JAKARTA, BakabaNews — Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memberi warga sejumlah hak yang cukup kuat di atas kertas. Persoalannya terletak pada satu hal: lembaga yang seharusnya mengawasi pelaksanaannya belum berdiri, terlambat sekitar dua tahun dari amanat undang-undang.
Hak yang dimiliki setiap orang
Undang-undang ini menempatkan warga sebagai pemilik data, bukan sekadar objek pendataan. Hak-hak yang diatur pada Pasal 5 sampai 12 meliputi:
- Mengetahui identitas pihak yang meminta data, dasar hukumnya, dan tujuan penggunaannya.
- Memperbaiki dan memperbarui data yang keliru.
- Mengakses dan memperoleh salinan data pribadi yang disimpan pihak lain.
- Mengakhiri pemrosesan serta menghapus atau memusnahkan data.
- Menarik kembali persetujuan yang sudah diberikan.
- Mengajukan keberatan atas keputusan yang dibuat sepenuhnya secara otomatis, termasuk profiling, bila berdampak signifikan.
- Menunda atau membatasi pemrosesan.
- Menggugat dan menerima ganti rugi atas pelanggaran.
Dua tenggat waktu konkret patut diingat. Pengendali data wajib menanggapi permintaan koreksi kesalahan data paling lama 3x24 jam. Dan bila terjadi kebocoran, pemberitahuan tertulis wajib disampaikan paling lama 3x24 jam kepada pemilik data sekaligus lembaga pengawas, memuat data apa yang bocor, kapan dan bagaimana kejadiannya, serta upaya penanganannya.
Persetujuan bukan satu-satunya dasar
Salah kaprah yang umum di kalangan pelaku usaha adalah anggapan bahwa setiap pemrosesan data wajib berlandaskan persetujuan. Pasal 20 ayat (2) sebenarnya menyebut enam dasar pemrosesan yang sah: persetujuan eksplisit, pemenuhan perjanjian, kewajiban hukum, perlindungan kepentingan vital, pelaksanaan tugas kepentingan umum, dan kepentingan sah lainnya.
Sebaliknya, ada kewajiban yang justru sering diabaikan: persetujuan harus tertulis atau terekam, pengendali harus mampu membuktikan persetujuan itu ada, dan data anak wajib memakai persetujuan orang tua atau wali.
Badan pengawas yang belum berdiri
Di sinilah jarak antara aturan dan pelaksanaan paling lebar. Badan Pelindungan Data Pribadi yang diamanatkan undang-undang belum terbentuk hingga September 2026. Fungsi pengawasan sementara dijalankan Kementerian Komunikasi dan Digital, meski undang-undang mengamanatkan lembaga yang independen dan bertanggung jawab langsung kepada Presiden.
Kronologinya berjalan lambat. Izin prakarsa peraturan presiden diberikan pada 4 Maret 2025, dibahas panitia antarkementerian, lalu diharmonisasi. Pada 20 Mei 2026 rancangan peraturan presiden diajukan untuk penetapan. Sampai awal September 2026 belum ada konfirmasi peraturan itu diteken.
Keterlambatan tersebut berbuah gugatan. Dua perkara diajukan ke Mahkamah Konstitusi pada 19 Juni 2026, menguji ketentuan yang mengatur pembentukan lembaga pengawas, dengan dalil pemerintah lalai menjalankan amanat undang-undang.
Aturan pelaksana berupa peraturan pemerintah juga belum terbit. Rancangannya memuat sekitar 225 pasal dan telah menyerap hampir dua ribu masukan publik, tetapi belum diundangkan.
Yang tetap berlaku meski lembaganya belum ada
Ada kesalahpahaman yang perlu diluruskan tegas: ketiadaan badan pengawas tidak membuat undang-undang ini belum berlaku. Masa transisi dua tahun berakhir pada 17 Oktober 2024, dan sejak itu undang-undang berlaku penuh.
Ketentuan pidananya bahkan sudah dijatuhkan pengadilan sebelum masa transisi berakhir. Pengadilan Negeri Karanganyar pada Maret 2023 menjatuhkan hukuman lima tahun penjara ditambah denda Rp1 miliar. Pengadilan Negeri Tangerang pada April 2024 memutus perkara pendaftaran kartu SIM menggunakan nomor induk kependudukan curian dengan hukuman satu tahun enam bulan dan denda Rp50 juta.
Ancaman pidananya sendiri tidak ringan: memperoleh atau mengumpulkan data orang lain secara melawan hukum diancam maksimal lima tahun penjara dan denda Rp5 miliar; memalsukan data pribadi diancam maksimal enam tahun dan denda Rp6 miliar. Untuk korporasi, dendanya dapat dilipatgandakan hingga sepuluh kali, atau mencapai Rp60 miliar.
Yang praktis belum bisa ditegakkan adalah sanksi administratif — termasuk denda hingga 2 persen dari pendapatan tahunan — karena penjatuhannya menjadi kewenangan lembaga pengawas yang belum ada.
Langkah bila data Anda bocor
Karena tidak ada kanal pengaduan khusus perlindungan data per September 2026, alurnya menjadi berlapis:
- Ajukan permintaan langsung ke pihak yang memegang data Anda — koreksi, penghentian pemrosesan, atau penghapusan. Permintaan koreksi wajib direspons dalam 3x24 jam.
- Laporkan ke Komdigi melalui aduankonten.id bila menyangkut konten, situs, atau aplikasi.
- Ajukan gugatan perdata untuk ganti rugi, sesuai hak pada Pasal 12.
- Laporkan secara pidana ke kepolisian bila ada unsur pengumpulan atau penyalahgunaan data secara melawan hukum.
Untuk persoalan data kependudukan, kanal resmi hanya WhatsApp Halo Dukcapil di 0811-1902-4156, layanan telepon 1500537, dan aplikasi Identitas Kependudukan Digital.
Satu peringatan penting: karena Badan Pelindungan Data Pribadi belum berdiri, setiap tawaran "hotline resmi Badan PDP" atau jasa pengurusan data yang mengatasnamakan lembaga tersebut patut dicurigai sebagai penipuan.
Empat kekeliruan yang sering terjadi
- "Indonesia sudah punya otoritas data independen seperti di Eropa." Belum; masih berupa rancangan peraturan presiden.
- "Lembaganya belum ada, berarti undang-undangnya belum berlaku." Keliru; pidana sudah dijatuhkan sejak 2023.
- "Komdigi adalah otoritas resmi perlindungan data." Perannya bersifat sementara, bukan lembaga yang diamanatkan undang-undang.
- "Sanksinya hanya teguran." Ancaman pidana dan denda korporasi mencapai puluhan miliar rupiah.
Status pembentukan Badan Pelindungan Data Pribadi dan peraturan pelaksananya dapat berubah. Artikel ini merujuk kondisi hingga awal September 2026.
