Pada 16 Januari 2027, wewenang sebuah lembaga untuk mengawasi perusahaan yang mengelola data pribadi mulai berlaku, namun lembaga itu sampai hari ini belum ada. Seiring terbitnya Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (PP 33/2026), yang ditetapkan pada 16 Juli 2026 dan menurut Pasal 225 berlaku enam bulan sejak diundangkan, memberi "Lembaga" yakni lembaga pengawas pelindungan data pribadi (PDP). Wewenangnya memeriksa pengendali dan prosesor data, memberi perintah tertulis, dan menjatuhkan sanksi administratif, termasuk denda yang menurut Pasal 57 UU 27/2022 paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Namun, lembaga itu belum ditetapkan. Menurut Kementerian Komunikasi dan Digital (Komdigi), sebagaimana dikutip Bisnis.com pada 13 September 2026, rancangan Perpresnya masih diajukan untuk ditetapkan Presiden.
Praktisi punya alasan untuk memperhatikan soal kelembagaan ini. Siapa yang menjatuhkan sanksi, dan seberapa bebas ia dari kepentingan pemerintah, menentukan seberapa dapat diprediksi penegakannya, termasuk terhadap badan publik yang juga pengendali data. Selama peraturan lembaga belum ada, Pasal 223 PP 33/2026 membiarkan pemrosesan data berjalan sepanjang tidak bertentangan dengan PP. Artinya, kewajiban sudah berjalan, tetapi belum ada lembaga yang menafsirkan dan menegakkannya. Contoh paling nyata muncul saat terjadi kebocoran: Pasal 46 UU 27/2022 mewajibkan pengendali memberi tahu Subjek Data Pribadi dan Lembaga paling lambat 3 × 24 jam, padahal lembaga yang harus diberi tahu itu belum ada.
Kata "independen" sudah sering diucapkan. Wakil Menteri Komdigi Nezar Patria, dalam keterangan pers Juli lalu, menyatakan lembaga ini akan bekerja secara independen, tetapi semua laporannya ditujukan kepada Presiden melalui Kementerian Komdigi. Direktur Jenderal Pengawasan Ruang Digital Alexander Sabar pada Mei 2025 menyebut pegawainya "pastinya ASN". Kata "independen" sebenarnya pernah tertulis dalam rancangan yang dimuat Naskah Akademiknya. Lalu tidak ada lagi di UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP). Apakah desain seperti itu independen menurut ukuran hukum yang sudah teruji, atau hanya menurut ucapan pejabat?
Yang dihitung Mahkamah Uni Eropa
Pasal 52 GDPR mewajibkan otoritas pengawas bertindak dengan complete independence (independensi penuh). Standar ini berasal dari Pasal 28 Direktif 95/46/EC, yang ditafsirkan Mahkamah Uni Eropa sebelum GDPR mengkodifikasinya. Dalam perkara melawan Jerman (C-518/07, 2010), Mahkamah menyatakan pengawasan negara atas otoritas pengawas tidak sejalan dengan independensi penuh. Pada 2012, dalam perkara melawan Austria (C-614/10), Mahkamah menyatakan Austria melanggar kewajibannya karena tiga hal dalam kerangka hukumnya: anggota pengelola otoritas adalah pejabat federal yang diawasi atasannya, kantor otoritas menyatu dengan departemen Kanselir Federal, dan Kanselir berhak atas informasi tanpa syarat tentang seluruh pekerjaan otoritas.
Perhatikan apa yang tidak dipersoalkan. Pengangkatan anggota oleh pemerintah dan kewajiban melapor tidak otomatis melanggar. Yang dihitung adalah susunan hukumnya, bukan niat atau perilaku pejabatnya: ada atau tidaknya subordinasi, peleburan kantor dan staf ke kementerian, dan akses informasi tanpa batas. Ukuran ini tentu tidak mengikat Indonesia. Di Uni Eropa, independensi otoritas pengawas berakar pada Pasal 8 ayat (3) Piagam Hak-Hak Fundamental dan Pasal 16 TFEU, dasar yang tidak dimiliki UUD 1945. Penulis memakainya karena ukuran ini sudah diuji di pengadilan, dan karena Komisi Eropa, bila menilai kecukupan pelindungan data Indonesia, akan memeriksa ada tidaknya otoritas pengawas yang independen (Pasal 45 ayat (2) huruf b GDPR).
Pasal 58 dan PP 33/2026
Pasal 58 UU PDP menyatakan lembaga ditetapkan oleh dan bertanggung jawab kepada Presiden, lalu menyerahkan sisanya kepada Perpres. Pasal itu tidak membedakan bertanggung jawab dari tunduk, dan tidak menyebut lembaga itu independen. Desain lembaga itu diserahkan kepada instrumen yang dibuat Presiden sendiri, padahal kementerian dan lembaga pemerintah termasuk pengendali data yang akan diawasi.
Jejak kata yang hilang itu ada dalam Naskah Akademik RUU PDP yang diprakarsai Kementerian Kominfo dan diselaraskan BPHN pada 2016. Pasal 32 ayat (1) rancangannya menyatakan Komisi, sebutan untuk lembaga pengawas dalam rancangan itu, melakukan tugasnya "secara independen". Di UU PDP kata itu tidak ada lagi. Pembentuk undang-undang sendiri tahu cara menuliskannya. UU OJK dan UU Bank Indonesia, sebagaimana diubah UU 4/2023, sama-sama menyatakan lembaganya "independen dalam melaksanakan tugas dan wewenangnya". UU 14/2008 juga menyebut Komisi Informasi, yang sama-sama berurusan dengan Badan Publik, sebagai lembaga mandiri, meski sekretariatnya disediakan pemerintah. Penulis belum menelusuri draf antara maupun risalah pembahasan, sehingga belum bisa mengatakan kapan dan mengapa rumusan itu berubah.
