UU PDP Indonesia vs GDPR: Apa yang Sebenarnya Sudah Berlaku (2026)
Undang-Undang Pelindungan Data Pribadi Indonesia (UU PDP, Undang-Undang No. 27 Tahun 2022) sering digambarkan sebagai "belum berlaku" atau "masih bertahun-tahun lagi." Penggambaran itu keliru, dan kekeliruan ini penting. Masa transisi dua tahun yang dibangun ke dalam Undang-Undang ini berakhir pada 17 Oktober 2024. Setiap kewajiban substantif dalam UU PDP, syarat dasar hukum pemrosesan, katalog hak subjek data, kewajiban notifikasi pelanggaran dalam 72 jam, aturan transfer data lintas batas, serta ketentuan sanksi administratif maupun pidana, adalah hukum yang mengikat hari ini, bukan tanggal di masa depan dalam sebuah peta jalan.
Yang belum ada bukan undang-undangnya sendiri, melainkan perangkat kelembagaan untuk menjalankannya. Indonesia belum membentuk lembaga pengawas independen (Badan Pelindungan Data Pribadi, atau Badan PDP) yang diwajibkan oleh Undang-Undang itu sendiri, dan belum menerbitkan peraturan pelaksana (Peraturan Pemerintah, atau PP) yang secara eksplisit dirujuk oleh beberapa ketentuan dalam Undang-Undang tersebut. Artikel ini membahas apa arti sebenarnya dari kesenjangan itu, pasal demi pasal, dibandingkan dengan General Data Protection Regulation (GDPR) milik Uni Eropa, dan ditutup dengan satu-satunya jalur penegakan hukum yang tidak terhambat oleh ketiadaan lembaga tersebut: ketentuan pidana Indonesia.
Cakupan yurisdiksi: Artikel ini membandingkan General Data Protection Regulation (GDPR) milik Uni Eropa dengan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) milik Indonesia, sebagaimana diundangkan dan berlaku saat ini, termasuk peraturan pelaksana dan lembaga pengawasnya yang masih tertunda. Artikel ini tidak mencakup aturan keamanan siber, informasi elektronik (ITE), atau aturan data keuangan sektoral Indonesia yang terpisah, kecuali beririsan langsung dengan UU PDP. Untuk gambaran lengkap privasi di Indonesia, lihat panduan hukum privasi data Indonesia kami.
Apa yang Sudah Berlaku, dan Apa yang Belum
Ini adalah bagian yang perlu dibaca lebih dulu, karena sisa perbandingan dalam artikel ini baru masuk akal setelah perbedaan ini dipahami dengan jelas. UU PDP bukan undang-undang yang menunggu untuk berlaku. Ini adalah undang-undang yang sepenuhnya dapat ditegakkan, dengan perangkat penegakan yang belum terbangun di atasnya.
Apa yang sudah berlaku penuh hari ini:
- Syarat dasar hukum pemrosesan (Pasal 20)
- Katalog hak subjek data (Pasal 5-15)
- Klasifikasi data sensitif/umum (Pasal 4)
- Kewajiban notifikasi pelanggaran dalam 72 jam (Pasal 46)
- Kaskade transfer data lintas batas (Pasal 56), setidaknya tahap pengaman kontraktual dan persetujuannya
- Eksposur sanksi administratif (Pasal 57)
- Ketentuan pidana (Pasal 67-70) dan tanggung jawab korporasi (Pasal 70)
Apa yang belum terbentuk:
- Badan PDP, lembaga pengawas independen. Pasal 58 mewajibkan bahwa lembaga yang mengelola pelaksanaan Undang-Undang ini dibentuk oleh Presiden dan bertanggung jawab kepada Presiden, dengan rincian lebih lanjut diatur dalam Peraturan Presiden (Perpres). Perpres tersebut belum diterbitkan. Presiden memberikan izin prakarsa untuk memulai penyusunannya pada 4 Maret 2025; rancangan tersebut melalui proses review antar-kementerian dari Maret hingga September 2025 dan telah berada dalam tahap harmonisasi di Kementerian Hukum sejak Oktober 2025. Komdigi kembali menegaskan target penyelesaian pada 2026 per 4 Februari 2026.
- Peraturan Pemerintah (PP) pelaksana. UU PDP merujuk detail operasional penting ke peraturan ini pada beberapa titik spesifik: klausul terakhir Pasal 56 menyerahkan prosedur transfer data lintas batas kepadanya, dan Pasal 57(5) menyerahkan prosedur sanksi administratif kepadanya. Belum satu pun dari keduanya diterbitkan. Sebuah rancangan (RPP) dilaporkan telah menyelesaikan proses harmonisasinya sendiri, melalui sekitar 1.989 masukan publik, dan dilaporkan berada di Sekretariat Negara menunggu tanda tangan presiden pada saat pemberitaan Oktober 2025. Hingga peninjauan ini dilakukan (Juli 2026), tidak ada konfirmasi dari sumber primer bahwa rancangan tersebut telah ditandatangani sejak itu.
- Daftar kecukupan (adequacy list). Karena belum ada PP dan belum ada Badan PDP, belum ada penetapan yang dipublikasikan mengenai negara mana saja yang memenuhi standar "perlindungan setara atau lebih tinggi" menurut Pasal 56(2).
- Sanksi administratif Pasal 57 yang terkonfirmasi. Lembaga yang diberi kewenangan menjatuhkan sanksi menurut Pasal 57(4) adalah lembaga yang sama, yang belum terbentuk, dari Pasal 58; belum ada sanksi yang terkonfirmasi telah dijatuhkan.
Untuk sementara, Komdigi, kementerian yang mengambil alih pengawasan PDP saat direstrukturisasi dari Kominfo pada November 2024, menangani pengawasan dan penerimaan pengaduan secara sementara, tetapi bukan merupakan lembaga independen yang diamanatkan oleh Undang-Undang itu sendiri.
Cara yang tepat untuk menggambarkan ini: Indonesia memiliki undang-undang berbentuk GDPR yang teksnya sepenuhnya dapat ditegakkan, tetapi berdiri di atas infrastruktur penegakan yang belum ada. Ini bukan undang-undang yang belum berlaku.
Latar Belakang dan Konteks Legislatif
UU PDP, secara resmi Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, disahkan dan diundangkan pada 17 Oktober 2022, setelah bertahun-tahun proses penyusunan legislatif. Undang-Undang ini membangun masa transisi dua tahun bagi pengendali dan pemroses data untuk mencapai kepatuhan, yang berakhir pada 17 Oktober 2024.
GDPR, yang diadopsi pada 2016, juga memiliki masa transisi dua tahun sebelum berlaku langsung di seluruh Kawasan Ekonomi Eropa (EEA) pada satu tanggal yang sama, 25 Mei 2018. Kemiripan struktural ini berhenti di situ: masa transisi GDPR berakhir dengan jaringan regulator yang sudah berfungsi di setiap negara anggota. Masa transisi UU PDP berakhir dengan Undang-Undang yang mengikat, tetapi regulator yang ditunjuknya belum terbangun, sebuah posisi awal penegakan hukum yang sungguh berbeda dibandingkan GDPR pada saat mulai berlakunya.
Pengawasan untuk sementara berada di tangan Komdigi, Kementerian Komunikasi dan Digital, kementerian yang menggantikan Kementerian Komunikasi dan Informatika (Kominfo) melalui restrukturisasi November 2024 (Perpres 174/2024), yang juga membentuk Ditjen Pengawasan Ruang Digital dengan tugas-tugas terkait PDP.
Ruang Lingkup
UU PDP berlaku untuk pemrosesan data pribadi oleh setiap orang, badan publik, organisasi internasional, atau korporasi, baik yang berada di dalam maupun di luar Indonesia, di mana pemrosesan tersebut memiliki akibat hukum di dalam wilayah Indonesia atau terhadap warga negara Indonesia di luar negeri, sebuah jangkauan ekstrateritorial yang secara garis besar serupa semangatnya dengan pemicu ekstrateritorial Pasal 3 GDPR bagi organisasi yang menyasar individu di EEA. Untuk rincian lengkap cakupan UU PDP, lihat panduan hukum privasi data Indonesia kami.
Sekilas Pandang
| Fitur | GDPR | UU PDP Indonesia |
|---|---|---|
| Hukum substantif berlaku | Ya, sejak 25 Mei 2018 | Ya, sejak 17 Oktober 2024 (masa transisi berakhir) |
| Lembaga pengawas | DPA nasional + EDPB, beroperasi sejak 2018 | Badan PDP belum terbentuk; Komdigi menangani pengawasan sementara |
| Peraturan pelaksana | Berlaku langsung, tidak memerlukan undang-undang pelaksana nasional | Peraturan Pemerintah (PP) diwajibkan oleh Pasal 56 dan Pasal 57(5); belum diterbitkan |
| Daftar kecukupan / lintas batas | Keputusan kecukupan yang dipublikasikan berdasarkan Pasal 45 | Belum ada yang dipublikasikan; mekanismenya dirujuk ke PP yang belum diterbitkan |
| Dasar hukum pemrosesan | Enam berdasarkan Pasal 6, termasuk kepentingan yang sah (legitimate interests) | Enam berdasarkan Pasal 20(2), termasuk dasar bergaya kepentingan yang sah (Pasal 20(2)(f)) |
| Hak subjek data | Akses, perbaikan, penghapusan, pembatasan, portabilitas, keberatan atas keputusan otomatis, dan lainnya (Pasal 15-22) | Daftar yang secara substansial serupa berdasarkan Pasal 5-15, termasuk portabilitas (Pasal 13) dan keberatan atas keputusan otomatis (Pasal 10) |
| Data sensitif mencakup data keuangan | Tidak (Pasal 9 mengecualikannya) | Ya (Pasal 4(2)) |
| Data sensitif mencakup agama | Ya (Pasal 9) | Tidak, agama masuk kategori umum (Pasal 4(3)) |
| Batas waktu notifikasi pelanggaran | 72 jam ke regulator; "tanpa penundaan yang tidak semestinya" ke individu | 72 jam (3x24 jam) ke regulator dan individu sekaligus, dalam jangka waktu yang sama |
| Denda administratif maksimum | EUR 20 juta atau 4% dari omzet tahunan global, dua tingkat | 2% dari pendapatan/penerimaan tahunan, satu tingkat tetap (Pasal 57(3)) |
| Sanksi pidana | Tidak ada di tingkat Uni Eropa (Pasal 84 menyerahkannya kepada negara anggota) | Ada, langsung diatur dalam undang-undang: hingga 5-6 tahun penjara dan denda Rp4-6 miliar (Pasal 67-68) |
| Batas denda pidana korporasi | Tidak berlaku | Hingga 10 kali lipat maksimum individu: Rp50-60 miliar (Pasal 70(3)) |
| Penegakan hukum yang terkonfirmasi hingga saat ini | Miliaran euro dalam bentuk denda sejak 2018 | Belum ada yang terkonfirmasi baik pada jalur administratif maupun pidana |
Definisi dan Data Sensitif: Di Mana Indonesia Berbeda dari GDPR
UU PDP membagi data pribadi menjadi dua kategori berdasarkan Pasal 4: data pribadi yang bersifat spesifik (data pribadi spesifik/sensitif) dan data pribadi yang bersifat umum (data pribadi umum).
Kategori spesifik/sensitif (Pasal 4(2)) mencakup data dan informasi kesehatan, data biometrik, data genetika, catatan kriminal, data anak, data keuangan pribadi, dan data lain yang ditetapkan oleh peraturan lebih lanjut. Kategori umum (Pasal 4(3)) mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data pribadi apa pun yang digabungkan untuk mengidentifikasi seseorang.
Sepintas, ini adalah desain berbentuk GDPR, sebuah daftar kategori terbatas yang memicu perlindungan lebih tinggi, mirip secara struktur dengan daftar kategori khusus Pasal 9 GDPR. Namun secara substansi, kedua daftar ini berbeda dengan cara yang patut disoroti secara langsung:
| Kategori | Pasal 9 GDPR | Pasal 4 UU PDP |
|---|---|---|
| Data keuangan | Bukan kategori khusus (diatur di tempat lain, misalnya PSD2, PCI DSS) | Sensitif (Pasal 4(2)) |
| Catatan kriminal | Diatur terpisah berdasarkan Pasal 10, bukan Pasal 9 | Sensitif, berada dalam daftar data spesifik yang sama (Pasal 4(2)) |
| Data anak | Tidak ada kategori khusus tersendiri; dilindungi melalui aturan usia persetujuan (Pasal 8) | Kategori sensitif tersendiri yang tercantum (Pasal 4(2)) |
| Agama | Kategori khusus | Kategori umum (Pasal 4(3)), kebalikan dari GDPR |
| Ras/etnisitas, opini politik, keanggotaan serikat pekerja, kehidupan seks/orientasi seksual | Kategori khusus | Sama sekali tidak ada padanan dalam Pasal 4(2) |
Pembacaan praktisnya: daftar data sensitif Indonesia melindungi apa yang dinilai paling sensitif secara lokal oleh pembuat kebijakannya sendiri, yaitu keuangan, riwayat kriminal, dan anak, alih-alih mereplikasi daftar Uni Eropa yang dibangun di sekitar kategori risiko diskriminasi seperti ras, agama, opini politik, dan orientasi seksual. Program kepatuhan yang hanya dibangun berdasarkan daftar Pasal 9 GDPR akan sekaligus terlalu melindungi kategori yang oleh UU PDP dianggap biasa (agama) dan kurang melindungi kategori yang oleh UU PDP dianggap sensitif tetapi tidak oleh GDPR (data keuangan).
Dasar Hukum Pemrosesan: Pasal 20 vs Pasal 6 GDPR
Pasal 20(1) mewajibkan setiap pengendali data memiliki dasar hukum untuk memproses data pribadi. Pasal 20(2) kemudian mencantumkan enam dasar hukum yang hampir sepenuhnya sejajar dengan Pasal 6(1) GDPR:
| Pasal 20(2) | Pasal 6(1) GDPR |
|---|---|
| (a) Persetujuan eksplisit untuk satu atau lebih tujuan tertentu yang diungkapkan kepada subjek | (a) Persetujuan |
| (b) Pelaksanaan kontrak, atau langkah pra-kontrak atas permintaan subjek | (b) Kontrak |
| (c) Kewajiban hukum | (c) Kewajiban hukum |
| (d) Perlindungan kepentingan vital subjek | (d) Kepentingan vital |
| (e) Kepentingan umum, pelayanan publik, atau wewenang resmi pengendali | (e) Tugas publik |
| (f) Kepentingan sah lainnya, ditimbang berdasarkan tujuan, kebutuhan, dan keseimbangan kepentingan antara pengendali dan subjek | (f) Kepentingan yang sah |
Pasal 20(2)(f) layak mendapat perhatian khusus karena ini adalah kesesuaian yang sungguh-sungguh, bukan sekadar kebetulan terjemahan. Teksnya secara eksplisit memuat standar uji keseimbangan, menimbang tujuan dan kebutuhan pengendali terhadap kepentingan subjek, uji substantif yang sama yang diterapkan Pasal 6(1)(f) dalam praktiknya, meskipun teks GDPR sendiri menyatakannya secara lebih ringkas. Indonesia memang memiliki dasar kepentingan yang sah, bertentangan dengan cara undang-undang ini terkadang digambarkan.
Hak Subjek Data: Pasal 5-15
Katalog hak dalam UU PDP berjalan dari Pasal 5 hingga Pasal 15, dan mengikuti GDPR secara dekat, termasuk dua hak yang terkadang keliru diasumsikan tidak ada dalam undang-undang privasi non-Uni Eropa.
| Pasal | Hak | Padanan GDPR |
|---|---|---|
| 5 | Informasi tentang identitas, dasar hukum, dan tujuan pemrosesan | Pasal 13-14 (transparansi) |
| 6 | Melengkapi, memperbarui, atau memperbaiki data yang tidak akurat | Pasal 16 (perbaikan) |
| 7 | Mengakses dan memperoleh salinan data miliknya sendiri | Pasal 15 (akses) |
| 8 | Menghentikan pemrosesan dan menghapus/memusnahkan data miliknya sendiri | Pasal 17 (penghapusan) |
| 9 | Menarik kembali persetujuan yang pernah diberikan | Pasal 7(3) |
| 10 | Keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis (termasuk profiling) yang berakibat hukum atau signifikan | Pasal 22 (pengambilan keputusan otomatis) |
| 11 | Menunda atau membatasi pemrosesan secara proporsional dengan tujuannya | Pasal 18 (pembatasan) |
| 12 | Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan | Pasal 79/82 (upaya hukum dan ganti rugi) |
| 13 | Memperoleh data dalam format terstruktur, lazim digunakan, dan dapat dibaca mesin, serta mengirimkannya ke pengendali lain jika sistemnya dapat saling beroperasi secara aman | Pasal 20 (portabilitas) |
| 14 | Menjalankan hak-hak pada Pasal 6-11 melalui permohonan tercatat, secara elektronik maupun lainnya | Prosedural, tidak ada padanan tunggal di GDPR |
| 15 | Pengecualian berdasarkan undang-undang terhadap hak-hak tertentu | Pasal 23 (pembatasan) |
Baik portabilitas data (Pasal 13) maupun hak keberatan atas keputusan otomatis (Pasal 10) hadir dan ruang lingkupnya secara substansi mendekati padanannya di GDPR. Pasal 13 hampir terbaca seperti terjemahan langsung dari Pasal 20, dan Pasal 10 secara eksplisit dibatasi pada profiling serta keputusan otomatis yang berakibat hukum atau signifikan, mencerminkan Pasal 22, bukan berfungsi sebagai hak keberatan yang bersifat umum. Tidak ada hak keberatan umum atas pemrosesan yang diatur secara terpisah dan setara dengan Pasal 21 GDPR; Pasal 10 hanya mencakup varian keputusan otomatis.
Pasal 15 mengatur pengecualian, tetapi secara sempit dan presisi. Pengecualian ini hanya berlaku untuk Pasal 8 (penghapusan), Pasal 9 (penarikan persetujuan), Pasal 10(1) (keberatan atas keputusan otomatis), Pasal 11 (pembatasan), dan Pasal 13(1)-(2) (portabilitas), untuk keperluan pertahanan dan keamanan negara, penegakan hukum, penyelenggaraan administrasi negara, pengawasan sektor keuangan/moneter/sistem pembayaran, serta statistik/penelitian ilmiah. Pengecualian ini tidak menjangkau Pasal 5 (transparansi), Pasal 6 (perbaikan), Pasal 7 (akses), atau Pasal 12 (ganti rugi), yang tidak memiliki pengecualian berdasarkan undang-undang.
Notifikasi Pelanggaran Data: Pasal 46
Pasal 46(1) mewajibkan pengendali data untuk memberitahukan kegagalan pelindungan data pribadi secara tertulis paling lambat 3x24 jam (72 jam) kepada subjek data dan "lembaga" (saat ini Komdigi, secara sementara). Pasal 46(2) mewajibkan pemberitahuan tersebut mencantumkan data apa yang terekspos, kapan dan bagaimana terjadinya, serta langkah pemulihan apa yang telah diambil oleh pengendali data. Pasal 46(3) mewajibkan pemberitahuan publik dalam keadaan tertentu.
Ini adalah desain yang secara struktural berbeda dari GDPR, yang menjalankan dua jangka waktu terpisah: tenggat waktu tegas 72 jam kepada lembaga pengawas berdasarkan Pasal 33, dan standar "tanpa penundaan yang tidak semestinya", bukan angka pasti, untuk memberitahukan individu yang terdampak berdasarkan Pasal 34 (dipicu hanya jika pelanggaran menimbulkan risiko tinggi bagi individu tersebut). UU PDP justru menjalankan satu jangka waktu tunggal 72 jam kepada kedua penerima sekaligus, tanpa standar terpisah yang lebih longgar untuk sisi individu. Indonesia dan Filipina termasuk tidak lazim dalam hal ini di antara yurisdiksi APAC, yang sebagian besar mengikuti pola GDPR berupa satu jangka waktu tegas untuk regulator dipadukan dengan jangka waktu notifikasi individu yang terpisah atau tidak ada sama sekali. Untuk perbandingan lini waktu Indonesia dengan negara lain di dunia, lihat panduan batas waktu notifikasi pelanggaran data menurut negara kami.
Pasal 46 tidak menetapkan ambang batas numerik tingkat keparahan atau jumlah subjek data yang terdampak; pemicunya sesederhana "kegagalan Pelindungan Data Pribadi", berapa pun skalanya.
Transfer Data Lintas Batas: Pasal 56 dan Peraturan yang Belum Ada
Pasal 56 mengatur kaskade empat tahap untuk mentransfer data pribadi ke luar Indonesia, yang sejajar erat dengan struktur Bab V GDPR:
- Pasal 56(2): pengendali data harus memastikan negara penerima memiliki tingkat perlindungan data pribadi yang "setara dengan atau lebih tinggi dari" UU PDP itu sendiri, serupa dengan keputusan kecukupan Pasal 45 GDPR.
- Pasal 56(3): jika tahap (2) tidak terpenuhi, pengendali data harus memastikan adanya perlindungan yang memadai dan mengikat, serupa dengan pengaman yang layak menurut Pasal 46 GDPR, seperti Standard Contractual Clauses atau Binding Corporate Rules.
- Pasal 56(4): jika tahap (2) maupun (3) tidak terpenuhi, pengendali data harus memperoleh persetujuan subjek data, berfungsi sama seperti derogasi persetujuan pada Pasal 49 GDPR, sebagai upaya terakhir, bukan dasar utama.
- Klausul terakhir Pasal 56 merujuk ketentuan lebih lanjut tentang prosedur transfer ke Peraturan Pemerintah.
Kesesuaian struktural dengan GDPR ini sungguh erat. Yang tidak berfungsi adalah mekanisme yang seharusnya membuat tahap (2) dapat digunakan: belum ada pihak yang ditunjuk untuk menilai dan mempublikasikan negara mana yang memenuhi standar "setara atau lebih tinggi", karena prosedur penilaian itulah yang seharusnya ditetapkan oleh PP yang belum diterbitkan. Belum ada daftar kecukupan. Dalam praktiknya, hal ini mendorong pengendali data yang mentransfer data keluar dari Indonesia untuk beralih ke tahap (3) pengaman kontraktual atau tahap (4) persetujuan, meskipun kaskade dalam Undang-Undang itu sendiri secara nominal dimulai dari tahap (2). Ini adalah contoh langsung dan konkret dari kesenjangan antara teks hukum dan perangkat kelembagaan yang menjadi inti seluruh perbandingan ini, bukan sekadar poin abstrak tentang ketiadaan Badan PDP.
Sanksi: Sanksi Administratif vs Penuntutan Pidana
Di sinilah UU PDP berbeda paling tajam dari GDPR, dan ini adalah poin paling berguna bagi praktisi dalam artikel ini: Indonesia bukan tanpa daya paksa. Daya paksanya bersifat pidana, bukan administratif.
Sanksi administratif (Pasal 57)
Pasal 57(1) mencantumkan pelanggaran spesifik yang dikenai sanksi administratif, termasuk pelanggaran syarat dasar hukum (Pasal 20(1)), kewajiban notifikasi pelanggaran (Pasal 46(1) dan (3)), dan kaskade lintas batas (Pasal 56(2)-(4)). Pasal 57(2) menetapkan empat jenis sanksi yang meningkat secara bertahap: peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Pasal 57(3) membatasi denda hingga 2% dari pendapatan tahunan atau penerimaan tahunan yang terkait dengan pelanggaran.
Batas tunggal 2% yang tetap ini secara struktural serupa dengan konsep persentase omzet pada Pasal 83 GDPR, tetapi lebih sederhana: GDPR membagi pelanggaran menjadi tingkat lebih rendah (2% dari omzet global atau EUR 10 juta) dan tingkat lebih tinggi (4% dari omzet global atau EUR 20 juta), sementara UU PDP menerapkan satu tarif tetap tanpa pembagian dua tingkat. Dari segi besarannya, batas Indonesia lebih mendekati tingkat lebih rendah GDPR daripada angka utama 4%-nya.
Baik lembaga yang diberi kewenangan menjatuhkan sanksi ini (Pasal 57(4), "lembaga") maupun rincian prosedur penjatuhannya (Pasal 57(5)) diserahkan kepada PP yang belum ada dan Badan PDP yang belum terbentuk. Belum ada sanksi Pasal 57 yang terkonfirmasi telah dijatuhkan.
Ketentuan pidana (Pasal 67-70)
GDPR tidak memiliki rezim sanksi pidananya sendiri. Pasal 84 menyerahkan sanksi pidana sepenuhnya kepada kebijaksanaan masing-masing negara anggota Uni Eropa, dan Regulasi itu sendiri tidak menjatuhkan sanksi pidana apa pun. UU PDP mengaturnya secara langsung dalam undang-undang:
| Ketentuan | Perbuatan | Sanksi maksimum |
|---|---|---|
| Pasal 67(1) | Memperoleh atau mengumpulkan data pribadi milik orang lain secara melawan hukum dan sengaja, untuk kepentingan diri sendiri atau orang lain, yang menimbulkan kerugian bagi subjek data | Pidana penjara hingga 5 tahun dan/atau denda hingga Rp5.000.000.000 |
| Pasal 67(2) | Mengungkapkan data pribadi milik orang lain secara melawan hukum dan sengaja | Pidana penjara hingga 4 tahun dan/atau denda hingga Rp4.000.000.000 |
| Pasal 67(3) | Menggunakan data pribadi milik orang lain secara melawan hukum dan sengaja | Pidana penjara hingga 5 tahun dan/atau denda hingga Rp5.000.000.000 |
| Pasal 68 | Sengaja membuat atau memalsukan data pribadi untuk kepentingan diri sendiri atau orang lain, yang menimbulkan kerugian | Pidana penjara hingga 6 tahun dan/atau denda hingga Rp6.000.000.000 |
| Pasal 69 | Sanksi tambahan di atas hukuman Pasal 67/68 | Perampasan keuntungan dan/atau aset yang diperoleh dari tindak pidana |
Dengan kurs perkiraan pertengahan 2025/2026 sekitar Rp15.600-15.900 per dolar AS, Rp5 miliar setara kira-kira USD 320.000 dan Rp6 miliar sekitar USD 385.000; perlakukan setiap angka USD di sini sebagai konversi perkiraan yang terikat waktu, bukan kesetaraan tetap.
Perbedaan krusial untuk perencanaan kepatuhan: ketentuan-ketentuan ini menyasar penyalahgunaan yang disengaja oleh pelaku jahat, yaitu perolehan, pengungkapan, penggunaan, atau pemalsuan data milik orang lain secara melawan hukum, bukan sekadar ketidakpatuhan biasa oleh pengendali data. Pengendali data yang salah mengelola data karena kelalaian menghadapi jalur administratif (Pasal 57); seseorang yang dengan sengaja menyalahgunakan data milik orang lain menghadapi penuntutan melalui peradilan pidana umum Indonesia, berjalan berdampingan, bukan menggantikan, eksposur administratif.
Dan yang krusial, jalur pidana tidak bergantung pada ketiadaan Badan PDP. Jalur ini berjalan melalui peradilan umum, bukan regulator yang belum terbangun, sehingga menjadikannya satu-satunya jalur penegakan hukum yang diciptakan UU PDP yang tidak terhambat oleh kesenjangan kelembagaan yang dijelaskan di atas. Belum ada penuntutan yang terkonfirmasi berdasarkan Pasal 67-70 yang teridentifikasi hingga peninjauan ini dilakukan; poin ini menyangkut ketersediaan hukum dari jalur tersebut, bukan rekam jejaknya.
Tanggung Jawab Korporasi: Pasal 70
Pasal 70 memperluas ketentuan pidana Pasal 67 dan 68 kepada korporasi. Hukuman dapat dijatuhkan kepada pengurus korporasi, pihak pengendali, pihak yang memerintahkan perbuatan tersebut, pemilik manfaat, dan/atau korporasi itu sendiri (Pasal 70(1)). Korporasi itu sendiri hanya dapat dikenai denda, bukan pidana penjara, karena alasan yang jelas (Pasal 70(2)).
Batas denda untuk korporasi adalah hingga 10 kali lipat denda maksimum yang berlaku menurut Pasal 67 atau 68 (Pasal 70(3)): Rp50 miliar (10 kali Rp5 miliar, untuk perbuatan Pasal 67(1)/(3)) atau Rp60 miliar (10 kali Rp6 miliar, untuk perbuatan Pasal 68), sekitar USD 3,2-3,9 juta pada kurs perkiraan di atas. Pasal 70(4) memungkinkan sanksi tambahan di luar denda, termasuk perampasan keuntungan atau aset, pembekuan sebagian atau seluruh kegiatan usaha korporasi, larangan permanen terhadap perbuatan tertentu, penutupan sebagian atau seluruh tempat usaha, dan pemenuhan kewajiban yang diabaikan.
Hal ini menghasilkan asimetri yang sungguh menarik: bagi perusahaan mana pun dengan pendapatan tahunan di bawah kira-kira USD 160-195 juta, batas denda pidana korporasi dapat melampaui denda administratif 2% dari pendapatan menurut Pasal 57. Bagi sebagian besar perusahaan yang beroperasi di Indonesia, eksposur pidana bukanlah risiko sekunder di belakang denda administratif; eksposur ini bisa jadi justru yang lebih besar.
Perkembangan Terkini
17 Oktober 2024. Masa transisi dua tahun UU PDP berakhir; setiap kewajiban substantif menjadi berlaku penuh dan mengikat.
5 November 2024. Perpres 174/2024 merestrukturisasi kementerian pengawas, mengubah nama Kominfo menjadi Komdigi dan membentuk Ditjen Pengawasan Ruang Digital baru dengan tugas-tugas terkait PDP.
Maret-September 2025. Presiden memberikan izin prakarsa pada 4 Maret untuk memulai penyusunan Perpres Badan PDP, yang kemudian melalui proses review antar-kementerian.
Sejak Oktober 2025. Rancangan Perpres berada dalam tahap harmonisasi di Kementerian Hukum. Secara terpisah, rancangan PP pelaksana (RPP) dilaporkan telah menyelesaikan harmonisasi dan sekitar 1.989 putaran masukan publik, serta dilaporkan berada di Sekretariat Negara (Setneg) menunggu tanda tangan presiden pada periode yang sama.
4 Februari 2026. Komdigi kembali menegaskan secara publik target penyelesaian pembentukan Badan PDP pada 2026, yang menegaskan bahwa lembaga tersebut masih belum terbentuk hingga tanggal tersebut.
Hingga peninjauan ini dilakukan (Juli 2026). Tidak ada sumber primer yang mengonfirmasi bahwa Perpres Badan PDP maupun PP pelaksana telah ditandatangani sejak itu. Perlakukan keduanya sebagai masih tertunda, belum diterbitkan, tanpa adanya konfirmasi sumber primer yang bertanggal spesifik.
Panduan Kepatuhan Ganda
Organisasi yang tunduk pada kedua kerangka hukum ini menghadapi posisi kepatuhan yang tidak memiliki preseden di GDPR: sebuah undang-undang yang sepenuhnya mengikat di atas kertas, tetapi infrastruktur penegakannya, termasuk tahap teratas dari kaskade lintas batasnya sendiri, belum berfungsi.
| Isu | GDPR | UU PDP | Pendekatan |
|---|---|---|---|
| Dasar pemasaran/analitik | Kepentingan yang sah atau persetujuan | Pasal 20(2)(f) adalah dasar kepentingan yang sah yang nyata dan dapat digunakan dengan uji keseimbangan yang sama | Dokumentasikan satu analisis keseimbangan untuk kedua rezim |
| Data keuangan | Bukan kategori khusus | Sensitif (Pasal 4(2)) | Terapkan penanganan UU PDP yang lebih ketat meskipun GDPR tidak mewajibkannya |
| Agama | Kategori khusus | Umum, tidak sensitif (Pasal 4(3)) | Pertahankan standar GDPR yang lebih ketat secara global; jangan melonggarkannya untuk Indonesia |
| Transfer lintas batas | Kecukupan, SCC, BCR | Jalur kecukupan Pasal 56(2) tidak dapat digunakan (tidak ada PP, tidak ada daftar); beralih ke 56(3)/56(4) | Bangun berdasarkan pengaman kontraktual atau persetujuan sekarang, bukan menunggu daftar kecukupan di masa depan |
| Respons pelanggaran | 72 jam ke regulator; "tanpa penundaan yang tidak semestinya" ke individu | 72 jam ke keduanya, jangka waktu yang sama | Bangun satu tenggat internal 72 jam yang mencakup kedua penerima untuk Indonesia |
| Risiko penegakan hukum | Denda administratif, rekam jejak yang mapan | Eksposur administratif ditambah risiko penuntutan pidana yang nyata untuk penyalahgunaan yang disengaja; belum ada kasus terkonfirmasi di kedua jalur | Jangan menganggap Indonesia berisiko rendah hanya karena Badan PDP belum berstaf; peradilan pidana tetap berfungsi |
| Tanggung jawab korporasi | Dibatasi pada EUR 20 juta / 4% dari omzet | Denda pidana hingga Rp50-60 miliar dapat melampaui batas administratif 2% | Modelkan batas pidana, bukan hanya batas administratif |
Untuk sisi Uni Eropa dari perbandingan ini, lihat panduan apa itu GDPR kami. Untuk gambaran lengkap privasi Indonesia, lihat panduan hukum privasi data Indonesia kami.
Sangkalan
Artikel ini menyajikan informasi hukum umum tentang Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) Indonesia dan General Data Protection Regulation Uni Eropa. Artikel ini bukan merupakan nasihat hukum. Peraturan pelaksana dan lembaga pengawas UU PDP masih dalam proses, dan statusnya dapat berubah sewaktu-waktu mengikuti tindakan pemerintah lebih lanjut. Organisasi yang tunduk pada salah satu atau kedua kerangka hukum ini sebaiknya berkonsultasi dengan pengacara berlisensi di yurisdiksi terkait untuk mendapatkan nasihat yang spesifik terhadap situasi mereka. Artikel ini mencerminkan informasi yang tersedia per 23 Juli 2026.
Sumber yang Dikutip
- Kementerian Komunikasi dan Digital (Komdigi), portal JDIH: Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), teks lengkap. https://jdih.komdigi.go.id/produk_hukum/view/id/832/t/undangundang+nomor+27+tahun+2022
- Regulation (EU) 2016/679 (General Data Protection Regulation), Pasal 3, 6, 8-10, 15-23, 33-35, 45-49, 83-84. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
- Hukumonline. "Menanti Disahkannya Aturan Turunan UU PDP" (artikel berbahasa Indonesia). https://www.hukumonline.com/berita/a/menanti-disahkannya-aturan-turunan-uu-pdp-lt68fae7fbe057d/
- Antara News Jatim. Pernyataan Komdigi tentang target penyelesaian Badan PDP pada 2026. https://jatim.antaranews.com/berita/1031282
Terakhir diperbarui: 23 Juli 2026. Peraturan pelaksana dan lembaga pengawas Indonesia sama-sama masih dalam proses aktif; pembaca sebaiknya memastikan status terkini melalui pemberitahuan resmi Komdigi sebelum mengandalkan tanggal mana pun dalam artikel ini untuk keperluan kepatuhan.
Frequently Asked Questions
Apakah UU PDP Indonesia benar-benar sudah berlaku?
Ya, sepenuhnya. Masa transisi dua tahun Undang-Undang ini berakhir pada 17 Oktober 2024, dan setiap kewajiban substantif, syarat dasar hukum, hak-hak, kewajiban notifikasi pelanggaran dalam 72 jam, aturan lintas batas, serta sanksi administratif maupun pidana, saat ini mengikat. Yang belum terbentuk adalah perangkat penegakannya: lembaga pengawas independen (Badan PDP) belum dibentuk, dan peraturan pemerintah pelaksana (PP) yang dirujuk oleh beberapa ketentuan belum diterbitkan.
Apakah Indonesia memiliki lembaga pelindungan data seperti DPA di Uni Eropa?
Belum, secara operasional. Pasal 58 mewajibkan adanya lembaga independen, Badan Pelindungan Data Pribadi (Badan PDP), yang dibentuk oleh Presiden melalui Peraturan Presiden. Perpres tersebut belum diterbitkan; penyusunannya menerima izin prakarsa presiden pada 4 Maret 2025 dan telah berada dalam tahap harmonisasi di Kementerian Hukum sejak Oktober 2025, dengan Komdigi kembali menegaskan target penyelesaian 2026 per Februari 2026. Hingga lembaga ini terbentuk, Komdigi menangani pengawasan dan penerimaan pengaduan secara sementara.
Apakah UU PDP memiliki dasar hukum kepentingan yang sah seperti GDPR?
Ya. Pasal 20(2)(f) menyediakan dasar untuk 'kepentingan sah lainnya', yang secara eksplisit dikualifikasi dengan menimbang tujuan, kebutuhan, dan keseimbangan kepentingan antara pengendali data dan subjek data, uji substantif yang sama yang diterapkan Pasal 6(1)(f) GDPR dalam praktiknya. Ini adalah kesesuaian yang sungguh-sungguh, bukan kesenjangan seperti yang disiratkan sebagian penggambaran hukum Indonesia.
Bagaimana kategori data sensitif Indonesia berbeda dari kategori khusus GDPR?
Pasal 4(2) memperlakukan data keuangan dan catatan kriminal sebagai data sensitif; Pasal 9 GDPR sepenuhnya mengecualikan data keuangan dan menangani data putusan pidana secara terpisah berdasarkan Pasal 10. Sebaliknya, agama masuk kategori umum yang tidak sensitif di Indonesia (Pasal 4(3)), kebalikan dari GDPR, di mana keyakinan agama merupakan contoh klasik data Pasal 9. Ras, opini politik, keanggotaan serikat pekerja, dan orientasi seksual, semuanya kategori Pasal 9 GDPR, sama sekali tidak memiliki padanan dalam Pasal 4(2).
Apa yang terjadi pada transfer data lintas batas tanpa Badan PDP yang berfungsi?
Pasal 56 mengatur kaskade empat tahap yang serupa dengan Bab V GDPR: uji kesetaraan bergaya kecukupan, lalu pengaman kontraktual, lalu persetujuan sebagai upaya terakhir. Dalam praktiknya, hanya tahap pengaman kontraktual dan persetujuan yang berfungsi saat ini, karena prosedur penilaian dan daftar kecukupan untuk tahap pertama diserahkan kepada peraturan pelaksana yang belum diterbitkan.
Apakah seseorang dapat dituntut secara pidana berdasarkan hukum pelindungan data Indonesia?
Ya, dan inilah perbedaan paling tajam UU PDP dari GDPR, yang sama sekali tidak menjatuhkan sanksi pidana di tingkat Uni Eropa. Pasal 67 dan 68 mempidanakan perolehan, pengungkapan, penggunaan, atau pemalsuan data milik orang lain secara melawan hukum dan sengaja, dengan ancaman hingga 4-6 tahun penjara dan denda Rp4-6 miliar, ditambah perampasan hasil tindak pidana berdasarkan Pasal 69. Karena penuntutan berjalan melalui peradilan umum Indonesia, jalur ini tidak terhambat oleh Badan PDP yang belum terbentuk.
Apa sanksi maksimum yang dapat dihadapi sebuah perusahaan berdasarkan UU PDP?
Dua jalur berjalan berdampingan. Jalur administratif (Pasal 57) membatasi denda pada 2% dari pendapatan atau penerimaan tahunan. Jalur pidana (Pasal 70) dapat mendenda korporasi hingga 10 kali lipat maksimum individu menurut Pasal 67 atau 68, hingga Rp50 miliar atau Rp60 miliar, yang dapat melampaui batas administratif bagi banyak perusahaan. Belum ada sanksi atau penuntutan yang terkonfirmasi pada kedua jalur tersebut hingga peninjauan ini dilakukan.
Apakah UU PDP memberikan hak portabilitas data kepada warga Indonesia?
Ya. Pasal 13 memberikan hak untuk memperoleh data miliknya sendiri dalam format terstruktur dan dapat dibaca mesin serta mengirimkannya ke pengendali lain, mencerminkan Pasal 20 GDPR secara dekat. Indonesia juga memberikan hak keberatan atas keputusan yang sepenuhnya otomatis dengan akibat hukum atau signifikan berdasarkan Pasal 10, mencerminkan Pasal 22 GDPR. Kedua hak ini terkadang keliru diasumsikan tidak ada dalam undang-undang privasi non-Uni Eropa; UU PDP memiliki keduanya.
Updates
Komdigi kembali menegaskan secara publik target penyelesaian pembentukan Badan PDP (lembaga pengawas independen) pada 2026, yang menegaskan bahwa lembaga tersebut masih belum terbentuk dan kementerian terus menangani pengawasan secara sementara (ad interim).
Rancangan Peraturan Presiden (Perpres) tentang pembentukan Badan PDP memasuki tahap harmonisasi di Kementerian Hukum. Secara terpisah, rancangan Peraturan Pemerintah (RPP) pelaksana dilaporkan telah menyelesaikan proses harmonisasinya sendiri dan sekitar 1.989 putaran masukan publik, serta dilaporkan berada di Sekretariat Negara (Setneg) menunggu tanda tangan presiden pada saat pemberitaan tersebut.
Presiden memberikan izin prakarsa untuk memulai penyusunan Perpres yang akan membentuk Badan PDP.
Perpres 174/2024 merestrukturisasi kementerian yang mengawasi UU PDP secara sementara, mengubah nama Kementerian Komunikasi dan Informatika (Kominfo) menjadi Kementerian Komunikasi dan Digital (Komdigi), dengan Ditjen Pengawasan Ruang Digital yang baru menangani tugas pengawasan terkait PDP.
Masa transisi dua tahun UU PDP berakhir. Setiap kewajiban substantif dalam Undang-Undang ini, syarat dasar hukum, hak subjek data, notifikasi pelanggaran, aturan transfer data lintas batas, serta sanksi administratif dan pidana, menjadi berlaku penuh dan mengikat.
Artikel ini dipublikasikan. Hingga peninjauan ini dilakukan, tidak ada sumber primer yang mengonfirmasi bahwa PP pelaksana atau Perpres Badan PDP telah ditandatangani; keduanya masih dalam proses.
Sources and References
- Komdigi JDIH: Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), teks lengkap(jdih.komdigi.go.id).gov
- Regulation (EU) 2016/679 (GDPR), Teks Lengkap(eur-lex.europa.eu).gov
- Hukumonline: Menanti Disahkannya Aturan Turunan UU PDP(hukumonline.com)
- Antara News Jatim: Komdigi menegaskan kembali target penyelesaian Badan PDP pada 2026(jatim.antaranews.com)