On 16 July 2026, President Prabowo Subianto issued Government Regulation Number 33 of 2026 on the Implementing Regulation of Law Number 27 of 2022 on Personal Data Protection, which was promulgated on the same day and will take effect on 16 January 2027. This GR elaborates on the obligations of Personal Data Controllers, including: following up on requests for access, rectification, and withdrawal of consent, and notifying Personal Data Protection Failures to Personal Data Subjects and the PDP Agency, each no later than 3 x 24 hours; conducting an impact assessment (Data Protection Impact Assessment – DPIA) on high-risk processing such as the use of AI; and appointing a PPDP (Data Protection Officer – DPO) under certain conditions. Articles 165 to 173 regulate cross-border data transfers in a tiered manner, namely to countries with an equivalent or higher level of protection based on the Agency’s list, or with adequate and binding protection such as standard contractual clauses, while the Personal Data Subject’s consent serves only as a last resort for non-repetitive transfers involving a limited number of subjects. Violations may be subject to administrative sanctions, including a fine of up to 2% of annual revenue or receipts, without prior written warning. This GR provides that further provisions will be regulated under PDP Agency Regulations.
Aturan Pelaksana UU Pelindungan Data Pribadi (PP 33/2026)
Pada tanggal 16 Juli 2026, Presiden Prabowo Subianto menetapkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang diundangkan pada hari yang sama dan berlaku mulai 16 Januari 2027. PP ini merinci kewajiban Pengendali Data Pribadi, antara lain menindaklanjuti permintaan akses, perbaikan, dan penarikan persetujuan serta memberitahukan Kegagalan Pelindungan Data Pribadi kepada Subjek Data Pribadi dan Lembaga PDP, masing-masing paling lambat 3 x 24 jam, melakukan penilaian dampak (Data Protection Impact Assessment – DPIA) atas pemrosesan berisiko tinggi seperti penggunaan AI, dan menunjuk PPDP (Data Protection Officer – DPO) dalam kondisi tertentu. Pasal 165 – 173 mengatur transfer data ke luar negeri secara berjenjang, yaitu ke negara dengan tingkat pelindungan setara atau lebih tinggi sesuai daftar Lembaga, atau dengan pelindungan yang memadai dan mengikat seperti standar klausul kontrak, sedangkan persetujuan Subjek Data Pribadi hanya menjadi opsi terakhir untuk transfer yang tidak berulang dengan jumlah subjek terbatas. Pelanggaran dapat dikenai sanksi administratif, termasuk denda paling tinggi 2% dari pendapatan atau penerimaan tahunan, tanpa didahului peringatan tertulis. PP ini mengatur bahwa ketentuan-ketentuan lebih lanjut akan diatur dalam Peraturan Lembaga PDP.