UU Pelindungan Data Pribadi untuk desa, sekolah, dan instansi: apa yang wajib dilakukan?

Oleh Mohammad Hilmi Bisri, S.Kom.. Terbit 10 Oktober 2026.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengatur cara data tentang seseorang dikumpulkan, disimpan, dipakai, dan dihapus. Undang-undang ini berlaku sejak diundangkan pada 17 Oktober 2022 (Pasal 76). Masa penyesuaian dua tahun dalam Pasal 74 sudah berakhir pada 17 Oktober 2024. Aturan pelaksananya, Peraturan Pemerintah (PP) Nomor 33 Tahun 2026, mulai berlaku pada Januari 2027.

UU PDP juga mengikat kantor pemerintah. Pasal 19 menyebut badan publik sebagai pengendali dan prosesor data pribadi. Badan publik antara lain lembaga eksekutif dan badan lain yang dananya sebagian atau seluruhnya berasal dari APBN atau APBD (Pasal 1 angka 9). Data di buku catatan kertas juga termasuk (Pasal 1 angka 1).

Istilah yang perlu dipahami

• Data pribadi adalah data tentang seseorang yang bisa menunjukkan siapa orangnya, sendiri atau setelah digabung dengan informasi lain (Pasal 1 angka 1).
• Data pribadi yang bersifat spesifik meliputi data kesehatan, data biometrik seperti sidik jari dan gambar wajah, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan data lain sesuai peraturan (Pasal 4 ayat (2)). Pemrosesannya tergolong berisiko tinggi, sehingga pengendali wajib menilai dampaknya, yaitu risiko yang timbul dan cara menguranginya (Pasal 34).
• Pengendali data pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data (Pasal 1 angka 4), dalam hal ini kantor desa, sekolah, atau instansi Anda.
• Prosesor data pribadi adalah pihak yang memproses data atas nama pengendali (Pasal 1 angka 5), misalnya vendor aplikasi atau penyedia server.
• Subjek data pribadi adalah orang yang datanya diproses (Pasal 1 angka 6), misalnya warga, siswa, dan orang tua siswa.

Kewajiban pokok pengendali data

Punya dasar pemrosesan

Pengendali wajib memiliki dasar pemrosesan. Pasal 20 menyebut enam dasar, dan persetujuan pemilik data hanya salah satunya. Dua dasar lain berkaitan langsung dengan tugas instansi: pemenuhan kewajiban hukum (huruf c) serta pelaksanaan tugas untuk kepentingan umum, pelayanan publik, atau kewenangan berdasarkan peraturan (huruf e). Untuk data anak, Pasal 25 ayat (2) mewajibkan persetujuan orang tua atau wali sesuai ketentuan peraturan perundang-undangan.

Memakai data sesuai tujuannya

Data wajib diproses secara terbatas dan spesifik, sah secara hukum, dan transparan (Pasal 27), serta sesuai tujuannya (Pasal 28). Misalnya, nomor HP orang tua dari pendaftaran siswa baru tidak diberikan kepada pihak lain untuk promosi.

Menjaga keamanan dan kerahasiaan

Pengendali wajib menerapkan langkah teknis untuk melindungi data, dengan tingkat keamanan sesuai sifat dan risikonya (Pasal 35), menjaga kerahasiaan data (Pasal 36), dan mencegah akses yang tidak sah (Pasal 39). Di kantor kecil, contohnya akun terpisah untuk tiap petugas, kata sandi yang tidak dipakai bersama, dan tautan spreadsheet yang tidak dibuka untuk umum.

Mencatat kegiatan pemrosesan

Pengendali wajib merekam seluruh kegiatan pemrosesan data pribadi (Pasal 31). PP 33/2026 merinci isi catatan itu, antara lain dasar dan tujuan pemrosesan, jenis data, pihak yang dapat mengakses, masa simpan data, dan langkah pengamanannya (Pasal 74 ayat (2)).

Memberi tahu paling lambat 3 x 24 jam jika data bocor

Jika terjadi kegagalan pelindungan data pribadi, misalnya data terungkap, hilang, atau diakses tanpa hak, pengendali wajib memberi tahu pemilik data dan lembaga pengawas secara tertulis paling lambat 3 x 24 jam (Pasal 46 ayat (1) dan penjelasannya). Isinya paling sedikit: data yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihannya (Pasal 46 ayat (2)). Jika kejadian itu mengganggu pelayanan publik atau berdampak serius, masyarakat juga wajib diberi tahu (Pasal 46 ayat (3)).

Menunjuk petugas pelindungan data

Pengendali yang memproses data untuk pelayanan publik wajib menunjuk pejabat atau petugas pelindungan data pribadi, dari dalam atau luar instansi (Pasal 53). Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 menegaskan bahwa syarat pelayanan publik ini saja sudah cukup, tanpa harus dipenuhi bersama syarat lain dalam pasal itu.

Jika memakai vendor aplikasi

Vendor yang menyimpan atau mengolah data untuk Anda adalah prosesor. Vendor wajib bekerja sesuai perintah Anda, dan pemrosesan olehnya tetap menjadi tanggung jawab Anda sebagai pengendali (Pasal 51 ayat (1) dan (3)). Vendor perlu persetujuan tertulis Anda sebelum melibatkan prosesor lain (Pasal 51 ayat (5)). Jika vendor memproses data di luar perintah dan tujuan yang Anda tetapkan, tanggung jawabnya beralih kepadanya (Pasal 51 ayat (6)).

PP 33/2026 juga merinci isi minimal perjanjian dengan prosesor, antara lain cakupan dan cara pemrosesan, jenis data, jangka waktu, serta mekanisme pengawasan dan audit (Pasal 14).

Yang perlu ditanyakan kepada vendor

1. Di mana data disimpan (server kantor, server vendor, atau layanan cloud) dan di negara mana? Pengiriman data ke luar Indonesia punya syarat tambahan (Pasal 56).
2. Siapa saja yang bisa membuka data warga, termasuk petugas vendor dan penyedia server?
3. Seberapa sering cadangan data dibuat, di mana disimpan, dan berapa lama pemulihannya jika server rusak?
4. Saat kontrak berakhir, apakah data dikembalikan dalam format yang bisa dibuka aplikasi lain, dan apakah salinan di server vendor dihapus dengan bukti tertulis?
5. Seberapa cepat vendor melapor jika data bocor? Batas 3 x 24 jam berlaku bagi Anda, dan PP 33/2026 mewajibkan prosesor melapor kepada pengendali pada kesempatan pertama (Pasal 118).

Tuangkan jawabannya dalam perjanjian tertulis. Aplikasi buatan HanzCodes bisa dipasang di server milik instansi sendiri; rinciannya ada di halaman Layanan.

Status aturan pelaksana dan lembaga pengawas

PP 33/2026 tentang Peraturan Pelaksanaan UU 27/2022 ditetapkan dan diundangkan pada 16 Juli 2026 dan mulai berlaku setelah enam bulan sejak diundangkan (Pasal 225).

Lembaga pengawas ditetapkan oleh Presiden dan diatur dengan Peraturan Presiden (Pasal 58). Sampai 10 Oktober 2026, kami belum menemukan Peraturan Presiden itu di basis data peraturan resmi. Dalam sidang Mahkamah Konstitusi 27 Juli 2026, pemerintah menyatakan rancangannya sudah diajukan kepada Presiden dan, untuk sementara, fungsi pelindungan data pribadi dijalankan Kementerian Komunikasi dan Digital melalui Direktorat Jenderal Pengawasan Ruang Digital.

Sanksi

Pelanggaran kewajiban di atas dikenai sanksi administratif (Pasal 57 ayat (1)) berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (2) dan (3)). Sanksi ini dijatuhkan oleh lembaga pengawas.

Ketentuan pidananya mensyaratkan perbuatan yang disengaja. Pasal 67 mengancam penjara paling lama 5 tahun bagi orang yang secara melawan hukum memperoleh, mengumpulkan, atau menggunakan data pribadi yang bukan miliknya, dan paling lama 4 tahun bagi yang mengungkapkannya. Untuk memperoleh atau mengumpulkan, harus ada maksud menguntungkan diri sendiri atau orang lain yang dapat merugikan pemilik data. Pasal 68 mengancam penjara paling lama 6 tahun bagi orang yang membuat data pribadi palsu atau memalsukannya dengan maksud serupa, yang dapat merugikan orang lain.

Ancaman penjara itu disertai "dan/atau" denda. Sejak 2 Januari 2026, besarnya mengikuti kategori denda KUHP berdasarkan UU Nomor 1 Tahun 2026 tentang Penyesuaian Pidana: paling banyak kategori IV (Rp200 juta) untuk Pasal 67 dan kategori V (Rp500 juta) untuk Pasal 68.

Artikel ini adalah ringkasan, bukan nasihat hukum. Untuk keputusan tertentu, rujuk teks UU 27/2022 di JDIH BPK (situs luar) dan PP 33/2026, serta pejabat atau unit yang berwenang, misalnya bagian hukum pemerintah daerah, APIP, atau pendamping desa.