Otoritas PDP Indonesia 2026: Persiapan Pelindungan Data Bisnis

Banyak perusahaan baru memikirkan perlindungan data setelah terjadi insiden.

Database bocor.

Laptop hilang.

File customer terkirim ke orang yang salah.

Vendor mengalami serangan.

Atau seseorang bertanya:

“Perusahaan menyimpan data saya untuk apa?”

Pada saat itulah tim mulai mencari privacy policy, daftar akses, kontrak vendor, log pemrosesan, dan siapa yang sebenarnya bertanggung jawab.

Indonesia sekarang sedang memfinalisasi pembentukan Otoritas Pelindungan Data Pribadi yang independen. Pemerintah pada Juli menyatakan lembaga tersebut diproyeksikan berada di luar struktur Komdigi, dengan struktur final akan diatur melalui Peraturan Presiden.[2]

Tetapi bagi bisnis, ada satu kesalahpahaman yang harus dihindari:

perlindungan data bukan kewajiban yang baru dimulai setelah otoritas itu terbentuk.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi sudah berlaku sejak Oktober 2022, dan masa penyesuaian dua tahunnya telah berakhir.[1]

Dengan kata lain, pertanyaannya bukan:

“Kapan kita perlu mulai memikirkan PDP?”

Melainkan:

“Seberapa siap proses kita bila sekarang harus menjelaskan bagaimana data pribadi dikelola?”

Hampir semua bisnis memegang data pribadi

Anda tidak harus menjalankan perusahaan teknologi.

Toko menerima nama dan nomor WhatsApp pelanggan.

Perusahaan menyimpan CV pelamar.

HR mempunyai data keluarga dan payroll.

Gedung menggunakan CCTV.

Marketing menyimpan email.

Sales menggunakan CRM.

Customer service membaca riwayat transaksi.

Bisnis digital mungkin mempunyai lokasi, device information, behaviour log atau informasi lain yang dapat terkait dengan individu.

UU PDP mendefinisikan data pribadi sebagai data tentang orang yang teridentifikasi atau dapat diidentifikasi, baik sendiri maupun ketika dikombinasikan dengan informasi lain.[1]

Karena itu, privacy tidak hanya berada di departemen IT.

Ia muncul sepanjang customer journey dan employee lifecycle.

Mulai dari data inventory

Banyak perusahaan memiliki security software tetapi tidak mampu menjawab satu pertanyaan dasar:

Data pribadi apa yang sebenarnya kita miliki?

Mulailah dengan memetakan:

data apa yang dikumpulkan;

dari siapa;

melalui channel apa;

disimpan di mana;

siapa yang dapat mengakses;

dipakai untuk tujuan apa;

dibagikan kepada vendor mana;

dan kapan seharusnya dihapus.

Data inventory bukan sekadar compliance document.

Ia membuat attack surface dan operating dependency menjadi terlihat.

Anda tidak dapat melindungi data yang bahkan tidak diketahui keberadaannya.

Jangan menganggap consent adalah satu-satunya dasar

Salah satu simplifikasi yang sering muncul dalam diskusi privasi adalah:

“Yang penting customer sudah klik setuju.”

UU PDP sebenarnya mengatur beberapa dasar pemrosesan. Selain persetujuan eksplisit untuk tujuan tertentu, dasar dapat berkaitan dengan pemenuhan perjanjian, kewajiban hukum, kepentingan vital, kepentingan publik, atau kepentingan sah lainnya sesuai ketentuan UU.[1]

Artinya, perusahaan perlu memahami mengapa suatu data diproses.

Bukan sekadar memasang checkbox sebanyak mungkin.

Jika perusahaan tidak dapat menjelaskan tujuan pemrosesannya sendiri, privacy notice yang panjang tidak menyelesaikan masalah mendasar.

Purpose limitation menjadi disiplin bisnis

UU mengharuskan pemrosesan dilakukan secara terbatas dan spesifik, sah, transparan, serta sesuai tujuan pemrosesan.[1]

Dalam operasi sehari-hari, prinsip tersebut menghasilkan pertanyaan praktis:

Tim sales memperoleh nomor customer untuk menindaklanjuti quotation.

Apakah nomor tersebut kemudian otomatis masuk ke campaign database?

HR memperoleh CV untuk rekrutmen.

Berapa lama CV kandidat yang tidak diterima disimpan?

Customer mengirim KTP untuk satu transaksi.

Siapa yang masih memiliki copy enam bulan kemudian?

Pertanyaan seperti ini sering lebih penting daripada membeli cybersecurity tool tambahan.

Access control bukan hanya password

UU mewajibkan pengendali menjaga kerahasiaan, mencegah akses yang tidak sah, dan mengawasi pihak-pihak yang terlibat dalam pemrosesan data di bawah kendalinya.[1]

Karena itu, perusahaan perlu melihat need-to-know access.

Apakah semua sales bisa melihat semua customer?

Apakah mantan karyawan masih memiliki akses?

Apakah spreadsheet payroll dapat dibuka terlalu banyak orang?

Apakah shared account masih digunakan lima orang?

Cybersecurity dan privacy bertemu di titik ini.

Sering kali masalah bukan hacker yang sangat canggih.

Masalahnya adalah terlalu banyak orang mempunyai akses yang tidak lagi diperlukan.

Vendor adalah bagian dari data architecture

Perusahaan modern jarang memproses seluruh data sendiri.

Ada payroll system.

Cloud storage.

CRM.

WhatsApp integration.

Email marketing platform.

Accounting SaaS.

HR system.

AI tools.

Call centre vendor.

UU PDP mengatur hubungan antara pengendali dan prosesor data. Prosesor harus bertindak berdasarkan perintah pengendali; penggunaan prosesor lain oleh prosesor memerlukan persetujuan tertulis pengendali sebagaimana diatur dalam Pasal 51.[1]

Artinya, vendor risk bukan hanya:

“Apakah software ini bagus?”

Tetapi juga:

Siapa memproses datanya?

Di mana data berada?

Siapa subprocessor-nya?

Apa yang terjadi ketika kontrak berakhir?

Bagaimana incident notification dilakukan?

Perusahaan dapat meng-outsource teknologi.

Accountability tidak otomatis ikut hilang.

Retention sering menjadi blind spot

Data murah untuk disimpan.

Akibatnya, perusahaan cenderung menyimpannya selamanya.

Padahal UU PDP mengatur pengakhiran pemrosesan ketika masa retensi atau tujuan pemrosesan telah tercapai, dan dalam kondisi tertentu mewajibkan penghapusan atau pemusnahan data.[1]

Data lama mempunyai satu karakteristik yang menarik:

nilainya bagi bisnis dapat terus turun, tetapi risikonya tetap ada.

Customer lama yang sudah tidak aktif.

CV bertahun-tahun.

Copy identitas lama.

Export database dari campaign yang sudah selesai.

Semakin banyak data yang tidak diperlukan, semakin banyak hal yang harus diamankan.

Privacy discipline kadang berarti mengetahui apa yang harus dibuang.

Jika insiden terjadi, 3×24 jam bergerak cepat

UU PDP menetapkan bahwa jika terjadi kegagalan pelindungan data pribadi, pengendali wajib memberikan pemberitahuan tertulis paling lambat 3×24 jam kepada subjek data dan lembaga. Pemberitahuan minimal memuat data yang terungkap, kapan dan bagaimana kejadian berlangsung, serta upaya penanganan dan pemulihan.[1]

Tiga hari terdengar cukup panjang sampai insiden benar-benar terjadi.

Hari pertama mungkin habis untuk memastikan apakah benar ada breach.

Tim teknologi melakukan investigasi.

Legal mencoba memahami scope.

Manajemen menunggu kepastian.

Vendor lambat merespons.

Customer service belum mendapat script.

Itulah sebabnya incident response plan harus dibuat sebelum incident.

Siapa incident commander?

Siapa menghubungi legal?

Siapa berkomunikasi dengan customer?

Siapa menghubungi vendor?

Di mana log berada?

Siapa yang menentukan scope data terdampak?

Bukan berarti setiap insiden otomatis mempunyai skenario identik.

Tetapi perusahaan tidak boleh baru membuat struktur respons setelah countdown sudah berjalan.

Tidak setiap perusahaan wajib punya DPO khusus

Ini area yang perlu diluruskan.

UU PDP memang mewajibkan penunjukan pejabat atau petugas yang menjalankan fungsi pelindungan data dalam kondisi tertentu, antara lain pemrosesan untuk pelayanan publik; pemantauan teratur dan sistematis dalam skala besar; atau kegiatan inti berupa pemrosesan skala besar atas data pribadi spesifik atau data terkait tindak pidana.[1]

Jadi tidak tepat mengatakan:

“Semua PT dan UMKM wajib punya DPO.”

Namun perusahaan tetap perlu menentukan accountability.

Jika tidak memenuhi kriteria wajib DPO, siapa yang tetap memastikan privacy notice benar?

Siapa menangani permintaan subjek data?

Siapa memeriksa vendor?

Siapa mengoordinasikan breach response?

Nama jabatannya dapat berbeda.

Tanggung jawabnya tidak boleh tidak ada.

Otoritas independen dapat mengubah visibility of enforcement

UU PDP sudah memberikan lembaga pelindungan data fungsi yang cukup luas: menetapkan kebijakan, melakukan pengawasan, menjatuhkan sanksi administratif, menerima pengaduan, meminta data dan dokumen, melakukan pemeriksaan, bahkan menilai persyaratan transfer data ke luar negeri.[1]

UU juga menyediakan sanksi administratif termasuk peringatan tertulis, penghentian sementara pemrosesan, penghapusan/pemusnahan data, dan denda administratif hingga maksimum 2% dari pendapatan atau penerimaan tahunan sesuai variabel pelanggaran dan mekanisme yang diatur lebih lanjut.[1]

Pembentukan otoritas independen nantinya dapat membuat struktur pengawasan lebih jelas.

Namun artikel ini tidak akan memprediksi seberapa agresif enforcement-nya.

Perpres finalnya saja belum ditemukan sebagai regulasi yang sudah terbit.

The GATICORP Data Readiness Test

Untuk membuat persiapan lebih sederhana, gunakan enam pertanyaan:

Know it

Data apa yang dimiliki?

Justify it

Mengapa perusahaan memprosesnya?

Limit it

Siapa yang benar-benar memerlukan akses?

Protect it

Kontrol teknis dan organisasional apa yang digunakan?

Delete it

Kapan data sudah tidak dibutuhkan?

Respond

Apa yang dilakukan jika perlindungan gagal?

Ini adalah framework editorial GATICORP, bukan checklist resmi regulator.

Tetapi jika satu pertanyaan saja tidak bisa dijawab, ada kemungkinan perusahaan belum mempunyai visibility yang cukup terhadap data risk-nya.

Privacy bukan hanya compliance cost

Perusahaan sering melihat data protection hanya sebagai:

legal cost, cybersecurity cost, dan administrative burden.

Ada perspektif lain.

Customer memberikan informasi kepada bisnis karena berharap perusahaan menggunakannya secara wajar.

Karyawan menyerahkan data karena perusahaan membutuhkannya untuk hubungan kerja.

Vendor diberi akses karena ada kebutuhan operasional.

Setiap interaksi tersebut mengandung trust.

Ketika perusahaan mengetahui datanya, membatasi akses, menggunakan tujuan yang jelas, dan mampu merespons insiden dengan cepat, privacy menjadi bagian dari digital operating quality.

Jangan menunggu lembaganya sebelum merapikan datanya

Indonesia sedang memfinalisasi struktur otoritas PDP yang independen.[2]

Itu perkembangan institusional yang penting.

Tetapi perusahaan tidak perlu menunggu Perpres tersebut untuk memulai.

UU-nya sudah berlaku.

Masa transisinya telah berlalu.

Kewajiban dasar pengendali dan prosesor sudah tertulis.

Jadi pertanyaan bagi bisnis bukan:

“Kapan regulator baru mulai bekerja?”

Pertanyaan yang lebih berguna adalah:

“Kalau besok ada customer, auditor, manajemen, atau regulator yang bertanya bagaimana data diproses, apakah kita mampu menjawabnya dengan bukti?”

Jika jawabannya belum, pembentukan otoritas baru bukan sumber masalahnya.

Ia hanya membuat gap yang sudah ada menjadi lebih terlihat.