UU Pelindungan Data Pribadi Indonesia mendapat aturan pelaksananya

Indonesia mengesahkan Undang-Undang Pelindungan Data Pribadi pada 2022, dan masa transisi dua tahunnya berakhir pada Oktober 2024 tanpa aturan pelaksana yang rinci. Peraturan Pemerintah 33 Tahun 2026, yang ditetapkan pada 16 Juli 2026 dan beredar pada akhir musim panas, kini menyediakannya. Peraturan ini berlaku mulai 16 Januari 2027, enam bulan setelah ditetapkan.

Peraturan ini konkret soal praktik sehari-hari. Persetujuan harus bebas, spesifik, dan tidak ambigu, serta didahului informasi yang jelas tentang tujuan, jenis data, dan masa retensi. Persetujuan bukan satu-satunya dasar hukum, karena pelaksanaan perjanjian dan kepentingan yang sah juga diatur, yang terakhir dengan penilaian yang terdokumentasi. Organisasi wajib menyimpan catatan kegiatan pemrosesan dan kebijakan retensi tertulis, melakukan penilaian dampak sebelum pemrosesan berisiko tinggi, dan menunjuk pejabat pelindungan data yang melapor kepada manajemen puncak dan bertindak independen. Penjelasannya menyebut AI, pembelajaran mesin, dan IoT sebagai contoh teknologi baru yang dapat memicu penilaian tersebut.

Dua area paling penting bagi tim IT. Kebocoran data harus diberitahukan kepada pihak yang terdampak dan kepada otoritas dalam tiga hari, dan prosesor harus melaporkan insiden kepada pengendali secepat mungkin. Untuk transfer ke luar negeri, yang mencakup sebagian besar layanan cloud, organisasi harus menilai risiko dan memberi tahu pihak yang bersangkutan, lalu mengandalkan keputusan kecukupan, perlindungan yang mengikat seperti klausul kontrak standar, atau persetujuan yang terbatas dan tidak berulang.

Beberapa bagian masih belum ada. Otoritas pengawas belum dibentuk, serta daftar negara yang dianggap memadai dan klausul standar belum tersedia. UU 2022 memungkinkan peringatan, penghentian sementara pemrosesan, penghapusan data, dan denda administratif hingga 2 persen dari pendapatan tahunan, sehingga taruhannya nyata meskipun perangkat penegakannya masih dibangun.

Respons yang masuk akal adalah mulai sekarang. Petakan di mana data pribadi berada, catat dasar hukum untuk setiap penggunaan, tinjau kontrak cloud dan vendor terkait transfer lintas negara, latih respons kebocoran 72 jam, dan lakukan penilaian dampak sebelum meluncurkan alat AI yang menyentuh data pribadi. Ini adalah ringkasan analisis publik, bukan nasihat hukum, jadi periksa teks resminya sesuai kondisi Anda.