Data & Privasi — Indonesia (2026)

Undang-undang yang komprehensifIndeks negara 83 · A

Indonesia telah mengesahkan Undang-Undang Perlindungan Data Pribadi yang komprehensif dan terinspirasi oleh GDPR (Undang-Undang Nomor 27 Tahun 2022) pada tanggal 17 Oktober 2022, dengan masa transisi selama dua tahun yang berakhir pada 17 Oktober 2024; setelah itu, kepatuhan penuh wajib dipenuhi. Undang-undang ini berlaku bagi pengendali/pengolah data baik di sektor publik maupun swasta dan memiliki jangkauan yurisdiksi di luar wilayah Indonesia. Namun, beberapa komponen kelembagaan utama masih belum lengkap: Otoritas Perlindungan Data independen yang diamanatkan belum dibentuk, dan Peraturan Pemerintah pelaksana yang rinci masih dalam tahap finalisasi hingga awal hingga pertengahan tahun 2026.

Kerangka kerja utamaUndang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (Undang-Undang Perlindungan Data Pribadi / UU PDP). Pengawasan sementara menjadi tanggung jawab Kementerian Komunikasi dan Urusan Digital (Komdigi); Otoritas Perlindungan Data khusus telah diamanatkan namun belum dibentuk.

Poin utama

Undang-undang komprehensif bergaya GDPR telah berlaku

Undang-Undang Nomor 27 Tahun 2022 (UU PDP) merupakan undang-undang omnibus pertama di Indonesia yang mengatur data pribadi, yang mengadopsi model Peraturan Perlindungan Data Umum Uni Eropa (GDPR). Undang-undang ini mencakup hak-hak subjek data, dasar hukum pemrosesan data (termasuk persetujuan), data kategori khusus, pemberitahuan pelanggaran, dan transfer lintas batas, yang berlaku baik di dalam maupun di luar wilayah Indonesia.

Masa transisi berakhir pada Oktober 2024

Para pengendali dan pengolah data diberi masa tenggang selama dua tahun yang berakhir pada 17 Oktober 2024; sejak saat itu, kepatuhan penuh menjadi wajib dan ketidakpatuhan dapat ditindaklanjuti secara hukum.

Otoritas pengawas masih belum dibentuk

Undang-Undang PDP mewajibkan pembentukan Lembaga Perlindungan Data (Lembaga PDP) yang didirikan oleh Presiden, namun lembaga tersebut belum dibentuk. Rancangan Peraturan Presiden untuk mendirikan lembaga tersebut telah dipublikasikan sekitar akhir Februari 2026 dan saat ini sedang menunggu persetujuan Presiden, dengan target peluncuran sekitar pertengahan 2026.

Regulator sementara adalah Komdigi

Sambil menunggu dibentuknya lembaga khusus, urusan perlindungan data ditangani oleh Kementerian Komunikasi dan Urusan Digital (Komdigi), khususnya Direktorat Jenderal Pengawasan Ruang Digital di bawah Peraturan Komdigi Nomor 1 Tahun 2025.

Peraturan pelaksana masih belum ditetapkan

Peraturan Pemerintah (RPP PDP) yang berisi ketentuan pelaksanaan terperinci (dilaporkan terdiri dari sekitar 245 pasal mengenai hak subjek data, kewajiban pengendali data, dan pengawasan) telah menyelesaikan proses harmonisasi antarkementerian pada tahun 2025, namun hingga awal tahun 2026 belum secara resmi disahkan; peraturan tersebut diharapkan dapat memberikan kejelasan mengenai kecukupan transfer lintas batas dan mekanisme perlindungan.

Kewajiban utama dan sanksi

Kewajiban tersebut meliputi dasar hukum pemrosesan, transparansi, pemberitahuan pelanggaran, penunjukan Petugas Perlindungan Data (DPO) dalam kasus-kasus tertentu, serta perlindungan data sejak tahap perancangan. Sanksi yang berlaku meliputi denda administratif hingga 2% dari pendapatan tahunan, penangguhan pemrosesan, serta hukuman pidana atas perolehan atau pengungkapan data yang melanggar hukum.

Baca profil lengkap, peta, dan garis waktu dalam bahasa Inggris →

Halaman ini merupakan terjemahan untuk kemudahan pembaca; versi bahasa Inggrisnya yang menjadi acuan resmi dan bukan merupakan nasihat hukum.