UU PDP berlaku untuk siapa saja?
Berdasarkan Pasal 2 ayat (1) UU Nomor 27 Tahun 2022, pelindungan data pribadi mencakup setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum sebagaimana diatur dalam undang-undang tersebut.
Lantas, apa saja kewajiban yang perlu dipenuhi oleh individu, UMKM, perusahaan, hingga instansi pemerintah? Jawabannya bergantung pada siapa yang mengelola data dan bagaimana data tersebut diproses.
UU PDP Berlaku untuk Siapa Saja?
Pasal 2 ayat (1) menyebut tiga kelompok subjek hukum. Pasal 19 menegaskan bahwa pengendali dan prosesor data pribadi juga berasal dari ketiga kelompok yang sama.
Siapa Saja yang Tercakup dalam UU PDP?
UU Perlindungan Data Pribadi tidak hanya mengatur perusahaan teknologi atau organisasi yang mengelola data dalam jumlah besar. Cakupannya meliputi berbagai pihak yang memproses data pribadi, mulai dari individu dan perusahaan hingga lembaga pemerintah serta organisasi internasional.
UU PDP berlaku untuk siapa saja? Berikut tiga kelompok yang perlu memahami ketentuan pelindungan data pribadi.
1. Setiap Individu
Menurut Pasal 1 angka 7 UU PDP, setiap orang mencakup orang perseorangan dan korporasi. Korporasi sendiri merupakan kumpulan orang dan/atau kekayaan yang terorganisasi, baik berbadan hukum maupun tidak (Pasal 1 angka 8).
Artinya, kewajiban memperhatikan pelindungan data pribadi tidak hanya berlaku bagi perusahaan besar. Usaha kecil, toko online, yayasan, koperasi, hingga bisnis yang belum berbadan hukum juga dapat tercakup dalam UU PDP.
Misalnya jika Anda memiliki toko online yang mengumpulkan nama, nomor telepon, dan alamat pelanggan, maka perlu memperhatikan penggunaan dan penyimpanan data tersebut.
2. Badan Publik
Badan publik mencakup lembaga eksekutif, legislatif, dan yudikatif, serta badan lain yang tugas pokoknya berkaitan dengan penyelenggaraan negara dan dibiayai oleh APBN atau APBD.
Bagi badan publik, pelindungan data pribadi berkaitan erat dengan kepercayaan masyarakat. Misalnya Instansi yang mengelola data penduduk, perlu memastikan bahwa informasi yang dikumpulkan untuk pelayanan publik tidak diakses atau digunakan oleh pihak yang tidak berwenang.
Data yang dikelola untuk kepentingan pelayanan tetap membutuhkan pelindungan, baik ketika tersimpan dalam sistem digital maupun dalam dokumen administrasi.
3. Organisasi Internasional
UU PDP juga mencakup organisasi internasional yang diakui sebagai subjek hukum internasional dan memiliki kapasitas untuk membuat perjanjian internasional, sebagaimana dijelaskan dalam Pasal 1 angka 10.
Ketentuan ini menunjukkan bahwa cakupan pelindungan data pribadi tidak hanya berada pada perusahaan atau lembaga yang beroperasi di dalam negeri. Organisasi internasional yang memenuhi kriteria tersebut juga termasuk dalam cakupan UU PDP.
Hal ini menjadi relevan ketika organisasi internasional terlibat dalam kegiatan yang berkaitan dengan pemrosesan data pribadi di Indonesia. Pengelolaan data perlu memperhatikan ketentuan pelindungan yang berlaku.
Cakupan UU PDP juga tidak terbatas pada data yang tersimpan dalam sistem elektronik. Data pribadi yang dicatat dalam formulir kertas, dokumen administrasi, atau arsip fisik tetap perlu dilindungi.
Dengan demikian, pelindungan data pribadi bukan hanya persoalan teknologi atau keamanan sistem digital. Setiap pihak yang memproses data pribadi perlu memahami bagaimana data tersebut dikumpulkan, digunakan, disimpan, dan dilindungi sesuai dengan ketentuan UU PDP.
Baca Juga : Data Pribadi Menurut UU PDP: Apa Saja yang Wajib Dijaga?
Peran Para Pihak dalam Pemrosesan Data Pribadi
Mengetahui siapa saja yang tercakup dalam UU PDP belum cukup. Organisasi juga perlu memahami perannya dalam pemrosesan data pribadi karena setiap peran memiliki tanggung jawab yang berbeda.
UU PDP membedakan tiga peran utama, yaitu subjek data pribadi, pengendali data pribadi, dan prosesor data pribadi.
1. Subjek Data Pribadi
Subjek data pribadi adalah orang perseorangan yang pada dirinya melekat data pribadi, sebagaimana diatur dalam Pasal 1 angka 6 UU PDP.
Dalam kegiatan bisnis, subjek data pribadi dapat berupa pelanggan, karyawan, pasien, atau siapa pun yang data pribadinya dikumpulkan dan diproses oleh organisasi.
Misalnya, ketika pelanggan mendaftarkan akun di toko online, informasi seperti nama, nomor telepon, dan alamat menjadi data pribadi yang berkaitan dengan pelanggan tersebut. Pelanggan merupakan subjek data pribadi yang berhak mendapatkan pelindungan atas informasi miliknya.
2. Pengendali Data Pribadi
Pengendali data pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data pribadi, sebagaimana dijelaskan dalam Pasal 1 angka 4 UU PDP.
Dalam praktiknya, pengendali merupakan pihak yang memutuskan mengapa data pribadi perlu dikumpulkan dan bagaimana data tersebut akan digunakan.
Sebagai contoh, perusahaan yang mengumpulkan data karyawan untuk keperluan administrasi kepegawaian bertindak sebagai pengendali. Perusahaan menentukan informasi yang dibutuhkan, tujuan penggunaannya, serta cara pengelolaannya.
Peran ini membuat pengendali memiliki tanggung jawab penting dalam memastikan pemrosesan data pribadi dilakukan sesuai dengan ketentuan yang berlaku.
3. Prosesor Data Pribadi
Prosesor data pribadi adalah pihak yang memproses data pribadi atas nama pengendali, sebagaimana diatur dalam Pasal 1 angka 5 UU PDP.
Prosesor umumnya menjalankan kegiatan pemrosesan berdasarkan instruksi pengendali, bukan menentukan sendiri tujuan penggunaan data tersebut.
Contohnya, perusahaan menggunakan penyedia layanan payroll untuk mengelola penggajian karyawan. Dalam situasi ini, penyedia payroll dapat bertindak sebagai prosesor karena mengolah data karyawan atas nama perusahaan.
Contoh lainnya adalah penyedia cloud atau vendor aplikasi yang memproses data pribadi berdasarkan instruksi organisasi pengguna.
Peran pengendali dan prosesor bisa berbeda bergantung pada aktivitas pemrosesan data pribadi yang dilakukan. Perbedaan ini juga menentukan tanggung jawab masing-masing pihak.
Berdasarkan Pasal 51 dan Pasal 52 UU PDP, prosesor wajib memproses data sesuai instruksi pengendali, menjaga keamanan data, serta bertanggung jawab atas pemrosesan yang dilakukan di luar instruksi tersebut.
Siapa yang Tidak Tercakup dalam UU PDP?
UU PDP memberikan pengecualian untuk pemrosesan data pribadi yang dilakukan oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Ketentuan ini diatur dalam Pasal 2 ayat (2).
Perbedaan antara kegiatan pribadi dan kegiatan usaha perlu dipahami agar pengecualian ini tidak disalahartikan.
Pemrosesan data yang dikecualikan dari UU PDP:
- Menyimpan nomor telepon teman di ponsel untuk keperluan pribadi.
- Mencatat daftar tamu untuk acara keluarga.
- Mengelola kontak atau informasi pribadi untuk keperluan rumah tangga.
Pemrosesan data yang tetap perlu memperhatikan UU PDP:
- Penjual online yang mengelola nama, alamat, dan nomor telepon pelanggan.
- Pekerja lepas yang mengumpulkan data klien untuk menjalankan jasanya.
- Individu yang menggunakan data pribadi untuk kegiatan usaha atau tujuan di luar lingkup pribadi dan rumah tangga.
Pengecualian ini tidak berlaku hanya karena pemrosesan dilakukan oleh individu. Ketika data pribadi digunakan untuk kegiatan usaha, pemrosesan tersebut pada umumnya tidak lagi termasuk dalam lingkup pribadi atau rumah tangga.
Selain itu, Pasal 65 UU PDP melarang setiap orang memperoleh, mengungkapkan, atau menggunakan data pribadi milik orang lain secara melawan hukum. Artinya, pengecualian untuk kegiatan pribadi bukan izin untuk menyalahgunakan data orang lain.
Baca Juga : Risiko Kebocoran Data dan Dampaknya pada UU PDP
Contoh Penerapan UU PDP di Berbagai Jenis Organisasi
Setiap organisasi memiliki risiko dan tanggung jawab berbeda-beda dalam mengelola data pribadi. Berikut contoh penerapannya di berbagai sektor.
1. UMKM dan Toko Online
- Data yang dikelola: Nama, alamat, nomor ponsel, dan informasi pesanan pelanggan.
- Hal yang perlu diperhatikan: Gunakan data sesuai kebutuhan transaksi, batasi akses, dan hindari penggunaan untuk tujuan lain tanpa dasar yang sesuai. Pengecualian kegiatan pribadi atau rumah tangga umumnya tidak berlaku untuk pemrosesan data dalam kegiatan usaha.
2. E-commerce dan Fintech
- Aktivitas pemrosesan: Analisis perilaku pengguna, pemantauan sistematis, dan penilaian kredit otomatis.
- Hal yang perlu diperhatikan: Pemrosesan berisiko tinggi dapat memerlukan penilaian dampak pelindungan data. Pengguna juga berhak mengajukan keberatan atas keputusan otomatis yang menimbulkan akibat hukum atau dampak signifikan bagi dirinya.
3. Rumah Sakit dan Klinik
- Data yang dikelola: Riwayat penyakit, hasil pemeriksaan, dan rekam medis pasien.
- Hal yang perlu diperhatikan: Batasi akses ke data kesehatan dan pastikan penyimpanannya aman. Pemrosesan data pribadi spesifik dalam skala besar dapat mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi.
Baca Juga : Cara Rumah Sakit Membentuk TTIS Sesuai SEB Kemenkes dan BSSN
4. Instansi Pemerintah
- Data yang dikelola: Identitas penduduk dan informasi untuk keperluan administrasi atau pelayanan publik.
- Hal yang perlu diperhatikan: Pastikan data hanya diakses oleh pihak berwenang dan digunakan sesuai tujuan. Pemrosesan untuk pelayanan publik dapat memicu kewajiban menunjuk pejabat atau petugas pelindungan data pribadi.
5. Vendor IT dan Penyedia Cloud
- Peran: Umumnya bertindak sebagai prosesor yang mengolah data atas instruksi organisasi pengguna layanan.
- Hal yang perlu diperhatikan: Atur instruksi pemrosesan, keamanan, penanganan insiden, dan penghapusan data dalam perjanjian dengan pengendali. Prosesor tetap bertanggung jawab atas pemrosesan sesuai ketentuan yang berlaku.
Apa Saja Langkah Awal Memenuhi Kewajiban UU PDP?
Berikut lima langkah yang dapat dilakukan organisasi untuk mengevaluasi kesiapan dan menentukan prioritas pelindungan data.
Apa Saja Langkah Awal Memenuhi Kewajiban UU PDP?
Kepatuhan terhadap UU PDP tidak cukup hanya dengan memiliki kebijakan privasi. Organisasi juga perlu memastikan bahwa data pribadi dikelola dengan benar, tanggung jawab setiap pihak jelas, dan sistem keamanan mampu melindungi data dari risiko penyalahgunaan.
Berikut lima langkah yang dapat menjadi titik awal bagi organisasi untuk mempersiapkan kepatuhan.
- Petakan data pribadi yang dikelola. Identifikasi jenis data, sumber, lokasi penyimpanan, serta pihak yang menerima atau mengaksesnya. Pemetaan ini perlu mencakup data digital maupun arsip kertas.
- Tentukan peran organisasi. Pastikan apakah organisasi bertindak sebagai pengendali atau prosesor pada setiap aktivitas pemrosesan data pribadi. Peran tersebut menentukan tanggung jawab yang perlu dipenuhi.
- Tinjau dasar pemrosesan dan dokumen terkait. Periksa apakah penggunaan data memiliki dasar yang sesuai. Evaluasi juga kebijakan privasi, formulir persetujuan, dan perjanjian dengan vendor.
- Periksa kebutuhan penunjukan petugas pelindungan data pribadi. Evaluasi apakah organisasi memenuhi kriteria penunjukan pejabat atau petugas pelindungan data pribadi sebagaimana diatur dalam Pasal 53 UU PDP.
- Uji keamanan sistem dan siapkan prosedur insiden. Pastikan organisasi memiliki mekanisme untuk mendeteksi dan menangani insiden, termasuk memenuhi kewajiban pemberitahuan kegagalan pelindungan data pribadi dalam waktu 3 x 24 jam sesuai ketentuan.
Kelima langkah tersebut dapat dilakukan secara bertahap. Pemetaan data menjadi langkah awal yang penting karena membantu organisasi memahami risiko dan menentukan prioritas pelindungan.
Menjelang berlakunya PP 33/2026 pada 16 Januari 2027, organisasi perlu mulai mengevaluasi kesiapan kepatuhannya. DSG siap mendampingi proses tersebut melalui konsultasi pelindungan data pribadi dan penguatan keamanan informasi, mulai dari penerapan ISO 27001 hingga Vulnerability Assessment and Penetration Testing (VAPT).
Ingin mengetahui sejauh mana kesiapan organisasi Anda? Diskusikan kebutuhan pelindungan data dan keamanan informasi bersama konsultan DSG.
FAQ Seputar UU PDP
Apakah UU PDP berlaku bagi pihak di luar Indonesia?
Ya. Perusahaan asing tetap perlu mematuhi UU PDP jika mengelola data pribadi yang berkaitan dengan Indonesia. Lokasi server di luar negeri tidak otomatis membebaskan perusahaan dari kewajiban pelindungan data.
