Kementerian Komunikasi dan Digital (Komdigi) tengah mempersiapkan pembentukan lembaga pelindungan data pribadi (PDP) yang akan bertanggung jawab langsung kepada Presiden. Meski demikian, perusahaan dan organisasi diminta tidak menunda pemenuhan kewajiban pelindungan data pribadi dengan alasan lembaga tersebut maupun aturan teknis turunannya belum sepenuhnya tersedia.
Direktur Strategi dan Kebijakan Pengawasan Ruang Digital Komdigi, Muchtarul Huda, mengatakan lembaga PDP dirancang sebagai lembaga independen yang pertanggungjawabannya disampaikan kepada Presiden melalui Menteri Komdigi. Mekanisme tersebut, menurutnya, tidak berarti kementerian akan mengintervensi pelaksanaan tugas lembaga.
“Melalui Menteri Komdigi bukan berarti kami di Komdigi melakukan intervensi terhadap apa yang dilakukan oleh lembaga,” katanya dalam Diskusi Hukumonline: Implementasi UU PDP Pasca Terbitnya PP 33/2026: Menata Kepatuhan, Tata Kelola Data, dan Eksposur Hukum Korporasi di Jakarta, Kamis (22/10).
Baca juga:
- Ahli Sebut Frasa Melawan Hukum UU PDP Berpotensi Mengkriminalisasi Jurnalis, Akademisi dan Pekerja Seni
- Memahami Alur Pemrosesan Data sebagai Langkah Awal Implementasi UU PDP
Peran Menteri Komdigi dalam mekanisme tersebut sebatas meneruskan laporan kepada Presiden. Sebab, Komdigi sendiri berpotensi menjadi pihak yang diawasi apabila terjadi kegagalan dalam pelaksanaan kewajiban pelindungan data pribadi.
Adapun pembentukan lembaga PDP saat ini dipersiapkan melalui peraturan presiden (Perpres). Komdigi telah berkolaborasi dengan Kementerian Hukum dan Kementerian Pendayagunaan Aparatur Negara dan Reformasi Birokrasi (KemenPAN-RB) untuk menyusun kerangka kelembagaannya.
Dalam rancangan tersebut, lembaga PDP akan dipimpin seorang kepala badan, didukung sekretaris utama dan tiga deputi. Namun, sejumlah kebutuhan operasional masih harus dipersiapkan, mulai dari struktur organisasi hingga tingkat bawah, anggaran, sarana dan prasarana, serta gedung dan peralatan kantor.
Untuk mendukung tahap awal pelaksanaan tugas, rancangan Perpres juga mengamanatkan kepala badan PDP dapat menggunakan pegawai Direktorat Tata Kelola Kebijakan Pengawasan Ruang Digital. Perangkat dan fasilitas kantor Komdigi juga berpotensi digunakan untuk menunjang operasional lembaga.
Meski persiapan kelembagaan masih berlangsung, Huda menegaskan kondisi tersebut tidak dapat dijadikan alasan untuk menunda kepatuhan terhadap regulasi pelindungan data pribadi.
“Jangan jadikan itu hambatan Bapak, Ibu comply dengan regulasi PP PDP,” ujarnya.
Ia juga menyoroti kebutuhan aturan teknis lanjutan untuk mengimplementasikan sejumlah ketentuan dalam Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (PP PDP). Berdasarkan pemetaan Komdigi, terdapat 34 ketentuan yang secara tegas mengamanatkan pengaturan lebih lanjut melalui Peraturan Lembaga. Selain itu, terdapat 11 ketentuan lain yang menyerahkan penetapan pedoman atau persetujuan kepada lembaga PDP.
Sejumlah materi yang memerlukan pengaturan lebih lanjut antara lain pedoman penyusunan ketentuan pemrosesan data pribadi internal, kewajiban penunjukan pejabat pelindungan data pribadi (PPDP), penilaian dampak pelindungan data pribadi atau Data Protection Impact Assessment (DPIA), serta standar klausul kontrak pelindungan data pribadi.
Pengaturan teknis juga diperlukan untuk menentukan negara dengan tingkat pelindungan data pribadi yang setara atau lebih tinggi sebagai dasar transfer data ke luar negeri. Selain itu, tata cara pengenaan sanksi administratif perlu diatur lebih terperinci agar dapat diterapkan secara efektif.
Meski demikian, Huda mengingatkan agar perusahaan yang telah menjalankan kewajiban pelindungan data pribadi tidak menunggu terbitnya seluruh aturan teknis tersebut.
“Sekalipun masih dibutuhkan peraturan teknis oleh lembaga, bukan berarti Bapak Ibu sekalian tidak menjalankan. Tetap jalankan saja, nanti tinggal melakukan penyesuaian,” katanya.
Ia merujuk Pasal 223 PP PDP yang menjadi jembatan selama Peraturan Lembaga belum ditetapkan. Ketentuan tersebut memungkinkan pengendali dan prosesor data pribadi tetap memproses data sepanjang tidak bertentangan dengan PP PDP. Sementara itu, Pasal 224 menegaskan ketentuan pelindungan data pribadi yang telah ada tetap berlaku sepanjang tidak bertentangan dengan PP tersebut, termasuk pengaturan internal institusi.
“Yang dinilai dari PP 33 itu bukan jejak, tapi niat,” ujarnya.
Adapun langkah awal yang dapat dilakukan perusahaan adalah merekam kegiatan pemrosesan data pribadi atau Record of Processing Activities (RoPA), sekaligus memastikan pemenuhan hak subjek data pribadi dan kewajiban lain sesuai karakteristik pemrosesan masing-masing.
Otoritas PDP Diharapkan Tak Hanya Menjatuhkan Sanksi
Sementara, Guru Besar Hukum Siber dan Data Privasi Fakultas Hukum Universitas Padjadjaran, Prof. Sinta Dewi Rosadi, menilai keberadaan lembaga PDP merupakan unsur esensial dalam implementasi UU PDP. Lembaga tersebut diharapkan mampu mengawasi pelaksanaan regulasi sekaligus memastikan pelindungan data pribadi berjalan efektif.
Pendekatan terhadap pelindungan data pribadi, kata dia, perlu bergeser dari sekadar memahami aspek hukum menjadi pembuktian bahwa kewajiban yang ditetapkan regulasi benar-benar telah dilaksanakan. Oleh karena itu, mekanisme pencegahan seharusnya menjadi perhatian utama, bukan semata-mata penindakan setelah pelanggaran terjadi.
“Regulasi PDP adalah regulasi yang bersifat preventif sebetulnya, bukan regulasi yang bersifat represif. Jadi mekanisme pencegahannyalah yang banyak terjadi di sini,” katanya.
Ia juga menyoroti selama beberapa tahun terakhir, persoalan pelindungan data pribadi yang mencuat justru banyak berkaitan dengan perkara pidana. Kondisi ini berpotensi membuat masyarakat memandang jalur pidana sebagai cara utama untuk menyelesaikan permasalahan pelindungan data pribadi.
Prof. Sinta menambahkan, pembentukan otoritas PDP menjadi tantangan di sejumlah negara, termasuk di kawasan Asia Tenggara. Oleh sebab itu, kesiapan lembaga tersebut perlu menjadi perhatian agar kewenangan pengawasan dapat dijalankan secara efektif. Dirinya berharap lembaga PDP nantinya berperan mengawasi implementasi regulasi, serta memberikan edukasi kepada masyarakat dan organisasi yang memproses data pribadi.
“Lembaga ini harus merupakan lembaga yang memiliki peran yang dobel, selain mengawasi implementasi, lembaga ini juga harus menjadi lembaga yang memberikan edukasi. Jadi bukan lembaga tukang gebuk-lah istilahnya,” pungkasnya.
