PP 33/2026 Pelindungan Data Pribadi Berlaku 16 Januari 2027: Persiapan Minimum Usaha Kecil

Peraturan Pemerintah Nomor 33 Tahun 2026, aturan pelaksana UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, mulai berlaku pada 16 Januari 2027. Menurut ulasan SIP Law Firm tertanggal 23 Oktober 2026, aturan 225 pasal ini diundangkan pada 16 Juli 2026 dan Pasal 225 menetapkan masa tunggu enam bulan, sehingga tersisa sekitar delapan minggu bagi usaha yang mengumpulkan data pelanggan untuk merapikan diri.

Tulisan ini bukan nasihat hukum, dan kami membaca ulasan firma hukum, bukan teks peraturannya. Tujuannya lebih sederhana: menunjukkan pekerjaan minimum yang masuk akal dikerjakan usaha kecil sebelum tanggal itu.

Apa isi PP 33/2026 yang paling terasa

Butir berikut bersumber dari ulasan SIP Law Firm.

• Catatan kegiatan pemrosesan. Pengendali data wajib memelihara catatan kegiatan pemrosesan, sering disebut ROPA. Isinya antara lain sumber data, dasar dan tujuan pemrosesan, kategori data, pihak ketiga penerima, masa retensi, dan langkah keamanan.
• Pemberitahuan untuk data yang diperoleh tidak langsung. Bila data dikumpulkan bukan langsung dari orangnya, misalnya dari vendor, afiliasi, atau sumber publik, subjek data harus diberi tahu paling lambat 30 hari kerja setelah pengumpulan. Pemberitahuan harus mudah diakses dan diperbarui.
• Larangan klausul eksonerasi. Klausul yang mengurangi atau menghapus kewajiban pengendali data dilarang. Kalimat seperti "kami tidak bertanggung jawab atas kebocoran apa pun" di kebijakan privasi perlu ditinjau.
• Denda administratif. Pasal 185 mengatur denda administratif paling tinggi 2% dari pendapatan tahunan. Penjelasannya mengartikan pendapatan sebagai arus masuk ekonomi bruto, bukan laba bersih.
• Masa peralihan. Pasal 223 menyatakan pemrosesan data dapat berlanjut sepanjang tidak bertentangan dengan PP 33/2026.

Dua hal perlu ditaruh dalam takaran yang benar. Angka 2% adalah batas atas, bukan tarif. Lalu, per September 2026 lembaga pelindungan data pribadi belum terbentuk sepenuhnya, menurut ulasan yang sama. Ulasan itu juga mengingatkan bahwa menunggu lembaga terbentuk bukan alasan menunda persiapan.

Soal usaha kecil: sumber yang kami baca tidak menyebut pengecualian atau keringanan. Kami tidak tahu apakah ada, dan tidak akan mengarangnya.

Mengapa usaha kecil tetap perlu bergerak

Hampir semua usaha memegang data pribadi: formulir kontak di situs, percakapan WhatsApp, kartu anggota, daftar alamat kirim. Pekerjaan yang diminta PP pelindungan data pribadi ini pada dasarnya adalah kerapian: tahu data apa yang dipegang, untuk apa, oleh siapa, dan sampai kapan. Kerapian itu berguna terlepas dari siapa yang nanti mengawasi, karena juga menjadi pegangan saat pelanggan bertanya atau saat terjadi insiden.

Persiapan minimum delapan minggu

Bagian ini saran praktis kami. Susunannya dibuat agar bisa dikerjakan pemilik usaha bersama satu admin, tanpa perangkat khusus.

Minggu 1 dan 2: daftar data

Buat satu lembar kerja dengan satu baris per titik pengumpulan data. Ini cikal bakal catatan kegiatan pemrosesan Anda.

Ulangi untuk chat, kartu anggota, kasir, marketplace, dan pembukuan. Kolom yang tidak bisa Anda isi adalah temuan pertama Anda.

Minggu 3 dan 4: pemberitahuan privasi yang jujur

Tulis ulang halaman kebijakan privasi berdasarkan lembar tadi, bukan dari templat. Ukurannya sederhana: setiap kalimat harus benar untuk usaha Anda.

• Sebut data apa yang dikumpulkan dan untuk tujuan apa.
• Sebut pihak lain yang menerima data, misalnya jasa kirim atau penyedia pembayaran.
• Sebut berapa lama data disimpan dan cara pelanggan menghubungi Anda soal datanya.
• Buang kalimat yang melepas tanggung jawab Anda sepenuhnya.
• Pasang tautannya di dekat setiap formulir, dan tambahkan satu kalimat ringkas di pesan sambutan chat.

Bila Anda membeli atau menerima daftar kontak dari pihak lain, catat sumbernya. Untuk data semacam itu berlaku ketentuan pemberitahuan 30 hari kerja tadi.

Minggu 5 dan 6: akses

• Cabut akses mantan staf di semua tempat pada lembar daftar data.
• Ganti kata sandi yang dipakai bersama, lalu nyalakan verifikasi dua langkah di email, marketplace, dan akun iklan.
• Tetapkan satu orang yang menjawab pertanyaan pelanggan soal data, dan satu pengganti saat ia libur.

Minggu 7 dan 8: retensi dan uji coba

• Tetapkan masa simpan per jenis data, lalu hapus yang sudah lewat: prospek lama yang tidak pernah membeli, ekspor kontak di folder unduhan, cadangan di ponsel lama.
• Tinjau kontrak atau syarat layanan vendor yang memegang data pelanggan Anda. Tanyakan di mana data disimpan dan apa yang mereka lakukan bila terjadi insiden.
• Lakukan uji coba kecil: minta seorang teman berperan sebagai pelanggan yang menanyakan data apa yang Anda simpan tentang dirinya. Catat berapa lama tim Anda menjawab.

Satu catatan soal retensi: sumber kami tidak membahas hubungan antara masa simpan data dan kewajiban menyimpan dokumen untuk pajak atau pembukuan. Jangan menghapus catatan transaksi sebelum memastikannya kepada konsultan.

Yang tidak perlu dilakukan

Tidak perlu panik membeli perangkat kepatuhan atau menyalin kebijakan privasi perusahaan besar. Pemberitahuan yang panjang tetapi tidak sesuai kenyataan lebih buruk daripada satu halaman yang benar. Mulailah dari lembar daftar data, karena tiga pekerjaan lainnya bersandar padanya.

Bila percakapan pelanggan Anda tersebar di beberapa ponsel, memusatkannya ke kotak masuk WhatsApp bersama dengan catatan per pelanggan memudahkan Anda menjawab pertanyaan "data saya ada di mana". Polynusa menyediakan itu, lihat halaman harga.

Catatan: ini ringkasan untuk pembaca umum. Pastikan kewajiban usaha Anda kepada konsultan hukum atau otoritas pelindungan data.

Sumber

• SIP Law Firm, 23 Oktober 2026: PP 33/2026 Pelindungan Data Pribadi

FAQ

Kapan PP 33/2026 mulai berlaku?

Menurut ulasan SIP Law Firm, PP 33/2026 diundangkan pada 16 Juli 2026 dan Pasal 225 menetapkannya berlaku enam bulan kemudian, yaitu 16 Januari 2027.

Apakah usaha kecil dikecualikan dari PP 33/2026?

Sumber yang kami baca tidak menyebut pengecualian maupun keringanan untuk usaha kecil, jadi kami tidak bisa menyatakan ada atau tidak ada. Tanyakan kepada konsultan hukum untuk kasus Anda.

Apa itu catatan kegiatan pemrosesan atau ROPA?

Daftar semua kegiatan pengolahan data pribadi di usaha Anda yang memuat antara lain sumber data, dasar dan tujuan pemrosesan, kategori data, pihak ketiga penerima, masa simpan, dan langkah keamanan.