UU PDP: Isi Pasal, Sanksi, dan Kewajiban bagi Bisnis
UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mengatur cara bisnis dan lembaga mengumpulkan, memproses, dan melindungi data pribadi. UU ini berlaku sejak 17 Oktober 2022 dengan masa penyesuaian dua tahun. Pelanggarnya bisa terkena denda administratif hingga 2% dari pendapatan tahunan, dan aturan pelaksananya, PP Nomor 33 Tahun 2026, mulai berlaku 16 Januari 2027.
Apa Itu UU PDP?
UU Perlindungan Data Pribadi, atau secara resmi UU Pelindungan Data Pribadi, adalah payung hukum utama soal data pribadi di Indonesia. UU ini terbit pada 17 Oktober 2022. Pasal 74 lalu memberi waktu dua tahun kepada semua pihak untuk menyesuaikan diri, sehingga kewajibannya berlaku penuh sejak Oktober 2024.
Ada juga tiga istilah kunci dalam UU ini. Pertama, subjek data pribadi adalah orang pemilik data. Kedua, pengendali data pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan, misalnya bank yang membuka rekening. Sementara itu, prosesor data pribadi memproses data atas nama pengendali, misalnya vendor verifikasi identitas.
Jenis Data Pribadi Menurut UU PDP
Pasal 4 membagi data pribadi menjadi dua kelompok. Pembagian ini penting, karena data spesifik membawa kewajiban yang lebih berat.
| Data Pribadi Spesifik | Data Pribadi Umum |
|---|---|
| Data dan informasi kesehatan | Nama lengkap |
| Data biometrik, seperti foto wajah dan sidik jari | Jenis kelamin |
| Data genetika | Kewarganegaraan |
| Catatan kejahatan | Agama |
| Data anak | Status perkawinan |
| Data keuangan pribadi | Data yang jika digabung dapat mengidentifikasi seseorang |
Contohnya, nama lengkap di KTP termasuk data umum. Namun, selfie untuk verifikasi wajah termasuk data biometrik, sehingga masuk kelompok spesifik.
Hak Subjek Data Pribadi
Selanjutnya, Pasal 5 sampai 13 memberi pemilik data sejumlah hak. Karena itu, bisnis wajib menyiapkan cara untuk melayani hak-hak ini:
- Mendapat informasi tentang identitas pihak yang meminta data, dasar hukum, dan tujuan penggunaannya.
- Melengkapi, memperbarui, atau memperbaiki data yang keliru.
- Mengakses dan memperoleh salinan datanya.
- Mengakhiri pemrosesan, menghapus, atau memusnahkan data, sesuai ketentuan peraturan perundang-undangan.
- Menarik kembali persetujuan yang sudah ia berikan.
- Mengajukan keberatan atas keputusan yang sepenuhnya otomatis, termasuk pemrofilan, bila berdampak signifikan.
- Menunda atau membatasi pemrosesan.
- Menggugat dan menerima ganti rugi atas pelanggaran.
- Memindahkan datanya ke pengendali lain dalam format yang sistem bisa baca.
Kewajiban Bisnis sebagai Pengendali Data
1. Punya Dasar Pemrosesan yang Sah
Menurut Pasal 20, pengendali wajib memiliki dasar pemrosesan. Namun, persetujuan eksplisit hanyalah salah satu dari enam dasar. Lima dasar lainnya yaitu pelaksanaan perjanjian, kewajiban hukum, kepentingan vital subjek data, tugas kepentingan umum atau pelayanan publik, dan kepentingan sah lainnya. Jika memakai persetujuan, Pasal 22 mensyaratkan bentuk tertulis atau terekam, baik elektronik maupun nonelektronik.
2. Menilai Dampak untuk Pemrosesan Berisiko Tinggi
Kemudian, Pasal 34 mewajibkan penilaian dampak pelindungan data pribadi (DPIA) untuk pemrosesan berisiko tinggi. Contohnya keputusan otomatis yang berdampak hukum, pemrosesan data spesifik, pemrosesan skala besar, serta pemantauan atau penskoran yang sistematis. Karena itu, alur e-KYC yang memproses foto wajah hampir pasti termasuk kategori ini.
3. Melapor Kebocoran Data dalam 3 x 24 Jam
Jika terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pengendali memberi tahu subjek data dan lembaga pengawas secara tertulis paling lambat 3 x 24 jam. Isinya setidaknya memuat data apa yang terungkap, kapan dan bagaimana kejadiannya, serta upaya penanganannya. Dalam kondisi tertentu, pengendali juga wajib mengumumkannya kepada masyarakat.
4. Menunjuk Petugas Pelindungan Data
Pasal 53 mewajibkan penunjukan pejabat atau petugas pelindungan data, yang umum orang sebut DPO, dalam tiga kondisi. Ketiga kondisi itu yaitu pemrosesan untuk pelayanan publik, pemantauan sistematis berskala besar, serta pemrosesan skala besar atas data spesifik atau data terkait tindak pidana.
5. Memastikan Keamanan Transfer ke Luar Negeri
Selanjutnya, menurut Pasal 56, pengendali boleh mentransfer data ke luar Indonesia. Namun, negara tujuan harus punya tingkat pelindungan yang setara atau lebih tinggi. Jika syarat itu tidak terpenuhi, pengendali wajib memastikan pelindungan yang memadai dan mengikat, atau meminta persetujuan subjek data.
Sanksi Pelanggaran UU PDP
Sanksi Administratif
Pertama, Pasal 57 mengatur sanksi administratif untuk pelanggaran kewajiban pengendali dan prosesor, termasuk soal dasar pemrosesan, DPIA, notifikasi kebocoran, dan transfer data. Bentuknya berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Sementara itu, dendanya paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran.
Sanksi Pidana
Pasal 65 dan 66 memuat larangan bagi setiap orang, kemudian Pasal 67 dan 68 menetapkan pidananya. Angka denda di bawah ini sudah memakai nilai baru dari UU Nomor 1 Tahun 2026, yang berlaku sejak 2 Januari 2026:
| Perbuatan | Dasar | Ancaman Maksimal |
|---|---|---|
| Memperoleh atau mengumpulkan data pribadi milik orang lain secara melawan hukum | Pasal 65 ayat (1) jo. 67 ayat (1) | 5 tahun penjara dan/atau denda Rp200 juta |
| Mengungkapkan data pribadi milik orang lain secara melawan hukum | Pasal 65 ayat (2) jo. 67 ayat (2) | 4 tahun penjara dan/atau denda Rp200 juta |
| Menggunakan data pribadi milik orang lain secara melawan hukum | Pasal 65 ayat (3) jo. 67 ayat (3) | 5 tahun penjara dan/atau denda Rp200 juta |
| Membuat data pribadi palsu atau memalsukan data pribadi | Pasal 66 jo. 68 | 6 tahun penjara dan/atau denda Rp500 juta |
Sebelumnya, teks asli UU PDP mencantumkan denda Rp4 miliar sampai Rp6 miliar. Bahkan, jika pelakunya korporasi, Pasal 70 memungkinkan denda hingga 10 kali lipat dari maksimal denda, serta pidana tambahan seperti perampasan keuntungan.
PP 33/2026 dan Lembaga PDP
Aturan teknis UU PDP akhirnya terbit lewat PP 33 Tahun 2026 pada Juli 2026. PP ini mulai berlaku 16 Januari 2027, sehingga bisnis punya waktu sekitar enam bulan untuk menyesuaikan prosedur, mulai dari pengelolaan persetujuan hingga dokumentasi insiden.
Sementara itu, lembaga pengawas yang Pasal 58 amanatkan belum terbentuk per Oktober 2026. Menurut Komdigi, kementerian itu sudah mengajukan rancangan Perpres pembentukannya kepada Presiden pada 20 Mei 2026. Sampai lembaga itu berdiri, Komdigi menjalankan fungsi pengawasan pelindungan data pribadi.
UU PDP dan Proses KYC
Bahkan, proses KYC menyentuh hampir semua aspek UU PDP. Lembaga keuangan memproses NIK, foto KTP, dan selfie, sehingga tiga hal perlu jelas sejak awal.
- Dasar pemrosesan. Untuk KYC, dasarnya biasanya kewajiban hukum, karena POJK 8/2023 mewajibkan identifikasi dan verifikasi nasabah.
- Retensi data. Pasal 63 POJK 8/2023 mewajibkan penyimpanan dokumen nasabah paling singkat 5 tahun setelah hubungan usaha berakhir. Hak hapus dalam UU PDP berlaku sesuai ketentuan peraturan perundang-undangan, sehingga kewajiban retensi ini tetap berjalan.
- Vendor sebagai prosesor. Penyedia verifikasi identitas memproses data atas nama lembaga keuangan. Karena itu, perjanjian pemrosesan dan lokasi penyimpanan data perlu tertulis jelas.
Selain itu, data biometrik dari liveness detection termasuk data spesifik, sehingga DPIA dan pengamanan ekstra menjadi wajib. Layanan verifikasi identitas Verihubs memproses data di Indonesia, sesuai kebijakan privasinya.
Checklist Kepatuhan UU PDP untuk Bisnis
- Petakan semua data pribadi yang Anda kumpulkan, termasuk data spesifik.
- Tetapkan dasar pemrosesan untuk setiap tujuan.
- Perbarui pemberitahuan privasi dan mekanisme persetujuan.
- Lakukan DPIA untuk pemrosesan berisiko tinggi, seperti biometrik.
- Siapkan prosedur notifikasi kebocoran 3 x 24 jam.
- Tunjuk petugas pelindungan data bila memenuhi kriteria Pasal 53.
- Tinjau kontrak dengan vendor yang memproses data atas nama Anda.
- Sesuaikan prosedur dengan PP 33/2026 sebelum 16 Januari 2027.
Sementara itu, untuk individu yang ingin menjaga datanya sendiri, panduan praktisnya ada di artikel perlindungan data pribadi.
Pertanyaan Umum tentang UU PDP
Apa itu UU PDP?
- UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. UU ini mengatur hak pemilik data, kewajiban pihak yang memproses data, serta sanksi administratif dan pidana atas pelanggarannya.
Kapan UU PDP mulai berlaku?
- UU PDP berlaku sejak 17 Oktober 2022, dengan masa penyesuaian dua tahun hingga Oktober 2024. Aturan pelaksananya, PP Nomor 33 Tahun 2026, mulai berlaku 16 Januari 2027.
Apa isi Pasal 65 dan 67 UU PDP?
- Pasal 65 melarang setiap orang memperoleh, mengumpulkan, mengungkapkan, atau menggunakan data pribadi milik orang lain secara melawan hukum. Pasal 67 mengatur pidananya, yaitu penjara paling lama 4 sampai 5 tahun dan, sejak 2 Januari 2026, denda paling banyak Rp200 juta.
Berapa denda pelanggaran UU PDP?
- Denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan. Untuk pidana, sejak 2 Januari 2026 denda paling banyak Rp200 juta sampai Rp500 juta, dan korporasi bisa terkena hingga 10 kali lipat.
Berapa lama batas waktu melapor kebocoran data?
- Menurut Pasal 46 UU PDP, pengendali wajib memberi tahu subjek data dan lembaga pengawas secara tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data pribadi.
Apakah UU ITE juga mengatur data pribadi?
- Ya. Pasal 26 UU ITE mensyaratkan persetujuan pemilik data untuk penggunaan data pribadi lewat media elektronik. Menurut Pasal 75 UU PDP, aturan lain tentang data pribadi tetap berlaku sepanjang tidak bertentangan dengan UU PDP.
Patuh UU PDP Dimulai dari Peta Data
UU PDP bukan sekadar urusan tim legal. Kepatuhannya terutama bergantung pada keputusan produk dan teknologi, khususnya saat bisnis memproses data spesifik seperti wajah.
Jadi, mulailah dari peta data, lalu pastikan setiap vendor yang memproses data nasabah ikut memenuhi standar yang sama. Konsultasikan alur verifikasi Anda bersama tim Verihubs.
