Pemerintah telah menerbitkan Peraturan No. 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”). Dalam kerangka baru ini, Lembaga Pelindungan Data Pribadi (“Lembaga”)[1] berperan penting dalam mengawasi kepatuhan dan menjatuhkan sanksi administratif kepada Pengendali Data Pribadi (“Pengendali”) dan Prosesor Data Pribadi (“Prosesor”).[2]
Selain itu, Pengendali tetap tunduk pada persyaratan tata kelola internal yang ketat, termasuk menyusun ketentuan pemrosesan internal,[3] merekam seluruh kegiatan pemrosesan data pribadi,[4] dan menunjuk Pejabat Pelindungan Data Pribadi untuk kegiatan pemrosesan tertentu (misalnya pemrosesan skala besar atau pelayanan publik).[5] Di samping itu, Pengendali wajib mematuhi jangka waktu 3 × 24 jam untuk memenuhi hak subjek data dan memiliki mekanisme internal untuk menangani tuntutan ganti rugi serta memitigasi risiko yang timbul dari pemrosesan otomatis.[6]
PP 33/2026 resmi mulai berlaku pada tanggal 16 Januari 2027.[7]
Pemrosesan Data Pribadi
Secara umum, PP 33/2026 mengatur bahwa Pengendali harus menginformasikan subjek data mengenai pemrosesan data pribadi (misalnya tindakan yang akan dilakukan pasca berakhirnya tujuan pemrosesan dan jenis ancaman yang akan terjadi apabila pemrosesan tidak dilakukan).[8] Dalam hal pemrosesan yang dilakukan untuk pelaksanaan tugas, informasi tersebut pada umumnya harus diberikan pada saat pemrosesan dimulai, dengan tunduk pada pengaturan tertentu apabila pemberian informasi tersebut dapat mengganggu kepentingan umum atau pelayanan publik.[9]
Selain itu, salah satu persyaratan utama dalam PP 33/2026 adalah Pengendali wajib memiliki dasar pemrosesan sebelum pemrosesan dimulai.[10] Terdapat enam dasar hukum yang diakui (misalnya persetujuan sah yang dinyatakan secara eksplisit, kebutuhan kontraktual, dan pelindungan kepentingan vital).[11] Pengendali juga harus memastikan bahwa pemrosesan Data Pribadi tidak bersifat diskriminatif kepada subjek data.[12]
Apabila persetujuan dijadikan dasar, PP 33/2026 menetapkan persyaratan tambahan. Persetujuan harus didapatkan secara bebas, sadar, spesifik, dan tidak ambigu, serta Pengendali wajib memberikan informasi yang relevan sebelum memperoleh persetujuan tersebut.[13] Pengendali juga wajib menunjukkan bukti persetujuan sebagai bagian dari kewajiban akuntabilitasnya [14]
Hak Subjek Data Pribadi
PP 33/2026 menegaskan bahwa subjek data memiliki hak untuk mengajukan keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis, termasuk pemrofilan, apabila keputusan tersebut menimbulkan akibat hukum atau berdampak signifikan pada subjek data.[15] Oleh karena itu, Pengendali harus memiliki mekanisme untuk menanggapi keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis.[16]
Selain itu, Pengendali harus memberikan informasi yang memadai mengenai teknologi yang digunakan dalam pengambilan keputusan secara otomatis dan konsekuensi yang dapat dialami oleh subjek data.[17] Apabila suatu keberatan telah diverifikasi dan diterima, Pengendali harus menyediakan mekanisme pemrosesan data alternatif.[18]
Pengendali dapat menolak suatu keberatan atas dasar tertentu, misalnya apabila pemrosesan tersebut tidak terdapat akibat hukum.[19] Penolakan tersebut tidak menghilangkan hak subjek data untuk menarik kembali persetujuan yang sebelumnya telah diberikan untuk pemrosesan Data Pribadi.[20] Pengendali juga harus memberitahukan penolakan tersebut kepada subjek data.[21]
PP 33/2026 juga mengatur mekanisme yang lebih terperinci bagi subjek data untuk mengajukan dan menerima ganti rugi atas pelanggaran dari pemrosesan data pribadi.[22] Pengajuan ganti rugi harus disampaikan kepada Pengendali dan memuat informasi tertentu, misalnya identitas subjek data, bukti pendukung, dan hubungan hukum antara subjek data dan Pengendali.[23]
Pengendali harus memiliki mekanisme dan kebijakan untuk menangani tuntutan ganti rugi, yaitu menilai tuntutan tersebut dan menyampaikan jawaban kepada subjek data.[24] Jika tuntutan ganti rugi ditolak atau tidak tercapai kesepakatan mengenai ganti rugi, subjek data dapat mengajukan gugatan sesuai dengan ketentuan peraturan perundang-undangan yang berlaku.[25]
Selain itu, permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi kepada Pengendali dan/atau Prosesor yang merupakan badan publik negara harus dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan yang mengatur urusan tata usaha negara.[26]
Tindakan Korporasi dan Transfer Lintas Batas
PP 33/2026 mewajibkan Pengendali yang berbentuk badan hukum dan melakukan tindakan korporasi, seperti penggabungan, pemisahan, atau pembubaran, untuk menyampaikan hal tersebut kepada subjek data.[27] Pemberitahuan tersebut setidaknya harus memuat informasi mengenai hal-hal tertentu, seperti kegiatan pengalihan dan pemrosesan, identitas Pengendali baru, serta mekanisme untuk mengajukan keberatan atau menghentikan pemrosesan.[28]
Sementara itu, transfer lintas batas Data Pribadi wajib memastikan bahwa negara penerima memberikan tingkat pelindungan data yang setara dengan atau lebih tinggi daripada yang dipersyaratkan dalam PP 33/2026.[29] Apabila standar tersebut tidak terpenuhi, Pengendali wajib memastikan adanya pelindungan yang memadai dan mengikat atau memperoleh persetujuan dari subjek data.[30]
Sebelum melakukan transfer lintas batas, Pengendali harus mengambil langkah-langkah tertentu, seperti memetakan siklus transfer dan implikasinya serta memastikan bahwa Data Pribadi yang akan ditransfer bersifat memadai, relevan, dan dibatasi pada hal yang diperlukan untuk tujuan transfer Langkah-langkah tersebut juga mencakup penilaian instrumen hukum yang relevan, seperti dasar regulasi yang dijadikan acuan serta tujuan transfer dan pemrosesan data pribadi.[31]
Selain itu, sebelum transfer lintas batas dilakukan, Pengendali harus menyampaikan informasi tertentu kepada subjek data, seperti tujuan transfer lintas batas data pribadi, risiko yang terkait dengan transfer tersebut, dan langkah-langkah mitigasi risiko yang telah diterapkan.[32]
Pengawasan dan Sanksi Administratif
PP 33/2026 juga memberikan kewenangan kepada Lembaga untuk mengawasi kepatuhan Pengendali. Pengawasan tersebut meliputi pemantauan, pengendalian, pemeriksaan, dan penelusuran atas dugaan pelanggaran terhadap persyaratan pelindungan data pribadi.[33] Hasil pengawasan Pelindungan Data Pribadi tersebut dapat diumumkan kepada publik.[34]
Terkait dengan sanksi administratif, PP 33/2026 memberikan kewenangan kepada Lembaga untuk mengenakan sanksi administratif kepada Pengendali dan/atau Prosesor atas pelanggaran terhadap persyaratan pelindungan data pribadi. Sanksi administratifnya berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif.[35]
Dalam menjatuhkan sanksi, Lembaga mempertimbangkan, antara lain, tingkat keparahan atau dampak pelanggaran, kelangsungan kegiatan usaha atau pelayanan publik, serta kepatuhan dan riwayat kepatuhan pihak yang dikenai sanksi. Selain itu, satu pelanggaran dapat dikenai lebih dari satu sanksi administratif secara bersamaan, dengan atau tanpa didahului peringatan tertulis.[36]
Secara khusus, denda administratif dapat dikenakan paling tinggi 2% dari pendapatan atau penerimaan tahunan Pengendali dan/atau Prosesor, berdasarkan variabel pelanggaran yang berlaku.[37] Besaran denda ditentukan dengan mempertimbangkan berbagai faktor, misalnya dampak dan lamanya pelanggaran, jenis dan jumlah Data Pribadi yang terdampak, skala usaha, dan kemampuan untuk membayar.[38]
Dalam keadaan tertentu, denda administratif dapat ditetapkan sebesar Rp0,00 atau 0%. Denda administratif yang telah memperoleh kekuatan hukum tetap wajib dibayar dan disetorkan ke kas negara sebagai penerimaan negara bukan pajak.[39]
Poin Penting
PP 33/2026 membentuk kerangka yang lebih terstruktur bagi tata kelola dan pengawasan pelindungan data pribadi dengan memberikan kewenangan kepada Lembaga untuk mengawasi kepatuhan dan menjatuhkan sanksi administratif, termasuk denda paling tinggi sebesar 2% dari pendapatan atau penerimaan tahunan berdasarkan variabel pelanggaran yang berlaku. Oleh karena itu, Pengendali dan Prosesor harus memastikan kepatuhan terhadap persyaratan pemrosesan data pribadi, hak subjek data, persyaratan transfer lintas batas, dan kewajiban tata kelola internal guna memitigasi risiko pengawasan regulator dan sanksi administratif.
Perusahaan harus segera meninjau dan menyelaraskan kebijakan dan prosedur internal mereka terkait pemrosesan data pribadi, termasuk mekanisme persetujuan, prosedur penanganan keberatan atas pemrosesan otomatis, tuntutan ganti rugi, dan pemberian informasi kepada subjek data.
Jika Anda memiliki pertanyaan lebih lanjut mengenai Peraturan ini, Anda dapat mengakses layanan AI Assistant kami - AIlex, atau jadwalkan virtual discussion dengan salah satu analis atau practice leaders kami melalui laman workspace Anda. (NA)
MATRIKS PERBANDINGAN
Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
dengan
Peraturan Pemerintah No. 33 Tahun 2026 tentang Peraturan Pelaksana Pelaksanaan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
|
Klaster Ketentuan Umum, Definisi & Ruang Lingkup
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 1 UU ↔ Pasal 1 PP |
Pasal 1 Dalam Undang-Undang ini yang dimaksud dengan: 1. Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik. 2. Pelindungan Data Pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional subjek Data Pribadi. 3. Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta, maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik. 4. Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. 5. Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi. 6. Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi. 7. Setiap Orang adalah orang perseorangan atau korporasi. 8. Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum. 9. Badan Publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, sumbangan masyarakat, dan/atau luar negeri. 10. Organisasi Internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional. 11. Pemerintah Pusat yang selanjutnya disebut Pemerintah adalah Presiden Republik Indonesia yang memegang kekuasaan pemerintahan Negara Republik Indonesia sebagaimana dimaksud dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945.
Penjelasan Pasal 1 Cukup jelas.
|
Pasal 1 Dalam Peraturan Pemerintah ini yang dimaksud dengan: 1. Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan Informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik. 2. Pelindungan Data Pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional Subjek Data Pribadi. 3. Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta, maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik. 4. Pengendali Data Pribadi adalah Setiap Orang, Badan Publik, dan Organisasi Internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. 5. Prosesor Data Pribadi adalah Setiap Orang, Badan Publik, dan Organisasi Internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi. 6. Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi. 7. Setiap Orang adalah orang perseorangan atau korporasi. 8. Badan Publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah, sumbangan masyarakat, dan/atau luar negeri. 9. Organisasi Internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional. 10. Mediasi Pelindungan Data Pribadi yang selanjutnya disebut sebagai Mediasi adalah cara penyelesaian Sengketa Pelindungan Data Pribadi terkait Data Pribadi melalui proses perundingan untuk memperoleh kesepakatan Para Pihak yang Bersengketa dengan dibantu Mediator. 11. Mediator adalah seorang atau beberapa orang yang memiliki kompetensi yang ditetapkan oleh Lembaga dan/atau terdaftar pada badan Arbitrase atau Lembaga Mediasi sesuai dengan ketentuan peraturan perundang-undangan yang berkedudukan di wilayah Negara Republik Indonesia untuk membantu Para Pihak yang Bersengketa mencari kemungkinan penyelesaian Sengketa Pelindungan Data Pribadi. 12. Arbitrase adalah cara penyelesaian suatu Sengketa Pelindungan Data Pribadi perdata di luar peradilan umum yang didasarkan pada perjanjian arbitrase yang dibuat secara tertulis oleh Para Pihak yang Bersengketa. 13. Para Pihak yang Bersengketa adalah Pengendali Data Pribadi, Prosesor Data Pribadi, atau Subjek Data Pribadi yang Bersengketa. 14. Kesepakatan Perdamaian adalah kesepakatan hasil Mediasi dalam bentuk dokumen yang memuat klausul perdamaian dan ketentuan penyelesaian Sengketa Pelindungan Data Pribadi serta ditandatangani oleh Para Pihak yang Bersengketa dan Mediator. 15. Lembaga adalah lembaga yang menyelenggarakan Pelindungan Data Pribadi sebagaimana diatur dalam Undang-Undang yang mengatur mengenai Pelindungan Data Pribadi. 16. Lembaga Mediasi adalah lembaga alternatif penyelesaian Sengketa Pelindungan Data Pribadi yang berkedudukan hukum dalam wilayah Negara Republik Indonesia sesuai dengan ketentuan peraturan perundang-undangan. 17. Sengketa Pelindungan Data Pribadi yang selanjutnya disebut sebagai Sengketa adalah perbedaan kepentingan atau perselisihan yang terjadi antara Para Pihak yang Bersengketa mengenai pelaksanaan atau pemenuhan hak dan/atau kewajiban Pelindungan Data Pribadi salah satu pihak berdasarkan hubungan hukum di antara mereka. 18. Kegagalan Pelindungan Data Pribadi adalah kegagalan melindungi Data Pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan Data Pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap Data Pribadi yang dikirim, disimpan, atau diproses. 19. Hari adalah hari kerja. 20. Pengendali Data Pribadi Bersama adalah Pengendali Data Pribadi yang terdiri atas 2 (dua) atau lebih Pengendali Data Pribadi yang secara bersama-sama menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. 21. Anak adalah setiap orang yang berusia di bawah 18 (delapan belas) tahun dan belum menikah. 22. Penyandang Disabilitas adalah setiap orang yang mengalami keterbatasan fisik, intelektual, mental, dan/atau sensorik dalam jangka waktu lama yang dalam berinteraksi dengan lingkungan dapat mengalami hambatan dan kesulitan untuk berpartisipasi secara penuh dan efektif dengan warga negara lainnya berdasarkan kesamaan hak. 23. Masa Retensi adalah periode waktu pemrosesan Data Pribadi yang diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi dan/atau karena kewajiban hukum lainnya. 24. Kerja Sama Internasional dalam Bidang Pelindungan Data Pribadi yang selanjutnya disebut Kerja Sama Internasional adalah kegiatan secara bersama-sama yang dilakukan secara bilateral, regional, atau multilateral dalam rangka memberikan Pelindungan Data Pribadi. 25. Pejabat atau Petugas yang Melaksanakan Fungsi Pelindungan Data Pribadi yang selanjutnya disebut PPDP adalah pejabat atau petugas yang bertanggung jawab untuk memastikan pemenuhan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. 26. Pemerintah Pusat yang selanjutnya disebut Pemerintah adalah Presiden Republik Indonesia yang memegang kekuasaan pemerintahan Negara Republik Indonesia sebagaimana dimaksud dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945. 27. Kementerian atau lembaga adalah instansi penyelenggara negara yang bertugas mengawasi dan mengeluarkan pengaturan terhadap sektornya.
Penjelasan Pasal 1 Cukup jelas.
|
|
2 |
Pasal 2 UU ↔ Pasal 2–4 PP |
Pasal 2 (1) Undang-Undang ini berlaku untuk Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum sebagaimana diatur dalam Undang-Undang ini: a. yang berada di wilayah hukum Negara Republik Indonesia; dan b. di luar wilayah hukum Negara Republik Indonesia, yang memiliki akibat hukum: 1. di wilayah hukum Negara Republik Indonesia; dan/atau 2. bagi Subjek Data Pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia. (2) Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.
Penjelasan Pasal 2 Cukup jelas.
|
Pasal 2 Peraturan Pemerintah ini mengatur Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum dalam pelaksanaan Pelindungan Data Pribadi yang berada: a. di wilayah hukum Negara Republik Indonesia; dan b. di luar wilayah hukum Negara Republik Indonesia yang memiliki akibat hukum: 1. di wilayah hukum Negara Republik Indonesia 2. bagi Subjek Data Pribadi warga negara Indonesia di luar wilayah hukum Negara Republik Indonesia. Penjelasan Pasal 2 Termasuk Badan Publik yaitu Bank Indonesia sebagaimana dimaksud dalam Undang-Undang Nomor 23 Tahun 1999 sebagaimana telah beberapa kali diubah terakhir dengan Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan dan Otoritas Jasa Keuangan sebagaimana dimaksud dalam Undang-Undang Nomor 21 Tahun 2011 sebagaimana telah diubah dengan Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan. Huruf a Cukup jelas. Huruf b Angka 1 Cukup jelas. Angka 2 Ketentuan ini dimaksudkan untuk memberi pelindungan hukum bagi Subjek Data Pribadi yang berada ke luar wilayah hukum Negara Republik Indonesia dan Data Pribadinya diproses ke luar wilayah hukum Negara Republik Indonesia yang mengalami kerugian akibat pemrosesan Data Pribadinya tersebut.
Pasal 3 (1) Orang perseorangan yang melakukan pemrosesan Data Pribadi dalam kegiatan pribadi atau rumah tangga tidak termasuk pemrosesan Data Pribadi sebagaimana yang dimaksud dalam Peraturan Pemerintah ini. (2) Pemrosesan Data Pribadi dalam kegiatan pribadi atau rumah tangga sebagaimana yang dimaksud pada ayat (1) meliputi: a. kegiatan pemrosesan Data Pribadi yang dilakukan oleh orang perseorangan untuk kepentingan dan pemenuhan kebutuhan pribadi atau rumah tangga; b. kegiatan pemrosesan Data Pribadi yang bukan merupakan kegiatan profesional dan/atau komersial; dan/atau c. kegiatan pemrosesan Data Pribadi yang tidak diperuntukkan bagi publik. Penjelasan Pasal 3 Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Yang dimaksud dengan “kegiatan pemrosesan Data Pribadi yang tidak diperuntukkan bagi publik” merupakan kegiatan pemrosesan Data Pribadi yang dilakukan tidak menyebabkan Data Pribadi dapat diakses oleh pihak lain di luar kendali Subjek Data Pribadi perorangan.
Pasal 4 Ruang lingkup Peraturan Pemerintah ini meliputi: a. Data Pribadi; b. pemrosesan Data Pribadi; c. hak dan kewajiban; d. transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia; e. Kerja Sama Internasional; f. partisipasi masyarakat; g. pengawasan terhadap kepatuhan Pengendali Data Pribadi; h. sanksi administratif; dan i. penyelesaian Sengketa. Penjelasan Pasal 4 Cukup jelas.
|
|
Klaster Asas Pelindungan Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 3 UU
|
Pasal 3 Undang-Undang ini berasaskan: a. pelindungan; b. kepastian hukum; c. kepentingan umum; d. kemanfaatan; e. kehati-hatian; f. keseimbangan; g. pertanggungjawaban; dan h. Kerahasiaan. Penjelasan Pasal 3
Huruf a Yang dimaksud dengan "asas pelindungan" adalah bahwa setiap pemrosesan Data Pribadi dilakukan dengan memberikan pelindungan kepada Subjek Data Pribadi atas Data Pribadinya dan Data Pribadi tersebut agar tidak disalahgunakan. Huruf b Yang dimaksud dengan "asas kepastian hukum" adalah bahwa setiap pemrosesan Data Pribadi dilakukan berdasarkan landasan hukum untuk mewujudkan Pelindungan Data Pribadi serta segala sesuatu yang mendukung penyelenggaraannya sehingga mendapatkan pengakuan hukum di dalam dan di luar pengadilan. Huruf c Yang dimaksud dengan "asas kepentingan umum" adalah bahwa dalam menegakkan Pelindungan Data Pribadi harus memperhatikan kepentingan umum atau masyarakat secara luas. Kepentingan umum tersebut antara lain kepentingan penyelenggaraan negara dan pertahanan dan keamanan nasional. Huruf d Yang dimaksud dengan "asas kemanfaatan" adalah bahwa pengaturan Pelindungan Data Pribadi harus bermanfaat bagi kepentingan nasional, khususnya dalam mewujudkan cita-cita kesejahteraan umum. Huruf e Yang dimaksud dengan "asas kehati-hatian" adalah bahwa para pihak yang terkait dengan pemrosesan dan pengawasan Data Pribadi harus memperhatikan segenap aspek yang berpotensi mendatangkan kerugian. Huruf f Yang dimaksud dengan "asas keseimbangan" adalah sebagai upaya Pelindungan Data Pribadi untuk menyeimbangkan antara hak atas Data Pribadi di satu pihak dengan hak negara yang sah berdasarkan kepentingan umum. Huruf g Yang dimaksud dengan "asas pertanggungjawaban" adalah bahwa semua pihak yang terkait dengan pemrosesan dan pengawasan Data Pribadi bertindak secara bertanggung jawab sehingga mampu menjamin keseimbangan hak dan kewajiban para pihak yang terkait termasuk Subjek Data Pribadi. Huruf h Yang dimaksud dengan "asas kerahasiaan" adalah bahwa Data Pribadi terlindungi dari pihak yang tidak berhak dan/atau dari kegiatan pemrosesan Data Pribadi yang tidak sah.
|
— |
|
Klaster Klasifikasi Jenis Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 4 UU ↔ Pasal 5–7 PP |
Pasal 4 (1) Data Pribadi terdiri atas: a. Data Pribadi yang bersifat spesifik; dan b. Data Pribadi yang bersifat umum. (2) Data Pribadi yang bersifat spesifik sebagaimana dimaksud pada ayat (1) huruf a meliputi: a. data dan informasi kesehatan; b. data biometrik; c. data genetika; d. catatan kejahatan; e. data anak; f. data keuangan pribadi; dan/atau g. data lainnya sesuai dengan ketentuan peraturan perundang-undangan. (3) Data Pribadi yang bersifat umum sebagaimana dimaksud pada ayat (1) huruf b meliputi: a. nama lengkap; b. jenis kelamin; c. kewarganegaraan; d. agama; e. status perkawinan; dan/atau f. Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang. Penjelasan Pasal 4
Ayat (1) Huruf a Data Pribadi yang bersifat spesifik merupakan Data Pribadi yang apabila dalam pemrosesannya dapat mengakibatkan dampak lebih besar kepada Subjek Data Pribadi, antara lain tindakan diskriminasi dan kerugian yang lebih besar Subjek Data Pribadi. Huruf b Cukup jelas. Ayat (2) Huruf a Yang dimaksud dengan "data dan informasi kesehatan" adalah catatan atau keterangan individu yang berkaitan dengan kesehatan fisik, kesehatan mental, dan/atau pelayanan kesehatan. Huruf b Yang dimaksud dengan "data biometrik" adalah data yang berkaitan dengan fisik, fisiologis, atau karakteristik perilaku individu yang memungkinkan identifikasi unik terhadap individu, seperti gambar wajah atau data daktiloskopi. Data biometrik juga menjelaskan pada sifat keunikan dan/atau karakteristik seseorang yang harus dijaga dan dirawat, termasuk namun tidak terbatas pada rekam sidik jari, retina mata, dan sampel DNA. Huruf c Yang dimaksud dengan "data genetika" adalah semua data jenis apapun mengenai karakteristik suatu individu yang diwariskan atau diperoleh selama perkembangan prenatal awal. Huruf d Yang dimaksud dengan "catatan kejahatan" merupakan catatan tertulis tentang seseorang yang pernah melakukan perbuatan melawan hukum atau melanggar hukum atau sedang dalam proses peradilan atas perbuatan yang dilakukan, antara lain catatan kepolisian dan pencantuman dalam daftar pencegahan atau penangkalan. Huruf e Cukup jelas. Huruf f Yang dimaksud dengan "data keuangan pribadi" adalah termasuk namun tidak terbatas kepada data jumlah simpanan pada bank termasuk tabungan, deposito, dan data kartu kredit. Huruf g Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Yang dimaksud dengan "Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang" antara lain nomor telepon seluler dan IP Address.
|
Pasal 5 Data Pribadi terdiri atas: a. Data Pribadi yang bersifat spesifik; dan b. Data Pribadi yang bersifat umum. Penjelasan Pasal 5 Cukup jelas.
Pasal 6 (1) Data Pribadi yang bersifat spesifik sebagaimana dimaksud dalam Pasal 5 huruf a meliputi: a. data dan Informasi kesehatan; b. data biometrik; c. data genetika; d. catatan kejahatan; e. data Anak; f. data keuangan pribadi g. data lainnya sesuai dengan ketentuan peraturan perundang-undangan. (2) Data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (1) huruf g ditentukan oleh Kementerian atau lembaga. (3) Dalam menentukan data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (2), Kementerian atau lembaga berkoordinasi dengan Lembaga. (4) Penentuan data lainnya sesuai dengan ketentuan peraturan perundang-undangan sebagaimana dimaksud pada ayat (1) huruf g dilaksanakan berdasarkan pertimbangan Data Pribadi yang pemrosesannya berpotensi menimbulkan dampak lebih besar kepada Subjek Data Pribadi. Penjelasan Pasal 6
Ayat (1) Huruf a Yang dimaksud dengan “data dan lnformasi kesehatan” adalah catatan atau keterangan individu yang berkaitan dengan kesehatan fisik, kesehatan mental, dan/atau pelayanan kesehatan. Huruf b Yang dimaksud dengan “data biometrik” adalah data yang berkaitan dengan fisik, fisiologis, atau karakteristik perilaku individu yang memungkinkan identifikasi unik terhadap individu, seperti gambar wajah atau data daktiloskopi. Data biometrik juga menjelaskan pada sifat keunikan dan/atau karakteristik seseorang yang harus dijaga dan dirawat, termasuk namun tidak terbatas pada rekam sidik jari, retina mata, dan sampel DNA. Huruf c Yang dimaksud dengan “data genetika” adalah semua data jenis apapun mengenai karakteristik suatu individu yang diwariskan atau diperoleh selama perkembangan prenatal awal. Huruf d Yang dimaksud dengan “catatan kejahatan” merupakan catatan tertulis tentang seseorang yang pernah melakukan perbuatan melawan hukum atau melanggar hukum atau sedang dalam proses peradilan atas perbuatan yang dilakukan, antara lain catatan kepolisian dan pencantuman dalam daftar pencegahan atau penangkalan. Huruf e Yang dimaksud dengan “data Anak” merupakan Data Pribadi Anak. Huruf f Yang dimaksud dengan “data keuangan pribadi” adalah termasuk namun tidak terbatas kepada data jumlah simpanan pada bank termasuk tabungan, deposito, dan data kartu kredit. Huruf g Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Yang dimaksud dengan menimbulkan dampak lebih besar antara lain:
Pasal 7 (1) Data Pribadi yang bersifat umum sebagaimana dimaksud dalam Pasal 5 huruf b meliputi: a. nama lengkap; b. jenis kelamin; c. kewarganegaraan; d. agama; e. status perkawinan f. Data Pribadi yang dikombinasikan untuk mengidentifikasi seseorang. (2) Pengombinasian sebagaimana dimaksud pada ayat (1) huruf f dilakukan melalui: a. referensi langsung; b. referensi pemetaan; c. triangularisasi d. kombinasi lainnya. (3) Pengombinasian sebagaimana dimaksud pada ayat (1) huruf f termasuk penggunaan data yang tersedia pada domain publik. (4) Ketentuan lebih lanjut mengenai pengombinasian Data Pribadi sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Lembaga. Penjelasan Pasal 7 Ayat (1) Cukup jelas. Ayat (2) Huruf a Yang dimaksud dengan “referensi langsung” merupakan pengombinasian dengan cara menghubungkan data unik yang sama pada dua sistem yang berbeda, sehingga dapat mengidentifikasikan seseorang. Misalnya, pada dua sistem yang berbeda menggunakan data unik berupa Nomor lnduk Siswa Nasional (NISN) yang jika dihubungkan dapat mengidentifikasi seseorang. Huruf b Yang dimaksud dengan “referensi pemetaan” merupakan pengombinasian dengan cara menghubungkan data unik yang berbeda pada dua sistem yang berbeda dengan suatu pemetaan antara data unik tersebut, sehingga dapat mengidentifikasi seseorang. Misalnya, suatu sistem yang menggunakan data unik berupa nomor induk kependudukan dihubungkan dengan sistem lain yang menggunakan data unik berupa nomor induk pegawai, sehingga dapat mengidentifikasi seseorang. Huruf c Yang dimaksud dengan “triangularisasi” merupakan pengombinasian dengan cara menghubungkan data unik dengan beberapa data lain secara longitudinal, yakni ketika dihubungkan dapat ditemukan irisan antara data-data tersebut sehingga dapat mengidentifikasi seseorang. Huruf d Yang dimaksud dengan “kombinasi lainnya” adalah penggunaan berbagai teknik atau metode untuk mengkombinasikan data dan/atau Informasi sesuai dengan perkembangan teknologi atau ilmu pengetahuan yang digunakan untuk mengidentifikasi seseorang. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas.
|
|
Klaster Hak Subjek Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 5 UU ↔ Pasal 61–66 PP |
Pasal 5 Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi. Penjelasan Pasal 5 Cukup jelas. |
Pasal 61 Subjek Data Pribadi berhak mendapatkan Informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi. Penjelasan Pasal 61 Yang dimaksud dengan “pihak yang meminta Data Pribadi” adalah Pengendali Data Pribadi atau pihak yang bertindak untuk kepentingan Pengendali Data Pribadi.
Pasal 62 (1) Pengendali Data Pribadi wajib menyampaikan Informasi mengenai: a. legalitas dari pemrosesan Data Pribadi; b. tujuan pemrosesan Data Pribadi; c. jenis dan relevansi Data Pribadi yang akan di proses; d. Masa Retensi Data Pribadi; e. rincian mengenai Informasi yang dikumpulkan; f. jangka waktu pemrosesan Data Pribadi; dan g. hak Subjek Data Pribadi. (2) Kewajiban menyampaikan Informasi berlaku terhadap semua dasar pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 30 ayat (3). (3) Informasi sebagaimana dimaksud pada ayat (1) disampaikan melalui sarana pemberitahuan Pelindungan Data Pribadi yang mudah diakses oleh Subjek Data Pribadi dan tersedia selama pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi. (4) Kewajiban menyampaikan Informasi sebagaimana dimaksud pada ayat (2) mulai dilakukan oleh Pengendali Data Pribadi sebelum pemrosesan Data Pribadi. (5) Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Subjek Data Pribadi sebelum terjadi perubahan Informasi. Penjelasan Pasal 62 Ayat (1) Huruf a Yang dimaksud dengan “legalitas dari pemrosesan Data Pribadi” meliputi identitas Pengendali Data Pribadi yang terdiri atas nama, deskripsi singkat, kontak, representatif sesuai dengan ketentuan peraturan perundang-undangan, dan kontak PPDP sesuai dengan ketentuan peraturan perundang-undangan; dasar pemrosesan Data Pribadi; dan dasar hukum. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan “Masa Retensi Data Pribadi” meliputi bagaimana penyimpanan dan pengelolaan Data Pribadi dilakukan. Huruf e Yang dimaksud dengan “rincian mengenai lnformasi yang dikumpulkan” meliputi sumber pengumpulan dan tujuan pengiriman Data Pribadi, lnformasi pihak yang akan menggunakan Data Pribadi dalam hal Pengendali Data Pribadi melibatkan Prosesor Data Pribadi, dan langkah keamanan untuk melindungi Data Pribadi. Huruf f Yang dimaksud dengan “jangka waktu pemrosesan Data Pribadi” meliputi jangka waktu Data Pribadi akan digunakan, jangka waktu Data Pribadi akan disimpan, dan jangka waktu Data Pribadi akan dimusnahkan. Huruf g Yang dimaksud dengan “hak Subjek Data Pribadi” meliputi mekanisme persetujuan dan penarikan persetujuan dalam hal pemrosesan Data Pribadi dilaksanakan berdasarkan persetujuan yang sah secara eksplisit dari Subjek Data Pribadi, mekanisme memperoleh akses dan/atau salinan, mekanisme menyampaikan keberatan, dan mekanisme akses, salinan, verifikasi, dan perbaikan Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan “pemberitahuan” adalah pemberitahuan kepada Subjek Data Pribadi atau pemberitahuan secara umum melalui media elektronik maupun nonelektronik. Yang dimaksud dengan “mudah diakses” merupakan Informasi dapat diakses setiap saat untuk Pengendali Data Pribadi yang memproses Data Pribadi secara elektronik atau dapat diakses pada jangka waktu tertentu untuk Pengendali Data Pribadi yang memproses Data Pribadi secara nonelektronik. Ayat (4) Cukup jelas. Ayat (5) Pemberitahuan mengenai perubahan Informasi menjadikan lnformasi yang diberikan oleh Pengendali Data Pribadi merupakan Informasi yang akurat dan terkini.
Pasal 63 (1) Kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 berlaku juga untuk pemrosesan Data Pribadi oleh Pengendali Data Pribadi Bersama. (2) Dalam melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi Bersama juga menyampaikan Informasi tambahan yang memuat paling sedikit: a. Informasi Pengendali Data Pribadi yang terlibat dalam pemrosesan Data Pribadi secara bersama sama; b. keterkaitan antartujuan pemrosesan Data Pribadi yang dikendalikan oleh masing-masing Pengendali Data Pribadi; c. cara pemrosesan Data Pribadi; dan d. narahubung yang ditunjuk secara bersama sama. Penjelasan Pasal 63 Cukup jelas.
Pasal 64 Dalam hal Data Pribadi didapatkan secara tidak langsung dari Subjek Data Pribadi, Pengendali Data Pribadi melaksanakan kewajiban penyampaian Informasi sebagaimana dimaksud dalam Pasal 62 ayat (1) paling lambat 30 (tiga puluh) Hari setelah Data Pribadi dikumpulkan atau diperoleh. Penjelasan Pasal 64 Yang dimaksud dengan “penyampaian lnformasi” adalah penyampaian Informasi kepada Subjek Data Pribadi atau pemberitahuan secara umum melalui media elektronik maupun nonelektronik. Pasal 65 Pengendali Data Pribadi tidak dapat mencantumkan klausul eksonerasi dalam pemberitahuan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 65 Yang dimaksud dengan “klausul eksonerasi” adalah klausul yang isinya mengurangi, membatasi, dan/atau membebaskan kewajiban atau tanggung jawab Pengendali Data Pribadi.
Pasal 66 Ketentuan lebih lanjut mengenai permintaan dan penyampain Informasi diatur dalam Peraturan Lembaga. Penjelasan Pasal 66 Cukup jelas.
|
|
2 |
Pasal 6 UU ↔ Pasal 70 PP |
Pasal 6 Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi. Penjelasan Pasal 6 Cukup jelas. |
Pasal 70 Subjek Data Pribadi berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi. Penjelasan Pasal 70 Cukup jelas.
|
|
3 |
Pasal 7 UU ↔ Pasal 76 PP |
Pasal 7 Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 7 Hak untuk memperoleh salinan Data Pribadi dilakukan secara gratis, kecuali untuk kondisi tertentu yang memang membutuhkan biaya. |
Pasal 76 (1) Subjek Data Pribadi berhak mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (2) Salinan Data Pribadi sebagaimana dimaksud pada ayat (1) hanya diberikan untuk Data Pribadi yang tidak berdampak bagi pengungkapan Data Pribadi orang lain. Penjelasan Pasal 76 Ayat (1) Yang dimaksud dengan “mendapatkan akses” merupakan suatu mekanisme atau cara untuk mendapatkan Informasi tentang Data Pribadi dan/atau salinan Data Pribadi dari Subjek Data Pribadi. Hak untuk memperoleh salinan Data Pribadi dilakukan secara gratis, kecuali untuk kondisi tertentu yang memang membutuhkan biaya. Ayat (2) Cukup jelas.
|
|
4 |
Pasal 8 UU ↔ Pasal 79 PP |
Pasal 8 Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 8 Cukup jelas. |
Pasal 79 (1) Subjek Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (2) Penghapusan dan/atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dapat dimintakan bersamaan dengan pengakhiran Pemrosesan Data Pribadi oleh Subjek Data Pribadi. Penjelasan Pasal 79 Cukup jelas.
|
|
5 |
Pasal 9 UU ↔ Pasal 37, 90–91 PP |
Pasal 9 Subjek Data Pribadi berhak menarik kembali persetujuan pemrosesan Data Pribadi tentang dirinya yang telah diberikan kepada Pengendali Data Pribadi. Penjelasan Pasal 9 Cukup jelas. |
Pasal 37 Pengendali Data Pribadi harus memastikan pemenuhan hak Subjek Data Pribadi untuk menarik persetujuan sewaktu-waktu melalui mekanisme yang disediakan oleh Pengendali Data Pribadi. Penjelasan Pasal 37 Cukup jelas.
Pasal 90 (1) Subjek Data Pribadi berhak menarik kembali persetujuan pemrosesan Data Pribadi tentang dirinya yang telah diberikan kepada Pengendali Data Pribadi. (2) Penarikan kembali persetujuan sebagaimana dimaksud pada ayat (1) dilakukan dengan mempertimbangkan kemudahan akses dan kebebasan menentukan pilihan. (3) Pengendali Data Pribadi harus menyediakan mekanisme penarikan kembali persetujuan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1). Penjelasan Pasal 90 Cukup jelas.
Pasal 91 (1) Penarikan persetujuan pemrosesan Data Pribadi oleh Subjek Data Pribadi tidak membatalkan hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi. (2) Hasil pemrosesan Data Pribadi yang telah dilakukan oleh Pengendali Data Pribadi sebelum dilakukan penarikan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1) hanya dapat digunakan sesuai ketentuan peraturan perundang-undangan. Penjelasan Pasal 91 Cukup jelas.
|
|
6 |
Pasal 10 UU ↔ Pasal 93–96 PP |
Pasal 10 (1) Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi. (2) Ketentuan lebih lanjut mengenai pengajuan keberatan atas pemrosesan secara otomatis sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 10
Ayat (1) Yang dimaksud dengan "pemrofilan" adalah kegiatan mengidentifikasi seseorang termasuk namun tidak terbatas pada riwayat pekerjaan, kondisi ekonomi, kesehatan, preferensi pribadi, minat, keandalan, perilaku, lokasi, atau pergerakan Subjek Data Pribadi secara elektronik. Ayat (2) Cukup jelas.
|
Pasal 93 Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi. Penjelasan Pasal 93 Yang dimaksud dengan “menimbulkan akibat hukum” antara lain keputusan yang memengaruhi:
Yang dimaksud dengan “berdampak signifikan” antara lain keputusan yang berpengaruh besar terhadap kondisi hidup, perilaku, atau pilihan seseorang, seperti penolakan permohonan kredit; penolakan pekerjaan; pembentukan harga berbeda berdasarkan Data Pribadi (differential pricing); dan penargetan iklan yang sangat memengaruhi kelompok rentan.
Pasal 94 (1) Pengendali Data Pribadi harus memiliki mekanisme untuk menanggapi pengajuan hak keberatan atas keputusan yang hanya berdasarkan atas pemrosesan secara otomatis. (2) Pengendali Data Pribadi harus memberikan Informasi yang memadai mengenai teknologi yang digunakan untuk pengambilan keputusan yang didasarkan pada pemrosesan secara otomatis dan konsekuensi yang akan dialami Subjek Data Pribadi. (3) Terhadap pengajuan keberatan sebagaimana dimaksud dalam Pasal 93 yang terverifikasi dan diterima keberatannya, Pengendali Data Pribadi memberikan alternatif pemrosesan Data Pribadi dengan melibatkan campur tangan manusia dan/atau tidak berdasarkan hasil pemrosesan secara otomatis. Penjelasan Pasal 94 Cukup jelas.
Pasal 95 (1) Pengendali Data Pribadi dapat menolak keberatan dalam hal: a. tidak terdapat akibat hukum dan/atau dampak signifikan pada Subjek Data Pribadi; dan b. Pengendali Data Pribadi memiliki akurasi sistem yang sangat baik dan sistem mitigasi untuk menghindari dampak bagi Subjek Data Pribadi. (2) Penolakan keberatan oleh Pengendali Data Pribadi tidak menghilangkan hak Subjek Data Pribadi untuk menarik kembali persetujuan pemrosesan Data Pribadi yang telah diberikan sebelumnya. (3) Pengendali Data Pribadi harus memberitahukan penolakan sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi. Penjelasan Pasal 95 Cukup jelas.
Pasal 96 Ketentuan lebih lanjut mengenai pemrosesan secara otomatis diatur dalam Peraturan Lembaga. Penjelasan Pasal 96 Cukup jelas.
|
|
7 |
Pasal 11 UU ↔ Pasal 97–98 PP |
Pasal 11 Subjek Data Pribadi berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi. Penjelasan Pasal 11 Cukup jelas. |
Pasal 97 Subjek Data Pribadi berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi.
Penjelasan Pasal 97 Cukup jelas.
Pasal 98 Hak sebagaimana dimaksud dalam Pasal 97 diajukan dalam hal: a. Subjek Data Pribadi mempermasalahkan keakuratan atau kebenaran Data Pribadi yang diproses oleh Pengendali Data Pribadi untuk jangka waktu yang memungkinkan Pengendali Data Pribadi melakukan verifikasi atas keakuratan atau kebenaran Data Pribadi tersebut; b. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum dan Subjek Data Pribadi tidak mengajukan permohonan penghapusan Data Pribadi, tetapi mengajukan penundaan atau pembatasan pemrosesan Data Pribadi c. Subjek Data Pribadi memiliki kepentingan hukum untuk mengajukan, melaksanakan, atau melakukan pembelaan terhadap tuntutan hukum.
Penjelasan Pasal 98 Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Meskipun Pengendali Data Pribadi tidak lagi memerlukan Data Pribadi untuk tujuan pemrosesan Data Pribadi, Subjek Data Pribadi tetap dapat mengajukan penundaan atau pembatasan pemrosesan Data Pribadinya. Penundaan atau pembatasan pemrosesan Data Pribadi antara lain membuat Data Pribadi tidak dapat diakses oleh pihak lain atau publik atau memindahkan Data Pribadi ke satu media penyimpanan yang aman secara sementara agar Data Pribadi tersebut tidak lagi diproses lebih lanjut. Contoh: Dalam hal Subjek Data Pribadi sudah tidak lagi bekerja pada suatu perusahaan, perusahaan sebagai Pengendali Data Pribadi dapat menghapus atau membuat Subjek Data Pribadi tidak lagi dapat mengakses Data Pribadinya di perusahaan itu. Berdasarkan ketentuan ini, meskipun Pengendali Data Pribadi sudah tidak memerlukan Data Pribadi tersebut, Subjek Data Pribadi berhak untuk menunda atau membatasi pemrosesan Data Pribadi untuk kepentingan berperkara antara Subjek Data Pribadi dan perusahaan itu. Dalam hal ini Subjek Data Pribadi dapat meminta agar perusahaan memberikan akses kepada Subjek Data Pribadi atas Data Pribadinya atau menunda penghapusan Data Pribadinya. |
|
8 |
Pasal 12 UU ↔ Pasal 105–110 PP |
Pasal 12 (1) Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (2) Ketentuan lebih lanjut mengenai pelanggaran pemrosesan Data Pribadi dan tata cara pengenaan ganti rugi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 12 Cukup jelas. |
Pasal 105 Subjek Data Pribadi berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 105 Hak Subjek Data Pribadi untuk menggugat dan menerima ganti rugi atas pelanggaran memiliki posisi yang sama terhadap hak Subjek Data Pribadi yang lain. Yang dimaksud dengan “pelanggaran” misalnya kegiatan pemrosesan Data Pribadi tidak sesuai dengan kewajiban dalam ketentuan peraturan perundang-undangan yang mengakibatkan antara lain akses Data Pribadi secara tidak sah, pengambilan Data Pribadi secara tidak sah, penampilan Data Pribadi secara tidak sah, pembatasan dan/atau penolakan pemenuhan hak Subjek Data Pribadi dalam Undang-Undang mengenai Pelindungan Data Pribadi, dan/atau pembatasan pelaksanaan hak Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan.
Pasal 106 (1) Permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi diajukan Subjek Data Pribadi kepada Pengendali Data Pribadi. (2) Dalam pengajuan permintaan ganti rugi sebagaimana dimaksud pada ayat (1), Subjek Data Pribadi menyampaikan paling sedikit mengenai: a. identitas Subjek Data Pribadi; b. data, Informasi, dan/atau dokumen yang dijadikan bukti oleh Subjek Data Pribadi untuk mengajukan permintaan ganti rugi; dan c. hubungan hukum antara Subjek Data Pribadi dan Pengendali Data Pribadi terkait pemrosesan Data Pribadi. Penjelasan Pasal 106 Cukup jelas.
Pasal 107 Pengendali Data Pribadi harus memiliki mekanisme dan kebijakan penanganan permintaan ganti rugi. Penjelasan Pasal 107 Cukup jelas.
Pasal 108 (1) Pengendali Data Pribadi melakukan penilaian terhadap pengajuan permintaan ganti rugi sebagaimana dimaksud dalam Pasal 106. (2) Pengendali Data Pribadi berdasarkan penilaian sebagaimana dimaksud pada ayat (1) menyampaikan jawaban atas permintaan ganti rugi kepada Subjek Data Pribadi. (3) Dalam hal: a. jawaban Pengendali Data Pribadi sebagaimana dimaksud pada ayat (2) menolak permintaan ganti rugi b. tidak tercapai kesepakatan terkait ganti rugi, Subjek Data Pribadi dapat mengajukan gugatan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 108 Cukup jelas.
Pasal 109 Pengajuan permintaan ganti rugi atas pelanggaran pemrosesan Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang merupakan badan publik negara dilaksanakan berdasarkan ketentuan peraturan perundang-undangan di bidang tata usaha negara. Penjelasan Pasal 109 Yang dimaksud dengan “badan publik negara” adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari anggaran pendapatan dan belanja negara dan/atau anggaran pendapatan dan belanja daerah.
Pasal 110 Ketentuan lebih lanjut mengenai penanganan dan penyelesaian ganti rugi diatur dengan Peraturan Lembaga. Penjelasan Pasal 110 Cukup jelas.
|
|
9 |
Pasal 13 UU ↔ Pasal 111–113 PP |
Pasal 13 (1) Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik. (2) Subjek Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi berdasarkan Undang-Undang ini. (3) Ketentuan lebih lanjut mengenai hak Subjek Data Pribadi untuk menggunakan dan mengirimkan Data Pribadi sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 13 Cukup jelas. |
Pasal 111 (1) Subjek Data Pribadi berhak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik. (2) Subjek Data Pribadi berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi. a. dasar pemrosesan Data Pribadi dilakukan berdasarkan: 1. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi 2. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; dan b. pemrosesan dilakukan secara otomatis. Penjelasan Pasal 111 Ayat (1) Hak mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik merupakan hak portabilitas. Ayat (2) Hak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya merupakan hak interoperabilitas. Ayat (3) Cukup jelas.
Pasal 112 Pengendali Data Pribadi dalam pelaksanaan hak mendapatkan dan/atau menggunakan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (1) dan hak menggunakan dan mengirimkan Data Pribadi sebagaimana dimaksud dalam Pasal 111 ayat (2) harus memperhatikan: a. kemampuan Pengendali Data Pribadi dalam memenuhi hak Subjek Data Pribadi yang diinformasikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; dan b. ketentuan peraturan perundang-undangan mengenai larangan praktek monopoli dan persaingan usaha tidak sehat. Penjelasan Pasal 112 Cukup jelas.
Pasal 113 Ketentuan lebih lanjut mengenai mekanisme pelaksanaan hak mendapatkan dan menggunakan portabilitas dan interoperabilitas diatur dalam Peraturan Lembaga. Penjelasan Pasal 113 Cukup jelas.
|
|
10 |
Pasal 14 UU ↔ Pasal 20–27 PP |
Pasal 14 Pelaksanaan hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 6 sampai dengan Pasal 11 diajukan melalui permohonan tercatat yang disampaikan secara elektronik atau nonelektronik kepada Pengendali Data Pribadi. Penjelasan Pasal 14 Cukup jelas.
|
Pasal 20 Pelaksanaan hak Subjek Data Pribadi diajukan melalui permohonan tercatat yang disampaikan secara elektronik atau nonelektronik kepada Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 20 Yang dimaksud dengan “secara elektronik” misalnya melalui platform web atau aplikasi, telepon, dan surat elektronik. Yang dimaksud dengan “secara nonelektronik” misalnya melalui surat dan tatap muka.
Pasal 21 (1) Pengendali Data Pribadi harus menyediakan kanal permohonan pelaksanaan hak Subjek Data Pribadi, baik secara elektronik dan/atau nonelektronik yang mudah diakses oleh Subjek Data Pribadi. (2) Dalam hal Pengendali Data Pribadi memproses Data Pribadi secara elektronik, permohonan pelaksanaan hak Subjek Data Pribadi disampaikan secara elektronik. (3) Pengendali Data Pribadi menyampaikan pemberitahuan pelaksanaan hak Subjek Data Pribadi yang dimohonkan sebagaimana dimaksud pada ayat (1) melalui: a. media komunikasi yang sama dengan media komunikasi yang digunakan Subjek Data Pribadi pada saat pengajuan permohonan b. media komunikasi lain yang dapat diakses Subjek Data Pribadi dengan mudah. Penjelasan Pasal 21 Cukup jelas.
Pasal 22 Waktu penerimaan atas permohonan tercatat sebagaimana dimaksud dalam Pasal 20 ditentukan sebagai berikut: a. permohonan yang disampaikan secara elektronik, waktu penerimaan dihitung sejak permohonan masuk ke dalam sistem elektronik di bawah kendali Pengendali Data Pribadi b. permohonan yang disampaikan secara non-elektronik, waktu penerimaan dihitung sesuai tanggal pada tanda terima permohonan. Penjelasan Pasal 22 Cukup jelas.
Pasal 23 Permohonan pelaksanaan hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 20 dapat diajukan oleh: a. Subjek Data Pribadi; b. orang tua Anak dan/atau wali Anak; c. wali Penyandang Disabilitas d. pihak kuasa dari Subjek Data Pribadi, sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 23 Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan “pihak kuasa” termasuk kuasa secara kolektif bagi lebih dari satu Subjek Data Pribadi.
Pasal 24 (1) Permohonan tercatat sebagaimana dimaksud dalam Pasal 20 harus memuat: a. identitas pihak yang mengajukan permohonan; b. penjelasan mengenai hak Subjek Data Pribadi dan kepentingan Subjek Data Pribadi dalam mengajukan permohonan; dan c. uraian permohonan Subjek Data Pribadi atas Data Pribadi yang diproses oleh Pengendali Data Pribadi. (2) Identitas sebagaimana dimaksud pada ayat (1) huruf a dilengkapi dengan melampirkan bukti identitas. Penjelasan Pasal 24 Ayat (1) Huruf a Yang dimaksud dengan “identitas pihak yang mengajukan permohonan” adalah identitas Subjek Data Pribadi dan dalam hal Subjek Data Pribadi diwakili oleh orang tua, wali, atau kuasa, identitas dari wakil tersebut. Identitas pihak yang mengajukan permohonan dapat berupa identitas resmi yang dikeluarkan oleh Pemerintah atau identitas lain sesuai dengan tujuan pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi. Huruf b Cukup jelas. Huruf c Yang dimaksud dengan “uraian permohonan Subjek Data Pribadi atas Data Pribadi yang diproses” adalah penjelasan Subjek Data Pribadi mengenai misalnya Data Pribadi yang akan dihapus, diperbarui, atau pemrosesan yang dibatasi. Ayat (2) Cukup jelas.
Pasal 25 Pengendali Data Pribadi harus melakukan verifikasi atas permohonan pelaksanaan hak Subjek Data Pribadi dengan mekanisme proporsional. Penjelasan Pasal 25 Verifikasi yang dilakukan oleh Pengendali Data Pribadi adalah pemeriksaan kelengkapan persyaratan atas permohonan Subjek Data Pribadi dan kesesuaian Subjek Data Pribadi yang mengajukan permohonan merupakan pihak yang Data Pribadinya diproses oleh Pengendali Data Pribadi. Termasuk dalam melakukan verifikasi adalah pemeriksaan terhadap keabsahan identitas dan/atau hak pemohon untuk mengajukan permohonan sesuai dengan tujuan pemrosesan Data Pribadi. Yang dimaksud dengan “mekanisme proporsional” adalah cara yang digunakan oleh Pengendali Data Pribadi untuk melakukan verifikasi sesuai dengan tujuan permohonan Subjek Data Pribadi, teknologi, metode, dan waktu yang dibutuhkan oleh Pengendali Data Pribadi untuk melakukan verifikasi terhadap permohonan tersebut. Oleh karena itu, Pengendali Data Pribadi melakukan verifikasi tidak lebih lama dari waktu yang dibutuhkan, sehingga hak Subjek Data Pribadi dapat dipenuhi secara optimal.
Pasal 26 Pengendali Data Pribadi menentukan kondisi pemenuhan dan/atau penolakan atas permohonan pelaksanaan hak Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 26 Cukup jelas.
Pasal 27 (1) Dalam hal Pengendali Data Pribadi tidak melaksanakan kewajibannya atas permohonan pelaksanaan hak Subjek Data Pribadi, Subjek Data Pribadi dapat melaporkan kepada Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (2) Laporan sebagaimana dimaksud pada ayat (1) ditindaklanjuti oleh Lembaga sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Penjelasan Pasal 27 Ayat (1) Laporan kepada Lembaga misalnya laporan dugaan pelanggaran Pelindungan Data Pribadi. Ayat (2) Cukup jelas.
|
|
11 |
Pasal 15 UU ↔ Pasal 148, 150 - 154 PP |
Pasal 15 (1) Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2) dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka penyelenggaraan negara; d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; atau e. kepentingan statistik dan penelitian ilmiah. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang. Penjelasan Pasal 15
Ayat (1) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan "kepentingan proses penegakan hukum" adalah kepentingan yang berkaitan dengan upaya atau langkah dalam rangka menjalankan atau menegakkan aturan hukum berdasarkan ketentuan peraturan perundang-undangan antara lain proses penyelidikan, penyidikan, dan penuntutan. Huruf c Yang dimaksud dengan "kepentingan umum dalam rangka penyelenggaraan negara" antara lain penyelenggaraan administrasi kependudukan, jaminan sosial, perpajakan, kepabeanan, dan pelayanan perizinan berusaha terintegrasi secara elektronik. Huruf d Yang dimaksud dengan "sektor jasa keuangan" adalah perbankan, pasar modal, asuransi, lembaga pembiayaan, dana pensiun, regulasi berbasis teknologi, teknologi finansial, dan teknologi yang berbasis lainnya yang berada dalam pengawasan Bank Indonesia, Otoritas Jasa Keuangan, dan Lembaga Penjamin Simpanan. Huruf e Cukup jelas. Ayat (2) Cukup jelas.
|
Pasal 148 (1) Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 79 ayat (1), Pasal 90 ayat (1), Pasal 93, Pasal 97, dan Pasal 111 ayat (1) dan ayat (2) dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka penyelenggaraan negara; d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara e. kepentingan statistik dan penelitian ilmiah. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang. (3) Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian hak Subjek Data Pribadi. Penjelasan Pasal 148 Ayat (1) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “kepentingan proses penegakan hukum” adalah kepentingan yang berkaitan dengan upaya atau langkah dalam rangka menjalankan atau menegakkan aturan hukum berdasarkan ketentuan peraturan perundang-undangan antara lain proses penyelidikan, penyidikan, dan penuntutan. Huruf c Yang dimaksud dengan “kepentingan umum dalam rangka penyelenggaraan negara” antara lain penyelenggaraan administrasi kependudukan, jaminan sosial, perpajakan, kepabeanan, dan pelayanan perizinan berusaha terintegrasi secara elektronik. Huruf d Yang dimaksud dengan “sektor jasa keuangan” adalah perbankan, pasar modal, asuransi, lembaga pembiayaan, dana pensiun, regulasi berbasis teknologi, teknologi finansial, dan teknologi yang berbasis lainnya yang berada dalam pengawasan Bank Indonesia, Otoritas Jasa Keuangan, dan Lembaga Penjamin Simpanan. Huruf e Cukup jelas. Ayat (2) Yang dimaksud dengan “dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang” adalah kepentingan pertahanan dan keamanan nasional, kepentingan proses penegakan hukum, kepentingan umum dalam rangka penyelenggaraan negara, kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara, atau kepentingan statistik dan penelitian ilmiah telah diatur dengan Undang-undang dan dalam melaksanakan kepentingan tersebut diperlukan pengecualian terhadap hak Subjek Data Pribadi. Ayat (3) Cukup jelas.
Pasal 150 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf a dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf a harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pertahanan dan keamanan nasional; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap pertahanan dan keamanan nasional; d. mendapatkan surat keterangan dari Lembaga atau Kementerian atau lembaga terkait yang menyelenggarakan urusan pemerintahan di bidang pertahanan dan keamanan; dan e. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 150 Huruf a Yang dimaksud dengan “proporsional terbatas” yaitu terdapat kesesuaian antara penilaian kebutuhan dan pencapaian tujuan yang diinginkan atas pemrosesan Data Pribadi tersebut. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas.
Pasal 151 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf b dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf b harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi tujuan penegakan hukum; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan proses penegakan hukum; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 151 Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 152 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf c dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf c harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan umum dalam rangka penyelenggaraan negara; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan umum dalam rangka penyelenggaraan negara; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 152 Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 153 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf d dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara Pasal 149 ayat (1) huruf d harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 153 Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.Kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara antara lain untuk kepentingan pencegahan dan penanganan kejahatan terkait sektor keuangan misalnya fraud. Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 154 Penerapan pengecualian hak untuk kepentingan statistik dan penelitian ilmiah sebagaimana dimaksud dalam a. kepentingan statistik dan penelitian ilmiah yang sifatnya nonkomersial; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara tujuan pemrosesan Data Pribadi untuk kepentingan statistik dan penelitian ilmiah dan kebutuhan pengecualian hak Subjek Data Pribadi; d. hasil statistik atau penelitian ilmiah tidak digunakan untuk menilai atau mengambil keputusan yang berkaitan dengan Subjek Data Pribadi; dan e. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 154 Cukup jelas.
|
|
Klaster Kegiatan Pemrosesan Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 16 UU ↔ Pasal 8–9 PP |
Pasal 16 (1) Pemrosesan Data Pribadi meliputi: a. pemerolehan dan pengumpulan; b. pengolahan dan penganalisisan; c. penyimpanan; d. perbaikan dan pembaruan; e. penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau f. penghapusan atau pemusnahan. (2) Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan prinsip Pelindungan Data Pribadi meliputi: a. pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; b. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya; c. pemrosesan Data Pribadi dilakukan dengan menjamin hak Subjek Data Pribadi; d. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; e. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan Data Pribadi; f. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan Pelindungan Data Pribadi; g. Data Pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan; dan h. pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. (3) Ketentuan lebih lanjut mengenai pelaksanaan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 16
Ayat (1) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Yang dimaksud dengan "penampilan" adalah perbuatan memperlihatkan Data Pribadi untuk tujuan tertentu dan pihak-pihak tertentu. Yang dimaksud dengan "pengumuman" adalah pemberitahuan sebuah Informasi yang ditujukan kepada orang banyak dan bersifat umum. Yang dimaksud dengan "transfer" adalah perpindahan, pengiriman, dan/atau penggandaan Data Pribadi baik secara elektronik maupun nonelektronik dari Pengendali Data Pribadi kepada pihak lain. Huruf f Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas.
|
Pasal 8 Pemrosesan Data Pribadi meliputi: a. pemerolehan dan pengumpulan; b. pengolahan dan penganalisisan; c. penyimpanan; d. perbaikan dan pembaruan; e. penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan f. penghapusan atau pemusnahan. Penjelasan Pasal 8 Cukup jelas.
Pasal 9 Pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 8 dilakukan sesuai dengan prinsip Pelindungan Data Pribadi meliputi: a. pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; b. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya; c. pemrosesan Data Pribadi dilakukan dengan menjamin hak Subjek Data Pribadi; d. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; e. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan Data Pribadi; f. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan Data Pribadi, serta Kegagalan Pelindungan Data Pribadi; g. Data Pribadi dimusnahkan dan/atau dihapus setelah Masa Retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh ketentuan peraturan perundang-undangan; dan h. pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. Penjelasan Pasal 9 Cukup jelas.
Pasal 10 Pihak dalam pemrosesan Data Pribadi yang diatur dalam Peraturan Pemerintah ini terdiri atas: a. Subjek Data Pribadi; b. Pengendali Data Pribadi c. Prosesor Data Pribadi. Penjelasan Pasal 10 Cukup jelas.
|
|
2 |
Pasal 18 UU ↔ Pasal 11–12 PP |
Pasal 18 (1) Pemrosesan Data Pribadi dapat dilakukan oleh 2 (dua) atau lebih Pengendali Data Pribadi. (2) Dalam hal Pemrosesan Data Pribadi dilakukan oleh 2 (dua) atau lebih Pengendali Data Pribadi harus memenuhi syarat minimal: a. terdapat perjanjian antara para Pengendali Data Pribadi yang memuat peran, tanggung jawab, dan hubungan antar-Pengendali Data Pribadi; b. terdapat tujuan yang saling berkaitan dan cara pemrosesan Data Pribadi yang ditentukan secara bersama; dan c. terdapat narahubung yang ditunjuk secara bersama-sama. Penjelasan Pasal 18 Cukup jelas.
|
Pasal 11 (1) Pemrosesan Data Pribadi dapat dilakukan oleh Pengendali Data Pribadi Bersama. (2) Dalam hal Pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi Bersama, harus memenuhi syarat minimal: a. terdapat perjanjian antara para Pengendali Data Pribadi yang memuat peran, tanggung jawab, dan hubungan antar-Pengendali Data Pribadi; b. terdapat tujuan yang saling berkaitan dan cara pemrosesan Data Pribadi yang ditentukan bersama; dan c. terdapat narahubung yang ditunjuk bersama sama. (3) Perjanjian sebagaimana dimaksud pada ayat (2) huruf a paling sedikit memuat: a. dasar pemrosesan Data Pribadi masing-masing Pengendali Data Pribadi; b. keterkaitan antar tujuan pemrosesan Data Pribadi yang dikendalikan oleh masing-masing Pengendali Data Pribadi; c. keterangan mengenai kesepakatan cara pemrosesan Data Pribadi; d. jenis Data Pribadi yang diproses; e. pembagian peran dan tanggung jawab pemenuhan kewajiban hukum masing-masing Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; dan f. narahubung yang ditunjuk bersama. (4) Pengendali Data Pribadi Bersama secara bersama sama bertanggung jawab memastikan pemrosesan Data Pribadi dilakukan sesuai dengan perjanjian dan ketentuan peraturan perundang-undangan. Penjelasan Pasal 11 Cukup jelas.
Pasal 12 Pengendali Data Pribadi Bersama sebagaimana dimaksud dalam Pasal 11 bertanggung jawab hukum secara tanggung renteng atas pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 12 Cukup jelas.
|
|
3 |
Pasal 19 UU ↔ Pasal 10 PP |
Pasal 19 Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional. Penjelasan Pasal 19 Cukup jelas.
|
|
|
4 |
Pasal 20 UU ↔ Pasal 30–31, 40–57 PP |
Pasal 20 (1) Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi. (2) Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; b. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; c. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau f. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. Penjelasan Pasal 20
Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan "kepentingan vital Subjek Data Pribadi" adalah terkait dengan keberlangsungan hidup dari Subjek Data Pribadi misalnya ketika pemrosesan Data Pribadi diperlukan untuk tindakan perawatan medis serius. Huruf e Cukup jelas. Huruf f Cukup jelas.
|
Pasal 30 (1) Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi. (2) Kewajiban memiliki dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan sebelum Pengendali Data Pribadi melakukan pemrosesan Data Pribadi. (3) Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; b. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; c. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan ketentuan peraturan perundang-undangan f. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. (4) Penentuan dalam penggunaan dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (3) didasarkan pada maksud dan tujuan serta kebutuhan dalam pemrosesan Data Pribadi dengan memenuhi ketentuan yang diatur dalam Peraturan Pemerintah ini. Penjelasan Pasal 30 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan “kepentingan vital Subjek Data Pribadi” adalah terkait dengan keberlangsungan hidup dari Subjek Data Pribadi misalnya ketika pemrosesan Data Pribadi diperlukan untuk tindakan perawatan medis serius. Huruf e Cukup jelas. Huruf f Cukup jelas. Ayat (4) Cukup jelas.
Pasal 31 Pengendali Data Pribadi harus memastikan pemrosesan Data Pribadi tidak bersifat diskriminatif kepada Subjek Data Pribadi. Paragraf 2 Persetujuan yang Sah Secara Eksplisit Penjelasan Pasal 30 Yang dimaksud dengan “bersifat diskriminatif” yaitu segala bentuk pembedaan, pengecualian, pembatasan, atau pemilihan berdasarkan pada ras dan etnis yang mengakibatkan pencabutan atau pengurangan pengakuan, perolehan, atau pelaksanaan hak asasi manusia dan kebebasan dasar dalam suatu kesetaraan di bidang sipil, politik, ekonomi, sosial, dan budaya sebagaimana diatur dalam peraturan perundang-undangan yang mengatur di bidang penghapusan diskriminasi.
Pasal 40 (1) Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kewajiban perjanjian dalam hal: a. Subjek Data Pribadi merupakan salah satu pihak dalam perjanjian tersebut b. pemenuhan permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian. (2) Perjanjian yang membutuhkan pemrosesan Data Pribadi dapat memuat satu atau lebih tujuan pemrosesan Data Pribadi. (3) Para pihak dalam perjanjian harus memenuhi ketentuan sebagaimana diatur dalam Peraturan Pemerintah ini. (4) Pengendali Data Pribadi tidak dapat melakukan pemrosesan Data Pribadi selain yang sudah ditentukan dalam perjanjian yang digunakan sebagai dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1). (5) Perjanjian yang digunakan sebagai dasar pemrosesan Data Pribadi pada ayat (1) tidak dapat dianggap menggantikan posisi persetujuan sebagai dasar pemrosesan Data Pribadi sebagaimana diatur dalam ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi. Penjelasan Pasal 40 Cukup jelas.
Pasal 41 (1) Pemenuhan kewajiban perjanjian dapat digunakan sebagai dasar pemrosesan Data Pribadi dalam hal: a. terdapat perjanjian yang sah antara Pengendali Data Pribadi dan Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; b. terdapat kebutuhan pemrosesan Data Pribadi oleh Pengendali Data Pribadi untuk melaksanakan perjanjian; c. terpenuhinya langkah Pelindungan Data Pribadi yang akan diberikan kepada Subjek Data Pribadi; d. telah mempertimbangkan dampak risiko dari pemrosesan Data Pribadi kepada Subjek Data Pribadi; dan e. telah mempertimbangkan kemampuan untuk memenuhi hak Subjek Data Pribadi dan melaksanakan kewajiban Pengendali Data Pribadi dalam pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (2) Perjanjian yang sah antara Pengendali Data Pribadi dan Subjek Data Pribadi sebagaimana dimaksud pada ayat (1) huruf a dalam pemrosesan Data Pribadi Anak atau Penyandang Disabilitas wajib dengan persetujuan dari orang tua Anak dan/atau wali Anak sebagaimana dimaksud dalam Pasal 38 dan persetujuan dari wali Penyandang Disabilitas sebagaimana dimaksud dalam Pasal 39. Penjelasan Pasal 41 Cukup jelas.
Pasal 42 (1) Pemrosesan Data Pribadi dalam pemenuhan permintaan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 40 ayat (1) huruf b dilakukan dengan ketentuan: a. terdapat permintaan tertulis atau terekam dari Subjek Data Pribadi kepada Pengendali Data Pribadi; b. Pengendali Data Pribadi dan Subjek Data Pribadi akan mengikatkan diri dalam suatu perjanjian yang membutuhkan pemrosesan Data Pribadi; dan c. perjanjian yang akan disepakati oleh Subjek Data Pribadi dan Pengendali Data Pribadi digunakan sebagai dasar untuk melaksanakan hak dan kewajiban Subjek Data Pribadi dan Pengendali Data Pribadi. (2) Dalam hal perjanjian telah disepakati, perjanjian dapat digunakan sebagai dasar pemrosesan Data Pribadi sesuai dengan ketentuan sebagaimana dimaksud dalam Pasal 40 dan Pasal 41. Penjelasan Pasal 42 Cukup jelas.
Pasal 43 (1) Perjanjian sebagaimana dimaksud dalam Pasal 41 harus memuat paling sedikit: a. rincian tujuan dan penjelasan tujuan pemrosesan Data Pribadi; b. keterangan keterkaitan antara tujuan pemrosesan Data Pribadi dan tujuan perjanjian yang akan dipenuhi; c. hak Subjek Data Pribadi dan kewajiban Pengendali Data Pribadi; d. jenis dan karakteristik kebutuhan atau layanan yang akan diberikan kepada Subjek Data Pribadi; e. konsekuensi dalam hal pemrosesan Data Pribadi tidak dilakukan oleh Pengendali Data Pribadi; f. dampak pemrosesan Data Pribadi terhadap pelindungan hak Subjek Data Pribadi; g. jaminan Pengendali Data Pribadi untuk melakukan pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; h. jaminan Pengendali Data Pribadi untuk memenuhi hak Subjek Data Pribadi; dan pihak yang terlibat dalam pemrosesan Data Pribadi; dan i. Pihak yang terlibat dalam pemrosesan Data Pribadi. (2) Dalam hal perjanjian tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi tidak dapat menjadikan pemenuhan kewajiban perjanjian sebagai dasar pemrosesan Data Pribadi. Penjelasan Pasal 43 Cukup jelas.
Pasal 44 Pengendali Data Pribadi tidak dapat memuat atau mencantumkan klausul perjanjian yang mengalihkan tanggung jawab kepada Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. Paragraf 4 Pemenuhan Kewajiban Hukum Penjelasan Pasal 44 Yang dimaksud dengan “ketentuan peraturan perundang-undangan” antara lain Undang-Undang mengenai perlindungan konsumen dan Undang-Undang mengenai pengembangan dan penguatan sektor keuangan.
Pasal 45 (1) Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kewajiban hukum dari Pengendali Data sesuai dengan ketentuan peraturan perundang-undangan. (2) Pemenuhan kewajiban hukum sebagaimana dimaksud pada ayat (1) termasuk: a. perintah dan/atau putusan pengadilan b. perintah keputusan pejabat tata usaha negara yang ditetapkan berdasarkan ketentuan peraturan perundang-undangan. Penjelasan Pasal 45 Cukup jelas.
Pasal 46 Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan pelindungan kepentingan vital Subjek Data Pribadi dalam hal: a. terdapat ancaman terhadap hidup, fisik, dan/atau properti/ aset Subjek Data Pribadi atau pihak lainnya; dan b. terdapat kesulitan untuk mendapatkan persetujuan dari Subjek Data Pribadi sebagaimana dimaksud dalam huruf a. Penjelasan Pasal 46 Huruf a Cukup jelas. Huruf b Kesulitan mendapatkan persetujuan antara lain meliputi keadaan di mana Subjek Data Pribadi tidak dalam keadaan sadar dan/atau terluka parah sehingga tidak mampu memberikan persetujuan terhadap pemrosesan Data Pribadi, wali dan/atau orang tua tidak mendampingi Subjek Data Pribadi untuk dapat memberikan persetujuan dalam hal Subjek Data Pribadi adalah Anak.
Pasal 47 (1) Pengendali Data Pribadi menginformasikan pelaksanaan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 46 kepada Subjek Data Pribadi. (2) Informasi sebagaimana dimaksud pada ayat (1) meliputi: a. tindakan yang dilakukan pasca berakhirnya tujuan pemrosesan Data Pribadi; b. jenis ancaman yang akan terjadi kepada Subjek Data Pribadi atau pihak lainnya jika pemrosesan Data Pribadi tidak dilakukan; dan c. Informasi lainnya sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Penjelasan Pasal 47 Cukup jelas.
Pasal 48 Ketentuan lebih lanjut mengenai pemenuhan pelindungan kepentingan vital Subjek Data Pribadi sebagai dasar pemrosesan Data Pribadi diatur dengan Peraturan Lembaga. Penjelasan Pasal 48 Cukup jelas.
Pasal 49 (1) Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pelaksanaan tugas dalam rangka: a. kepentingan umum; b. pelayanan publik c. pelaksanaan kewenangan, berdasarkan peraturan perundang-undangan. (2) Penggunaan pelaksanaan tugas sebagaimana dimaksud pada ayat (1) dilakukan dalam hal melaksanakan ketentuan peraturan perundang-undangan yang memerintahkan Pengendali Data Pribadi untuk melakukan suatu tindakan. Penjelasan Pasal 49 Ayat (1) Ruang lingkup pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan ditentukan oleh peraturan perundang-undangan. Misalnya, penyediaan pelayanan publik yang mudah diakses oleh Penyandang Disabilitas sebagaimana dimaksud Undang-Undang mengenai Penyandang Disabilitas. Oleh karena itu, dasar pemrosesan Data Pribadi berdasarkan kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan dilaksanakan sesuai maksud dan tujuan dari peraturan perundang-undangan yang dimaksud. Ayat (2) Cukup jelas.
Pasal 50 (1) Dalam melaksanakan tugas sebagaimana dimaksud dalam Pasal 49, Pengendali Data Pribadi harus memiliki dokumen kebijakan yang memadai. (2) Dokumen kebijakan sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. ruang lingkup pelaksanaan tugas; dan b. tujuan pemrosesan Data Pribadi. (3) Ketentuan mengenai penyusunan dokumen kebijakan sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Lembaga. Penjelasan Pasal 50 Cukup jelas.
Pasal 51 (1) Pengendali Data Pribadi menyampaikan Informasi pelaksanaan pemrosesan Data Pribadi berdasarkan pelaksanaan tugas sebagaimana dimaksud dalam Pasal 49 kepada Subjek Data Pribadi. (2) Penyampaian Informasi sebagaimana dimaksud pada ayat (1) dilakukan pada saat pemrosesan Data Pribadi dimulai. (3) Dalam hal penyampaian Informasi sebagaimana dimaksud pada ayat (1) berpotensi mengganggu pelindungan kepentingan umum atau pelayanan publik, penyampaian Informasi dilakukan pada saat tujuan pemrosesan Data Pribadi telah terpenuhi. (4) Dalam hal penyampaian Informasi sebagaimana dimaksud pada ayat (1) secara langsung tidak dapat dilakukan, Pengendali Data Pribadi menyampaikan Informasi dengan mengumumkan pemberitahuan melalui media elektronik dan nonelektronik. Penjelasan Pasal 51 Cukup jelas.
Pasal 52 Ketentuan lebih lanjut mengenai penggunaan pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan sebagai dasar pemrosesan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 52 Cukup jelas.
Pasal 53 Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kepentingan yang sah lainnya dalam hal: a. telah melakukan analisis terhadap keperluan, tujuan, dan keseimbangan antara hak Subjek Data Pribadi dan kepentingan Pengendali Data Pribadi dengan hasil analisis menunjukkan bahwa Pengendali Data Pribadi memiliki kepentingan yang sah untuk melakukan pemrosesan Data Pribadi; dan b. telah melakukan penilaian bahwa pemrosesan Data Pribadi yang menggunakan dasar pemrosesan Data Pribadi berupa pemenuhan kepentingan yang sah lainnya tidak berdampak hukum atau merugikan Subjek Data Pribadi dengan hasil Pengendali Data Pribadi memiliki dan telah melakukan langkah penanggulangan dari pemrosesan Data Pribadi. Penjelasan Pasal 53 Pemenuhan kepentingan yang sah lainnya antara lain dalam rangka pemantauan keamanan, kesehatan, keselamatan, dan pencegahan kejahatan berdasarkan ketentuan peraturan perundang-undangan.
Pasal 54 Hasil analisis dan penilaian sebagaimana dimaksud dalam Pasal 53 didokumentasikan oleh Pengendali Data Pribadi. Penjelasan Pasal 54 Cukup jelas.
Pasal 55 (1) Pengendali Data Pribadi yang merupakan Badan Publik dapat menggunakan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi. (2) Penggunaan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) hanya untuk tujuan pemrosesan Data Pribadi selain pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Badan Publik.
Pasal 56 (1) Subjek Data Pribadi dapat meminta penjelasan penggunaan pemenuhan kepentingan yang sah lainnya sebagaimana dimaksud dalam Pasal 53 kepada Pengendali Data Pribadi. (2) Berdasarkan permintaan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus menyampaikan penjelasan kepada Subjek Data Pribadi.
Pasal 57 Ketentuan lebih lanjut mengenai penggunaan pemenuhan kepentingan yang sah lainnya sebagai dasar pemrosesan Data Pribadi diatur dalam Peraturan Lembaga. |
|
Klaster Data Visual di Tempat Umum & Fasilitas Pelayanan Publik (CCTV)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 17 UU ↔ Pasal 17–19 PP |
Pasal 17 (1) Pemasangan alat pemroses atau pengolah data visual di tempat umum dan/atau pada fasilitas pelayanan publik dilakukan dengan ketentuan: a. untuk tujuan keamanan, pencegahan bencana, dan/atau penyelenggaraan lalu lintas atau pengumpulan, analisis, dan pengaturan Informasi lalu lintas; b. harus menampilkan Informasi pada area yang telah dipasang alat pemroses atau pengolah data visual; dan c. tidak digunakan untuk mengidentifikasi seseorang. (2) Ketentuan sebagaimana dimaksud pada ayat (1) huruf b dan huruf c dikecualikan untuk pencegahan tindak pidana dan proses penegakan hukum sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 17 Cukup jelas.
|
Pasal 17 (1) Pemasangan alat pemroses atau pengolah data visual di ternp at umum dan/atau pada fasilitas pelayanan publik dilakukan dengan ketentuan: a. untuk tujuan keamanan, pencegahan bencana, dan/atau penyelenggaraan lalu lintas atau pengumpulan, analisis, dan pengaturan Informasi lalu lintas; b. harus menampilkan Informasi pada area yang telah dipasang alat pemroses atau pengolah data visual; dan C. tidak digunakan untuk mengidentifikasi seseorang. (2) Ketentuan sebagaimana dimaksud pada ayat (1) huruf b dan huruf c dikecualikan untuk pencegahan tindak pidana dan proses penegakan hukum sesuai dengan ketentuan peraturan perundang-undangan. (3) Pemasangan alat pemroses atau pengolah data visual merupakan tanggung jawab Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. Pemasangan alat pemroses atau pengolah data visual (4) sebagaimana dimaksud pada ayat (1) tetap mempertimbangkan aspek privasi. Pemrosesan Data Pribadi melalui alat pemroses atau (5) pengolah data visual dilakukan sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Penjelasan Pasal 17 Ayat (1) Yang dimaksud dengan “alat pemroses atau pengolah data visual” tidak hanya alat yang sifatnya statis, tetapi juga yang bergerak, termasuk alat yang dikendalikan secara otomatis. Yang dimaksud dengan “tempat umum” adalah tempat yang dapat diakses oleh siapa saja tanpa ada pembatasan, seperti ruang publik terpadu ramah Anak dan pasar. Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Yang dimaksud dengan “tidak digunakan untuk mengidentifikasi seseorang” misalnya tidak, dimaksudkan untuk memata-matai kegiatan atau aktivitas orang tertentu. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Yang dimaksud dengan “mempertimbangkan aspek privasi” adalah bahwa selain mempertimbangkan tujuan pemrosesan Data Pribadi juga mempertimbangkan aspek yang terkait dengan privasi, misalnya lokasi, tempat, dan/atau sudut pengaturan alat pemroses atau pengolah data visual. Ayat (5) Cukup jelas.
Pasal 18 (1) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud dalam Pasal 17 ayat (2) memastikan perekaman dilakukan secara konsisten dan memastikan Pelindungan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (2) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi hanya dapat menempatkan dan menggunakan alat pemroses atau pengolah data visual sebagaimana dimaksud pada ayat (1) untuk memantau area yang dituju sesuai dengan tujuan pemantauan. Penjelasan Pasal 18 Ayat (1) Cukup jelas. Ayat (2) Dalam memantau area yang dituju sebagaimana dimaksud pada ayat ini, Pengendali Data Pribadi mencegah atau meminimalkan rekaman orang atau properti selain dari tujuan pemantauan.
Pasal 19 (1) Dalam hal Pengendali Data Pribadi dan/atau Prosesor Data Pribadi menempatkan alat pemroses atau pengolah data visual di area publik atau tempat umum dan melakukan perekaman, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus menampilkan Informasi bahwa pada area tersebut terpasang alat pemroses atau pengolah data visual. (2) Informasi sebagaimana dimaksud pada ayat (1) harus disampaikan secara jelas, lugas, dan ringkas bahwa terdapat alat pemroses atau pengolah data visual yang beroperasi. (3) Informasi sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. Informasi bahwa alat pemroses atau pengolah data visual sedang beroperasi; dan b. narahubung dari alat pemroses atau pengolah data visual. (4) Informasi sebagaimana dimaksud pada ayat (1) harus: a. diletakkan pada pintu masuk area terpasang alat pemroses atau pengolah data visual yang tertutup b. diletakkan pada lokasi yang mudah diakses dan dibaca sebelum memasuki area yang terpantau oleh alat pemroses atau pengolah data visual pada area yang terbuka. Penjelasan Pasal 19 Cukup jelas. |
|
Klaster Persetujuan (Consent) sebagai Dasar Pemrosesan
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 21 UU ↔ Pasal 32–33 PP |
Pasal 21 (1) Dalam hal pemrosesan Data Pribadi berdasarkan persetujuan sebagaimana dimaksud dalam Pasal 20 ayat (2) huruf a, Pengendali Data Pribadi wajib menyampaikan Informasi mengenai: a. legalitas dari pemrosesan Data Pribadi; b. tujuan pemrosesan Data Pribadi; c. jenis dan relevansi Data Pribadi yang akan diproses; d. jangka waktu retensi dokumen yang memuat Data Pribadi; e. rincian mengenai Informasi yang dikumpulkan; f. jangka waktu pemrosesan Data Pribadi; dan g. hak Subjek Data Pribadi. (2) Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Subjek Data Pribadi sebelum terjadi perubahan Informasi. Penjelasan Pasal 21
Ayat (1) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Yang dimaksud dengan "rincian mengenai Informasi yang dikumpulkan" adalah daftar Informasi mengenai Data Pribadi Subjek Data Pribadi, baik berupa Data Pribadi yang bersifat umum maupun Data Pribadi yang bersifat spesifik, yang dikumpulkan oleh Pengendali Data Pribadi dalam rangka pemrosesan Data Pribadi. Huruf f Yang dimaksud dengan "jangka waktu pemrosesan Data Pribadi" adalah rentang waktu dimulainya hingga selesainya serangkaian kegiatan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi. Huruf g Cukup jelas. Ayat (2) Cukup jelas.
|
Pasal 32 (1) Pengendali Data Pribadi dapat menggunakan dasar pemrosesan Data Pribadi berupa persetujuan yang sah secara eksplisit. (2) Persetujuan yang sah secara eksplisit sebagaimana dimaksud dalam Pasal 30 ayat (3) huruf a harus didapatkan dari Subjek Data Pribadi secara bebas, sadar, spesifik, dan tidak ambigu.
Penjelasan Pasal 32 Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan “ambigu” misalnya pemberian persetujuan pemrosesan Data Pribadi digabungkan dengan pemberian persetujuan terhadap syarat dan ketentuan sehingga Subjek Data Pribadi dianggap telah memberikan persetujuan atas pemrosesan Data Pribadi hanya dengan membaca syarat dan ketentuan.
Pasal 33 (1) Dalam pemrosesan Data Pribadi berdasarkan persetujuan yang sah secara eksplisit dari Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 30 ayat (3) huruf a, Pengendali Data Pribadi wajib menyampaikan Informasi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (2) Informasi sebagaimana dimaksud pada ayat (1) disampaikan sebelum mendapatkan persetujuan dari Subjek Data Pribadi. (3) Informasi sebagaimana dimaksud pada ayat (1) diberikan kepada Subjek Data Pribadi secara ringkas, tepat, dan sesuai dengan kegiatan pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi. |
|
2 |
Pasal 22 UU ↔ Pasal 34 PP |
Pasal 22 (1) Persetujuan pemrosesan Data Pribadi dilakukan melalui persetujuan tertulis atau terekam. (2) Persetujuan sebagaimana dimaksud pada ayat (1) dapat disampaikan secara elektronik atau nonelektronik. (3) Persetujuan sebagaimana dimaksud pada ayat (1) mempunyai kekuatan hukum yang sama. (4) Dalam hal persetujuan sebagaimana dimaksud pada ayat (1) memuat tujuan lain, permintaan persetujuan harus memenuhi ketentuan: a. dapat dibedakan secara jelas dengan hal lainnya; b. dibuat dengan format yang dapat dipahami dan mudah diakses; dan c. menggunakan bahasa yang sederhana dan jelas. (5) Persetujuan yang tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (4) dinyatakan batal demi hukum. Penjelasan Pasal 22
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Yang dimaksud dengan "bahasa" adalah Bahasa Indonesia. Ayat (5) Cukup jelas.
|
Pasal 34 (1) Pengendali Data Pribadi harus menyediakan mekanisme perolehan persetujuan Subjek Data Pribadi. (2) Mekanisme perolehan persetujuan sebagaimana dimaksud pada ayat (1) dapat disediakan dalam bentuk elektronik maupun nonelektronik. (3) Mekanisme perolehan persetujuan sebagaimana dimaksud pada ayat (2) terhubung dengan Informasi sebagaimana dimaksud dalam Pasal 33.
Penjelasan Pasal 34 Ayat (1) Cukup jelas. Ayat (2) Mekanisme perolehan persetujuan antara lain penyediaan kolom, laman, atau fitur persetujuan. Mekanisme perolehan persetujuan secara elektronik, misalnya penyediaan laman dari website Pengendali Data Pribadi untuk kemudian diberikan persetujuan oleh Subjek Data Pribadi melalui penandatanganan secara elektronik, pemberian fitur check box, atau fitur tanda persetujuan. Mekanisme perolehan persetujuan secara nonelektronik, misalnya penyediaan formulir untuk kemudian diberikan persetujuan oleh Subjek Data Pribadi melalui penandatanganan dan pemberian nama yang jelas. Ayat (3) Yang dimaksud dengan “terhubung dengan Informasi” adalah Informasi yang dibutuhkan oleh Subjek Data Pribadi dapat diakses dalam rangka memberikan pemahaman yang utuh terkait pemrosesan Data Pribadi sebelum Subjek Data Pribadi memberikan persetujuannya.
|
|
3 |
Pasal 23 UU
|
Pasal 23 Klausul perjanjian yang di dalamnya terdapat permintaan pemrosesan Data Pribadi yang tidak memuat persetujuan yang sah secara eksplisit dari Subjek Data Pribadi dinyatakan batal demi hukum. Penjelasan Pasal 23 Cukup jelas.
|
— |
|
4 |
Pasal 24 UU ↔ Pasal 35–36 PP |
Pasal 24 Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh Subjek Data Pribadi. Penjelasan Pasal 24 Cukup jelas.
|
Pasal 35 (1) Dalam hal Subjek Data Pribadi tidak memberikan persetujuan pemrosesan Data Pribadi, Pengendali Data Pribadi tetap menyediakan dan tidak mengurangi kualitas barang, jasa, atau layanan kepada Subjek Data Pribadi, kecuali penyediaan barang, jasa, atau layanan memerlukan pemrosesan Data Pribadi. (2) Dalam hal salah satu tujuan pemrosesan Data Pribadi berdasarkan persetujuan yang sah secara eksplisit untuk kepentingan penawaran barang dan/atau jasa, Pengendali Data Pribadi harus menyampaikan secara jelas: a. Informasi pihak ketiga yang akan menerima Data Pribadi; b. Informasi bentuk penawaran yang akan diberikan; dan c. mekanisme pencabutan persetujuan dan pelaporan jika kegiatan penawaran terus berlangsung pasca pencabutan persetujuan. (3) Pengendali Data Pribadi tidak boleh meminta persetujuan Subjek Data Pribadi dengan cara yang menipu dan/atau menyesatkan Subjek Data Pribadi.
Penjelasan Pasal 35 Ayat (1) Cukup jelas. Ayat (2) Huruf a Yang dimaksud dengan “Informasi pihak ketiga” antara lain identitas, tujuan penerimaan, dan jenis Data Pribadi. Huruf b Cukup jelas. Huruf c Cukup jelas. Ayat (3) Cukup jelas.
Pasal 36 (1) Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh Subjek Data Pribadi. (2) Kewajiban penunjukkan bukti persetujuan sebagaimana dimaksud pada ayat (1) dilaksanakan dalam rangka akuntabilitas pemrosesan Data Pribadi. Penjelasan Pasal 36 Cukup jelas.
|
|
Klaster Pemrosesan Data Pribadi Anak & Penyandang Disabilitas
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 25 UU ↔ Pasal 38 PP |
Pasal 25 (1) Pemrosesan Data Pribadi anak diselenggarakan secara khusus. (2) Pemrosesan Data Pribadi anak sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari orang tua anak dan/atau wali anak sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 25 Cukup jelas.
|
Pasal 38 (1) Pengendali Data Pribadi harus mengambil langkah untuk mengidentifikasi Anak disesuaikan dengan tujuan pemrosesan Data Pribadi. (2) Pemrosesan Data Pribadi Anak sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari orang tua Anak dan/atau wali Anak sesuai dengan ketentuan peraturan perundang-undangan. (3) Pengendali Data Pribadi dapat memproses Data Pribadi orang tua Anak dan/atau wali Anak dalam rangka pemrosesan Data Pribadi Anak sesuai dengan ketentuan peraturan perundang-undangan. (4) Pengendali Data Pribadi harus melakukan verifikasi persetujuan sebagaimana dimaksud pada ayat (2) dengan mempertimbangkan teknologi yang tersedia. (5) Anak atau orang tua Anak dan/atau wali Anak dapat mengajukan permintaan pemenuhan hak Anak sebagai Subjek Data Pribadi kepada Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (6) Dalam hal pengajuan permintaan pemenuhan hak Anak dilakukan oleh Anak sebagaimana dimaksud pada ayat (5), pemenuhan terhadap hak tersebut didasarkan pada penilaian Pengendali Data Pribadi terhadap kapasitas Anak dalam memahami pemenuhan hak tersebut. (7) Pemenuhan hak Anak sebagaimana dimaksud pada ayat (6) harus berdasarkan pada persetujuan orang tua Anak dan/atau wali Anak, kecuali hak Anak terkait pemrosesan Data Pribadi. (8) Pengendali Data Pribadi harus menyediakan prosedur peralihan mekanisme pemrosesan Data Pribadi Anak ketika Anak telah mencapai usia atau kriteria yang tidak lagi dianggap sebagai seorang Anak. Penjelasan Pasal 38 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Pada dasarnya, Anak memiliki hak-hak Subjek Data Pribadi yang diatur dalam Peraturan Pemerintah ini. Akan tetapi, pemenuhan terhadap hak tersebut harus didasarkan pada kemampuan Anak untuk memahami konsekuensi atau risiko dalam mengajukan permohonan untuk memenuhi hak tersebut. Oleh karena itu, Pengendali Data Pribadi perlu memahami kapasitas Anak dalam memahami konsekuensi atau risiko yang dimaksud. Dengan demikian, Pengendali Data Pribadi menyesuaikan usia Anak dengan produk dan layanan yang disediakan Pengendali Data Pribadi bagi Anak sesuai dengan peraturan perundang-undangan, sebagai bentuk pelaksanaan penilaian dampak Pelindungan Data Pribadi. Ayat (7) Dalam Peraturan Pemerintah ini, diatur bahwa pemrosesan Data Pribadi Anak wajib mendapatkan persetujuan dari orang tua Anak dan/atau wali Anak. Oleh karena itu, pemenuhan hak Anak terkait pemrosesan Data Pribadi Anak tetap memerlukan persetujuan dari orang tua Anak dan/atau wali Anak. Sebagai contoh, pemenuhan hak Anak terkait perubahan Data Pribadi berupa melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi. Ayat (8) Cukup jelas.
|
|
2 |
Pasal 26 UU ↔ Pasal 39 PP |
Pasal 26 (1) Pemrosesan Data Pribadi penyandang disabilitas diselenggarakan secara khusus. (2) Pemrosesan Data Pribadi penyandang disabilitas sebagaimana dimaksud pada ayat (1) dilakukan melalui komunikasi dengan menggunakan cara tertentu sesuai dengan ketentuan perundang-undangan. (3) Pemrosesan Data Pribadi penyandang disabilitas sebagaimana dimaksud pada ayat (2) wajib mendapat persetujuan dari penyandang disabilitas dan/atau wali penyandang disabilitas sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 26 Cukup jelas.
|
Pasal 39 (1) Pengendali Data Pribadi harus mengambil langkah untuk mengidentifikasi Penyandang Disabilitas disesuaikan dengan tujuan pemrosesan Data Pribadi. (2) Langkah untuk mengidentifikasi Penyandang Disabilitas sebagaimana dimaksud pada ayat (1) dilakukan melalui komunikasi dengan menggunakan cara tertentu sesuai dengan ketentuan peraturan perundang-undangan. (3) Komunikasi sebagaimana dimaksud pada ayat (2) dilaksanakan dengan menyediakan prasarana yang mudah dipahami dan digunakan oleh Subjek Data Pribadi Penyandang Disabilitas. (4) Pemrosesan Data Pribadi Penyandang Disabilitas sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari Penyandang Disabilitas dan/atau wali Penyandang Disabilitas sesuai dengan ketentuan peraturan perundang-undangan. (5) Penyandang Disabilitas dan/atau wali Penyandang Disabilitas dapat mengajukan permintaan pemenuhan hak sebagai Subjek Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (6) Pengendali Data Pribadi harus menyediakan mekanisme khusus untuk aksesibilitas Penyandang Disabilitas dalam mengajukan permintaan pemenuhan hak sebagai Subjek Data Pribadi. Penjelasan Pasal 39 Ayat (1) Dalam mengambil langkah untuk mengidentifikasi Penyandang Disabilitas, Pengendali Data Pribadi perlu memahami jenis Penyandang Disabilitas yang mengakses atau mungkin mengakses produk atau layanan yang diselenggarakannya dan memahami keterbatasan Penyandang Disabilitas dalam pengajuan permohonan hak Subjek Data Pribadi. Misalnya, Penyandang Disabilitas mental memiliki keterbatasan di dalam memahami risiko atau dampak hukum terkait persetujuan yang akan diberikannya atau perjanjian yang akan disepakatinya. Oleh karena itu, dalam hal Pengendali Data Pribadi memerlukan persetujuan dari Penyandang Disabilitas mental, maka Pengendali Data Pribadi tidak dapat meminta persetujuan tersebut langsung kepada Penyandang Disabilitas mental, tetapi wajib mendapat persetujuan dari wali Penyandang Disabilitas mental. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan “prasarana” antara lain penyediaan fasilitas berupa bahasa isyarat, braille, dan komunikasi augmentatif. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas.
|
|
Klaster Kewajiban Umum Pengendali (Prinsip Pemrosesan, Sesuai Tujuan, Akurasi, Perekaman, Perintah Lembaga)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 27 UU ↔ Pasal 28, 58–60, 149 PP |
Pasal 27 Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan. Penjelasan Pasal 27
Yang dimaksud dengan "secara terbatas dan spesifik" adalah pengumpulan Data Pribadi harus terbatas sesuai dengan tujuan pemrosesannya serta tujuan pemrosesan Data Pribadi harus secara eksplisit, sah, dan telah ditentukan pada saat pengumpulan Data Pribadi.
Yang dimaksud dengan "sah secara hukum" adalah pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
Yang dimaksud dengan "transparan" adalah pemrosesan Data Pribadi dilakukan dengan memastikan bahwa Subjek Data Pribadi telah mengetahui Data Pribadi yang diproses dan bagaimana Data Pribadi tersebut diproses, serta setiap Informasi dan komunikasi yang berkaitan dengan pemrosesan Data Pribadi tersebut mudah diakses dan dipahami, dengan menggunakan bahasa yang jelas.
|
Pasal 28 (1) Pengendali Data Pribadi harus menyusun dan menetapkan ketentuan pemrosesan Data Pribadi yang berlaku di internal Pengendali Data Pribadi. (2) Penyusunan dan penetapan ketentuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) harus dilaksanakan sesuai dengan pedoman penyusunan ketentuan pemrosesan Data Pribadi yang ditetapkan oleh Lembaga. (3) Pedoman penyusunan sebagaimana dimaksud pada ayat (2) memuat ketentuan pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (4) Pengendali Data Pribadi dapat berkonsultasi dengan Lembaga dalam menyusun ketentuan pemrosesan Data Pribadi yang berlaku di internal. Penjelasan Pasal 28 Cukup jelas.
Pasal 58 Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan. Penjelasan Pasal 58 Yang dimaksud dengan “sah secara hukum” adalah pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan.
Pasal 59 (1) Terbatas dan spesifik sebagaimana dimaksud dalam Pasal 58 dilakukan dengan meminimalisasi Data Pribadi yang diproses. (2) Meminimalisasi Data Pribadi yang diproses sebagaimana dimaksud pada ayat (1) dilakukan dengan mempertimbangkan: a. hubungan antara Data Pribadi yang diproses dan tujuan pemrosesan Data Pribadi; b. kecukupan Data Pribadi yang diproses untuk mencapai tujuan pemrosesan Data Pribadi; dan c. Data Pribadi yang diproses tidak melebihi dari yang dibutuhkan untuk mencapai tujuan pemrosesan Data Pribadi. Penjelasan Pasal 59 Cukup jelas.
Pasal 60 (1) Transparan sebagaimana dimaksud dalam Pasal 58 dilakukan dengan: a. memastikan Subjek Data Pribadi mengetahui Data Pribadi yang diproses; b. memastikan Subjek Data Pribadi mengetahui cara pemrosesan Data Pribadi; dan c. menyampaikan Informasi dan komunikasi terkait pemrosesan Data Pribadi yang mudah diakses, dipahami, dan menggunakan bahasa yang jelas. (2) Pemrosesan Data Pribadi secara transparan sebagaimana dimaksud pada ayat (1) harus dilaksanakan secara jujur dan itikad baik. Penjelasan Pasal 60 Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan “secara jujur dan iktikad baik” antara lain Pengendali Data Pribadi dalam melakukan pemrosesan Data Pribadi memberikan Informasi yang benar, tanpa tipu daya, dan/atau tidak menyesatkan kepada Subjek Data Pribadi, termasuk dalam memenuhi hak Subjek Data Pribadi dan melakukan kewajiban Pengendali Data Pribadi.
Pasal 149 (1) Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) dan ayat (6), Pasal 77 ayat (1), Pasal 80, Pasal 82 ayat (1) huruf a sampai dengan huruf c, Pasal 84 ayat (1) huruf b, Pasal 87 ayat (1), Pasal 114 ayat (1) huruf a, dan Pasal 125 ayat (1) dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka penyelenggaraan negara; atau d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang. {3) Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian kewajiban Pengendali Data Pribadi. Penjelasan Pasal 149 Cukup jelas.
|
|
2 |
Pasal 28 UU ↔ Pasal 67–68 PP |
Pasal 28 Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi. Penjelasan Pasal 28 Cukup jelas.
|
Pasal 67 (1) Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi. (2) Tujuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) harus: a. terbatas untuk memenuhi tujuan tertentu yang disampaikan kepada Subjek Data Pribadi secara eksplisit dan tegas; dan b. keseimbangan kepentingan Subjek Data Pribadi dengan tujuan pemrosesan Data Pribadi. (3) Pengendali Data Pribadi mengidentifikasi tujuan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (2). (4) Dalam hal terdapat tambahan tujuan dan/atau tujuan baru yang berbeda dari tujuan awal pemrosesan Data Pribadi, Pengendali Data Pribadi wajib memenuhi ketentuan yang diatur dalam Peraturan Pemerintah ini. Penjelasan Pasal 67 Cukup jelas.
Pasal 68 (1) Dalam melakukan kewajiban sebagaimana dimaksud dalam Pasal 67 ayat (1), Pengendali Data Pribadi harus mendokumentasikan tujuan pemrosesan Data Pribadi dan perubahannya. (2) Dalam mendokumentasikan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus menyatakan tujuan pemrosesan Data Pribadi secara eksplisit dalam: a. kebijakan internal Pengendali Data Pribadi; dan b. pemberitahuan Pelindungan Data Pribadi yang dapat dengan mudah diakses oleh Subjek Data Pribadi. Penjelasan Pasal 68 Cukup jelas.
|
|
3 |
Pasal 29 UU ↔ Pasal 69 PP |
Pasal 29 (1) Pengendali Data Pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (2) Dalam memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sebagaimana dimaksud pada ayat (1) Pengendali Data Pribadi wajib melakukan verifikasi. Penjelasan Pasal 29 Cukup jelas.
|
Pasal 69 (1) Pengendali Data Pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (2) Dalam memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib melakukan verifikasi. (3) Dalam melaksanakan kewajiban melakukan verifikasi sebagaimana dimaksud pada ayat (2), Pengendali Data Pribadi terlebih dahulu menentukan mekanisme dan/atau standar penerapan kualitas data. (4) Verifikasi sebagaimana dimaksud pada ayat (2) dilakukan secara berkala dan/atau sewaktu-waktu sesuai dengan ketentuan peraturan perundang-undangan. (5) Verifikasi sebagaimana dimaksud pada ayat (2) dilakukan paling sedikit terhadap: a. tingkat kebenaran dan/atau keterpercayaan Data Pribadi; b. kelengkapan Data Pribadi yang dibutuhkan untuk memenuhi tujuan pemrosesan Data Pribadi; c. jenis atau keseragaman bentuk, tipe, atau format Data Pribadi yang dapat diterima oleh Pengendali Data Pribadi; dan d. kebutuhan Pengendali Data Pribadi untuk melakukan verifikasi Data Pribadi secara berkala. (6) Dalam hal proses verifikasi membutuhkan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menerapkan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (7) Dalam melakukan verifikasi sebagaimana dimaksud pada ayat (2), Pengendali Data Pribadi dapat bekerja sama dengan Pengendali Data Pribadi lain. (8) Pengendali Data Pribadi mendokumentasikan hasil verifikasi Data Pribadi sebagaimana dimaksud pada ayat (2). (9) Ketentuan lebih lanjut mengenai pelaksanaan verifikasi diatur dalam Peraturan Lembaga. Penjelasan Pasal 69 Ayat (1) Yang dimaksud dengan “akurasi” merupakan kualitas data yang menunjukan tingkat kebenaran/kepercayaan antara satu Informasi dengan sumber Informasi lain yang telah ditentukan adalah benar. Yang dimaksud dengan “kelengkapan” merupakan kualitas data yang menunjukan sejauh mana tingkat data memiliki semua atribut data yang dibutuhkan untuk suatu tujuan tertentu. Yang dimaksud dengan “konsistensi” merupakan kualitas data yang menunjukan tingkat kesamaan Informasi dengan lnformasi lainnya yang sejenis. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Huruf a Cukup jelas. Huruf b Contoh: Dalam registrasi pelanggan jasa telekomunikasi, verifikasi kelengkapan Data Pribadi antara lain nomor induk kependudukan dan nomor kartu keluarga. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (6) Verifikasi yang membutuhkan pemrosesan Data Pribadi, misalnya dalam hal Pengendali Data Pribadi melakukan verifikasi membutuhkan pemrosesan data tambahan yang diperoleh dari Subjek Data Pribadi dan/atau pihak lainnya, Pengendali Data Pribadi wajib menerapkan Pelindungan Data Pribadi terhadap pemrosesan data tambahan tersebut. Ayat (7) Cukup jelas. Ayat (8) Cukup jelas. Ayat (9) Cukup jelas.
|
|
4 |
Pasal 30 UU ↔ Pasal 71–73 PP |
Pasal 30 (1) Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi. (2) Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Subjek Data Pribadi. Penjelasan Pasal 30 Cukup jelas.
|
Pasal 71 (1) Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi. (2) Dalam melaksanakan kewajiban memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi melakukan verifikasi atas pelaksanaan hak Subjek Data Pribadi untuk memastikan kesesuaian dengan tujuan pemrosesan Data Pribadi. (3) Pengendali Data Pribadi melakukan pembaruan dan/atau perbaikan Data Pribadi dengan cara mengganti Data Pribadi awal dengan Data Pribadi baru setelah perm in taan sebagaimana dimaksud pada ayat (1) terverifikasi. (4) Dalam hal tidak dimungkinkan untuk mengganti Data Pribadi awal sebagaimana dimaksud pada ayat (3), pembaruan dan/atau perbaikan Data Pribadi dapat dilakukan dengan membuat catatan tambahan. (5) Pengendali Data Pribadi dapat menolak permintaan pembaruan dan/atau perbaikan Data Pribadi. (6) Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Subjek Data Pribadi. (7) Penolakan permintaan pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud pada ayat (5) harus diberitahukan kepada Subjek Data Pribadi beserta alasannya sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 71 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan “terverifikasi” merupakan hasil penilaian atas permohonan Subjek Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas. Ayat (7) Cukup jelas.
Pasal 72 (1) Dalam hal terdapat Pengendali Data Pribadi lain dan/atau Prosesor kewajiban pembaruan dan/atau perbaikan Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) termasuk penyampaian pembaruan dan/atau perbaikan Data Pribadi kepada Pengendali Data Pribadi lain dan/atau Prosesor Data Pribadi. (2) Penyampaian Data Pribadi oleh Pengendali Data Pribadi kepada Pengendali Data Pribadi lain sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal penyampaian keberhasilan dianggap tidak memungkinkan atau melibatkan upaya yang tidak seimbang dari Pengendali Data Pribadi. Penjelasan Pasal 72 Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan “dianggap tidak memungkinkan atau melibatkan upaya yang tidak seimbang” antara lain langkah upaya penyampaian pembaruan membutuhkan waktu dan sumber daya yang tidak proporsional secara signifikan apabila diberitahukan kepada Pengendali Data Pribadi lain. Contoh:
Pasal 73 Ketentuan lebih lanjut mengenai perlengkapan, pembaruan, dan/atau perbaikan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 73 Cukup jelas.
|
|
5 |
Pasal 31 UU ↔ Pasal 74–75 PP |
Pasal 31 Pengendali Data Pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi. Penjelasan Pasal 31 Cukup jelas.
|
Pasal 74 (1) Pengendali Data Pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi. (2) Perekaman kegiatan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. nama dan detail kontak Pengendali Data Pribadi, Pengendali Data Pribadi Bersama, dan/atau Prosesor Data Pribadi; b. kontak PPDP; c. sumber pengumpulan dan tujuan pengumpulan Data Pribadi; d. dasar pemrosesan Data Pribadi; e. tujuan pemrosesan Data Pribadi; f. jenis Data Pribadi; g. kategori Subjek Data Pribadi; h. pihak selain Pengendali Data Pribadi yang dapat mengakses Data Pribadi i. Pemenuhan hak Subjek Data Pribadi; j. pemetaan aliran Data Pribadi; k. Masa Retensi; 1. langkah teknis dan organisasi dalam rangka pengamanan Data Pribadi; dan m. rincian transfer Data Pribadi. (3) Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Pengendali Data Pribadi harus memastikan Prosesor Data Pribadi melakukan perekaman kegiatan pemrosesan Data Pribadi. (4) Perekaman sebagaimana dimaksud pada ayat (3) tidak menghapus kewajiban melakukan perekaman oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1). (5) Perekaman kegiatan pemrosesan Data Pribadi yang dilakukan oleh Prosesor Data Pribadi sebagaimana dimaksud pada ayat (3) paling sedikit memuat: a. nama dan kontak Prosesor Data Pribadi; b. lingkup kegiatan pemrosesan Data Pribadi; c. rincian transfer Data Pribadi; dan d. deskripsi umum langkah organisasi dan teknis pengamanan Data Pribadi. (6) Hasil perekaman kegiatan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) disimpan dan dikelola dalam bentuk tertulis secara elektronik dan/atau nonelektronik. (7) Hasil perekaman kegiatan pemrosesan Data Pribadi dalam hal terdapat perubahan terhadap Informasi sebagaimana dimaksud pada ayat (2) dan ayat (5). (8) Hasil perekaman sebagaimana dimaksud pada ayat (2) dan ayat (5) beserta perubahannya sebagaimana dimaksud pada ayat (7) disimpan dan dikelola oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (9) Dalam hal diminta oleh Lembaga, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus memberikan dokumen basil perekaman kegiatan pemrosesan Data Pribadi. (10) Dalam hal dibutuhkan untuk keperluan audit dan pengawasan, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus menyediakan hasil perekaman kegiatan pemrosesan Data Pribadi. Penjelasan Pasal 74 Ayat (1) Yang dimaksud dengan “perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi” merupakan catatan yang memuat inventaris dan pemetaan aliran data dari pemrosesan Data Pribadi. Ayat (2) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Cukup jelas. Huruf h Pihak selain Pengendali Data Pribadi antara lain Kementerian/Lembaga atau pihak ketiga. Huruf i Cukup jelas. Huruf j Cukup jelas. Huruf k Cukup jelas. Huruf l Cukup jelas. Huruf m Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Pengelolaan hasil perekaman kegiatan pemrosesan Data Pribadi merupakan proses pengendalian hasil perekaman kegiatan pemrosesan Data Pribadi secara efisien, efektif, dan sistematis meliputi penciptaan, penggunaan dan pemeliharaan, serta penyusutan hasil perekaman kegiatan pemrosesan Data Pribadi. Ayat (7) Cukup jelas. Ayat (8) Cukup jelas. Ayat (9) Cukup jelas. Ayat (10) Cukup jelas.
Pasal 75 (1) Pengendali Data Pribadi menetapkan Masa Retensi melalui dokumen kebijakan Masa Retensi. (2) Dokumen kebijakan Masa Retensi sebagaimana dimaksud pada ayat (1) paling sedikit berisi: a. definisi dan periode Masa Retensi; b. ketentuan Masa Retensi arsip dan ketentuan lainnya; c. Subjek Data Pribadi yang diatur; d. jenis dan komponen Data Pribadi yang diatur; e. ketentuan deidentifikasi, jika digunakan untuk kepentingan statistik dan penelitian ilmiah; f. metode pemusnahan secara elektronik dan nonelektronik; g. ketentuan untuk Prosesor Data Pribadi; h. Penanggungjawab i. Dokumentasi dan pemberitahuan;; dan j. dasar hukum pengaturan, jika Masa Retensi karena kewajiban hukum sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 75 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “ketentuan Masa Retensi arsip dan ketentuan lainnya” antara lain ketentuan peraturan perundang-undangan, ketentuan yang ada di masing-masing sektor. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Cukup jelas. Huruf h Cukup jelas. Huruf i Cukup jelas. Huruf j Cukup jelas.
|
|
6 |
Pasal 49 UU ↔ Pasal 29 PP |
Pasal 49 Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib melaksanakan perintah lembaga dalam rangka penyelenggaraan Pelindungan Data Pribadi sesuai dengan Undang-Undang ini. |
Pasal 29 Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib melaksanakan perintah Lembaga dalam rangka penyelenggaraan Pelindungan Data Pribadi sebagaimana diatur ketentuan dalam Undang-Undang mengenai Pelindungan Data Pribadi. Penjelasan Pasal 29 Perintah Lembaga termasuk perintah kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam rangka melaksanakan kewajiban Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, dan/atau memenuhi atau memulihkan hak-hak Subjek Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini.
|
|
Klaster Akses Subjek Data Pribadi & Penolakan Akses (Kewajiban Pengendali)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 32 UU ↔ Pasal 77–78 PP |
Pasal 32 (1) Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi. (2) Akses sebagaimana dimaksud pada ayat (1) diberikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses. Penjelasan Pasal 32 Cukup jelas.
|
Pasal 77 (1) Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses dari Subjek Data Pribadi. (2) Pengendali Data Pribadi memberikan akses kepada Subjek Data Pribadi setelah dilakukan verifikasi terhadap permintaan akses sebagaimana dimaksud pada ayat (1). (3) Pemberian akses sebagaimana dimaksud pada ayat (1) paling sedikit meliputi: a. akses terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi; b. Informasi yang diberikan oleh Pengendali Data Pribadi terkait konfirmasi permintaan akses; dan c. akses perubahan Data Pribadi. (4) Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal: a. membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain; b. berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau c. bertentangan dengan kepentingan pertahanan dan keamanan nasional. Penjelasan Pasal 77 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “konfirmasi permintaan akses” adalah tanggapan Pengendali Data Pribadi atas permintaan akses oleh Subjek Data Pribadi. Huruf c Cukup jelas. Ayat (4) Huruf a Yang dimaksud dengan “membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain” antara lain perubahan data riwayat penyakit yang berpotensi membahayakan keamanan diri sendiri dan/atau orang lain. Huruf b Yang dimaksud dengan “berdampak pada pengungkapan Data Pribadi milik orang lain” antara lain perubahan Data Pribadi nasabah yang berdampak pada pengungkapan Data Pribadi orang lain. Huruf c Cukup jelas.
Pasal 78 (1) Berdasarkan permohonan salinan Data Pribadi sebagaimana dimaksud dalam Pasal 76 ayat (1), Pengendali Data Pribadi harus menyampaikan salinan Data Pribadi pemohon pada kesempatan pertama. (2) Dalam melaksanakan pemenuhan permohonan salinan sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi juga melakukan konfirmasi serta penyampaian jangka waktu yang diperlukan dalam penyediaan salinan Data Pribadi kepada Subjek Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak permohonan diterima dan terverifikasi. (3) Dalam hal salinan Data Pribadi yang dimohonkan tidak dapat disediakan, Pengendali Data Pribadi menyampaikan kepada pemohon disertai dengan alasannya. Penjelasan Pasal 78 Ayat (1) Cukup jelas. Ayat (2) Jangka waktu yang dibutuhkan oleh Pengendali Data Pribadi untuk menyediakan Data Pribadi dan/atau salinan Data Pribadi beserta rekam jejak Data Pribadi merupakan jangka waktu yang wajar dan tanpa penundaan. Ayat (3) Cukup jelas.
|
|
2 |
Pasal 33 UU ↔ Pasal 77 PP |
Pasal 33 Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal: a. membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain; b. berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau c. bertentangan dengan kepentingan pertahanan dan keamanan nasional Penjelasan Pasal 33
Huruf a Yang dimaksud dengan "membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain" antara lain perubahan data riwayat penyakit yang berpotensi membahayakan keamanan diri sendiri dan/atau orang lain. Huruf b Yang dimaksud dengan "berdampak pada pengungkapan Data Pribadi milik orang lain" antara lain perubahan Data Pribadi nasabah yang berdampak pada pengungkapan Data Pribadi orang lain. Huruf c Cukup jelas.
. |
Pasal 77 (1) Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses dari Subjek Data Pribadi. (2) Pengendali Data Pribadi memberikan akses kepada Subjek Data Pribadi setelah dilakukan verifikasi terhadap permintaan akses sebagaimana dimaksud pada ayat (1). (3) Pemberian akses sebagaimana dimaksud pada ayat (1) paling sedikit meliputi: a. akses terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi; b. Informasi yang diberikan oleh Pengendali Data Pribadi terkait konfirmasi permintaan akses; dan c. akses perubahan Data Pribadi. (4) Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal: a. membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain; b. berdampak pada pengungkapan Data Pribadi milik orang lain c. bertentangan dengan kepentingan pertahanan dan keamanan nasional. Penjelasan Pasal 77 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “konfirmasi permintaan akses” adalah tanggapan Pengendali Data Pribadi atas permintaan akses oleh Subjek Data Pribadi. Huruf c Cukup jelas. Ayat (4) Huruf a Yang dimaksud dengan “membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain” antara lain perubahan data riwayat penyakit yang berpotensi membahayakan keamanan diri sendiri dan/atau orang lain. Huruf b Yang dimaksud dengan “berdampak pada pengungkapan Data Pribadi milik orang lain” antara lain perubahan Data Pribadi nasabah yang berdampak pada pengungkapan Data Pribadi orang lain. Huruf c Cukup jelas.
|
|
Klaster Penilaian Dampak Pelindungan Data Pribadi (DPIA)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 34 UU ↔ Pasal 120–122 PP |
Pasal 34 (1) Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi. (2) Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi. (3) Ketentuan lebih lanjut mengenai penilaian dampak Pelindungan Data Pribadi diatur dalam Peraturan Pemerintah. Penjelasan Pasal 34
Ayat (1) Penilaian dampak Pelindungan Data Pribadi dilakukan untuk mengevaluasi potensi risiko yang timbul dari suatu pemrosesan Data Pribadi serta upaya atau langkah yang harus dilakukan untuk memitigasi risiko, termasuk terhadap hak Subjek Data Pribadi dan mematuhi Undang-Undang ini. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas.
|
Pasal 120 (1) Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi. (2) Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi. Penjelasan Pasal 120 Ayat (1) Penilaian dampak Pelindungan Data Pribadi dilakukan untuk mengevaluasi potensi risiko yang timbul dari suatu pemrosesan Data Pribadi serta upaya atau langkah yang harus dilakukan untuk memitigasi risiko, termasuk terhadap hak Subjek Data Pribadi dan mematuhi Undang-Undang mengenai Pelindungan Data Pribadi. Ayat (2) Huruf a Keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi antara lain keputusan tentang akses individu ke produk, layanan, peluang, atau manfaat yang didasarkan pada pengambilan keputusan otomatis, termasuk pembuatan profil. Huruf b Cukup jelas. Huruf c Pemrosesan Data Pribadi dalam skala besar antara lain dengan mempertimbangkan faktor yang terkait seperti jumlah Data Pribadi yang diproses, jumlah Subjek Data Pribadi yang terlibat, durasi pemrosesan Data Pribadi, jenis Data Pribadi, tujuan pemrosesan Data Pribadi, dan wilayah geografis yang terkena dampak pemrosesan Data Pribadi. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Penggunaan teknologi baru dalam pemrosesan Data Pribadi antara lain kecerdasan buatan, machine learning, smart technology, internet of things, dan lain sebagainya. Huruf g Cukup jelas.
Pasal 121 (1) Kewajiban melakukan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 120 ayat (1) dilaksanakan sebelum dilakukan pemrosesan Data Pribadi. (2) Penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. deskripsi mengenai kegiatan pemrosesan Data Pribadi dan tujuan pemrosesan Data Pribadi, termasuk kepentingan dari Pengendali Data Pribadi atas pemrosesan Data Pribadi; b. penilaian kebutuhan dan proporsionalitas antara tujuan dan kegiatan pemrosesan Data Pribadi; c. penilaian risiko terhadap hak Subjek Data Pribadi; dan d. langkah Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi. (3) Pengendali Data Pribadi menerapkan langkah Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (2) huruf d pada saat pemrosesan Data Pribadi dilakukan. (4) Pengendali Data Pribadi mendokumentasikan penilaian dampak Pelindungan Data Pribadi beserta langkah yang digunakan Pengendali Data Pribadi untuk melindungi Subjek Data Pribadi dari risiko pemrosesan Data Pribadi. (5) Pengendali Data Pribadi harus melakukan peninjauan ulang penilaian dampak Pelindungan Data Pribadi jika terdapat perubahan risiko pemrosesan Data Pribadi. (6) Dalam hal terdapat PPDP, Pengendali Data Pribadi harus memperhatikan dan mendokumentasikan saran dari PPDP dalam melakukan penilaian dampak Pelindungan Data Pribadi. Penjelasan Pasal 121 Ayat (1) Cukup jelas. Ayat (2) Penilaian dampak Pelindungan Data Pribadi dilakukan secara sistematis. Ayat (3) Cukup jelas. Ayat (4) Mendokumentasikan penilaian dampak Pelindungan Data Pribadi termasuk mendokumentasikan saran dari PPDP. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas.
Pasal 122 (1) Pengendali Data Pribadi yang melakukan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 121 ayat (1), dapat berkonsultasi kepada Lembaga dalam hal: a. Pemrosesan Data Pribadi menimbulkan kerugian materiil dan/atau imateriil pada Subjek Data Pribadi; dan/atau b. tidak tersedianya langkah teknis operasional. (2) Ketentuan lebih lanjut mengenai penilaian dampak Pelindungan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 122 Cukup jelas.
|
|
Klaster Kewajiban Keamanan Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 35 UU ↔ Pasal 123–124 PP |
Pasal 35 Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan: a. penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan b. penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi. Penjelasan Pasal 35 Cukup jelas.
|
Pasal 123 (1) Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan: a. penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan b. penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi. (2) Penyusunan dan penerapan langkah teknis operasional sebagaimana dimaksud pada ayat (1) huruf a dilakukan dengan menerapkan: a. pseudonimisasi, enkripsi Data Pribadi, dan/atau langkah teknis lainnya yang mampu mencegah atau melindungi risiko terjadinya Kegagalan Pelindungan Data Pribadi; b. memastikan sistem dan layanan yang digunakan memiliki keamanan Data Pribadi dan ketahanan secara konsisten dalam pemrosesan Data Pribadi; c. memastikan sistem dan layanan yang digunakan memiliki kemampuan untuk mengembalikan akses dan ketersediaan Data Pribadi secara tepat waktu dalam hal terjadi insiden fisik atau teknis; dan/atau d. memiliki proses untuk melakukan pengujian, evaluasi, dan penilaian secara berkala untuk mengetahui tingkat efektivitas langkah teknis dan operasional sehingga menjamin keamanan pemrosesan Data Pribadi. (3) Penentuan tingkat keamanan Data Pribadi sebagaimana dimaksud pada ayat (1) huruf b dilakukan pada saat terdapat potensi dampak pada Subjek Data Pribadi paling sedikit meliputi: a. pemusnahan Data Pribadi secara tanpa hak; b. kehilangan, perubahan, atau pembukaan Data Pribadi secara tanpa hak; c. akses dari Data Pribadi yang disimpan, dikirim, atau diproses dalam bentuk lain; dan/atau d. pelanggaran pemrosesan Data Pribadi. (4) Penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) huruf a dilakukan berdasarkan tingkat keamanan yang telah ditentukan oleh Pengendali Data Pribadi. (5) Pengendali Data Pribadi melakukan penilaian kesesuaian antara penyusunan dan penerapan langkah teknis operasional sebagaimana dimaksud pada ayat (1) huruf a. (6) Penyusunan dan penerapan langkah penentuan tingkat keamanan dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. (7) Lembaga menyusun langkah teknis operasional serta penentuan tingkat keamanan berdasarkan ketentuan peraturan perundang-undangan. Penjelasan Pasal 123 Ayat (1) Yang dimaksud dengan “keamanan” mencakup pemenuhan aspek kerahasiaan, ketersediaan, dan integritas Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Huruf a Yang dimaksud dengan “pemusnahan Data Pribadi secara tanpa hak” merupakan tindakan menghancurkan Data Pribadi tanpa izin atau otoritas yang sah untuk melakukannya. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Yang dimaksud dengan “peraturan perundang-undangan” antara lain peraturan perundang-undangan di bidang keamanan siber dan sandi. Ayat (7) Cukup jelas.
Pasal 124 (1) Penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi sebagaimana dimaksud dalam Pasal 123 ayat (1) huruf a dimulai dari tahapan perencanaan sistem pemrosesan Data Pribadi sampai dengan penyelenggaraan pemrosesan Data Pribadi. (2) Dalam melaksanakan penyusunan dan penerapan langkah sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi harus: a. mempertimbangkan teknologi, biaya implementasi, sifat, ruang lingkup, konteks, dan tujuan pemrosesan Data Pribadi serta risiko yang ditimbulkan oleh pemrosesan Data Pribadi; b. memastikan secara baku (default) Data Pribadi yang diproses terbatas hanya pada Data Pribadi yang diperlukan untuk tujuan pemrosesan Data Pribadi; dan c. melakukan evaluasi risiko dan tindakan pencegahan yang diperlukan untuk melindungi Data Pribadi secara berkala dan konsisten. Penjelasan Pasal 124 Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Penerapan langkah organisasi dan teknis dilaksanakan dalam rangka meminimalisasi tujuan pemrosesan Data Pribadi dan meminimalisasi Data Pribadi yang diproses. Huruf c Evaluasi risiko dan implementasi tindakan pencegahan dilakukan baik secara berkala ataupun sewaktu-waktu sesuai dengan kebutuhan dalam rangka pelindungan terhadap Data Pribadi yang diproses melalui produk atau layanan yang ditawarkan.
|
|
2 |
Pasal 36 UU ↔ Pasal 125 PP |
Pasal 36 Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menjaga kerahasiaan Data Pribadi. Penjelasan Pasal 36 Cukup jelas.
|
Pasal 125 (1) Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menjaga kerahasiaan Data Pribadi. (2) Kewajiban menjaga kerahasiaan Data Pribadi sebagaimana dimaksud pada ayat (1), termasuk memastikan Prosesor Data Pribadi yang ditunjuk oleh Pengendali Data Pribadi mampu mendukung kewajiban Pengendali Data Pribadi dalam menjaga kerahasiaan Data Pribadi. Penjelasan Pasal 125 Cukup jelas.
|
|
3 |
Pasal 37 UU ↔ Pasal 126–128 PP |
Pasal 37 Pengendali Data Pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan Data Pribadi di bawah kendali Pengendali Data Pribadi. Penjelasan Pasal 37 Cukup jelas.
|
Pasal 126 (1) Pengendali Data Pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan Data Pribadi di bawah kendali Pengendali Data Pribadi. (2) Pihak yang terlibat dalam pemrosesan Data Pribadi dan di bawah kendali Pengendali Data Pribadi, meliputi: a. Prosesor Data Pribadi; b. pihak yang merupakan unit, satuan kerja, atau perwakilan Pengendali Data Pribadi yang kegiatan pemrosesan Data Pribadi dilakukan sendiri; dan/atau c. Pengendali Data Pribadi lain yang terlibat dalam pemrosesan Data Pribadi. Penjelasan Pasal 126 Cukup jelas.
Pasal 127 Dalam melakukan kewajiban pengawasan sebagaimana dimaksud dalam Pasal 126 ayat (1), Pengendali Data Pribadi harus memiliki: a. kebijakan terkait pemrosesan Data Pribadi; b. perjanjian pemrosesan Data Pribadi yang mengatur kewajiban dan tanggung jawab Pelindungan Data Pribadi; dan c. kanal komunikasi pelaporan bagi masyarakat. Penjelasan Pasal 127 Cukup jelas.
Pasal 128 Ketentuan lebih lanjut mengenai pengawasan oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 126 dan Pasal 127 diatur dalam Peraturan Lembaga. Penjelasan Pasal 128 Cukup jelas.
|
|
4 |
Pasal 38 UU ↔ Pasal 129 PP |
Pasal 38 Pengendali Data Pribadi wajib melindungi Data Pribadi dari pemrosesan yang tidak sah. Penjelasan Pasal 38 Cukup jelas.
|
Pasal 129 Pengendali Data Pribadi wajib melindungi Data Pribadi dari pemrosesan Data Pribadi yang tidak sah. Penjelasan Pasal 129 Cukup jelas.
|
|
5 |
Pasal 39 UU ↔ Pasal 130 PP |
Pasal 39 (1) Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah. (2) Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan menggunakan sistem keamanan terhadap Data Pribadi yang diproses dan/atau memproses Data Pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab. (3) Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 39 Cukup jelas.
|
Pasal 130 (1) Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah. (2) Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan menggunakan sistem keamanan terhadap Data Pribadi yang di proses dan/atau memproses Data Pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab. (3) Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 130 Cukup jelas. |
|
Klaster Penghentian, Penundaan/Pembatasan, Pengakhiran, Penghapusan & Pemusnahan (Kewajiban Pengendali)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 40 UU ↔ Pasal 92 PP |
Pasal 40 (1) Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Subjek Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi. (2) Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi. Penjelasan Pasal 40 Cukup jelas.
|
Pasal 92 (1) Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Subjek Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi. (2) Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi. (3) Pengendali Data Pribadi melakukan penghentian pemrosesan Data Pribadi setelah permintaan sebagaimana dimaksud pada ayat (2) terverifikasi. (4) Pengendali Data Pribadi harus memberitahukan penghentian pemrosesan Data Pribadi telah dilaksanakan kepada Subjek Data Pribadi. Penjelasan Pasal 92 Cukup jelas.
|
|
2 |
Pasal 41 UU ↔ Pasal 99–104 PP |
Pasal 41 (1) Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi. (2) Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: a. terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi; b. dapat membahayakan keselamatan pihak lain; dan/atau c. Subjek Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi. (3) Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan penundaan dan pembatasan pemrosesan Data Pribadi kepada Subjek Data Pribadi. Penjelasan Pasal 41 Cukup jelas.
|
Pasal 99 (1) Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi. (2) Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: a. terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi; b. dapat membahayakan keselamatan pihak lain; dan/atau c. Subjek Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi. (3) Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan oleh Pengendali Data Pribadi setelah permintaan Subjek Data Pribadi terverifikasi. Penjelasan Pasal 99 Cukup jelas.
Pasal 100 (1) Berdasarkan pengecualian sebagaimana dimaksud dalam Pasal 99 ayat (2), Pengendali Data Pribadi menolak permintaan penundaan atau pembatasan pemrosesan Data Pribadi disertai dengan alasan dan konsekuensi. (2) Penolakan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak permintaan diterima dan terverifikasi. Penjelasan Pasal 100 Cukup jelas.
Pasal 101 Dalam melaksanakan penundaan dan pembatasan pemrosesan Data Pribadi, Pengendali Data Pribadi hanya dapat melakukan penyimpanan Data Pribadi atas Subjek Data Pribadi yang bersangkutan sampai dengan penundaan dan pembatasan pemrosesan Data Pribadi berakhir atau diakhiri oleh Subjek Data Pribadi. Penjelasan Pasal 101 Cukup jelas.
Pasal 102 (1) Dalam pelaksanaan penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 101, Pengendali Data Pribadi dapat: a. memindahkan Data Pribadi ke sistem lain yang tidak terhubung dengan pemrosesan Data Pribadi lainnya untuk sementara; b. membuat Data Pribadi tidak dapat diakses oleh pihak lainnya; c. mengeluarkan Data Pribadi yang telah dipublikasikan dari situs web yang dikelola oleh Pengendali Data Pribadi untuk sementara; dan/atau d. melakukan langkah teknis lain yang relevan. (2) Data Pribadi yang telah ditandai sebagai Data Pribadi yang ditunda dan dibatasi harus teridentifikasi secara jelas dalam sistem yang menyimpan Data Pribadi. Penjelasan Pasal 102 Cukup jelas.
Pasal 103 (1) Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan penundaan dan pembatasan pemrosesan Data Pribadi kepada Subjek Data Pribadi. (2) Pemberitahuan sebagaimana dimaksud pada ayat (1) disampaikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam setelah penundaan dan pembatasan pemrosesan Data Pribadi dilakukan oleh Pengendali Data Pribadi. Penjelasan Pasal 103 Cukup jelas.
Pasal 104 Ketentuan lebih lanjut mengenai mekanisme penundaan dan pembatasan pemrosesan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 104 Cukup jelas.
|
|
3 |
Pasal 42 UU ↔ Pasal 80–81 PP |
Pasal 42 (1) Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi dalam hal: a. telah mencapai masa retensi; b. tujuan pemrosesan Data Pribadi telah tercapai; atau c. terdapat permintaan dari Subjek Data Pribadi. (2) Pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 42 Cukup jelas.
|
Pasal 80 (1) Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi dalam hal: a. telah mencapai Masa Retensi; b. tujuan pemrosesan Data Pribadi telah tercapai; atau c. terdapat permintaan dari Subjek Data Pribadi. (2) Pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 80 Cukup jelas.
Pasal 81 (1) Pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 80 ayat (1) dilakukan dengan cara menghentikan pemrosesan Data Pribadi tersebut. (2) Kewajiban pengakhiran pemrosesan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam hal pemrosesan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi. (3) Pengendali Data Pribadi harus memberitahukan pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) kepada Subjek Data Pribadi. Penjelasan Pasal 81 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Penyampaian pengakhiran pemrosesan Data Pribadi kepada Subjek Data Pribadi dilakukan antara lain secara langsung kepada Subjek Data Pribadi atau tidak langsung melalui media massa.
|
|
4 |
Pasal 43 UU ↔ Pasal 82–83 PP |
Pasal 43 (1) Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal: a. Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi; b. Subjek Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi; c. terdapat permintaan dari Subjek Data Pribadi; atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 43 Cukup jelas.
|
Pasal 82 (1) Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal: a. Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi; b. Subjek Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi; c. terdapat permintaan dari Subjek Data Pribadi; atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Kewajiban menghapus Data Pribadi dalam hal Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum sebagaimana dimaksud pada ayat (1) huruf d dilaksanakan dalam hal: a. perolehan dan/atau pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data Pribadi merupakan perbuatan melawan hukum sesuai dengan ketentuan peraturan perundang-undangan; b. pelaksanaan sanksi administratif berupa penghapusan oleh Lembaga; atau c. terdapat putusan pengadilan yang telah memperoleh kekuatan hukum tetap. (3) Kewajiban penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal penghapusan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi. (4) Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan dengan cara menghapus Data Pribadi sehingga Data Pribadi tersebut tidak lagi dapat diakses oleh selain Pengendali Data Pribadi. Penjelasan Pasal 82 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Penghapusan Data Pribadi antara lain dilakukan dengan menghapus Data Pribadi dari sistem lnformasi atau basis data, termasuk salinan cadangan.
Pasal 83 Subjek Data Pribadi tidak dapat mengajukan permintaan penghapusan Data Pribadi jika penarikan persetujuan pemrosesan Data Pribadi yang diikuti dengan penghapusan Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b. Penjelasan Pasal 83 Cukup jelas.
|
|
5 |
Pasal 44 UU ↔ Pasal 84–85 PP |
Pasal 44 (1) Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal: a. telah habis masa retensinya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip; b. terdapat permintaan dari Subjek Data Pribadi; c. tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 44
Ayat (1) Yang dimaksud dengan "memusnahkan" adalah tindakan untuk menghilangkan, melenyapkan, atau menghancurkan Data Pribadi sehingga tidak lagi dapat digunakan untuk mengidentifikasi Subjek Data Pribadi. Ayat (2) Cukup jelas.
|
Pasal 84 (1) Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal: a. telah habis Masa Retensi-nya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip; b. terdapat permintaan dari Subjek Data Pribadi; c. tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan menghilangkan, melenyapkan, atau menghancurkan Data Pribadi baik elektronik maupun nonelektronik sehingga tidak lagi dapat digunakan untuk mengidentifikasi Subjek Data Pribadi. (3) Kewajiban pemusnahan Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) dan ayat (2) termasuk dalam hal pemusnahan Data Pribadi melibatkan Pengendali Data Pribadi lainnya dan/atau Prosesor Data Pribadi. Penjelasan Pasal 84 Cukup jelas.
Pasal 85 (1) Pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 84 ayat (1) huruf b dapat dilakukan apabila Masa Retensi belum tercapai. (2) Subjek Data Pribadi tidak dapat mengajukan pembatalan pemusnahan atau pemulihan Data Pribadi jika pemusnahan Data Pribadi berdasarkan permintaan Subjek Data Pribadi telah dilaksanakan oleh Pengendali Data Pribadi. Penjelasan Pasal 85 Cukup jelas.
|
|
6 |
Pasal 45 UU ↔ Pasal 86–89 PP |
Pasal 45 Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi. Penjelasan Pasal 45 Cukup jelas.
|
Pasal 86 (1) Penghapusan Data Pribadi sebagaimana dimaksud dalam Pasal 82 dan/atau pemusnahan Data Pribadi sebagaimana dimaksud dalam Pasal 84 dilakukan sesuai dengan ketentuan peraturan perundang-undangan. (2) Penghapusan dan/atau pemusnahan sebagaimana dimaksud pada ayat (1) dengan melaksanakan paling sedikit: a. identifikasi Data Pribadi yang akan dihapus dan/atau dimusnahkan; b. identifikasi lokasi/tempat penyimpanan Data Pribadi yang akan dihapus dan/atau dimusnahkan; c. pemisahan Data Pribadi yang akan dihapus dan/atau dimusnahkan untuk mencegah penghapusan dan/atau pemusnahan yang tidak sengaja; d. pemilihan metode penghapusan dan/atau pemusnahan Data Pribadi yang sesuai; e. penghapusan dan/atau pemusnahan Data Pribadi secara aman; f. penyusunan laporan kegiatan penghapusan dan/atau pemusnahan Data Pribadi ke dalam suatu berita acara penghapusan dan/atau pemusnahan Data Pribadi; g. audit secara berkala untuk memastikan bahwa Data Pribadi tersebut telah dihapus dan/atau dimusnahkan secara permanen; h. pelaporan kepada Lembaga jika terjadi Kegagalan Pelindungan Data Pribadi selama proses penghapusan dan/atau pemusnahan Data Pribadi; dan i. evaluasi kebijakan penghapusan dan/atau pemusnahan Data Pribadi secara berkala dan melakukan perubahan jika diperlukan untuk memastikan kepatuhan terhadap ketentuan peraturan perundang-undangan. Penjelasan Pasal 86 Cukup jelas.
Pasal 87 (1) Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi. (2) Pemberitahuan Penghapusan dan/atau Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. Subjek Data Pribadi; b. Informasi penghapusan dan/atau pemusnahan Data Pribadi; c. jenis Data Pribadi yang dihapus dan/atau dimusnahkan; d. alasan penghapusan dan/atau pemusnahan Data Pribadi; e. tanggal efektif penghapusan dan/atau pemusnahan Data Pribadi; dan f. Informasi kontak Pengendali Data Pribadi. (3) Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan sebelum dan setelah penghapusan dan/atau pemusnahan Data Pribadi dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf a dan huruf d dan Pasal 84 ayat (1) huruf a, huruf c, dan huruf d. (4) Pemberitahuan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi dilakukan setelah penghapusan dan/atau pemusnahan dilakukan dalam hal sebagaimana dimaksud dalam Pasal 82 ayat (1) huruf b dan huruf c dan Pasal 84 ayat (1) huruf b. (5) Pemberitahuan sebagaimana dimaksud pada ayat (1) dilaksanakan paling lambat 3 x 24 (tiga kali dua puluh empat) jam sebelum atau setelah dilakukan penghapusan dan/atau pemusnahan Data Pribadi. (6) Penghapusan dan/atau pemusnahan Data Pribadi dilakukan oleh Pengendali Data Pribadi setelah permohonan dari Subjek Data Pribadi terverifikasi. Penjelasan Pasal 87 Cukup jelas.
Pasal 88 (1) Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Pengendali Data Pribadi harus memberitahukan dan memerintahkan penghapusan dan/atau pemusnahan Data Pribadi kepada Prosesor Data Pribadi. (2) Pemberitahuan kepada Prosesor Data Pribadi sebagaimana dimaksud pada ayat (1) harus disampaikan sebelum pemberitahuan kepada Subjek Data Pribadi. Penjelasan Pasal 88 Cukup jelas.
Pasal 89 Ketentuan lebih lanjut mengenai mekanisme pengakhiran pemrosesan, penghapusan, dan pemusnahan Data Pribadi diatur dengan Peraturan Lembaga. Penjelasan Pasal 89 Cukup jelas.
|
|
Klaster Kegagalan Pelindungan Data Pribadi (Data Breach)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 46 UU ↔ Pasal 114–119 PP |
Pasal 46 (1) Dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada: a. Subjek Data Pribadi; dan b. lembaga. (2) Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) minimal memuat: a. Data Pribadi yang terungkap; b. kapan dan bagaimana Data Pribadi terungkap; dan c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi. (3) Dalam hal tertentu, Pengendali Data Pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan Pelindungan Data Pribadi. Penjelasan Pasal 46
Ayat (1) Yang dimaksud dengan "kegagalan Pelindungan Data Pribadi" adalah kegagalan melindungi Data Pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan Data Pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap Data Pribadi yang dikirim, disimpan, atau diproses. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan "dalam hal tertentu" antara lain jika kegagalan Pelindungan Data Pribadi mengganggu pelayanan publik dan/atau berdampak serius terhadap kepentingan masyarakat.
|
Pasal 114 (1) Dalam hal terjadi Kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada: a. Subjek Data Pribadi; dan b. Lembaga. (2) Pemberitahuan sebagaimana dimaksud pada ayat (1) terhitung sejak Kegagalan Pelindungan Data Pribadi diketahui secara pasti, patut, dan wajar. (3) Pemberitahuan sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. Data Pribadi yang terungkap; b. kapan dan bagaimana Data Pribadi terungkap; dan c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi. (4) Pemberitahuan sebagaimana dimaksud pada ayat (1) juga harus memuat mengenai Informasi PPDP atau narahubung yang ditunjuk oleh Pengendali Data Pribadi. Penjelasan Pasal 114 Ayat (1) Cukup jelas. Ayat (2) Pengendali Data Pribadi dianggap telah mengetahui Kegagalan Pelindungan Data Pribadi secara pasti, patut, dan wajar berdasarkan kesimpulan dari dokumentasi yang dihasilkan oleh Pengendali Data Pribadi terhadap insiden Kegagalan Pelindungan Data Pribadi. Ayat (3) Huruf a Cukup jelas. Huruf b Kapan dan bagaimana Data Pribadi terungkap termasuk deskripsi dan dampak Kegagalan Pelindungan Data Pribadi. Huruf c Cukup jelas. Ayat (4) Cukup jelas.
Pasal 115 (1) Pengendali Data Pribadi wajib memberitahukan kepada masyarakat mengenai Kegagalan Pelindungan Data Pribadi dalam hal: a. Kegagalan Pelindungan Data Pribadi mengganggu pelayanan publik; dan/atau b. Kegagalan Pelindungan Data Pribadi berdampak serius terhadap kepentingan masyarakat. (2) Kewajiban pemberitahuan kepada masyarakat sebagaimana dimaksud pada ayat (1) dilaksanakan secara umum melalui media elektronik dan/atau nonelektronik. Penjelasan Pasal 115 Cukup jelas.
Pasal 116 (1) Pengendali Data Pribadi menyusun dokumentasi atas terjadinya Kegagalan Pelindungan Data Pribadi paling sedikit memuat: a. Data Pribadi yang dilindungi; b. deskripsi Kegagalan Pelindungan Data Pribadi; c. dampak atau akibat Kegagalan Pelindungan Data Pribadi terhadap Subjek Data Pribadi dan Pengendali Data Pribadi; d. upaya penanganan dan pemulihan yang telah, sedang, dan akan dilakukan; dan e. jangka waktu pemberitahuan kepada Subjek Data Pribadi dan Lembaga. (2) Dokumentasi atas terjadinya Kegagalan Pelindungan Data Pribadi yang disusun oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) disampaikan kepada Lembaga. Penjelasan Pasal 116 Ayat (1) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “deskripsi Kegagalan Pelindungan Data Pribadi” termasuk menjelaskan kapan dan bagaimana Kegagalan Pelindungan Data Pribadi. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Ayat (2) Cukup jelas.
Pasal 117 (1) Pengendali Data Pribadi menetapkan dan melaksanakan kebijakan, prosedur, dan/atau pedoman mengenai pencegahan dan penanganan Kegagalan Pelindungan Data Pribadi yang berlaku di internal Pengendali Data Pribadi. (2) Kebijakan, prosedur, dan/atau pedoman sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. pembagian peran dan tanggung jawab penanganan Kegagalan Pelindungan Data Pribadi; b. mekanisme untuk melakukan analisis, klasifikasi, prioritisasi, pemantauan, penanganan, dan penyelesaian Kegagalan Pelindungan Data Pribadi, termasuk setelah kejadian; c. dokumentasi penanganan Kegagalan Pelindungan Data Pribadi dan mekanisme pelaporan kepada Subjek Data Pribadi dan Lembaga; dan d. peninjauan dan pembaruan berkala proses penanganan Kegagalan Pelindungan Data Pribadi. Penjelasan Pasal 117 Cukup jelas.
Pasal 118 Dalam hal terjadi Kegagalan Pelindungan Data Pribadi pada pemrosesan Data Pribadi yang dilakukan oleh Prosesor Data Pribadi, Prosesor Data Pribadi harus melaporkan Kegagalan Pelindungan Data Pribadi kepada Pengendali Data Pribadi pada kesempatan pertama. Penjelasan Pasal 118 Cukup jelas.
Pasal 119 Ketentuan lebih lanjut mengenai pemberitahuan Kegagalan Pelindungan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 119 Cukup jelas.
|
|
Klaster Pertanggungjawaban Pengendali, Peristiwa Korporasi (M&A, Pembubaran) & Pengecualian Kewajiban
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 47 UU ↔ Pasal 138 PP |
Pasal 47 Pengendali Data Pribadi wajib bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip Pelindungan Data Pribadi. Penjelasan Pasal 47 Cukup jelas.
|
Pasal 138 (1) Pengendali Data Pribadi wajib bertanggungjawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip Pelindungan Data Pribadi. (2) Dalam melaksanakan pertanggungjawaban sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi paling sedikit harus: a. menetapkan dan menerapkan langkah teknis dan organisasi yang sesuai untuk memenuhi persyaratan akuntabilitas atau pertanggungjawaban; b. mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi; c. merespons permintaan Informasi dari Lembaga; d. menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan Data Pribadi; dan e. melakukan audit Pelindungan Data Pribadi secara internal dan eksternal. Penjelasan Pasal 138 Ayat (1) Cukup jelas. Ayat (2) Huruf a Cukup jelas. Huruf b Mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi meliputi kegiatan pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan Data Pribadi. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas.
|
|
2 |
Pasal 48 UU ↔ Pasal 131–137 PP |
Pasal 48 (1) Pengendali Data Pribadi berbentuk badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum wajib menyampaikan pemberitahuan pengalihan Data Pribadi kepada Subjek Data Pribadi. (2) Pemberitahuan pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (3) Dalam hal Pengendali Data Pribadi berbentuk badan hukum melakukan pembubaran atau dibubarkan, penyimpanan, pentransferan, penghapusan, atau pemusnahan Data Pribadi dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. (4) Penyimpanan, pentransferan, penghapusan, atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (3) diberitahukan kepada Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai tata cara pemberitahuan sebagaimana dimaksud pada ayat (1), ayat (2), dan ayat (4) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 48 Cukup jelas.
|
Pasal 131 (1) Pengalihan Data Pribadi dapat dilakukan dari Pengendali Data Pribadi lama ke Pengendali Data Pribadi baru. (2) Pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan dalam hal penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (3) Sebelum pengalihan sebagaimana dimaksud pada ayat (2) dilakukan, Pengendali Data Pribadi harus melakukan penilaian terhadap: a. hak Subjek Data Pribadi yang masih wajib dipenuhi oleh Pengendali Data Pribadi selama dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum dilakukan; dan b. kewajiban Pengendali Data Pribadi dalam bidang Pelindungan Data Pribadi yang masih wajib dipenuhi oleh Pengendali Data Pribadi selama dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (4) Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 120 wajib memperbarui penilaian dampak Pelindungan Data Pribadi sesuai dengan hasil penilaian terhadap hak dan kewajiban sebagaimana dimaksud pada ayat (3). (5) Berdasarkan penilaian sebagaimana dimaksud pada ayat (3) dan penilaian dampak Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (4), Pengendali Data Pribadi menyusun langkah teknis operasional pengalihan Data Pribadi dari Pengendali Data Pribadi lama kepada Pengendali Data Pribadi baru dalam hal terdapat kewajiban Pengendali Data Pribadi dan/atau hak Subjek Data Pribadi yang wajib dipenuhi selama proses dan/atau setelah proses penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum. (6) Hubungan hukum antara Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru dalam hal penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum sebagaimana dimaksud pada ayat (2) merupakan Pengendali Data Pribadi Bersama sampai proses penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum dianggap selesai sesuai dengan peraturan perundang-undangan. Penjelasan Pasal 131 Cukup jelas.
Pasal 132 Dalam hal Pengendali Data Pribadi berbentuk badan hukum melakukan pembubaran atau dibubarkan, penyimpanan, pentransferan, atau pemusnahan Data Pribadi dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 132 Cukup jelas.
Pasal 133 (1) Pengendali Data Pribadi berbentuk badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum wajib menyampaikan pemberitahuan pengalihan Data Pribadi kepada Subjek Data Pribadi. (2) Kewajiban penyampaian pemberitahuan pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) berlaku bagi Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru. (3) Pemberitahuan pengalihan Data Pribadi oleh Pengendali Data Pribadi lama sebagaimana dimaksud pada ayat (2) paling sedikit memuat: a. Informasi bahwa akan ada pengiriman Data Pribadi dari Pengendali Data Pribadi lama kepada Pengendali Data Pribadi baru; b. aktivitas pemrosesan Data Pribadi yang akan dan telah dilakukan dalam rangka penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum; c. nama badan hukum yang bertanggung jawab, alamat, nomor telepon dan Informasi kontak lain yang dimiliki oleh Pengendali Data Pribadi baru; d. metode dan prosedur penyampaian keberatan dan/atau permohonan penghentian pemrosesan Data Pribadi, atau penolakan Subjek Data Pribadi terhadap pengiriman Data Pribadi ke Pengendali Data Pribadi baru; e. Informasi waktu kapan pemrosesan Data Pribadi untuk keperluan kegiatan Pengendali Data Pribadi baru akan mulai berlangsung; f. Informasi bahwa Data Pribadi dapat diakses oleh Pengendali Data Pribadi baru dan/atau pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum; dan g. pernyataan bahwa Pengendali Data Pribadi lama akan memusnahkan Data Pribadi yang telah dialihkan kepada Pengendali Data Pribadi baru, pada saat penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum berakhir. (4) Pemberitahuan pengalihan Data Pribadi oleh Pengendali Data Pribadi baru sebagaimana dimaksud pada ayat (2) paling sedikit memuat: a. Informasi bahwa telah terjadi pengiriman Data Pribadi dari Pengendali Data Pribadi lama ke Pengendali Data Pribadi baru; b. aktivitas pemrosesan Data Pribadi yang akan dan telah dilakukan dalam rangka penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum; c. nama badan hukum yang bertanggung jawab, alamat, nomor telepon dan Informasi kontak lain yang dimiliki oleh Pengendali Data Pribadi baru; d. Informasi bahwa telah terjadi pemrosesan Data Pribadi sesuai dengan tujuan awal yang dilakukan oleh Pengendali Data Pribadi lama; e. Informasi waktu pemrosesan Data Pribadi untuk keperluan kegiatan Pengendali Data Pribadi baru akan mulai berlangsung; f. metode, prosedur, dan jangka waktu penyampaian keberatan dan/atau permohonan penghentian pemrosesan Data Pribadi, atau penolakan Subjek Data Pribadi terhadap pengiriman Data Pribadi ke Pengendali Data Pribadi baru; dan g. Informasi bahwa Data Pribadi dapat diakses oleh Pengendali Data Pribadi baru dan/atau pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (5) Pemberitahuan oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum mulai berlaku. (6) Pengendali Data Pribadi lama menyiapkan syarat dan ketentuan pengaksesan Data Pribadi oleh pihak lain yang terlibat dalam penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. Penjelasan Pasal 133 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Yang dimaksud dengan “mulai berlaku” ialah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum yang telah memenuhi seluruh ketentuan peraturan perundang-undangan atau hukum yang berlaku. Misalnya penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum berupa perseroan terbatas di Indonesia berlaku secara efekif sejak tanggal surat persetujuan dan/atau pemberitahuan perubahan anggaran dasar dari menteri yang menyelenggarakan urusan pemerintahan di bidang hukum. Ayat (6) Cukup jelas.
Pasal 134 (1) Pengalihan Data Pribadi dalam penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum, Pengendali Data Pribadi lama dan Pengendali Data Pribadi baru harus membuat perjanjian mengenai Pelindungan Data Pribadi. (2) Perjanjian sebagaimana dimaksud pada ayat (1) paling sedikit memuat: a. dasar pemrosesan Data Pribadi masing-masing Pengendali Data Pribadi; b. pemenuhan prinsip Pelindungan Data Pribadi; c. pemenuhan hak Subjek Data Pribadi; dan d. pembagian kewajiban dan tanggung jawab Pengendali Data Pribadi lama, Pengendali Data Pribadi baru, dan pihak yang terlibat dalam pemrosesan Data Pribadi. (3) Perjanjian sebagaimana dimaksud pada ayat (1) dapat menjadi bagian dari perjanjian yang melandasi terjadinya penggabungan, pemisahan, pengambilalihan, atau peleburan badan hukum. (4) Perjanjian sebagaimana dimaksud pada ayat (1) tetap wajib tunduk pada ketentuan perjanjian yang harus disusun dan dilakukan oleh Pengendali Data Pribadi Bersama sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 134 Cukup jelas.
Pasal 135 (1) Kewajiban melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi sebagaimana dimaksud dalam Pasal 67 berlaku juga bagi Pengendali Data Pribadi baru. (2) Pengendali Data Pribadi baru dapat memproses Data Pribadi untuk tujuan Pengendali Data Pribadi baru setelah masa pengajuan keberatan oleh Subjek Data Pribadi untuk penyimpanan dan pemrosesan Data Pribadi oleh Pengendali Data Pribadi baru berakhir. Penjelasan Pasal 135 Cukup jelas.
Pasal 136 (1) Pengendali Data Pribadi berbentuk badan hukum yang melakukan pembubaran, selain melakukan pengalihan Data Pribadi sebagaimana dimaksud dalam Pasal 133, juga harus menyampaikan pemberitahuan kepada Subjek Data Pribadi paling sedikit memuat Informasi: a. telah terjadi pembubaran Pengendali Data Pribadi sehingga akan dilakukan penghapusan dan/atau pemusnahan Data Pribadi; b. pihak lain yang bekerja sama dengan Pengendali Data Pribadi untuk memproses Data Pribadi; dan c. narahubung atau PPDP yang ditugaskan untuk merespons pertanyaan atau permintaan Informasi terkait pemrosesan Data Pribadi hingga beberapa waktu tertentu yang wajar. (2) Pengendali Data Pribadi yang mengalami pembubaran dapat menunjuk pihak lain yang bertugas menjadi narahubung sebagaimana dimaksud pada ayat (1) huruf c. Penjelasan Pasal 136 Cukup jelas.
Pasal 137 (1) Subjek Data Pribadi berhak untuk melaksanakan hak sebagaimana diatur dalam ketentuan peraturan perundang-undangan dalam hal terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (2) Pelaksanaan hak Subjek Data Pribadi dilaksanakan dengan mengirimkan permintaan pelaksanaan hak sebagaimana diatur dalam ketentuan peraturan perundang-undangan kepada: a. Pengendali Data Pribadi lama setelah Pengendali Data Pribadi lama mengirimkan pemberitahuan akan terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum sampai dengan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum mulai berlaku; dan b. Pengendali Data Pribadi baru setelah Pengendali Data Pribadi baru mengirimkan pemberitahuan bahwa telah terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. Penjelasan Pasal 137 Cukup jelas.
|
|
3 |
Pasal 50 UU ↔ Pasal 149-153 PP
|
Pasal 50 (1) Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 30, Pasal 32, Pasal 36, Pasal 42, Pasal 43 ayat (1) huruf a sampai dengan huruf c, Pasal 44 ayat (1) huruf b, Pasal 45, dan Pasal 46 ayat (1) huruf a, dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka penyelenggaraan negara; atau d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang. Penjelasan Pasal 50 Cukup jelas.
|
Pasal 149 (1) Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 71 ayat (1) dan ayat (6), Pasal 77 ayat (1), Pasal 80, Pasal 82 ayat (1) huruf a sampai dengan huruf c, Pasal 84 ayat (1) huruf b, Pasal 87 ayat (1), Pasal 114 ayat (1) huruf a, dan Pasal 125 ayat (1) dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka penyelenggaraan negara; atau d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang (3) Dalam hal pelaksanaan pengecualian sebagaimana dimaksud pada ayat (1), Lembaga dapat secara aktif memberikan masukan dalam penyusunan peraturan sektoral yang memuat pengecualian kewajiban Pengendali Data Pribadi. Penjelasan Pasal 149 Cukup jelas.
Pasal 150 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf a dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pertahanan dan keamanan nasional sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf a harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pertahanan dan keamanan nasional; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap pertahanan dan keamanan nasional; d. mendapatkan surat keterangan dari Lembaga atau Kementerian atau lembaga terkait yang menyelenggarakan urusan pemerintahan di bidang pertahanan dan keamanan; dan e. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/ atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 150 Huruf a Yang dimaksud dengan “proporsional terbatas” yaitu terdapat kesesuaian antara penilaian kebutuhan dan pencapaian tujuan yang diinginkan atas pemrosesan Data Pribadi tersebut. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas.
Pasal 151 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf b dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan proses penegakan hukum sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf b harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi tujuan penegakan hukum; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan proses penegakan hukum; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/ atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 151 Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 152 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf c dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan umum dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 149 ayat (1) huruf c harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan umum dalam rangka penyelenggaraan negara; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan umum dalam rangka penyelenggaraan negara; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 152 Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 153 Penerapan pengecualian hak Subjek Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara sebagaimana dimaksud dalam Pasal 148 ayat (1) huruf d dan pengecualian kewajiban Pengendali Data Pribadi untuk kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara Pasal 149 ayat (1) huruf d harus memenuhi kriteria: a. pemrosesan Data Pribadi diperlukan secara wajar dan dilakukan secara proporsional terbatas untuk memenuhi kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; b. memiliki dasar pemrosesan Data Pribadi yang sah dan dapat menunjukkan bahwa pemrosesan Data Pribadi dilakukan sesuai dengan ketentuan peraturan perundang- undangan di bidang Pelindungan Data Pribadi; c. melakukan penilaian keseimbangan antara kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan potensi risiko terhadap kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara; dan d. memiliki upaya pelindungan untuk mencegah penyalahgunaan, transfer, dan/atau akses terhadap Data Pribadi secara melawan hukum. Penjelasan Pasal 153 Kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara antara lain untuk kepentingan pencegahan dan penanganan kejahatan terkait sektor keuangan misalnya fraud. Huruf a Lihat penjelasan Pasal 150 huruf a. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas.
|
|
Klaster Kewajiban Prosesor Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 51 UU ↔ Pasal 13–16, 139 PP |
Pasal 51 (1) Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi. (2) Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1), dilaksanakan sesuai ketentuan yang diatur dalam Undang-Undang ini. (3) Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam tanggung jawab Pengendali Data Pribadi. (4) Prosesor Data Pribadi dapat melibatkan Prosesor Data Pribadi lain dalam melakukan pemrosesan Data Pribadi. (5) Prosesor Data Pribadi wajib mendapatkan persetujuan tertulis dari Pengendali Data Pribadi sebelum melibatkan Prosesor Data Pribadi lain sebagaimana dimaksud pada ayat (4). (6) Dalam hal Prosesor Data Pribadi melakukan pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali Data Pribadi, pemrosesan Data Pribadi menjadi tanggung jawab Prosesor Data Pribadi. Penjelasan Pasal 51 Cukup jelas.
|
Pasal 13 (1) Pengendali Data Pribadi dapat menunjuk Prosesor Data Pribadi. (2) Prosesor Data Pribadi harus melakukan pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (3) Pemrosesan Data Pribadi oleh Prosesor Data Pribadi yang ditunjuk oleh Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) merupakan tanggung jawab Pengendali Data Pribadi. Penjelasan Pasal 13 Cukup jelas.
Pasal 14 Penunjukan Prosesor Data Pribadi sebagaimana dimaksud dalam Pasal 13 dilaksanakan berdasarkan perjanjian yang paling sedikit memuat: a. cakupan pemrosesan Data Pribadi yang dilakukan oleh Prosesor Data Pribadi atas nama Pengendali Data Pribadi; b. cara pemrosesan Data Pribadi; c. jenis dan tujuan pemrosesan Data Pribadi; d. jenis Data Pribadi yang diproses; e. kategori Subjek Data Pribadi; f. jangka waktu pemrosesan Data Pribadi; g. hak dan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi; h. mekanisme pengawasan, pendokumentasian, audit, dan inspeksi; i. penyelesaianan Sengketa; j. pelibatan Prosesor Data Pribadi lain berdasarkan kesepakatan; dan k. penunjukan narahubung yang ditunjuk bersama. Penjelasan Pasal 14 Cukup jelas.
Pasal 15 (1) Prosesor Data Pribadi dapat melibatkan Prosesor Data Pribadi lain dalam melakukan pemrosesan Data Pribadi. (2) Prosesor Data Pribadi wajib mendapatkan persetujuan tertulis dari Pengendali Data Pribadi sebelum melibatkan Prosesor Data Pribadi lain. (3) Prosesor Data Pribadi sebagaimana dimaksud pada ayat (1) harus memastikan Prosesor Data Pribadi lain yang dilibatkan melakukan pemrosesan Data Pribadi sesuai dengan ketentuan dalam Peraturan Pemerintah ini. (4) Penunjukan Prosesor Data Pribadi lain oleh Prosesor Data Pribadi diatur dalam perjanjian tertulis dengan memperhatikan tingkat Pelindungan Data Pribadi yang setara sesuai yang disepakati dalam perjanjian antara Pengendali Data Pribadi dan Prosesor Data Pribadi. (5) Pemrosesan Data Pribadi oleh Prosesor Data Pribadi lain merupakan tanggung jawab Pengendali Data Pribadi. Penjelasan Pasal 15 Cukup jelas.
Pasal 16 (1) Pengendali Data Pribadi Bersama dapat menunjuk Prosesor Data Pribadi. (2) Ketentuan mengenai penunjukan Prosesor Data Pribadi oleh Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 13 dan Pasal 14 berlaku secara mutatis mutandis terhadap penunjukan Prosesor Data Pribadi oleh Pengendali Data Pribadi Bersama. Penjelasan Pasal 16 Cukup jelas.
Pasal 139 (1) Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi. (2) Kewajiban melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi sebagaimana dimaksud pada ayat (1) harus terdokumentasi dan dilaksanakan sesuai perjanjian antara Prosesor Data Pribadi dan Pengendali Data Pribadi. (3) Dalam hal Prosesor Data Pribadi melakukan pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali Data Pribadi, pemrosesan Data Pribadi menjadi tanggung jawab Prosesor Data Pribadi. Penjelasan Pasal 139 Cukup jelas.
|
|
2 |
Pasal 52 UU ↔ Pasal 140–141 PP |
Pasal 52 Ketentuan mengenai kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 29, Pasal 31, Pasal 35, Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 berlaku juga terhadap Prosesor Data Pribadi. Penjelasan Pasal 52 Cukup jelas.
|
Pasal 140 Ketentuan mengenai kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 69, Pasal 7 4, Pasal 123, Pasal 125, Pasal 126, Pasal 129, dan Pasal 130 berlaku juga terhadap Prosesor Data Pribadi. Penjelasan Pasal 140 Cukup jelas.
Pasal 141 (1) Prosesor Data Pribadi harus bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban sesuai dengan ketentuan peraturan perundang-undangan. (2) Dalam melaksanakan pertanggungjawaban sebagaimana dimaksud pada ayat (1), Prosesor Data Pribadi harus: a. mendokumentasikan seluruh kegiatan pemrosesan Data Pribadi; b. merespons permintaan Informasi dari Lembaga; c. menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan Data Pribadi; dan d. melakukan audit. Penjelasan Pasal 141 Cukup jelas.
|
|
Klaster Pejabat/Petugas Pelindungan Data Pribadi (PPDP/DPO)
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 53 UU ↔ Pasal 142–144 PP |
Pasal 53 (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau* c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. (2) Pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik Pelindungan Data Pribadi, dan kemampuan untuk memenuhi tugas-tugasnya. (3) Pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (2) dapat berasal dari dalam dan/atau luar Pengendali Data Pribadi atau Prosesor Data Pribadi. *Anotasi Putusan MK No. 151/PUU-XXII/2024: Kata "dan" dalam Pasal 53 ayat (1) huruf b bertentangan dengan UUD 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai "dan/atau". Penjelasan Pasal 53
Ayat (1) Yang dimaksud dengan "pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi" adalah pejabat atau petugas yang bertanggung jawab untuk memastikan pemenuhan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas.
|
Pasal 142 (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk PPDP yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. (2) Ketentuan mengenai kewajiban menunjuk PPDP sebagaimana dimaksud pada ayat (1) diatur lebih lanjut dalam Peraturan Lembaga. Penjelasan Pasal 142 Cukup jelas.
Pasal 143 (1) PPDP yang melaksanakan fungsi Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 142 ayat (1) ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik Pelindungan Data Pribadi, dan kemampuan untuk memenuhi tugas-tugasnya. (2) Ketentuan mengenai profesionalitas dan kompetensi PPDP yang melaksanakan fungsi Pelindungan Data Pribadi diatur lebih lanjut dalam Peraturan Lembaga. Penjelasan Pasal 143 Cukup jelas.
Pasal 144 (1) Kewajiban penunjukan PPDP oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus mempertimbangkan struktur, ukuran, dan kebutuhan organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi. (2) PPDP sebagaimana dimaksud pada ayat (1) dapat terdiri atas orang perseorangan atau beberapa orang yang berasal dari dalam dan/atau luar Pengendali Data Pribadi atau Prosesor Data Pribadi. (3) Ketentuan mengenai penunjukan PPDP sebagaimana dimaksud pada ayat (1) dan ayat (2) diatur lebih lanjut dalam Peraturan Lembaga. Penjelasan Pasal 144 Cukup jelas.
|
|
2 |
Pasal 54 UU ↔ Pasal 145–147 PP |
Pasal 54 (1) Pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi memiliki tugas paling sedikit: a. menginformasikan dan memberikan saran kepada Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang ini; b. memantau dan memastikan kepatuhan terhadap Undang-Undang ini dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi; c. memberikan saran mengenai penilaian dampak Pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi dan Prosesor Data Pribadi; dan d. berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi. (2) Dalam melaksanakan tugas sebagaimana dimaksud pada ayat (1), pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi memperhatikan risiko terkait pemrosesan Data Pribadi, dengan mempertimbangkan sifat, ruang lingkup, konteks, dan tujuan pemrosesan. (3) Ketentuan lebih lanjut mengenai pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi diatur dalam Peraturan Pemerintah. Penjelasan Pasal 54 Cukup jelas.
|
Pasal 145 (1) PPDP memiliki tugas paling sedikit: a. menginformasikan dan memberikan saran kepada Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang mengenai Pelindungan Data Pribadi; b. memantau dan memastikan kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi; c. memberikan saran mengenai penilaian dampak Pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi dan Prosesor Data Pribadi; dan d. berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi. (2) Dalam melaksanakan tugas sebagaimana dimaksud pada ayat (1), PPDP memperhatikan risiko terkait pemrosesan Data Pribadi, dengan mempertimbangkan sifat, ruang lingkup, konteks, dan tujuan pemrosesan Data Pribadi. Penjelasan Pasal 145 Cukup jelas.
Pasal 146 (1) Untuk efektivitas pelaksanaan tugas PPDP sebagaimana dimaksud dalam Pasal 145, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus: a. memastikan PPDP terlibat dalam semua kegiatan pemrosesan Data Pribadi; b. memastikan PPDP memiliki akses pelaporan ke tingkat manajemen tertinggi; c. memastikan PPDP beroperasi secara objektif, tidak diintervensi, dan independen dalam menjalankan tugasnya sesuai dengan ketentuan peraturan perundang-undangan; d. menyediakan sumber daya yang memadai untuk memungkinkan PPDP memenuhi tugasnya dan mempertahankan tingkat keahliannya; e. memastikan PPDP mendapatkan akses yang sesuai dengan aktivitas pemrosesan Data Pribadi; f. memberikan akses yang sesuai ke layanan lainnya untuk mendapatkan Informasi penting yang berkaitan dengan pemrosesan Data Pribadi; g. meminta saran dari PPDP pada saat melakukan penilaian dampak Pelindungan Data Pribadi; dan h. mendokumentasikan secara detail kegiatan pelaksanaan tugas PPDP. (2) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus memastikan bahwa tugas PPDP tidak mengakibatkan konflik kepentingan. Penjelasan Pasal 146 Cukup jelas.
Pasal 147 (1) PPDP harus bekerja sama dengan unit, pejabat, atau pihak yang bertanggung jawab dalam pemrosesan Data Pribadi. (2) Dalam melakukan kerja sama dengan pihak sebagaimana dimaksud pada ayat (1), PPDP harus: a. memberikan rekomendasi dan saran kepada unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi yang diproses oleh Pengendali Data Pribadi agar penyelenggaraan keamanan pemrosesan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; b. melakukan upaya yang dibutuhkan untuk memastikan unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi yang diproses oleh Pengendali Data Pribadi menerapkan langkah teknis dan operasional yang turut mempertimbangkan pelindungan hak dan kebebasan Subjek Data Pribadi; dan c. melaporkan kinerja unit, pejabat, atau pihak yang bertanggung jawab dalam keamanan pemrosesan Data Pribadi kepada pemimpin di internal Pengendali Data Pribadi mengenai penilaian unit, pejabat, dan/atau pihak tersebut terhadap penerapan langkah teknis dan operasional dengan mempertimbangkan pelindungan Subjek Data Pribadi sesuai kebutuhan Pengendali Data Pribadi. Penjelasan Pasal 147 Cukup jelas.
|
|
Klaster Transfer Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 55 UU
|
Pasal 55 (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi lainnya dalam wilayah hukum Negara Republik Indonesia. (2) Pengendali Data Pribadi yang melakukan transfer Data Pribadi dan yang menerima transfer Data Pribadi wajib melakukan Pelindungan Data Pribadi sebagaimana dimaksud dalam Undang-Undang ini. Penjelasan Pasal 55 Cukup jelas.
|
|
|
2 |
Pasal 56 UU ↔ Pasal 160–174 PP |
Pasal 56 (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang-Undang ini. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini. (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah. Penjelasan Pasal 56 Cukup jelas.
|
Pasal 160 (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan Undang-Undang mengenai Pelindungan Data Pribadi. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1) Pengendali Data Pribadi yang melakukan transfer Data Pribadi dan yang menerima transfer Data Pribadi wajib melakukan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi. (3) Transfer Data Pribadi sebagaimana dimaksud pada ayat (1) memiliki kriteria: a. dilakukan oleh Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang- undangan; b. Pengendali Data Pribadi membuat Data Pribadi tersedia untuk Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima Data Pribadi; dan c. Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima Data Pribadi berada di luar wilayah hukum Negara Republik Indonesia. (4) Dalam hal transfer Data Pribadi lanjutan, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (2) harus tunduk pada ketentuan peraturan perundang-undangan. Penjelasan Pasal 160 Cukup jelas.
Pasal 161 Dalam melaksanakan transfer Data Pribadi sebagaimana dimaksud dalam Pasal 160, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi harus: a. melakukan perekaman dan pemetaan siklus transfer Data Pribadi dan implikasinya; b. memastikan bahwa Data Pribadi yang ditransfer cukup, relevan, dan terbatas sesuai dengan tujuan transfer Data Pribadi; c. mengidentifikasi instrumen hukum yang digunakan sebagai rujukan untuk proses transfer Data Pribadi sesuai dengan ketentuan peraturan perundang- undangan; d. melakukan penilaian efektivitas instrumen hukum yang digunakan untuk proses transfer Data Pribadi yang akan dilakukan sebelum melakukan transfer Data Pribadi; e. menggunakan instrumen pelengkap apabila dibutuhkan, baik berupa instrumen kontraktual, teknis, dan/atau organisasional; f. menerapkan langkah prosedural yang dapat ditempuh jika akan menggunakan instrumen pelengkap; dan g. mengevaluasi ulang secara berkala dalam kurun waktu yang memadai. Penjelasan Pasal 161 Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Penilaian efektivitas instrumen hukum termasuk penilaian mengenai potensi akses oleh otoritas publik di negara ketiga atau Organisasi Internasional yang menjadi wilayah tujuan transfer Data Pribadi melalui atau tanpa sepengetahuan pihak penerima transfer Data Pribadi. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Mengevaluasi ulang secara berkala dalam kurun waktu yang memadai misalnya apakah selama kurun waktu tersebut pernah dilakukan pelanggaran oleh penerima transfer Data Pribadi atau instrumen pelengkap tidak lagi efektif.
Pasal 162 (1) Pengendali Data Pribadi harus melakukan penilaian instrumen hukum sebelum melakukan transfer Data Pribadi. (2) Penilaian instrumen hukum sebagaimana dimaksud pada ayat (1) dilakukan dengan mempertimbangkan: a. dasar regulasi yang digunakan; b. tujuan transfer dan pemrosesan Data Pribadi; c. pihak yang terlibat dalam pemrosesan Data Pribadi; d. lingkup sektor transfer Data Pribadi; e. kategori Data Pribadi yang ditransfer; f. pilihan mekanisme transfer Data Pribadi yang digunakan; g. tempat penyimpanan Data Pribadi dan akses terhadap Data Pribadi; h. format Data Pribadi yang akan ditransfer, misalnya dalam teks biasa/disamarkan atau dienkripsi; i. kemungkinan Data Pribadi dapat ditransfer lebih lanjut dari negara penerima ke negara lainnya; j. tindakan penilaian terhadap risiko atau dampak terhadap hak-hak Subjek Data Pribadi akibat transfer Data Pribadi; k. Data Pribadi yang ditransfer cukup, relevan, dan terbatas pada yang diperlukan untuk tujuan transfer Data Pribadi; dan l. langkah prosedural dan evaluasi terhadap pelaksanaan transfer Data Pribadi. Penjelasan Pasal 162 Cukup jelas.
Pasal 163 Pengendali Data Pribadi harus melakukan penilaian atas kebutuhan transfer Data Pribadi dan dampak transfer Data Pribadi terhadap hak Subjek Data Pribadi melalui penilaian atas risiko transfer Data Pribadi. Penjelasan Pasal 163 Cukup jelas.
Pasal 164 (1) Pengendali Data Pribadi harus menyampaikan Informasi kepada Subjek Data Pribadi mengenai transfer Data Pribadi sebelum transfer Data Pribadi dilakukan. (2) Informasi kepada Subjek Data Pribadi mengenai transfer Data Pribadi sebelum melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), paling sedikit memuat: a. tujuan transfer Data Pribadi ke luar wilayah hukum negara Republik Indonesia; b. keberadaan instrumen Pelindungan Data Pribadi; c. mekanisme pelindungan terkait transfer Data Pribadi untuk memastikan Subjek Data Pribadi dapat memperoleh hak-haknya; dan d. risiko transfer Data Pribadi dan mekanisme mitigasi risiko yang ditempuh oleh Pengendali Data Pribadi. (3) Dalam hal transfer Data Pribadi dilakukan untuk pemenuhan pelindungan kepentingan vital Subjek Data Pribadi, Informasi sebagaimana dimaksud pada ayat (1) dapat diberikan sesudah transfer Data Pribadi dilakukan. Penjelasan Pasal 164 Cukup jelas.
Pasal 165 (1) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud dalam Pasal 160, Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang mengenai Pelindungan Data Pribadi. (2) Dalam hal ketentuan sebagaimana dimaksud pada ayat (1) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. (4) Lembaga berwenang melakukan penilaian pemenuhan persyaratan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), ayat (2), dan ayat (3). Penjelasan Pasal 165 Cukup jelas.
Pasal 166 Dalam hal pertukaran Data Pribadi antar penegak hukum dilaksanakan ke luar wilayah hukum Negara Republik Indonesia, pertukaran Data Pribadi dilaksanakan sesuai dengan ketentuan transfer Data Pribadi dalam Peraturan Pemerintah ini. Penjelasan Pasal 166 Cukup jelas.
Pasal 167 Penilaian tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi sebagaimana dimaksud dalam Pasal 165 ayat (1) dilakukan oleh Lembaga. Penjelasan Pasal 167 Cukup jelas.
Pasal 168 (1) Penilaian tingkat Pelindungan Data Pribadi yang dianggap setara atau lebih tinggi sebagaimana dimaksud dalam Pasal 165 ayat (1) dilakukan berdasarkan: a. negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki peraturan perundang-undangan di bidang Pelindungan Data Pribadi; b. negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki lembaga atau otoritas pengawas Pelindungan Data Pribadi; dan c. negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki komitmen internasional atau tunduk pada kewajiban lain yang timbul dari perjanjian internasional atau instrumen yang mengikat secara hukum, serta dari partisipasinya dalam sistem multilateral atau regional terkait dengan Pelindungan Data Pribadi. (2) Dalam melakukan penilaian tingkat Pelindungan Data Pribadi yang dianggap setara atau lebih tinggi sebagaimana dimaksud pada ayat (1), Lembaga harus menetapkan daftar negara dan/atau Organisasi Internasional yang memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi. (3) Dalam hal transfer Data Pribadi dilakukan ke negara dan/atau Organisasi Internasional yang termasuk ke dalam daftar sebagaimana dimaksud pada ayat (2), Pengendali Data Pribadi dapat melakukan transfer Data Pribadi dengan tetap memastikan pelaksanaannya sesuai dengan ketentuan peraturan perundang-undangan. (4) Ketentuan lebih lanjut mengenai tata cara penilaian tingkat Pelindungan Data Pribadi yang dianggap setara atau lebih tinggi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Lembaga.
Penjelasan Pasal 168 Ayat (1) Huruf a Memiliki peraturan perundang-undangan di bidang Pelindungan Data Pribadi termasuk melakukan pertimbangan terhadap aspek pertahanan, keamanan nasional, dan penerapan hukum pidana di negara penerima transfer Data Pribadi. Huruf b Cukup jelas. Huruf c Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas.
Pasal 169 (1) Pelindungan Data Pribadi yang memadai dan bersifat mengikat sebagaimana dimaksud dalam Pasal 165 ayat (2) dapat berupa: a. instrumen yang mengikat secara hukum dan dapat dipaksakan baik bagi instansi atau otoritas berdasarkan kewenangan sesuai dengan ketentuan peraturan perundang-undangan. b. standar klausul kontrak Pelindungan Data Pribadi; c. peraturan korporasi yang mengikat untuk suatu grup korporasi; dan/atau d. instrumen Pelindungan Data Pribadi yang memadai dan mengikat lain yang diakui oleh Lembaga. (2) Pengendali Data Pribadi harus menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan pemenuhan Pelindungan Data Pribadi yang memadai dan bersifat mengikat sebagaimana dimaksud pada ayat (1) dalam bentuk dokumen tertulis dan/atau terekam kepada Lembaga. (3) Keberadaan dokumen sebagaimana diatur dalam ayat (2) tidak menghapuskan atau mengurangi kewenangan Lembaga untuk melakukan penilaian mengenai pemenuhan persyaratan transfer Data Pribadi. Penjelasan Pasal 169 Ayat (1) Huruf a Instrumen yang mengikat secara hukum dan dapat dipaksakan termasuk pengaturan administratif antara otoritas yang antara lain berisi pengaturan mengenai pemenuhan prinsip Pelindungan Data Pribadi, hak Subjek Data Pribadi, dan kewajiban Pengendali Data Pribadi sesuai dengan ketentuan Undang-Undang mengenai Pelindungan Data Pribadi. Huruf b Cukup jelas. Huruf c Peraturan korporasi yang mengikat merupakan kebijakan Pelindungan Data Pribadi yang dipatuhi oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang didirikan di wilayah hukum Negara Republik Indonesia untuk transfer atau serangkaian transfer Data Pribadi ke satu atau lebih Pengendali Data Pribadi dan/atau Prosesor Data Pribadi ke luar wilayah hukum Negara Republik Indonesia dalam satu kelompok perusahaan yang terlibat dalam kegiatan ekonomi bersama. Huruf d Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas.
Pasal 170 (1) Standar klausul kontrak Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 169 ayat (1) huruf b ditetapkan oleh Lembaga. (2) Standar klausul kontrak Pelindungan Data Pribadi yang ditetapkan oleh Lembaga paling sedikit memuat: a. definisi atau istilah; b. dasar pemrosesan Data Pribadi; c. klausul Pelindungan Data Pribadi; d. kewajiban pemberitahuan dalam hal terjadi Kegagalan Pelindungan Data Pribadi; dan e. kewajiban melakukan uji kelayakan terhadap pihak lain yang menerima transfer Data Pribadi. (3) Di luar klausul kontrak sebagaimana dimaksud pada ayat (2) yang telah ditetapkan oleh Lembaga sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi dapat menambahkan ketentuan transfer Data Pribadi sesuai dengan kebutuhan transfer Data Pribadi sepanjang tidak bertentangan dengan Undang-Undang mengenai Pelindungan Data Pribadi. (4) Dalam menambahkan ketentuan transfer Data Pribadi sebagaimana dimaksud pada ayat (3), Pengendali Data Pribadi dapat berkonsultasi kepada Lembaga. Penjelasan Pasal 170 Cukup jelas.
Pasal 171 (1) Peraturan korporasi yang mengikat suatu grup korporasi sebagaimana dimaksud dalam Pasal 169 ayat (1) huruf c paling sedikit memuat: a. kewajiban Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi untuk memberikan Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam peraturan perundang-undangan di bidang Pelindungan Data Pribadi; b. para pihak yang terikat pada peraturan korporasi yang mengikat; c. menentukan negara dan wilayah tujuan transfer Data Pribadi berdasarkan peraturan korporasi yang mengikat tersebut; dan d. menentukan pembagian peran, hak, dan kewajiban para pihak yang terlibat. (2) Peraturan korporasi yang mengikat hanya dapat digunakan oleh: a. Pengendali Data Pribadi penerima mengendalikan atau dikendalikan Pengendali Data Pribadi pengirim; dan b. Pengendali Data Pribadi penerima dan Pengendali Data Pribadi pengirim berada di bawah kendali pihak yang sama. (3) Penggunaan peraturan korporasi yang mengikat sebagaimana dimaksud pada ayat (1) setelah mendapatkan persetujuan dari Lembaga sebelum melakukan transfer Data Pribadi. Penjelasan Pasal 171 Cukup jelas.
Pasal 172 Ketentuan lebih lanjut mengenai pelaksanaan Pelindungan Data Pribadi yang memadai dan bersifat mengikat diatur dalam Peraturan Lembaga. Penjelasan Pasal 172 Cukup jelas.
Pasal 173 (1) Dalam mendapatkan persetujuan Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 165 ayat (3), Pengendali Data Pribadi tetap melaksanakan kewajiban sesuai dengan ketentuan peraturan perundang-undangan. (2) Transfer Data Pribadi berdasarkan persetujuan Subjek Data Pribadi dapat dilakukan hanya dalam hal: a. transfer Data Pribadi tidak berulang; b. transfer Data Pribadi melibatkan Subjek Data Pribadi dengan jumlah terbatas; c. transfer Data Pribadi diperlukan untuk tujuan memenuhi ketentuan yang tidak mengesampingkan kepentingan atau hak dan kebebasan Subjek Data Pribadi; d. Pengendali Data Pribadi telah menilai risiko dan menerapkan langkah Pelindungan Data Pribadi yang sesuai; dan e. Pengendali Data Pribadi telah menginforrnasikan kepada Lembaga dan Subjek Data Pribadi tentang kegiatan transfer Data Pribadi dan kepentingan sah yang mendesak yang dipenuhi dengan transfer Data Pribadi tersebut. Penjelasan Pasal 173 Ayat (1) Yang dimaksud dengan “melaksanakan kewajiban sesuai dengan ketentuan peraturan perundang-undangan” termasuk menginformasikan kepada Subjek Data Pribadi mengenai kemungkinan risiko transfer Data Pribadi mengingat tidak adanya Pelindungan Data Pribadi yang memadai dan bersifat mengikat, dan tidak adanya tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi. Ayat (2) Cukup jelas.
Pasal 174 Ketentuan lebih lanjut mengenai pelaksanaan persetujuan untuk transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia diatur dalam Peraturan Lembaga. Penjelasan Pasal 174 Cukup jelas.
|
|
Klaster Kerja Sama Internasional
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 62 UU ↔ Pasal 175–178 PP |
Pasal 62 (1) Kerja sama internasional dilakukan oleh Pemerintah dengan pemerintah negara lain atau Organisasi Internasional terkait dengan Pelindungan Data Pribadi. (2) Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional. Penjelasan Pasal 62 Cukup jelas.
|
Pasal 175 Kerja Sama Internasional dilakukan oleh Pemerintah dengan pemerintah negara lain atau Organisasi Internasional terkait dengan Pelindungan Data Pribadi. Penjelasan Pasal 175 Kerja Sama Internasional dilakukan antara lain dengan kegiatan pertukaran Informasi, pengembangan kapasitas, penelitian, dan kegiatan lain terkait dengan Pelindungan Data Pribadi.
Pasal 176 (1) Kerja Sama Internasional dalam rangka pelaksanaan Peraturan Pemerintah ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional. (2) Dalam melakukan Kerja Sama Internasional sebagaimana dimaksud pada ayat (1), Lembaga dapat memberikan masukan kepada Kementerian atau lembaga. (3) Ketentuan mengenai persyaratan dan tata cara Kerja Sama Internasional sebagaimana dimaksud pada ayat (1) dan pemberian masukan sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Lembaga. Penjelasan Pasal 176 Cukup jelas.
Pasal 177 Lembaga dapat bekerja sama dengan lembaga Pelindungan Data Pribadi negara lain dalam rangka penyelesaian dugaan pelanggaran Pelindungan Data Pribadi lintas negara. Penjelasan Pasal 177 Cukup jelas.
Pasal 178 (1) Dalam melakukan kerja sama sebagaimana dimaksud dalam Pasal 177, Lembaga dapat: a. mengembangkan tata cara kerjasama yang memfasilitasi pelaksanaan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; b. melaksanakan kerja sama yang bersifat bantuan timbal balik; dan/atau c. melaksanakan kerja sama lainnya dalam rangka penyelesaian dugaan pelanggaran Pelindungan Data Pribadi lintas negara. (2) Ketentuan lebih lanjut mengenai kerjasama terkait Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Lembaga. Penjelasan Pasal 178 Ayat (1) Huruf a Cukup jelas. Huruf b Kerja sama yang bersifat bantuan timbal balik antara lain penegakan hukum bersama, pemberian data dan Informasi, dan peningkatan kapasitas sumber daya manusia. Huruf c Cukup jelas. Ayat (2) Cukup jelas.
|
|
Klaster Partisipasi Masyarakat
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 63 UU ↔ Pasal 179 PP |
Pasal 63 (1) Masyarakat dapat berperan baik secara langsung maupun tidak langsung dalam mendukung terselenggaranya Pelindungan Data Pribadi. (2) Pelaksanaan peran sebagaimana dimaksud pada ayat (1) dapat dilakukan melalui pendidikan, pelatihan, advokasi, sosialisasi, dan/atau pengawasan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 63 Cukup jelas.
|
Pasal 179 (1) Masyarakat dapat berperan baik secara langsung maupun tidak langsung dalam mendukung terselenggaranya Pelindungan Data Pribadi. (2) Pelaksanaan peran sebagaimana dimaksud pada ayat (1) dapat dilakukan melalui pendidikan, pelatihan, advokasi, sosialisasi, dan/atau pengawasan sesuai dengan ketentuan peraturan perundang-undangan. (3) Ketentuan lebih lanjut mengenai pelaksanaan peran masyarakat sebagaimana dimaksud pada ayat (2) diatur dalam Peraturan Lembaga. Penjelasan Pasal 179 Cukup jelas.
|
|
Klaster Sanksi Administratif
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 57 UU ↔ Pasal 184–199 PP |
Pasal 57 (1) Pelanggaran terhadap ketentuan Pasal 20 ayat (1), Pasal 21, Pasal 24, Pasal 25 ayat (2), Pasal 26 ayat (3), Pasal 27, Pasal 28, Pasal 29, Pasal 30, Pasal 31, Pasal 32 ayat (1), Pasal 33, Pasal 34 ayat (1), Pasal 35, Pasal 36, Pasal 37, Pasal 38, Pasal 39 ayat (1), Pasal 40 ayat (1), Pasal 41 ayat (1) dan ayat (3), Pasal 42 ayat (1), Pasal 43 ayat (1), Pasal 44 ayat (1), Pasal 45, Pasal 46 ayat (1) dan ayat (3), Pasal 47, Pasal 48 ayat (1), Pasal 49, Pasal 51 ayat (1) dan ayat (5), Pasal 52, Pasal 53 ayat (1), Pasal 55 ayat (2), dan Pasal 56 ayat (2) sampai dengan ayat (4) dikenai sanksi administratif. (2) Sanksi administratif sebagaimana dimaksud pada ayat (1) berupa: a. peringatan tertulis; b. penghentian sementara kegiatan pemrosesan Data Pribadi; c. penghapusan atau pemusnahan Data Pribadi; dan/atau d. denda administratif. (3) Sanksi administratif berupa denda administratif sebagaimana dimaksud pada ayat (2) huruf d paling tinggi 2 (dua) persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. (4) Penjatuhan sanksi administratif sebagaimana dimaksud pada ayat (2) diberikan oleh lembaga. (5) Ketentuan lebih lanjut mengenai tata cara pengenaan sanksi administratif sebagaimana dimaksud pada ayat (3) diatur dalam Peraturan Pemerintah. Penjelasan Pasal 57
Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan "pendapatan" adalah arus masuk bruto dari manfaat ekonomi yang timbul dari aktivitas normal entitas selama periode jika arus masuk tersebut mengakibatkan kenaikan ekuitas yang tidak berasal dari kontribusi penanam modal. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas.
|
Pasal 184 (1) Pelanggaran terhadap Ketentuan Pasal 15 ayat (2), Pasal 29, Pasal 30 ayat (1), Pasal 33 ayat (1), Pasal 36 ayat (1), Pasal 38 ayat (2), Pasal 39 ayat (4), Pasal 58, Pasal 62 ayat (1) dan ayat (5), Pasal 67 ayat (1), Pasal 69 ayat (1) dan ayat (2), Pasal 71 ayat (1) dan ayat (6), Pasal 74 ayat (1), Pasal 77 ayat (1) dan ayat (4), Pasal 80 ayat (1), Pasal 82 ayat (1), Pasal 84 ayat (1), Pasal 87 ayat (1), Pasal 92 ayat (1), Pasal 99 ayat (1), Pasal 103 ayat (1), Pasal 114 ayat (1), Pasal 115 ayat (1), Pasal 120 ayat (1), Pasal 123 ayat (1), Pasal 125 ayat (1), Pasal 126 ayat (1), Pasal 129, Pasal 130 ayat (1) , Pasal 133 ayat (1), Pasal 138 ayat (1), Pasal 139 ayat (1), Pasal 140, Pasal 142 ayat (1), Pasal 160 ayat (2), dan Pasal 165 ayat (1), ayat (2), dan ayat (3) dikenai sanksi administratif. (2) Sanksi administratif sebagaimana dimaksud pada ayat (1) berupa: a. peringatan tertulis; b. penghentian sementara kegiatan pemrosesan Data Pribadi; c. penghapusan atau pemusnahan Data Pribadi; dan/atau d. denda administratif. (3) Lembaga berwenang menjatuhkan sanksi administratif kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi atas pelanggaran administratif berdasarkan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi. (4) Pimpinan Lembaga dapat mendelegasikan kewenangan sebagaimana dimaksud pada ayat (3) kepada pejabat Lembaga. (5) Penjatuhan sanksi administratif sebagaimana dimaksud pada ayat (3) dapat dilakukan melalui koordinasi dengan Kementerian atau lembaga terkait. (6) Pengenaan sanksi administratif sebagaimana dimaksud pada ayat (2) dilakukan dengan mempertimbangkan: a. tingkat atau dampak pelanggaran yang dilakukan oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; b. kelangsungan kegiatan usaha atau pelayanan publik dari Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; c. kepatuhan dan/atau riwayat kepatuhan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi terhadap ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; d. dasar pertimbangan dan alasan yang jelas; dan e. pertimbangan selain huruf a sampai dengan d yang ditetapkan oleh Lembaga. (7) Pelanggaran terhadap ketentuan sebagaimana dimaksud pada ayat (1) dapat dikenai lebih dari satu sanksi administratif secara bersamaan. (8) Sanksi administratif sebagaimana dimaksud pada ayat (2) dapat dikenai dengan atau tanpa didahului pengenaan sanksi administratif berupa peringatan tertulis. Penjelasan Pasal 184 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Huruf a Tingkat atau dampak pelanggaran dapat diukur secara kuantitatif dan/atau kualitatif. Tingkat atau dampak pelanggaran kuantitatif misalnya jumlah dari Subjek Data Pribadi yang terdampak dan nilai kerugian finansial yang timbul dari pelanggaran. Tingkat atau dampak pelanggaran kualitatif misalnya terkait reputasi atau nama baik dari Subjek Data Pribadi yang haknya terlanggar. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud “dasar pertimbangan dan alasan yang jelas” antara lain kepatuhan dan/atau riwayat kepatuhan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, tingkat atau dampak pelanggaran yang dilakukan oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, dan/atau kelangsungan kegiatan usaha dari Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. Huruf e Cukup jelas. Ayat (7) Cukup jelas. Ayat (8) Cukup jelas.
Pasal 185 (1) Sanksi administratif berupa denda administratif sebagaimana dimaksud dalam Pasal 184 ayat (2) huruf d dikenakan paling tinggi 2% (dua persen) dari pendapatan tahunan atau penerimaan tahunan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi terhadap variabel pelanggaran. (2) Variabel pelanggaran sebagaimana dimaksud pada ayat (1) dihitung berdasarkan: a. dampak negatif yang ditimbulkan akibat pelanggaran; b. durasi waktu terjadinya pelanggaran; c. jenis Data Pribadi yang terdampak; d. jumlah Subjek Data Pribadi yang terdampak; e. proses temuan pelanggaran; f. tingkat keterbukaan dan kerja sama Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam proses pemeriksaan; g. skala usaha Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; h. kemampuan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk membayar; i. kepatuhan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; dan/atau j. variabel lain yang relevan yang ditetapkan oleh Lembaga. (3) Dengan pertimbangan tertentu, denda administratif sebagaimana dimaksud pada ayat (1) dapat ditetapkan sampai dengan Rp0,00 (nol rupiah) atau 0% (nol persen). (4) Penghitungan denda administratif sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan di bidang penerimaan negara bukan pajak. Penjelasan Pasal 185 Ayat (1) Pengenaan denda administratif paling tinggi 2% (dua persen) dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran dibebankan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dikenai sanksi oleh Lembaga. Yang dimaksud dengan “pendapatan” merupakan arus masuk bruto dari manfaat ekonomi yang timbul dari aktivitas normal entitas selama periode jika arus masuk tersebut mengakibatkan kenaikan ekuitas yang tidak berasal dari kontribusi penanam modal. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas.
Pasal 186 (1) Sanksi administratif berupa denda yang tercantum dalam keputusan Lembaga, yang telah memperoleh kekuatan hukum tetap dan mengikat, merupakan kewajiban pembayaran bagi pihak yang dikenai sanksi administratif dan disetorkan ke kas negara sebagai penerimaan negara bukan pajak. (2) Penyelesaian kewajiban pembayaran sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan di bidang penerimaan negara bukan pajak dan di bidang piutang negara. Penjelasan Pasal 186 Cukup jelas.
Pasal 187 Ketentuan lebih lanjut mengenai tata cara pengenaan sanksi administratif diatur dengan Peraturan Lembaga. Penjelasan Pasal 187 Cukup jelas.
Pasal 188 Penanganan dugaan terjadinya pelanggaran Pelindungan Data Pribadi dilaksanakan melalui tahapan: a. pengaduan atau pelaporan atas dugaan terjadinya pelanggaran Pelindungan Data Pribadi serta hasil pengawasan Pelindungan Data Pribadi; b. pemeriksaan dan penelusuran terhadap dokumen pengaduan atau pelaporan atas dugaan terjadinya pelanggaran Pelindungan Data Pribadi; c. pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi; dan d. penjatuhan dan pelaksanaan keputusan pengenaan sanksi administratif. Penjelasan Pasal 188 Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “pemeriksaan dan penelusuran terhadap dokumen pengaduan atau pelaporan” adalah pemeriksaan awal yang bertujuan untuk menilai secara administratif dan substantif mengenai penaduan atau laporan untuk ditindaklanjuti ke tahap pemeriksaan dan penelusuran. Huruf c Cukup jelas. Huruf d Cukup jelas.
Pasal 189 (1) Dugaan terjadinya pelanggaran Pelindungan Data Pribadi dapat berasal dari: a. pengaduan atau laporan; dan/atau b. hasil pengawasan Pelindungan Data Pribadi. (2) Pengaduan atau laporan sebagaimana dimaksud pada ayat (1) huruf a disampaikan kepada Lembaga. (3) Pengaduan atau laporan sebagaimana dimaksud pada ayat (1) huruf a diajukan secara tertulis yang memuat Informasi paling sedikit: a. identitas pihak yang mengadukan atau melaporkan; b. identitas Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang diadukan atau dilaporkan; c. dugaan terjadinya pelanggaran Pelindungan Data Pribadi yang dilakukan disertai dengan ketentuan peraturan perundang-undangan yang dilanggar; dan d. keterangan dan/atau bukti yang memuat fakta, data, atau petunjuk terjadinya pelanggaran Pelindungan Data Pribadi. (4) Dalam keadaan tertentu, identitas pihak yang mengadukan atau melaporkan dapat dirahasiakan. (5) Ketentuan lebih lanjut mengenai tata cara pengaduan atau pelaporan dugaan terjadinya pelanggaran Pelindungan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 189 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Yang dimaksud dengan “tertulis” merupakan pengaduan atau laporan yang disampaikan secara elektronik atau nonelektronik. Ayat (4) Yang dimaksud dengan “keadaan tertentu” misalnya dalam hal pengungkapan identitas berisiko membahayakan keamanan dan/atau keselamatan pihak yang mengadukan atau melaporkan. Ayat (5) Cukup jelas.
Pasal 190 (1) Lembaga melakukan pemeriksaan dan penelusuran terhadap dokumen pengaduan atau pelaporan atas dugaan terjadinya pelanggaran Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 188 huruf a paling lama 3 (tiga) Hari sejak diterimanya pengaduan atau pelaporan. (2) Dalam hal hasil pemeriksaan sebagaimana dimaksud pada ayat (1) terdapat kekurangan Informasi sebagaimana dimaksud dalam Pasal 189 ayat (3), Lembaga memberitahukan secara tertulis kepada pihak yang mengadukan atau melaporkan untuk melengkapi Informasi. (3) Dalam hal hasil pemeriksaan sebagaimana dimaksud pada ayat (1) diperlukan klarifikasi atau penjelasan mengenai hal-hal yang tertuang dalam Informasi sebagaimana dimaksud dalam Pasal 189 ayat (3), Lembaga dapat memanggil pihak yang mengadukan atau melaporkan untuk mendapatkan penjelasan. (4) Dalam hal hasil pemeriksaan sebagaimana dimaksud pada ayat (1) disimpulkan terdapat cukup Informasi untuk menindaklanjuti pengaduan atau pelaporan dugaan terjadinya pelanggaran Pelindungan Data Pribadi, Lembaga melakukan penelusuran. (5) Dalam hal hasil pemeriksaan sebagaimana dimaksud pada ayat (1) disimpulkan tidak cukup Informasi untuk menindaklanjuti pengaduan atau pelaporan dugaan terjadinya pelanggaran Pelindungan Data Pribadi, Lembaga dapat menghentikan pemeriksaan dan menyampaikan pemberitahuan kepada pihak yang mengadukan atau melaporkan. (6) Dalam hal hasil pemeriksaan sebagaimana dimaksud pada ayat (1) disimpulkan Lembaga tidak berwenang melanjutkan pemeriksaan, Lembaga menyampaikan hasil pemeriksaan kepada pihak yang mengadukan atau melaporkan dengan memberikan keterangan. Penjelasan Pasal 190 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Yang dimaksud dengan “tidak berwenang melanjutkan pemeriksaan” misalnya apabila ruang lingkup pengaduan tidak termasuk dalam kewenangan Lembaga sebagaimana diatur dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan/atau Peraturan Pemerintah ini.
Pasal 191 Dalam hal dugaan terjadinya pelanggaran Pelindungan Data Pribadi berasal dari hasil pengawasan Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 189 ayat (1) huruf b, Lembaga menindaklanjuti dengan melakukan pemeriksaan dan penelusuran. Penjelasan Pasal 191 Cukup jelas.
Pasal 192 (1) Lembaga melakukan pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 190 ayat (4) dan Pasal 191. (2) Pemeriksaan dan penelusuran sebagaimana dimaksud pada ayat (1) dilakukan terhadap Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang diduga melakukan pelanggaran Pelindungan Data Pribadi. (3) Dalam melakukan pemeriksaan dan penelusuran sebagaimana dimaksud pada ayat (1), Lembaga dapat: a. memanggil dan menghadirkan Setiap Orang dan/atau Badan Publik yang terkait dengan dugaan pelanggaran Pelindungan Data Pribadi; b. meminta keterangan, data, Informasi, dan dokumen dari Setiap Orang dan/atau Badan Publik terkait dugaan pelanggaran Pelindungan Data Pribadi; c. memanggil dan menghadirkan ahli yang diperlukan dalam pemeriksaan dan penelusuran terkait dugaan pelanggaran Pelindungan Data Pribadi; d. melakukan pemeriksaan dan penelusuran terhadap sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, termasuk memperoleh akses terhadap data dan/atau menunjuk pihak ketiga; dan/atau e. melakukan tindakan dalam rangka menjalankan kewenangan sesuai dengan ketentuan peraturan perundang-undangan. (4) Dalam melakukan pemeriksaan dan penelusuran terhadap Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (2), Lembaga dapat memanggil Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. (5) Pemanggilan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (4) dilakukan secara tertulis paling lambat 3 (tiga) Hari sebelum tanggal pemeriksaan dan penelusuran terhadap Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. (6) Pemanggilan terhadap Setiap Orang dan/atau Badan Publik yang terkait dengan dugaan pelanggaran Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (3) huruf a dan/atau ahli yang diperlukan dalam pemeriksaan dan penelusuran terkait dugaan pelanggaran Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (3) huruf c dilakukan secara tertulis paling lambat 3 (tiga) Hari sebelum tanggal pemeriksaan dan penelusuran terhadap Setiap Orang, Badan Publik, dan/atau ahli. (7) Pemeriksaan dan penelusuran terhadap sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (3) huruf d harus dilakukan secara proporsional dengan melampirkan dokumen yang paling sedikit memuat Informasi: a. dasar hukum; b. tujuan dan ruang lingkup; c. daftar sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan; dan d. relevansi antara sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan dan dugaan terjadinya pelanggaran Pelindungan Data Pribadi oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. (8) Dalam hal Lembaga meminta kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk memperoleh akses terhadap data sebagaimana dimaksud pada ayat (3) huruf d, permintaan akses dilakukan dengan menyampaikan Informasi paling sedikit mengenai: a. dasar hukum; b. tujuan dan ruang lingkup; c. deskripsi mengenai jenis Data Pribadi yang dimintakan akses; d. deskripsi mengenai cara akses terhadap Data Pribadi; dan e. jangka waktu pemberian akses terhadap Data Pribadi. (9) Dalam hal Lembaga menunjuk pihak ketiga dalam melakukan pemeriksaan dan penelusuran terhadap sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (3) huruf d, penunjukan harus disertai dengan surat penugasan dari Lembaga. (10) Pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi diselesaikan paling lambat 14 (empat belas) Hari terhitung sejak pemeriksaan dan penelusuran dimulai. (11) Apabila diperlukan, jangka waktu pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (10) dapat diperpanjang paling lama 60 (enam puluh) Hari. Penjelasan Pasal 192 Cukup jelas.
Pasal 193 Dalam hal hasil pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi tidak terbukti, Lembaga: a. menghentikan proses pemeriksaan dan penelusuran; dan b. memberitahukan secara tertulis kepada pihak yang mengadukan atau melaporkan serta Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang diadukan atau dilaporkan. Penjelasan Pasal 193 Cukup jelas.
Pasal 194 Ketentuan lebih lanjut mengenai tata cara pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi diatur dalam Peraturan Lembaga. Penjelasan Pasal 194 Cukup jelas.
Pasal 195 (1) Lembaga menjatuhkan keputusan pengenaan sanksi administratif berdasarkan hasil pemeriksaan dan penelusuran terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi paling lambat 30 (tiga puluh) Hari terhitung sejak pemeriksaan dan penelusuran diselesaikan. (2) Keputusan pengenaan sanksi administratif sebagaimana dimaksud pada ayat (1) diumumkan pada media resmi Lembaga. (3) Pengumuman sebagaimana dimaksud pada ayat (2) dilakukan melalui koordinasi dengan Kementerian atau lembaga. (4) Keputusan pengenaan sanksi administratif sebagaimana dimaksud pada ayat (1) disampaikan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. (5) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dikenai sanksi administratif harus melaksanakan keputusan paling lambat 30 (tiga puluh) Hari terhitung sejak tanggal diumumkan. (6) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dapat mengajukan penambahan jangka waktu pelaksanaan keputusan pengenaan sanksi administratif sebagaimana dimaksud pada ayat (5) kepada Lembaga. (7) Penambahan jangka waktu pelaksanaan keputusan pengenaan sanksi administratif sebagaimana dimaksud pada ayat (6) berdasarkan persetujuan Lembaga. Penjelasan Pasal 195 Cukup jelas.
Pasal 196 Keputusan pengenaan sanksi administratif sebagaimana dimaksud dalam Pasal 195 paling sedikit memuat: a. nama dan alamat Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; b. jenis pelanggaran Pelindungan Data Pribadi; c. ketentuan yang dilanggar; d. jenis sanksi administratif yang dikenai kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; e. uraian kewajiban atau perintah yang harus dilakukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; dan f. jangka waktu pemenuhan kewajiban atau perintah yang harus dilakukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. Penjelasan Pasal 196 Cukup jelas.
Pasal 197 (1) Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dikenai sanksi administratif dapat mengajukan keberatan secara tertulis kepada pimpinan Lembaga paling lambat 14 (empat belas) Hari sejak menerima pemberitahuan keputusan tersebut. (2) Pengajuan keberatan sebagaimana dimaksud pada ayat (1) tidak menunda pelaksanaan sanksi administratif. (3) Berdasarkan pengajuan sebagaimana dimaksud pada ayat (1), pimpinan Lembaga menetapkan keputusan keberatan paling lambat 14 (empat belas) Hari sejak pengajuan keberatan diterima. (4) Keputusan keberatan sebagaimana dimaksud pada ayat (3) berupa: a. menerima keberatan sebagian atau seluruhnya; atau b. menolak keberatan disertai dengan alasan penolakan. (5) Keputusan keberatan disampaikan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi paling lambat 7 (tujuh) Hari sejak keputusan tersebut ditetapkan. (6) Apabila pimpinan Lembaga tidak memberikan keputusan keberatan dalam jangka waktu sebagaimana dimaksud pada ayat (3), pengajuan keberatan dianggap dikabulkan. (7) Pengajuan keberatan dianggap dikabulkan sebagaimana dimaksud pada ayat (6) dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. (8) Dalam hal keberatan ditolak, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang bersangkutan dapat mengajukan gugatan ke pengadilan tata usaha negara sesuai dengan ketentuan peraturan perundang-undangan. (9) Pimpinan Lembaga dapat mendelegasikan kewenangan sebagaimana dimaksud pada ayat (3) kepada pejabat Lembaga. Penjelasan Pasal 197 Cukup jelas.
Pasal 198 Lembaga dapat mengajukan permintaan bantuan hukum kepada kejaksaan untuk keperluan tindak lanjut pelaksanaan keputusan penjatuhan sanksi administratif. Penjelasan Pasal 198 Cukup jelas.
Pasal 199 Ketentuan lebih lanjut mengenai tata cara penjatuhan dan pelaksanaan keputusan pengenaan sanksi administratif diatur dalam Peraturan Lembaga. Penjelasan Pasal 199 Cukup jelas.
|
|
Klaster Kelembagaan Pelindungan Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 58 UU
|
Pasal 58 (1) Pemerintah berperan dalam mewujudkan penyelenggaraan Pelindungan Data Pribadi sesuai dengan ketentuan Undang-Undang ini. (2) Penyelenggaraan Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan oleh lembaga. (3) Lembaga sebagaimana dimaksud pada ayat (2) ditetapkan oleh Presiden. (4) Lembaga sebagaimana dimaksud pada ayat (2) bertanggung jawab kepada Presiden. (5) Ketentuan lebih lanjut mengenai lembaga sebagaimana dimaksud pada ayat (2) diatur dengan Peraturan Presiden. Penjelasan Pasal 58 Cukup jelas.
|
— |
|
2 |
Pasal 59 UU
|
Pasal 59 Lembaga sebagaimana dimaksud dalam Pasal 58 ayat (2) melaksanakan: a. perumusan dan penetapan kebijakan dan strategi Pelindungan Data Pribadi yang menjadi panduan bagi Subjek Data Pribadi, Pengendali Data Pribadi, dan Prosesor Data Pribadi; b. pengawasan terhadap penyelenggaraan Pelindungan Data Pribadi; c. penegakan hukum administratif terhadap pelanggaran Undang-Undang ini; dan d. fasilitasi penyelesaian sengketa di luar pengadilan. Penjelasan Pasal 59
Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Yang dimaksud dengan "fasilitasi penyelesaian sengketa di luar pengadilan" adalah pemberian sarana penyelesaian sengketa melalui prosedur yang disepakati para pihak, yakni penyelesaian di luar pengadilan dengan cara konsultasi, arbitrase, negosiasi, mediasi, konsiliasi, atau penilaian ahli sesuai dengan ketentuan peraturan perundang-undangan.
|
— |
|
3 |
Pasal 60 UU
|
Pasal 60 Lembaga sebagaimana dimaksud dalam Pasal 58 ayat (2) berwenang: a. merumuskan dan menetapkan kebijakan di bidang Pelindungan Data Pribadi; b. melakukan pengawasan terhadap kepatuhan Pengendali Data Pribadi; c. menjatuhkan sanksi administratif atas pelanggaran Pelindungan Data Pribadi yang dilakukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; d. membantu aparat penegak hukum dalam penanganan dugaan tindak pidana Data Pribadi sebagaimana dimaksud dalam Undang-Undang ini; e. bekerja sama dengan lembaga Pelindungan Data Pribadi negara lain dalam rangka penyelesaian dugaan pelanggaran Pelindungan Data Pribadi lintas negara; f. melakukan penilaian terhadap pemenuhan persyaratan transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia; g. memberikan perintah dalam rangka tindak lanjut hasil pengawasan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; h. melakukan publikasi hasil pelaksanaan pengawasan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; i. menerima aduan dan/atau laporan tentang dugaan terjadinya pelanggaran Pelindungan Data Pribadi; j. melakukan pemeriksaan dan penelusuran atas pengaduan, laporan, dan/atau hasil pengawasan terhadap dugaan terjadinya pelanggaran Pelindungan Data Pribadi; k. memanggil dan menghadirkan Setiap Orang dan/atau Badan Publik yang terkait dengan dugaan pelanggaran Pelindungan Data Pribadi; l. meminta keterangan, data, Informasi, dan dokumen dari Setiap Orang dan/atau Badan Publik terkait dugaan pelanggaran Pelindungan Data Pribadi; m. memanggil dan menghadirkan ahli yang diperlukan dalam pemeriksaan dan penelusuran terkait dugaan pelanggaran Pelindungan Data Pribadi; n. melakukan pemeriksaan dan penelusuran terhadap sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi, termasuk memperoleh akses terhadap data dan/atau menunjuk pihak ketiga; dan o. meminta bantuan hukum kepada kejaksaan dalam penyelesaian sengketa Pelindungan Data Pribadi. Penjelasan Pasal 60
Huruf a Dalam hal perumusan dan penetapan kebijakan Pelindungan Data Pribadi, lembaga melibatkan organisasi usaha sesuai dengan ketentuan peraturan perundang-undangan. Huruf b Cukup jelas. Huruf c Cukup jelas. Huruf d Cukup jelas. Huruf e Cukup jelas. Huruf f Cukup jelas. Huruf g Cukup jelas. Huruf h Cukup jelas. Huruf i Cukup jelas. Huruf j Cukup, jelas Huruf k Cukup jelas. Huruf l Cukup jelas. Huruf m Cukup jelas. Huruf n Cukup jelas. Huruf o Cukup jelas. .
|
— |
|
4 |
Pasal 61 UU ↔ Pasal 180-183 PP |
Pasal 61 Ketentuan mengenai tata cara pelaksanaan wewenang lembaga sebagaimana dimaksud dalam Pasal 60 diatur dalam Peraturan Pemerintah. Penjelasan Pasal 61 Cukup jelas. |
Pasal 180 (1) Lembaga berwenang melakukan pengawasan terhadap kepatuhan Pengendali Data Pribadi. (2) Pengawasan terhadap kepatuhan sebagaimana dimaksud pada ayat (1) meliputi pemantauan, pengendalian, pemeriksaan, dan penelusuran terkait dugaan pelanggaran Pelindungan Data Pribadi. (3) Dalam melaksanakan pengawasan terhadap kepatuhan sebagaimana dimaksud pada ayat (2), Lembaga dapat berkoordinasi dengan Kementerian atau lembaga dan/atau melibatkan partisipasi masyarakat sesuai dengan ketentuan peraturan perundang-undangan. (4) Ketentuan lebih lanjut mengenai pelaksanaan pengawasan terhadap kepatuhan diatur dalam Peraturan Lembaga. Penjelasan Pasal 180 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Koordinasi dilakukan dalam hal Pengendali Data Pribadi berada di bawah pengawasan Kementerian atau lembaga. Misalnya Pengendali Data Pribadi yang melakukan kegiatan usaha di bidang jasa keuangan berkoordinasi dengan Otoritas Jasa Keuangan. Yang dimaksud dengan “melibatkan partisipasi masyarakat” misalnya menyediakan sarana pengaduan bagi masyarakat. Ayat (4) Cukup jelas.
Pasal 181 (1) Lembaga berwenang memberikan perintah dalam rangka tindak lanjut hasil pengawasan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. (2) Perintah sebagaimana dimaksud pada ayat (1) diberikan secara tertulis. (3) Perintah sebagaimana dimaksud pada ayat (1) diberikan untuk: a. memenuhi hak Subjek Data Pribadi; b. melakukan kewajiban Pengendali Data Pribadi dan/atau Prosesor Data Pribadi; c. menghentikan atau membatasi pemrosesan Data Pribadi; d. menghentikan atau mengubah perjanjian antara Pengendali Data Pribadi dan Prosesor Data Pribadi dengan pihak lain yang diduga merugikan Subjek Data Pribadi atau masyarakat; e. melakukan atau tidak melakukan kegiatan tertentu guna memenuhi ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; dan/atau f. melakukan atau tidak melakukan kegiatan tertentu untuk mencegah atau mengurangi kerugian Subjek Data Pribadi atau masyarakat. (4) Lembaga menetapkan jangka waktu dalam pelaksanaan perintah dalam rangka tindak lanjut hasil pengawasan sebagaimana dimaksud pada ayat (1). (5) Jangka waktu sebagaimana dimaksud pada ayat (4) ditetapkan berdasarkan atas kebutuhan pengawasan dan/atau pertimbangan kompleksitas cakupan perintah yang diberikan. (6) Dalam memberikan perintah sebagaimana dimaksud pada ayat (1), Lembaga dapat menetapkan pemenuhan: a. penyusunan rencana tindak serta pelaksanaan rencana tindak; dan/atau b. penyampaian laporan perkembangan pelaksanaan rencana tindak, oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam menindaklanjuti perintah dalam rangka tindak lanjut hasil pengawasan. (7) Ketentuan lebih lanjut mengenai pemberian perintah sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Lembaga. Penjelasan Pasal 181 Ayat (1) Cukup jelas. Ayat (2) Cukup jelas. Ayat (3) Huruf a Cukup jelas. Huruf b Cukup jelas. Huruf c Termasuk dalam perintah untuk menghentikan atau membatasi pemrosesan Data Pribadi antara lain melakukan pembatasan atau penghentian yang bersifat sementara atau permanen terhadap kegiatan pemrosesan Data Pribadi. Huruf d Cukup jelas. Huruf e Termasuk dalam melakukan kegiatan tertentu antara lain memerintahkan penangguhan transfer Data Pribadi ke pihak lain ke luar wilayah hukum Negara Republik Indonesia. Huruf f Cukup jelas. Ayat (4) Cukup jelas. Ayat (5) Cukup jelas. Ayat (6) Cukup jelas. Ayat (7) Cukup jelas.
Pasal 182 Dalam memberikan perintah sebagaimana dimaksud dalam Pasal 181 kepada Pengendali Data Pribadi berupa Sadan Publik, Lembaga harus mempertimbangkan ketentuan peraturan perundang-undangan yang menjadi dasar pelaksanaan tugas dan fungsi Badan Publik. Penjelasan Pasal 182 Cukup jelas.
(1) Lembaga berwenang melakukan publikasi hasil pelaksanaan pengawasan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (2) Pelaksanaan publikasi dilakukan melalui pengumuman terbuka dan dapat diakses oleh publik. Penjelasan Pasal 183 Cukup jelas.
|
|
Klaster Penyelesaian Sengketa & Hukum Acara
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 64 UU ↔ Pasal 200–222 PP |
Pasal 64 (1) Penyelesaian sengketa Pelindungan Data Pribadi dilakukan melalui arbitrase, pengadilan, atau lembaga penyelesaian sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan. (2) Hukum acara yang berlaku dalam penyelesaian sengketa dan/atau proses peradilan Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan berdasarkan hukum acara yang berlaku sesuai dengan ketentuan peraturan perundang-undangan. (3) Alat bukti yang sah dalam Undang-Undang ini meliputi: a. alat bukti sebagaimana dimaksud dalam hukum acara; dan b. alat bukti lain berupa informasi elektronik dan/atau dokumen elektronik sesuai dengan ketentuan peraturan perundang-undangan. (4) Dalam hal diperlukan untuk melindungi Data Pribadi, proses persidangan dilakukan secara tertutup. Penjelasan Pasal 64 Cukup jelas.
|
Pasal 200 (1) Penyelesaian Sengketa dilakukan melalui Arbitrase, pengadilan, atau lembaga penyelesaian Sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan. (2) Hukum acara yang berlaku dalam penyelesaian Sengketa dan/atau proses peradilan Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan berdasarkan hukum acara yang berlaku sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 200 Cukup jelas.
Pasal 201 (1) Dalam hal terjadi Sengketa, Subjek Data Pribadi, Pengendali Data Pribadi, dan/atau Prosesor Data Pribadi yang bersengketa dengan itikad baik dapat menyampaikan laporan terkait Sengketa kepada Lembaga. (2) Laporan sebagaimana dimaksud pada ayat (1) disampaikan dengan melampirkan dokumen dan Informasi lengkap dan benar berupa: a. identitas pihak yang menyampaikan pelaporan dan identitas pihak yang dilaporkan; b. ringkasan permasalahan dan kronologis Sengketa; c. pernyataan tidak ada duplikasi laporan yang telah disampaikan kepada Lembaga sebelumnya; d. bukti terkait permasalahan atau Sengketa; dan e. penjelasan atau bukti kedudukan hukum pelapor. (3) Laporan sebagaimana dimaksud pada ayat (2) disampaikan secara tertulis melalui sistem elektronik atau nonelektronik. (4) Berdasarkan laporan sebagaimana dimaksud pada ayat (3), Lembaga memberikan nomor registrasi kepada pihak yang menyampaikan laporan. (5) Dalam hal laporan tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (2), Lembaga dapat menolak menindaklanjuti laporan. Penjelasan Pasal 201 Cukup jelas.
Pasal 202 (1) Berdasarkan laporan sebagaimana dimaksud dalam Pasal 201, Lembaga melakukan verifikasi dokumen dan Informasi. (2) Dalam melakukan verifikasi dokumen dan Informasi terhadap laporan sebagaimana dimaksud pada ayat (1), Lembaga dapat: a. memanggil Para Pihak yang Bersengketa; b. meminta dokumen atau Informasi lebih lanjut; dan/atau c. menjalankan kewenangan lain sesuai dengan ketentuan peraturan perundang-undangan. (3) Hasil verifikasi dokumen dan Informasi terhadap laporan sebagaimana dimaksud pada ayat (1) disusun dalam berita acara. (4) Ketentuan lebih lanjut mengenai tata cara verifikasi diatur dalam Peraturan Lembaga. Penjelasan Pasal 202 Cukup jelas.
Pasal 203 (1) Dalam hal hasil verifikasi dokumen dan Informasi terhadap laporan sebagaimana dimaksud dalam Pasal 202 ayat (1) ditemukan adanya unsur pelanggaran tindak pidana Pelindungan Data Pribadi, Lembaga dapat meminta pelapor untuk melaporkan dugaan pelanggaran tindak pidana tersebut ke Kepolisian Negara Republik Indonesia. (2) Laporan dugaan pelanggaran tindak pidana dapat ditindaklanjuti dengan pemberian bantuan oleh Lembaga. (3) Lembaga memberikan bantuan sebagaimana dimaksud pada ayat (2) melalui penyampaian hasil verifikasi yang pelaksanaannya dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 203 Cukup jelas.
Pasal 204 Dalam hal hasil verifikasi dokumen dan Informasi terhadap laporan sebagaimana dimaksud dalam Pasal 202 ayat (1) ditemukan adanya unsur pelanggaran administratif, Lembaga memproses laporan tersebut dalam rangka penegakan hukum administratif. Penjelasan Pasal 204 Cukup jelas.
Pasal 205 Dalam hal hasil verifikasi dokumen dan Informasi terhadap laporan sebagaimana dimaksud dalam Pasal 202 ayat (1) tidak ditemukan adanya unsur pelanggaran tindak pidana dan/atau unsur pelanggaran administratif, Lembaga memfasilitasi Para Pihak yang Bersengketa dalam penyelesaian Sengketa. Penjelasan Pasal 205 Cukup jelas.
Pasal 206 (1) Fasilitasi penyelesaian Sengketa oleh Lembaga mengutamakan Mediasi. (2) Fasilitasi penyelesaian Sengketa melalui Mediasi berdasarkan laporan dan hasil verifikasi atas Sengketa Para Pihak yang Bersengketa sebagaimana dimaksud dalam Pasal 205 dilaksanakan oleh Lembaga. (3) Pelaksanaan penyelesaian Sengketa sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: a. hal yang disengketakan tidak termasuk dalam Sengketa; atau b. Para Pihak yang Bersengketa telah menentukan mekanisme penyelesaian Sengketa dalam perjanjian. (4) Dalam melaksanakan fasilitasi penyelesaian Sengketa melalui Mediasi, Lembaga menetapkan Sengketa yang dapat diselesaikan melalui Mediasi. Penjelasan Pasal 206 Cukup jelas.
Pasal 207 (1) Dalam proses Mediasi, Para Pihak yang Bersengketa dapat menunjuk Mediator penyelesaian Sengketa. (2) Mediator sebagaimana dimaksud pada ayat (1) harus berasal dari: a. Mediator yang terdaftar pada Lembaga; atau b. Lembaga Mediasi yang terdaftar di Lembaga. (3) Para Pihak yang Bersengketa dapat menunjuk Mediator yang terdaftar pada Lembaga untuk penyelesaian Sengketa. (4) Dalam hal Lembaga belum memiliki Mediator atau Mediator tidak tersedia, para pihak dapat menunjuk Mediator yang berasal dari Lembaga Mediasi sebagaimana dimaksud pada ayat (2) huruf b. (5) Mediator sebagaimana dimaksud pada ayat (1) harus melaporkan penunjukan dirinya kepada pimpinan Lembaga secara tertulis melalui sistem elektronik atau nonelektronik. (6) Ketentuan mengenai tata cara pendaftaran Lembaga Mediasi diatur dalam Peraturan Lembaga. Penjelasan Pasal 207 Cukup jelas.
Pasal 208 (1) Dalam hal Para Pihak yang Bersengketa tidak mencapai kesepakatan dalam penunjukan Mediator, Para Pihak yang Bersengketa menyerahkan penunjukan Mediator kepada pimpinan Lembaga untuk menunjuk Mediator dari daftar Mediator sebagaimana dimaksud dalam Pasal 207 ayat (2). (2) Pimpinan Lembaga menerbitkan penetapan yang memuat perintah untuk melakukan Mediasi dan penunjukan Mediator. (3) Pimpinan Lembaga dapat mendelegasikan kewenangan sebagaimana dimaksud pada ayat (1) sampai dengan ayat (2) kepada pejabat Lembaga. Penjelasan Pasal 208 Cukup jelas.
Pasal 209 (1) Penyelesaian Sengketa melalui Mediasi harus berdasarkan prinsip: a. biaya ringan; b. efektif; c. manfaat; d. akses terjangkau; e. mengedepankan keseimbangan kepentingan para pihak; f. rahasia dan tertutup; dan g. keadilan dan kepatutan. (2) Mediator dapat menyelenggarakan penyelesaian Sengketa secara luring atau daring yang memungkinkan Para Pihak yang Bersengketa saling melihat dan mendengar serta berpartisipasi dalam pertemuan. (3) Penyelenggaraan Mediasi secara luring sebagaimana dimaksud pada ayat (2) dilakukan di kantor Lembaga, atau tempat lain yang ditetapkan pimpinan Lembaga. (4) Dalam hal Para Pihak yang Bersengketa menunjuk Mediator yang berasal dari Lembaga Mediasi sebagaimana dimaksud dalam Pasal 207 ayat (2) huruf b, Para Pihak yang Bersengketa harus melaksanakan proses Mediasi sesuai prosedur dan tata cara berdasarkan Peraturan Pemerintah ini. Penjelasan Pasal 209 Ayat (1) Huruf a Yang dimaksud dengan prinsip “biaya ringan” merupakan biaya penyelesaian Sengketa dapat dijangkau oleh Para Pihak yang Bersengketa. Huruf b Yang dimaksud dengan prinsip “efektif” merupakan penyelesaian Sengketa didasarkan pada mekanisme yang memberikan manfaat bagi pelindungan hak Para Pihak yang Bersengketa. Huruf c Yang dimaksud dengan prinsip “manfaat” merupakan penyelesaian Sengketa dapat mendorong terwujudnya iklim Pelindungan Data Pribadi dan perekonomian yang kondusif. Huruf d Yang dimaksud dengan prinsip “akses terjangkau” merupakan penyelesaian Sengketa dengan memastikan:
Huruf e Yang dimaksud prinsip “mengedepankan keseimbangan kepentingan para pihak” merupakan penyelesaian Sengketa bertujuan untuk mempertemukan kepentingan Para Pihak yang Bersengketa dalam rangka mencari solusi terbaik bagi Para Pihak yang Bersengketa (win-win solution). Huruf f Yang dimaksud dengan prinsip “rahasia dan tertutup” merupakan penyelesaian Sengketa dengan memastikan:
Huruf g Yang dimaksud dengan prinsip “keadilan dan kepatutan” merupakan penyelesaian Sengketa yang tidak bertentangan dengan hukum, keadilan, dan kepatutan, serta tidak merugikan pihak ketiga. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Cukup jelas.
Pasal 210 Biaya Mediator dan biaya penyelenggaraan Mediasi dari: a. Lembaga; atau b. Lembaga Mediasi, sebagaimana dimaksud dalam Pasal 207 ayat (2) diatur oleh Lembaga. Penjelasan Pasal 210 Cukup jelas.
Pasal 211 (1) Mediator menentukan waktu pertemuan pertama Mediasi. (2) Pertemuan pertama sebagaimana dimaksud pada ayat (1) ditentukan paling lambat 10 (sepuluh) Hari setelah Mediator ditunjuk. (3) Pada pertemuan pertama Mediasi yang dihadiri Para Pihak yang Bersengketa, Mediator dapat meminta Para Pihak yang Bersengketa untuk menyelesaikan Sengketa di antara mereka melalui negosiasi. (4) Negosiasi sebagaimana dimaksud pada ayat (3) dilaksanakan paling lama 14 (empat belas) Hari sejak permintaan pelaksanaan negosiasi diterima. Penjelasan Pasal 211 Cukup jelas.
Pasal 212 (1) Proses negosiasi bersifat tertutup dan rahasia. (2) Dalam proses negosiasi, Para Pihak yang Bersengketa dapat menyusun notula atau catatan negosiasi bersama berdasarkan kesepakatan bersama Para Pihak yang Bersengketa. (3) Dalam hal Para Pihak yang Bersengketa mencapai kesepakatan dalam proses negosiasi, Para Pihak yang Bersengketa menyusun dan menandatangani Kesepakatan Perdamaian. (4) Para Pihak yang Bersengketa menyampaikan Kesepakatan Perdamaian sebagaimana dimaksud pada ayat (3) kepada Mediator untuk ditandatangani oleh Para Pihak yang Bersengketa dan Mediator. (5) Mediator harus memastikan Kesepakatan Perdamaian tidak memuat ketentuan yang: a. bertentangan dengan hukum, ketertiban umum, dan/atau kesusilaan; b. merugikan pihak ketiga; atau c. tidak dapat dilaksanakan. (6) Kesepakatan Perdamaian sebagaimana dimaksud pada ayat (4) mengikat Para Pihak yang Bersengketa. (7) Para Pihak yang Bersengketa melalui Mediator dapat mengajukan Kesepakatan Perdamaian kepada pengadilan yang berwenang untuk memperoleh akta perdamaian sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 212 Cukup jelas.
Pasal 213 (1) Dalam hal Para Pihak yang Bersengketa tidak mencapai kesepakatan dalam proses negosiasi, Para Pihak yang Bersengketa harus menyampaikan ketidaksepakatan tersebut kepada Mediator secara tertulis melalui sistem elektronik atau nonelektronik. (2) Berdasarkan penyampaian sebagaimana dimaksud pada ayat (1), Mediator menentukan pertemuan lanjutan Mediasi. (3) Dalam jangka waktu paling lama 5 (lima) Hari sejak pertemuan lanjutan ditentukan, setiap pihak harus menyerahkan ringkasan permasalahan kepada pihak lainnya dan Mediator. (4) Para Pihak yang Bersengketa dapat menyampaikan notula atau catatan negosiasi sebagaimana dimaksud dalam Pasal 212 ayat (2). (5) Mediator dapat menggunakan notula atau catatan negosiasi sebagaimana dimaksud pada ayat (4) untuk kepentingan Mediasi. Penjelasan Pasal 213 Cukup jelas.
Pasal 214 Dalam pertemuan lanjutan Mediasi sebagaimana dimaksud dalam Pasal 213 ayat (2), Mediator harus menjelaskan kepada Para Pihak yang Bersengketa paling sedikit: a. pengertian dan manf b. prinsip Mediasi dan peran Mediator; c. tahapan Mediasi; d. kewajiban Para Pihak yang Bersengketa untuk menghadiri langsung pertemuan Mediasi berikut akibat hukum atas perilaku tidak beritikad baik dalam proses Mediasi; e. biaya yang mungkin timbul terkait penunjukan Mediator; dan f. kewajiban Para Pihak yang Bersengketa untuk menandatangani formulir kesepakatan dan penjelasan Mediasi. Penjelasan Pasal 214 Cukup jelas.
Pasal 215 (1) Para Pihak yang Bersengketa harus menghadiri secara langsung pertemuan Mediasi dengan didampingi atau tanpa didampingi oleh kuasa hukumnya. (2) Kehadiran Para Pihak yang Bersengketa secara daring merupakan kehadiran langsung Para Pihak yang Bersengketa dalam proses dan pertemuan Mediasi. Penjelasan Pasal 215 Ayat (1) Yang dimaksud “menghadiri secara langsung” antara lain kehadiran oleh orang yang berhak atau pihak yang ditunjuk berdasarkan surat kuasa, misalnya kehadiran karyawan suatu perseroan terbatas atau orang lain untuk dan atas nama perseroan terbatas berdasarkan surat kuasa dari direksi. Ayat (2) Cukup jelas.
Pasal 216 (1) Ketidakhadiran salah satu pihak yang bersengketa dalam proses Mediasi hanya dapat dilakukan berdasarkan alasan sah. (2) Alasan sah sebagaimana dimaksud pada ayat (1) meliputi: a. kondisi kesehatan yang tidak memungkinkan hadir dalam pertemuan Mediasi berdasarkan surat keterangan dokter; b. Subjek Data Pribadi belum dewasa atau di bawah pengampuan dan wali yang bersangkutan tidak dapat hadir pada pertemuan tersebut berdasarkan alasan yang sah; dan/atau c. menjalankan tugas negara, tuntutan profesi atau pekerjaan yang tidak dapat ditinggalkan. Penjelasan Pasal 216 Cukup jelas.
Pasal 217 (1) Para Pihak yang Bersengketa dengan atau tanpa didampingi kuasanya harus menempuh Mediasi dengan itikad baik. (2) Mediator dapat menyatakan bahwa pihak yang bersengketa, Para Pihak yang Bersengketa, dan/atau kuasa hukumnya tidak beriktikad dalam hal yang bersangkutan: a. tidak hadir setelah dipanggil secara patut 2 (dua) kali berturut-turut dalam pertemuan Mediasi tanpa alasan sah sebagaimana dimaksud dalam Pasal 216 ayat (2); b. menghadiri pertemuan Mediasi pertama, tetapi tidak pernah hadir pada pertemuan berikutnya meskipun telah dipanggil secara patut 2 (dua) kali berturut-turut tanpa alasan sah sebagaimana dimaksud dalam Pasal 216 ayat (2); c. ketidakhadiran berulang-ulang yang mengganggu jadwal pertemuan Mediasi tanpa alasan sah sebagaimana dimaksud dalam Pasal 216 ayat (2); d. menghadiri pertemuan Mediasi, tetapi tidak mengajukan dan/atau tidak menanggapi ringkasan perkara pihak lain; dan/atau e. tidak menandatangani konsep Kesepakatan Perdamaian yang telah disepakati tanpa alasan sah sebagaimana dimaksud dalam Pasal 216 ayat (2). (3) Mediator dapat menghentikan Mediasi dan menyatakan Mediasi gagal mencapai kesepakatan dalam hal terdapat pihak yang tidak beriktikad baik sebagaimana dimaksud pada ayat (2). (4) Mediator menyampaikan laporan mengenai hasil Mediasi secara tertulis melalui sistem elektronik atau nonelektronik sebagaimana dimaksud pada ayat (3) kepada pimpinan Lembaga. (5) Penyampaian laporan kepada pimpinan Lembaga sebagaimana dimaksud pada ayat (4) bukan pelanggaran terhadap prinsip Mediasi sebagaimana dimaksud dalam Pasal 209 ayat (1). (6) Para Pihak yang Bersengketa dapat menindaklanjuti hasil Mediasi yang tidak berhasil mencapai kesepakatan dan dihentikan sebagaimana dimaksud pada ayat (3) dengan: a. penyelesaian Sengketa melalui Arbitrase atau pengadilan; atau b. tidak melanjutkan Sengketa. Penjelasan Pasal 217 Cukup jelas.
Pasal 218 (1) Mediasi dilaksanakan paling lama dalam jangka waktu 30 (tiga puluh) Hari terhitung sejak pertemuan pertama Mediasi. (2) Jangka waktu Mediasi sebagaimana dimaksud pada ayat (1) dapat diperpanjang 1 (satu) kali berdasarkan kesepakatan Para Pihak yang Bersengketa. (3) Perpanjangan sebagaimana dimaksud pada ayat (2) diajukan oleh Mediator kepada pimpinan Lembaga paling lambat 7 (tujuh) Hari sebelum jangka waktu sebagaimana dimaksud pada ayat (1) berakhir dengan menyampaikan: a. kesepakatan Para Pihak yang Bersengketa untuk memperpanjang jangka waktu Mediasi; dan b. alasan perpanjangan. (4) Berdasarkan pengajuan perpanjangan sebagaimana dimaksud pada ayat (3), pimpinan Lembaga dapat memberikan perpanjangan Mediasi paling lama 30 (tiga puluh) Hari terhitung sejak berakhirnya jangka waktu sebagaimana dimaksud pada ayat (1). (5) Dalam hal Para Pihak yang Bersengketa tidak dapat menyelesaikan Sengketa melalui Mediasi hingga jangka waktu sebagaimana dimaksud pada ayat (4), Mediasi dinyatakan gagal mencapai kesepakatan. (6) Mediator menyampaikan laporan mengenai hasil Mediasi secara tertulis melalui sistem elektronik atau nonelektronik kepada pimpinan Lembaga. (7) Penyampaian laporan sebagaimana dimaksud pada ayat (6) bukan pelanggaran terhadap prinsip Mediasi sebagaimana dimaksud dalam Pasal 209 ayat (1). Penjelasan Pasal 218 Cukup jelas.
Pasal 219 (1) Atas persetujuan Para Pihak yang Bersengketa dan/atau kuasa hukumnya, Mediator dapat menghadirkan seorang atau lebih ahli, pihak ketiga, dan/atau tokoh masyarakat. (2) Sebelum Mediator menghadirkan ahli, pihak ketiga, dan/atau tokoh masyarakat, Para Pihak yang Bersengketa harus terlebih dahulu mencapai kesepakatan tentang kekuatan mengikat atau tidak mengikat dari penjelasan dan/atau penilaian ahli, pihak ketiga, dan/atau tokoh masyarakat. Penjelasan Pasal 219 Yang dimaksud dengan “pihak ketiga” adalah pihak yang mengetahui langsung permasalahan yang disengketakan.
Pasal 220 (1) Dalam hal Para Pihak yang Bersengketa berhasil mencapai kesepakatan dalam Mediasi, Para Pihak yang Bersengketa merumuskan kesepakatan tersebut secara tertulis dalam Kesepakatan Perdamaian dengan bantuan Mediator dan ditandatangani oleh Para Pihak yang Bersengketa dan Mediator. (2) Dalam merumuskan Kesepakatan Perdamaian sebagaimana dimaksud pada ayat (1), Mediator memastikan Kesepakatan Perdamaian tidak memuat ketentuan yang: a. bertentangan dengan hukum, ketertiban umum, dan/atau kesusilaan; b. merugikan pihak ketiga; atau c. tidak dapat dilaksanakan. (3) Dalam hal proses Mediasi diwakili oleh kuasa hukum Para Pihak yang Bersengketa, penandatanganan Kesepakatan Perdamaian hanya dapat dilakukan jika terdapat pernyataan tertulis Para Pihak yang Bersengketa yang memuat persetujuan atas kesepakatan yang dicapai. (4) Kesepakatan Perdamaian sebagaimana dimaksud pada ayat (1) mengikat Para Pihak yang Bersengketa. (5) Para Pihak yang Bersengketa melalui Mediator dapat mengajukan Kesepakatan Perdamaian kepada pengadilan yang berwenang untuk memperoleh akta perdamaian sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 210 Cukup jelas.
Pasal 221 (1) Lembaga dapat meminta bantuan hukum kepada kejaksaan dalam penyelesaian Sengketa. (2) Permintaan bantuan hukum kepada kejaksaan sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 221 Cukup jelas.
Pasal 222 Ketentuan lebih lanjut mengenai penyelesaian Sengketa melalui Lembaga dan kompetensi Mediator diatur dalam Peraturan Lembaga. Penjelasan Pasal 222 Cukup jelas.
|
|
Klaster Larangan Penggunaan Data Pribadi
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 65 UU
|
Pasal 65 (1) Setiap Orang dilarang secara melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi. (2) Setiap Orang dilarang secara melawan hukum mengungkapkan Data Pribadi yang bukan miliknya. (3) Setiap Orang dilarang secara melawan hukum menggunakan Data Pribadi yang bukan miliknya. Penjelasan Pasal 65 Cukup jelas.
|
— |
|
2 |
Pasal 66 UU
|
Pasal 66 Setiap Orang dilarang membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain. Penjelasan Pasal 66 Cukup jelas.
|
— |
|
Klaster Ketentuan Pidana & Penanganan Perkara Tindak Pidana
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 67 UU
|
Pasal 67 (sebagaimana diubah oleh UU No. 1 Tahun 2026) (1) Setiap Orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 65 ayat (1) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak kategori IV. (2) Setiap Orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak kategori IV. (3) Setiap Orang yang dengan sengaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (3) dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak kategori IV. Penjelasan Pasal 67 Cukup jelas.
|
— |
|
2 |
Pasal 68 UU
|
Pasal 68 (sebagaimana diubah oleh UU No. 1 Tahun 2026) Setiap Orang yang dengan sengaja membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain sebagaimana dimaksud dalam Pasal 66 dipidana dengan pidana penjara paling lama 6 (enam) tahun dan/atau pidana denda paling banyak kategori V. Penjelasan Pasal 68 Cukup jelas.
|
— |
|
3 |
Pasal 69 UU
|
Pasal 69 Selain dijatuhi pidana sebagaimana dimaksud dalam Pasal 67 dan Pasal 68 juga dapat dijatuhi pidana tambahan berupa perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana dan pembayaran ganti kerugian. Penjelasan Pasal 69 Cukup jelas.
|
— |
|
4 |
Pasal 70 UU
|
Pasal 70 (1) Dalam hal tindak pidana sebagaimana dimaksud dalam Pasal 67 dan Pasal 68 dilakukan oleh Korporasi, pidana dapat dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau Korporasi. (2) Pidana yang dapat dijatuhkan terhadap Korporasi hanya pidana denda. (3) Pidana denda yang dijatuhkan kepada Korporasi paling banyak 10 (sepuluh) kali dari maksimal pidana denda yang diancamkan. (4) Selain dijatuhi pidana denda sebagaimana dimaksud pada ayat (2), Korporasi dapat dijatuhi pidana tambahan berupa: a. perampasan keuntungan dan/atau harta kekayaan yang diperoleh atau hasil dari tindak pidana; b. pembekuan seluruh atau sebagian usaha Korporasi; c. pelarangan permanen melakukan perbuatan tertentu; d. penutupan seluruh atau sebagian tempat usaha dan/atau kegiatan Korporasi; e. melaksanakan kewajiban yang telah dilalaikan; f. pembayaran ganti kerugian; g. pencabutan izin; dan/atau h. pembubaran Korporasi. Penjelasan Pasal 70 Cukup jelas.
|
— |
|
5 |
Pasal 71 UU
|
Pasal 71 (1) Dalam hal pengadilan menjatuhkan putusan pidana denda, terpidana diberikan jangka waktu 1 (satu) bulan sejak putusan telah memperoleh kekuatan hukum tetap untuk membayar denda tersebut. (2) Dalam hal terdapat alasan kuat, jangka waktu sebagaimana dimaksud pada ayat (1) dapat diperpanjang untuk waktu paling lama 1 (satu) bulan. (3) Dalam hal terpidana tidak membayar pidana denda dalam jangka waktu sebagaimana dimaksud pada ayat (1) atau ayat (2) maka harta kekayaan atau pendapatan terpidana dapat disita dan dilelang oleh jaksa untuk melunasi pidana denda yang tidak dibayar. (4) Dalam hal penyitaan dan pelelangan harta kekayaan atau pendapatan sebagaimana dimaksud pada ayat (3) tidak cukup atau tidak memungkinkan untuk dilaksanakan, pidana denda yang tidak dibayar diganti dengan pidana penjara paling lama sebagaimana diancamkan untuk tindak pidana yang bersangkutan. (5) Lamanya pidana penjara sebagaimana dimaksud pada ayat (4) yang ditentukan oleh hakim, dicantumkan dalam putusan pengadilan. Penjelasan Pasal 71 Cukup jelas.
|
— |
|
6 |
Pasal 72 UU
|
Pasal 72 (1) Dalam hal penyitaan dan pelelangan harta kekayaan atau pendapatan sebagaimana dimaksud dalam Pasal 71 ayat (4) dilakukan terhadap terpidana Korporasi dan tidak cukup untuk melunasi pidana denda, Korporasi dikenakan pidana pengganti berupa pembekuan sebagian atau seluruh kegiatan usaha Korporasi untuk jangka waktu paling lama 5 (lima) tahun. (2) Lamanya pembekuan sebagian atau seluruh kegiatan usaha Korporasi sebagaimana dimaksud pada ayat (1) yang ditentukan oleh hakim, dicantumkan dalam putusan pengadilan. Penjelasan Pasal 72 Cukup jelas.
|
— |
|
7 |
Pasal 73 UU
|
Pasal 73 Ketentuan sebagaimana dimaksud dalam Pasal 71 dan Pasal 72 juga berlaku dalam hal penjatuhan pidana tambahan berupa pembayaran ganti kerugian. Penjelasan Pasal 73 Cukup jelas.
|
— |
|
8 |
Pasal 155 PP
|
— |
Pasal 155 (1) Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, penyidik, penuntut umum, atau hakim berwenang meminta Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk memberikan Data Pribadi yang diprosesnya sesuai dengan ketentuan peraturan perundang-undangan. (2) Permintaan Data Pribadi sebagaimana dimaksud pada ayat (1) harus diajukan secara tertulis dalam surat permintaan Data Pribadi dengan menyebutkan secara jelas dan spesifik paling sedikit memuat: a. nama dan jabatan penyidik, penuntut umum, atau hakim; b. identitas pihak yang terindikasi sebagai tersangka atau terdakwa; c. uraian singkat tindak pidana yang disangkakan atau didakwakan; d. jenis Data Pribadi yang diminta dan relevansinya dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi; e. jangka waktu pemrosesan Data Pribadi; f. pernyataan telah memiliki dan menerapkan mekanisme pelindungan dan pengamanan yang layak dan memadai dalam memproses Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi; dan g. dasar kewenangan untuk meminta Data Pribadi. (3) Jenis Data Pribadi yang diminta sebagaimana dimaksud pada ayat (2) huruf d harus bersifat terbatas dan relevan dengan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi yang disangkakan atau didakwakan. (4) Surat permintaan Data Pribadi sebagaimana dimaksud pada ayat (2) harus ditandatangani oleh: a. Kepala Kepolisian Negara Republik Indonesia, kepala kepolisian daerah, kepala kepolisian resor, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik dari Kepolisian Negara Republik Indonesia; b. pimpinan instansi atau lembaga, atau penjabat yang ditunjuk dalam hal permintaan diajukan oleh penyidik selain penyidik Kepolisian Negara lik Indonesia; c. Jaksa Agung, kepala kejaksaan tinggi, kepala kejaksaan negeri, kepala cabang kejaksaan negeri, atau pejabat yang ditunjuk dalam hal permintaan diajukan oleh jaksa dan/atau penuntut umum; atau d. Ketua Mahkamah Agung, ketua pengadilan tinggi, atau ketua pengadilan negeri yang memeriksa perkara yang bersangkutan dalam hal permintaan diajukan oleh hakim. (5) Surat permintaan sebagaimana dimaksud pada ayat (4) ditembuskan kepada pimpinan Lembaga. Penjelasan Pasal 155 Ayat (1) Yang dimaksud dengan “tindak pidana Pelindungan Data Pribadi” merupakan tindak pidana sebagaimana dimaksud dalam Undang-Undang tentang Pelindungan Data Pribadi. Ayat (2) Cukup jelas. Ayat (3) Cukup jelas. Ayat (4) Huruf a Cukup jelas. Huruf b Yang dimaksud dengan “instansi atau lembaga” merupakan instansi atau lembaga yang diberikan kewenangan melakukan penyidikan tindak pidana sesuai dengan ketentuan peraturan perundang-undangan. Huruf c Cukup jelas. Huruf d Cukup jelas. Ayat (5) Cukup jelas.
|
|
9 |
Pasal 156 PP
|
— |
Pasal 156 (1) Penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155 ayat (1) dapat meminta bantuan Lembaga dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi. (2) Lembaga memberikan bantuan melalui pemberian pendapat atau rekomendasi yang pelaksanaannya dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 156 Ayat (1) Cukup jelas. Ayat (2) Yang dimaksud dengan “pemberian pendapat atau rekomendasi” misalnya pemberian keterangan ahli.
|
|
10 |
Pasal 157 PP
|
— |
Pasal 157 (1) Untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi memberikan Data Pribadi yang diproses atas permintaan Data Pribadi dari penyidik, penuntut umum, atau hakim sebagaimana dimaksud dalam Pasal 155. (2) Pemberian Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan memastikan pelindungan dan keamanan Data Pribadi yang diberikan sesuai dengan ketentuan peraturan perundang-undangan. Penjelasan Pasal 157 Cukup jelas.
|
|
11 |
Pasal 158 PP
|
— |
Pasal 158 (1) Dalam rangka pemrosesan Data Pribadi yang diberikan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud dalam Pasal 157, penyidik, penuntut umum, atau hakim yang melakukan pemrosesan Data Pribadi untuk kepentingan penanganan dalam perkara tindak pidana Pelindungan Data Pribadi merupakan Pengendali Data Pribadi atas Data Pribadi yang diprosesnya. (2) Pemrosesan Data Pribadi dalam penanganan dalam perkara tindak pidana Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan sesuai dengan ketentuan dalam Peraturan Pemerintah ini. Penjelasan Pasal 158 Cukup jelas.
|
|
12 |
Pasal 159 PP
|
— |
Pasal 159 Pertukaran Data Pribadi antar penegak hukum dalam penanganan perkara dalam tindak pidana Pelindungan Data Pribadi dilaksanakan melalui mekanisme yang disepakati berdasarkan kerja sama antar lembaga penegak hukum sesuai dengan ketentuan peraturan perundang-undangan dan pemenuhan kewajiban melindungi Data Pribadi. Penjelasan Pasal 159 Cukup jelas.
|
|
Klaster Ketentuan Peralihan & Penutup
|
|||
|
No. |
Pasal Terkait |
UU No. 27/2022 tentang Pelindungan Data Pribadi (sebagaimana diubah oleh UU No. 1/2026 dan dianotasi Putusan MK No. 151/PUU-XXII/2024) |
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi |
|
1 |
Pasal 74 UU ↔ Pasal 223 PP |
Pasal 74 Pada saat Undang-Undang ini mulai berlaku, Pengendali Data Pribadi, Prosesor Data Pribadi, dan pihak lain yang terkait dengan pemrosesan Data Pribadi, wajib menyesuaikan dengan ketentuan pemrosesan Data Pribadi berdasarkan Undang-Undang ini paling lama 2 (dua) tahun sejak Undang-Undang ini diundangkan. Penjelasan Pasal 74 Cukup jelas.
|
Pasal 223 Sampai dengan ditetapkannya Peraturan Lembaga terkait pemrosesan Data Pribadi, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi melakukan pemrosesan Data Pribadi sepanjang tidak bertentangan dengan ketentuan Peraturan Pemerintah ini. Penjelasan Pasal 223 Cukup jelas.
|
|
2 |
Pasal 75 UU ↔ Pasal 224 PP |
Pasal 75 Pada saat Undang-Undang ini mulai berlaku, semua ketentuan peraturan perundang-undangan yang mengatur mengenai Pelindungan Data Pribadi, dinyatakan masih tetap berlaku sepanjang tidak bertentangan dengan ketentuan dalam Undang-Undang ini. Penjelasan Pasal 75 Cukup jelas.
|
Pasal 224 Pada saat Peraturan Pemerintah ini mulai berlaku, semua ketentuan peraturan perundang-undangan yang mengatur mengenai Pelindungan Data Pribadi dinyatakan masih tetap berlaku sepanjang tidak bertentangan dengan ketentuan dalam Peraturan Pemerintah ini. Penjelasan Pasal 224 Cukup jelas.
|
|
3 |
Pasal 76 UU ↔ Pasal 225 PP |
Pasal 76 Undang-Undang ini mulai berlaku pada tanggal diundangkan. Agar setiap orang mengetahuinya, memerintahkan pengundangan Undang-Undang ini dengan penempatannya dalam Lembaran Negara Republik Indonesia. Penjelasan Pasal 76 Cukup jelas.
|
Pasal 225 Peraturan Pemerintah ini mulai berlaku setelah 6 (enam) bulan terhitung sejak tanggal diundangkan. Penjelasan Pasal 225 Cukup jelas.
|
[1] Lembaga adalah lembaga yang bertanggung jawab atas pengelolaan perlindungan data pribadi sebagaimana diatur dalam undang-undang yang mengatur perlindungan data pribadi (Pasal 1 [15], PP 33/2026).
[2] Pasal 180 (1) dan 184 (3), PP 33/2026.
[3] Pasal 28 (1), PP 33/2026.
[4] Pasal 74 (1), PP 33/2026.
[5] Pasal 142 (1), PP 33/2026.
[6] Pasal 71 (1), 94 (1), dan 107, PP 33/2026.
[7] Pasal 225, PP 33/2026.
[8] Pasal 47, PP 33/2026.
[9] Pasal 51, PP 33/2026.
[10] Pasal 30 (1) dan (2), PP 33/2026.
[11] Pasal 30 (3), PP 33/2026.
[12] Pasal 31, PP 33/2026.
[13] Pasal 32, PP 33/2026.
[14] Pasal 36, PP 33/2026.
[15] Pasal 93, PP 33/2026.
[16] Pasal 94 (1), PP 33/2026.
[17] Pasal 94 (2), PP 33/2026.
[18] Pasal 94 (3), PP 33/2026.
[19] Pasal 95 (1), PP 33/2026.
[20] Pasal 95 (2), PP 33/2026.
[21] Pasal 95 (3), PP 33/2026.
[22] Pasal 105, PP 33/2026.
[23] Pasal 106 (2), PP 33/2026.
[24] Pasal 108 (1) dan (2), PP 33/2026.
[25] Pasal 108 (3), PP 33/2026.
[26] Pasal 109, PP 33/2026.
[27] Pasal 133 (1), PP 33/2026.
[28] Pasal 133 (3), PP 33/2026.
[29] Pasal 165 (1), PP 33/2026.
[30] Pasal 165 (2) dan (3), PP 33/2026.
[31] Pasal 162 (1) dan (2), PP 33/2026.
[32] Pasal 164 (1) dan (2), PP 33/2026.
[33] Pasal 180 (1), PP 33/2026.
[34] Pasal 183 (1), PP 33/2026.
[35] Pasal 184 (2) dan (3), PP 33/2026.
[36] Pasal 184 (6) – (8), PP 33/2026.
[37] Pasal 185 (1), PP 33/2026.
[38] Pasal 185 (2), PP 33/2026.
[39] Pasal 185 (3) dan (4), PP 33/2026.