Wajib lapor 72 jam, tetapi lembaganya belum ada
Peraturan Pemerintah 33/2026, yang ditandatangani pada 16 Juli 2026, mengatur pelaksanaan UU Pelindungan Data Pribadi tahun 2022. Mulai 16 Januari 2027, organisasi wajib memberi tahu pemilik data dan lembaga pengawas dalam 72 jam setelah memastikan terjadi kebocoran, dan lembaga itu dapat menjatuhkan denda hingga 2% dari pendapatan kotor tahunan. Namun lembaga pengawas itu belum dibentuk. Peraturan Presiden yang diperlukan belum terbit, dan pada 27 Juli 2026 kementerian menolak permohonan ke pengadilan yang meminta tenggat waktu.
01Lensa keselamatan
| Pelaporan insidenApakah insiden wajib dilaporkan? | Ya |
|---|---|
| Penggunaan yang tidak dapat diterimaApakah ada penggunaan yang dinyatakan tidak dapat diterima? | Belum jelas |
| Model serba gunaApakah model serba guna ikut diatur? | Belum jelas |
| PenegakanSeberapa kuat penegakannya? | Belum jelas |
| Penerima laporanApakah ada badan yang ditunjuk menerima laporan insiden, dan apakah badan itu sudah ada? | Disebut, belum dibentuk |
| Lintas batasApakah sistem atau insiden AI yang melintasi batas negara ikut diatur? | Belum jelas |
| AI garda depanApakah AI garda depan, yaitu model paling canggih dan pengendaliannya, ikut diatur? | Belum jelas |
Pelaporan insiden di sini berarti kebocoran data pribadi, bukan insiden AI.
Dasar nilai-nilai ini
Pelaporan insiden bernilai ya karena ringkasan yang dikutip menyebut organisasi wajib memberi tahu orang yang terdampak dan otoritas pengawas dalam 72 jam setelah kebocoran dipastikan. Penerimanya disebut tetapi belum dibentuk: otoritas itu disebut, dan HLC melaporkan bahwa otoritas tersebut belum dibentuk. Naskah peraturannya sendiri belum tersedia, jadi lintas batas dan cakupan AI garda depan tetap belum jelas.
Lensa diperiksa pada · Cara lensa dikodekan
02Dibandingkan dengan Uni Eropa
(dalam bahasa Inggris)
The GDPR also gives 72 hours to notify the supervisory authority (Article 33). A failure to notify falls in its lower fine tier, up to 10 million euros or 2% of worldwide annual turnover, whichever is higher (Article 83(4)(a)). The higher tier, 20 million euros or 4%, covers infringements such as the basic principles and data subjects' rights (Article 83(5)). Indonesia's cap is 2% of annual gross revenue, and its supervisory authority does not exist yet.
03Pendapat saya
(dalam bahasa Inggris)
This one is not about AI directly, and I am including it on purpose. AI rules lean on the same machinery as data protection: someone has to receive the incident report, and someone has to be able to say no. The 72-hour clock matches the GDPR deadline for notifying the supervisory authority, so on paper Indonesia is at the European standard. But a deadline only matters if there is an authority at the other end, and in the August and September 2026 reports I found there is none. That makes 16 January 2027 the date to watch. I have only read legal summaries so far, not the regulation text, so I will read the primary text before treating the details as final.
04Sumber
- Summary of Government Regulation 33/2026 under the personal data protection lawNusantara DFDL, Bahasa Inggris · Salinan arsip 2026-10-03
- On the missing data protection authority and the court petition for a deadlineHLC, Bahasa Inggris · Salinan arsip 2026-08-31
Menemukan kesalahan? Laporkan lewat GitHub dengan menyertakan sumbernya, dan saya akan memperbaikinya secara terbuka.
Laporkan kesalahan