Pelindungan data dan kepatuhan untuk software di Indonesia

UU 27/2022 berlaku bagi siapa pun yang memproses data pribadi di wilayah Indonesia, dan juga bagi pemrosesan di luar negeri yang menimbulkan akibat hukum di Indonesia atau menyangkut warga negara Indonesia di luar negeri (Pasal 2). Cakupan pemrosesan luas, dari pemerolehan dan analisis sampai transfer dan penghapusan (Pasal 16). Setiap tujuan butuh salah satu dari enam dasar pemrosesan di Pasal 20, dan persetujuan harus tertulis atau terekam, dengan bukti yang bisa ditunjukkan Pengendali Data Pribadi (Pasal 22 dan 24).

Tenggatnya pendek dan dihitung dalam jam. Memberikan akses atas data beserta rekam jejak pemrosesannya, memperbaiki data yang keliru, menghentikan pemrosesan setelah persetujuan ditarik, dan membatasi pemrosesan masing-masing dibatasi 3 x 24 jam (Pasal 32, 30, 40, dan 41). Kegagalan Pelindungan Data Pribadi wajib diberitahukan secara tertulis paling lambat 3 x 24 jam kepada Subjek Data Pribadi dan lembaga pengawas (Pasal 46). Pengendali wajib merekam seluruh kegiatan pemrosesan (Pasal 31), menilai dampak pemrosesan berisiko tinggi (Pasal 34), dan menunjuk pejabat pelindungan data bila salah satu kriteria Pasal 53 terpenuhi. Denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan (Pasal 57).

Masa penyesuaian dua tahun dalam Pasal 74 dihitung sejak UU ini diundangkan pada 17 Oktober 2022 dan berakhir pada 17 Oktober 2024. Sanksi administratif dalam Pasal 57 dijatuhkan oleh lembaga yang menurut Pasal 58 ditetapkan oleh Presiden. Per tanggal riset, sumber yang diperiksa di sini belum mengonfirmasi bahwa lembaga tersebut sudah dibentuk; pemberitaan Hukumonline pada Oktober 2026 menggambarkannya belum beroperasi.

Hukumonline melaporkan bahwa PP 33/2026, peraturan pelaksana UU 27/2022, ditetapkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Pada tanggal riset, teksnya belum tercantum di peraturan.go.id maupun JDIH BPK, sehingga halaman ini berpegang pada teks undang-undangnya dan memperlakukan isi PP tersebut sebagai belum terkonfirmasi.

PP 71/2019 mewajibkan setiap Penyelenggara Sistem Elektronik mendaftar sebelum sistemnya mulai digunakan pengguna (Pasal 6). Permenkominfo 5/2020 merinci siapa yang termasuk PSE Lingkup Privat: platform untuk perdagangan, transaksi keuangan, konten digital berbayar, komunikasi, mesin pencari dan konten, serta pemrosesan data pribadi yang terkait transaksi elektronik. Pendaftaran dilakukan lewat OSS, dan formulirnya menanyakan data pribadi yang diproses serta lokasi pengelolaan, pemrosesan, dan penyimpanan sistem dan datanya. PSE asing yang melayani pengguna di Indonesia juga wajib mendaftar.

Sistem yang tidak terdaftar dapat diputus aksesnya (Pasal 7 Permenkominfo tersebut). PSE Lingkup Privat boleh mengelola sistem dan data di dalam atau di luar Indonesia, asalkan pengawasan kementerian dan penegakan hukum tetap efektif (PP 71/2019 Pasal 21); PSE Lingkup Publik wajib melakukannya di Indonesia kecuali teknologi penyimpanannya tidak tersedia di dalam negeri (Pasal 20).

Regulasinya tidak mengenal endpoint Dukcapil yang terbuka untuk umum. Permendagri 102/2019 yang diubah dengan Permendagri 17/2023 memberikan hak akses per pengguna — termasuk badan hukum Indonesia — setelah permohonan kepada Dirjen Dukcapil, nota kesepahaman, dan perjanjian kerja sama. Akses web service berjalan lewat jaringan tertutup yang disediakan pengguna; badan hukum dengan kepemilikan mayoritas asing hanya mendapat jawaban sesuai atau tidak sesuai; dan data dari web service hanya boleh disimpan setelah persetujuan pemilik data diverifikasi dengan NIK dan biometrik. Perubahan 2023 menambahkan kewajiban sertifikat standar keamanan informasi, melarang pemberian data kependudukan kepada pihak ketiga, dan menghapus ketentuan Platform Bersama.

Untuk BPJS Ketenagakerjaan, kanal pemberi kerja yang terdokumentasi adalah SIPP Online dan Electronic Payment System (EPS): kode iuran didapat dari EPS, SIPP Online, atau Payment Reminder System, lalu dibayar lewat bank mitra atau virtual account. BPJS Kesehatan menjalankan program Trust Mark yang menilai mitra yang terintegrasi dengan sistem informasinya terhadap persyaratan hukum, teknis, dan keamanan. Data kesehatan dan biometrik termasuk data pribadi spesifik menurut Pasal 4 UU PDP, sehingga kedua integrasi ini masuk daftar pemicu penilaian dampak di Pasal 34.

PP 71/2019 mewajibkan rekam jejak audit atas seluruh kegiatan penyelenggaraan sistem elektronik (Pasal 22), prosedur pengamanan terhadap gangguan dan serangan, serta laporan pada kesempatan pertama kepada aparat penegak hukum dan kementerian terkait bila terjadi kegagalan serius akibat perbuatan pihak lain (Pasal 24). Peraturan BSSN 8/2020 menerjemahkannya menjadi sistem manajemen pengamanan informasi: PSE menilai sendiri apakah sistemnya strategis, tinggi, atau rendah, melaporkan hasilnya ke BSSN, lalu menerapkan SNI ISO/IEC 27001 atau standar BSSN sesuai kategorinya.

UU PDP menambahkan kewajiban menentukan tingkat keamanan sesuai sifat dan risiko data (Pasal 35) serta mencegah akses tidak sah (Pasal 39), dan kedua kewajiban itu berlaku juga bagi Prosesor Data Pribadi (Pasal 52). Dalam bahasa engineering, artinya enkripsi saat transit dan saat tersimpan, isolasi tenant yang ditegakkan di database alih-alih di kode aplikasi, audit log append-only yang bisa menjawab permintaan akses, role dengan least privilege, dan register vendor, karena prosesor wajib mendapat persetujuan tertulis Pengendali sebelum melibatkan prosesor lain (Pasal 51).

UU PDP tidak punya bab khusus tentang AI, tetapi empat pasal memikul sebagian besar bebannya. Analisis dan transfer termasuk pemrosesan (Pasal 16), jadi mengirim data ke penyedia model butuh dasar pemrosesan untuk tujuan itu. Pengambilan keputusan otomatis yang berakibat hukum atau berdampak signifikan, serta penggunaan teknologi baru, masuk daftar penilaian dampak (Pasal 34), dan Subjek Data Pribadi berhak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan (Pasal 10).

Inferensi di luar negeri tunduk pada Pasal 56: negara penerima harus punya tingkat pelindungan yang setara atau lebih tinggi; jika tidak, harus ada pelindungan yang memadai dan mengikat; jika keduanya tidak terpenuhi, harus ada persetujuan subjek data. Mahkamah Konstitusi menolak seluruh permohonan uji materi atas pasal itu pada 19 Januari 2026 (Putusan 137/PUU-XXIII/2025). Surat Edaran Menkominfo 9/2023 tentang Etika Kecerdasan Artifisial meminta penyelenggara AI memastikan pelindungan data pribadi sesuai peraturan dan menyusun kebijakan internal tentang data dan etika AI.