# UU PDP No. 27/2022: Panduan Kepatuhan Developer untuk Hukum Perlindungan Data Indonesia

> Undang-Undang Pelindungan Data Pribadi (UU PDP No. 27/2022) mulai berlaku penuh Oktober 2024 dengan denda administratif hingga 2% dari pendapatan tahunan. Panduan ini menerjemahkan lima kewajiban inti UU PDP menjadi praktik rekayasa konkret: pseudonymization, PostgreSQL RLS, audit logging, dan API permintaan hak subjek data.

URL: https://www.matthewswong.com/id/blog/uu-pdp-compliance-developer-guide-indonesia/

- Author: Matthews Wong (https://www.matthewswong.com/id/about/)
- Published: 2026-01-14
- Updated: 2026-10-12
- Category: Security

Undang-Undang Perlindungan Data Pribadi (UU PDP) No. 27/2022 adalah undang-undang perlindungan data pribadi komprehensif pertama Indonesia, sebagian dimodelkan berdasarkan GDPR Eropa. Berlaku penuh mulai Oktober 2024, UU ini membebankan kewajiban mengikat pada setiap organisasi — publik atau swasta, domestik maupun asing — yang memproses data pribadi warga negara Indonesia. Bagi developer, ini berarti sistem yang ada harus dinilai secara retroaktif dan diperbarui untuk memenuhi lima kewajiban inti UU PDP.

## Lima Kewajiban Inti Developer Berdasarkan UU PDP

Berbeda dari regulasi data sektoral Indonesia sebelumnya (OJK, BI, BPJS), UU PDP berlaku secara horizontal di semua industri. Lima kewajiban yang paling langsung mempengaruhi software engineer adalah: (1) menetapkan dasar hukum sebelum mengumpulkan data pribadi apa pun; (2) mengimplementasikan manajemen persetujuan yang granular dan dapat dicabut; (3) hanya mengumpulkan data yang benar-benar diperlukan untuk tujuan yang dinyatakan (minimisasi data); (4) memberlakukan batas retensi dengan penghapusan otomatis; dan (5) mendeteksi dan memberi tahu pelanggaran dalam 72 jam.

### Implementasi Dasar Hukum dan Manajemen Persetujuan

UU PDP mengakui enam dasar hukum: persetujuan eksplisit, kebutuhan kontraktual, kewajiban hukum, kepentingan vital, kepentingan publik, dan kepentingan sah. Setiap titik pengumpulan data dalam aplikasi Anda harus dipetakan ke salah satu dasar ini dan didokumentasikan. Untuk pemrosesan berbasis persetujuan, implementasikan alur persetujuan double-opt-in dengan pemilihan tujuan granular (misalnya persetujuan terpisah untuk email pemasaran, pelacakan analitik, dan berbagi data pihak ketiga). Simpan catatan persetujuan dengan timestamp, versi kebijakan privasi yang disetujui, dan IP/perangkat dari mana persetujuan diberikan.

### Minimisasi Data dan Pembatasan Tujuan dalam Praktik

Minimisasi data mengharuskan Anda hanya mengumpulkan field yang benar-benar diperlukan untuk tujuan yang dinyatakan. Audit formulir pendaftaran, body request API, dan skema event analitik Anda — setiap field tanpa justifikasi bisnis yang terdokumentasi adalah kewajiban. Pembatasan tujuan berarti data yang dikumpulkan untuk autentikasi pengguna tidak dapat digunakan kembali untuk iklan bertarget tanpa persetujuan baru. Implementasikan komentar kolom tingkat database yang menandai setiap kolom dengan klasifikasi data dan dasar hukumnya untuk mempercepat audit di masa mendatang.

> Bangun Register Pemrosesan Data terpusat sebagai manifes JSON atau YAML yang dapat dibaca mesin di repositori Anda. Setiap entri mendokumentasikan kategori data, dasar hukum, periode retensi, pemroses pihak ketiga, dan apakah transfer lintas batas terjadi. Pasal 31 UU PDP mewajibkan Pengendali merekam seluruh kegiatan pemrosesan Data Pribadi, dan register seperti ini adalah cara praktis memenuhinya sekaligus mempercepat respons audit regulasi secara signifikan.

## Pengamanan Teknis: Enkripsi, RLS, dan Pseudonymization

Pasal 35 UU PDP mewajibkan Pengendali Data untuk mengimplementasikan pengamanan teknis yang proporsional dengan tingkat risiko data yang diproses. Untuk sebagian besar aplikasi yang memproses NIK (nomor induk kependudukan), nomor rekening keuangan, data kesehatan, atau biometrik, ini berarti enkripsi at rest (AES-256), enkripsi in transit (TLS 1.3), pseudonymization atau tokenisasi untuk pipeline analitik, dan kontrol akses yang diberlakukan di tingkat database menggunakan Row-Level Security.

### PostgreSQL RLS untuk Isolasi Data dan Pseudonymization Python

Row-Level Security (RLS) di PostgreSQL memberlakukan kebijakan akses data di tingkat storage engine, memastikan bug aplikasi atau query yang salah konfigurasi tidak dapat secara tidak sengaja mengekspos data pribadi pengguna lain. Dikombinasikan dengan pseudonymization — mengganti field PII dengan token HMAC-SHA256 yang berasal dari kunci rahasia — pipeline analitik dan pelaporan Anda dapat beroperasi pada data tanpa pernah menyentuh informasi pribadi mentah. Blok kode di bawah menampilkan kedua teknik dalam implementasi terpadu.

### Audit Logging untuk Event Akses Data

UU PDP mewajibkan event akses data pribadi dapat dilacak dan diaudit. Setiap SELECT, UPDATE, atau DELETE pada tabel yang berisi data pribadi harus dicatat dengan: identitas pengakses, dasar hukum yang diklaim, timestamp, dan tujuan bisnis. Gunakan trigger PostgreSQL atau middleware tingkat aplikasi untuk menangkap event ini, dan simpan log dalam tabel audit write-once, append-only atau bucket object storage yang memenuhi standar WORM (Write Once Read Many).

> **Pembatasan Transfer Data Lintas Batas di Bawah UU PDP**

> Pasal 56 UU PDP menetapkan uji bertingkat untuk transfer data pribadi ke luar wilayah hukum Indonesia. Pertama, Anda wajib memastikan negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi dari UU PDP. Jika tidak terpenuhi, harus ada pelindungan yang memadai dan bersifat mengikat. Jika keduanya tidak terpenuhi, Anda wajib mendapatkan persetujuan subjek data. Undang-undang ini tidak menyebut negara mana pun, dan per Oktober 2026 belum ada daftar resmi negara yang memenuhi syarat, sehingga penilaian itu harus Anda lakukan dan dokumentasikan sendiri; melewatkan satu tahap dapat dikenai sanksi administratif menurut Pasal 57. Ini mempengaruhi praktik umum seperti mengirim log ke Datadog US, data pengguna ke Salesforce, atau analitik ke Google Analytics — masing-masing memerlukan penilaian transfer terdokumentasi yang menunjukkan dasar mana dari ketiganya yang dipakai.

## Hak Subjek Data dan API Penanganan Permintaan

UU PDP memberikan enam hak inti kepada subjek data Indonesia: akses (melihat semua data yang dimiliki tentang mereka), rektifikasi (koreksi data yang tidak akurat), penghapusan (hak untuk dilupakan), portabilitas (menerima data dalam format yang dapat dibaca mesin), pembatasan pemrosesan, dan keberatan terhadap pengambilan keputusan otomatis. Developer harus membangun endpoint API atau alur UI untuk memenuhi permintaan ini, dan tenggatnya dihitung dalam jam: memperbaiki data (Pasal 30), memberikan akses atas data beserta rekam jejak pemrosesannya (Pasal 32), menghentikan pemrosesan setelah persetujuan ditarik (Pasal 40), serta menunda dan membatasi pemrosesan (Pasal 41) masing-masing wajib dilakukan paling lambat 3 x 24 jam sejak permintaan diterima. Merancang alur ini sejak awal jauh lebih murah daripada memasangnya belakangan di codebase yang sudah matang.

### Mengimplementasikan Hak Penghapusan Data

Permintaan penghapusan secara teknis kompleks karena data pribadi sering tersebar di berbagai sistem: database utama, data warehouse analitik, backup, log email, dan pemroses pihak ketiga. Bangun layanan orkestrasi Data Subject Request (DSR) yang: (1) mengidentifikasi semua penyimpan data yang menyimpan data subjek menggunakan ID pengguna mereka; (2) menerbitkan perintah penghapusan ke setiap sistem dengan deadline; (3) memberi tahu sub-pemroses pihak ketiga untuk menghapus; dan (4) mengkonfirmasi penyelesaian kepada subjek data. Backup dikecualikan dari penghapusan segera tetapi tidak boleh dipulihkan untuk data individu tersebut.

### Deteksi Pelanggaran dan Persyaratan Notifikasi 72 Jam

Pasal 46 UU PDP mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam setiap kali terjadi kegagalan Pelindungan Data Pribadi, yang menurut penjelasan undang-undang ini mencakup setiap gangguan kerahasiaan, integritas, atau ketersediaan data, baik disengaja maupun tidak. Pemberitahuan itu ditujukan kepada subjek data yang terdampak dan kepada lembaga pengawas (lembaga yang menurut Pasal 58 ditetapkan oleh Presiden). Tidak ada syarat risiko tinggi, dan pasal itu tidak menyebut kapan hitungan waktunya dimulai, jadi rencanakan sejak saat kegagalan ditemukan. Pemberitahuan minimal memuat data pribadi yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihannya; dalam hal tertentu Anda juga wajib memberi tahu masyarakat. Bangun deteksi pelanggaran otomatis ke pipeline SIEM Anda — deteksi anomali pada volume egress data, lonjakan autentikasi gagal, dan pola akses database setelah jam kerja yang tidak biasa adalah sinyal pelanggaran yang kuat. Siapkan runbook notifikasi pelanggaran dengan template yang disetujui sebelumnya dan incident commander yang ditunjuk sebelum insiden terjadi.

### Manajemen Vendor dan Sub-Pemroses

Setiap layanan pihak ketiga yang memproses data pribadi pengguna Anda atas nama Anda (penyedia cloud, penyedia layanan email, platform analitik, alat dukungan pelanggan) adalah sub-pemroses di bawah UU PDP. Pertahankan register sub-pemroses dengan Data Processing Agreement (DPA) atau perlindungan kontraktual setara untuk setiap vendor. Saat vendor dihapus dari stack Anda, akhiri DPA secara formal dan konfirmasi penghapusan data — ini adalah bagian dari kewajiban manajemen siklus hidup data Anda.

> Implementasikan deteksi PII otomatis di pipeline CI/CD Anda menggunakan tools seperti Presidio (Microsoft) atau AWS Macie untuk memindai commit kode dan migrasi database dari penyertaan PII yang tidak disengaja dalam log, event analitik, atau pesan error. Menemukan `console.log(user.nik)` di log produksi adalah pelanggaran UU PDP sekaligus risiko reputasi.

## Denda dan Lanskap Penegakan Hukum

Sanksi UU PDP disusun dalam tiga tingkatan: sanksi administratif menurut Pasal 57 (peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan Data Pribadi, dan denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan, tanpa batas nominal rupiah); sanksi pidana menurut Pasal 67 dan 68 (paling lama 5 tahun dan Rp 5 miliar karena secara melawan hukum memperoleh, mengumpulkan, atau menggunakan Data Pribadi milik orang lain, paling lama 4 tahun dan Rp 4 miliar karena secara melawan hukum mengungkapkannya, serta paling lama 6 tahun dan Rp 6 miliar karena membuat Data Pribadi palsu atau memalsukannya); dan pertanggungjawaban korporasi menurut Pasal 70, di mana korporasi hanya dapat dijatuhi pidana denda, tetapi hingga sepuluh kali denda maksimal, ditambah pidana tambahan seperti perampasan keuntungan, pembekuan usaha, atau pencabutan izin.

### Membangun Roadmap Kepatuhan UU PDP

Roadmap kepatuhan UU PDP yang praktis untuk tim rekayasa mencakup tiga fase: Penemuan (audit inventaris data, assessment risiko, analisis kesenjangan terhadap persyaratan UU PDP), Implementasi (pengamanan teknis: enkripsi, RLS, pseudonymization, manajemen persetujuan, API DSR), dan Operasionalisasi (berkelanjutan: prosedur respons pelanggaran, pelatihan staf, audit pihak ketiga, penunjukan Data Protection Officer jika memproses data sensitif dalam skala besar). Sebagian besar perusahaan menengah membutuhkan 6–12 bulan untuk menyelesaikan ketiga fase.

## Membangun Budaya Rekayasa Privacy-by-Design

Kepatuhan UU PDP bukan proyek satu kali — ini membutuhkan penyematan pertimbangan privasi ke dalam setiap keputusan produk. Privacy Impact Assessment (PIA) harus wajib untuk setiap fitur baru yang mengumpulkan atau memproses data pribadi. Sesi threat modeling harus secara eksplisit menyertakan risiko privasi data di samping risiko keamanan. Engineer harus diberdayakan untuk mengangkat masalah privasi selama code review tanpa memerlukan persetujuan hukum untuk setiap keputusan.

> **Key takeaway:** UU PDP No. 27/2022 adalah undang-undang perlindungan data pribadi komprehensif pertama di Indonesia, sebagian mencontoh GDPR dan berlaku penuh sejak Oktober 2024. Undang-undang ini mengikat organisasi mana pun yang memproses data pribadi orang Indonesia, sehingga catatan consent, batas retensi dan notifikasi kebocoran menjadi kebutuhan rekayasa, bukan sekadar urusan dokumen hukum.

## Source links

- https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
- https://jdih.komdigi.go.id/produk_hukum/view/id/832/t/undangundang+nomor+27+tahun+2022
- https://www.postgresql.org/docs/current/ddl-rowsecurity.html
- https://www.enisa.europa.eu/publications/pseudonymisation-techniques-and-best-practices

## FAQ

### Apa saja lima kewajiban inti yang dibebankan UU PDP No. 27/2022 kepada software developer?

UU PDP mewajibkan developer untuk: menetapkan dasar hukum sebelum mengumpulkan data pribadi apa pun, mengimplementasikan manajemen persetujuan yang granular dan dapat dicabut, hanya mengumpulkan data yang benar-benar diperlukan (minimisasi data), memberlakukan batas retensi dengan penghapusan otomatis, serta mendeteksi dan memberi tahu pelanggaran dalam 72 jam kepada otoritas pengawas dan subjek data yang terdampak.

### Bagaimana developer harus mengimplementasikan kontrol akses data untuk memenuhi persyaratan pengamanan teknis UU PDP?

Pasal 35 UU PDP mewajibkan Pengendali Data mengimplementasikan pengamanan teknis yang proporsional dengan tingkat risiko data yang diproses. Untuk aplikasi yang menangani data sensitif seperti NIK, nomor rekening keuangan, data kesehatan, atau biometrik, ini berarti enkripsi AES-256 at rest, TLS 1.3 in transit, pseudonymization menggunakan token HMAC-SHA256 untuk pipeline analitik, dan Row-Level Security (RLS) yang diberlakukan di tingkat database PostgreSQL untuk mencegah ekspos data yang tidak disengaja.

### Apa saja pembatasan transfer data lintas batas menurut UU PDP, dan layanan umum apa saja yang terdampak?

Pasal 56 UU PDP menetapkan uji bertingkat. Negara penerima harus memiliki pelindungan yang setara atau lebih tinggi dari UU PDP; jika tidak, harus ada pelindungan yang memadai dan bersifat mengikat; jika keduanya tidak terpenuhi, subjek data harus memberikan persetujuan. Undang-undang ini tidak menyebut negara mana pun dan per Oktober 2026 belum ada daftar resmi, sehingga mengirim log ke Datadog US, data pengguna ke Salesforce, atau analitik ke Google Analytics masing-masing memerlukan penilaian terdokumentasi tentang dasar mana yang dipakai untuk transfer tersebut.

### Bagaimana developer harus menangani permintaan penghapusan data dari subjek data, dan apa saja tantangan teknisnya?

Developer sebaiknya membangun layanan orkestrasi Data Subject Request (DSR) yang mengidentifikasi semua penyimpan data yang menyimpan data subjek, menerbitkan perintah penghapusan ke setiap sistem, memberi tahu sub-pemroses pihak ketiga untuk menghapus, dan mengkonfirmasi penyelesaian kepada subjek data, karena Pasal 45 mewajibkan Pengendali memberitahukan penghapusan kepada subjek data. Pasal 43 tidak menetapkan hitungan jam untuk penghapusan itu sendiri, tetapi penarikan persetujuan mewajibkan Anda menghentikan pemrosesan paling lambat 3 x 24 jam (Pasal 40), dan permintaan akses serta perbaikan memiliki batas 3 x 24 jam yang sama (Pasal 32 dan 30). Tantangan teknis utamanya adalah data pribadi sering tersebar di database utama, data warehouse analitik, backup, log email, dan pemroses pihak ketiga. Backup dikecualikan dari penghapusan segera tetapi tidak boleh dipulihkan untuk data individu tersebut.

### Sanksi apa yang dapat dihadapi organisasi karena melanggar UU PDP, dan kapan penegakannya mulai berlaku?

UU PDP berlaku penuh mulai Oktober 2024. Sanksi administratif menurut Pasal 57 berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda paling tinggi 2% dari pendapatan atau penerimaan tahunan, tanpa batas nominal rupiah. Sanksi pidana mencapai 4 tahun dan Rp 4 miliar untuk pengungkapan secara melawan hukum serta 5 tahun dan Rp 5 miliar untuk mengumpulkan atau menggunakan data milik orang lain secara melawan hukum (Pasal 67), dan 6 tahun serta Rp 6 miliar untuk memalsukan data pribadi (Pasal 68); korporasi dapat didenda hingga sepuluh kali ancaman maksimal itu (Pasal 70). UU ini berlaku secara horizontal di semua industri, mencakup organisasi domestik maupun asing yang memproses data pribadi warga negara Indonesia.

---

- HTML version: https://www.matthewswong.com/id/blog/uu-pdp-compliance-developer-guide-indonesia/
- English: https://www.matthewswong.com/en/blog/uu-pdp-compliance-developer-guide-indonesia/
- Site index for agents: https://www.matthewswong.com/llms.txt
- Sitemap: https://www.matthewswong.com/sitemap.xml
- API description (OpenAPI): https://www.matthewswong.com/openapi.json