Oleh: Samuel F. Silaen – Pemerhati Kebijakan Publik
HITUNG MUNDUR 15 JANUARI 2027
Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi resmi ditetapkan pada Juli 2026.
Kini, waktu menuju 15 Januari 2027, saat ketentuan baru tersebut mulai berlaku, semakin dekat. Artinya, negara, pelaku usaha, dan masyarakat tidak lagi memiliki banyak waktu untuk sekadar memahami regulasi. Yang lebih penting adalah memastikan kesiapan untuk menjalankannya.
PP ini merupakan aturan pelaksanaan dari Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. UU PDP sendiri telah mengatur hak subjek data pribadi, kewajiban pengendali dan prosesor data, pemrosesan data, transfer data, sanksi administratif, kelembagaan, penyelesaian sengketa, hingga ketentuan pidana.
Dengan hadirnya PP 33/2026, persoalannya bukan lagi sekadar apakah Indonesia sudah memiliki aturan pelindungan data pribadi.
Pertanyaan yang jauh lebih penting adalah: apakah negara, pelaku usaha, dan masyarakat benar-benar sudah siap menjalankan aturan tersebut?
JANGAN HANYA KUAT DI ATAS KERTAS
Regulasi yang baik tidak akan efektif apabila pihak yang dilindungi tidak memahami haknya, sementara pihak yang diwajibkan patuh tidak memahami kewajibannya.
Inilah yang harus dicegah.
Jangan sampai pada 15 Januari 2027 Indonesia memiliki UU dan PP yang terlihat kuat di atas kertas, tetapi lemah dalam penerapan di lapangan karena tiga persoalan: ketidaktahuan, ketidaksiapan, dan kesenjangan pemahaman.
Sosialisasi memang penting dan selama ini sudah berjalan. Tetapi ukuran keberhasilannya bukan berapa banyak seminar yang diselenggarakan atau berapa banyak peserta yang hadir.
Ukuran sebenarnya jauh lebih sederhana.
Apakah warung online memahami bahwa nomor HP pelanggan tidak boleh disebarluaskan sembarangan? Apakah HRD memahami kewajiban dalam mengelola dan menghapus data pelamar sesuai ketentuan? Apakah pengelola klinik memahami bagaimana melindungi data pasien? Apakah masyarakat tahu ke mana harus mengadu ketika data pribadinya bocor?
Kalau pertanyaan-pertanyaan sederhana itu belum dapat dijawab, maka pekerjaan rumah pemerintah masih sangat besar.
UMKM JANGAN DIBIARKAN BERJALAN SENDIRI
Korporasi besar relatif memiliki kemampuan untuk mempersiapkan diri. Mereka bisa memiliki tim IT, konsultan hukum, pejabat atau petugas yang menjalankan fungsi pelindungan data pribadi, serta anggaran untuk membangun sistem keamanan data.
Tetapi bagaimana dengan UMKM?
Bagaimana dengan pelaku usaha yang sudah terlanjur menyimpan nama, alamat, nomor HP, bahkan data identitas ribuan pelanggannya?
Bagaimana dengan koperasi yang memegang KTP para anggotanya? Bagaimana dengan klinik yang menyimpan ribuan data pasien? Bagaimana dengan sekolah, komunitas, marketplace kecil, atau pengelola usaha berbasis digital yang belum memiliki pemahaman memadai tentang tata kelola data?
Di sinilah potensi kesenjangan kepatuhan muncul.
Jangan sampai UMKM baru mengetahui kewajibannya setelah mendapatkan teguran atau sanksi.
UU PDP memang menyediakan instrumen sanksi administratif, termasuk peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, hingga denda administratif. Denda administratif tersebut dalam UU PDP memiliki batas paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Namun, angka tersebut tidak boleh dipahami sebagai ancaman yang berdiri sendiri. Penegakan hukum harus berjalan beriringan dengan pembinaan dan peningkatan kepatuhan.
Negara tidak boleh menunggu UMKM melakukan kesalahan terlebih dahulu, baru kemudian datang membawa sanksi.
Negara harus hadir sebelum pelanggaran terjadi.
Yang dibutuhkan UMKM bukan sekadar tumpukan pasal hukum. Mereka membutuhkan panduan sederhana yang bisa langsung digunakan.
Boleh tidak meminta foto KTP? Boleh tidak menggunakan data pelanggan untuk WA blast? Data harus disimpan berapa lama? Kapan data harus dihapus? Jika terjadi kebocoran, siapa yang harus diberitahu dan bagaimana mekanisme pelaporannya?
Pertanyaan praktis seperti itulah yang harus dijawab pemerintah.
MASYARAKAT JANGAN HANYA DIJADIKAN SUMBER DATA
Di sisi lain, masyarakat jangan terus diposisikan sebagai objek.
Demi diskon 10 persen, hadiah voucher, akses aplikasi, atau layanan tertentu, masyarakat sering kali dengan mudah menyerahkan NIK, swafoto dengan KTP, nomor telepon, alamat, bahkan data keuangan.
Persoalannya bukan semata-mata masyarakat ceroboh.
Persoalannya adalah apakah masyarakat memahami apa yang terjadi terhadap data yang mereka serahkan.
UU PDP telah memberikan hak kepada subjek data pribadi. Hak tersebut mencakup berbagai aspek, termasuk hak atas akses dan informasi mengenai data pribadi, serta hak-hak lain dalam pengendalian data pribadinya. Prinsip pelindungan data juga menempatkan pengumpulan dan pemrosesan data harus dilakukan secara terbatas, spesifik, sah, patut, transparan, serta memperhatikan keamanan data.
Tetapi hak di atas kertas tidak akan berarti apabila masyarakat tidak tahu cara menggunakannya.
Kalau rakyat hanya tahu bahwa “sudah ada UU PDP dan PP-nya“, tetapi tidak tahu bagaimana meminta akses terhadap datanya, bagaimana meminta perbaikan atau penghapusan, dan bagaimana mengadu ketika terjadi kebocoran, maka pelindungan data pribadi belum benar-benar hadir dalam kehidupan masyarakat.
Literasi pelindungan data pribadi harus dinaikkan levelnya.
Bukan sekadar “jangan pernah membagikan OTP“.
Tetapi: pahami hakmu, pahami bagaimana datamu digunakan, dan tuntut pemenuhan hak tersebut ketika terjadi pelanggaran.
NEGARA JUGA HARUS SIAP
Ada satu persoalan yang tidak boleh luput dari perhatian: kesiapan negara sendiri.
Pemerintah pada Juli 2026 menyampaikan bahwa pembentukan Otoritas Pelindungan Data Pribadi yang independen masih dalam proses finalisasi. Pemerintah menyebut lembaga tersebut diproyeksikan bekerja secara independen dan regulasi kelembagaannya masih disiapkan.
Ini bukan persoalan kecil.
Bagaimana mungkin pelaku usaha diminta semakin patuh, masyarakat diminta semakin aktif menggunakan haknya, tetapi negara sendiri masih menyelesaikan sebagian arsitektur kelembagaan yang diperlukan untuk menjalankan rezim pelindungan data pribadi?
Karena itu, kesiapan implementasi harus dilihat secara menyeluruh.
Bukan hanya kesiapan pelaku usaha.
Bukan hanya kesiapan masyarakat.
Negara pun harus siap.
Regulasi membutuhkan lembaga yang jelas, mekanisme pengawasan yang efektif, kanal pengaduan yang mudah diakses, prosedur yang transparan, serta penegakan hukum yang konsisten dan proporsional.
TUGAS NEGARA: JELASKAN ATURAN DENGAN BAHASA RAKYAT
Pemerintah memiliki pekerjaan rumah besar sebelum Januari 2027.
Pasal-pasal dengan bahasa hukum yang teknis harus diterjemahkan menjadi panduan praktis yang mudah dipahami masyarakat dan pelaku usaha.
Edukasi tidak cukup dilakukan di hotel berbintang.
Edukasi harus masuk ke pasar, komunitas UMKM, koperasi, grup WhatsApp RT, kampus, sekolah, rumah sakit, klinik, dan ruang-ruang digital tempat masyarakat sehari-hari menyerahkan datanya.
Setidaknya ada tiga hal yang harus diperkuat.
Pertama, panduan praktis. Pelaku usaha, khususnya UMKM, harus mendapatkan petunjuk sederhana mengenai kewajiban melindungi data pelanggan.
Kedua, kanal pengaduan. Masyarakat membutuhkan saluran yang mudah, cepat, murah, dan jelas ketika terjadi dugaan pelanggaran.
Ketiga, pendampingan. Penegakan aturan tidak boleh hanya berorientasi pada pemberian sanksi. Negara juga harus membangun budaya kepatuhan.
UJIAN SEBENARNYA AKAN DIMULAI
PP 33/2026 jangan diposisikan sebagai instrumen untuk menakut-nakuti dunia usaha.
Sebaliknya, regulasi ini harus menjadi instrumen kebijakan publik untuk membangun kepercayaan.
Kepercayaan masyarakat bahwa data pribadinya aman.
Kepercayaan pelaku usaha bahwa aturan dapat dipahami dan diterapkan secara proporsional.
Dan kepercayaan investor bahwa Indonesia serius membangun tata kelola data pribadi yang kredibel.
Pelindungan data pribadi bahkan semakin penting bagi ekosistem ekonomi digital dan investasi. Pemerintah sendiri menempatkan kepastian regulasi dan pelindungan data sebagai bagian dari upaya membangun kepercayaan bagi investasi digital.
Karena itu, kualitas sebuah regulasi tidak diuji ketika regulasi tersebut ditandatangani.
Regulasi diuji ketika masyarakat mampu merasakan perlindungannya, pelaku usaha mampu menjalankan kewajibannya, dan negara mampu memastikan kepatuhannya.
Ketiganya harus berjalan seiring.
Jangan sampai negara merasa persoalan selesai hanya karena sudah menerbitkan PP pelindungan data pribadi.
Regulasi yang hebat dapat kehilangan maknanya apabila masyarakat tidak memahami haknya, pelaku usaha tidak memahami kewajibannya, dan negara tidak siap menjalankan fungsi pengawasannya.
Waktu untuk beradaptasi menuju pemberlakuan rezim baru ini semakin pendek.
Setelah aturan berlaku, alasan “saya belum tahu” tentu tidak bisa terus menjadi pembenaran.
Karena itu, sekarang waktunya bukan sekadar menyambut PP 33/2026. Sekarang waktunya menguji kesiapan negara, dunia usaha, dan masyarakat.
Jangan sampai PP 33/2026 kuat di atas kertas, tetapi lemah ketika diuji di lapangan.(*).