UU PDP untuk UMKM 2026: Kewajiban Basic + Cara Comply Tanpa Lawyer

UU 27/2022 tentang Pelindungan Data Pribadi (PDP) berlaku penuh sejak 17 Oktober 2024, setelah masa transisi 2 tahun sejak diundangkan 17 Oktober 2022. Artinya seluruh kewajiban, termasuk sanksi administratif dan pidana, sudah bisa diterapkan. Banyak UMKM masih mengabaikan karena dianggap "regulasi korporat" - padahal aturannya berlaku universal, yang proporsional hanya sanksinya.

Belum familiar dengan istilah legal lain yang muncul di sini? Lihat kamus istilah bisnis UMKM untuk arti singkat NIB, PKWT, merek dagang, dan puluhan istilah lain.

Apa yang berubah dengan UU PDP?

Sebelum UU PDP, perlindungan data pribadi tersebar di banyak peraturan (UU ITE, PP 71/2019, sectoral). Sekarang dikodifikasi jadi satu UU dengan:

• Definisi jelas data pribadi (umum vs spesifik/sensitif)
• Hak subjek data eksplisit (akses, koreksi, hapus, portabilitas, tarik persetujuan, keberatan atas keputusan otomatis)
• Kewajiban pengendali/pemroses data yang rinci
• Sanksi administratif dan pidana
• Lembaga Pelindungan Data Pribadi yang diamanatkan lewat Peraturan Presiden - per pertengahan 2026 belum resmi berdiri, jadi pengawasan sementara masih dijalankan Komdigi. Verifikasi status terkini ke sumber resmi karena kelembagaannya bisa berubah.

UMKM yang mengumpulkan dan memproses data pribadi orang lain berstatus pengendali data - tanggung jawabnya langsung, tidak bisa dilempar ke pihak lain.

Data pribadi yang dilindungi

UU PDP (Pasal 4) membagi data pribadi jadi dua: data umum dan data yang bersifat spesifik (istilah undang-undang untuk yang biasa disebut "sensitif").

Umum (dasar hukum standar cukup):

• Nama lengkap
• Email
• Nomor telepon
• Alamat
• Jenis kelamin
• Kewarganegaraan
• Agama
• Status perkawinan
• Foto (kalau identifiable)

Spesifik/sensitif (pengamanan lebih ketat):

• Data dan informasi kesehatan
• Data keuangan pribadi (saldo, riwayat transaksi)
• Data biometrik (sidik jari, face ID)
• Data genetik
• Data anak
• Catatan kejahatan (data kriminal)

Perhatikan satu hal yang sering keliru: di UU PDP, agama masuk kategori data umum, bukan spesifik. Ini beda dari GDPR Eropa yang menggolongkan keyakinan agama dan pandangan politik sebagai data sensitif. Kalau kamu menyalin privacy policy gaya Eropa mentah-mentah, klasifikasinya bisa tidak match aturan Indonesia. Untuk data anak, batasannya mengikuti definisi anak di peraturan perundang-undangan (umumnya di bawah 18 tahun) dan pemrosesannya butuh persetujuan orang tua/wali.

Enam dasar hukum pemrosesan (kamu tidak selalu butuh consent)

Salah kaprah paling umum: mengira setiap pemakaian data wajib minta persetujuan. UU PDP (Pasal 20) mengakui enam dasar hukum pemrosesan yang sah, dan persetujuan hanya salah satunya:

1. Persetujuan subjek data untuk satu atau beberapa tujuan tertentu.
2. Pemenuhan kewajiban perjanjian, termasuk permintaan pra-perjanjian (mengirim pesanan, kirim invoice ke pembeli).
3. Pemenuhan kewajiban hukum pengendali - misalnya menyimpan catatan transaksi dan data pembeli untuk keperluan perpajakan; tenggat pelaporan terkait bisa dilihat di kalender pajak UMKM.
4. Pelindungan kepentingan vital subjek data.
5. Pelaksanaan tugas untuk kepentingan umum atau kewenangan pengendali.
6. Kepentingan sah lainnya (legitimate interest), dengan memperhatikan hak subjek data.

Implikasi praktisnya untuk UMKM: mengirim barang ke pembeli tidak butuh centang consent terpisah - dasarnya pelaksanaan perjanjian. Yang wajib consent eksplisit adalah hal non-esensial: newsletter, iklan/marketing, dan pemrosesan data spesifik. Jangan sampai membanjiri pelanggan dengan permintaan centang untuk hal yang sudah tercakup dalam transaksi.

UMKM scenario common: wajib comply atau tidak?

Warung kopi yang collect email customer untuk newsletter: WAJIB. Customer database = data pribadi.

UMKM yang hanya jualan di Tokopedia/Shopee: Marketplace handle compliance untuk customer mereka. Tapi UMKM tetap wajib untuk data karyawan + supplier.

Personal trainer / freelancer dengan client list di WhatsApp: WAJIB. Bahkan list 50 nomor WA = data pribadi yang harus dilindungi.

Konveksi dengan database supplier + employee: WAJIB. Data employee termasuk data pribadi. Lihat juga CRM sederhana untuk bisnis kecil untuk simpan customer data dengan akses control proper.

Daycare dengan database anak (medical history, foto): WAJIB + data sensitif (anak). Compliance lebih ketat.

Untuk platform digital (website, aplikasi), UU PDP biasanya berbarengan dengan kewajiban PSE Kominfo. Compliance kedua-duanya sebaiknya dilakukan paralel.

Checklist compliance minimum untuk UMKM kecil

1. Privacy Policy publish + akurat

Wajib publish (website, atau setidaknya bisa diminta customer). Konten minimum:

• Identitas pengontrol data (nama UMKM, kontak)
• Jenis data yang dikumpulkan
• Tujuan pemrosesan
• Dasar hukum (consent, kontrak, kewajiban hukum)
• Pihak ketiga yang menerima data
• Retensi data
• Hak subjek data
• Cara hubungi PIC privacy

2. Mekanisme consent

Untuk data marketing/non-essential:

• Checkbox opt-in (default unchecked)
• Pisahkan consent: "Saya setuju S&K" vs "Saya mau terima newsletter"
• Log: kapan consent, oleh siapa, versi policy mana

3. Inventarisasi data (data mapping)

Catat di spreadsheet:

• Jenis data: nama, email, alamat, dll
• Sumber: dari form, dari purchase, dari sosmed
• Lokasi simpan: Google Sheet, MailerLite, CRM, dll
• Siapa yang akses: owner, staff X, admin Y
• Retensi: berapa lama disimpan

4. Security minimum

• Password manager (1Password, Bitwarden)
• 2FA semua akun penting
• Encryption untuk file sensitif (Veracrypt, atau native OS)
• Backup terpisah (Google Drive personal terpisah dari workspace)
• Akses minimum principle (staff hanya bisa akses data yang dibutuhkan)

5. SOP data subject request

Satu hal yang sering salah kaprah: tenggat menanggapinya jauh lebih ketat dari GDPR Eropa. Template asing kerap menyebut "30 hari" - itu standar Eropa, bukan Indonesia. Di UU PDP tenggatnya 3x24 jam, jadi improvisasi saat permintaan pertama masuk hampir pasti telat.

Customer minta:

• Akses datanya - wajib diberikan paling lambat 3x24 jam sejak permintaan (Pasal 32)
• Koreksi data salah - perbarui atau perbaiki paling lambat 3x24 jam (Pasal 30)
• Hapus data - verify identitas, hapus dari semua sistem saat data tak lagi diperlukan atau persetujuan ditarik
• Export/portability - export ke format yang readable (CSV biasanya)

Karena tenggatnya pendek, siapkan template balasan dan alur verifikasi identitas sejak awal - bukan didadak saat ada permintaan.

6. SOP data breach

Kalau ada kegagalan pelindungan data (Pasal 46 UU PDP):

• Paling lambat 3x24 jam (72 jam): beri pemberitahuan tertulis ke subjek data yang terdampak dan ke otoritas (saat ini Komdigi, sampai Lembaga PDP resmi berdiri)
• Isi minimal: data apa yang terpapar, kapan dan bagaimana, upaya penanganan
• Dokumentasi: timeline, scope, mitigasi, pelajaran

Common mistake UMKM dengan UU PDP

1. Copy privacy policy tanpa baca - banyak menyebut GDPR, jenis data yang tidak relevan, retensi yang tidak praktis.

2. Default opt-in untuk marketing - wajib opt-in eksplisit, bukan opt-out.

3. Simpan password customer plain text - pelanggaran serius. Wajib hashing (bcrypt minimum) di sistem custom.

4. Share data ke partner tanpa consent - affiliate program, exchange data dengan vendor lain, dll wajib disclosed di privacy policy.

5. Tidak ada SOP saat ada complaint - customer komplain "saya tidak setuju datanya dipakai", staff bingung. Set SOP simple: forward ke owner, respond 7 hari. Kalau keluhan soal privasi sampai jadi review publik yang buruk, cara meredamnya beda dari komplain biasa - lihat cara kelola review negatif.

6. Pakai foto customer di marketing tanpa consent - wajib consent terpisah untuk usage marketing. Ini juga bersinggungan dengan kewajiban jujur ke konsumen; baca UU Perlindungan Konsumen untuk UMKM.

Cost compliance realistic untuk UMKM kecil

Bukan ribuan dolar. Perkiraan kasar biaya compliance minimum untuk UMKM kecil (harga tools berubah - cek langsung ke penyedia):

Item	Perkiraan biaya
Privacy policy custom (DIY dengan template)	Rp 0-500rb
Password manager (paket dasar berbayar)	sekitar Rp 40-60rb/bulan
2FA enable semua akun	Rp 0
Backup terpisah (Google Drive personal)	sekitar Rp 30rb/bulan
Konsultasi awal pengacara (opsional)	Rp 1,5-3jt
Total bulan pertama	Rp 2-4jt

Biaya rutin setelah setup awal: kira-kira Rp 100-200rb/bulan.

Kapan butuh DPO (Data Protection Officer)?

UU PDP (Pasal 53) mewajibkan penunjukan pejabat/petugas pelindungan data pribadi dalam kondisi berikut:

• Pemrosesan untuk kepentingan pelayanan publik
• Kegiatan inti pengendali butuh pemantauan teratur dan sistematis atas data pribadi dalam skala besar
• Kegiatan inti berupa pemrosesan data spesifik atau data terkait tindak pidana dalam skala besar

Ada pembaruan penting yang belum tercermin di banyak artikel lama. Lewat Putusan Nomor 151/PUU-XXII/2024 (dibacakan 30 Juli 2025), Mahkamah Konstitusi menegaskan kondisi-kondisi itu harus dibaca "dan/atau", bukan kumulatif. Artinya cukup satu kondisi terpenuhi untuk memicu kewajiban menunjuk DPO - cakupannya jadi lebih luas, terutama untuk e-commerce, fintech, dan layanan kesehatan swasta. Untuk teks putusan dan implikasinya, verifikasi ke sumber resmi (mkri.id).

Perhatikan: undang-undang tidak mematok angka pasti untuk "skala besar" - jadi hati-hati dengan artikel yang menyebut ambang jumlah customer tertentu. UMKM standar biasanya tetap tidak wajib DPO, karena tiap kondisi sama-sama mensyaratkan pelayanan publik atau skala besar - hal yang jarang dipenuhi usaha kecil, dan owner bisa merangkap sebagai PIC privacy. Tapi kalau bisnismu tumbuh ke pemrosesan data pelanggan skala besar atau banyak data spesifik (mis. klinik, layanan keuangan), penunjukan DPO bisa berubah jadi wajib - pertimbangkan menunjuk atau meng-outsource fungsi ini.

Langkah praktis 14 hari ke depan

Hari 1-3: Data mapping. List semua data yang UMKM kamu pegang.

Hari 4-7: Tulis/edit privacy policy sesuai praktik aktual. Publish di website.

Hari 8-10: Setup mekanisme consent di semua form. 2FA semua akun.

Hari 11-12: Tulis SOP data subject request + breach response (1 halaman cukup).

Hari 13-14: Brief tim (kalau ada) tentang UU PDP. Sebar SOP.

Compliance UU PDP bukan ribet kalau bisnismu skala kecil. Yang berat hanya kalau scale besar dengan banyak data spesifik. Untuk UMKM standar, 2 minggu effort awal plus 1 jam review per kuartal sudah cukup.

Hubungan dengan regulasi lain

UU PDP jarang berdiri sendiri. Kalau kamu punya platform digital (website transaksi, aplikasi), kewajiban ini biasanya berjalan paralel dengan pendaftaran PSE ke Komdigi - saat daftar PSE kamu wajib melampirkan kebijakan privasi, jadi keduanya sebaiknya disiapkan sekaligus. Untuk sisi hubungan dengan pembeli, UU Perlindungan Konsumen untuk UMKM mengatur kewajiban jujur dan transparan yang saling menyangga dengan prinsip PDP. Dan untuk menyimpan data pelanggan dengan kontrol akses yang rapi, pertimbangkan CRM sederhana untuk bisnis kecil.

Disclaimer. Artikel ini panduan umum, bukan nasihat hukum. UU PDP, aturan turunannya, dan kelembagaan pengawasnya masih berkembang - klasifikasi tiap usaha bisa berbeda. Sebelum mengambil keputusan penting, verifikasi ke sumber resmi (peraturan.bpk.go.id, jdih.komdigi.go.id, komdigi.go.id) atau konsultan hukum.

Baca juga: PSE Kominfo untuk UMKM - UU Perlindungan Konsumen untuk UMKM - Kamus Istilah Bisnis UMKM