LEXmedia. Digitalisasi bisnis mendorong makin banyak perusahaan Indonesia menyimpan data pada server luar negeri. Layanan cloud, aplikasi SaaS asing, dan ekspansi bisnis lintas negara membuat transfer data pribadi internasional menjadi kebutuhan operasional sehari-hari. Namun, praktik ini tidak bisa dilakukan sembarangan. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) beserta peraturan pelaksananya menetapkan syarat ketat sebelum data pribadi warga negara Indonesia boleh dipindahkan ke luar wilayah hukum negara.
Pemerintah baru saja menerbitkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP pada 16 Juli 2026. Beleid ini mengoperasionalkan seluruh mekanisme transfer data pribadi internasional yang sebelumnya hanya diatur secara garis besar. Artikel ini mengulas dasar hukum, mekanisme berjenjang, kewajiban pengendali data, serta konsekuensi hukum bagi pelanggarnya, agar perusahaan dapat menyiapkan kepatuhan sejak dini.
Dasar Hukum Transfer Data Pribadi Internasional
UU PDP mengatur ketentuan transfer data pribadi ke luar wilayah Indonesia melalui Pasal 56. Pasal ini menetapkan tiga syarat berjenjang yang harus dipenuhi pengendali data secara berurutan.
Pertama, negara tujuan transfer wajib memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dibandingkan Indonesia.
Kedua, apabila syarat pertama tidak terpenuhi, pengendali data harus memastikan tersedia pelindungan data pribadi yang memadai dan mengikat secara hukum.
Ketiga, jika kedua syarat tersebut tetap tidak terpenuhi, pengendali data wajib memperoleh persetujuan eksplisit dari subjek data pribadi.
Ketentuan ini secara filosofis mirip dengan pendekatan GDPR di Uni Eropa. Meski demikian, UU PDP belum merinci prosedur teknis pelaksanaannya. Oleh karena itu, PP No. 33/2026 hadir untuk menjabarkan mekanisme tersebut secara operasional dan dapat diterapkan langsung oleh pelaku usaha.
Mekanisme Berjenjang Transfer Data Pribadi Internasional
PP No. 33/2026 mengatur transfer data pribadi internasional secara rinci dalam beberapa pasal, terutama Pasal 160 hingga Pasal 166. Regulasi ini mempertegas tiga jalur kepatuhan yang dapat ditempuh pengendali data.
1. Negara dengan Tingkat Pelindungan Data Setara
Jalur pertama berlaku jika negara tujuan transfer masuk dalam daftar negara yang memiliki tingkat pelindungan data pribadi setara atau lebih tinggi. Lembaga Pelindungan Data Pribadi akan menerbitkan Keputusan Lembaga yang memuat daftar negara tersebut. Selama daftar resmi belum terbit, pengendali data tetap harus melakukan penilaian mandiri terhadap kerangka hukum negara tujuan.
2. Instrumen Kontraktual Mengikat: SCC dan BCR
Apabila negara tujuan belum masuk daftar adequacy, pengendali data dapat menggunakan Standard Contractual Clauses (SCC) yang ditetapkan Lembaga. Alternatif lain adalah Peraturan Korporasi Mengikat atau Binding Corporate Rules (BCR) khusus untuk transfer data antar entitas dalam satu grup usaha. Kedua instrumen ini berfungsi sebagai jaminan hukum bahwa data pribadi tetap terlindungi meskipun berpindah yurisdiksi.
3. Persetujuan Subjek Data sebagai Opsi Terakhir
Jalur ketiga hanya berlaku dalam kondisi terbatas. Persetujuan subjek data pribadi hanya sah digunakan untuk transfer yang bersifat tidak berulang, melibatkan jumlah subjek data terbatas, telah melalui penilaian risiko, dan dilaporkan kepada Lembaga. Dengan demikian, opsi ini tidak dapat dijadikan mekanisme utama untuk transfer data pribadi internasional secara rutin.
Kewajiban Pengendali Data Sebelum Melakukan Transfer
Selain memilih salah satu dari tiga jalur di atas, Pasal 162 hingga Pasal 164 PP 33/2026 mewajibkan pengendali data memenuhi beberapa langkah persiapan. Pengendali data harus memetakan siklus transfer secara menyeluruh, mulai dari titik asal hingga tujuan akhir data.
Selanjutnya, pengendali data wajib membatasi ruang lingkup data yang ditransfer sesuai kebutuhan aktual. Perusahaan juga harus mengidentifikasi dan menilai instrumen hukum yang digunakan, baik berupa adequacy status, SCC, maupun BCR. Tidak kalah penting, pengendali data harus menilai risiko dan dampak transfer terhadap hak subjek data pribadi.
Kewajiban terakhir adalah menyampaikan informasi kepada subjek data pribadi. Informasi tersebut mencakup tujuan transfer, instrumen pelindungan yang digunakan, serta mekanisme yang tersedia bagi subjek data untuk mengajukan keberatan atau pertanyaan.
Konsekuensi Hukum Pelanggaran Transfer Data Pribadi Internasional
PP 33/2026 memberikan empat jenis sanksi administratif bagi pelanggaran ketentuan pelindungan data pribadi, termasuk transfer data pribadi internasional yang tidak sesuai prosedur. Sanksi tersebut meliputi peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda administratif.
Denda administratif dapat mencapai 2% dari pendapatan tahunan perusahaan. Perhitungan denda mempertimbangkan dampak pelanggaran, jenis data yang terdampak, dan tingkat kooperativitas perusahaan saat pemeriksaan. Yang tidak kalah berisiko, keputusan sanksi diumumkan pada media resmi Lembaga. Akibatnya, dampak reputasional sering kali lebih merugikan dibandingkan nilai denda itu sendiri.
Rekomendasi Kepatuhan Transfer Data Pribadi Internasional
PP No. 33/2026 mulai berlaku efektif pada 16 Januari 2027, tepat enam bulan setelah diundangkan. Masa transisi ini jauh lebih singkat dibandingkan masa transisi UU PDP yang mencapai dua tahun. Oleh sebab itu, perusahaan perlu segera bertindak, bukan menunggu.
Sebagai langkah awal, perusahaan sebaiknya menginventarisasi seluruh aktivitas transfer data pribadi internasional yang berjalan saat ini, termasuk penggunaan layanan cloud dan SaaS asing. Selain itu, perusahaan perlu menyiapkan instrumen SCC atau BCR sebagai jaring pengaman hukum utama, mengingat daftar negara adequacy dari Lembaga belum tentu tersedia sebelum tenggat berlaku.
Perusahaan juga harus memperbarui privacy notice agar mencantumkan informasi transfer data secara transparan. Terakhir, penunjukan Pejabat Pelindungan Data Pribadi (PPDP) menjadi langkah strategis, khususnya bagi organisasi yang memproses data dalam skala besar. Dengan persiapan yang matang, risiko sanksi administratif dan kerugian reputasional dapat diminimalkan secara signifikan.
FAQ (Frequently Asked Questions)
1. Apa dasar hukum transfer data pribadi ke luar negeri di Indonesia?
Dasar hukumnya adalah Pasal 56 UU No. 27/2022 tentang Pelindungan Data Pribadi, yang diperjelas melalui Pasal 160-166 PP No. 33/2026. Kedua regulasi ini mensyaratkan tiga jalur berjenjang: negara tujuan setara, instrumen pelindungan mengikat seperti SCC/BCR, atau persetujuan subjek data sebagai opsi terakhir dengan syarat ketat.
2. Kapan PP No. 33/2026 mulai berlaku secara efektif?
PP No. 33/2026 diundangkan pada 16 Juli 2026 dan mulai berlaku enam bulan kemudian, yaitu 16 Januari 2027, sesuai Pasal 225. Sebelum tanggal tersebut, pengendali dan prosesor data tetap wajib menyesuaikan proses bisnisnya agar siap sepenuhnya saat regulasi berlaku efektif.
3. Apa itu Standar Klausul Kontrak (SCC) dalam transfer data pribadi?
SCC adalah klausul kontraktual standar yang ditetapkan Lembaga Pelindungan Data Pribadi untuk menjamin pelindungan data saat transfer ke negara tanpa status adequacy. Perusahaan mengadopsi SCC ke dalam perjanjian dengan pihak penerima data agar transfer tetap sah secara hukum.
4. Bisakah transfer data pribadi dilakukan hanya dengan persetujuan subjek data?
Bisa, namun terbatas. Persetujuan subjek data hanya sah sebagai dasar transfer jika bersifat tidak berulang, melibatkan subjek data terbatas, sudah dinilai risikonya, dan dilaporkan kepada Lembaga. Persetujuan tidak dapat menjadi mekanisme utama untuk transfer data pribadi internasional yang rutin.
5. Apa sanksi jika perusahaan melanggar ketentuan transfer data pribadi internasional?
Pelanggaran dapat dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, hingga denda maksimal 2% dari pendapatan tahunan. Keputusan sanksi juga diumumkan secara publik oleh Lembaga, sehingga berdampak langsung pada reputasi perusahaan.
