Perbedaan Pengendali dan Prosesor Data Pribadi dalam UU PDP

PERTANYAAN

Apa bedanya pihak pengendali data pribadi dan prosesor data pribadi? Kemudian jika terjadi kegagalan/kebocoran data pribadi, sejauh mana tanggung jawab dari kedua pihak tersebut?

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Artikel di bawah ini adalah pemutakhiran dari artikel dengan judul Perbedaan Pengendali dan Prosesor Data Pribadi Menurut UU PDP yang dibuat oleh Haris Satiadi, S.H. dan pertama kali dipublikasikan pada 7 Desember 2022.

KLINIK TERKAIT

Bolehkah Transfer Data Nasabah Antar Bank?

22 Sep, 2026

Penyelesaian Sengketa Pelindungan Data Pribadi Non Litigasi

21 Sep, 2026

Akibat Hukum Posting Data Anak di Medsos Tanpa Izin Ortu

21 Sep, 2026

Bolehkah Mencantumkan Data Pribadi dalam Putusan Pengadilan?

21 Sep, 2026

Seluruh informasi hukum dalam Klinik Hukumonline disediakan semata-mata untuk tujuan pendidikan dan bersifat umum. Silakan mempelajari Pernyataan Penyangkalan untuk informasi selengkapnya. Untuk memperoleh nasihat hukum yang sesuai dengan kasus Anda, silakan berkonsultasi langsung dengan Konsultan Mitra Justika.

Pengertian Pengendali dan Prosesor Data Pribadi

Indonesia kini telah memiliki UU PDP sebagai aturan khusus yang mengatur mengenai pelindungan data pribadi yang mulai berlaku sejak tanggal diundangkannya yaitu 17 Oktober 2022. Undang-undang ini telah diperkuat dengan peraturan pelaksanaannya yaitu PP 33/2026 yang akan berlaku 6 bulan terhitung sejak tanggal pengundangannya[1] yaitu tanggal 16 Januari 2027.

Pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.^[2]

Sementara itu, prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi.^[3]

Kewajiban Pengendali dan Prosesor Data Pribadi

Berdasarkan definisi di atas, tampak bahwa pengendali data pribadi melakukan kendali pemrosesan data pribadi untuk dirinya sendiri. Sementara prosesor data pribadi melakukan pemrosesan data pribadi atas nama pengendali data pribadi.

1. Kewajiban Pengendali Data Pribadi

Pengendali data pribadi wajib memiliki dasar pemrosesan data pribadi sebelum melakukan pemrosesan.[4] Pemrosesan data pribadi di sini meliputi pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumpulan, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan.[5]

Dasar pemrosesan data pribadi tersebut dapat berupa:^[6]

1. persetujuan yang sah secara eksplisit dari subjek data pribadi untuk 1 atau beberapa tujuan tertentu yang telah disampaikan oleh pengendali data pribadi kepada subjek data pribadi;
2. pemenuhan kewajiban perjanjian dalam hal subjek data pribadi merupakan salah satu pihak atau untuk memenuhi permintaan subjek data pribadi pada saat akan melakukan perjanjian;
3. pemenuhan kewajiban hukum dari pengendali data pribadi sesuai dengan ketentuan perundang-undangan;
4. pemenuhan pelindungan kepentingan vital subjek data pribadi;
5. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi berdasarkan peraturan perundang-undangan; dan/atau
6. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan pengendali data pribadi dan hak subjek data pribadi.

Peraturan secara rinci dan lebih teknis mengenai dasar pemrosesan data pribadi dapat Anda baca dalam Pasal 32 s.d. Pasal 56 PP 33/2026.

Khusus untuk pemrosesan data pribadi anak, pengendali data pribadi wajib mendapatkan persetujuan dari orang tua dan/atau wali anak sesuai ketentuan perundang-undangan.^[7]

Kemudian, terhadap pemrosesan data pribadi penyandang disabilitas, pengendali data pribadi wajib mendapat persetujuan dari penyandang disabilitas dan/atau walinya. Selain itu, pemrosesan data pribadi penyandang disabilitas harus dilakukan melalui komunikasi dengan menggunakan cara tertentu berdasarkan ketentuan peraturan perundang-undangan.[8]

Beberapa kewajiban pengendali data pribadi lainnya antara lain:

1. Pengendali data pribadi wajib melakukan pemrosesan data pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan.[9]
2. Pengendali data pribadi wajib melakukan pemrosesan data pribadi sesuai dengan tujuan pemrosesan data pribadi.[10]
3. Pengendali data pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi data pribadi.[11]
4. Pengendali data pribadi wajib melindungi danmemastikan keamanan data pribadi yang diprosesnya, dengan melakukan penyusunan dan penerapan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dan penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi.^[12]
5. Pengendali data pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi.[13]
6. Pengendali data pribadi wajib menjaga kerahasiaan data pribadi dalam melakukan pemrosesan data pribadi.^[14]
7. Pengendali data pribadi wajib mengawasi setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendali pengendali data pribadi.[15]
8. Pengendali data pribadi wajib melindungi data pribadi dari pemrosesan yang tidak sah.[16]
9. Pengendali data pribadi wajib mencegah data pribadi diakses secara tidak sah dengan menggunakan sistem keamanan terhadap data pribadi yang diproses dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, bertanggung jawab.^[17]
10. Pengendali data pribadi wajib melakukan penilaian dampak pelindungan data pribadi dalam hal pemrosesan data pribadi memiliki risiko tinggi terhadap subjek data pribadi.[18]

2. Kewajiban Prosesor Data Pribadi

Prosesor data pribadi wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi.^[19] Dalam hal ini, pemrosesan data pribadi menjadi tanggung jawab dari pengendali data pribadi[20] kecuali prosesor melakukan pemrosesan di luar perintah dan tujuan yang ditetapkan pengendali.[21]

Penunjukkan prosesor wajib dilakukan berdasarkan perjanjian tertulis yang sekurangkurangnya memuat hal-hal yang diatur di dalam Pasal 14 PP 33/2026 antara lain cakupan pemrosesan atas nama pengendali, cara pemrosesan, jenis data pribadi, hingga audit dan inspeksi.

Prosesor data pribadi wajib mendapatkan persetujuan tertulis dari pengendali data pribadi sebelum melibatkan prosesor data pribadi lain dalam melakukan pemrosesan data pribadi.^[22]

Kewajiban pengendali data pribadi yang diatur dalam Pasal 29, 31, 35, 36, 37, 38, dan 39UU PDP juga berlaku terhadap prosesor data pribadi.[23] Kewajiban tersebut yaitu:

1. Memastikan akurasi, kelengkapan, dan konsistensi data pribadi;
2. Melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi;
3. Melindungi dan memastikan keamanan data pribadi yang diprosesnya;
4. Menjaga kerahasiaan data pribadi;
5. Mengawasi setiap pihak yang terlibat dalam pemrosesan data pribadi;
6. Melindungi data pribadi dari pemrosesan yang tidak sah; dan
7. Mencegah data pribadi diakses secara tidak sah.

Tanggung Jawab Jika Data Pribadi Bocor

Pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 jam dalam hal terjadi kegagalan pelindungan data pribadi kepada subjek data pribadi dan lembaga.^[24]

Pemberitahuan itu minimal memuat data pribadi yang terungkap, kapan dan bagaimana data pribadi terungkap, dan upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi.^[25]

Adapun yang dimaksud dengan ‘kegagalan pelindungan data pribadi’ adalah kegagalan melindungi data pribadi seseorang dalam hal kerahasiaan, integritas, dan ketersediaan data pribadi, termasuk pelanggaran keamanan, baik yang disengaja maupun tidak disengaja, yang mengarah pada perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap data pribadi yang dikirim, disimpan, atau diproses.[26]

Apabila pengendali data pribadi tidak menyampaikan pemberitahuan tertulis mengenai adanya kebocoran data pribadi dalam waktu 3 x 24 jam, maka dapat dikenai sanksi administratif berupa peringatan tertulis, pengentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif.[27]

Pengenaan sanksi administratif di atas juga berlaku jika pengendali maupun prosesor data pribadi tidak mencegah data pribadi diakses secara tidak sah melalui sistem keamanan menggunakan sistem elektronik yang andal, aman, dan bertanggung jawab.[28]

Selain itu, subjek data pribadi yang dirugikan atas kejadian kebocoran data pribadi juga berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya.[29] Permintaan ganti rugi itu bisa diajukan subjek data pribadi kepada pengendali data pribadi terlebih dahulu.[30] Jika pengendali data pribadi menolak permintaan ganti rugi atau tidak tercapai kesepakatan mengenai ganti rugi, maka subjek data pribadi dapat mengajukan gugatan ke pengadilan.[31]

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
2. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

[1] Pasal 225 Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP 33/2026”).

^[2] Pasal 1 angka 4 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”).

^[3] Pasal 1 angka 5 UU PDP.

[4] Pasal 20 ayat (1) UU PDP jo. Pasal 30 ayat (2) PP 33/2026.

[5] Pasal 16 ayat (1) UU PDP.

^[6] Pasal 20 ayat (2) UU PDP.

^[7] Pasal 25 UU PDP.

[8] Pasal 26 UU PDP.

[9] Pasal 27 UU PDP.

[10] Pasal 28 UU PDP.

[11] Pasal 29 ayat (1) UU PDP.

^[12] Pasal 35 UU PDP.

[13] Pasal 31 UU PDP.

^[14] Pasal 36 UU PDP.

[15] Pasal 37 UU PDP.

[16] Pasal 38 UU PDP.

^[17] Pasal 39 UU PDP.

[18] Pasal 34 ayat (1) UU PDP.

^[19] Pasal 51 ayat (1) UU PDP.

[20] Pasal 51 ayat (3) UU PDP.

[21] Pasal 139 ayat (3) PP 33/2026.

^[22] Pasal 51 ayat (5) UU PDP.

[23] Pasal 52 UU PDP

^[24] Pasal 46 ayat (1) UU PDP.

^[25] Pasal 46 ayat (2) UU PDP.

[26] Penjelasan Pasal 46 ayat (1) UU PDP.

[27] Pasal 184 ayat (2) PP 33/2026.

[28] Pasal 184 ayat (1) jo. Pasal 130 ayat (1) jis. Pasal 140 PP 33/2026.

[29] Pasal 12 ayat (1) UU PDP.

[30] Pasal 106 PP 33/2026.

[31] Pasal 108 ayat (3) PP 33/2026.