Aturan Baru PP PDP Perketat Persetujuan Konsumen, Perusahaan Wajib Transparan Kelola Data

Jakarta – Pemerintah menerbitkan Peraturan Pemerintah (PP) Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Beleid ini memperketat tata cara perusahaan memperoleh dan menggunakan persetujuan konsumen dalam pemrosesan data pribadi.

Salah satu ketentuan penting terdapat dalam Pasal 30 ayat (1), yang mewajibkan pengendali data pribadi memiliki dasar pemrosesan data pribadi sebelum melakukan pemrosesan. Salah satu dasar tersebut adalah persetujuan yang sah secara eksplisit dari subjek data pribadi untuk satu atau beberapa tujuan tertentu.

Ketentuan mengenai persetujuan tersebut diperinci dalam Pasal 32 ayat (2). Persetujuan yang sah secara eksplisit harus diperoleh secara bebas, sadar, spesifik, dan tidak ambigu.

Pemerintah juga memberikan penjelasan mengenai larangan persetujuan yang ambigu. Salah satu contohnya adalah ketika persetujuan pemrosesan data pribadi digabungkan dengan persetujuan terhadap syarat dan ketentuan (terms and conditions), sehingga konsumen dianggap menyetujui pemrosesan data hanya karena membaca syarat dan ketentuan.

“Yang dimaksud dengan ‘ambigu’ misalnya pemberian persetujuan pemrosesan data pribadi digabungkan dengan pemberian persetujuan terhadap syarat dan ketentuan sehingga subjek data pribadi dianggap telah memberikan persetujuan atas pemrosesan data pribadi hanya dengan membaca syarat dan ketentuan,” demikian penjelasan PP tersebut, dikutip pada Sabtu (29/8/2026).

Wajib Beri Informasi Sebelum Minta Persetujuan

PP 33/2026 juga mengatur kewajiban perusahaan dalam memberikan informasi kepada konsumen sebelum memperoleh persetujuan pemrosesan data pribadi.

Pasal 33 ayat (1) menyebutkan pengendali data pribadi wajib menyampaikan informasi apabila pemrosesan data pribadi dilakukan berdasarkan persetujuan yang sah secara eksplisit.

Informasi tersebut wajib diberikan sebelum persetujuan diperoleh. Selain itu, berdasarkan Pasal 33 ayat (3), informasi yang diberikan harus disampaikan secara ringkas, tepat, dan sesuai dengan kegiatan pemrosesan data pribadi yang dilakukan.

Perusahaan juga diwajibkan menyediakan mekanisme untuk memperoleh persetujuan konsumen. Berdasarkan Pasal 34 ayat (1) dan ayat (2), mekanisme tersebut dapat disediakan secara elektronik maupun nonelektronik.

Mekanisme perolehan persetujuan tersebut juga harus terhubung dengan informasi mengenai pemrosesan data pribadi. Dengan demikian, konsumen memiliki informasi yang memadai sebelum memutuskan memberikan persetujuan.

Tak hanya itu, perusahaan wajib memiliki bukti atas persetujuan yang telah diberikan konsumen. Pasal 36 ayat (1) mewajibkan pengendali data pribadi menunjukkan bukti persetujuan yang diberikan oleh subjek data pribadi.

Kewajiban tersebut merupakan bagian dari prinsip akuntabilitas dalam pemrosesan data pribadi sebagaimana diatur dalam Pasal 36 ayat (2).

Konsumen Tak Setuju, Layanan Tak Boleh Sembarangan Dikurangi

Beleid tersebut juga mengatur konsekuensi ketika konsumen tidak memberikan persetujuan pemrosesan data pribadi.

Pasal 35 ayat (1) mengharuskan pengendali data pribadi tetap menyediakan barang, jasa, atau layanan dan tidak mengurangi kualitasnya apabila subjek data pribadi tidak memberikan persetujuan.

Namun, ketentuan tersebut memiliki pengecualian apabila penyediaan barang, jasa, atau layanan memang memerlukan pemrosesan data pribadi.

Aturan yang lebih spesifik berlaku ketika pemrosesan data pribadi digunakan untuk kepentingan penawaran barang dan/atau jasa. Dalam kondisi tersebut, informasi mengenai pihak ketiga yang akan menerima data pribadi harus dijelaskan kepada konsumen.

Perusahaan juga wajib menjelaskan bentuk penawaran yang diberikan, mekanisme pencabutan persetujuan, serta mekanisme pelaporan apabila penawaran masih berlangsung setelah konsumen mencabut persetujuannya.

PP tersebut secara tegas melarang perusahaan meminta persetujuan dengan cara yang dapat menipu atau menyesatkan konsumen.

“Pengendali data pribadi tidak boleh meminta persetujuan subjek data pribadi dengan cara yang menipu dan/atau menyesatkan subjek data pribadi,” demikian ketentuan Pasal 35 ayat (3).

Persetujuan Dicabut, Pemrosesan Wajib Dihentikan

Hak konsumen tidak berhenti setelah memberikan persetujuan. PP 33/2026 juga mengatur mekanisme ketika subjek data pribadi menarik kembali persetujuannya.

Pasal 92 ayat (1) mewajibkan pengendali data pribadi menghentikan pemrosesan data apabila subjek data pribadi menarik kembali persetujuan.

Penghentian pemrosesan tersebut harus dilakukan paling lambat 3 x 24 jam sejak permintaan penarikan persetujuan diterima. Ketentuan ini berlaku setelah permintaan penarikan persetujuan diverifikasi sesuai mekanisme yang diatur dalam Pasal 92 ayat (2) dan ayat (3).

Setelah pemrosesan dihentikan, perusahaan juga wajib memberitahukan kepada subjek data pribadi bahwa penghentian pemrosesan telah dilaksanakan.

“Pengendali data pribadi harus memberitahukan penghentian pemrosesan data pribadi telah dilaksanakan kepada subjek data pribadi,” demikian bunyi Pasal 92 ayat (4).

Dengan aturan tersebut, perusahaan perlu menyesuaikan mekanisme persetujuan, pemberian informasi, pencatatan bukti persetujuan, hingga sistem untuk menangani pencabutan persetujuan konsumen.

Bagi pelaku usaha, ketentuan ini membuat pengelolaan data pribadi tidak lagi sekadar persoalan administratif, tetapi menjadi bagian penting dari tata kelola bisnis dan kepatuhan perusahaan terhadap regulasi pelindungan data pribadi.