Bagi banyak developer, data pribadi pengguna sering hanya dianggap sebagai kolom di tabel: nama, nik, no_hp, alamat. Kita menyimpannya, mencadangkannya, menyalinnya ke server staging, kadang mengekspornya ke spreadsheet untuk tim lain. Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku penuh pada Oktober 2024, cara pandang seperti itu tidak lagi cukup. Setiap baris data pribadi kini membawa kewajiban hukum, dan sebagian besar kewajiban itu baru bisa dipenuhi kalau dirancang sejak kode pertama ditulis.
Tulisan ini mencoba menerjemahkan UU PDP ke bahasa yang akrab bagi orang yang sehari-hari menulis kode.
Lini waktu singkat
- 17 Oktober 2022 --- UU PDP disahkan, dengan masa penyesuaian dua tahun.
- Oktober 2024 --- masa penyesuaian berakhir; UU PDP berlaku penuh.
- Juli 2026 --- pemerintah menerbitkan Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai aturan pelaksana teknis.
- Januari 2027 --- PP 33/2026 mulai berlaku, enam bulan setelah diundangkan.
Satu hal yang masih ditunggu: Lembaga Pelindungan Data Pribadi, yaitu otoritas pengawas yang dibentuk Presiden. Menurut pemberitaan hingga pertengahan September 2026, Peraturan Presiden pembentukannya belum terbit. Namun absennya pengawas bukan alasan menunda. Kewajiban dalam UU sudah berjalan, dan sistem yang kita bangun hari ini akan tetap dipakai saat lembaga itu mulai bekerja.
Siapa "pengendali" dan siapa "prosesor"?
UU PDP membedakan dua peran. Pengendali Data Pribadi menentukan tujuan dan cara pemrosesan, misalnya perusahaan pemilik aplikasi. Prosesor Data Pribadi memproses data atas nama pengendali, misalnya vendor software house, penyedia cloud, atau layanan pengiriman SMS.
Bagi developer, pembedaan ini penting. Kalau Anda bekerja di software house yang membangun aplikasi untuk klien, kemungkinan besar posisi Anda adalah prosesor. PP 33/2026 menegaskan bahwa penunjukan prosesor wajib didasarkan pada perjanjian, dan prosesor yang ingin melibatkan prosesor lain (misalnya memakai layanan pihak ketiga) wajib mendapat persetujuan tertulis dari pengendali. Jadi memasang SDK analitik atau layanan pihak ketiga baru ke aplikasi klien bukan lagi keputusan teknis semata.
Data spesifik: perlakukan dengan ekstra hati-hati
UU PDP membagi data pribadi menjadi data umum (nama, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang dikombinasikan untuk mengidentifikasi seseorang) dan data spesifik: data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.
Kalau aplikasi Anda menyimpan foto wajah untuk verifikasi, sidik jari untuk absensi, rekam medis, atau saldo rekening, Anda sedang memegang data spesifik. Risikonya lebih tinggi, dan kewajiban seperti penilaian dampak menjadi sangat relevan.
Enam kewajiban yang paling dekat dengan kode
1. Dasar pemrosesan harus jelas. Pemrosesan data pribadi harus punya dasar yang sah, misalnya persetujuan eksplisit, pelaksanaan perjanjian, atau kewajiban hukum. Untuk persetujuan, artinya kotak centang yang sudah tercentang otomatis (pre-checked) dan persetujuan yang dibundel dalam satu tombol "Saya setuju semuanya" patut ditinjau ulang. Simpan juga jejak persetujuan: kapan, versi kebijakan yang mana, dan untuk tujuan apa.
2. Hak subjek data harus bisa dijalankan. Pengguna berhak mengakses, memperbaiki, meminta salinan, mengakhiri pemrosesan, menghapus, dan menarik persetujuan atas datanya. Di level sistem, ini berarti fitur ekspor data, fitur hapus akun yang benar-benar menghapus (bukan hanya is_active = 0 tanpa batas waktu), serta alur penarikan persetujuan yang semudah memberikannya.
3. Penilaian dampak sebelum pemrosesan berisiko tinggi. UU PDP mewajibkan penilaian dampak pelindungan data pribadi (sering disebut DPIA) untuk pemrosesan berisiko tinggi, seperti data spesifik, pemrosesan skala besar, profiling, atau pemantauan sistematis. PP 33/2026 menambahkan bahwa penilaian ini dilakukan sebelum pemrosesan, didokumentasikan, dan ditinjau ulang bila risikonya berubah. Developer biasanya yang paling tahu alur data sebenarnya, jadi keterlibatan tim teknis dalam dokumen ini krusial.
4. Keamanan pemrosesan. Pengendali wajib melindungi dan memastikan keamanan data pribadi dengan langkah teknis operasional. Dalam praktik, ini mencakup hal-hal yang sebetulnya sudah menjadi praktik baik: enkripsi saat transit (HTTPS/TLS) dan saat disimpan untuk kolom sensitif, hashing kata sandi dengan algoritma yang tepat, kontrol akses berbasis peran, prinsip least privilege untuk akun database, log akses, serta tidak menaruh kredensial di repositori.
5. Notifikasi kegagalan dalam 3 x 24 jam. Jika terjadi kegagalan pelindungan data pribadi (kebocoran), pengendali wajib memberi tahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam. PP 33/2026 memperjelas bahwa hitungan dimulai sejak kegagalan diketahui secara pasti, dan prosesor wajib melapor ke pengendali pada kesempatan pertama. Tiga hari itu singkat. Tanpa log yang memadai, kita bahkan tidak bisa menjawab pertanyaan dasar: data apa yang bocor, milik siapa, sejak kapan. Siapkan runbook insiden dan pastikan log menyimpan cukup informasi tanpa ikut membocorkan data pribadi.
6. Pejabat Pelindungan Data Pribadi. Organisasi yang memproses data untuk pelayanan publik, melakukan pemantauan sistematis berskala besar, atau memproses data spesifik dalam skala besar wajib menunjuk pejabat atau petugas pelindungan data pribadi (PPDP, padanan DPO). Developer akan sering berkoordinasi dengan peran ini.
Transfer data ke luar negeri
Memakai server atau layanan cloud di luar Indonesia termasuk transfer data pribadi lintas negara. PP 33/2026 mengatur urutannya: negara penerima harus punya tingkat pelindungan yang setara atau lebih tinggi; jika tidak, harus ada pelindungan yang memadai dan mengikat; jika itu pun tidak terpenuhi, diperlukan persetujuan subjek data. Pemilihan region server dan layanan pihak ketiga kini punya konsekuensi hukum, bukan hanya soal latensi dan harga.
Sanksinya tidak main-main
Sanksi administratif dalam UU PDP berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, hingga denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan. Selain itu, ada sanksi pidana bagi pihak yang secara melawan hukum memperoleh, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya, dengan ancaman hingga 6 tahun penjara dan/atau denda hingga Rp6 miliar untuk pelanggaran terberat.
Daftar periksa untuk tim developer
Berikut langkah praktis yang bisa dimulai minggu ini:
- Petakan data. Buat inventaris kolom yang berisi data pribadi, tandai mana yang data spesifik, dan catat ke mana saja data itu mengalir (log, backup, staging, layanan pihak ketiga).
- Kumpulkan seperlunya. Hapus kolom yang tidak benar-benar dibutuhkan. Data yang tidak disimpan tidak bisa bocor.
- Jangan pakai data produksi di staging. Gunakan data sintetis atau data yang sudah dianonimkan/disamarkan.
- Enkripsi dan batasi akses. Enkripsi kolom sensitif, batasi siapa yang bisa membaca tabel berisi data pribadi, dan catat akses tersebut.
- Bangun fitur hak subjek data. Ekspor data, perbaikan data, hapus akun, dan tarik persetujuan.
- Tetapkan masa retensi. Tentukan berapa lama data disimpan, lalu otomatiskan penghapusannya.
- Siapkan rencana insiden. Siapa dihubungi, data apa yang dikumpulkan, dan templat pemberitahuan, agar tenggat 3 x 24 jam realistis.
- Audit dependensi pihak ketiga. SDK analitik, iklan, dan layanan cloud: data apa yang mereka terima dan di mana diproses.
Penutup
UU PDP sering dibicarakan sebagai urusan tim hukum. Padahal sebagian besar kewajibannya, seperti keamanan, hak subjek data, retensi, dan kemampuan mendeteksi kebocoran, hanya bisa diwujudkan lewat keputusan teknis. Dengan PP 33/2026 yang mulai berlaku Januari 2027, waktu untuk menyesuaikan sistem tinggal beberapa bulan. Lebih murah merancangnya sekarang daripada menambalnya setelah insiden.
Sumber:
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
- Peraturan Pemerintah Nomor 33 Tahun 2026 (ringkasan Veritask; Hukumonline)
- CNBC Indonesia, 16 September 2026: "Lembaga Perlindungan Data Belum Ada, Begini Nasib Data Warga RI"
- Kompas.com, 27 Juli 2026: "Komdigi Ungkap Perpres Pembentukan Badan Perlindungan Data Pribadi Sedang Disusun"
- JDIH Kemenko Infrastruktur: UU No. 27/2022