Tanpa Badan PDP, Denda Rp60 Miliar Tetap Bisa Menjerat

UU PDP sudah berlaku efektif sejak Oktober 2024, tetapi Peraturan Pemerintah pelaksana dan Badan PDP belum juga terbentuk. Rancangan Perpres pembentukan Badan PDP telah diajukan ke Presiden pada Mei 2026, sementara RPP PDP masih dalam tahap harmonisasi akhir. Bagi organisasi, terutama yang memproses data dalam volume besar, ketidakpastian ini bukan alasan untuk menunda. Justru sebaliknya: ini adalah jendela terakhir untuk menyiapkan fondasi kepatuhan sebelum penegakan berpindah ke tangan regulator independen.

Bayangkan sebuah perusahaan fintech mengalami kebocoran data jutaan nasabah. Nasabah bertanya: ke mana mereka harus mengadu? Siapa yang berwenang menjatuhkan sanksi? Bagaimana mekanisme penyelesaiannya? Sampai hari ini, pertanyaan-pertanyaan tersebut belum memiliki jawaban yang pasti — bukan karena regulasinya tidak ada, melainkan karena infrastruktur kelembagaan pelaksananya belum operasional.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) telah berlaku penuh sejak Oktober 2024. Sanksinya tegas: denda administratif hingga 2% dari pendapatan tahunan, pidana penjara hingga 6 tahun, dan denda pidana yang bisa mencapai Rp60 miliar untuk korporasi. Namun, dua pilar pelaksanaannya — Peraturan Pemerintah (PP) sebagai aturan teknis dan Badan Pelindungan Data Pribadi (Badan PDP) sebagai lembaga pengawas — belum juga terwujud.

Kondisi ini menciptakan situasi paradoks: aturannya sudah berlaku dan mengikat, tetapi mekanisme pengawasan dan penegakan administratifnya masih berjalan dalam mode transisi. Bagi organisasi yang bijak, situasi ini justru merupakan jendela persiapan yang tidak akan datang dua kali.

Status Terkini RPP dan Badan PDP

Untuk memahami kapan penegakan penuh akan dimulai, penting untuk melacak posisi kedua instrumen hukum pelaksana ini.

Rancangan Peraturan Pemerintah (RPP PDP) merupakan aturan teknis yang akan mengatur secara detail tata cara pemrosesan data, mekanisme persetujuan (consent), prosedur notifikasi kebocoran, tata cara pengenaan sanksi administratif, dan berbagai ketentuan operasional lainnya. Rancangan ini dilaporkan telah menghasilkan 225 pasal dan dinyatakan selesai di tingkat harmonisasi Kemenkumham pada periode September–November 2024. Sepanjang 2025 hingga pertengahan 2026, pembahasan lanjutan terus dilakukan untuk menyelesaikan PP turunan ini. Hingga saat artikel ini ditulis, RPP PDP masih dalam tahap finalisasi.

Rancangan Peraturan Presiden (Perpres) tentang Badan PDP mengalami perjalanan yang lebih panjang. Penyusunannya dimulai sejak akhir 2022 hingga 2024, kemudian disampaikan ke Kementerian PAN-RB untuk mendapat izin prakarsa dari Presiden, yang diperoleh pada 4 Maret 2025. Pembahasan dalam Panitia Antar Kementerian (PAK) berlangsung dari Maret hingga September 2025, dilanjutkan tahap harmonisasi di Kementerian Hukum mulai Oktober 2025.

Perkembangan paling mutakhir terjadi pada 27 Juli 2026, ketika Dirjen Pengawasan Ruang Digital Kemkomdigi, Alexander Sabar, menyampaikan dalam sidang di Mahkamah Konstitusi bahwa Rancangan Perpres Badan PDP telah diajukan penetapan kepada Presiden melalui Surat MenPAN-RB tertanggal 20 Mei 2026. Dengan kata lain, proses administratif sudah hampir di ujung — tinggal menunggu tanda tangan Presiden.

Keterangan ini disampaikan dalam sidang perkara nomor 236/PUU-XXIV/2026, di mana sejumlah praktisi hukum dan mahasiswa menggugat konstitusionalitas Pasal 58 Ayat (5) dan Pasal 61 UU PDP ke Mahkamah Konstitusi karena tidak adanya batas waktu yang jelas bagi pembentukan lembaga pengawas. Gugatan ini menjadi sinyal kuat bahwa kekosongan kelembagaan sudah mencapai titik yang menimbulkan ketidakpastian hukum nyata bagi masyarakat.

Baca juga: Awas Denda UU PDP! Cek Kepatuhan Perusahaan

Skenario Pengawasan 2026–2027

Berdasarkan posisi regulasi saat ini, terdapat beberapa skenario yang realistis untuk periode 2026–2027.

Skenario paling optimistis adalah Perpres Badan PDP ditandatangani Presiden pada semester kedua 2026, diikuti penerbitan PP pelaksana UU PDP. Badan PDP kemudian mulai beroperasi secara bertahap di awal 2027 — dimulai dengan pembentukan struktur organisasi, penunjukan Kepala Badan, perekrutan SDM, dan pembangunan sistem pengaduan. Dalam skenario ini, penegakan administratif penuh oleh Badan PDP paling cepat dimulai pertengahan 2027.

Skenario moderat memperkirakan Perpres terbit akhir 2026, tetapi PP pelaksana baru selesai di awal 2027. Operasionalisasi Badan PDP kemudian membutuhkan waktu 6–12 bulan lagi, sehingga penegakan efektif baru berjalan pada akhir 2027 atau awal 2028. Skenario ini mengimplikasikan bahwa tekanan pengawasan tetap meningkat meskipun kelembagaan belum sepenuhnya operasional.

Skenario pesimistis — yang sayangnya bukan tanpa preseden mengingat keterlambatan selama empat tahun sejak UU PDP diundangkan — adalah penundaan lebih lanjut. Namun, tekanan dari gugatan MK, desakan DPR, dan meningkatnya insiden kebocoran data membuat skenario ini semakin kecil kemungkinannya.

Terlepas dari skenario mana yang terealisasi, satu hal yang pasti: selama Badan PDP belum beroperasi, Kemkomdigi tetap menjalankan fungsi pengawasan — baik secara proaktif (pemeriksaan sistem elektronik PSE terdaftar) maupun reaktif (respons terhadap insiden). Dan ketika Badan PDP akhirnya operasional, organisasi yang sudah memiliki kerangka kepatuhan akan memiliki keunggulan signifikan dibandingkan yang baru memulai.

Baca juga: Bahaya Shadow AI: Waktunya Bangun Tata Kelola AI Perusahaan

Mekanisme Penegakan UU PDP Saat Ini

Meskipun Badan PDP dan PP pelaksana belum ada, bukan berarti UU PDP tidak memiliki “gigi” sama sekali. Beberapa mekanisme penegakan sudah bisa berjalan saat ini.

Sanksi pidana dalam Pasal 67 hingga 73 UU PDP tidak memerlukan keberadaan Badan PDP untuk ditegakkan. Pelanggaran berupa pengumpulan, pengungkapan, penggunaan, atau pemalsuan data pribadi secara melawan hukum dapat diproses melalui jalur pidana umum. Ancamannya sangat berat: pidana penjara 4–6 tahun dengan denda Rp4–6 miliar untuk individu. Untuk korporasi, Pasal 70 memungkinkan pengenaan denda hingga 10 kali lipat dari denda pokok — artinya bisa mencapai Rp50–60 miliar, ditambah pidana tambahan berupa perampasan keuntungan, pembekuan usaha, hingga pembubaran korporasi.

Pengawasan sektoral juga tetap berjalan. OJK, Bank Indonesia, dan regulator sektoral lainnya sudah memiliki kerangka regulasi yang mewajibkan pengelolaan data nasabah sesuai standar tertentu. Pelanggaran yang terjadi di sektor perbankan atau jasa keuangan, misalnya, tetap bisa dikenai tindakan oleh regulator sektoral.

Hak subjek data yang diatur dalam UU PDP — termasuk hak akses, koreksi, penghapusan, dan portabilitas data — juga sudah berlaku dan bisa menjadi dasar gugatan perdata oleh nasabah atau konsumen yang merasa datanya dilanggar.

Dengan demikian, ketiadaan Badan PDP bukan berarti organisasi kebal dari konsekuensi hukum. Yang belum ada adalah mekanisme penegakan administratif yang terstruktur — dan justru inilah yang akan hadir ketika Badan PDP beroperasi, membawa kemampuan untuk melakukan pemeriksaan, menjatuhkan sanksi administratif progresif, dan mengelola pengaduan secara sistematis.

Baca juga: 8 Tanda Mutlak Cyber Security Perusahaan Anda Belum Matang

Peran Strategis DPO dalam Kepatuhan Data

Di tengah ketidakpastian kelembagaan, satu peran yang justru semakin mendesak untuk segera difungsikan adalah Pejabat Petugas Pelindung Data Pribadi atau Data Protection Officer (DPO).

UU PDP mengamanatkan penunjukan DPO sebagai pihak yang bertanggung jawab memastikan pemenuhan kepatuhan atas prinsip pelindungan data pribadi dan mitigasi risiko pelanggaran. DPO menjalankan fungsi pengawasan internal serta pelaksanaan terkait tata kelola kepatuhan, manajemen risiko, dan teknis operasional pemrosesan data.

Penunjukan DPO bersifat mandatori bagi organisasi yang memproses data dalam volume besar atau data yang bersifat spesifik (data kesehatan, keuangan, biometrik, dan sejenisnya). Ini mencakup hampir seluruh sektor — perbankan, asuransi, kesehatan, e-commerce, fintech, telekomunikasi, hingga instansi pemerintah.

Kabar baiknya, ekosistem profesional DPO di Indonesia mulai terbentuk. Pada Mei 2026, pelatihan dan sertifikasi perdana Pejabat Pelindungan Data Pribadi resmi dibuka oleh Hukumonline bersama Lembaga Sertifikasi Profesi Pelindungan Data Pribadi (LSP PDP) dan Asosiasi Praktisi Pelindungan Data Indonesia (APPDI). Program serupa juga terus berkembang sepanjang 2026, dengan peserta dari BUMN, BSSN, OJK, dan perguruan tinggi.

Ini menunjukkan bahwa meskipun regulasi pelaksana belum sepenuhnya terbit, pasar dan industri sudah bergerak. Organisasi yang menunggu hingga Badan PDP beroperasi untuk baru mulai menyiapkan DPO akan menghadapi tekanan waktu yang sangat besar ketika penegakan dimulai.

Langkah Praktis DPO dalam Membangun Kepatuhan

Apapun skenario regulasi yang terjadi, langkah-langkah berikut akan tetap relevan dan memberikan nilai — baik dari perspektif kepatuhan maupun operasional.

Pertama, pemetaan data (data mapping and inventory). DPO perlu memastikan organisasi memiliki inventarisasi lengkap atas seluruh data pribadi yang diproses: jenis data, sumber pengumpulan, tujuan pemrosesan, lokasi penyimpanan, pihak yang mengakses, dan periode retensi. Ini adalah fondasi dari seluruh upaya kepatuhan — tanpa pemetaan data, organisasi tidak dapat memenuhi hak subjek data maupun kewajiban notifikasi jika terjadi kebocoran.

Kedua, penyusunan kebijakan dan prosedur pemrosesan data. Dokumen ini mencakup kebijakan privasi, prosedur persetujuan (consent management), mekanisme penanganan permintaan hak subjek data, prosedur notifikasi kebocoran (yang harus dilakukan dalam waktu 3×24 jam sesuai UU PDP), serta kebijakan retensi dan pemusnahan data.

Ketiga, asesmen risiko pelindungan data pribadi (Data Protection Impact Assessment/DPIA). Untuk setiap pemrosesan data yang berisiko tinggi — termasuk penggunaan AI, profiling, atau pemrosesan data biometrik — DPO perlu memastikan dilakukannya DPIA yang mengidentifikasi risiko terhadap subjek data dan langkah mitigasinya.

Keempat, penguatan keamanan teknis. Kepatuhan UU PDP tidak bisa dipisahkan dari keamanan informasi. Implementasi ISO/IEC 27001:2022 memberikan kerangka kerja sistematis yang langsung menopang banyak kewajiban teknis dalam UU PDP — mulai dari kontrol akses, enkripsi, hingga manajemen insiden.

Kelima, pelatihan dan kesadaran internal. DPO bertanggung jawab memastikan seluruh karyawan yang memproses data pribadi memahami kewajiban mereka. Program pelatihan reguler menjadi kebutuhan, bukan sekadar formalitas.

Keenam, membangun mekanisme respons insiden. Ketika Badan PDP beroperasi, kemampuan organisasi merespons insiden kebocoran data secara cepat, terdokumentasi, dan sesuai prosedur akan menjadi salah satu indikator utama kepatuhan yang dinilai.

Seluruh langkah ini bersifat akumulatif — nilainya tidak hilang meskipun PP atau Perpres terbit lebih lambat dari yang diharapkan. Justru, ketika penegakan dimulai, organisasi yang sudah menjalankan langkah-langkah ini akan berada di posisi yang jauh lebih aman dibandingkan yang baru memulai.

Baca juga: Direksi Tak Perlu Coding, Tapi Wajib Melek Risiko Teknologi

Integrasi ISO 27001 dan Tata Kelola IT GRC

Organisasi yang sudah mengimplementasikan ISO/IEC 27001:2022 memiliki keunggulan signifikan dalam memenuhi tuntutan UU PDP. Banyak kontrol keamanan informasi dalam ISO 27001 — seperti kontrol akses, manajemen aset informasi, keamanan komunikasi, dan manajemen insiden — secara langsung mendukung kewajiban teknis yang diamanatkan UU PDP.

Demikian pula, penerapan ISO/IEC 27701:2019 (Privacy Information Management System) yang merupakan ekstensi dari ISO 27001 khusus untuk manajemen informasi privasi, memberikan kerangka kerja yang sangat relevan untuk membangun sistem manajemen pelindungan data pribadi yang terstruktur dan dapat diaudit.

Pendekatan IT GRC (Governance, Risk Management, and Compliance) yang mengintegrasikan tata kelola, manajemen risiko, dan kepatuhan menjadi fondasi yang ideal untuk mengelola kompleksitas regulasi yang saling terkait — UU PDP, regulasi sektoral (OJK, BI), standar internasional (ISO 27001, 27701), dan ketentuan keamanan siber — dalam satu kerangka yang koheren.

Baca juga: Prompt Injection dan PromptSpy: Sisi Gelap AI yang Mengancam Perusahaan

Kesimpulan

Keterlambatan pembentukan Badan PDP dan penerbitan PP pelaksana UU PDP memang menciptakan kekosongan dalam penegakan administratif. Namun, kekosongan ini bersifat temporer — Perpres Badan PDP sudah di meja Presiden, RPP PDP dalam tahap finalisasi, dan tekanan dari DPR serta gugatan di Mahkamah Konstitusi terus meningkat.

Bagi organisasi, menunggu adalah strategi termahal. Ketika Badan PDP resmi beroperasi, kurva penegakan akan naik tajam — dan organisasi yang belum memiliki fondasi kepatuhan akan menghadapi tekanan regulasi, reputasi, dan finansial secara bersamaan. Sebaliknya, organisasi yang memanfaatkan jendela waktu ini untuk menyiapkan DPO, memetakan data, membangun kebijakan, dan memperkuat keamanan informasi akan menemukan bahwa setiap langkah yang diambil sekarang tidak pernah sia-sia.

Layanan Pendampingan Kepatuhan UU PDP oleh Proxsis IT

Proxsis IT Consulting membantu organisasi membangun fondasi kepatuhan pelindungan data pribadi yang terintegrasi dengan tata kelola IT secara menyeluruh:

• Kepatuhan UU PDP — gap analysis, penyusunan kebijakan privasi, dan pendampingan implementasi
• ISO/IEC 27001:2022 — sistem manajemen keamanan informasi sebagai fondasi teknis kepatuhan UU PDP
• ISO/IEC 27701:2019 — ekstensi privasi data yang langsung menjawab tuntutan UU PDP
• Data Governance — tata kelola data yang memastikan kualitas, keamanan, dan kepatuhan pemrosesan data pribadi
• Cyber Security Maturity Assessment — evaluasi kesiapan keamanan siber sebagai prasyarat pelindungan data
• Penetration Testing — pengujian ketahanan sistem terhadap ancaman yang dapat menyebabkan kebocoran data

Jangan tunggu Badan PDP beroperasi untuk mulai bersiap. Konsultasikan kebutuhan kepatuhan UU PDP dan tata kelola IT GRC organisasi Anda sekarang.

Pertanyaan Umum (FAQ)

1. Kapan Badan PDP akan terbentuk?
   Per Juli 2026, Rancangan Perpres pembentukan Badan PDP telah diajukan penetapan kepada Presiden melalui Surat MenPAN-RB tertanggal 20 Mei 2026. Kemkomdigi menargetkan Perpres ini terbit dan Badan PDP terbentuk pada 2026. Namun, operasionalisasi penuh lembaga — termasuk penunjukan pimpinan, pembangunan sistem, dan penegakan administratif — diperkirakan membutuhkan waktu tambahan 6–12 bulan.
2. Siapa yang mengawasi kepatuhan UU PDP selama Badan PDP belum ada?
   Kemkomdigi menjalankan fungsi pengawasan transisi, baik secara proaktif (pemeriksaan sistem elektronik PSE terdaftar) maupun reaktif (respons terhadap insiden). Regulator sektoral seperti OJK dan BI juga tetap mengawasi kepatuhan di sektor masing-masing. Sementara itu, sanksi pidana UU PDP sudah bisa ditegakkan melalui jalur hukum pidana umum.
3. Apakah organisasi saya wajib menunjuk DPO?
   UU PDP mewajibkan penunjukan DPO bagi organisasi yang memproses data pribadi dalam volume besar atau data bersifat spesifik (data kesehatan, keuangan, biometrik, dan lainnya). Bagi sebagian besar perusahaan di sektor keuangan, kesehatan, telekomunikasi, dan e-commerce, penunjukan DPO bersifat mandatori.
4. Berapa besar denda yang bisa dikenakan atas pelanggaran UU PDP?
   Denda administratif mencapai 2% dari pendapatan tahunan per variabel pelanggaran (Pasal 57). Sanksi pidana untuk individu mencapai penjara 6 tahun dan denda Rp6 miliar, sedangkan untuk korporasi denda bisa mencapai 10 kali lipat — artinya hingga Rp60 miliar — ditambah pidana tambahan berupa perampasan keuntungan, pembekuan, atau pembubaran usaha (Pasal 70).
5. Bagaimana keterkaitan UU PDP dengan ISO 27001?
   ISO/IEC 27001:2022 menyediakan kerangka kerja keamanan informasi yang langsung menopang banyak kewajiban teknis UU PDP, seperti kontrol akses, enkripsi, dan manajemen insiden. ISO/IEC 27701:2019 sebagai ekstensi khusus privasi memberikan jembatan yang lebih langsung antara standar internasional dan tuntutan regulasi pelindungan data pribadi Indonesia.
6. Langkah pertama apa yang harus diambil organisasi sekarang?
   Langkah paling kritis adalah melakukan pemetaan data (data mapping) untuk menginventarisasi seluruh data pribadi yang diproses, dilanjutkan gap analysis terhadap kewajiban UU PDP, penunjukan atau pelatihan DPO, dan penguatan keamanan informasi. Proxsis IT Consulting dapat mendampingi organisasi Anda dalam setiap tahap ini.