PP 33 Tahun 2026: Isi PP PDP dan Kewajiban Bisnis

PP 33 Tahun 2026 adalah Peraturan Pemerintah tentang Peraturan Pelaksanaan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Presiden menetapkan PP ini pada 16 Juli 2026, dan aturannya mulai berlaku 16 Januari 2027. Isinya merinci kewajiban teknis pengendali dan prosesor data, mulai dari tenggat 3 x 24 jam, penilaian dampak (DPIA), petugas pelindungan data, transfer ke luar negeri, hingga cara menghitung denda administratif paling tinggi 2% dari pendapatan tahunan.

Apa Itu PP 33 Tahun 2026?

UU PDP menyerahkan sejumlah detail teknis kepada Peraturan Pemerintah. PP 33 Tahun 2026 menjawab perintah itu dalam satu naskah berisi 12 bab dan 225 pasal, yang tercatat di Lembaran Negara Tahun 2026 Nomor 88.

Bagian konsiderans menyebut sepuluh pasal UU PDP yang menjadi dasarnya, antara lain soal keputusan otomatis, pemrosesan, penilaian dampak, transfer ke luar negeri, dan sanksi administratif. Jadi, PP ini bukan aturan baru yang terpisah. Ia adalah buku petunjuk operasional untuk UU PDP.

Selain itu, ada dua pasal penutup yang penting. Pasal 224 menyatakan regulasi lain soal data pribadi masih sah selama tidak berbenturan dengan PP ini. Sementara itu, Pasal 223 mengizinkan pemrosesan berjalan sesuai PP selama Peraturan Lembaga belum terbit.

Kapan Berlaku dan Siapa yang Terkena?

Menurut Pasal 225, PP ini berlaku enam bulan setelah pengundangan, yaitu 16 Januari 2027. Masa enam bulan itu adalah waktu persiapan, bukan masa bebas aturan, karena kewajiban inti UU PDP sudah berlaku penuh sejak Oktober 2024.

Cakupannya luas, karena PP ini mengikat pengendali data pribadi, prosesor data pribadi, dan badan publik. Satu-satunya pengecualian di Pasal 3 adalah orang perseorangan yang memproses data untuk kegiatan pribadi atau rumah tangga.

Dasar Pemrosesan dan Persetujuan

Pasal 30 menegaskan pengendali wajib punya dasar pemrosesan sebelum mulai memproses data. Enam pilihannya sama dengan UU PDP. Namun, PP ini menambahkan syarat yang jauh lebih rinci untuk tiap dasar.

Misalnya, Pasal 32 meminta subjek data memberi persetujuan secara bebas, sadar, spesifik, dan tidak ambigu. Pengendali wajib menyampaikan informasi pemrosesan sebelum meminta persetujuan, dan Pasal 36 mewajibkan pengendali mampu menunjukkan bukti persetujuan itu.

Pasal 35 juga menutup praktik “setuju atau layanan berhenti”. Pengendali tetap harus menyediakan layanan dengan kualitas yang sama kepada orang yang menolak, kecuali layanan itu memang membutuhkan pemrosesan data. Pasal yang sama melarang cara meminta persetujuan yang menipu atau menyesatkan.

Bagaimana dengan kepentingan yang sah? Pasal 53 dan 54 mensyaratkan analisis keseimbangan yang terdokumentasi. Pengendali harus menunjukkan kepentingannya sah, dampaknya tidak merugikan subjek data, dan ada langkah penanggulangan bila muncul dampak.

Pemberitahuan Privasi dan Data Anak

Pasal 62 mewajibkan pemberitahuan pelindungan data yang memuat tujuh hal: legalitas, tujuan, jenis data, masa retensi, rincian informasi yang masuk, jangka waktu pemrosesan, dan hak subjek data. Pemberitahuan ini harus tersedia selama pemrosesan berlangsung. Selain itu, Pasal 65 melarang klausul eksonerasi, yaitu klausul yang melepas tanggung jawab pengendali.

Sementara itu, definisi anak cukup jelas. Pasal 1 angka 21 menyebut anak sebagai orang berusia di bawah 18 tahun yang belum menikah. Pasal 38 lalu mewajibkan pengendali mengenali pengguna anak, meminta persetujuan orang tua atau wali, dan memverifikasi persetujuan itu dengan teknologi yang tersedia.

Tenggat 3 x 24 Jam untuk Tim Operasional

Bagian ini mungkin paling berdampak bagi tim operasional, karena tenggatnya pendek. PP 33 Tahun 2026 menetapkan batas 3 x 24 jam untuk beberapa permintaan dan kejadian berikut.

Kewajiban	Pasal	Mulai Dihitung
Memperbarui atau memperbaiki data yang salah	Pasal 71	Sejak permintaan masuk
Mengonfirmasi permintaan salinan data dan jangka waktu penyediaannya	Pasal 78	Sejak permohonan masuk dan lolos verifikasi
Menghentikan pemrosesan setelah subjek menarik persetujuan	Pasal 92	Sejak permintaan penarikan masuk
Menunda atau membatasi pemrosesan	Pasal 99	Sejak permintaan masuk
Memberitahukan kegagalan pelindungan data ke subjek data dan Lembaga	Pasal 114	Sejak pengendali mengetahui kegagalan secara pasti, patut, dan wajar

Untuk kebocoran data, Pasal 114 ayat (3) dan (4) mengatur isi pemberitahuannya: data yang terungkap, kapan dan bagaimana terjadinya, upaya pemulihan, serta kontak petugas pelindungan data. Bila kebocoran mengganggu pelayanan publik atau berdampak serius bagi masyarakat, Pasal 115 juga mewajibkan pengumuman ke publik.

Keputusan Otomatis dan Penilaian Dampak

Subjek data berhak keberatan atas keputusan yang sepenuhnya bertumpu pada pemrosesan otomatis bila keputusan itu berakibat hukum atau berdampak signifikan, sesuai Pasal 93. Pengendali wajib menyediakan mekanismenya dan menjelaskan teknologi di baliknya. Bila pengendali menerima keberatan itu, Pasal 94 mewajibkan alternatif yang melibatkan campur tangan manusia.

Pasal 120 sampai 122 mengatur penilaian dampak atau DPIA. Tujuh pemicunya sama dengan UU PDP, misalnya pemrosesan data spesifik, skala besar, pencocokan data, dan teknologi baru. Yang baru adalah rincian pelaksanaannya:

• Pengendali menjalankan DPIA sebelum pemrosesan dimulai.
• Isinya paling sedikit mencakup deskripsi dan tujuan pemrosesan, uji kebutuhan dan proporsionalitas, penilaian risiko terhadap hak subjek data, dan langkah pelindungan.
• Pengendali wajib meninjau ulang DPIA bila risiko pemrosesan berubah.
• Pengendali boleh berkonsultasi ke Lembaga bila pemrosesan berpotensi merugikan atau langkah teknisnya belum tersedia.

Petugas Pelindungan Data, Prosesor, dan Retensi

PP ini menyebut petugas pelindungan data sebagai PPDP. Pasal 142 mewajibkan penunjukannya dalam tiga kondisi: pemrosesan untuk pelayanan publik, pemantauan sistematis berskala besar, atau pemrosesan data spesifik berskala besar sebagai kegiatan inti. Menurut Pasal 144, PPDP boleh berasal dari dalam maupun luar organisasi.

Kemudian, hubungan dengan vendor harus tertulis. Pasal 14 merinci isi minimum perjanjian pengendali dan prosesor, termasuk cakupan dan cara pemrosesan, jenis data, jangka waktu, mekanisme audit, penyelesaian sengketa, serta aturan bila prosesor melibatkan subprosesor.

Terakhir, soal retensi, Pasal 75 mewajibkan dokumen kebijakan masa retensi. Dokumen itu memuat periode retensi, jenis data, metode pemusnahan, ketentuan untuk prosesor, dan dasar hukum bila aturan lain menentukan masa simpannya.

Kamera dan Transfer Data ke Luar Negeri

Pasal 17 mengulang batas UU PDP untuk kamera di tempat umum, termasuk larangan memakai rekamannya untuk mengidentifikasi seseorang. Pasal 19 menambahkan detail papan informasi. Papan itu minimal memuat pemberitahuan bahwa kamera beroperasi dan kontak penanggung jawab. Letaknya di pintu masuk area tertutup, atau di titik yang mudah orang baca sebelum memasuki area terbuka.

Adapun transfer ke luar negeri memakai tiga tingkat menurut Pasal 165. Pertama, negara tujuan harus punya pelindungan yang setara atau lebih tinggi. Bila tidak, harus ada pelindungan yang memadai dan mengikat, misalnya standar klausul kontrak atau peraturan korporasi grup sesuai Pasal 169. Bila keduanya tidak terpenuhi, barulah persetujuan subjek data menjadi jalan terakhir.

Sebelum transfer, Pasal 161 dan 162 juga mewajibkan pemetaan alur data dan penilaian instrumen hukumnya. Penilaian itu mencakup lokasi penyimpanan, format data, dan kemungkinan penerima meneruskan data ke negara lain.

Sanksi Administratif dan Cara Menghitung Denda

Pertama, Pasal 184 mengatur empat bentuk sanksi: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Lembaga boleh menjatuhkan lebih dari satu sanksi sekaligus, bahkan tanpa peringatan tertulis lebih dulu.

Kedua, Pasal 185 memberi rumus dendanya. Batas atasnya 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Lembaga menghitung variabel itu dari sepuluh faktor, di antaranya:

• dampak negatif dan durasi pelanggaran;
• jenis data dan jumlah subjek data yang terdampak;
• keterbukaan dan kerja sama selama pemeriksaan;
• skala usaha, kemampuan membayar, dan riwayat kepatuhan.

Menariknya, Pasal 185 ayat (3) memungkinkan Lembaga menetapkan denda Rp0 dengan pertimbangan tertentu. Dendanya menjadi penerimaan negara bukan pajak. Adapun sanksi pidana tetap mengacu ke Pasal 67 sampai 70 UU PDP, dengan besaran denda yang sejak 2 Januari 2026 mengikuti UU Nomor 1 Tahun 2026.

Dampak PP 33 Tahun 2026 untuk e-KYC dan Biometrik

Pasal 6 menegaskan data biometrik sebagai data pribadi spesifik. Akibatnya, verifikasi wajah saat onboarding hampir pasti memicu DPIA, karena memenuhi beberapa pemicu sekaligus: data spesifik, pencocokan data, dan teknologi baru.

Untuk bank dan fintech, dasar pemrosesan e-KYC adalah kewajiban hukum, sebab POJK 8/2023 mengharuskan verifikasi nasabah. Namun, hak keberatan atas keputusan otomatis tetap relevan. Pemohon yang gagal di sistem verifikasi otomatis berhak meminta peninjauan dengan campur tangan manusia, sehingga bisnis perlu menyiapkan alur banding manual.

Karena itu, bisnis juga perlu meninjau kontrak dengan vendor verifikasi identitas terhadap Pasal 14. Panduan lebih spesifik untuk data wajah tersedia di artikel regulasi face recognition.

Checklist Sebelum 16 Januari 2027

1. Petakan semua aktivitas pemrosesan dan tetapkan dasar hukumnya.
2. Perbarui pemberitahuan privasi agar memuat tujuh unsur Pasal 62.
3. Rapikan alur persetujuan dan simpan buktinya.
4. Bangun kanal permintaan hak subjek data yang sanggup memenuhi tenggat 3 x 24 jam.
5. Jalankan DPIA untuk pemrosesan berisiko tinggi, termasuk biometrik.
6. Tunjuk PPDP bila memenuhi kriteria Pasal 142.
7. Revisi perjanjian dengan prosesor sesuai Pasal 14.
8. Tetapkan dokumen kebijakan masa retensi.
9. Uji prosedur notifikasi kebocoran data.
10. Petakan transfer data ke luar negeri beserta instrumen hukumnya.

Status Lembaga PDP

Namun, banyak kewenangan di PP ini bertumpu pada Lembaga, mulai dari pengawasan, penilaian negara tujuan transfer, hingga penjatuhan sanksi. Hingga awal Oktober 2026, Lembaga PDP belum berdiri, dan rancangan Peraturan Presiden pembentukannya masih menunggu penetapan.

Tapi ketiadaan lembaga tidak menghapus kewajiban. OJK dan regulator sektor lain tetap mengawasi industri masing-masing, dan subjek data tetap bisa menggugat ganti rugi lewat pengadilan.

Pertanyaan Umum tentang PP 33 Tahun 2026

Apa itu PP 33 Tahun 2026?

PP 33 Tahun 2026 adalah Peraturan Pemerintah tentang Peraturan Pelaksanaan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. PP ini merinci kewajiban pengendali dan prosesor data dalam 12 bab dan 225 pasal.

Kapan PP 33 Tahun 2026 mulai berlaku?

Pemerintah menetapkan dan mengundangkan PP ini pada 16 Juli 2026. Menurut Pasal 225, PP mulai berlaku enam bulan setelah itu, yaitu 16 Januari 2027.

Apa bedanya PP 33 Tahun 2026 dengan UU PDP?

UU PDP menetapkan hak, kewajiban, dan sanksi pokok. PP 33 Tahun 2026 menjabarkan cara pelaksanaannya, misalnya tenggat 3 x 24 jam, isi DPIA, syarat penunjukan PPDP, mekanisme transfer ke luar negeri, dan rumus denda administratif.

Berapa denda maksimal menurut PP 33 Tahun 2026?

Pasal 185 membatasi denda administratif pada 2% dari pendapatan atau penerimaan tahunan, dihitung terhadap variabel pelanggaran. Besarannya mempertimbangkan sepuluh faktor, seperti dampak, durasi, jumlah subjek data terdampak, dan kerja sama selama pemeriksaan.

Apakah semua perusahaan wajib menunjuk PPDP?

Tidak. Pasal 142 mewajibkan PPDP bila pemrosesan untuk pelayanan publik, bila kegiatan inti memerlukan pemantauan sistematis berskala besar, atau bila inti usahanya adalah pemrosesan data spesifik berskala besar.

Di mana teks resmi PP 33 Tahun 2026?

Kementerian Sekretariat Negara menerbitkan salinan resmi PP 33 Tahun 2026. Anda bisa mencarinya di JDIH Sekretariat Negara dengan nomor Lembaran Negara Tahun 2026 Nomor 88.

Siapkan Kepatuhan Sejak Sekarang

PP 33 Tahun 2026 mengubah UU PDP dari prinsip menjadi prosedur. Waktu enam bulan sebelum berlaku cukup singkat untuk memperbaiki kontrak, kanal permintaan, dan DPIA sekaligus.

Bila alur onboarding Anda memproses KTP dan data wajah, mulailah dari titik itu. Pelajari ID Verification Verihubs, atau konsultasikan kebutuhan Anda bersama tim kami.