PP 33/2026 berlaku 16 Januari 2027. Enam prioritas operasional—ROPA, hak subjek data, DPIA/AI, prosesor & transfer, pelanggaran 3×24 jam, dan PPDP—untuk pimpinan organisasi.
Tim MarkasDevTechnology Partner, Jakarta
Pada 16 Juli 2026 pemerintah mengundangkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang peraturan pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (PP 33/2026). Menurut Pasal 225, peraturan itu mulai berlaku enam bulan kemudian: 16 Januari 2027. Itu bukan awal kepatuhan PDP. UU PDP sudah berlaku, masa penyesuaian dua tahunnya sudah lewat, dan PP 33/2026 kini merinci kewajiban operasional yang harus bisa dibuktikan, bukan hanya ditulis di kebijakan.
Bagi pimpinan eksekutif, pengelola operasional, dan tim hukum di perusahaan, pemerintah daerah, BUMD, faskes, atau lembaga keuangan lokal, pertanyaan praktisnya sederhana: apa yang harus siap sebelum tenggat itu, dan urutan mana yang paling masuk akal jika kapasitas terbatas? Artikel ini merangkum enam prioritas yang kami baca dari analisis firma hukum dan penasihat yang membuka teks PP 33/2026, lalu menempatkannya dalam kerangka Diagnose, Deliver, dan Operate agar pekerjaan teknis dan tata kelola tidak saling lepas.
PP 33/2026 memperkuat ekspektasi bahwa organisasi dapat menunjukkan—bukan sekadar menyatakan—kepatuhannya. (RSM Indonesia, 18 September 2026)
PP 33/2026 berisi 225 pasal dalam dua belas bab. Ia tidak mengganti UU PDP; ia mengoperasionalkan banyak kewajiban yang sebelumnya kurang rinci: dasar pemrosesan dan persetujuan, hak subjek data, penilaian dampak pelindungan data (DPIA), pemberitahuan kegagalan pelindungan, pengaturan prosesor dan transfer lintas batas, fungsi PPDP/DPO, akuntabilitas, serta sanksi administratif.
Beberapa detail teknis masih menunggu lembaga pengawas pelindungan data pribadi (“Lembaga”). Daftar yurisdiksi setara, templat klausula kontrak standar, dan metodologi DPIA yang lebih teknis belum sepenuhnya tersedia. Itu bukan alasan menunda pekerjaan dasar. Analisis yang kami baca menekankan bahwa pemrosesan boleh berlanjut selama tidak bertentangan dengan peraturan, tetapi penundaan implementasi justru memperbesar risiko operasional dan reputasi.
Tanpa peta data yang akurat, sisanya sulit diukur. Organisasi perlu mencatat aktivitas pemrosesan (ROPA), dasar hukum tiap aktivitas, pemberitahuan privasi yang selaras, serta—jika mengandalkan persetujuan—mekanisme pemberian dan penarikan yang dapat dibuktikan. Persetujuan harus eksplisit, bebas, spesifik, dan tidak menyesatkan. Kebijakan grup atau salinan GDPR saja belum otomatis memenuhi persyaratan Indonesia.
PP 33/2026 menegaskan hak yang harus didukung sistem dan prosedur: akses, koreksi, penarikan persetujuan, pembatasan, dan—dalam kondisi tertentu—portabilitas serta keberatan terhadap keputusan otomatis yang berdampak signifikan. Banyak organisasi punya formulir, tetapi belum menguji alur verifikasi identitas dan penyelesaian dalam tenggat yang relevan. Uji end-to-end sekarang lebih murah daripada gagal saat permintaan pertama datang setelah tenggat.
DPIA wajib sebelum pemrosesan berisiko tinggi. Kategori pemicu mencakup keputusan otomatis dengan dampak hukum atau signifikan, data spesifik, pemrosesan skala besar, evaluasi atau pemantauan sistematis, pencocokan himpunan data, teknologi baru, dan pemrosesan yang membatasi hak subjek data. Penjelasan peraturan menyebut secara eksplisit kecerdasan buatan, machine learning, teknologi cerdas, dan IoT sebagai contoh teknologi baru. “Skala besar” dinilai kontekstual—volume, jumlah subjek, durasi, jenis data, tujuan, dan jangkauan geografis—bukan angka tetap tunggal.
Perikatan dengan prosesor harus tertulis dengan klausul minimum. Subprosesor membutuhkan persetujuan tertulis pengendali dan tingkat pelindungan setara. Untuk transfer ke luar Indonesia, urutan dasarnya: tingkat pelindungan setara di negara tujuan, lalu instrumen pengamanan yang memadai dan mengikat, dan hanya sebagai jalan sempit terakhir—persetujuan subjek data untuk transfer yang tidak berulang dan terbatas. Karena Lembaga belum penuh beroperasi, whitelist dan SCC resmi belum bisa diandalkan sebagai “sudah selesai”; yang bisa dikerjakan sekarang adalah memetakan aliran data, meninjau kontrak cloud/SaaS/grup, dan mendokumentasikan risiko.
Jika terjadi kegagalan pelindungan data pribadi, pengendali wajib memberitahu subjek data yang terdampak dan Lembaga secara tertulis paling lambat 3 × 24 jam setelah kegagalan itu dipastikan secara pasti, patut, dan wajar. Jika dampaknya mengganggu pelayanan publik atau kepentingan masyarakat secara serius, pemberitahuan publik juga dapat wajib. Prosesor harus melapor ke pengendali secepatnya. Artinya prosedur insiden harus mendukung investigasi cepat, penilaian hukum, dan jalur persetujuan pemberitahuan—bukan sekadar dokumen di folder bersama.
PPDP wajib diangkat pada kondisi tertentu: layanan publik; pemantauan berskala besar yang teratur dan sistematis sebagai kegiatan inti; atau pemrosesan berskala besar atas data spesifik atau data terkait tindak pidana. PPDP perlu akses ke manajemen puncak, sumber daya, dan independensi yang memadai. Pengendali juga harus mampu menunjukkan akuntabilitas lewat dokumentasi, respons terhadap permintaan Lembaga, serta audit pelindungan data pribadi internal dan eksternal.
Untuk pelanggaran tertentu, Lembaga dapat memberi peringatan tertulis, menangguhkan sementara pemrosesan, memerintahkan penghapusan atau pemusnahan data, dan/atau menjatuhkan denda administratif. Denda dapat mencapai sampai 2% dari pendapatan atau penerimaan tahunan pengendali atau prosesor, dengan faktor seperti dampak, durasi, kategori data, jumlah subjek terdampak, kerja sama, skala usaha, kemampuan bayar, dan riwayat kepatuhan. Hasil pengawasan juga dapat dipublikasikan—risiko reputasi yang jarang masuk slide anggaran awal.
Kepatuhan PDP bukan proyek “satu dokumen selesai”. Ia menyentuh inventaris data, kontrak vendor, alur hak subjek, DPIA untuk inisiatif AI atau monitoring, prosedur insiden, dan kepemilikan setelah go-live. Model Technology Partner MarkasDev memecah pekerjaan itu agar keputusan dan bukti berjalan beriringan.
Jika Anda sedang menimbang kapan discovery berbayar masuk akal sebelum anggaran besar terkunci, lihat juga kapan organisasi perlu Diagnose berbayar. Untuk membedakan model mitra jangka panjang dengan proyek sekali jadi, baca software house vs Technology Partner.
Enam bulan menuju 16 Januari 2027 terasa panjang di kalender, tetapi pendek jika melibatkan legal, IT, keamanan, SDM, pengadaan, dan unit bisnis sekaligus. Mulai dari baseline yang jujur lebih aman daripada menunggu “template resmi” yang belum tentu datang tepat waktu.
PP 33/2026 mengubah percakapan dari “apakah kita punya kebijakan privasi” menjadi “bisakah kita membuktikan kontrolnya berjalan”. Organisasi yang sudah punya program mirip GDPR punya titik awal, tetapi tetap perlu lokalisasi Indonesia—terutama pada pemberitahuan dan persetujuan, isi minimum ROPA dan kebijakan retensi, kerangka transfer tiga tingkat, serta pemicu dan isi DPIA.
Jika Anda ingin meninjau kesiapan sistem, integrasi, dan tata kelola operasional terkait data pribadi di organisasi Anda, hubungi Tim MarkasDev. Kami membantu memperjelas masalah dan urutan kerja sebelum anggaran besar terkunci—tanpa mengklaim sebagai penasihat hukum; untuk penafsiran pasal dan opini legal, libatkan penasihat hukum Anda.
Trellix Wise for Private Cloud GA 15 Okt 2026: AI untuk SOC di dalam batas Anda. Survei 600 CISO: 95% alami insiden insider terkait AI, biaya rata-rata 2,4 juta dolar. Lima langkah untuk bisnis.
Passkey Index 2026 FIDO: login dengan passkey lebih sering berhasil, lebih cepat, dan menekan phishing serta biaya OTP SMS. Tapi selama password jadi cadangan, celahnya tetap ada. Enam langkah untuk bisnis.
