi khusus umumnya lebih sensitif karena keterikatan dengan hak asasi, kesehatan, keuangan, atau keamanan seseorang.
Contoh:
Data kesehatan dan riwayat medis
Data keuangan
Data biometrik
Data anak
Data kriminal
Data politik atau keanggotaan organisasi
Data lokasi secara real time
Data ras atau etnis
Data keyakinan
Pemrosesan data pribadi khusus biasanya memerlukan konsen yang lebih eksplisit, kontrol akses yang lebih ketat, retensi yang jelas, dan dokumentasi yang lebih baik.
Dasar pemrosesan data pribadi yang sah
Pemrosesan data pribadi tidak bisa dilakukan dengan alasan apapun. PP 33 Tahun 2026 menegaskan bahwa pemrosesan harus didasari oleh salah satu landasan hukum yang diakui.
Dasar pemrosesan yang umum diakui:
Konsen: subjek data memberikan persetujuan yang jelas untuk tujuan tertentu.
Kontrak: pemrosesan diperlukan untuk memenuhi kontrak atau langkah sebelum kontrak.
Kewajiban hukum: pemrosesan diperlukan untuk memenuhi kewajiban hukum.
Kepentingan vital: pemrosesan diperlukan untuk melindungi keselamatan hidup atau kesehatan.
Kepentingan publik: pemrosesan untuk keperluan publik yang sah.
Kepentingan legitimasi: pemrosesan untuk kepentingan yang sah dan tidak bertentangan dengan hak subjek data.
Konsen bukanlah lisensi untuk melakukan apa saja. Konsen harus spesifik, dapat dibuktikan, dapat ditarik kembali, dan tidak boleh dibuat untuk menutupi praktik pemrosesan yang tidak sesuai dengan tujuan yang dijanjikan.
Beberapa dalih yang dulu kerap dipakai justru tidak lagi berlaku kuat setelah regulasi ini semakin diterapkan:
“Kita sudah ada kebijakan internal.”
“Semua orang sudah baca syarat dan ketentuan.”
“Data dipakai hanya untuk operasional.”
“Kita tidak menyimpan data sensitif.”
Regulasi menuntut agar dasar pemrosesan dapat dipertanggungjawabkan, bukan hanya diungkapkan dalam klausul pasif.
Hak subjek data
Subjek data memiliki hak yang harus dihormati oleh pengendali data dan pemroses data.
Hak tersebut antara lain:
Hak informasi: mengetahui cara data diproses, siapa yang memproses, dan tujuan pemrosesan.
Hak akses: meminta salinan data pribadi yang diproses.
Hak koreksi: meminta perbaikan data yang tidak akurat.
Hak penghapusan: meminta penghapusan data dalam kondisi tertentu.
Hak pembatasan: meminta pembatasan pemrosesan tertentu.
Hak portabilitas: meminta data dalam format yang bisa dipindah.
Hak keluhan: mengajukan keluhan jika ada indikasi pelanggaran.
Organisasi yang menerima permintaan dari subjek data perlu memiliki alur penanganan yang jelas. Proses ini tidak boleh bergantung pada satu orang yang bisa tidak terjaga saat sedang liburan atau sakit.
Kewajiban pengendali data
Pengendali data adalah pihak yang menentukan tujuan dan cara pemrosesan data pribadi.
PP 33 Tahun 2026 menegaskan beberapa kewajiban utama:
Menetapkan kebijakan dan prosedur perlindungan data pribadi.
Menunjuk perlindungan data jika diperlukan.
Melakukan assessment atau audit perlindungan data pribadi.
Memberitahu data breach kepada otoritas dan subjek data jika memenuhi ambang batas.
Mencatat aktivitas pemrosesan data.
Menjaga kerahasiaan data pribadi.
Menyediakan mekanisme permohonan hak subjek data.
Memastikan konsen yang sah dan terdokumentasi.
Melindungi data sejak tahap perancangan sistem.
Kewajiban ini bukan cuma milik departemen hukum atau IT. Aspek teknis, operasional, dan manajemennya perlu ikut ditangani.
Kewajiban pemroses data
Pemroses data adalah pihak yang memproses data pribadi atas nama pengendali data.
Kewajiban pemroses data antara lain:
Melaksanakan instruksi pengendali data sesuai kesepakatan.
Menjamin keamanan data pribadi.
Tidak menggunakan data pribadi untuk tujuan lain.
Menghapus atau mengembalikan data setelah hubungan kerja berakhir.
Bekerja sama jika terjadi insiden.
Mencatat temuan dan temuan penting.
Mematuhi ketentuan peraturan perundang-undangan.
Perbedaan antara pengendali data dan pemroses data penting untuk dipahami. Kontrak, SLA, dan dokumentasi kontrol harus memisahkan tanggung jawab masing-masing pihak.
Kewajiban yang tidak bisa ditawar
Beberapa kewajiban di bawah PP 33 Tahun 2026 termasuk yang tidak bisa dihilangkan hanya karena alasan efisiensi atau kebijakan internal:
Pemberian informasi yang benar-benar jelas kepada subjek data. Informasi ringkas sekalipun harus memuat identitas pengendali data, tujuan pemrosesan, dasar hukum, dan hak subjek data.
Penanganan hak subjek data yang dapat dijalankan. Prosedur permohonan tidak boleh dibuat sengaja rumit atau lambat.
Keamanan data pribadi yang proporsional dengan risiko. Tingkat kontrol harus sesuai dengan sensitivitas data.
Notifikasi data breach yang tepat waktu. Pelambatan yang tidak dapat dipertanggungjawabkan dapat menambah sanksi dan kerusakan reputasi.
Organisasi kecil tidak otomatis mendapatkan keringanan besar. Yang berubah adalah skala dan kompleksitas kontrolnya, bukan prinsip dasarnya.
Pelanggaran data pribadi
PP 33 Tahun 2026 menegaskan bahwa pelanggaran data pribadi bukan hanya soal kebocoran data ke publik. Pelanggaran dapat terjadi akibat akses yang tidak sah, perubahan yang tidak sah, kehilangan, pencurian, pengungkapan tanpa hak, atau gangguan sistem.
Tanda-tanda potensi pelanggaran:
Akun yang mendeteksi anomali login
File database yang diunduh oleh orang yang tidak authorized
Backup yang tidak terenkripsi dan hilang
Email yang disusupi dan digunakan untuk mengakses data sensitif
Perangkat yang hilang berisi data pribadi
Sistem yang terkena ransomware
Admin yang salah mengirim data ke pihak ketiga
Aplikasi yang memfilter data tidak benar
Notifikasi data breach
PP 33 Tahun 2026 menegaskan mekanisme notifikasi ketika terjadi pelanggaran data pribadi. Organisasi wajib:
Mendokumentasikan insiden.
Menilai dampak terhadap subjek data.
Melapor kepada otoritas jika memenuhi ambang yang ditetapkan.
Memberitahu subjek data jika diperlukan.
Menyampaikan langkah-langkah mitigasi dan perbaikan yang telah diambil.
Kecepatan notifikasi sama pentingnya dengan ketepatan isinya. Menunggu sampai semua detail sempurna sering kali membuat pelaporan terlambat dan menambah dampak hukum serta reputasi.
Sanksi administratif
PP 33 Tahun 2026 mengatur sanksi administratif yang dapat dikenakan kepada pengendali data dan pemroses data. Sanksi ini berbeda dari sanksi pidana yang mungkin berlaku berdasarkan UU PDP.
Jenis sanksi administratif umumnya meliputi:
Peringatan tertulis.
Denda administratif.
Penghentian pemrosesan data tertentu.
Penghapusan data pribadi.
Pemblokiran sistem atau layanan tertentu.
Larangan memproses data tertentu dalam jangka waktu tertentu.
Denda administratif dapat bernasib besar tergantung tingkat kerusakan, luas dampak, dan kesengajaan atau kelalaian yang terjadi. Untuk organisasi yang bergantung pada data pengguna atau pelanggan, dampak finansial dan reputasi bisa lebih besar daripada denda itu sendiri.
Dampak praktis bagi bisnis
E-commerce dan marketplace
Data yang diproses biasanya meliputi nama, alamat, nomor telepon, riwayat pembelian, metode pembayaran, dan kadang data keuangan. Klasifikasi data, retensi, akses kontrol, dan notifikasi pelanggaran menjadi prioritas utama.
Klinik, rumah sakit, dan layanan kesehatan
Data kesehatan termasuk data pribadi khusus. Klinik dan rumah sakit perlu memperkuat akses kontrol, retensi data medis, audit akses, dan respons terhadap kebocoran data.
Startup dan aplikasi mobile
Aplikasi yang meminta banyak permission atau mengumpulkan data profil, lokasi, dan kontak memerlukan kebijakan privasi yang sesuai, konsen yang jelas, dan cara pengambilan data yang proporsional.
Pendidikan
Sekolah, kampus, dan LMS mengumpulkan data santri, siswa, orang tua, dan staf. Data pendidikan perlu dilindungi dengan kontrol akses dan kebijakan penggunaan yang jelas.
HR dan payroll
Data karyawan termasuk identitas, alamat, data keluarga, data bank, dan data kesehatan. HR perlu membedakan data yang bisa dibagikan dengan pihak ketiga dan data yang hanya untuk keperluan internal.
Kantor akuntan, hukum, dan konsultan
Data klien seringkali bersifat sensitif. Kontrak, confidentiality agreement, access control, dan audit trail menjadi bagian penting dari kepatuhan.
Langkah kesiapan sebelum Januari 2027
1. Inventarisasi data pribadi
Catat data apa saja yang diproses, dari mana asalnya, siapa yang berhak mengakses, sampai berapa lama disimpan.
2.klasifikasi data
Bedakan data pribadi umum dan data pribadi khusus. Beri label, aturan akses, dan retensi yang berbeda.
3. Audit dasar pemrosesan
Cek setiap alur pemrosesan data dan pastikan ada dasar hukum yang sah.
4. Perbaiki kebijakan internal
Perbarui kebijakan privasi, kontrak, dan prosedur operasional agar sesuai dengan PP 33 Tahun 2026.
5. Perkuat kontrol akses
Batasi akses ke data pribadi sesuai kebutuhan kerja. Pantau akun dengan hak akses tinggi.
6. Dokumentasikan konsen
Jangan hanya mengandalkan checkbox. Dokumentasikan waktu, metode, dan ruang lingkup konsen.
7. Siapkan respons pelanggaran
Buat prosedur detection, containment, eradication, dan notifikasi. Pastikan orang yang tepat tahu cara mengaktifkan prosedur tersebut.
8. Uji mekanisme hak subjek data
Pastikan permintaan akses, koreksi, dan penghapusan bisa ditangani dalam waktu yang wajar.
9. Evaluasi vendor dan mitra
Pastikan vendor yang memproses data pribadi atas nama organisasi juga memahami kewajibannya.
10. Dokumentasikan keputusan
Simpan catatan audit, kebijakan, kontrol, dan tindakan perbaikan. Dokumentasi ini akan sangat membantu ketika terjadi evaluasi, audit, atau insiden.
Perbedaan PP 33 Tahun 2026 dengan praktik sebelumnya
Sebelum aturan pelaksana ini, banyak organisasi hanya mengandalkan UU PDP atau kebijakan internal yang belum sepenuhnya teruji.
Perbedaan utama:
Klaritas klasifikasi data: organisasi kini memiliki acuan untuk membedakan tingkat sensitivitas data.
Kewajiban yang lebih terukur: tidak lagi cukup hanya mengatakan data “disimpan dengan aman”.
Hak subjek data yang lebih konkret: permintaan akses, koreksi, dan penghapusan menjadi prosedur yang harus dijalankan, bukan kebijakan opsional.
Notifikasi pelanggaran yang lebih jelas: batas waktu, ambang notifikasi, dan informasi yang harus disampaikan menjadi lebih terdefinisi.
Akuntabilitas pengendali dan pemroses data: perbedaan kewajiban menjadi lebih jelas, sehingga kontrak dan kontrol internal perlu diperbarui.
Mitos yang perlu dihindari
“Hanya perusahaan besar yang terkena aturan ini”
Meskipun skala kontrol dapat disesuaikan dengan ukuran organisasi, prinsip perlindungan data tetap berlaku. UKM yang memproses data pelanggan atau karyawan tetap memiliki kewajiban hukum.
“Kita tidak menyimpan data sensitif”
Banyak organisasi tidak menyadari bahwa kombinasi nama, nomor telepon, alamat, dan riwayat transaksi sudah cukup sensitif untuk memerlukan perlindungan yang lebih ketat.
“Konsen di syarat dan ketentuan sudah cukup”
Konsen harus spesifik, dapat dibuktikan, dan sesuai dengan tujuan pemrosesan. Syarat dan ketentuan yang terlalu umum atau tidak sesuai dengan praktik nyata tidak melindungi organisasi secara hukum.
“Pelanggaran hanya berarti denda”
Denda adalah satu sisi. Dampak reputasi, kepercayaan pelanggan, dan biaya remediasi sering kali lebih besar daripada sanksi administratif itu sendiri.
“Kita sudah aman karena menggunakan cloud”
Cloud provider memberikan keamanan infrastruktur, tetapi perlindungan data pribadi juga memerlukan kontrol di sisi aplikasi, akses, kebijakan, dan prosedur organisasi.
Kesimpulan
PP 33 Tahun 2026 menandai transisi dari prinsip perlindungan data pribadi yang umum menjadi implementasi yang lebih konkret. Organisasi yang memproses data pribadi perlu mulai meninjau kembali kebijakan, sistem, kontrak, dan prosedur operasional agar sesuai dengan regulasi ini.
Kesiapan yang baik bukan berarti sistem harus sempurna sebelum Januari 2027. Yang penting adalah organisasi dapat menunjukkan adanya upaya yang jelas untuk memahami data yang diproses, melindunginya sesuai tingkat risikonya, dan menanggapi hak serta pelanggaran data dengan prosedur yang jelas.
Bagi bisnis yang bergantung pada kepercayaan pelanggan, kepatuhan terhadap PP 33 Tahun 2026 juga menjadi bentuk komitmen terhadap keamanan dan privasi data yang mereka percayakan.
