UU PDP untuk Perusahaan: Kewajiban per Pasal, Sanksi Setelah 2026, dan Checklist Kesiapan

UU PDP untuk perusahaan berarti setiap perusahaan yang memproses data pribadi pelanggan, karyawan, pelamar, atau mitra wajib menjalankan kewajiban pengendali data menurut UU Nomor 27 Tahun 2022, dan masa penyesuaiannya sudah berakhir pada 17 Oktober 2024. Intinya: punya dasar hukum untuk setiap pemrosesan, melayani permintaan subjek data paling lambat 3 x 24 jam, merekam kegiatan pemrosesan, menjaga keamanan data, mengawasi vendor, dan memberi tahu kegagalan pelindungan data secara tertulis paling lambat 3 x 24 jam.

Diperbarui: 7 November 2026

Apa itu UU PDP dan siapa yang wajib mematuhinya

UU PDP adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang disahkan dan diundangkan pada 17 Oktober 2022. Teks resminya dapat dibaca di JDIH BPK.

Data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sendiri atau dikombinasikan dengan informasi lain (Pasal 1 angka 1). Pengendali data pribadi adalah pihak yang menentukan tujuan dan melakukan kendali pemrosesan; prosesor data pribadi adalah pihak yang memproses data atas nama pengendali (Pasal 1 angka 4 dan 5).

UU ini berlaku untuk setiap orang, termasuk korporasi, badan publik, dan organisasi internasional, di Indonesia maupun di luar negeri bila perbuatannya berakibat hukum di Indonesia atau bagi subjek data warga negara Indonesia di luar negeri (Pasal 2 ayat 1). Yang dikecualikan dari cakupannya hanya pemrosesan oleh orang perseorangan untuk kegiatan pribadi atau rumah tangga (Pasal 2 ayat 2). UU ini tidak membedakan ukuran usaha.

Pasal 4 membagi data menjadi dua kelompok. Data spesifik meliputi data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Data umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengidentifikasi seseorang.

Sejak kapan berlaku, dan apa yang belum ada

UU PDP berlaku sejak diundangkan (Pasal 76). Pasal 74 memberi pengendali dan prosesor waktu dua tahun untuk menyesuaikan diri, sehingga sejak 17 Oktober 2024 seluruh kewajibannya mengikat.

Yang belum ada adalah aturan turunannya. UU ini menyerahkan banyak rincian kepada peraturan pemerintah, antara lain tata cara pemrosesan, penilaian dampak, transfer ke luar negeri, dan tata cara denda administratif. Lembaga pengawasnya juga harus ditetapkan Presiden lewat peraturan presiden (Pasal 58). Per 5 November 2026, kami tidak menemukan peraturan pemerintah pelaksana UU PDP maupun peraturan presiden tentang lembaga itu di JDIH BPK, dan halaman UU PDP di JDIH Komdigi mencatat peraturan pelaksananya "data belum tersedia".

Artinya, kewajiban di dalam UU tetap berlaku. Yang tertunda adalah sanksi administratif, karena penjatuhnya adalah lembaga tersebut dan tata cara dendanya menunggu peraturan pemerintah. Ketentuan pidananya tidak bergantung pada lembaga itu.

Kewajiban UU PDP untuk perusahaan sebagai pengendali data

Dasar pemrosesan: persetujuan bukan satu-satunya

Pasal 20 ayat 2 menyebut enam dasar: persetujuan eksplisit, pelaksanaan perjanjian, kewajiban hukum, kepentingan vital, tugas untuk kepentingan umum, dan kepentingan sah lainnya. Untuk data karyawan, dasarnya biasanya perjanjian kerja dan kewajiban hukum seperti pemotongan pajak dan iuran jaminan sosial. Memakai persetujuan untuk semua hal justru berisiko, karena persetujuan bisa ditarik dan pemrosesannya wajib dihentikan paling lambat 3 x 24 jam (Pasal 40).

Hak subjek data dan tenggat 3 x 24 jam

Subjek data berhak mendapat informasi, memperbaiki data, mengakses dan memperoleh salinan, meminta penghapusan, menarik persetujuan, menunda pemrosesan, dan menggugat ganti rugi (Pasal 5 sampai 13). Pasal 10 juga memberi hak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, bila berakibat hukum atau berdampak signifikan. Permintaan diajukan lewat permohonan tercatat (Pasal 14), jadi siapkan satu saluran yang mencatat tanggal dan jam masuk.

Kegagalan pelindungan data

Kegagalan pelindungan data pribadi adalah kegagalan melindungi kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan yang disengaja maupun tidak (penjelasan Pasal 46). Pemberitahuannya paling sedikit memuat data yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihannya. Dalam hal tertentu, masyarakat juga harus diberi tahu.

Pejabat PDP: kapan wajib

Pasal 53 mewajibkan pengendali dan prosesor menunjuk pejabat atau petugas PDP bila pemrosesannya untuk pelayanan publik, bila kegiatan intinya memerlukan pemantauan teratur dan sistematis atas data berskala besar, atau bila kegiatan intinya memproses data spesifik atau data terkait tindak pidana dalam skala besar. Pejabat ini boleh berasal dari dalam atau luar perusahaan. UU tidak mendefinisikan "skala besar", jadi bila Anda ragu, tetap tunjuk satu penanggung jawab.

Vendor dan transfer ke luar negeri

Vendor yang memproses data atas perintah Anda, misalnya penyedia aplikasi gaji, CRM, cloud, atau layanan AI, adalah prosesor. Pemrosesan oleh mereka tetap menjadi tanggung jawab Anda (Pasal 51 ayat 3), dan mereka butuh persetujuan tertulis Anda sebelum memakai subprosesor (Pasal 51 ayat 5). Untuk transfer ke luar negeri, Pasal 56 menetapkan urutan: negara penerima harus punya pelindungan setara atau lebih tinggi; bila tidak, harus ada pelindungan yang memadai dan mengikat; bila keduanya tidak terpenuhi, wajib ada persetujuan subjek data.

Sanksi UU PDP untuk perusahaan

Sanksi administratif (Pasal 57) berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Sanksi ini dijatuhkan oleh lembaga PDP, yang per 5 November 2026 belum tercantum di basis data peraturan resmi.

Sanksi pidana sudah disesuaikan. Sejak 2 Januari 2026, UU Nomor 1 Tahun 2026 tentang Penyesuaian Pidana mengubah ancaman denda di Pasal 67 dan Pasal 68 UU PDP menjadi kategori denda KUHP. Angka Rp4 miliar sampai Rp6 miliar yang masih sering dikutip adalah bunyi sebelum penyesuaian.

Menurut Pasal 79 KUHP, denda kategori IV paling banyak Rp200 juta dan kategori V paling banyak Rp500 juta. Bila pelakunya korporasi, Pasal 70 UU PDP memungkinkan pidana dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasinya. Korporasi hanya dapat dijatuhi denda, ditambah pidana tambahan seperti pembekuan usaha, pencabutan izin, sampai pembubaran.

Checklist kesiapan UU PDP

1. Inventaris data pribadi: data apa, dari siapa, untuk tujuan apa, disimpan di mana, dan siapa yang bisa mengaksesnya.
2. Dasar pemrosesan per tujuan sesuai Pasal 20, dicatat bersama inventaris.
3. Pemberitahuan privasi dan formulir persetujuan yang memuat informasi Pasal 21, terpisah dari klausul lain, dengan bahasa sederhana.
4. Rekaman kegiatan pemrosesan yang diperbarui setiap ada sistem atau tujuan baru.
5. Prosedur hak subjek data dengan satu saluran tercatat dan tenggat 3 x 24 jam.
6. Penilaian dampak untuk pemrosesan berisiko tinggi: data spesifik, skala besar, keputusan otomatis, atau penilaian dan pemantauan sistematis.
7. Daftar vendor dan kontraknya, termasuk layanan AI, lokasi pemrosesan, dan subprosesor. Masukkan klausul data ke perjanjian seperti kontrak maintenance aplikasi.
8. Kontrol keamanan seperti akses sesuai peran, catatan akses, enkripsi, dan cadangan data.
9. Jadwal retensi dan penghapusan, dengan memperhatikan kewajiban simpan dari aturan lain seperti perpajakan.
10. Rencana tanggap kegagalan berisi penanggung jawab, templat pemberitahuan, dan latihan simulasi.
11. Pejabat atau penanggung jawab PDP sesuai Pasal 53.
12. Pelatihan karyawan dan aturan pemakaian AI. Panduan kebijakan penggunaan AI membahas data apa yang boleh masuk ke alat AI.

Data karyawan dan AI: titik yang paling sering terlewat

Bagian HR memegang data paling sensitif: KTP, kesehatan, biometrik absensi, rekening gaji, dan data keluarga. Bila Anda memakai AI untuk menyaring CV atau menilai kinerja, pemrosesan itu tergolong berisiko tinggi menurut Pasal 34 dan subjeknya berhak keberatan menurut Pasal 10. Uji dulu use case seperti ini dengan data tersamar, seperti dijelaskan di panduan proof of concept AI, dan pastikan keputusan akhir tetap dipegang manusia.

Ringkasan

• UU PDP berlaku sejak 17 Oktober 2022 dan masa penyesuaiannya berakhir 17 Oktober 2024, untuk perusahaan besar maupun kecil.
• Kewajiban inti: dasar pemrosesan, rekaman pemrosesan, keamanan, pengawasan vendor, layanan hak subjek data, dan pemberitahuan kegagalan dalam 3 x 24 jam.
• Per 5 November 2026, peraturan pemerintah pelaksana dan peraturan presiden tentang lembaga PDP belum tercantum di basis data peraturan resmi.
• Sejak 2 Januari 2026, denda pidana UU PDP mengikuti kategori KUHP: kategori IV untuk Pasal 67 dan kategori V untuk Pasal 68.
• Mulailah dari inventaris data, karena hampir semua kewajiban lain bergantung padanya.

Bagaimana Etzal membantu

Lini AI Consulting kami menjalankan checklist kesiapan ini dari sisi data dan sistem: inventaris data, alur data antarsistem dan vendor, termasuk layanan AI, prosedur 3 x 24 jam, dan catatan pemrosesan. Hasilnya diserahkan tertulis. Penilaian hukum akhir tetap menjadi wewenang penasihat hukum Anda. Untuk memulai, jadwalkan konsultasi.