UU Perlindungan Data Pribadi 2024: Apa yang Berubah

Pernah isi formulir online cuma buat dapat diskon, eh beberapa minggu kemudian HP langsung penuh spam call dan WhatsApp dari nomor asing? Atau kamu daftar akun e-commerce, lalu mulai dapat email promo barang yang sama dari sejumlah toko beda yang pernah kamu lupa daftar? Bisa juga kamu cuma mau download aplikasi belajar gratis, tapi malah diminta akses kontak, galeri, dan lokasi — yang pada akhirnya kamu anggap wajar karena tombol “Setuju” itu besar dan biru.

Itu bukan karena “nasib buruk” atau ketidakmampuan menolak promosi. Itu tanda data pribadimu sedang disalahgunakan oleh pihak yang mengumpulkannya tanpa batas yang jelas. Selama ini, Indonesia belum punya payung hukum komprehensif untuk melindungi data pribadi. Kamu sebagai pemilik data benar-benar tanpa kekuatan hukum untuk menuntut: “Hapus data aku!” atau “Beritahu siapa yang pakai data aku!”

Namun mulai 17 Oktober 2024, situasi itu berubah total.

UU Perlindungan Data Pribadi atau UU PDP (Undang-Undang Nomor 27 Tahun 2022) resmi berlaku dan mengikat seluruh perusahaan, lembaga, bahkan individu yang memproses data pribadi orang lain. Dari yang dulu bebas mengumpulkan dan menjual data, sekarang ada aturan ketat yang mengawasi tiap langkah pemrosesan data.

Artikel ini kupas apa saja yang berubah setelah UU PDP 2024 berlaku, hak baru yang kamu dapat, dan kewajiban perusahaan yang harus kamu kenali. Tidak ada lagi alasan untuk mengabaikan privasi data, dan tidak ada lagi celah bagi perusahaan untuk berbuat seenaknya tanpa akuntabilitas.

Ringkasan: UU PDP 2024 Ubah Apa?

UU Perlindungan Data Pribadi 2024 mengubah lanskap privasi digital di Indonesia dengan mengikat perusahaan dan lembaga untuk memproses data pribadimu dengan izin, transparansi, dan akuntabilitas. Cukup ringkas, ada 6 hal utama yang berubah: data pribadi sekarang diklasifikasikan, hak kamu sebagai pemilik data makin luas, perusahaan wajib punya DPO, kebocoran data harus dilaporkan dalam 3×24 jam, denda dan pidana lebih berat, serta perpindahan data ke luar negeri kini diatur ketat.

Berikut penjelasan lengkapnya.

6 Hal yang Berubah Setelah UU PDP 2024 Berlaku

1. Data Pribadi Kini Dibagi Umum dan Spesifik

UU PDP memperkenalkan klasifikasi baru untuk data pribadi. Ada data pribadi umum seperti nama, alamat, nomor telepon, jenis kelamin, dan agama. Kemudian ada data pribadi spesifik yang jauh lebih sensitif: data kesehatan, data biometrik (sidik jari, wajah, iris mata), data genetika, catatan kejahatan, data keuangan, dan data anak.

Perbedaan ini penting karena perlindungan untuk data spesifik jauh lebih ketat dibanding data umum. Jika kamu pernah ngisi form yang meminta foto KTP dan rekam medis di satu platform yang sama, kini kamu punya landasan hukum untuk bertanya: mengapa mereka butuh data se sensitif itu bersamaan? Platform itu tidak bisa lagi mengatasnamakan “kebutuhan layanan” untuk mengambil data spesifik tanpa alasan yang jelas dan disetujui.

2. Hak Subjek Data Pribadi Diperluas

Sebelum UU PDP, kamu sebagai pemilik data hampir tidak punya hak hukum untuk menuntut perbaikan atau penghapusan data. Kini, UU ini mengakui 7 hak utama subjek data:

Hak mendapatkan informasi tentang cara data kamu diproses
Hak melengkapi dan memperbaiki data yang salah
Hak mengakses dan memperoleh salinan data pribadimu
Hak meminta penghapusan data pribadi
Hak menarik kembali persetujuan
Hak mengajukan keberatan atas pengambilan keputusan otomatis
Hak menunda atau membatasi pemrosesan data

Singkatnya, kamu bukan lagi “barang” yang hanya boleh dipakai dan dibuang sesuai keinginan perusahaan. Kamu punya kontrol atas data milikmu.

Yang membedakan dari aturan sebelumnya, UU PDP mengharuskan setiap permohonan hak ini ditanggapi secara jelas dan tepat waktu oleh pengendali data. Jadi kalau kamu kirim email minta salinan data, perusahaan tidak bisa abaikan atau balas dalam waktu yang tidak jelas.

3. Perusahaan Wajib Menunjuk Pejabat Pelindungan Data (DPO)

UU PDP mewajibkan pengendali data dan prosesor data menunjuk Pejabat Pelindungan Data atau _Data Protection Officer_ (DPO). DPO bertugas memastikan perusahaan patuh pada aturan, menjadi penghubung antara perusahaan dan otoritas pengawas, serta menangani keluhan dari subjek data.

DPO tidak cuma “staf administrasi” yang mengisi formulir. Mereka punya peran strategis. Bagi kamu sebagai pengguna, DPO adalah orang yang bisa kamu tanya: “Data aku kamu pakai untuk apa?” dan kamu berhak dapat jawaban jelas. Jika perusahaan menutup-nutupi, DPO bisa dilaporkan ke otoritas pengawas.

4. Kebocoran Data Harus Dilaporkan dalam 3×24 Jam

Ini salah satu perubahan paling signifikan. Jika terjadi kebocoran data yang dapat mengganggu keamanan dan privasi, pengendali data wajib memberitahukan kepada otoritas pengawas maksimal 3×24 jam setelah menemukan atau menerima laporan kebocoran.

Selain itu, dalam keadaan tertentu, perusahaan juga wajib memberitahu kamu sebagai korban kebocoran. Tujuan utamanya agar kamu bisa segera mengambil tindakan pencegahan: ganti password, waspadai penipuan, dan blokir transaksi mencurigakan. Bayangkan jika dalam masa transisi sebelumnya, perusahaan bisa bungkam berbulan-bulan sebelum publik tahu data mereka bocor. Kini, itu tidak lagi boleh terjadi.

5. Persetujuan Eksplisit Wajib Sebelum Data Dikumpulkan

UU PDP melarang pengumpulan data pribadi tanpa persetujuan eksplisit dari pemilik data. Persetujuan harus diberikan secara sukarela, jelas, dan tidak ambigu. Perusahaan tidak boleh lagi menyembunyikan klausul pengumpulan data di tengah terms of service yang panjang dan berbelit.

Artinya, ketika kamu mendaftar aplikasi atau website, kamu berhak tahu: data apa yang dikumpulkan, untuk apa, siapa yang menerima, dan berapa lama data itu disimpan. Jika perusahaan melanggar, kamu bisa menarik persetujuan kapan saja. Tidak ada lagi “dengan mendaftar berarti kamu sudah setuju dengan semua syarat dan ketentuan” yang mengabaikan hak kamu.

6. Sanksi Lebih Berat: Penjara, Denda Hingga 2% Pendapatan Tahunan, dan Administratif

UU PDP memperkenalkan sanksi yang benar-benar membuat perusahaan bergerak. Berdasarkan jenis pelanggaran, sanksinya bisa berupa:

Pidana penjara maksimal 6 tahun untuk pelanggaran tertentu, seperti penjualan atau pemalsuan data pribadi
Denda administratif sampai dengan 2% dari pendapatan tahunan perusahaan untuk pelanggaran berat
Denda tambahan hingga Rp60 miliar untuk pemalsuan data pribadi
Sanksi administratif: teguran, penghentian sebagian atau seluruh aktivitas pengolahan data, hingga pencabutan izin usaha

Selain itu, subjek data yang dirugikan juga berhak menuntut ganti rugi material maupun imaterial. Ini dorongan besar bagi perusahaan untuk seriously memperkuat sistem keamanan data mereka.

7. Perpindahan Data ke Luar Negeri Diatur Ketat

UU PDP juga mengatur alur pemindahan data pribadi ke luar negeri. Perusahaan tidak boleh lagi sembarang mengirim data pelanggan ke server di luar Indonesia kecuali memenuhi syarat ketat: ada persetujuan dari subjek data, ada jaminan perlindungan data yang memadai di negara tujuan, atau ada perjanjian antar lembaga pengawas.

Ini penting mengingat banyak perusahaan Indonesia yang masih menyimpan data di server luar negeri untuk efisiensi, tapi tanpa memastikan bahwa data tersebut terlindungi sesuai standar lokal. Kini, jika perusahaan kamu bekerja di perusahaan yang menyimpan data karyawan di luar negeri, kamu punya hak untuk menanyakan bagaimana perlindungan data itu dijamin.

Data dan Statistik

UU PDP terdiri dari 16 bab dan 76 pasal yang mengatur seluruh siklus pemrosesan data pribadi, mulai dari pengumpulan, penyimpanan, penggunaan, hingga penghapusan.
Masa transisi kepatuhan berakhir pada 17 Oktober 2024. Artinya, sejak itu perusahaan yang belum menyesuaikan sistemnya sudah bisa ditindak.
Menurut data International Association of Privacy Professionals (IAPP) 2023, 68% konsumen global mengkhawatirkan perlindungan data mereka, dan 85% menginginkan transparansi kebijakan penggunaan data dari penyedia layanan.
Saat ini, pembentukan Lembaga Pelindungan Data Pribadi (LPDP) masih dalam proses harmonisasi di Kemenkumham per pertengahan 2026. Badan ini akan menjadi pengawas independen yang bertugas menegakkan UU PDP.
Sebelum UU PDP, perlindungan data pribadi di Indonesia hanya mengandalkan sebagian pasal di UU ITE dan peraturan sektoral yang terbatas cakupannya.
Angka ini menunjukkan bahwa UU PDP bukan cumarespons terhadap kebocoran data lokal, tapi juga bagian dari tren global yang menuntut akuntabilitas perusahaan terhadap privasi pengguna. Implementasi UU PDP diharapkan bisa menurunkan insiden kebocoran data yang kerap menghantui berbagai perusahaan teknologi di Indonesia, mulai dari sektor perbankan hingga platform e-commerce.

Kesalahan Umum yang Harus Dihindari

Mengabaikan notifikasi privasi saat mendaftar aplikasi. Banyak orang langsung klik “Setuju” tanpa membaca. Padahal, notifikasi itu seharusnya menjelaskan data apa yang diambil dan untuk apa. Kalau kamu tidak membaca, kamu tidak tahu apa yang kamu relakan.
Menyamarkan data pribadi hanya dengan satu layer. Misalnya, hanya mengubah nama di Facebook tanpa mengubah email atau nomor HP yang terhubung ke akun lain. Jika salah satu titik terdeteksi, seluruh data bisa terkumpul dan disalahgunakan.
Berbagi data pribadi orang lain tanpa izin. Baik itu nomor teman, alamat keluarga, atau foto orang lain, kamu bisa ikut bertanggung jawab jika data tersebut disalahgunakan dan dilaporkan. Setiap kali kamu kirim data orang lain, pastikan kamu punya izin tertulis dari mereka.
Menganggap data sensitif ringan. Data sepele seperti tanggal lahir atau nama ibu kandung tampak tidak berbahaya, tapi bisa menjadi kunci untuk penipuan identitas. Jangan sembarang berikan data tersebut di platform yang tidak jelas keamanannya.

FAQ: Pertanyaan yang Sering Muncul

1. Apakah UU PDP 2024 hanya berlaku untuk perusahaan besar?

Tidak. UU PDP berlaku untuk setiap orang, badan publik, dan organisasi internasional yang memproses data pribadi. Baik perusahaan besar, UMKM, pemerintah, bahkan individu yang memproses data orang lain dalam kegiatan komersial atau publik juga wajib mematuhi aturan ini. Yang penting bukan ukuran perusahaan, tapi adanya pemrosesan data pribadi.

2. Bagaimana jika perusahaan tidak mau menghapus data saya meskipun saya sudah minta?

UU PDP menjamin hak kamu untuk meminta penghapusan data. Jika perusahaan menolak, kamu bisa melapor ke otoritas pengawas setelah LPDP dibentuk, atau melalui saluran pengaduan yang akan ditetapkan oleh pemerintah. Di masa transisi, kamu juga bisa melaporkan ke Komdigi atau OJK tergantung sektor perusahaan tersebut. Selama itu, simpan bukti permohonanmu berupa email atau tangkapan layar notifikasi.

3. Apakah ada perbedaan antara UU PDP dan UU ITE untuk perlindungan data?

Ya. UU ITE lebih berfokus pada transaksi dan konten elektronik. UU PDP secara khusus mengatur seluruh rangkaian pemrosesan data pribadi, mulai dari pengumpulan, penyimpanan, penggunaan, hingga penghapusan. Kedua undang-undang ini saling melengkapi, tapi UU PDP adalah payung utama untuk privasi data pribadi, sementara UU ITE tetap berlaku untuk pelanggaran konten siber.

4. Bagaimana jika data saya bocor di perusahaan e-commerce, apakah saya bisa menuntut?

Bisa. Jika terbukti perusahaan gagal memenuhi kewajiban keamanan atau lalai memberitahu kebocoran dalam 3×24 jam, kamu sebagai subjek data berhak menuntut ganti rugi. Perusahaan juga berisiko kena denda administratif dan pidana penjara bagi pelaku yang terbukti melakukan kesalahan. Simpan semua bukti transaksi dan komunikasi dengan perusahaan sebagai data pendukung.

5. Saya sebagai pemilik usaha kecil yang punya database pelanggan, apakah saya perlu DPO?

UU PDP mensyaratkan penunjukan DPO untuk pengendali data dan prosesor data yang melakukan pemrosesan data berskala besar atau data spesifik dalam jumlah signifikan. Bagi UMKM dengan database kecil, konsultasikan dengan ahli hukum untuk memastikan status kewajiban Anda, karena peraturan turunan masih dalam proses finalisasi. Namun, baiknya mulai mengevaluasi sistem keamanan data sekarang.

6. Apa yang terjadi jika perusahaan masih menolak mematuhi UU PDP?

Perusahaan yang melanggar bisa dituntut secara administratif, pidana, maupun perdata. Selain denda dan penjara, perusahaan juga bisa kehilangan izin usaha atau reputasi. Bagi pengguna, jika menemukan pelanggaran, laporkan ke Komdigi, OJK, atau sektor regulator yang menangani bidang usaha perusahaan tersebut.

Referensi dan Sumber Terpercaya

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi — [jdih.komdigi.go.id](https://jdih.komdigi.go.id/produk_hukum/view/id/832/t/undangundang+nomor+27+tahun+2022)
Kementerian Komunikasi dan Digital (Komdigi) — [www.komdigi.go.id](https://www.komdigi.go.id)
International Association of Privacy Professionals (IAPP) — [iapp.org](https://iapp.org)
Pusat Pelaporan dan Analisis Transaksi Keuangan (PPATK) — [www.ppatk.go.id](https://www.ppatk.go.id)

Tentang Penulis

Rizky Adnan adalah penulis konten yang fokus pada literasi hukum digital dan perlindungan konsumen. Ia menulis dengan bahasa sederhana agar aturan hukum yang rumit bisa dipahami oleh masyarakat umum. Sebelumnya, ia pernah menulis berbagai artikel edukasi tentang keamanan siber dan hak-hak konsumen untuk beberapa portal berita daring. Artikel ini ditulis untuk tujuan edukasi publik dan bukan merupakan nasihat hukum (legal advice). Jika memerlukan konsultasi hukum, silakan hubungi advokat atau bantuan hukum terpercaya.

Artikel ini adalah bagian dari proyek literasi hukum hukumpraktis.com. Informasi disusun berdasarkan data publik dan regulasi yang berlaku per Agustus 2026.