Langgar UU PDP, Perusahaan Bisa Kena Denda hingga 2 Persen Pendapatan

Harianjogja.com, JAKARTA— Perusahaan yang melanggar ketentuan pelindungan data pribadi (PDP) kini menghadapi ancaman denda administratif hingga 2% dari pendapatan tahunan atau penerimaan tahunan. Ketentuan tersebut diatur dalam Peraturan Pemerintah (PP) Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Besaran denda itu tercantum dalam Pasal 185 PP Nomor 33 Tahun 2026. Aturan tersebut berlaku bagi Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang melakukan pelanggaran administratif terkait pelindungan data pribadi.

"Sanksi administratif berupa denda administratif dikenakan paling tinggi 2% (dua persen) dari pendapatan tahunan atau penerimaan tahunan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi terhadap variabel pelanggaran," tulis aturan tersebut dikutip pada Selasa (1/9/2026).

Meski batas maksimalnya mencapai 2%, denda tidak otomatis ditetapkan sebesar 2% dari pendapatan tahunan perusahaan. PP Nomor 33 Tahun 2026 menetapkan sejumlah variabel yang harus menjadi pertimbangan dalam menentukan besaran sanksi.

Faktor yang Menentukan Besaran Denda

Penghitungan denda administratif mempertimbangkan dampak negatif yang ditimbulkan akibat pelanggaran. Durasi terjadinya pelanggaran, jenis data pribadi yang terdampak, serta jumlah subjek data pribadi yang terdampak juga menjadi bagian dari variabel penghitungan.

Selain itu, proses ditemukannya pelanggaran turut diperhitungkan. Tingkat keterbukaan dan kerja sama Pengendali Data Pribadi dan/atau Prosesor Data Pribadi selama proses pemeriksaan juga menjadi pertimbangan.

Variabel lainnya mencakup skala usaha, kemampuan membayar, serta tingkat kepatuhan terhadap ketentuan peraturan perundang-undangan di bidang PDP.

Pasal 185 ayat (2) juga memberikan ruang bagi Lembaga untuk mempertimbangkan variabel lain yang relevan dalam menentukan besaran denda administratif.

Bahkan, denda tidak selalu harus dikenakan dalam jumlah tertentu. PP Nomor 33 Tahun 2026 membuka kemungkinan denda ditetapkan hingga nol rupiah atau nol persen.

"Dengan pertimbangan tertentu, denda administratif sebagaimana dapat ditetapkan sampai dengan Rp0,00 (nol rupiah) atau 0% (nol persen)," tulis aturan tersebut.

Empat Jenis Sanksi Administratif

Denda bukan satu-satunya sanksi yang dapat diberikan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang melakukan pelanggaran. Pasal 184 PP Nomor 33 Tahun 2026 mengatur empat bentuk sanksi administratif.

Sanksi tersebut meliputi:

peringatan tertulis;

penghentian sementara kegiatan pemrosesan Data Pribadi;

penghapusan atau pemusnahan Data Pribadi; dan/atau

denda administratif.

Dalam aturan tersebut, satu pelanggaran dapat dikenai lebih dari satu sanksi administratif secara bersamaan. Sanksi juga dapat dijatuhkan dengan atau tanpa didahului peringatan tertulis.

Lembaga memiliki kewenangan untuk menjatuhkan sanksi administratif kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi atas pelanggaran administratif berdasarkan ketentuan peraturan perundang-undangan di bidang PDP.

Dalam menjatuhkan sanksi, Lembaga wajib mempertimbangkan tingkat atau dampak pelanggaran, kelangsungan kegiatan usaha atau pelayanan publik, riwayat kepatuhan perusahaan, dasar pertimbangan dan alasan yang jelas, serta pertimbangan lain yang ditetapkan oleh Lembaga.

Begini Mekanisme Pengaduan Pelanggaran PDP

PP Nomor 33 Tahun 2026 juga mengatur mekanisme penanganan dugaan pelanggaran pelindungan data pribadi. Proses tersebut dilakukan melalui empat tahapan.

Tahapan itu terdiri atas pengaduan atau pelaporan dan hasil pengawasan, pemeriksaan dan penelusuran dokumen pengaduan, pemeriksaan dan penelusuran dugaan pelanggaran, serta penjatuhan dan pelaksanaan keputusan sanksi administratif.

Dugaan pelanggaran dapat berasal dari pengaduan atau laporan maupun hasil pengawasan PDP. Pengaduan atau laporan disampaikan kepada Lembaga secara tertulis.

Dalam pengaduan tersebut harus dicantumkan identitas pelapor, identitas Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dilaporkan, dugaan pelanggaran beserta ketentuan yang dilanggar, serta keterangan dan/atau bukti yang menunjukkan adanya pelanggaran.

Dalam keadaan tertentu, identitas pihak yang mengadukan atau melaporkan dapat dirahasiakan.

Setelah menerima pengaduan atau laporan, Lembaga melakukan pemeriksaan dan penelusuran terhadap dokumen pengaduan atau laporan paling lama tiga hari sejak pengaduan atau laporan diterima.

Apabila informasi yang disampaikan belum cukup, Lembaga dapat meminta pelapor melengkapinya. Sebaliknya, jika informasi yang tersedia dinilai cukup untuk ditindaklanjuti, Lembaga melakukan penelusuran terhadap dugaan pelanggaran.

Pemeriksaan Bisa Berlangsung hingga 60 Hari

Dalam proses pemeriksaan, Lembaga memiliki sejumlah kewenangan untuk mengumpulkan informasi dan bukti. Lembaga dapat memanggil pihak yang terkait serta meminta keterangan, data, informasi, dan dokumen.

Lembaga juga dapat menghadirkan ahli dan melakukan pemeriksaan terhadap sistem elektronik, sarana, ruang, dan/atau tempat yang digunakan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi.

Pemeriksaan dan penelusuran terhadap dugaan pelanggaran diselesaikan paling lambat 14 hari sejak pemeriksaan dimulai. Namun, jangka waktu tersebut dapat diperpanjang paling lama 60 hari apabila diperlukan.

Setelah pemeriksaan dan penelusuran selesai, Lembaga menjatuhkan keputusan pengenaan sanksi administratif paling lambat 30 hari.

Keputusan tersebut kemudian diumumkan melalui media resmi Lembaga dan disampaikan kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dikenai sanksi.

Pihak yang dikenai sanksi wajib melaksanakan keputusan tersebut paling lambat 30 hari sejak tanggal diumumkan. Mereka juga dapat mengajukan permohonan penambahan jangka waktu pelaksanaan kepada Lembaga.

Perusahaan Bisa Ajukan Keberatan

PP Nomor 33 Tahun 2026 memberikan hak kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang dikenai sanksi untuk mengajukan keberatan.

Keberatan disampaikan secara tertulis kepada pimpinan Lembaga paling lambat 14 hari sejak perusahaan menerima pemberitahuan keputusan. Namun, pengajuan keberatan tersebut tidak menunda pelaksanaan sanksi administratif.

Pimpinan Lembaga wajib menetapkan keputusan atas keberatan paling lambat 14 hari sejak pengajuan diterima. Keputusan tersebut dapat berupa menerima keberatan sebagian atau seluruhnya maupun menolak keberatan disertai alasan.

Apabila pimpinan Lembaga tidak memberikan keputusan dalam jangka waktu tersebut, pengajuan keberatan dianggap dikabulkan.

Sementara itu, apabila keberatan ditolak, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dapat mengajukan gugatan ke pengadilan tata usaha negara sesuai dengan ketentuan peraturan perundang-undangan.

Denda Masuk Kas Negara

Adapun denda administratif yang telah tercantum dalam keputusan Lembaga dan memperoleh kekuatan hukum tetap serta mengikat menjadi kewajiban pembayaran bagi pihak yang dikenai sanksi.

Denda tersebut kemudian disetorkan ke kas negara sebagai penerimaan negara bukan pajak (PNBP).

Dengan ketentuan tersebut, PP Nomor 33 Tahun 2026 tidak hanya menetapkan batas maksimal denda hingga 2% dari pendapatan tahunan atau penerimaan tahunan. Regulasi itu juga mengatur jenis sanksi, faktor penghitungan denda, tahapan pemeriksaan, batas waktu penanganan, hingga hak perusahaan untuk mengajukan keberatan.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.

Sumber : Bisnis