UU PDP dan keamanan siber: kewajiban Pasal 35–39, pemberitahuan 3 × 24 jam Pasal 46, prosesor, dan status PP 33/2026

UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan setiap pengendali data untuk melindungi dan memastikan keamanan data pribadi yang diprosesnya (Pasal 35), menjaga kerahasiaannya (Pasal 36), mengawasi setiap pihak yang ikut memproses (Pasal 37), melindunginya dari pemrosesan tidak sah (Pasal 38), dan mencegah akses tidak sah dengan sistem keamanan yang andal (Pasal 39). Bila terjadi kegagalan pelindungan, pengendali wajib memberi tahu subjek data dan lembaga secara tertulis paling lambat 3 × 24 jam (Pasal 46). UU PDP tidak menyebut alat atau layanan tertentu; Anda boleh memenuhi kewajiban ini dengan tim sendiri atau penyedia keamanan terkelola, tetapi tanggung jawabnya tetap pada Anda. UU PDP berlaku penuh sejak berakhirnya masa penyesuaian dua tahun pada Oktober 2024.

Panduan ini bagian dari panduan harga layanan keamanan siber terkelola. Kewajiban penyelenggara sistem elektronik dan BSSN dibahas di PP 71/2019, BSSN, dan pelaporan insiden, dan pembagian tugas saat insiden di langkah 72 jam pertama. Ini bukan nasihat hukum.

Isi kewajiban keamanan Pasal 35–39

Pasal	Bunyi pokok	Arti praktis untuk layanan keamanan
35	Penyusunan dan penerapan langkah teknis operasional, serta penentuan tingkat keamanan dengan memperhatikan sifat dan risiko data	Tingkat perlindungan harus sebanding dengan risiko. Data kesehatan atau keuangan membutuhkan kontrol lebih kuat daripada daftar alamat email
36	Menjaga kerahasiaan data pribadi	Enkripsi, kontrol akses per peran, kewajiban kerahasiaan di kontrak penyedia
37	Mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendali pengendali	Penyedia MSSP/MDR yang melihat log berisi data pribadi harus diawasi: laporan, audit, hak memeriksa
38	Melindungi dari pemrosesan yang tidak sah	Pembatasan penggunaan data oleh penyedia hanya untuk tujuan layanan
39	Mencegah akses tidak sah dengan sistem keamanan atau sistem elektronik yang andal, aman, dan bertanggung jawab	MFA, patch, pemantauan, cadangan, dan deteksi intrusi

Kewajiban ini bersifat berbasis risiko. Tidak ada daftar alat wajib, sehingga yang diperiksa bila terjadi masalah adalah apakah langkah Anda wajar untuk jenis dan jumlah data yang Anda kelola. Dokumentasikan alasan pilihan Anda: daftar risiko, keputusan anggaran, dan laporan penyedia.

Pemberitahuan kegagalan pelindungan: Pasal 46

Pasal 46 ayat (1) mewajibkan pengendali menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam kepada subjek data dan lembaga. Ayat (2) menetapkan isi minimal:

Data pribadi yang terungkap.
Kapan dan bagaimana data pribadi terungkap.
Upaya penanganan dan pemulihan oleh pengendali.

Ayat (3) menambahkan bahwa dalam hal tertentu pengendali wajib memberi tahu masyarakat. Teks UU tidak menjelaskan kapan tepatnya hitungan 3 × 24 jam dimulai. PP 33/2026 Pasal 114 ayat (2), yang berlaku mulai 16 Januari 2027, menghitungnya sejak kegagalan pelindungan diketahui secara pasti, patut, dan wajar; penjelasannya mengaitkan saat itu dengan kesimpulan dokumentasi insiden yang dibuat pengendali. Pasal 114 ayat (4) menambahkan bahwa pemberitahuan memuat informasi pejabat pelindungan data (PPDP) atau narahubung, dan Pasal 115 merinci pemberitahuan kepada masyarakat bila pelayanan publik terganggu atau kepentingan masyarakat terdampak serius. Sikap yang aman tetap menghitung sejak Anda mengetahui atau seharusnya mengetahui adanya kegagalan pelindungan, dan menyiapkan template surat sejak sekarang.

Konsekuensinya untuk kontrak layanan keamanan:

Penyedia harus memberi tahu Anda dalam hitungan jam, bukan hari, sejak menemukan indikasi kebocoran.
Laporan awal penyedia harus memuat bahan untuk tiga butir isi minimal di atas.
Log harus disimpan cukup lama untuk menjawab "kapan dan bagaimana".

Penyedia keamanan sebagai prosesor data

Penyedia MDR atau SOC melihat log yang berisi nama pengguna, alamat IP, alamat email, dan kadang isi berkas. Dalam kerangka UU PDP, penyedia itu umumnya bertindak sebagai prosesor atas perintah Anda. Pasal 51 mengatur bahwa prosesor memproses berdasarkan perintah pengendali dan bahwa penggunaan subprosesor memerlukan persetujuan tertulis pengendali. Masukkan ke perjanjian pemrosesan data:

Jenis data dan tujuan pemrosesan (hanya untuk deteksi dan respons).
Lokasi penyimpanan log dan daftar subprosesor beserta negaranya.
Kewajiban kerahasiaan analis.
Batas waktu pemberitahuan insiden kepada Anda.
Pengembalian dan penghapusan log saat kontrak berakhir.

Bila log disimpan di luar Indonesia, ketentuan transfer data pribadi ke luar wilayah hukum Indonesia (Pasal 56) ikut berlaku.

Pejabat pelindungan data dan penilaian dampak

Pasal 53 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi bila pemrosesan untuk pelayanan publik, bila kegiatan inti memerlukan pemantauan teratur dan sistematis dalam skala besar, atau bila kegiatan inti memproses data spesifik dalam skala besar. Pasal 34 mewajibkan penilaian dampak bila pemrosesan berisiko tinggi, termasuk skala besar, data spesifik, dan penggunaan teknologi baru. Keduanya memengaruhi kebutuhan akan CISO virtual dan cakupan pemantauan.

Sanksi

Pasal 57 menyebut pelanggaran Pasal 35, 36, 37, 38, 39 ayat (1), dan 46 ayat (1) dan (3), di antara pasal lain, dapat dikenai sanksi administratif: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. UU PDP juga memuat ketentuan pidana untuk perbuatan tertentu, misalnya memperoleh atau mengungkap data pribadi yang bukan miliknya secara melawan hukum.

Status peraturan pelaksana dan lembaga per Oktober 2026

Peraturan pelaksana UU PDP terbit sebagai PP 33/2026 (LN 2026 Nomor 88), ditetapkan dan diundangkan 16 Juli 2026, dan mulai berlaku 16 Januari 2027, enam bulan setelah diundangkan (Pasal 225). PP ini mengatur antara lain pemrosesan, hak dan kewajiban pengendali dan prosesor, pemberitahuan kegagalan pelindungan (Pasal 114–119), penilaian dampak, PPDP, transfer ke luar negeri, dan sanksi administratif; denda paling tinggi 2% dari pendapatan atau penerimaan tahunan dihitung terhadap variabel pelanggaran (Pasal 185). Pasal 118 mewajibkan prosesor, misalnya penyedia MDR, melaporkan kegagalan pelindungan kepada pengendali pada kesempatan pertama. Banyak rincian teknis masih diserahkan kepada Peraturan Lembaga (misalnya Pasal 119). Lembaga pengawas PDP sendiri, per pemberitaan September 2026, belum terbentuk: rancangan Perpresnya sudah diajukan kepada Presiden, dan selama masa transisi Komdigi menjalankan fungsi pengawasan, termasuk menangani insiden dan pengaduan. Karena itu kanal penyampaian pemberitahuan kepada "lembaga" perlu dicek di Komdigi.

Pertanyaan yang sering diajukan

Apakah UMKM juga terkena UU PDP?

Ya, bila memproses data pribadi pelanggan, karyawan, atau mitra. Kewajiban keamanan berlaku sebanding dengan risiko, sehingga langkah UMKM bisa lebih sederhana daripada bank, tetapi tetap harus ada.

Bila kebocoran terjadi di sistem penyedia, siapa yang memberi tahu subjek data?

Pengendali, yaitu Anda. Penyedia wajib memberi tahu Anda dan membantu menyiapkan isinya. Atur ini di kontrak.

Apakah setiap insiden ransomware wajib diberitahukan?

Kewajiban Pasal 46 terkait kegagalan pelindungan data pribadi. Bila ransomware mengenkripsi atau menyalin data pribadi, besar kemungkinan termasuk. Mintalah nasihat hukum secepatnya karena waktunya hanya 3 × 24 jam.

Apakah sertifikasi ISO/IEC 27001 membuktikan kepatuhan UU PDP?

Tidak otomatis. Sertifikasi membantu menunjukkan adanya sistem manajemen keamanan, tetapi kewajiban UU PDP lebih luas, misalnya dasar pemrosesan dan hak subjek data.

Sumber resmi

Pasal.id — teks dan status UU 27/2022, termasuk Pasal 34–39, 46, 51, 53, 56, dan 57
JDIH Komdigi — peraturan dan informasi pelaksanaan pelindungan data pribadi
JDIH Kementerian Sekretariat Negara dan Peraturan.go.id — teks resmi PP 33/2026
BSSN — panduan penanganan insiden siber