Kapan Lembaga Pelindungan Data Pribadi Indonesia Dibentuk?

Kapan lembaga pelindungan data pribadi Indonesia dibentuk? Pada 28 Oktober 2026, Kementerian Komunikasi dan Digital (Komdigi) menyatakan harmonisasi aturan yang diperlukan untuk membentuknya telah selesai, dan lembaga tersebut kini menunggu keputusan Presiden. Belum ada tanggal yang disebutkan. Lembaga ini penting karena Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan peraturan pelaksananya, PP 33/2026, menyerahkan sebagian besar penegakan sehari-hari kepadanya. PP 33/2026 mulai berlaku pada 16 Januari 2027, terlepas dari sudah ada atau belumnya lembaga tersebut.

Pernyataan Komdigi pada 28 Oktober

Bisnis.com memberitakan pernyataan tersebut dari sebuah gelar wicara di Jakarta tentang arus data lintas batas Indonesia dan Jerman dalam kerangka perjanjian dagang Indonesia-Uni Eropa, IEU-CEPA. Arif Wahyudi, analis kebijakan di Direktorat Strategi dan Kebijakan Pengawasan Ruang Digital Komdigi, menyatakan harmonisasi telah rampung dan pemerintah menunggu keputusan Presiden. Menurutnya, sejumlah ketentuan teknis UU PDP harus ditetapkan oleh lembaga itu sendiri, sehingga keberadaannya sangat krusial.

Ia menyampaikan bahwa Komdigi sedang menyiapkan rekomendasi kebijakan dan regulasi teknis bagi lembaga baru tersebut, bekerja sama dengan para pemangku kepentingan termasuk Asosiasi Praktisi Pelindungan Data Indonesia (APPDI), agar waktu pembahasan substansi di kemudian hari dapat dipersingkat. Ia juga menyebut sebagian urusan pembentukan lembaga berada di luar kewenangan teknis Komdigi, dan berharap industri ikut mendorong agar lembaga ini lebih cepat beroperasi.

Mengapa lembaga ini penting

Menurut client alert yang diterbitkan RSM Indonesia pada 18 September 2026, PP 33/2026 diundangkan pada 16 Juli 2026 dan mulai berlaku enam bulan kemudian berdasarkan Pasal 225. Regulasi ini memberi lembaga tersebut peran sentral. Pengendali wajib memberitahukan kegagalan pelindungan data pribadi kepada subjek data yang terdampak dan kepada lembaga dalam waktu 3 x 24 jam. Lembaga berwenang memberikan peringatan tertulis, menghentikan sementara pemrosesan, memerintahkan penghapusan data, dan menjatuhkan denda administratif hingga 2% dari pendapatan atau penerimaan tahunan. Lembaga juga akan menerbitkan aturan lanjutan tentang negara tujuan yang memiliki tingkat pelindungan setara dan tentang klausul kontrak baku untuk transfer ke luar negeri.

Transfer data lintas negara adalah bidang yang paling merasakan kekosongan ini. Dalam acara 28 Oktober, Arif Wahyudi menyatakan aturan transfer bukan sekadar pilihan antara boleh dan tidak boleh, melainkan terdiri atas beberapa tingkat pelindungan: pengakuan bahwa negara tujuan memadai, serta pelindungan di tingkat organisasi seperti klausul kontrak, binding corporate rules, dan sertifikasi. Menurutnya, komponen klausul kontrak sudah ada, tetapi standar penerapannya masih harus ditetapkan oleh lembaga. Bisnis.com juga memberitakan kajian Center for Indonesian Policy Studies (CIPS) tahun 2026 yang menemukan banyak perusahaan Indonesia menerima klausul kontrak standar Eropa tanpa perubahan, karena keterbatasan kapasitas dan belum tersedianya instrumen domestik yang sesuai.

Jalan panjang dan sinyal yang berbeda

Lembaga ini sudah lama dinantikan. Pada Juli 2026, detikInet memberitakan Wakil Menteri Komunikasi dan Digital Nezar Patria menyatakan pembentukannya sudah memasuki tahap akhir, bahwa lembaga ini akan bekerja secara independen dan berada di luar struktur Komdigi, dan bahwa laporannya akan disampaikan kepada Presiden melalui Komdigi. Saat itu, penyusunan Perpres diperkirakan rampung dalam sekitar dua bulan.

Pada September, CNBC Indonesia memberitakan Wahyudi Djafar, Direktur Eksekutif Catalyst Policy-Works, menyatakan izin prakarsa penyusunan Perpres telah diajukan pada 2024 dan tertunda akibat transisi politik tahun itu. Ia memperkirakan, sekalipun Perpres terbit pada 2026, lembaga ini masih membutuhkan satu hingga dua tahun untuk menyiapkan struktur, staf, anggaran, dan mekanisme kerjanya. Kepada Bisnis.com pada 8 September, ia menyebut 2028 sebagai waktu paling cepat lembaga ini dapat efektif.

Pemberitaan yang ada tidak sepenuhnya konsisten. Artikel Bisnis.com tanggal 8 September menyebut Perpres tersebut kabarnya sudah ditandatangani, sedangkan pernyataan Komdigi pada 28 Oktober menyebut keputusan masih ditunggu. Kami berpegang pada pernyataan resmi yang lebih baru, tetapi pembaca sebaiknya menganggap status pastinya belum terkonfirmasi sampai Perpres tersebut dipublikasikan.

Apa yang berlaku sementara ini

UU PDP tidak berhenti berlaku hanya karena lembaganya belum ada. CNBC Indonesia mencatat ketentuan pidananya sudah dapat ditegakkan melalui kepolisian, kejaksaan, dan pengadilan, serta Komdigi masih mengawasi penyelenggara sistem elektronik berdasarkan PP 71/2019. Namun, Wahyudi Djafar berpendapat kepatuhan administratif berada di tangan lembaga, sehingga dalam praktiknya sebagian besar masih bersifat sukarela sampai lembaga terbentuk. RSM Indonesia merujuk Pasal 223 PP 33/2026, yang memungkinkan pemrosesan tetap berjalan sambil menunggu aturan lanjutan lembaga selama tidak bertentangan dengan regulasi tersebut, dan mengingatkan bahwa hal ini bukan alasan untuk menunda persiapan. RSM juga mengingatkan agar organisasi tidak berasumsi bahwa daftar negara tujuan yang disetujui dan klausul kontrak baku sudah tersedia.

Persiapan bagi organisasi

Bagian ini adalah analisis kami, bukan nasihat hukum. Kewajiban dalam PP 33/2026 tidak menunggu lembaga terbentuk, dan aturan pertama lembaga kemungkinan besar akan lebih mudah dijalankan oleh organisasi yang sudah memahami datanya sendiri.

• Pelihara catatan terkini tentang data pribadi yang Anda proses, lokasi penyimpanannya, serta sistem dan vendor yang mengaksesnya, termasuk aliran data ke negara lain.
• Daftar setiap transfer lintas negara beserta dasar yang Anda gunakan saat ini, agar dapat segera menyesuaikan ketika lembaga menerbitkan aturan tentang negara tujuan yang memadai dan klausul kontrak.
• Uji apakah proses penanganan insiden Anda mampu mengidentifikasi subjek data yang terdampak dan menyiapkan pemberitahuan dalam tiga hari, karena kewajiban tersebut berlaku mulai 16 Januari 2027.
• Pastikan Anda dapat menunjukkan bukti atas apa yang telah dilakukan, dari catatan persetujuan hingga penilaian dampak, karena pengawas baru akan memulai dengan memintanya.

Apa yang perlu dicermati selanjutnya

Cermati terbitnya Perpres itu sendiri: nomornya, nama lembaganya, cara pimpinannya diangkat, dan sumber pendanaannya. CIPS mendorong lembaga yang independen dengan mandat yang jelas, kewenangan menerbitkan pedoman teknis, dan mekanisme pengaduan, serta aturan pelaksana yang disusun bersama pelaku usaha dan masyarakat sipil. Cermati aturan pertama lembaga tentang transfer data, yang penting bagi perdagangan dengan mitra seperti Jerman, di mana CIPS mencatat perdagangan jasa yang dapat dikirim secara digital dengan Indonesia mencapai US$669 juta pada 2024. Cermati pula apakah Komdigi menerbitkan pedoman pengawasan sementara jika lembaga belum siap pada 16 Januari 2027.