Lembaga Perlindungan Data Belum Ada di RI, Padahal Aturannya Sudah Ada
Jakarta, CNBC Indonesia - Undang-Undang Pelindungan Data Pribadi (UU PDP) telah disahkan sejak Oktober 2022. Namun, hingga kini Badan Pelindungan Data Pribadi yang akan menjalankan fungsi pengawasan dan penegakan kepatuhan aturan tersebut belum juga terbentuk.
Direktur Eksekutif Catalyst Policy-Works, Wahyudi Djafar, mengatakan bahwa berdasarkan Pasal 74 UU PDP, masa penyesuaian berakhir dua tahun setelah undang-undang tersebut disahkan, yakni pada Oktober 2024. Artinya, standar kepatuhan pelindungan data pribadi seharusnya sudah mulai diterapkan sejak saat itu.
Kendati demikian, implementasi tersebut sangat membutuhkan aturan teknis serta lembaga khusus yang bertugas memastikan kepatuhan terhadap UU PDP.
Baru pada Agustus 2026, pemerintah akhirnya mengesahkan Peraturan Pemerintah (PP) Nomor 33 Tahun 2026 sebagai aturan pelaksanaan UU PDP. Meski demikian, menurut Wahyudi, penerapan aturan tersebut masih menghadapi kendala besar karena Badan Pelindungan Data Pribadi belum beroperasi.
Pasalnya, badan tersebut memiliki peran krusial dalam memberikan panduan teknis mengenai penerapan standar kepatuhan, salah satunya terkait mekanisme transfer data yang dalam beberapa ketentuan mengacu langsung pada panduan dari badan tersebut.
"Karena tadi lembaganya atau Badan Pelindungan Data Pribadi belum terbentuk, maka sulit untuk bisa mengoperasikan, menjalankan, serta mengimplementasikan standar-standar kepatuhan yang diatur di dalam PP tersebut," ujar Wahyudi kepada CNBC Indonesia melalui sambungan telepon, Selasa (15/9/2026).
Ia menjelaskan bahwa proses pembentukan badan tersebut sebenarnya sudah berjalan cukup lama. Izin prakarsa untuk penyusunan Peraturan Presiden (Perpres) tentang Badan Pelindungan Data Pribadi bahkan telah diajukan sejak 2024. Namun, proses itu belum membuahkan hasil hingga saat ini akibat adanya transisi politik pada tahun tersebut.
"Ada proses politik waktu itu ya, transisi politik di 2024 dan sampai sekarang, sayangnya Perpres tentang pembentukan badan ini belum keluar," ungkapnya.
Menurut Wahyudi, sekalipun Perpres tersebut diterbitkan tahun ini, badan tersebut tidak akan bisa langsung beroperasi secara instan. Pemerintah masih memerlukan waktu untuk membentuk struktur organisasi, menyiapkan sumber daya manusia (SDM), mengalokasikan anggaran, serta merumuskan mekanisme kerja yang matang.
"Sehingga juga butuh waktu bisa 1-2 tahun lagi agar ia bisa beroperasi secara baik dan menjalankan fungsi-fungsi yang diperintahkan oleh UU PDP maupun oleh PP Nomor 33 Tahun 2026," terangnya.
Perlu Diisi Perwakilan Berbagai Pihak
Wahyudi menilai bahwa Badan Pelindungan Data Pribadi harus dibangun sebagai lembaga yang kuat dan independen. Oleh karena itu, komposisinya perlu melibatkan berbagai pemangku kepentingan yang benar-benar memahami proses bisnis serta tata cara pelindungan dan pemrosesan data pribadi.
Menurutnya, unsur-unsur yang perlu direpresentasikan mencakup kalangan industri, kelompok teknologi, masyarakat sipil, akademisi, hingga pihak pemerintah sendiri.
"Yang merepresentasikan baik dari industri, dari kelompok teknologi, dari masyarakat sipil, dari akademisi, termasuk juga dari pemerintah. Karena pemerintah juga dalam hal ini bagian dari pengendali data," ujar Wahyudi.
Ia menegaskan bahwa komposisi, struktur, dan kebutuhan SDM badan tersebut nantinya perlu dirumuskan secara transparan dan jelas di dalam Perpres pembentukannya.
Implementasi Masih Bersifat Sukarela (Voluntary)
Dengan belum terbentuknya lembaga pengawas ini, Wahyudi menilai penerapan sejumlah standar kepatuhan PDP saat ini masih bersifat sukarela atau voluntary.
"Kalau pun kemudian pengendali data hari ini mau menjalankan beberapa standar kepatuhan tersebut, ya tadi, sifatnya masih voluntary, masih sukarela, karena memang belum ada lembaga yang secara khusus mengawasi bagaimana pelaksanaan standar kepatuhannya," terangnya.
Kendati demikian, bukan berarti seluruh aspek pelindungan data sepenuhnya luput dari pengawasan. Bagi penyelenggara sistem elektronik (PSE), Kementerian Komunikasi dan Digital (Komdigi) masih memiliki ruang pengawasan yang sah berdasarkan PP Nomor 71 Tahun 2019.
Selain itu, ketentuan sanksi pidana dalam UU PDP sudah dapat ditegakkan sejak undang-undang tersebut resmi berlaku. Wahyudi menyebutkan bahwa sejumlah kasus yang diduga berkaitan dengan tindak pidana pelindungan data pribadi bahkan telah diproses secara hukum hingga ke pengadilan.
"Ketika ada pelanggaran pidana, sebenarnya sejak 2022 itu sudah mulai ditegakkan," ujarnya.
Namun, ia menggarisbawahi bahwa penegakan hukum pidana tersebut berbeda karakternya dengan penegakan standar kepatuhan yang bersifat administratif. Untuk aspek administratif yang berkaitan langsung dengan kepatuhan terhadap UU PDP, kewenangan pengawasan dan penegakannya mutlak berada di tangan Badan Pelindungan Data Pribadi.
"Sehingga kemudian yang bisa secara efektif diterapkan baru berkaitan dengan pelanggaran hukum pidananya. Karena memang di dalam UU PDP kan juga diatur terkait dengan ancaman pidana di dalamnya. Artinya prosesnya melalui kepolisian, kejaksaan, sampai kemudian ke pengadilan," pungkasnya.
(fab/fab) [Gambas:Video CNBC]