Definisi
Apa itu UU PDP?
UU PDP adalah Undang-Undang Perlindungan Data Pribadi, ditetapkan sebagai Undang-Undang Nomor 27 Tahun 2022. Ini adalah undang-undang perlindungan data komprehensif pertama di Indonesia dan mengatur bagaimana organisasi boleh mengumpulkan, menggunakan, menyimpan, dan membagikan data pribadi individu.
Undang-undang ini memberi individu hak atas datanya dan menetapkan kewajiban yang jelas bagi organisasi yang menanganinya. Setelah masa transisi dua tahun, persyaratan dan sanksinya dapat ditegakkan pada Oktober 2024, sehingga kepatuhan kini menjadi prioritas bagi setiap bisnis yang menyimpan data pelanggan atau karyawan.
Ditetapkan
UU 27/2022 disahkan, undang-undang perlindungan data komprehensif pertama Indonesia.
Transisi
Pasal 74 memberi pengendali, prosesor, dan pihak lain waktu dua tahun sejak undang-undang diundangkan untuk menyesuaikan pemrosesan data pribadi.
Penegakan
Masa transisi berakhir. Kewajiban dan sanksi dapat ditegakkan.
Berlanjut
Pengawasan dan penegakan berlanjut di bawah otoritas perlindungan data khusus.
Ditetapkan
UU 27/2022 disahkan, undang-undang perlindungan data komprehensif pertama Indonesia.
Transisi
Pasal 74 memberi pengendali, prosesor, dan pihak lain waktu dua tahun sejak undang-undang diundangkan untuk menyesuaikan pemrosesan data pribadi.
Penegakan
Masa transisi berakhir. Kewajiban dan sanksi dapat ditegakkan.
Berlanjut
Pengawasan dan penegakan berlanjut di bawah otoritas perlindungan data khusus.
Cakupan
Siapa yang wajib patuh?
UU PDP berlaku untuk setiap organisasi yang memproses data pribadi individu di Indonesia, baik organisasi itu berbasis di dalam negeri maupun di luar negeri. Jawab pertanyaan di bawah untuk melihat apakah kemungkinan berlaku bagi Anda.
- Apakah Anda mengumpulkan atau memproses data pribadi orang di Indonesia?
- Apakah organisasi Anda menentukan cara data digunakan, atau memprosesnya untuk pihak yang menentukan?
- Apakah Anda membagikan data pribadi ke vendor atau memindahkannya lintas negara?
Undang-undang membedakan pengendali data, yang menentukan mengapa dan bagaimana data diproses, dari pemroses data, yang memproses data atas nama pengendali. Keduanya memikul kewajiban, dan undang-undang menjangkau organisasi di luar Indonesia yang pemrosesannya berdampak pada individu Indonesia.
Kewajiban
Yang dipersyaratkan UU PDP
Undang-undang menetapkan sejumlah kewajiban inti bagi organisasi yang memproses data pribadi.
Dasar hukum dan persetujuan
Pasal 20 mewajibkan pengendali data pribadi memiliki dasar pemrosesan sebelum memproses, dan merincinya: persetujuan yang sah secara eksplisit untuk satu atau beberapa tujuan tertentu, pelaksanaan perjanjian, kewajiban hukum, pelindungan kepentingan vital subjek data, kepentingan umum, dan kepentingan yang sah. Bila persetujuan menjadi dasarnya, Pasal 20 ayat (2) huruf a menuntut persetujuan itu eksplisit dan terikat pada tujuan yang sudah disampaikan pengendali.
Hak subjek data
Pasal 5 sampai Pasal 13 memuat hak-hak tersebut: informasi tentang siapa yang memproses dan untuk apa (Pasal 5), perbaikan (Pasal 6), pengakhiran pemrosesan dan penghapusan (Pasal 8), penarikan persetujuan (Pasal 9), keberatan atas keputusan yang hanya didasarkan pemrosesan otomatis (Pasal 10), dan pemindahan data dalam format yang lazim dibaca sistem elektronik (Pasal 13). Pasal 14 mengatur bahwa permohonan diajukan secara tercatat, elektronik maupun nonelektronik.
Pembatasan tujuan
Pasal 16 ayat (2) menetapkan prinsip pemrosesan: pengumpulan dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan, serta pemrosesan dilakukan sesuai dengan tujuannya.
Pengamanan keamanan
Pasal 35 mewajibkan pengendali melindungi dan memastikan keamanan data pribadi yang diprosesnya, melalui penyusunan dan penerapan langkah teknis operasional serta penentuan tingkat keamanan data tersebut.
Notifikasi pelanggaran
Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3 kali 24 jam kepada subjek data pribadi dan kepada lembaga. Pasal 46 ayat (2) menetapkan muatan minimalnya: data yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihannya. Dalam hal tertentu, Pasal 46 ayat (3) juga mewajibkan pemberitahuan kepada masyarakat.
Pejabat pelindungan data
Pasal 53 ayat (1) membebankan kewajiban ini pada pengendali maupun prosesor data pribadi, dalam tiga hal: pemrosesan untuk kepentingan pelayanan publik, kegiatan inti yang memerlukan pemantauan teratur dan sistematis atas data pribadi dalam skala besar, atau kegiatan inti berupa pemrosesan skala besar atas data pribadi spesifik dan/atau data yang berkaitan dengan tindak pidana. Alpha Code menyediakan DPO as a Service (DPOaaS) bagi organisasi yang membutuhkannya tanpa merekrut secara internal.
Transfer lintas negara
Pasal 56 mengatur transfer ke luar wilayah hukum Indonesia secara berjenjang. Ayat (2) adalah ujian utamanya: negara tempat kedudukan penerima harus memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari undang-undang ini. Bila itu tidak terpenuhi, ayat (3) baru membuka jalan pada pelindungan yang memadai dan bersifat mengikat, dan bila keduanya tidak terpenuhi, ayat (4) mewajibkan persetujuan subjek data pribadi. Pasal 55 mengatur transfer kepada pengendali lain di dalam wilayah Indonesia, di mana kedua pihak tetap bertanggung jawab atas pelindungan data.
Risiko
Sanksi atas ketidakpatuhan
Pasal 57 ayat (2) merinci sanksi administratifnya: peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan denda administratif. Pasal 57 ayat (3) membatasi denda tersebut paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran, jadi batas itu tidak dihitung atas seluruh usaha.
Tanggung jawab pidana diatur terpisah dalam Pasal 67 dan Pasal 68, dan lamanya berbeda menurut perbuatannya: paling lama 5 tahun dan Rp 5 miliar untuk memperoleh atau mengumpulkan data yang bukan miliknya secara melawan hukum, 4 tahun dan Rp 4 miliar untuk mengungkapkannya, 5 tahun dan Rp 5 miliar untuk menggunakannya, serta 6 tahun dan Rp 6 miliar untuk memalsukan data pribadi. Pasal 70 memperluas pertanggungjawaban kepada korporasi. Gunakan estimator di bawah untuk melihat ilustrasi denda administratif maksimum bagi organisasi Anda.
Estimator sanksi ilustratif
Denda administratif maksimum
Rp 5.0 miliar
Hingga 2 persen dari pendapatan tahunan, menurut Pasal 57 ayat (3)
Ini adalah ilustrasi maksimum berdasarkan batas 2 persen dalam Pasal 57 ayat (3), yang dihitung terhadap variabel pelanggaran dan bukan atas seluruh pendapatan usaha. Ini bukan nasihat hukum atau prediksi atas sanksi tertentu.
Rencana aksi
Checklist kepatuhan UU PDP 10 langkah
Gunakan checklist ini untuk melacak kesiapan Anda. Centang setiap langkah saat selesai untuk melihat kemajuan Anda. Jawaban Anda tidak disimpan.
Kesiapan kepatuhan Anda
0 / 10
Bantuan kami
Bagaimana Alpha Code membantu Anda patuh
Alpha Code memetakan setiap kewajiban UU PDP ke layanan konkret, sehingga kepatuhan menjadi program kerja yang jelas, bukan abstraksi hukum.
Penilaian kesenjangan, inventaris data, penilaian dampak privasi, dan bukti untuk pemeriksaan.
Identifikasi kelemahan keamanan yang membahayakan data pribadi sebelum dieksploitasi.
Pemantauan 24/7 yang mendukung pengamanan keamanan yang diharapkan undang-undang.
Penanggulangan cepat dan forensik yang dibutuhkan untuk memenuhi tenggat notifikasi pelanggaran.
Kami bertindak sebagai Pejabat Pelindungan Data alih daya bila undang-undang mewajibkannya, tanpa biaya rekrutmen internal.
Pertanyaan yang sering diajukan
UU PDP adalah Undang-Undang Perlindungan Data Pribadi. Ditetapkan sebagai Undang-Undang Nomor 27 Tahun 2022 dan merupakan undang-undang perlindungan data komprehensif pertama di Indonesia.