Hukum Korporasi, Investasi & M&A
Komparasi: Bahasa Indonesia & Mandarin Chinese (中文)
06 Nov 2026, 18:39 WIB
UU No. 27 Tahun 2022 Pelindungan Data Pribadi
Bahasa Komparasi:
Mandarin (中文)
URL Langsung:
https://hukum.live/laws/lookup/uu-no-27-tahun-2022-pelindungan-data-pribadi-2/
Analisis Komparasi Berdampingan
🇮🇩
Bahasa Indonesia (Hukum Nasional)
Rujukan Pasal & Analisis Yuridis Resmi
### ANALISIS HUKUM & PASAL TERKAIT (BAHASA INDONESIA)
**Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ()** merupakan kerangka hukum komprehensif pertama di Indonesia yang mengatur pelindungan data pribadi, mengadopsi standar global seperti *General Data Protection Regulation* (GDPR) Uni Eropa.
---
#### I. RUANG LINGKUP DAN YURISDIKSI ()
berlaku bagi setiap orang, badan publik, dan organisasi internasional yang melakukan perbuatan hukum pemrosesan data pribadi:
1. Di dalam wilayah yurisdiksi Republik Indonesia; dan
2. Di luar wilayah yurisdiksi Republik Indonesia, sepanjang perbuatan tersebut memiliki akibat hukum di dalam wilayah Indonesia dan/atau bagi Subjek Data Pribadi warga negara Indonesia di luar negeri (*asas ekstrateritorialitas*).
---
#### II. DEFINISI & PERAN KUNCI ()
* **Subjek Data Pribadi:** Orang perseorangan yang pada dirinya melekat Data Pribadi.
* **Pengendali Data Pribadi (*Data Controller*):** Setiap orang, badan publik, atau organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.
* **Prosesor Data Pribadi (*Data Processor*):** Setiap orang, badan publik, atau organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi.
---
#### III. KLASIFIKASI DATA PRIBADI ()
membagi Data Pribadi ke dalam 2 (dua) jenis:
1. **Data Pribadi yang Bersifat Spesifik (*Sensitive Personal Data*):**
* Data dan informasi kesehatan;
* Data biometrik;
* Data genetika;
* Catatan kejahatan;
* Data anak;
* Data keuangan pribadi; dan/atau
* Data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
2. **Data Pribadi yang Bersifat Umum (*General Personal Data*):**
* Nama lengkap;
* Jenis kelamin;
* Kewarganegaraan;
* Agama;
* Status perkawinan; dan/atau
* Data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
---
#### IV. DASAR HUKUM PEMROSESAN DATA PRIBADI ()
Pengendali Data Pribadi wajib memiliki setidaknya 1 (satu) dasar pemrosesan data yang sah:
1. Persetujuan eksplisit yang sah dari Subjek Data Pribadi;
2. Pemenuhan kewajiban perjanjian/kontrak;
3. Pemenuhan kewajiban hukum (*legal obligation*);
4. Pelindungan kepentingan vital Subjek Data Pribadi;
5. Pelaksanaan tugas dalam rangka kepentingan umum atau pelayanan publik; atau
6. Pemenuhan kepentingan yang sah lainnya (*legitimate interest*).
---
#### V. HAK-HAK SUBJEK DATA PRIBADI ( – )
Subjek Data Pribadi memiliki hak-hak yang dapat dituntut secara hukum:
* **Hak Memperoleh Informasi ():** Kejelasan identitas pemroses, dasar hukum, dan tujuan pemrosesan.
* **Hak Melengkapi/Memperbarui/Memperbaiki ():** Akses untuk membetulkan ketidakakuratan data.
* **Hak Mengakses dan Memperoleh Salinan ():** Akses riwayat pemrosesan data.
* **Hak Mengakhiri Pemrosesan, Menghapus, dan Memusnahkan ():** Hak untuk dilupakan (*Right to be Forgotten*).
* **Hak Menarik Persetujuan ():** Penarikan persetujuan (*withdraw consent*) kapan saja.
* **Hak Menolak Keputusan Otomatis ():** Hak untuk menolak profil otomatis (*profiling*) yang berdampak hukum.
* **Hak Menunda/Membatasi Pemrosesan ():** Pembatasan operasional data.
* **Hak Menggugat dan Menerima Ganti Rugi ():** Ganti rugi atas pelanggaran pemrosesan data.
* **Hak Portabilitas Data ():** Mendapatkan dan mentransfer data antar-Pengendali.
---
#### VI. KEWAJIBAN PENGENDALI & PROSESOR DATA
1. **Pemberitahuan Kegagalan Pelindungan Data / *Data Breach Notification* ():** Wajib menyampaikan pemberitahuan tertulis kepada Subjek Data dan Lembaga PDP maksimal **3 x 24 jam (72 jam)** sejak terjadinya kegagalan.
2. **Penilaian Dampak Pelindungan Data / *DPIA* ():** Wajib dilakukan sebelum memproses data yang berisiko tinggi.
3. **Penunjukan Pejabat/Petugas Pelindungan Data / *DPO* ():** Wajib menunjuk *Data Protection Officer* jika pemrosesan berskala besar, memproses data spesifik secara teratur, atau menyangkut kepentingan pelayanan publik.
4. **Transfer Data Internasional ():** Pengendali hanya dapat mentransfer data ke luar Indonesia jika negara penerima memiliki tingkat pelindungan data yang setara/lebih tinggi, terdapat perjanjian kontraktual yang mengikat (*standard contractual clauses*), atau memperoleh persetujuan eksplisit Subjek Data.
---
#### VII. SANKSI ATAS PELANGGARAN
1. **Sanksi Administratif ():**
* Peringatan tertulis;
* Penghentian sementara kegiatan pemrosesan data;
* Penghapusan atau pemusnahan data; dan/atau
* **Denda administratif maksimal 2% dari total pendapatan/omzet tahunan** dari variabel pelanggaran.
2. **Sanksi Pidana ( – ):**
* Memperoleh/mengumpulkan data pribadi secara melawan hukum: Pidana penjara hingga 5 tahun dan/atau denda hingga Rp5 miliar.
* Mengungkapkan data pribadi secara melawan hukum: Pidana penjara hingga 4 tahun dan/atau denda hingga Rp4 miliar.
* Menggunakan data pribadi palsu: Pidana penjara hingga 6 tahun dan/atau denda hingga Rp6 miliar.
* Bagi Korporasi: Denda pidana dapat dilipatgandakan hingga 10 kali lipat, disertai sanksi tambahan berupa perampasan keuntungan, pembekuan izin usaha, hingga pembubaran korporasi.
---
🇨🇳
中文对照与法定条款解读 (Mandarin Chinese)
Parallel Comparative Translation & Compliance Notes
### LEGAL ANALYSIS & STATUTORY PROVISIONS (MANDARIN CHINESE (中文))
**印度尼西亚共和国2022年第27号《个人数据保护法》（）**是印度尼西亚首部全面的个人数据保护法律框架，主要参考了欧盟《通用数据保护条例》（GDPR）等国际通行标准。
---
#### 一、 适用范围与管辖权（第2条）
本法适用于任何自然人、公共机构和国际组织在以下情况下开展的个人数据处理行为：
1. 在印度尼西亚共和国司法管辖区境内；以及
2. 在印度尼西亚共和国司法管辖区境外，但该行为对印尼境内产生法律后果，和/或涉及位于印尼境外的印尼公民个人数据主体（*域外效力原则*）。
---
#### 二、 核心定义与主体角色（第1条）
* **个人数据主体（Data Subject）：** 与特定个人数据相关联的自然人。
* **个人数据控制者（Data Controller）：** 单独或与他人共同决定个人数据处理目的和方式，并控制个人数据处理过程的任何自然人、公共机构或国际组织。
* **个人数据处理者（Data Processor）：** 单独或与他人共同代表个人数据控制者处理个人数据的任何自然人、公共机构或国际组织。
---
#### 三、 个人数据分类（第4条）
本法将个人数据划分为两类：
1. **特定（敏感）个人数据（Sensitive Personal Data）：**
* 健康数据与医疗信息；
* 生物识别数据（Biometric Data）；
* 基因数据（Genetic Data）；
* 犯罪记录；
* 儿童个人数据；
* 个人财务数据；及/或
* 法律法规规定的其他数据。
2. **一般个人数据（General Personal Data）：**
* 全名；
* 性别；
* 国籍；
* 宗教信仰；
* 婚姻状况；及/或
* 可通过组合识别个人身份的其他个人数据。
---
#### 四、 个人数据处理的合法性基础（第20条）
个人数据控制者进行数据处理时，必须至少具备以下一项合法性依据：
1. 获得个人数据主体明确有效的同意（Explicit Consent）；
2. 履行合同所必需；
3. 履行法定义务（Legal Obligation）；
4. 保护个人数据主体的重大利益（Vital Interests）；
5. 为公共利益或履行公共服务职责所必需；或
6. 满足控制者的其他合法利益（Legitimate Interests）。
---
#### 五、 个人数据主体的法定权利（第5条至第13条）
个人数据主体享有以下依法可主张的权利：
* **知情权（第5条）：** 了解处理主体身份、合法性基础及处理目的；
* **更正补充权（第6条）：** 请求更新、补充或纠正不准确的数据；
* **查阅与复制权（第7条）：** 获取个人数据及其处理历史的副本；
* **终止处理、删除与销毁权（第8条）：** 被遗忘权（*Right to be Forgotten*）；
* **撤回同意权（第9条）：** 随时撤回此前作出的授权同意；
* **拒绝自动化决策权（第10条）：** 有权拒绝仅基于自动化画像（Profiling）且产生法律后果的处理；
* **限制/暂停处理权（第11条）：** 请求暂停或限制对其数据的处理；
* **索赔与损害赔偿权（第12条）：** 对违规处理数据造成的损失索赔；
* **数据可携权（第13条）：** 获取其数据并将其转移给其他控制者。
---
#### 六、 控制者与处理者的合规义务
1. **数据泄露通报义务（第46条）：** 一旦发生个人数据泄露，必须在**3 × 24小时（72小时）**内以书面形式通知数据主体和个人数据保护主管机构。
2. **个人数据保护影响评估 / DPIA（第34条）：** 处理存在潜在高风险的个人数据前，必须进行影响评估。
3. **任命数据保护官 / DPO（第53条）：** 大规模处理数据、定期处理敏感数据或涉及公共服务时，必须强制设立*数据保护官*（Pejabat PDP）。
4. **跨境数据传输（第56条）：** 控制者向印尼境外传输数据时，接收国须具备同等或更高水平的数据保护标准；若无，应签署具备法律约束力的标准合同条款（SCC）；或取得数据主体的明确同意。
---
#### 七、 法律责任与处罚机制
1. **行政处罚（第57条）：**
* 书面警告；
* 暂停数据处理活动；
* 强制删除或销毁个人数据；及/或
* **最高按涉案年度总营业额2%计取的行政罚款**。
2. **刑事责任（第65条至第70条）：**
* 非法获取或收集个人数据：最高处以5年有期徒刑及/或最高50亿印尼盾罚金；
* 非法泄露个人数据：最高处以4年有期徒刑及/或最高40亿印尼盾罚金；
* 伪造或使用虚假个人数据：最高处以6年有期徒刑及/或最高60亿印尼盾罚金；
* 针对企业（法人犯罪）：罚金最高可加重至自然人标准的10倍，并可并处没收违法所得、吊销营业执照、冻结企业账户甚至解散企业。