Analisis pasal demi pasal atas naskah berjudul PP 33 Tahun 2026, dipetakan terhadap UU 27/2022, UU 1/2026 tentang Penyesuaian Pidana, KUHP baru, KUHAP baru, KUHPerdata, dan rezim elektronik terkait.
“Potensi abuse” di sini berarti titik diskresi atau ketidakjelasan yang dapat disalahgunakan bila pembatas, bukti, dan akuntabilitas di pasal lain diabaikan. Bukan berarti pasalnya memberikan izin untuk menyalahgunakan data.
Persetujuan, perjanjian, kewajiban hukum, kepentingan vital, tugas publik, dan kepentingan sah bukan daftar alasan yang boleh dipilih setelah pemrosesan terjadi. Pasal 30 ayat (2) mensyaratkan dasar ditetapkan sebelum pemrosesan.
Pasal 148–154 mensyaratkan dasar undang-undang, necessity, proporsionalitas terbatas, balancing, dan safeguards. Label “penegakan hukum”, “kepentingan umum”, atau “riset” sendiri tidak cukup.
Penunjukan prosesor tidak memindahkan tanggung jawab pengendali. DPO memberi saran, memantau, dan menjadi narahubung; organ pengambil keputusan tetap harus membuktikan akuntabilitas.
Denda dapat sampai 2% tetapi juga dapat ditetapkan Rp0/0%. Keputusan dapat memuat beberapa sanksi sekaligus. Transparansi alasan dan konsistensi variabel menjadi kunci mencegah selective enforcement.
Pidana UU PDP berfokus pada perolehan/pengumpulan, pengungkapan, penggunaan data secara melawan hukum, serta pemalsuan—dengan unsur sengaja dan unsur khusus lain. Kelalaian keamanan biasanya bermula sebagai ranah administratif/perdata, kecuali memenuhi delik lain.
Eksposur pribadi muncul bila DPO melakukan, menyuruh, turut serta, membantu, memberi perintah, atau memenuhi posisi pertanggungjawaban korporasi. Saran profesional yang terdokumentasi dan diabaikan manajemen justru membedakannya dari pengambil keputusan.
Cari berdasarkan pasal, aktor, atau pola. Buka kartu untuk melihat konstruksi risiko, pasal pengunci, bukti yang perlu dicari, dan jalur pertanggungjawaban.
Satu kejadian dapat memicu lebih dari satu jalur. Denda administratif tidak otomatis menghapus gugatan perdata atau proses pidana; tetapi setiap jalur memiliki unsur, forum, alat bukti, dan standar pembuktian berbeda.
Masukkan pendapatan/penerimaan tahunan. Ini bukan kalkulator resmi; nilai aktual mempertimbangkan variabel Pasal 185 ayat (2), dapat Rp0/0%, dan harus diputus Lembaga.
Pasal 184(2): peringatan tertulis; penghentian sementara; penghapusan/pemusnahan; dan/atau denda.
Dampak, durasi, jenis data, jumlah subjek, cara temuan, keterbukaan/kerja sama, skala usaha, kemampuan membayar, riwayat kepatuhan, dan variabel relevan lain.
Keputusan diumumkan pada media resmi Lembaga. Publikasi ini terpisah dari kewajiban memberitahu masyarakat bila breach berdampak serius atau mengganggu layanan publik.
Subjek menyampaikan identitas, bukti, dan hubungan hukum kepada pengendali. Pengendali menilai dan menjawab. Penolakan atau kegagalan sepakat membuka jalan gugatan. Tidak ada formula nominal baku dalam naskah.
Pasal 1365 memerlukan perbuatan melawan hukum, kesalahan, kerugian, dan kausalitas. Pasal 1366 menopang kelalaian; Pasal 1367 relevan bagi tanggung jawab atas pihak di bawah tanggungan/pengawasan. Wanprestasi Pasal 1243 dapat relevan bila kewajiban privasi bersumber dari kontrak.
Joint controller bertanggung renteng. Pemrosesan prosesor pada prinsipnya menjadi tanggung jawab pengendali, tetapi prosesor bertanggung ketika keluar dari instruksi/tujuan dan tetap memiliki kewajiban langsung tertentu.
Kerugian materiil dapat berupa pencurian dana, biaya pemulihan, kehilangan pendapatan, dan biaya mitigasi. Kerugian imateriil dapat meliputi reputasi, rasa takut, hilangnya kontrol, diskriminasi, atau gangguan martabat—tetap perlu dibuktikan dan dinilai forum.
Pasal 200 membuka arbitrase, pengadilan, dan ADR. Gugatan kelompok dapat dipertimbangkan menurut PERMA 1/2002 bila kesamaan fakta/dasar hukum dan syarat representasi terpenuhi; bukan otomatis setiap breach menjadi class action.
Pasal 109 mengarahkan permintaan ganti rugi terhadap badan publik negara ke rezim tata usaha negara. Identifikasi objek sengketa, kewenangan absolut, upaya administratif, dan petitum harus diperiksa khusus.
| Delik | Unsur inti | Ancaman setelah UU 1/2026 | Catatan pembuktian |
|---|---|---|---|
| UU PDP 67(1) | Sengaja + melawan hukum memperoleh/mengumpulkan data bukan miliknya + maksud menguntungkan diri/orang lain + dapat mengakibatkan kerugian. | Maks. 5 tahun dan/atau kategori IV (Rp200 juta). | Tidak cukup hanya menunjukkan pengumpulan tanpa dasar; unsur maksud keuntungan dan potensi kerugian harus dibuktikan. |
| UU PDP 67(2) | Sengaja + melawan hukum mengungkapkan data yang bukan miliknya. | Maks. 4 tahun dan/atau kategori IV (Rp200 juta). | Relevan untuk doxxing, penjualan, pengiriman, atau pembukaan akses oleh insider/DPO bila tanpa hak. |
| UU PDP 67(3) | Sengaja + melawan hukum menggunakan data yang bukan miliknya. | Maks. 5 tahun dan/atau kategori IV (Rp200 juta). | “Menggunakan” perlu dikaitkan dengan tindakan faktual, tujuan, kewenangan, dan bukti audit. |
| UU PDP 68 | Sengaja membuat/memalsukan data pribadi + maksud menguntungkan diri/orang lain + dapat mengakibatkan kerugian. | Maks. 6 tahun dan/atau kategori V (Rp500 juta). | Relevan untuk identitas sintetis, KYC palsu, manipulasi catatan kesehatan/keuangan, atau bukti consent palsu. |
| UU PDP 69 | Pidana tambahan. | Perampasan keuntungan/harta hasil tindak pidana dan pembayaran ganti kerugian. | Dapat menyertai Pasal 67/68. |
| UU PDP 70 | Tindak pidana oleh korporasi. | Pengurus/pengendali/pemberi perintah/pemilik manfaat dan/atau korporasi; korporasi hanya denda, maks. 10× ancaman denda, plus pidana tambahan. | Baca bersama KUHP Buku Kesatu Pasal 45–50 mengenai kedudukan fungsional, kebijakan, manfaat, kegagalan mencegah, atau pembiaran. |
| KUHP 332 | Akses komputer/sistem elektronik tanpa hak; gradasi termasuk tujuan memperoleh informasi dan menerobos pengamanan. | Maks. 6/7/8 tahun dan kategori V/V/VI sesuai ayat. | Sejak 2 Januari 2026 menggantikan sebagian rezim akses ilegal UU ITE yang dicabut oleh KUHP. |
| KUHP 258 | Intersepsi transmisi nonpublik secara melawan hukum atau menyebarkan hasilnya. | Maks. 10 tahun atau kategori VI. | Pengecualian untuk pelaksanaan undang-undang/perintah jabatan yang sah. |
| KUHP 443–444 | Membuka rahasia karena jabatan/profesi/tugas; atau rahasia perusahaan tempat bekerja/pernah bekerja. | Pasal 443 maks. 1 tahun/kategori III; Pasal 444 maks. 2 tahun/kategori III. | Dapat relevan bagi DPO, tenaga kesehatan, HR, auditor, atau vendor; beberapa merupakan delik aduan. |
Pidana tidak boleh disimpulkan hanya dari adanya breach atau temuan administratif. Harus diuji asas legalitas, waktu tindak pidana, unsur subjektif/objektif, alasan pembenar/pemaaf, penyertaan, locus, kompetensi, dan alat bukti.
Ya, secara hukum mungkin. Namun bukan karena jabatan DPO itu sendiri dan bukan karena setiap kegagalan organisasi. Uji faktual harus ditempatkan pada perbuatan, kesengajaan, kewenangan, partisipasi, manfaat, dan posisi fungsional.
Hasil ini adalah alat triase, bukan penetapan tersangka atau pendapat hukum final.
Tabel ini sengaja mencakup setiap rujukan yang disebut Pasal 184 ayat (1) naskah PP, agar kewajiban yang “kurang populer” seperti pencatatan, M&A, penunjukan PPDP, dan transfer tidak tertinggal.
| Rujukan PP | Kewajiban inti | Pola pelanggaran/abuse | Bukti minimum |
|---|
Pasal 184(1) merujuk 42 ketentuan ayat/norma yang tersebar pada 36 pasal. Semua baris berada dalam cakupan jenis sanksi Pasal 184(2). Jenis dan berat sanksi tidak otomatis sama untuk setiap baris; harus dinilai dengan faktor Pasal 184(6) dan 185(2).
Pasal 148–154 membatasi jenis hak/kewajiban yang dapat dikecualikan dan memasang kriteria kumulatif. Pengendali harus menunjukkan dasar UU, kebutuhan, proporsionalitas, balancing, dan safeguard.
| Kepentingan | Hak/kewajiban yang terdampak | Guardrail wajib | Red flag abuse |
|---|---|---|---|
| Pertahanan & keamanan nasional | Hak tertentu Pasal 148 dan kewajiban tertentu Pasal 149. | Wajar, proporsional terbatas, dasar sah, balancing, surat keterangan Lembaga/KL terkait, safeguard. | Klaim rahasia tanpa surat, scope massal, retensi tak terbatas, akses vendor tanpa need-to-know. |
| Penegakan hukum | Penghapusan, withdrawal, keberatan otomatis, pembatasan, portabilitas; serta kewajiban koreksi/akses/terminasi/deletion/notifikasi subjek/kerahasiaan tertentu. | Necessity, dasar sah, balancing risiko terhadap proses, safeguard akses/transfer. | Permintaan informal, tanpa perkara/otoritas, fishing expedition, reuse untuk tujuan lain. |
| Kepentingan umum/penyelenggaraan negara | Kelompok hak dan kewajiban yang sama sesuai Pasal 148–149. | Harus dalam rangka pelaksanaan UU; proporsional terbatas, dasar sah, balancing, safeguard. | “Pelayanan publik” dijadikan dasar umum tanpa UU yang memerintahkan tindakan spesifik. |
| Pengawasan sektor keuangan/moneter | Kelompok hak dan kewajiban yang ditentukan PP. | Dalam penyelenggaraan negara; necessity, dasar sah, balancing, safeguard. | Semua kepentingan komersial bank/fintech disamakan dengan pengawasan negara. |
| Statistik & penelitian ilmiah | Hak tertentu Pasal 148; tidak termasuk seluruh kewajiban Pasal 149. | Nonkomersial, dasar sah, balancing, hasil tidak dipakai menilai/memutus tentang individu, safeguard. | Riset pemasaran komersial, profiling individu, data identifiable tanpa kebutuhan, hasil dipakai menentukan kelayakan. |
Jangka waktu di bawah berasal dari teks lampiran. “Hari” didefinisikan sebagai hari kerja. Jalur pidana, administratif, dan mediasi bercabang setelah verifikasi.
ROPA/log pemrosesan, privacy notice versi waktu kejadian, LIA, DPIA, TIA, kebijakan retensi, DPA/SCC/BCR, keputusan manajemen, saran dan dissent DPO.
Immutable audit log, IAM, akses admin, query/export history, DLP, tiket insiden, hash, backup, konfigurasi cloud, bukti enkripsi, daftar subprosesor, data lineage.
Transaksi fraud, biaya pemulihan, komunikasi ancaman, penolakan layanan, keputusan otomatis, laporan medis/psikologis bila relevan, kronologi dan hubungan dengan data terpapar.
Karena autentisitas salinan PP masih perlu konfirmasi, tindakan di bawah difokuskan pada kewajiban yang juga berakar pada UU PDP dan pada kontrol yang tidak menyesal untuk diterapkan.
Dapatkan PDF resmi dari JDIH; verifikasi LN/TLN, tanggal efektif, tanda tangan, dan apakah terdapat koreksi. Kunci baseline regulasi yang berlaku.
Petakan controller/processor/joint controller, ROPA, vendor/subprocessor, data spesifik, anak, biometrik, AI, CCTV, transfer, breach, dan M&A.
Uji kanal hak subjek, verifikasi proporsional, respons 3×24 jam, breach clock, publikasi masyarakat, deletion cascade, dan bukti pemberitahuan.
Selesaikan LIA/DPIA/TIA, DPA, SCC/BCR, retensi, security baseline, DPO charter, conflict register, escalation, audit, dan tabletop exercise.
Sumber primer diprioritaskan. Sumber penjelas hanya digunakan untuk konteks. Status peraturan, perubahan, pencabutan sebagian, dan putusan MK harus dibaca bersama.
