LEXmedia. Due diligence data pribadi kini menjadi agenda wajib dalam setiap transaksi merger dan akuisisi di Indonesia. Pemerintah menetapkan PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi pada 16 Juli 2026. Selanjutnya, peraturan ini mulai berlaku pada 16 Januari 2027. Oleh karena itu, investor, direksi, dan penasihat hukum perlu meninjau ulang cara mereka memeriksa perusahaan target.
Selama ini, banyak pelaku transaksi memandang data pelanggan sebagai aset komersial semata. Namun, PP 33/2026 menempatkan data pribadi sebagai objek kepatuhan yang melekat pada aksi korporasi. Artikel ini menganalisis titik temu UU No. 40 Tahun 2007 tentang Perseroan Terbatas (UU PT) dengan PP 33/2026. Selain itu, artikel ini menawarkan langkah kepatuhan praktis bagi pelaku transaksi.
Mengapa Due Diligence Data Pribadi Menentukan Nilai Transaksi
Dalam ekonomi digital, basis data pelanggan sering menjadi alasan utama pembeli mengakuisisi sebuah perusahaan. Nilai platform teknologi, perusahaan pembiayaan, atau jaringan ritel banyak bergantung pada kualitas datanya. Akan tetapi, data yang perusahaan target kumpulkan tanpa dasar hukum sah justru membawa beban tersembunyi.
Beban tersebut muncul dalam berbagai bentuk. Misalnya, denda administratif, gugatan ganti rugi dari subjek data, hingga perintah penghentian pemrosesan. Sebagai hasilnya, aset yang tampak bernilai tinggi dapat berubah menjadi liabilitas. Karena itu, pemeriksaan hukum tradisional yang hanya menyentuh perizinan, aset, dan kontrak tidak lagi memadai.
Kerangka Hukum Merger dan Akuisisi dalam UU No. 40/2007
UU PT mendefinisikan tiga bentuk utama restrukturisasi dalam Pasal 1 angka 9 sampai angka 11. Ketiganya adalah penggabungan, peleburan, dan pengambilalihan. Kemudian, Pasal 122 ayat (3) huruf a menegaskan bahwa aktiva dan pasiva perseroan yang menggabungkan diri beralih karena hukum kepada perseroan penerima.
Konsekuensinya cukup jelas. Basis data pelanggan, karyawan, dan mitra ikut beralih kepada perseroan penerima. Meski demikian, peralihan karena hukum tidak menghapus kewajiban pelindungan data. Perseroan penerima tetap memikul seluruh kewajiban pengendali atas data yang ia terima.
Kewajiban Memperhatikan Kepentingan Para Pihak
Pasal 126 ayat (1) UU PT mewajibkan setiap penggabungan, peleburan, pengambilalihan, atau pemisahan memperhatikan kepentingan sejumlah pihak. Pihak tersebut meliputi perseroan, pemegang saham minoritas, karyawan, kreditor, mitra usaha, serta masyarakat. Menurut analisis kami, kepentingan karyawan dan masyarakat kini juga mencakup hak mereka atas data pribadi.
Selain itu, Pasal 127 ayat (2) mewajibkan direksi mengumumkan ringkasan rancangan transaksi. Direksi harus memuatnya dalam surat kabar dan menyampaikannya secara tertulis kepada karyawan. Tenggatnya paling lambat 30 hari sebelum pemanggilan RUPS. Dengan demikian, momentum pengumuman korporasi ini dapat berjalan selaras dengan pemberitahuan pengalihan data menurut rezim PDP.
Tanggung Jawab Direksi dan Prinsip Kehati-hatian
Pasal 97 ayat (2) UU PT mewajibkan direksi menjalankan pengurusan dengan itikad baik dan penuh tanggung jawab. Apabila direksi lalai, Pasal 97 ayat (3) membebankan tanggung jawab pribadi atas kerugian perseroan. Namun, Pasal 97 ayat (5) menyediakan pembelaan melalui prinsip business judgment rule. Salah satu syaratnya, direksi mampu membuktikan bahwa ia bertindak dengan itikad baik dan kehati-hatian.
Di sinilah due diligence data pribadi memainkan peran strategis. Laporan pemeriksaan yang terdokumentasi menjadi bukti kehati-hatian direksi. Sebaliknya, direksi yang menyetujui akuisisi tanpa memeriksa risiko data kehilangan pijakan pembelaan tersebut.
PP No. 33/2026 dan Kewajiban Data Pribadi dalam Aksi Korporasi
Pasal 48 ayat (1) UU No. 27/2022 memuat kewajiban khusus bagi pengendali berbentuk badan hukum. Pengendali yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran wajib memberitahukan pengalihan data pribadi kepada subjek data. Selanjutnya, ayat (2) menegaskan pemberitahuan itu berlangsung sebelum dan sesudah transaksi. Kemudian, ayat (5) mendelegasikan pengaturan teknisnya kepada peraturan pemerintah.
PP 33/2026 menjawab delegasi tersebut. Pasal 131 sampai Pasal 137 PP 33/2026 secara khusus mengatur kewajiban pengendali dalam merger, akuisisi, dan pengalihan bisnis. Akibatnya, pelindungan data pribadi resmi menjadi bagian dari tahapan aksi korporasi.
Pemberitahuan Pengalihan Data kepada Subjek Data
PP 33/2026 menetapkan muatan minimum pemberitahuan pengalihan data. Muatan itu mencakup kegiatan pengalihan dan pemrosesan, identitas pengendali baru, serta mekanisme keberatan atau penghentian pemrosesan. Oleh karena itu, tim transaksi perlu menyiapkan draf pemberitahuan sejak penandatanganan perjanjian. Penjelasan Pasal 48 UU PDP juga membuka dua opsi, yaitu pemberitahuan langsung atau pengumuman umum melalui media massa.
Pembaruan DPIA dan Transfer Data Lintas Negara
Selain pemberitahuan, PP 33/2026 menuntut pengendali menilai pemenuhan hak subjek data sebelum data berpindah. Pengendali juga perlu memperbarui penilaian dampak pelindungan data pribadi atau DPIA. Pasal 120 sampai Pasal 122 PP 33/2026 mengatur kerangka DPIA untuk pemrosesan berisiko tinggi. Sebagai contoh, pemrosesan data spesifik seperti data kesehatan dan data keuangan pribadi termasuk kategori tersebut.
Lebih lanjut, banyak transaksi melibatkan pembeli asing atau sistem grup di luar negeri. Dalam situasi itu, Pasal 160 sampai Pasal 174 PP 33/2026 tentang transfer data lintas negara ikut berlaku. Pengendali wajib memastikan negara penerima memberikan tingkat pelindungan setara atau lebih tinggi. Jika tidak, pengendali harus menyediakan pelindungan yang memadai dan mengikat, atau memperoleh persetujuan subjek data.
Ruang Lingkup Due Diligence Data Pribadi
Berdasarkan pengalaman praktik, pemeriksaan yang efektif setidaknya menjangkau tujuh area berikut.
1. Inventarisasi data: jenis, volume, dan klasifikasi data umum atau spesifik.
2. Dasar pemrosesan: keabsahan persetujuan atau dasar hukum lain untuk setiap tujuan.
3. Perjanjian prosesor: kelengkapan perjanjian tertulis dengan vendor dan penyedia cloud.
4. DPIA: ketersediaan dan kemutakhiran penilaian dampak atas pemrosesan berisiko tinggi.
5. PPDP: penunjukan pejabat pelindungan data jika target memenuhi kriteria Pasal 142 PP 33/2026.
6. Riwayat insiden: catatan kebocoran data dan kepatuhan pemberitahuan 3×24 jam.
7. Transfer data lintas negara: pemetaan alur data dan instrumen hukum yang mendasarinya.
Titik Rawan Due Diligence Data Pribadi di Ruang Data
Ironisnya, proses due diligence data pribadi sendiri dapat melanggar UU PDP. Penjual kerap mengunggah daftar karyawan atau pelanggan lengkap ke virtual data room. Padahal, pengungkapan itu termasuk pemrosesan yang memerlukan dasar hukum. Karena itu, kami menyarankan penggunaan data anonim atau sampel berpseudonim. Selain itu, para pihak dapat membentuk clean team dengan akses terbatas dan perjanjian kerahasiaan yang ketat.
Risiko Hukum Mengabaikan Due Diligence Data Pribadi
Pasal 57 UU PDP mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda. Denda administratif tersebut dapat mencapai 2% dari pendapatan atau penerimaan tahunan. PP 33/2026 kemudian memperkuat kewenangan Lembaga Pelindungan Data Pribadi untuk mengawasi kepatuhan dan menjatuhkan sanksi. Bahkan, Lembaga dapat mengumumkan hasil pengawasan kepada publik.
Dalam akuisisi saham, risiko ini tidak hilang. Perusahaan target tetap menjadi pengendali, sehingga seluruh pelanggaran masa lalu tetap melekat padanya. Sebagai hasilnya, pembeli menanggung kerugian secara ekonomis melalui penurunan nilai investasi. Di sisi lain, ketentuan pidana UU PDP, termasuk Pasal 70, juga dapat menjangkau korporasi.
Rekomendasi Kepatuhan Due Diligence Data Pribadi bagi Pelaku Transaksi
PP 33/2026 mengubah peta risiko transaksi korporasi di Indonesia. Oleh karena itu, direkomendasikan lima langkah kepatuhan berikut.
1. Masukkan modul due diligence data pribadi sejak tahap letter of intent.
2. Kelola ruang data dengan prinsip minimisasi, anonimisasi, dan clean team.
3. Tuangkan temuan ke dalam jaminan, ganti rugi khusus (specific indemnity), dan syarat pendahuluan.
4. Selaraskan pengumuman Pasal 127 UU PT dengan pemberitahuan pengalihan data menurut UU PDP dan PP 33/2026.
5. Susun rencana integrasi pascatransaksi, termasuk pembaruan DPIA, kebijakan privasi, dan perjanjian prosesor.
Pada akhirnya, due diligence data pribadi bukan sekadar daftar periksa administratif. Sebaliknya, pemeriksaan ini melindungi nilai transaksi, posisi hukum direksi, dan kepercayaan subjek data. Mengingat masa transisi berakhir 16 Januari 2027, pelaku usaha sebaiknya menyesuaikan praktik transaksinya mulai sekarang.
FAQ (Frequently Asked Questions)
1. Apa itu due diligence data pribadi dalam merger dan akuisisi?
Due diligence data pribadi adalah pemeriksaan hukum atas cara perusahaan target mengumpulkan, menggunakan, menyimpan, dan mengalihkan data pribadi. Pemeriksaan ini menilai kepatuhan target terhadap UU No. 27/2022 dan PP No. 33/2026. Hasilnya membantu pembeli mengukur risiko, menentukan harga, serta menyusun jaminan dan ganti rugi dalam perjanjian transaksi sebelum para pihak menandatanganinya.
2. Kapan PP 33/2026 mulai berlaku?
PP No. 33 Tahun 2026 terbit pada 16 Juli 2026 dalam Lembaran Negara Tahun 2026 Nomor 88. Peraturan ini mulai berlaku enam bulan setelah pengundangan, yaitu pada 16 Januari 2027. Karena itu, perusahaan yang merencanakan merger atau akuisisi perlu menyesuaikan prosedur transaksinya selama masa transisi ini agar siap menghadapi pengawasan.
3. Apakah merger wajib memberitahu subjek data?
Ya. Pasal 48 UU No. 27/2022 mewajibkan pengendali berbentuk badan hukum memberitahukan pengalihan data pribadi kepada subjek data. Pemberitahuan berlangsung sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran. Selanjutnya, PP 33/2026 menambahkan muatan minimum, seperti identitas pengendali baru dan mekanisme keberatan. Pemberitahuan dapat berupa surat langsung atau pengumuman melalui media massa.
4. Apakah akuisisi saham juga terkena kewajiban ini?
Ya. Pasal 48 UU PDP menyebut pengambilalihan secara tegas sebagai pemicu kewajiban pemberitahuan. Dalam akuisisi saham, perusahaan target tetap menjadi pengendali data. Akibatnya, seluruh pelanggaran sebelum transaksi tetap melekat pada target. Pembeli kemudian menanggung dampaknya secara ekonomis, sehingga pemeriksaan data tetap penting sebelum penandatanganan perjanjian jual beli saham dan penetapan harga akhir.
5. Berapa sanksi pelanggaran pelindungan data pribadi?
Pasal 57 UU PDP mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda. Denda administratif paling tinggi mencapai 2% dari pendapatan atau penerimaan tahunan. Selain itu, UU PDP memuat ketentuan pidana yang dapat menjangkau korporasi. Karena itu, kepatuhan sejak awal jauh lebih murah daripada pemulihan.
