Hukum Korporasi, Investasi & M&A
Komparasi: Bahasa Indonesia & English
06 Nov 2026, 17:47 WIB
UU No. 27 Tahun 2022 Pelindungan Data Pribadi
Bahasa Komparasi:
English
URL Langsung:
https://hukum.live/laws/lookup/uu-no-27-tahun-2022-pelindungan-data-pribadi/
Analisis Komparasi Berdampingan
🇮🇩
Bahasa Indonesia (Hukum Nasional)
Rujukan Pasal & Analisis Yuridis Resmi
### ANALISIS HUKUM & PASAL TERKAIT (BAHASA INDONESIA)
**Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("")** merupakan kerangka hukum komprehensif pertama di Indonesia yang mengatur pelindungan data pribadi, mengadopsi standar internasional seperti *General Data Protection Regulation* (GDPR) Uni Eropa.
---
#### I. RUANG LINGKUP DAN ASAS EKSTRATERITORIAL
Berdasarkan ** **, undang-undang ini berlaku bagi:
1. Setiap orang, badan publik, dan organisasi internasional yang berada di wilayah hukum Republik Indonesia; dan
2. Setiap pihak yang berada di luar wilayah hukum Republik Indonesia, apabila perbuatannya memiliki akibat hukum:
* Di wilayah hukum Republik Indonesia; dan/atau
* Bagi Subjek Data Pribadi warga negara Indonesia di luar wilayah hukum Republik Indonesia.
---
#### II. KLASIFIKASI DATA PRIBADI ()
Data Pribadi diklasifikasikan menjadi 2 (dua) jenis:
1. **Data Pribadi yang Bersifat Spesifik ( ayat 2):**
* Data dan informasi kesehatan;
* Data biometrik;
* Data genetika;
* Catatan kejahatan;
* Data anak;
* Data keuangan pribadi; dan/atau
* Data lainnya sesuai dengan ketentuan peraturan perundang-undangan.
2. **Data Pribadi yang Bersifat Umum ( ayat 3):**
* Nama lengkap;
* Jenis kelamin;
* Kewarganegaraan;
* Agama;
* Status perkawinan; dan/atau
* Data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
---
#### III. DASAR PEMROSESAN DATA PRIBADI (*LEGAL BASIS*) ()
Pemrosesan Data Pribadi oleh Pengendali Data Pribadi hanya sah apabila didasarkan pada salah satu dasar hukum berikut:
1. **Persetujuan yang sah dan eksplisit** dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu;
2. **Pemenuhan kewajiban perjanjian** di mana Subjek Data Pribadi merupakan salah satu pihak;
3. **Pemenuhan kewajiban hukum** dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan;
4. **Pemenuhan pelindungan kepentingan vital** Subjek Data Pribadi;
5. **Pelaksanaan tugas dalam rangka kepentingan umum**, pelayanan publik, atau kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; atau
6. **Pemenuhan kepentingan yang sah lainnya (*legitimate interest*)** dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi.
---
#### IV. HAK-HAK SUBJEK DATA PRIBADI ( - )
Subjek Data Pribadi memiliki hak-hak yang dapat ditegakkan secara hukum:
1. **Hak Informasi ():** Memperoleh kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan, serta akuntabilitas pihak pemroses data.
2. **Hak Koreksi ():** Melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data miliknya.
3. **Hak Akses ():** Memperoleh akses dan meminta salinan Data Pribadi sesuai ketentuan perundang-undangan.
4. **Hak Pengakhiran/Penghapusan (*Right to Erasure/Forgotten*) ():** Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya.
5. **Hak Penarikan Persetujuan ():** Menarik kembali persetujuan pemrosesan Data Pribadi yang telah diberikan.
6. **Hak Keberatan (*Right to Object*) ():** Mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan (*profiling*).
7. **Hak Penundaan/Pembatasan ():** Menunda atau membatasi pemrosesan secara proporsional.
8. **Hak Ganti Rugi ():** Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi miliknya.
9. **Hak Portabilitas Data ():** Mendapatkan dan/atau menggunakan Data Pribadi miliknya dalam bentuk yang terstruktur dan lazim digunakan antar-sistem elektronik.
---
#### V. KEWAJIBAN PENGENDALI DAN PROSESOR DATA PRIBADI
1. **Kerahasiaan & Keamanan ( & 35):** Wajib melindungi dan memastikan keamanan Data Pribadi melalui langkah-langkah teknis dan operasional yang memadai.
2. **Penilaian Dampak Pelindungan Data (*Data Protection Impact Assessment* / DPIA) ():** Wajib melakukan penilaian dampak jika pemrosesan memiliki potensi risiko tinggi (misal: pemrosesan data spesifik skala besar atau pemrofilan otomatis).
3. **Pemberitahuan Kegagalan Perlindungan Data (*Data Breach Notification*) ():**
* Pengendali Data Pribadi wajib menyampaikan pemberitahuan tertulis paling lambat **3 x 24 jam** kepada Subjek Data Pribadi dan lembaga yang berwenang.
4. **Penunjukan Pejabat Pelindungan Data (*Data Protection Officer* / DPO) ( & 54):** Wajib ditunjuk apabila:
* Pemrosesan untuk kepentingan pelayanan publik;
* Sifat, ruang lingkup, dan/atau tujuan pemrosesan memerlukan pemantauan berkala dan sistematis skala besar; atau
* Pemrosesan berskala besar atas Data Pribadi yang bersifat spesifik dan/atau data catatan kejahatan.
---
#### VI. TRANSFER DATA PRIBADI LINTAS BATAS ()
Pengendali Data Pribadi dapat mentransfer data ke luar wilayah yurisdiksi Indonesia dengan syarat hierarki:
1. Negara penerima memiliki tingkat pelindungan data yang setara atau lebih tinggi dari ;
2. Jika tidak terpenuhi, Pengendali Data Pribadi wajib memastikan adanya perlindungan data pribadi yang memadai dan mengikat (*standard contractual clauses* atau instrumen yang setara);
3. Jika poin 1 dan 2 tidak terpenuhi, wajib memperoleh persetujuan eksplisit dari Subjek Data Pribadi.
---
#### VII. SANKSI ADMINISTRATIF DAN KETENTUAN PIDANA
1. **Sanksi Administratif ():**
* Peringatan tertulis;
* Penghentian sementara kegiatan pemrosesan data;
* Penghapusan atau pemusnahan data pribadi; dan/atau
* **Denda administratif maksimal 2% (dua persen)** dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
2. **Sanksi Pidana ( - ):**
* **Memperoleh/Mengumpulkan Data Pribadi secara Melawan Hukum ( ayat 1):** Pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
* **Mengungkapkan Data Pribadi secara Melawan Hukum ( ayat 2):** Pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah).
* **Memalsukan Data Pribadi demi Keuntungan Pribadi yang Merugikan Orang Lain ():** Pidana penjara paling lama 6 (enam) tahun dan/atau pidana denda paling banyak Rp6.000.000.000,00 (enam miliar rupiah).
* **Pertanggungjawaban Korporasi ():** Pidana dapat dijatuhkan kepada korporasi berupa denda maksimal 10 (sepuluh) kali lipat dari ancaman denda pidana perorangan, serta pidana tambahan seperti pembekuan/pencabutan izin usaha dan pembubaran korporasi.
---
#### VIII. PANDUAN KEPATUHAN PRAKTIS UNTUK PELAKU USAHA
1. **Audit & Pemetaan Data (*Data Mapping*):** Mengidentifikasi aliran data masuk (*ingress*), penyimpanan (*storage*), pemrosesan (*processing*), dan pengiriman ke pihak ketiga/lintas batas (*egress*).
2. **Pembaruan Dokumen Hukum:** Mengubah *Privacy Notice/Policy*, Syarat dan Ketentuan (*Terms of Service*), serta klausul ketenagakerjaan untuk memenuhi asas keterbukaan dan dasar pemrosesan .
3. **Penyusunan Perjanjian Pemrosesan Data (*Data Processing Agreement* / DPA):** Menandatangani DPA yang mengikat secara hukum dengan setiap vendor pihak ketiga (Prosesor Data).
4. **SOP Penanganan Insiden Keamanan:** Menyusun protokol respons insiden siber untuk mematuhi batas waktu pelaporan kegagalan data maksimal 72 jam (**).
5. **Penunjukan DPO:** Mengangkat Pejabat Pelindungan Data Pribadi internal atau eksternal yang memiliki kompetensi hukum dan teknologi informasi.
🇬🇧
English Legal Analysis & Statutory Codification
Parallel Comparative Translation & Compliance Notes
### LEGAL ANALYSIS & STATUTORY PROVISIONS (ENGLISH)
**Law of the Republic of Indonesia Number 27 of 2022 on Personal Data Protection ("PDP Law")** serves as Indonesia’s primary, comprehensive statutory framework governing personal data governance, heavily modeled after international standards such as the EU General Data Protection Regulation (GDPR).
---
#### I. SCOPE AND EXTRATERRITORIAL APPLICATION
Pursuant to ** of the PDP Law**, the provisions apply to:
1. Any individual, public body, or international organization situated within the jurisdiction of the Republic of Indonesia; and
2. Any party located outside the jurisdiction of the Republic of Indonesia, provided that such conduct has legal consequences:
* Within the territory and jurisdiction of the Republic of Indonesia; and/or
* For Personal Data Subjects who are Indonesian citizens outside the territory of the Republic of Indonesia.
---
#### II. CLASSIFICATION OF PERSONAL DATA ()
Personal Data is divided into 2 (two) distinct categories:
1. **Specific Personal Data (Sensitive Data) (, Paragraph 2):**
* Health data and records;
* Biometric data;
* Genetic data;
* Criminal records;
* Children's data;
* Personal financial data; and/or
* Other data pursuant to prevailing statutory legislation.
2. **General Personal Data (, Paragraph 3):**
* Full name;
* Gender;
* Nationality;
* Religion;
* Marital status; and/or
* Combined personal data capable of identifying an individual.
---
#### III. LEGAL BASES FOR PROCESSING ()
Personal Data processing conducted by a Personal Data Controller is lawful only if grounded on at least one of the following legal bases:
1. **Valid and explicit consent** from the Personal Data Subject for one or several defined purposes;
2. **Contractual necessity**, where the Personal Data Subject is a party to the contract;
3. **Compliance with a legal obligation** to which the Personal Data Controller is subject under prevailing laws;
4. **Protection of vital interests** of the Personal Data Subject;
5. **Performance of a task in the public interest**, public service, or the exercise of official authority vested in the Data Controller under statutory rules; or
6. **Legitimate interests**, taking into account the balance between the controller's necessity and the fundamental rights of the Data Subject.
---
#### IV. RIGHTS OF PERSONAL DATA SUBJECTS (ARTICLES 5 - 15)
The PDP Law vests actionable legal rights in Data Subjects:
1. **Right to Information ():** To obtain clear details regarding the identity of the controller, legal interest, processing purpose, and controller accountability.
2. **Right to Rectification ():** To complete, update, and/or correct inaccuracies or errors in their data.
3. **Right of Access ():** To access and obtain a copy of their personal data in accordance with statutory procedures.
4. **Right to Erasure / To Be Forgotten ():** To terminate processing, delete, and/or destroy their personal data.
5. **Right to Withdraw Consent ():** To withdraw processing consent previously granted.
6. **Right to Object ():** To object to automated decision-making processes, including profiling.
7. **Right to Restriction ():** To suspend or restrict processing proportionally.
8. **Right to Compensation ():** To sue and receive damages for unlawful data processing violations.
9. **Right to Data Portability ():** To obtain and transmit their data to another controller in a structured, commonly used electronic format.
---
#### V. OBLIGATIONS OF DATA CONTROLLERS AND PROCESSORS
1. **Confidentiality & Security (Articles 16 & 35):** Obligated to protect and maintain data security through state-of-the-art technical and organizational measures.
2. **Data Protection Impact Assessment (DPIA) ():** Mandatory assessment prior to high-risk processing operations (e.g., automated profiling or large-scale sensitive data processing).
3. **Personal Data Breach Notification ():**
* In the event of a security failure or data breach, the Controller must deliver written notification within **72 hours (3 x 24 hours)** to both the Data Subject and the competent supervisory authority.
4. **Appointment of Data Protection Officer (DPO) (Articles 53 & 54):** Mandatory if:
* Processing is carried out for public service provision;
* The core activities require regular and systematic large-scale monitoring; or
* Processing involves large-scale specific/sensitive personal data and/or criminal records.
---
#### VI. CROSS-BORDER DATA TRANSFERS ()
A Data Controller may transfer personal data outside Indonesia's jurisdiction strictly following a tiered structure:
1. The receiving country maintains a level of personal data protection equal to or higher than the PDP Law;
2. Absent equivalent protection, the Controller must guarantee binding and adequate safeguards (such as Standard Contractual Clauses or enforceable international instruments);
3. In the absence of tiers 1 and 2, the Controller must obtain the explicit, informed consent of the Personal Data Subject.
---
#### VII. ADMINISTRATIVE AND CRIMINAL SANCTIONS
1. **Administrative Sanctions ():**
* Written warnings;
* Temporary suspension of data processing activities;
* Deletion or destruction of personal data; and/or
* **Administrative fines capped at up to 2% (two percent)** of the entity's total annual turnover or revenue.
2. **Criminal Penalties (Articles 67 - 73):**
* **Unlawful Acquisition/Collection of Data (, Paragraph 1):** Imprisonment up to 5 (five) years and/or maximum fines up to IDR 5,000,000,000 (five billion rupiah).
* **Unlawful Disclosure of Data (, Paragraph 2):** Imprisonment up to 4 (four) years and/or maximum fines up to IDR 4,000,000,000 (four billion rupiah).
* **Creation/Fabrication of False Personal Data ():** Imprisonment up to 6 (six) years and/or maximum fines up to IDR 6,000,000,000 (six billion rupiah).
* **Corporate Criminal Liability ():** Corporations face fines up to 10 (ten) times the individual maximum, along with accessory penalties including asset confiscation, revocation of operating licenses, and judicial dissolution.
---
#### VIII. PRACTICAL CORPORATE COMPLIANCE ROADMAP
1. **Data Mapping & Inventory:** Conduct an enterprise-wide audit of all ingress channels, processing repositories, access logs, and cross-border transfer channels.
2. **Review of Legal Documentation:** Update external Privacy Policies, Terms of Service, and internal employment agreements to ensure alignment with lawful bases under .
3. **Execution of Data Processing Agreements (DPAs):** Ensure enforceable, compliant DPAs are executed with every third-party service provider acting as a Data Processor.
4. **Incident Response Protocol:** Formulate a robust cybersecurity breach playbook capable of triaging, containing, and reporting incidents within the statutory 72-hour notification threshold (**).
5. **DPO Designation:** Officially appoint an internal or external Data Protection Officer possessing verified technical competence and legal fluency in data governance.