Badan Pengawas PDP Belum Terbentuk, Apa yang Perlu Disiapkan Perusahaan Anda?
Badan Pengawas Pelindungan Data Pribadi (PDP) adalah lembaga yang diamanatkan Undang-Undang Nomor 27 Tahun 2022 untuk mengawasi kepatuhan perusahaan dan instansi yang mengolah data pribadi. Sederhananya, badan inilah yang kelak menerima aduan, memeriksa, dan menjatuhkan sanksi, sementara hari ini tugas itu masih dipegang Kemkomdigi. Tulisan ini membahas mandat dan kewenangan badan, perjalanan rancangan Perpresnya, pengawasan masa transisi, tingkat independensinya, kaitannya dengan tata kelola AI, aturan yang masih menunggu, perkara di Mahkamah Konstitusi, hingga langkah persiapan perusahaan.
TLDR
Apa Itu Badan Pengawas PDP dan Mengapa Undang-Undang Mewajibkannya?
Pasal 58 sampai 60 UU PDP menugaskan satu lembaga yang ditetapkan Presiden untuk mengawasi, menegakkan hukum administratif, dan menjatuhkan sanksi kepada pengendali data.
Bagaimana Perjalanan Rancangan Perpres Badan PDP Sejak 2022?
Rancangan disusun sejak akhir 2022, mendapat izin prakarsa pada 4 Maret 2025, dan dinyatakan final serta diajukan ke Presiden pada 4 November 2026.
Siapa yang Mengawasi Data Pribadi Selama Badan Belum Dibentuk?
Kemkomdigi lewat Direktorat Jenderal Pengawasan Ruang Digital menjalankan pemeriksaan, penanganan insiden, dan layanan aduan, dibantu satuan tugas masa transisi.
Seberapa Independen Badan Pengawas PDP Nantinya?
Badan disebut bekerja independen dengan struktur sendiri, tetapi bertanggung jawab kepada Presiden, dan rincian jalur pelaporannya baru jelas setelah Perpres terbit.
Apa Saja Kewenangan Badan PDP terhadap Perusahaan Anda?
Badan dapat memeriksa, menerima aduan, menerima notifikasi kebocoran 3 x 24 jam, dan menjatuhkan sanksi hingga denda 2 persen dari pendapatan tahunan.
Mengapa Pengawas Data Pribadi Penting bagi Tata Kelola AI?
Pemerintah menyebut etika AI dan pelindungan data pribadi sebagai dua fondasi tata kelola AI, sehingga sistem AI yang memproses data pribadi berada langsung di bawah mata pengawas.
Aturan Apa yang Masih Menunggu Peraturan Lembaga?
Metodologi penilaian dampak, tata cara notifikasi, ganti rugi, daftar negara memadai, dan klausul kontrak standar transfer data masih bergantung pada peraturan lembaga.
Bagaimana Perkara Mahkamah Konstitusi dan Tekanan DPR Memengaruhi Jadwal?
Perkara 236/PUU-XXIV/2026 menguji ketentuan pembentukan lembaga dan DPR sudah menagih sejak Februari 2026, sehingga jadwal bisa bergeser mengikuti putusan dan penetapan Perpres.
Apa yang Sebaiknya Disiapkan Perusahaan Sebelum Badan Beroperasi?
Siapkan prosedur insiden, catatan pemrosesan, penilaian dampak proyek AI, penunjukan petugas data, dan kontrak vendor, karena kewajiban UU PDP sudah berjalan.
Kesimpulan
Badan belum berdiri, tetapi sanksi dan tenggat sudah tertulis, sehingga perusahaan sebaiknya menyiapkan dokumentasi sekarang.
Banyak perusahaan sudah menyusun kebijakan privasi, menunjuk penanggung jawab data, dan mulai menilai proyek AI mereka. Namun satu pertanyaan sering menggantung di ruang rapat: kepada siapa semua dokumen itu nanti diperlihatkan? UU PDP sudah menyebut ada lembaga yang mengawasi, tetapi lebih dari empat tahun sejak undang-undang itu terbit, lembaga tersebut belum berdiri. Pada 4 November 2026 pemerintah menyatakan rancangan aturan pembentukannya sudah final dan berada di meja Presiden. Tulisan ini menjelaskan apa artinya bagi perusahaan Anda, terutama yang memakai AI.
Apa Itu Badan Pengawas PDP dan Mengapa Undang-Undang Mewajibkannya?
Badan Pengawas PDP adalah lembaga yang menurut Pasal 58 UU Nomor 27 Tahun 2022 menyelenggarakan pelindungan data pribadi, ditetapkan oleh Presiden, dan bertanggung jawab kepada Presiden. Tugasnya meliputi merumuskan kebijakan, mengawasi, menegakkan hukum administratif, dan memfasilitasi penyelesaian sengketa di luar pengadilan. Tanpa lembaga ini, sanksi di undang-undang belum punya pihak yang menjatuhkannya.
UU PDP ditetapkan di Jakarta pada 17 Oktober 2022 dan tercatat di basis data JDIH BPK dengan status berlaku. Bab kelembagaannya menyerahkan penyelenggaraan pelindungan data kepada satu lembaga. Pasal 58 ayat (3) menyebut lembaga itu "ditetapkan oleh Presiden", ayat (4) menyebutnya "bertanggung jawab kepada Presiden", dan ayat (5) menyerahkan aturan lebih lanjut kepada Peraturan Presiden. Karena itu, Rancangan Perpres menjadi kunci pembentukan badan ini.
Pasal 59 merinci empat pekerjaan lembaga: merumuskan dan menetapkan kebijakan serta strategi pelindungan data pribadi yang menjadi panduan bagi subjek data, pengendali data, dan prosesor data, mengawasi penyelenggaraan pelindungan data, menegakkan hukum administratif terhadap pelanggaran undang-undang, serta memfasilitasi penyelesaian sengketa di luar pengadilan. Dengan kata lain, lembaga ini sekaligus penyusun pedoman, pemeriksa, dan penegak sanksi.
Pasal 60 menambahkan kewenangan konkret. Lembaga berwenang mengawasi kepatuhan pengendali data pribadi, menjatuhkan sanksi administratif kepada pengendali dan prosesor, membantu aparat penegak hukum menangani dugaan tindak pidana data pribadi, dan bekerja sama dengan lembaga pelindungan data negara lain untuk pelanggaran lintas negara. Menurut Katadata (5 November 2026), lembaga juga menerima aduan, wajib mempublikasikan hasil pelaksanaan pelindungan data, dan menilai pemenuhan syarat transfer data ke luar wilayah Indonesia.
Alasan undang-undang menuntut lembaga khusus bisa dibaca dari Pasal 57 ayat (4), yang menegaskan bahwa penjatuhan sanksi administratif diberikan oleh lembaga. Hak warga untuk mengadu juga butuh alamat yang jelas. Muhammad Tristan Bias, praktisi hukum di SSAJ & Associates, menulis di Kompas.com (4 September 2026): "Jangan sampai ketika hak atas data pribadi dilanggar, hukum sudah menyediakan sanksi, tetapi masyarakat masih harus bertanya kepada siapa mereka mengadu."
Bagi perusahaan, konsekuensinya praktis. Setiap kewajiban yang Anda penuhi hari ini, mulai dari penilaian dampak sampai pemberitahuan kebocoran, pada akhirnya akan dinilai oleh lembaga ini. Memahami cara kerjanya lebih awal membantu Anda menyusun dokumentasi yang sesuai dengan cara pemeriksa membacanya.
Bagaimana Perjalanan Rancangan Perpres Badan PDP Sejak 2022?
Rancangan Perpres Badan PDP disusun sejak akhir 2022, memperoleh izin prakarsa Presiden pada 4 Maret 2025, dibahas antarkementerian sampai September 2025, dan diharmonisasi sejak Oktober 2025. Pada 4 November 2026 Kemkomdigi menyatakan rancangan itu final dan sudah diajukan kepada Presiden melalui Kementerian Sekretariat Negara.
Rincian awalnya disampaikan Direktur Jenderal Pengawasan Ruang Digital Kemkomdigi, Alexander Sabar, dalam rapat dengan Komisi I DPR pada 4 Februari 2026, seperti dilaporkan Antara. Penyusunan berlangsung dari akhir 2022 hingga 2024. Rancangan lalu diserahkan kepada Kementerian Pendayagunaan Aparatur Negara dan Reformasi Birokrasi sebagai kementerian pemrakarsa untuk meminta izin prakarsa Presiden, yang terbit pada 4 Maret 2025. Pembahasan di Panitia Antar Kementerian berlangsung sejak Maret hingga September 2025, lalu harmonisasi di Kementerian Hukum dimulai pada Oktober 2025.
Pada rapat itu Alexander juga menyampaikan target pemerintah, bahwa pembahasan di tingkat harmonisasi "ditargetkan dapat diselesaikan pada tahun ini hingga ditetapkan oleh Bapak Presiden". Menurut kolom di Kompas.com, dalam sidang Mahkamah Konstitusi pada 27 Juli 2026 Alexander menyebut rancangan itu telah diajukan kepada Presiden melalui surat Menteri PANRB tertanggal 20 Mei 2026. Beberapa hari sebelumnya, Wakil Menteri Komunikasi dan Digital Nezar Patria memperkirakan Perpres rampung sekitar dua bulan kemudian.
Sementara itu, aturan pelaksana UU PDP sudah lebih dulu terbit. Menurut SIP Law Firm, Peraturan Pemerintah Nomor 33 Tahun 2026 diundangkan pada 16 Juli 2026, terdiri dari 225 pasal, dan berlaku enam bulan kemudian, yaitu 16 Januari 2027. Artinya, PP itu sudah menempatkan lembaga sebagai pelaku utama kewenangan pengawasan, padahal lembaganya belum ditetapkan.
Kabar terbaru datang pada 4 November 2026. Direktur Strategi dan Kebijakan Pengawasan Ruang Digital Kemkomdigi, Muchtarul Huda, menyampaikan kepada Antara: "Rancangan Perpres untuk pembentukan lembaga PDP telah pada tahap final dan saat ini sudah diajukan kepada Presiden melalui Kementerian Sekretariat Negara." Katadata (5 November 2026) melaporkan pernyataan yang sama.
Diagram garis waktu Badan Pengawas PDP. Diolah Burung Hantu Infratek dari UU 27/2022, ANTARA, Katadata, Kompas.com, dan SIP Law Firm.
Perlu dicatat, tahap final dan diajukan belum berarti ditetapkan. Hingga tulisan ini disusun pada 6 November 2026, penulis tidak menemukan pengumuman bahwa Presiden sudah menandatangani Perpres tersebut. Target 2026 yang dijanjikan Kemkomdigi sejak Februari masih mungkin tercapai, tetapi kepastiannya ada di tangan Presiden. Jarak dari terbitnya undang-undang pada 17 Oktober 2022 sampai pengajuan ke Presiden sudah lebih dari empat tahun.
Siapa yang Mengawasi Data Pribadi Selama Badan Belum Dibentuk?
Selama badan belum dibentuk, pengawasan dijalankan Kemkomdigi lewat Direktorat Jenderal Pengawasan Ruang Digital. Kegiatannya mencakup pemeriksaan sistem elektronik penyelenggara terdaftar, penanganan insiden, dan penerimaan aduan. Kemkomdigi juga menyiapkan satuan tugas khusus agar pengawasan insiden tetap berjalan saat tugas dialihkan ke badan independen.
Alexander Sabar menjelaskan kepada Komisi I DPR, seperti dikutip Antara, bahwa pengawasan terdiri dari pengawasan proaktif dan reaktif. Bentuknya pemeriksaan sistem elektronik penyelenggara sistem elektronik (PSE) terdaftar, baik aplikasi seluler maupun situs web, serta pengisian perangkat pengukuran implementasi PDP oleh PSE. Artinya, bila perusahaan Anda terdaftar sebagai PSE, Anda sudah berada dalam jangkauan pemeriksaan itu hari ini.
Dalam penanganan insiden, Kemkomdigi menerima laporan sampai memberi rekomendasi teknis, serta melakukan penelusuran harian terhadap forum jual beli data pribadi ilegal. Instansi itu juga membuka layanan aduan atas dugaan pelanggaran dan penyalahgunaan data, layanan konsultasi, dan layanan audiensi bagi mahasiswa yang meneliti PDP.
Untuk masa peralihan, Muchtarul Huda menyatakan: "Kementerian Komdigi juga sudah menyiapkan satuan tugas khusus untuk memastikan proses transisi berjalan lancar." Katadata menambahkan bahwa fungsi pelindungan data pribadi tetap dijalankan Komdigi sampai lembaga pengawas resmi dibentuk.
Pengawasan sementara ini tidak lepas dari kritik. Dalam rapat Komisi I pada 4 Februari 2026, anggota DPR Juniko BP Siahaan menyatakan, menurut Periskop: "Sampai detik ini, Komisi I belum pernah menerima hasil laporan semua kebocoran data yang terjadi dari sebelum dan sesudah Undang-Undang PDP ini diundangkan tahun 2022." Pernyataan itu menunjukkan bahwa transparansi hasil pengawasan masih menjadi pekerjaan rumah.
Ada pula soal dasar kewenangan. Kolom di Kompas.com menekankan bahwa bila fungsi sementara dijalankan Direktorat Jenderal Pengawasan Ruang Digital, dasar dan batas kewenangannya harus dirumuskan tegas, termasuk siapa yang sah menerima pengaduan dan menjatuhkan sanksi. Bagi perusahaan, pelajarannya sederhana: perlakukan pemeriksaan Kemkomdigi sebagai pemeriksaan sungguhan, tetapi ikuti perkembangan Perpres untuk tahu kapan wewenang resmi berpindah.
Karena pemeriksaan sementara ini sudah berjalan, simpan korespondensi dengan Kemkomdigi, bukti pengisian perangkat pengukuran implementasi PDP, dan tindak lanjut atas rekomendasi teknis yang pernah Anda terima. Dokumen itu berguna untuk menunjukkan kesiapan Anda jika pemeriksaan kelak berlanjut ke badan yang baru, dan membantu tim internal menjelaskan riwayat kepatuhan tanpa harus menyusunnya ulang dari ingatan.
Seberapa Independen Badan Pengawas PDP Nantinya?
Menurut UU PDP, lembaga ditetapkan Presiden dan bertanggung jawab kepada Presiden. Wakil Menteri Komunikasi dan Digital Nezar Patria menyebut badan akan bekerja independen dengan struktur sendiri, tetapi laporannya ditujukan kepada Presiden melalui Kementerian Komdigi. Anggota DPR menegaskan badan harus dibentuk langsung oleh Presiden, bukan di bawah kementerian teknis.
"Badan Pelindungan Data Pribadi ini akan bekerja secara independen dengan seluruh strukturnya, tetapi semua laporannya ditujukan kepada Presiden melalui Kementerian Komdigi," kata Nezar, dikutip detikInet pada Juli 2026. Detik juga menulis bahwa salah satu poin penting rancangan Perpres adalah pembentukan Otoritas PDP sebagai lembaga independen yang tidak berada di bawah struktur Kementerian Komdigi.
Dari sisi DPR, Periskop melaporkan bahwa Juniko BP Siahaan mengingatkan amanat undang-undang mengharuskan badan ini dibentuk langsung oleh Presiden, bukan ditempatkan di bawah kementerian teknis. Sekretaris Jenderal Kemkomdigi, Ismail, menurut Antara, menyatakan bahwa Kemkomdigi konsisten menyuarakan prinsip UU PDP agar badan bersifat independen dan bertanggung jawab langsung ke Presiden.
Dua pernyataan Nezar, yaitu independen dan melapor melalui Komdigi, perlu dibaca bersama. Rumusan akhirnya baru terang setelah Perpres ditetapkan dan dipublikasikan, termasuk jalur pelaporan, kedudukan struktural, dan sumber anggaran. Ismail sendiri mengakui masih ada pekerjaan lanjutan: "Setelah itu lembaga disahkan, maka tentu harus ada orang dan hal-hal yang berkaitan dengan masalah administrasi perkantorannya, kantornya di mana, anggarannya seperti apa."
Mengapa independensi penting bagi perusahaan? Menurut Katadata, pengendali data pribadi mencakup orang, badan publik, maupun organisasi internasional, sehingga pengawasnya harus dipercaya semua pihak itu. Pengawas yang berjarak dari kepentingan sektoral cenderung lebih konsisten, tetapi ini pembacaan umum, bukan janji dari dokumen resmi. Isi Perpres yang akan menentukan seberapa kuat badan ini bekerja.
Kolom Kompas.com mengingatkan bahwa PP 33/2026 masih memberi ruang bagi Peraturan Lembaga, sehingga pembentukan kelembagaan harus berjalan beriringan dengan penyiapan sumber daya manusia, sistem pengaduan, prosedur pemeriksaan, dan aturan pelaksana. Dengan kata lain, penetapan Perpres adalah awal, bukan akhir, dari kesiapan pengawas.
Apa Saja Kewenangan Badan PDP terhadap Perusahaan Anda?
Badan PDP berwenang mengawasi kepatuhan pengendali data, menerima aduan, memeriksa, dan menjatuhkan sanksi administratif. Menurut Pasal 57 UU PDP, sanksinya berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan atau pemusnahan data, dan denda administratif paling tinggi 2 persen dari pendapatan tahunan.
Pasal 57 ayat (3) menyebut denda administratif "paling tinggi 2 (dua) persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran". Menurut Veritask (3 September 2026), PP 33/2026 mengaturnya lebih rinci dalam Pasal 184 dan 185, dan sanksi dapat dikenakan secara kumulatif atas satu pelanggaran. Besaran denda dihitung dari variabel seperti dampak pelanggaran, durasi, dan jumlah subjek data yang terdampak.
SIP Law Firm mencatat bahwa penjelasan PP menafsirkan "pendapatan" sebagai arus masuk ekonomi bruto, bukan laba bersih. Konsekuensinya, perusahaan yang labanya tipis tetap menghadapi basis perhitungan yang besar. SIP juga mencatat bahwa keberatan terhadap sanksi tidak otomatis menunda penegakan.
Kewenangan lain menyangkut insiden. Pasal 46 UU PDP mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga. Menurut Veritask, PP 33/2026 menghitung tiga hari itu sejak kegagalan diketahui secara pasti, patut, dan wajar, dan dokumentasi tiap kegagalan wajib disampaikan kepada lembaga. Jika kegagalan mengganggu pelayanan publik, pengendali juga wajib memberi tahu masyarakat umum.
Subjek data pun punya jalur langsung ke badan ini. Menurut Veritask, bila pengendali tidak melaksanakan kewajiban atas permohonan hak subjek data, subjek dapat melaporkannya kepada lembaga. Pengendali dan prosesor juga wajib melaksanakan perintah lembaga dan menyusun ketentuan pemrosesan internal dengan mengacu pada pedoman yang ditetapkan lembaga.
Untuk proyek berisiko tinggi seperti AI, konsultasi dengan lembaga dimungkinkan pada kondisi tertentu terkait penilaian dampak, menurut Veritask. Konsultasi dini semacam ini layak dipertimbangkan setelah badan beroperasi, terutama untuk sistem yang memutuskan sesuatu tentang orang.
Bagi tim hukum, perhitungan sederhana membantu mengukur taruhannya. Perusahaan dengan pendapatan tahunan Rp100 miliar menghadapi batas denda hingga Rp2 miliar untuk satu pelanggaran. Angka itu hanya ilustrasi hitungan dari bunyi pasal, bukan tarif pasti, karena besaran akhirnya ditentukan lembaga menurut variabel pelanggaran dan bisa jauh lebih kecil.
Mengapa Pengawas Data Pribadi Penting bagi Tata Kelola AI?
Pemerintah menempatkan pelindungan data pribadi sebagai fondasi tata kelola AI. Karena itu, Perpres Badan PDP dan Perpres Peta Jalan AI Nasional disusun paralel. Bagi perusahaan pengguna AI, badan inilah yang kelak menilai apakah data pelanggan dan karyawan diproses dengan dasar yang sah dan risiko yang terkendali.
Nezar Patria menjelaskan alasannya kepada detikInet pada Juli 2026: "Fondasi tata kelola AI bertumpu pada dua aspek utama, yaitu etika AI dan pelindungan data pribadi." Ia menambahkan bahwa pemerintah akan memakai pendekatan regulasi berbasis risiko, dengan produk AI diklasifikasikan menurut tingkat risikonya agar aturan proporsional tanpa menghambat inovasi.
Titik temu paling nyata ada di UU PDP. Pasal 34 ayat (2) memasukkan pengambilan keputusan otomatis, evaluasi atau penskoran sistematis, pemrosesan skala besar, dan penggunaan teknologi baru ke dalam daftar pemrosesan berisiko tinggi yang wajib dinilai dampaknya. Pasal 10 ayat (1) memberi subjek data hak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang berdampak signifikan.
SIP Law Firm menjelaskan bahwa PP 33/2026 menjadikan penerapan teknologi baru seperti kecerdasan buatan, machine learning, dan Internet of Things sebagai pemicu tersendiri untuk penilaian dampak, sedangkan pemrosesan berskala besar dinilai kontekstual tanpa angka minimum. Justisio menambahkan contoh penolakan pinjaman daring berdasarkan skor kredit algoritmik, dengan pengendali wajib menyediakan mekanisme keberatan, informasi tentang logika pemrosesan, dan kemungkinan campur tangan manusia.
Di sinilah peran badan pengawas. SIP mencatat bahwa ketentuan teknis metodologi penilaian dampak akan diatur lewat peraturan lembaga. Artinya, standar rinci tentang bagaimana sistem AI harus dinilai, didokumentasikan, dan diperiksa ulang akan ditulis oleh lembaga yang sampai kini belum terbentuk. Perusahaan yang sudah menjalankan penilaian dampak lebih awal akan punya bahan untuk menyesuaikan, bukan mulai dari nol.
Tim teknis perlu menerjemahkannya ke praktik. Catat sumber data pelatihan, dasar hukum pemrosesan, siapa yang bisa meninjau keputusan model, dan bagaimana log disimpan. Dokumen semacam ini kemungkinan besar akan diminta pemeriksa, apa pun format akhir yang ditetapkan lembaga.
Aturan Apa yang Masih Menunggu Peraturan Lembaga?
Sejumlah ketentuan teknis PP 33/2026 bergantung pada lembaga yang belum ada: metodologi penilaian dampak, tata cara pemberitahuan kegagalan pelindungan data, penanganan ganti rugi, daftar negara dengan pelindungan memadai, klausul kontrak standar, dan persetujuan aturan korporasi yang mengikat. Detail praktisnya baru jelas setelah badan beroperasi.
Menurut SIP Law Firm, ketentuan teknis penilaian dampak akan diatur melalui peraturan lembaga PDP. Untuk transfer data lintas negara, SIP menguraikan tiga lapis mekanisme: lembaga menilai dan menyusun daftar yurisdiksi yang dianggap memadai, pelindungan yang memadai lewat Standard Contractual Clauses yang akan diterbitkan lembaga atau Binding Corporate Rules yang perlu persetujuan lembaga, dan persetujuan subjek data untuk transfer sekali waktu.
Veritask mencatat bahwa ketentuan lebih lanjut tentang pemberitahuan kegagalan pelindungan data dan penanganan ganti rugi juga diatur dalam Peraturan Lembaga. Pengendali wajib menyusun ketentuan pemrosesan internal dengan mengacu pada pedoman lembaga. Dengan kata lain, banyak format dan prosedur yang kini masih berupa kerangka.
Soal transfer data, Pasal 165 PP 33/2026 menurut Veritask mewajibkan pengendali memastikan negara penerima punya tingkat pelindungan setara atau lebih tinggi. Jika tidak, harus ada pelindungan memadai yang mengikat, dan jika keduanya tidak terpenuhi, perusahaan perlu persetujuan subjek data. Ketentuan ini relevan bagi perusahaan yang memakai layanan AI atau komputasi awan yang memproses data di luar Indonesia.
Kolom Kompas.com mengingatkan bahwa pekerjaan tidak berhenti pada terbitnya Perpres karena PP 33/2026 masih memberi ruang bagi Peraturan Lembaga. SIP menambahkan bahwa Pasal 223 PP menegaskan pemrosesan data pribadi tetap dilakukan sepanjang tidak bertentangan dengan PP, sehingga menunggu lembaga terbentuk bukan alasan untuk menunda persiapan.
Praktiknya, rancang dokumen Anda agar mudah disesuaikan. Pisahkan inventaris data, peta transfer, dan catatan penilaian dampak dalam berkas yang bisa diperbarui, karena format wajibnya mungkin berubah ketika peraturan lembaga terbit.
Daftar tunggu ini juga bisa dibaca sebagai peluang. Jika lembaga membuka konsultasi publik saat menyusun pedoman, perusahaan dan asosiasi industri yang sudah mencatat praktik lapangannya sendiri akan punya bahan masukan yang konkret. Belum ada pengumuman jadwal konsultasi semacam itu, jadi ini baru kemungkinan, bukan janji.
Bagaimana Perkara Mahkamah Konstitusi dan Tekanan DPR Memengaruhi Jadwal?
Mahkamah Konstitusi sedang memeriksa Perkara Nomor 236/PUU-XXIV/2026 yang menguji ketentuan pembentukan Lembaga PDP, dan para pemohon meminta batas waktu pembentukan. DPR juga sudah menagih lembaga ini sejak Februari 2026. Putusan dan tekanan itu dapat memengaruhi kepastian jadwal pembentukan badan.
Menurut kolom Kompas.com, perkara tersebut menguji ketentuan mengenai pembentukan Lembaga PDP dan pemohonnya meminta agar pembentukan diberi batas waktu tertentu. Penulis kolom itu, Muhammad Tristan Bias, menilai apa pun putusannya, kepastian kewajiban dan batas waktu akan membantu mencegah kekosongan kelembagaan yang berkepanjangan.
Tekanan DPR terlihat dalam rapat Komisi I pada 4 Februari 2026. Anggota Komisi I Nurul Arifin, menurut Periskop, berkata: "Lembaga yang diamanatkan di dalam undang-undang juga belum ada, suaranya pun belum terdengar, padahal itu amanat dari undang-undang." Ia menyoroti bahwa undang-undang itu sudah berjalan hampir empat tahun.
Pada rapat yang sama, Alexander Sabar menyampaikan bahwa Rancangan Peraturan Pemerintah PDP sudah selesai dibahas dan menunggu penetapan Presiden. Menurut SIP Law Firm, PP itu kemudian diundangkan pada 16 Juli 2026. Rancangan Perpres Badan PDP mengikuti jalur yang lebih panjang karena masih dalam harmonisasi pada Februari 2026.
Kolom Kompas.com menyodorkan tiga langkah sebelum 16 Januari 2027: Presiden menetapkan Perpres yang diajukan sejak 20 Mei 2026, pemerintah memberi kepastian hukum soal mekanisme transisi, dan Mahkamah Konstitusi memberi kepastian lewat putusan. Dari situ, ada tiga skenario yang bisa dibayangkan, dan masing-masing menuntut sikap berbeda dari perusahaan.
Pertama, Perpres ditetapkan sebelum 16 Januari 2027, sehingga lembaga mulai mengambil alih fungsi sambil menyusun peraturan lembaga. Kedua, Perpres terlambat sehingga PP berlaku lebih dulu, dan pengawasan tetap lewat Kemkomdigi. Ketiga, putusan Mahkamah menetapkan batas waktu yang memaksa jadwal. Pada ketiganya, kewajiban dalam UU PDP tetap berlaku. Skenario ini analisis kami, bukan prediksi resmi pemerintah.
Bagi perusahaan, pelajaran dari ketiga skenario sama: jadwal pembentukan badan tidak boleh dijadikan patokan kapan mulai patuh. Tanggal yang pasti hanyalah 16 Januari 2027 untuk PP 33/2026, sebagaimana dicatat SIP Law Firm dan Veritask. Siapkan prosedur sekarang dan perlakukan penetapan Perpres sebagai kabar yang mempercepat penyesuaian, bukan pemicu mulai bekerja.
Apa yang Sebaiknya Disiapkan Perusahaan Sebelum Badan Beroperasi?
Perusahaan sebaiknya menyiapkan prosedur yang akan diminta pengawas: pemberitahuan kebocoran dalam 3 x 24 jam, catatan kegiatan pemrosesan, penilaian dampak untuk proyek AI, penunjukan petugas pelindungan data bila wajib, serta kontrak vendor dan peta transfer data. Mulailah dari yang paling berisiko.
Berikut langkah yang bisa dikerjakan sekarang, disusun dari teks UU PDP serta ulasan SIP Law Firm, Veritask, dan Justisio:
Siapkan prosedur insiden. Tetapkan siapa yang menyatakan sebuah kegagalan pasti, patut, dan wajar, siapa yang menyusun pemberitahuan tertulis, dan templatenya. Menurut Pasal 46 ayat (2) UU PDP, pemberitahuan minimal memuat data yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan.
Susun catatan kegiatan pemrosesan (ROPA). Menurut SIP Law Firm, isinya mencakup identitas pengendali, prosesor, dan petugas pelindungan data, sumber data, dasar dan tujuan pemrosesan, kategori data, pihak ketiga, masa retensi, pengamanan, dan rincian transfer.
Jalankan penilaian dampak untuk proyek AI. Dahulukan sistem yang memutuskan sesuatu tentang orang, memproses data spesifik, atau mengolah data dalam skala besar, sesuai Pasal 34 ayat (2) UU PDP.
Periksa kewajiban petugas pelindungan data. Pasal 53 ayat (1) UU PDP mewajibkan penunjukan untuk pelayanan publik, pemantauan teratur dan sistematis atas data skala besar, atau pemrosesan data spesifik skala besar. Menurut SIP, Putusan MK Nomor 151/PUU-XXII/2024 mengubah kata penghubung menjadi "dan/atau", sehingga satu kondisi sudah cukup.
Tinjau kontrak vendor dan transfer data. SIP mencatat perlunya perjanjian tertulis ketika pengendali melibatkan prosesor. Petakan juga alur data ke luar negeri, termasuk layanan AI dan komputasi awan.
Rapikan kebijakan privasi. Menurut SIP, PP melarang klausul eksonerasi yang mengurangi kewajiban pengendali, dan pemberitahuan untuk data yang dikumpulkan tidak langsung paling lambat 30 hari kerja sejak pengumpulan.
Tunjuk pemantau regulasi. Satu orang yang memantau penetapan Perpres, publikasi peraturan lembaga, dan pengumuman satuan tugas Kemkomdigi akan menghemat banyak kejutan.
Tidak semua perusahaan harus melakukan semuanya sekaligus. Perusahaan menengah yang memakai chatbot layanan pelanggan bisa memulai dari prosedur insiden dan peta data, lalu menambah penilaian dampak untuk sistem yang menyentuh keputusan tentang orang. Perusahaan besar yang memproses data skala besar perlu memeriksa kewajiban petugas pelindungan data lebih dulu.
Satu catatan penutup untuk tim teknis: bangun kemampuan membuktikan. Pengawas menilai dokumen, log, dan keputusan yang tercatat, bukan niat baik. Sistem AI yang menyimpan jejak data masuk, versi model, dan keputusan manusia atas hasilnya akan jauh lebih mudah dipertanggungjawabkan saat pemeriksa datang.
Kesimpulan
Badan Pengawas PDP belum berdiri, tetapi arah jalannya sudah jelas. Rancangan Perpres dinyatakan final dan berada di meja Presiden sejak 4 November 2026, PP 33/2026 berlaku pada 16 Januari 2027, dan Kemkomdigi menjalankan pengawasan sementara lewat Direktorat Jenderal Pengawasan Ruang Digital dan satuan tugas khusus. Pasal 57 sampai 60 UU PDP sudah menetapkan sanksi hingga 2 persen pendapatan tahunan, dan pemerintah menyebut pelindungan data sebagai fondasi tata kelola AI. Yang belum pasti adalah tanggal penetapan Perpres, bentuk independensinya, dan isi peraturan lembaga.
Karena itu, jangan menunggu kepastian penuh. Mulailah dari prosedur insiden 3 x 24 jam, catatan kegiatan pemrosesan, dan penilaian dampak untuk proyek AI yang paling berisiko, lalu pantau Perpres dan peraturan lembaga untuk menyesuaikan format. Perusahaan yang dokumentasinya sudah rapi saat badan mulai bekerja akan lebih tenang menghadapi pemeriksaan, dan lebih leluasa memakai AI dengan percaya diri.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK
[2] Kemkomdigi ungkap regulasi pembentukan Badan PDP masuki tahap final - ANTARA News
[3] Kemkomdigi targetkan pembentukan Badan PDP rampung 2026 - ANTARA News Jawa Timur
[4] Komdigi: Perpres Lembaga Pengawas PDP Masuk Tahap Final - Katadata
[5] 'Wasit' Perlindungan Data Pribadi Segera Dibentuk Secara Independen - detikInet
[6] Segera Bentuk Badan Pelindungan Data Pribadi - Kompas.com
[7] DPR Tagih Janji Pembentukan Lembaga Pengawas Data Pribadi yang Masih Nihil - Periskop
[8] PP 33/2026: Persiapan Pelindungan Data Pribadi - SIP Law Firm
[9] PP 33/2026: Aturan Teknis Pelindungan Data Pribadi - Veritask