Ini Kewajiban-Kewajiban dalam UU PDP dan Sanksinya Jika Melanggar

PERTANYAAN

Apa saja kewajiban penting yang perlu diperhatikan di dalam UU PDP? Kemudian, apakah terdapat sanksi jika kewajiban tersebut tidak dilaksanakan berdasarkan UU PDP?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran dari artikel dengan judul Kewajiban-Kewajiban Penting dalam UU PDP dan Sanksinya Jika Melanggar yang dibuat oleh David Christian, S.H. dan pertama kali dipublikasikan pada 03 Oktober 2022.

KLINIK TERKAIT

Aturan Pemrosesan Data Visual Menurut UU PDP

01 Okt, 2026

Penyelesaian Sengketa Pelindungan Data Pribadi Non Litigasi

21 Sep, 2026

Landasan Hukum Pelindungan Data Pribadi di Indonesia

15 Sep, 2026

Sharing Data Pribadi antar Perusahaan, Bolehkah?

30 Sep, 2022

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Pertama-tama kami asumsikan yang Anda maksud dengan kewajiban di sini adalah kewajiban yang diemban oleh pengendali data pribadi dan prosesor data pribadi.

UU PDP serta peraturan pelaksananya PP 33/2026 mendefinisikan pengendali data pribadi dan prosesor data pribadi, sebagai berikut:

1. Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[1]
2. Prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi.[2]

Baca juga: UU PDP: Landasan Hukum Pelindungan Data Pribadi

Kewajiban Pengendali dalam Pemrosesan Data Pribadi

Dalam melakukan pemrosesan data pribadi, baik pengendali data pribadi maupun prosesor data pribadi harus memenuhi sejumlah kewajiban. Adapun apa saja kewajiban tersebut dapat ditemukan dalam BAB VI UU PDP dan lebih lanjut dijabarkan dalam PP 33/2026.

Untuk pengendali data pribadi, kewajiban-kewajiban tersebut diantaranya adalah sebagai berikut:

1. Memiliki Dasar Pemrosesan Data Pribadi

Sebelum pengendali data pribadi melakukan pemrosesan data pribadi, pengendali data pribadi wajib memiliki dasar pemrosesan data pribadi terlebih dahulu.[3] Menurut Pasal 20 ayat (2) UU PDP. Dasar Pemrosesan data pribadi meliputi:

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

2. Melakukan Pemrosesan Data Pribadi Sesuai dengan Tujuan Pemrosesan Data Pribadi

Pengendali data pribadi wajib melakukan pemrosesan data pribadi sesuai dengan tujuan pemrosesan data pribadi.[4] Tujuan tersebut harus:[5]

1. terbatas untuk memenuhi tujuan tertentu yang disampaikan kepada subjek data pribadi secara eksplisit dan tegas; dan
2. mempertimbangkan keseimbangan kepentingan subjek data pribadi dengan tujuan pemrosesan data pribadi.

3. Memastikan Akurasi, Kelengkapan, dan Konsistensi Data Pribadi

Pengendali data pribadi wajib melakukan verifikasi untuk memastikan akurasi, kelengkapan, dan konsistensi data pribadi sesuai dengan ketentuan peraturan perundang-undangan.[6] Verifikasi ini dilakukan paling sedikit terhadap:[7]

1. tingkat kebenaran dan/atau keterpercayaan data pribadi;
2. kelengkapan data pribadi yang dibutuhkan untuk memenuhi tujuan pemrosesan data pribadi;
3. jenis atau keseragaman bentuk, tipe, atau format data pribadi yang dapat diterima oleh pengendali data pribadi; dan
4. kebutuhan pengendali data pribadi untuk melakukan verifikasi data pribadi secara berkala.

4. Menjaga Kerahasiaan Data pribadi

Dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menjaga kerahasiaan data pribadi.[8] Kewajiban menjaga kerahasiaan ini termasuk memastikan prosesor data pribadi yang ditunjuk oleh pengendali data pribadi mampu mendukung kewajiban data pribadi dalam menjaga kerahasiaan data pribadi.[9]

5. Bertanggung Jawab Atas Pemrosesan Data Pribadi

Pengendali data pribadi wajib bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip pelindungan data pribadi.[10] Dalam melaksanakan pertanggungjawaban ini, pengendali data pribadi paling sedikit harus:[11]

1. menetapkan dan menerapkan langkah teknis dan organisasi yang sesuai untuk memenuhi persyaratan akuntabilitas atau pertanggungjawaban;
2. mendokumentasikan seluruh kegiatan pemrosesan data pribadi;
3. merespon permintaan informasi dari lembaga;
4. menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan data pribadi; dan
5. melakukan audit pelindungan data pribadi secara internal dan eksternal.

Di atas merupakan 5 diantara beberapa kewajiban lain yang dimiliki oleh pengendali data pribadi. Kewajiban-kewajiban pengendali data pribadi selengkapnya bisa ditemukan dalam Pasal 19 sampai dengan 50 UU PDP serta Pasal 30 sampai dengan Pasal 138 PP 33/2026.

Kewajiban Prosesor Data Pribadi dalam Pemrosesan Data Pribadi

Kemudian, berkaitan dengan kewajiban yang dimiliki oleh prosesor data pribadi dapat merujuk pada ketentuan Pasal 51 UU PDP, yang berbunyi:

1. Dalam hal pengendali data pribadi menunjuk prosesor data pribadi, prosesor data pribadi wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi;
2. Pemrosesan data pribadi sebagaimana dimaksud pada ayat (1), dilaksanakan sesuai ketentuan yang diatur dalam undang-undang ini.
3. Pemrosesan data pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam tanggung jawab pengendali data pribadi.
4. Prosesor data pribadi dapat melibatkan prosesor data pribadi lain dalam melakukan pemrosesan data pribadi.
5. Prosesor data pribadi wajib mendapatkan persetujuan tertulis dari pengendali data pribadi sebelum melibatkan prosesor data pribadi lain sebagaimana dimaksud pada ayat (4).
6. Dalam hal prosesor data pribadi melakukan pemrosesan data pribadi di luar perintah dan tujuan yang ditetapkan pengendali data pribadi, pemrosesan data pribadi menjadi tanggung jawab prosesor data pribadi.

Selain itu, kewajiban pengendali data pribadi sebagaimana diatur dalam Pasal 29, Pasal 31, Pasal 35, Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 UU PDP berlaku juga terhadap prosesor data pribadi.[12]

Menurut Pasal 141 ayat (1) PP 33/2026, prosesor data pribadi harus bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban sesuai dengan ketentuan peraturan perundang-undangan. Dalam melaksanakan pertanggungjawabannya ini, prosesor data pribadi harus:[13]

1. mendokumentasikan seluruh kegiatan pemrosesan data pribadi;
2. merespons permintaan informasi dari lembaga;
3. menunjukkan pemenuhan kepatuhan dan bukti dokumentasi seluruh kegiatan pemrosesan data pribadi; dan
4. melakukan audit.

Pelanggaran Kewajiban dalam UU PDP dan Sanksinya

Menjawab pertanyaan Anda selanjutnya mengenai sanksi, apabila kewajiban tertentu yang dimiliki pengendali data pribadi dan/atau prosesor data pribadi dilanggar, meka pelanggar dapat dikenai sanksi administratif, berupa:[14]

1. peringatan tertulis;
2. penghentian sementara kegiatan pemrosesan data pribadi;
3. penghapusan atau pemusnahan data pribadi; dan/atau
4. denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.[15]

Sanksi administratif di atas dapat dikenai lebih dari satu sanksi administratif secara bersamaan, serta dapat dikenai dengan atau tanpa didahului pengenaan sanksi administratif berupa peringatan tertulis.[16]

Pengenaan sanksi administratif dilakukan dengan mempertimbangkan:[17]

1. tingkat atau dampak pelanggaran yang dilakukan oleh pengendali data pribadi dan/atau prosesor data pribadi;
2. kelangsungan kegiatan usaha atau pelayanan publik dari pengendali data pribadi dan/atau prosesor data pribadi;
3. kepatuhan dan/atau riwayat kepatuhan pengendali data pribadi dan/atau prosesor data pribadi terhadap ketentuan peraturan perundang-undangan di bidang pelindungan data pribadi;
4. dasar pertimbangan dan alasan yang jelas; dan
5. pertimbangan selain huruf a sampai dengan d yang ditetapkan oleh lembaga.

Adapun yang berwenang menjatuhkan sanksi administratif kepada pengendali data pribadi dan/atau prosesor data pribadi adalah lembaga yang menyelenggarakan pelindungan data pribadi.[18]

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
2. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

---

[1] Pasal 1 angka 4 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)

[2] Pasal 1 angka 5 UU PDP

[3] Pasal 30 ayat (1) dan (2) Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”)

[4] Pasal 28 UU PDP

[5] Pasal 67 ayat (1) PP 33/2026

[6] Pasal 29 UU PDP

[7] Pasal 69 ayat (5) PP 33/2026

[8] Pasal 36 UU PDP

[9] Pasal 125 ayat (2) PP 33/2026

[10] Pasal 47 UU PDP

[11] Pasal 138 ayat (2) PP 33/2026

[12] Pasal 52 UU PDP

[13] Pasal 141 PP 33/2026

[14] Pasal 57 ayat (2) UU PDP

[15] Pasal 57 ayat (3) UU PDP

[16] Pasal 184 ayat (7) dan (8) PP 33/2026

[17] Pasal 184 ayat (6) PP 33/2026

[18] Pasal 184 ayat (3) PP 33/2026