PP 33/2026 Pelindungan Data Pribadi: Panduan Developer

Setiap ringkasan PP 33/2026 yang saya baca dibuka dengan tiga angka yang sama: pemberitahuan breach 3x24 jam, batas denda 2%, dan petugas pelindungan data. Semuanya terdengar seperti beban baru. Sebelum membuat satu pun ticket, saya ingin tahu mana yang benar-benar diperkenalkan PP ini dan mana yang sudah ada di UU 27 Tahun 2022.

Tulisan ini membaca PP pasal demi pasal dan membandingkannya dengan UU 2022, lalu mengubah bagian yang bisa dikerjakan engineer menjadi kode. Sudut pandangnya berbeda dari artikel UU PDP yang sudah ada, yang membahas undang-undangnya dan fitur AI; ini membahas peraturan pelaksananya. Tanggal riset: 17 Oktober 2026.

Apa itu PP 33/2026, dicek lewat judulnya

Instrumennya adalah Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Teks lengkapnya mencatat PP ini ditetapkan di Jakarta pada 16 Juli 2026, diundangkan di hari yang sama, dan dimuat dalam Lembaran Negara Republik Indonesia Tahun 2026 Nomor 88. Meridian Hukum mencantumkan nomor lembaran yang sama beserta Tambahan Lembaran Negara 7190.

Pasal 225 menyatakan PP mulai berlaku setelah enam bulan sejak diundangkan. Dihitung dari 16 Juli 2026, hasilnya 16 Januari 2027, tanggal yang juga disebut Katadata. ABNR menghitung 225 pasal dalam 12 bab, dan judul bab di teks yang saya baca cocok: ketentuan umum, jenis data pribadi, pemrosesan, hak dan kewajiban, transfer lintas negara, kerja sama internasional, partisipasi masyarakat, pengawasan, sanksi administratif, penyelesaian sengketa, peralihan, dan penutup.

Konsiderans menyebut PP ini ada untuk menjalankan sepuluh delegasi yang dibiarkan terbuka oleh UU 2022: keberatan atas pemrosesan otomatis, ganti rugi, portabilitas, pelaksanaan pemrosesan, penilaian dampak, merger, petugas pelindungan data, transfer lintas negara, tata cara sanksi, dan kewenangan lembaga. Daftar itu kerangka yang berguna. PP ini sebagian besar prosedur, dan prosedur itulah yang berubah menjadi ticket.

Angka mana yang benar-benar baru

Saya menyandingkan lima hal yang paling sering dikutip dengan UU 2022, memakai PDF BPK untuk kolom kiri dan teks lengkap PP untuk kolom kanan.

Jadi pemberitahuan 3x24 jam, batas 2%, dan pemicu DPO dibawa dari UU, dan klaim bahwa pemberitahuan wajib apa pun tingkat keparahannya menggambarkan redaksi yang sudah ada di Pasal 46: kedua pasal tidak menyebut ambang tingkat keparahan. Itu koreksi atas cara PP ini dijual, bukan alasan untuk santai. Yang baru adalah semua hal yang mengubah kewajiban menjadi sesuatu yang bisa diuji auditor: kapan hitungan dimulai, apa isi catatan, dan bagaimana denda disusun.

Jam breach, Pasal 114 sampai 119

Pasal 114 mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3x24 jam, dan Pasal 114(3) menetapkan tiga isi minimal: data apa yang terungkap, kapan dan bagaimana, serta upaya penanganannya. Pasal 114(4) menambahkan kontak DPO atau narahubung yang ditunjuk. Pasal 116 lalu mewajibkan dokumentasi insiden dan menyatakan dokumentasi itu disampaikan ke lembaga, dan Pasal 117 mewajibkan kebijakan tertulis yang mencakup peran, klasifikasi, dokumentasi, pelaporan, dan peninjauan berkala.

Kalimat yang penting bagi engineer ada di penjelasan Pasal 114(2): pengendali dianggap telah mengetahui kegagalan secara pasti, patut, dan wajar berdasarkan kesimpulan dari dokumentasi yang ia hasilkan atas insiden itu. Awal hitungan waktu, dengan demikian, adalah keputusan yang dicatat. Itu menjadikan timestamp dan alasannya masalah data model, bukan catatan kaki hukum.

// incident-record.ts
// The record Pasal 116(1) says you must be able to hand to the Lembaga,
// plus the contact Pasal 114(4) says every notice must carry.
export type PdpIncident = {
  id: string;
  protectedData: string[]; // 116(1)a: which personal data was protected
  description: string; // 116(1)b: what happened, when and how
  impact: string; // 116(1)c: effect on data subjects and on you
  response: string[]; // 116(1)d: handling and recovery done, running, planned
  contact: string; // 114(4): the DPO or the designated contact

  // Pasal 114(2) starts the clock when the failure is known "secara pasti,
  // patut, dan wajar". The Penjelasan says that is judged from the
  // documentation YOU produced about the incident. So this field is a decision
  // you record with a name and a reason, not the instant an alert fired.
  establishedAt: string; // ISO 8601
  establishedBy: string;
  establishedBecause: string;

  notifiedSubjectsAt?: string; // 114(1)a
  notifiedAuthorityAt?: string; // 114(1)b - the Lembaga, see section 7
  notifiedPublicAt?: string; // 115: only for public-service or serious public impact
};

// "3 x 24 (tiga kali dua puluh empat) jam" is 72 elapsed hours as written.
// The text I read does not say business days.
const NOTICE_WINDOW_MS = 3 * 24 * 60 * 60 * 1000;

export function noticeDeadline(i: PdpIncident): Date {
  return new Date(Date.parse(i.establishedAt) + NOTICE_WINDOW_MS);
}

export function isOverdue(i: PdpIncident, now = new Date()): boolean {
  const late = now.getTime() > noticeDeadline(i).getTime();
  return late && !(i.notifiedSubjectsAt && i.notifiedAuthorityAt);
}

// Wrong: backfill establishedAt to the day the postmortem was signed.
//   Nothing in Pasal 114 says that is "wajar", and the evidence of when you
//   knew is your own ticket history.
// Right: write establishedAt in the incident ticket at the time of the
//   decision, with the reason, and let the postmortem refer to it.

Dua aturan lain ada di dekatnya. Prosesor harus melaporkan kegagalan kepada pengendali pada kesempatan pertama (Pasal 118), sehingga kontrak prosesor Anda butuh batas waktu serah terima yang eksplisit. Pasal 115 mewajibkan pemberitahuan ke publik bila kegagalan mengganggu pelayanan publik atau berdampak serius pada kepentingan masyarakat. Pasal 119 menyerahkan rincian pemberitahuan ke peraturan lembaga, yang tidak bisa saya baca karena belum ada.

Tenggat hak, pencatatan, dan default

Bagian PP yang paling mengubah backlog bukan pasal breach. Melainkan sekumpulan tenggat 3x24 jam yang tetap untuk permintaan subjek data, ditambah kewajiban pencatatan dengan daftar isian minimal. Setiap butir di bawah saya baca langsung di teks lengkap.

Ada satu ketegangan yang perlu ditandai. Pasal 77(2) memperbolehkan akses diberikan setelah permintaan diverifikasi, tetapi Pasal 77(1) menghitung 3x24 jam sejak permintaan diterima. Saya membacanya sebagai verifikasi yang harus muat di dalam jangka waktu, bukan menghentikan hitungan, dan saya akan membangun timer dengan cara itu sampai lembaga menyatakan lain. ABNR menggambarkan jangka waktu itu umumnya berjalan sejak diterima dan, bila berlaku, sejak verifikasi, jadi anggap timer yang lebih ketat ini pilihan desain.

-- data_subject_request.sql (PostgreSQL)
-- One timer for the four 3 x 24 jam duties: correction (Pasal 71), access
-- (77), stopping after consent withdrawal (92), restriction (99).
create table data_subject_request (
  id           bigserial primary key,
  kind         text not null check (kind in ('correct','access','withdraw','restrict')),
  subject_ref  text not null,
  received_at  timestamptz not null default now(),
  verified_at  timestamptz,          -- verification is a step, not a pause button
  fulfilled_at timestamptz
);

-- Run this every hour and page whoever owns the queue.
-- The clock is received_at, not verified_at: Pasal 71(1), 77(1), 92(2) and
-- 99(1) all count "terhitung sejak ... menerima permintaan".
select id, kind, received_at,
       received_at + interval '72 hours' as due_at
from   data_subject_request
where  fulfilled_at is null
  and  now() > received_at + interval '72 hours'
order  by received_at;

Arti PP ini untuk fitur AI

PP menyentuh AI di dua tempat. Pasal 93 mendefinisikan hak keberatan dengan contoh: keputusan berakibat hukum jika memengaruhi status atau hak hukum, misalnya penolakan visa, dan berdampak signifikan jika sangat memengaruhi kehidupan, perilaku, atau pilihan, misalnya penolakan kredit, penolakan pekerjaan, atau harga berbeda berdasarkan data pribadi. Pasal 94 lalu mewajibkan mekanisme menanggapi keberatan, informasi yang memadai tentang teknologi dan konsekuensinya, dan, bila keberatan yang terverifikasi diterima, alternatif dengan campur tangan manusia.

Tempat kedua adalah DPIA. Pasal 120(2) mencantumkan keputusan otomatis dengan akibat hukum atau dampak signifikan, dan kasus teknologi baru, yang menurut penjelasan mencakup kecerdasan buatan dan machine learning. Jadi fitur AI yang menilai, meranking, atau menentukan harga orang termasuk kasus DPIA menurut teksnya, sebelum peraturan lembaga apa pun terbit. Kode di bawah adalah log minimal yang akan saya pasang agar bisa menjawab sebuah keberatan.

// automated-decision-log.ts
// What Pasal 93-95 and 120 push an AI feature to be able to show.
export type AutomatedDecision = {
  id: string;
  subjectRef: string;
  feature: string; // e.g. "credit-prescreen", "cv-ranking", "dynamic-price"
  modelVersion: string;
  solelyAutomated: boolean; // 93: the right covers decisions "hanya didasarkan"
  effect: "legal" | "significant" | "none"; // 93: akibat hukum / berdampak signifikan
  inputsSummary: string[]; // which personal data categories fed the decision
  outcome: string;
  decidedAt: string;
  objection?: {
    receivedAt: string;
    accepted: boolean | null; // null = still being assessed
    humanReviewerRef?: string; // 94(3): accepted objection -> human involvement
    outcomeAfterReview?: string;
  };
};

// Pasal 94(3): when a verified objection is accepted, offer an alternative
// that involves a person and/or does not rest on the automated result.
export function requiresHumanPath(d: AutomatedDecision): boolean {
  return Boolean(d.objection?.accepted) && !d.objection?.humanReviewerRef;
}

// Pasal 95(1) lets you refuse an objection only when BOTH hold:
//   a. there is no legal or significant effect, and
//   b. you have very accurate systems and mitigation.
// So "effect: none" must be a reasoned entry, never the default.

Pasal 95 hanya membolehkan penolakan keberatan bila kedua syarat terpenuhi: tidak ada akibat hukum atau dampak signifikan, dan sistem memiliki akurasi sangat baik serta mitigasi. Pasal 96 menyerahkan rincian pemrosesan otomatis ke peraturan lembaga, jadi ABNR benar bahwa sebagian ditunda, tetapi hak itu, alternatif manusia, dan pemicu DPIA sudah tertulis.

DPO dan transfer lintas negara

Pasal 142 mewajibkan PPDP, yaitu DPO, bagi pengendali dan prosesor dalam tiga kasus: pemrosesan untuk pelayanan publik, kegiatan inti yang memerlukan pemantauan teratur dan sistematis skala besar, atau kegiatan inti berupa pemrosesan skala besar atas data spesifik atau data tindak pidana. Pasal 144 menyatakan kewajiban itu harus mempertimbangkan struktur, ukuran, dan kebutuhan, dan DPO boleh satu orang atau beberapa, dari dalam maupun luar organisasi. Pasal 146 mensyaratkan independensi, akses ke manajemen tertinggi, sumber daya yang memadai, dan tidak ada konflik kepentingan.

Transfer lintas negara adalah gerbang lain yang dihadapi tim engineering. Pasal 160 mendefinisikan transfer sebagai membuat data pribadi tersedia bagi pengendali atau prosesor di luar wilayah hukum Indonesia. Menurut pembacaan saya, itu mencakup API analytics, support, atau LLM yang di-host di luar negeri dan menerima data pribadi. Pasal 165 menetapkan tiga tingkat yang dicoba berurutan.

Sebelum tingkat mana pun, Pasal 161 meminta siklus transfer yang dipetakan, data dibatasi sesuai kebutuhan tujuan, instrumen hukum yang teridentifikasi, penilaian efektivitas sebelum transfer, dan evaluasi ulang berkala, dan Pasal 162 menyebut format data sebagai faktor, termasuk apakah dikirim sebagai teks biasa, disamarkan, atau dienkripsi. Itu alasan untuk melakukan redaction sebelum request keluar dari jaringan Anda, yang juga kontrol termurah yang Anda miliki.

Kegagalan: regulator yang belum ada

Pemberitahuan di Pasal 114 ditujukan ke Lembaga, badan yang dibentuk oleh UU PDP. ABNR, dalam tulisan 15 September 2026, menyebut lembaga itu akan dibentuk dengan Peraturan Presiden, belum ada yang terbit, dan sampai saat itu Direktorat Jenderal Pengawasan Ruang Digital di bawah KOMDIGI menangani urusan pelindungan data pribadi. Saya tidak bisa memverifikasi pernyataan itu terhadap sumber primer, jadi anggap sebagai pemberitaan bertanggal.

Akibatnya struktural. Di teks lengkap saya menghitung 34 kalimat yang mendelegasikan rincian ke Peraturan Lembaga, sedangkan ABNR menyebut sekitar 30 ketentuan membutuhkan peraturan lembaga. Saya tidak merekonsiliasi kedua hitungan itu. Pasal 223 menyatakan bahwa sampai peraturan itu ada, pemrosesan boleh dilakukan selama tidak bertentangan dengan PP, dan Pasal 224 mempertahankan aturan yang ada sepanjang tidak bertentangan. Jadi kewajiban substantif datang pada 16 Januari 2027, sementara saluran, formulir, dan ambang batasnya belum.

Trade-off-nya biaya melawan pengerjaan ulang. Membangun timer, catatan, dan log sekarang memakan waktu engineering untuk aturan yang mungkin masih dibentuk ulang lembaga. Menunggu berarti kejar-kejaran di bulan Januari. Saya akan membangun bagian yang sudah spesifik penuh, yaitu tenggat, catatan, dan rekaman insiden, dan menjadikan bagian yang bergantung pada lembaga, seperti formulir dan daftar negara, sebagai konfigurasi.

Yang dikerjakan hari Senin

Tidak satu pun butuh lembaganya. Enam hal bisa dimulai minggu ini, berurutan, dan masing-masing menghasilkan sesuatu yang bisa dibuka reviewer.

1. Baca naskah yang ditandatangani untuk pasal-pasal yang disebut di atas dan catat selisihnya dengan tulisan ini. Tandai tanggal Anda memeriksanya.
2. Tulis entri ropa.yaml untuk setiap kegiatan pemrosesan, memakai tiga belas isian di Pasal 74(2). Mulai dari yang memanggil API eksternal.
3. Pasang timer 72 jam pada permintaan koreksi, akses, penarikan persetujuan, dan pembatasan, lalu buat alert untuk yang terlambat.
4. Tambahkan establishedAt, establishedBy, dan establishedBecause ke template insiden, dan tambahkan batas waktu serah terima prosesor ke setiap kontrak prosesor.
5. Jalankan DPIA untuk setiap fitur AI yang menilai, meranking, atau menentukan harga orang, memakai empat isi Pasal 121(2).
6. Daftar setiap vendor luar negeri yang menerima data pribadi dan catat tingkat Pasal 165 mana yang Anda andalkan, meskipun jawabannya masih belum diketahui.

# ropa.yaml - one entry per processing activity, kept in the repo.
# The thirteen keys are the minimum list in Pasal 74(2) a-m. Pasal 74(7)
# says update it when any of them changes, so review it in the same pull
# request that changes the processing.
- activity: "support-chat-summarisation"
  controller: { name: "PT Contoh Digital", contact: "privacy@example.co.id" }  # a
  dpo_contact: "dpo@example.co.id"                                              # b
  collected_from: ["customer chat widget"]                                     # c
  sent_to: ["LLM API (hosted outside Indonesia)"]                              # c
  lawful_basis: "consent"                                                      # d
  purpose: "summarise a support conversation for the agent"                    # e
  data_types: ["name", "email", "order id", "free-text message"]               # f
  subject_categories: ["customers"]                                            # g
  other_parties_with_access: ["LLM API vendor", "support contractor"]          # h
  rights_handling: "DSR queue, 72h timer, owner: support-lead"                 # i
  data_flow_map: "docs/flows/support-chat.md"                                  # j
  retention: "transcripts 90 days, summaries 30 days"                          # k
  security_measures: ["TLS 1.2+", "field-level redaction of card numbers"]     # l
  transfers_abroad:                                                            # m
    - { to: "LLM API vendor", instrument: "to be assessed (Pasal 162)", assessed_on: null }
  dpia_required: true   # automated outputs plus new technology: Pasal 120(2)

Catatan di bawah adalah artefak yang akan saya mulai, karena ia memberi makan tiga kewajiban lain: flag DPIA, inventaris transfer, dan timer hak.

PP 33/2026 tidak membuat hukum privasi Indonesia lebih ketat di tempat yang ditunjuk judul berita, karena pemberitahuan 3x24 jam, batas 2%, dan pemicu DPO sudah ada di UU 2022. PP ini membuatnya bisa diuji: awal hitungan yang jelas, tenggat hak yang tetap, daftar pencatatan, dan jalur keberatan AI. Bangun bagian yang bisa diuji sekarang dan perlakukan bagian yang bergantung pada lembaga sebagai konfigurasi.

Bacaan terkait di situs ini

• Checklist kepatuhan UU PDP untuk fitur AI
• Panduan kepatuhan UU PDP untuk developer di Indonesia