PP 33/2026: aturan pelaksana UU PDP berlaku 16 Januari 2027

Apa itu PP 33/2026?

UU PDP berlaku penuh sejak 17 Oktober 2024, saat masa transisi dua tahunnya berakhir. Banyak kewajibannya masih belum punya prosedur yang menjelaskan cara memenuhinya. PP 33/2026 mengisi prosedur itu dan memberi pengendali serta prosesor waktu sampai 16 Januari 2027 untuk menerapkannya.

Ringkasan ini disusun dari ulasan hukum dan pemberitaan tentang PP tersebut. Baca teks resminya di JDIH sebelum mengandalkan pasal tertentu.

Apa yang diwajibkan bagi pengendali?

• Rekaman seluruh kegiatan pemrosesan sebagai bukti kepatuhan.
• Prosedur internal untuk permintaan subjek data: kanal permintaan elektronik, verifikasi identitas, unit penanggung jawab, tahapan tanggapan, dan dokumentasi.
• Penilaian keseimbangan saat pemrosesan berdasar kepentingan yang sah.
• Cara menarik persetujuan yang mudah diakses.
• Prosedur keberatan atas pemrosesan otomatis, dengan keterlibatan manusia dalam pemulihannya.
• Langkah keamanan termasuk pseudonimisasi dan enkripsi, ketahanan sistem, pemulihan tepat waktu, dan pengujian keamanan berkala.
• Pejabat atau petugas pelindungan data pribadi yang melapor ke manajemen puncak, independen, dan didukung sumber daya memadai.
• Pemberitahuan kepada subjek data sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, atau pembubaran.

Pemberitaan juga menyebut aturan baru untuk data anak, termasuk memastikan pengguna yang tergolong anak teridentifikasi sebelum datanya diproses.

Apa yang berubah bagi prosesor?

Penunjukan prosesor memerlukan perjanjian tertulis dengan klausul minimum, antara lain pengawasan, dokumentasi, audit dan inspeksi, serta pelibatan subprosesor hanya dengan persetujuan. Prosesor wajib melaporkan kegagalan pelindungan data kepada pengendali.

Transfer data lintas negara

Sebelum mentransfer data pribadi ke luar negeri, pengendali memetakan transfer tersebut, menilai dampaknya terhadap hak subjek data, memberi tahu subjek data tentang tujuan, pengaman, dan risikonya, serta memastikan negara penerima memiliki pelindungan yang memadai. Layanan cloud dan tim dukungan di luar negeri termasuk di dalamnya.

Siapa yang menegakkan?

PP ini memberi lembaga pelindungan data pribadi peran dalam pemeriksaan, mediasi, dan sanksi administratif, dengan besaran denda ditentukan oleh sejumlah variabel. UU PDP sendiri membatasi denda administratif paling tinggi 2% dari pendapatan tahunan dan mewajibkan pemberitahuan tertulis kegagalan pelindungan data paling lambat 3 × 24 jam.

Per Oktober 2026, pemberitaan menyebut lembaga tersebut belum terbentuk, dan pengamat menilai penegakan bergantung padanya. Itu memberi waktu untuk bersiap, bukan alasan untuk menunggu: subjek data sudah bisa menuntut ganti rugi berdasarkan undang-undang.

Cara bersiap sebelum 16 Januari 2027

• Susun atau perbarui rekaman pemrosesan. Kewajiban lain bertumpu padanya.
• Tulis prosedur permintaan subjek data dan uji dari awal sampai akhir, termasuk verifikasi identitas.
• Tinjau kontrak prosesor terhadap klausul minimum.
• Petakan transfer lintas negara, termasuk layanan cloud dan staf dukungan di luar negeri.
• Tunjuk pejabat PDP dengan jalur pelaporan ke manajemen puncak.
• Latih alur pemberitahuan insiden: siapa yang memutuskan, siapa yang menulis pemberitahuan, siapa yang mengirimnya.

Posisi Whitesec One

Workspace ISO 27701 di Whitesec One menyimpan semua ini sebagai register: records of processing, consent and notices, data subject requests, cross-border transfers, PII processors and DPAs, breach notification, serta halaman UU PDP compliance. Whitesec ID di Jakarta mendampingi organisasi yang menerapkan UU PDP bersama ISO/IEC 27701.