Oleh: Agus Santoso – Mantan Wakil Kepala PPATK
DATA PRIBADI DARI “ASET” MENJADI “TITIPAN”
Selama ini, banyak pelaku usaha menjadikan data pelanggan seperti “harta rampasan”. Nama, NIK, nomor HP, riwayat belanja, lokasi, bahkan foto KTP, disimpan selamanya. Bahkan, tak sedikit yang “dijual” atau digunakan tanpa izin.
Kini telah berlaku efektif PP No. 33 Tahun 2026 sebagai aturan turunan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (PDP).
Pesan utamanya jelas:
Data pribadi bukan milik, tetapi titipan. Dan pengelolaan titipan memiliki konsekuensi hukum.
Bagi pelaku usaha yang masih bermental “ambil dulu, urusan belakangan”, ini menjadi tamparan.
Tetapi bagi usaha yang ingin tumbuh secara berkelanjutan, aturan ini justru menjadi peluang emas untuk membangun kepercayaan.
4 KEWAJIBAN YANG TIDAK BISA DITAWAR
PP No. 33/2026 menegaskan bahwa semua “Pengendali Data”, mulai dari warung online sampai bank BUMN, wajib patuh kepada UU PDP.
1. Pentingnya Dasar Pemrosesan
Mau menggunakan data? Jelaskan tujuan spesifiknya. Minta persetujuan secara eksplisit. Pastikan dasar pemrosesan terpenuhi, entah itu persetujuan, kontrak, kepentingan publik, kepentingan vital, kewajiban hukum, atau kepentingan yang sah.
Contoh: KSP ingin menggunakan data anggota untuk menawarkan asuransi dan produk lainnya. Maka, wajib meminta persetujuan terlebih dahulu kepada anggotanya.
2. Pembatasan Tujuan
Data untuk pengajuan pinjaman, ya, hanya untuk itu. Dilarang digunakan untuk hal lain, apalagi dijual kepada pihak ketiga tanpa izin baru.
Ini disebut prinsip purpose limitation.
3. Keamanan dan Pemberitahuan Kebocoran Data
Dunia usaha wajib memiliki sistem pengamanan data yang berlapis.
Jika terjadi kebocoran, jangan ditutup-tutupi. Wajib melapor kepada lembaga pengawas dan memberitahu korban maksimal dalam waktu 3 x 24 jam.
Kecepatan adalah kunci untuk menyelamatkan reputasi.
4. Hormati Hak Subjek Data
Pelanggan berhak meminta untuk melihat, memperbaiki, menghapus, menarik izin, bahkan memindahkan datanya ke kompetitor.
Pengusaha wajib menyediakan mekanismenya. Jangan mempersulit.
3 DALIH YANG SUDAH TIDAK BERLAKU LAGI
1. “Itu kan data milik kami”
Bukan. Itu data milik orang lain.
Anda hanya dititipi. Memperlakukan titipan seperti milik sendiri adalah bentuk penggelapan kepercayaan.
2. “Kami kan UMKM, tidak diawasi”
Salah besar.
PP No. 33/2026 berlaku untuk semua. Sanksinya mulai dari teguran, penghentian sementara, denda administratif 2% dari omzet tahunan, hingga ancaman pidana.
Jangan sampai UMKM tumbang karena abai.
3. “Nanti kalau bocor, barulah kita benahi”
Terlambat.
UU menuntut Privacy by Design.
Sistem keamanan data harus dibangun sejak awal, bukan setelah data orang bocor.
UBAH KEPATUHAN MENJADI SENJATA BISNIS
Di era digital ini, kepatuhan hukum adalah iklan yang termahal.
Ganti tagline:
“Data Anda Aman Bersama Kami. Kami Patuh UU 27/2022 & PP 33/2026.”
Iklan seperti ini jauh lebih menjual daripada diskon harga 50 persen.
Tugas negara jangan hanya menakut-nakuti dengan penerapan sanksi, apalagi UU PDP memiliki ancaman pidana.
Lakukan sosialisasi secara masif dan sediakan regulatory sandbox, agar UMKM bisa naik kelas tanpa rasa takut salah langkah.
EKONOMI MILIK YANG PALING DIPERCAYA
Ekonomi digital tanpa data valid ibarat mobil tanpa bensin.
Tetapi, naik mobil dengan tangki bensin bocor tentu sangat berisiko.
PP No. 33/2026 menginginkan satu hal: lindungi data pelanggan seperti Anda melindungi uang di brankas.
Karena rumusnya sederhana:
Yang dipercaya pelanggan pasti bertahan. Yang tidak mampu menjaga data akan ditinggalkan pelanggan.
SANKSI PIDANA PDP SUDAH DITERAPKAN
Sejak UU ini diterbitkan, sudah ada banyak putusan pidana.
Bahkan, pidana terhadap korporasi dapat dikenakan kepada pengurus dan pemilik manfaat institusi maupun korporasi.
Jadi, bagi manajemen dan pemilik korporasi yang tidak peduli terhadap kepatuhan UU PDP, sikap tersebut ibarat sedang menyimpan bom waktu dengan risiko sangat besar.(*).