Hitung Mundur 16 Januari 2027: PP 33/2026 Terbit, Ini yang Wajib Disiapkan Perusahaan Anda

Denda Hingga 2% Pendapatan Tahunan — dan Nama Anda Diumumkan

PP 33/2026 mengatur empat jenis sanksi administratif (Pasal 184): peringatan tertulis, penghentian sementara pemrosesan, penghapusan/pemusnahan data, dan denda administratif. Lebih dari 35 ketentuan diancam sanksi, dan sanksi dapat dijatuhkan kumulatif — bahkan tanpa didahului peringatan tertulis.

Denda administratif dikenakan paling tinggi 2% dari pendapatan atau penerimaan tahunan (Pasal 185), dihitung berdasarkan sepuluh variabel: dampak pelanggaran, durasi, jenis data yang terdampak, jumlah korban, proses temuan, tingkat kooperatifitas saat pemeriksaan, skala usaha, kemampuan membayar, riwayat kepatuhan, dan variabel lain yang ditetapkan Lembaga.

Yang sering luput dari sorotan: keputusan pengenaan sanksi diumumkan pada media resmi Lembaga (Pasal 195). Bagi banyak perusahaan, efek reputasi dari pengumuman publik ini bisa jauh lebih menyakitkan daripada dendanya sendiri.

DPIA Wajib — AI, Machine Learning, dan IoT Disebut Eksplisit

Penilaian dampak pelindungan data (Pasal 120–122) wajib dilakukan sebelum pemrosesan yang berisiko tinggi, antara lain: pengambilan keputusan otomatis yang berdampak signifikan, pemrosesan data spesifik, pemrosesan skala besar, kegiatan profiling/scoring/pemantauan sistematis, pencocokan atau penggabungan kelompok data, dan penggunaan teknologi baru.

Bagian Penjelasan menyebut contoh teknologi baru secara eksplisit: kecerdasan buatan, machine learning, smart technology, dan internet of things. Bagi organisasi yang sedang membangun inisiatif AI, ini praktis regulasi AI operasional pertama di Indonesia — setiap proyek AI yang memproses data pribadi kini wajib melewati DPIA terlebih dahulu.

PPDP (DPO) Wajib untuk Tiga Kategori Organisasi

Pengendali dan prosesor data wajib menunjuk Pejabat/Petugas Pelindungan Data Pribadi (PPDP) bila: memproses data untuk pelayanan publik; kegiatan intinya memerlukan pemantauan teratur dan sistematis atas data skala besar; atau kegiatan intinya memproses data spesifik dalam skala besar (Pasal 142).

PPDP boleh berasal dari internal maupun eksternal organisasi (Pasal 144), harus memiliki akses pelaporan ke manajemen tertinggi, bekerja independen tanpa intervensi, dan bebas konflik kepentingan (Pasal 146).

Transfer Data ke Luar Negeri: Arsitektur ala GDPR

Untuk transfer data ke luar wilayah Indonesia — termasuk penggunaan cloud dan SaaS asing — PP menetapkan mekanisme berjenjang (Pasal 165): pertama, negara tujuan harus memiliki tingkat pelindungan setara atau lebih tinggi, dan Lembaga akan menetapkan daftar negara yang memenuhi syarat; kedua, bila tidak, wajib ada pelindungan yang memadai dan mengikat berupa standar klausul kontrak (SCC) yang ditetapkan Lembaga atau peraturan korporasi mengikat (BCR) untuk grup usaha; ketiga, bila keduanya tidak terpenuhi, persetujuan subjek data — namun hanya untuk transfer yang tidak berulang, melibatkan subjek terbatas, sudah dinilai risikonya, dan dilaporkan ke Lembaga.

Sebelum melakukan transfer, pengendali wajib melakukan penilaian risiko transfer dan memberi tahu subjek data (Pasal 162–164).

Kewajiban Dokumentasi yang Konkret

PP 33/2026 mengubah kepatuhan dari prinsip menjadi dokumen yang bisa diminta Lembaga kapan saja:

• Pencatatan seluruh aktivitas pemrosesan (record of processing) dengan minimal 13 muatan, termasuk pemetaan aliran data (Pasal 74)
• Dokumen kebijakan Masa Retensi (Pasal 75)
• Kebijakan pencegahan dan penanganan insiden, plus dokumentasi setiap insiden yang disampaikan ke Lembaga (Pasal 116–117)
• Perjanjian penunjukan prosesor dengan 11 muatan minimum; sub-prosesor wajib persetujuan tertulis pengendali (Pasal 14–15)
• Privacy notice dengan 7 muatan informasi wajib, tanpa klausul eksonerasi (Pasal 62, 65)
• Analisis tertulis untuk dasar pemrosesan kepentingan sah/legitimate interest (Pasal 53–54)
• Audit pelindungan data internal dan eksternal (Pasal 138)

Aturan Lain yang Jarang Disorot

PP ini juga mengatur pemasangan CCTV di tempat umum (wajib informasi di area terpantau, dilarang untuk mengidentifikasi seseorang kecuali penegakan hukum — Pasal 17–19); pemrosesan data anak yang wajib persetujuan terverifikasi orang tua/wali (Pasal 38); kewajiban penilaian dan pemberitahuan saat merger, akuisisi, atau pembubaran badan hukum — menjadikan due diligence data pribadi keharusan hukum dalam transaksi korporasi (Pasal 131–137); serta pagar prosedural bagi penegak hukum yang meminta data: surat formal ditandatangani pejabat setingkat Kapolri/Jaksa Agung/Ketua MA dengan tembusan ke Lembaga (Pasal 155).

Yang Masih Menggantung

Sekitar 20 ketentuan mendelegasikan pengaturan teknis ke "Peraturan Lembaga" — dari pedoman DPIA, SCC, daftar negara adequacy, hingga tata cara sanksi dan mediasi. PP ini pun konsisten menyebut otoritasnya hanya sebagai "Lembaga" tanpa nomenklatur kelembagaan. Efektivitas seluruh rezim ini bergantung pada seberapa cepat Lembaga Pelindungan Data Pribadi beroperasi penuh dan menerbitkan aturan turunannya.

Namun bagi pelaku usaha, menunggu bukanlah strategi. Ketentuan peralihan (Pasal 223) menegaskan bahwa sebelum Peraturan Lembaga terbit, pemrosesan data tetap harus tunduk pada PP ini.

Checklist: 8 Langkah Menuju 16 Januari 2027

Enam bulan terdengar lama — sampai Anda mulai memetakan aliran data, menegosiasi ulang kontrak vendor, dan menguji prosedur respons insiden. Organisasi yang memulai sekarang akan menghadapi 16 Januari 2027 sebagai tanggal biasa. Yang menunda akan menghadapinya sebagai tenggat.

Artikel ini disusun dari analisis salinan resmi PP No. 33 Tahun 2026 (Lembaran Negara RI Tahun 2026 Nomor 88) oleh tim KRES.ID dan bukan merupakan nasihat hukum.