Dua aturan menjadi fondasi perlindungan data Indonesia pada 2026: Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE). Keduanya sering disebut bersamaan dalam wacana “kedaulatan data”, tetapi mengatur hal yang berbeda. Artikel ini menjelaskan isi keduanya, siapa yang wajib menyimpan data di Indonesia, dan apa artinya bagi pengguna maupun perusahaan.
UU PDP: hak Anda dan kewajiban pengelola data
UU PDP mulai berlaku penuh sejak Oktober 2024. Aturan ini memberi subjek data — yaitu setiap orang yang datanya dikelola — hak untuk mengakses, mengoreksi, dan menghapus data pribadinya, serta menarik kembali persetujuan yang pernah diberikan. Di sisi lain, pengendali data wajib memperoleh persetujuan yang sah, menjaga keamanan data, dan memberitahu otoritas serta individu terdampak paling lama 72 jam setelah terjadi kebocoran data. Pelanggaran berat dapat dikenai sanksi administratif berupa denda sampai 2 persen dari pendapatan tahunan, ditambah ancaman pidana bagi penyalahgunaan data tanpa izin. Intinya, UU PDP mengubah data pribadi dari sekadar aset perusahaan menjadi hak individu yang dilindungi hukum.
PP 71/2019: siapa wajib menyimpan data di Indonesia
PP PSTE mengatur penyelenggara sistem elektronik (PSE). Pasal 20 menetapkan kewajiban dasar: PSE lingkup publik — instansi pemerintah dan BUMN — wajib mengelola, memproses, dan menyimpan data di Indonesia, dengan pengecualian terbatas. Pasal 21 memberi ruang berbeda bagi PSE lingkup privat: mereka boleh memakai fasilitas di dalam dan/atau di luar Indonesia, selama efektivitas pengawasan, akses penegakan hukum, pelindungan data pribadi, dan aturan sektoral tetap terjamin. Sampai Maret 2026, Kementerian Komunikasi dan Digital mencatat 16.529 PSE telah terdaftar. Jadi, klaim bahwa “semua data harus di Indonesia” tidak akurat — begitu pula klaim sebaliknya bahwa “semua data boleh ke luar negeri”. Status PSE, klasifikasi data, dan aturan sektor masing-masing yang menentukan.
Apa sebenarnya arti kedaulatan data
Kedaulatan data berarti data tunduk pada hukum negara tempat data itu disimpan dan dikelola, dan negara tersebut dapat menegakkan hukumnya atas data itu. Dalam wacana Indonesia 2026, frasa yang dipakai pemerintah adalah “data sensitif tetap di Indonesia, sistem tetap terhubung aman”. Contoh nyatanya: PT Kereta Api Indonesia sejak Juli 2025 mengoperasikan layanan surel bagi lebih dari 28.000 karyawannya pada infrastruktur yang diterapkan secara lokal dan terintegrasi dengan identitas korporat. Model seperti ini — infrastruktur lokal untuk fungsi inti, konektivitas global untuk layanan yang memang membutuhkannya — menjadi pola yang makin umum di BUMN dan instansi.
Kaitannya dengan AI, GPU Merdeka, dan infrastruktur
Kedaulatan data tidak berhenti pada lokasi server. Ketika perusahaan memakai AI, data pelatihan dan data pengguna juga mengalir ke model dan platform AI. Itulah sebabnya wacana 2026 mengaitkan UU PDP dan PP 71 dengan pembangunan infrastruktur AI dalam negeri — dari GPU Merdeka dan AI ModelHub sampai inisiatif keamanan kuantum (Quantum-Safe) — agar pemrosesan data sensitif tidak harus selalu bergantung pada infrastruktur luar negeri. Di tingkat global, Gartner memperkirakan belanja sovereign cloud dunia mencapai 80 miliar dolar AS pada 2026, naik 35,6 persen. Indonesia bergerak dalam arus yang sama: bukan menutup diri, melainkan memastikan ada pilihan infrastruktur dalam negeri yang memadai.
Apa artinya bagi pengguna dan perusahaan
Bagi pengguna, dua aturan ini berarti Anda berhak tahu data apa yang dikumpulkan tentang Anda, untuk apa, dan kepada siapa dibagikan — serta berhak meminta penghapusan dalam kondisi tertentu. Bagi perusahaan, langkah praktisnya adalah memetakan data yang dikelola, mengklasifikasikannya (data umum, data pribadi, data sensitif, data strategis), menyesuaikan lokasi penyimpanan dengan status PSE dan aturan sektor, serta menyiapkan prosedur respons insiden yang memenuhi tenggat 72 jam. Perusahaan yang mengabaikan kewajiban ini tidak hanya berisiko denda, tetapi juga kehilangan kepercayaan pengguna.
Pertanyaan yang sering ditanyakan
Apakah UU PDP berarti semua data saya harus disimpan di Indonesia?
Tidak. Kewajiban penyimpanan di Indonesia berlaku untuk PSE lingkup publik; PSE privat boleh memakai fasilitas di dalam dan/atau luar negeri dengan syarat pengawasan dan pelindungan data tetap terjamin.
Apa yang harus dilakukan bila data saya bocor?
Pengelola data wajib memberitahu otoritas dan Anda paling lama 72 jam setelah kebocoran diketahui. Anda juga dapat melapor ke otoritas pelindungan data dan lembaga terkait.
Apakah artikel ini nasihat hukum?
Bukan. Artikel ini adalah penjelasan umum atas isi UU PDP dan PP 71/2019. Untuk kasus spesifik, konsultasikan dengan penasihat hukum.
