Otoritas PDP Belum Terbentuk, Siapa Awasi Kebocoran Data Pribadi?

• Lembaga otoritas pelindungan data pribadi (PDP) belum terbentuk, padahal keberadaannya penting untuk memperkuat pengawasan dan penanganan berbagai kasus kebocoran data.
• Komdigi mencatat 294 laporan pelanggaran atau kegagalan pelindungan data pribadi sejak 2019, tetapi kewenangan penanganan kasus masih terbatas pada penyelenggara sistem elektronik (PSE).
• Menjelang berlakunya PP No. 33 Tahun 2026 pada Januari 2027, rancangan peraturan presiden tentang pembentukan otoritas PDP disebut telah melewati tahap harmonisasi dan memasuki tahap paraf antar kementerian.

Belum terbentuknya lembaga pelindungan data pribadi (PDP) menyisakan persoalan dalam pengawasan, penanganan pengaduan, dan pemulihan hak masyarakat ketika terjadi pelanggaran. Di tengah berbagai kasus kebocoran dan penyalahgunaan data, pemerintah perlu segera memastikan kehadiran otoritas yang mampu menegakkan kepatuhan serta mendorong langkah korektif.

Pembentukan lembaga tersebut merupakan amanat Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Kehadirannya semakin mendesak menjelang berlakunya Peraturan Pemerintah (PP) Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP pada 16 Januari 2027. Tanpa dukungan kelembagaan yang memadai, pelaksanaan kewajiban pelindungan data pribadi berisiko tidak diikuti pengawasan dan penegakan yang efektif.

“Lembaga PDP menjadi sarana pemenuhan hak subjek data untuk mengawasi standar kepatuhan yang wajib dilakukan oleh pengendali, dan sebagai jalur pelaporan bagi subjek data jika terjadi kegagalan data pribadi,” ujar Peneliti Lembaga Studi dan Advokasi Masyarakat (ELSAM), Nurul Izmi, dalam diskusi publik "Lembaga Otoritas Terlambat Dibentuk: Siapkah Implementasi Peraturan Pelaksana PDP di 2027?", Selasa (13/10/2026).

Ia menyoroti sejumlah insiden sepanjang 2022-2025, mulai dari dugaan kebocoran data daftar pemilih tetap (DPT), kasus Pusat Data Nasional Sementara (PDNS), pencatutan data dalam Pilkada, hingga dugaan kebocoran data registrasi eSIM. Berbagai kasus tersebut menunjukkan pentingnya mekanisme penanganan yang jelas, termasuk pemberitahuan kepada masyarakat yang terdampak.

Menurut Izmi, masyarakat dalam sejumlah kasus justru mengetahui dugaan kebocoran melalui pemberitaan atau informasi di internet, bukan pemberitahuan dari pengendali data. Kondisi ini menyulitkan masyarakat untuk mengetahui apa yang terjadi terhadap data mereka serta langkah yang dapat ditempuh untuk melindungi haknya.

Pengawasan juga diperlukan sejak pengumpulan hingga pemusnahan data. Izmi mengingatkan bahwa pemrosesan harus memiliki tujuan dan dasar hukum yang jelas, serta membatasi pengumpulan sesuai kebutuhan. Dalam pengelolaan data pemilih, misalnya, masih terdapat pertanyaan mengenai batas penyimpanan dan pemusnahan data dari pemilu sebelumnya. Persoalan tersebut mencakup pengelolaan data oleh sektor swasta maupun kementerian dan lembaga negara.

Menanggapi persoalan itu, Analis Kebijakan Ahli Muda Direktorat Strategi Kebijakan Pengawasan Ruang Digital Kementerian Komunikasi dan Digital RI (Komdigi), Ajeng Risda Rahmadani, menyampaikan bahwa Komdigi telah menerima 294 laporan pelanggaran atau kegagalan pelindungan data pribadi sejak 2019 hingga saat diskusi berlangsung. Menurutnya, hampir seluruh laporan telah ditangani melalui pemanggilan pihak terkait, klarifikasi, dan koordinasi dengan Badan Siber dan Sandi Negara (BSSN).

Namun, Ajeng menjelaskan bahwa peran Komdigi saat ini terbatas pada pemantauan pelindungan data pribadi yang berkaitan dengan penyelenggara sistem elektronik (PSE), berdasarkan PP Nomor 71 Tahun 2019. Peran tersebut belum mencakup pengawasan terhadap seluruh pengendali data sebagaimana mandat lembaga PDP. Tindak lanjut administratif yang disampaikannya meliputi peringatan tertulis dan rekomendasi.

Ajeng menegaskan bahwa belum terbentuknya otoritas PDP tidak menghapus kewajiban pengendali dan pemroses data untuk menjalankan UU PDP. Kendala kelembagaan terutama berkaitan dengan pelaksanaan kewenangan administratif yang memerlukan kehadiran lembaga tersebut. Karena itu, organisasi publik maupun swasta tetap perlu menyesuaikan prosedur dan tata kelola internalnya.

Terkait perkembangan pembentukan lembaga, Ajeng menyatakan bahwa rancangan peraturan presiden telah menyelesaikan harmonisasi dan memasuki tahap sirkulasi paraf antarkementerian. Komdigi telah membubuhkan paraf dan menyampaikan rancangan tersebut kepada Kementerian Sekretariat Negara. Ia berharap peraturan presiden dapat diterbitkan pada 2026 agar pembentukan otoritas PDP segera memiliki landasan hukum.

Sementara itu, akademisi BINUS University, Dr. Siti Yuniarti, menekankan bahwa otoritas PDP juga perlu membantu pengendali dan pemroses data memahami serta menjalankan kewajibannya. Kompleksitas regulasi dapat menyulitkan pihak yang beriktikad baik untuk patuh, sehingga diperlukan panduan penerapan, mekanisme konsultasi, dan pendampingan kepatuhan.  “PP ini menjadi penting karena kita harus melindungi para pemroses data, pengendali data yang punya itikad baik,” ujarnya.

Siti menilai fungsi tersebut penting untuk mengutamakan pencegahan. Kehadiran lembaga PDP diharapkan memperkuat kepatuhan sejak awal, sehingga penanganan tidak hanya bertumpu pada pemberian sanksi setelah pelanggaran terjadi. Panduan yang jelas juga dibutuhkan agar kewajiban hukum dapat diterjemahkan ke dalam praktik pengelolaan data sehari-hari.

Direktur Eksekutif ELSAM, Desiana Samosir, dalam kesempatan yang sama menuturkan perlunya komitmen yang lebih kuat dari berbagai institusi dalam menjalankan UU PDP. Desiana menilai kebutuhan pelindungan data pribadi semakin mendesak seiring perkembangan teknologi informasi dan regulasi nasional, termasuk pengesahan Undang-Undang Satu Data Indonesia (UU SDI)  pada 6 Oktober 2026.

“Kita juga menemukan bahwa berbagai kebocoran data masih terjadi dan bahkan belum ada tindak lanjut untuk mengoreksi langkah-langkah yang berkaitan dengan kebocoran. Kami sendiri di ELSAM ketika mendesain diskusi ini juga punya kegelisahan bagaimana kemudian belum ada otoritas, belum ada upaya korektif yang signifikan,” ujar Desiana.

Pernyataan tersebut menegaskan bahwa persoalan pelindungan data pribadi tidak kemudian hanya berkaitan dengan terjadinya kebocoran, tetapi juga tindak lanjut setelah insiden berlangsung. Selain pengawasan dan penegakan kepatuhan, diperlukan langkah korektif untuk menangani dampak pelanggaran dan mencegah kejadian serupa terulang.

Penulis: Ferinda K. Fachri