Privacy Management
Merger, Akuisisi, dan Peleburan dalam UU PDP: Kewajiban Pengendali Lama dan Baru Menurut PP 33/2026
Social Media
Setiap aksi korporasi seperti merger, akuisisi, atau peleburan hampir selalu melibatkan pengalihan data pribadi pelanggan, karyawan, hingga mitra usaha. Undang-Undang Pelindungan Data Pribadi (UU PDP) mewajibkan perusahaan yang melakukan aksi korporasi untuk memberi tahu subjek data tentang pengalihan tersebut, baik sebelum maupun sesudah transaksi berlaku secara hukum.
Peraturan Pemerintah (PP) Nomor 33 Tahun 2026, yang berlaku mulai 16 Januari 2027, merinci tata cara pelaksanaannya secara menyeluruh. Sebelum data dialihkan, perusahaan wajib menilai hak dan kewajiban yang masih melekat, memperbarui penilaian dampak bila diperlukan, dan menyusun perjanjian pelindungan data antara pengendali lama dan baru. Selama masa transisi, keduanya berstatus sebagai pengendali data pribadi bersama (joint data controller).
Artikel ini membahas kewajiban regulasi tersebut secara terperinci, mengeksplorasi poin krusial dalam due diligence, serta menyajikan checklist kepatuhan untuk setiap fase transaksi.
Dasar Hukum: Pasal 48 UU PDP dan Pasal 131-134 PP 33/2026
Penjelasan Pasal 48 ayat (1) UU PDP memberikan kelonggaran: pemberitahuan dapat disampaikan langsung kepada subjek data atau secara umum melalui media massa (elektronik/nonelektronik). Bagi korporasi besar, opsi media massa membuat kewajiban ini lebih realistis.
Kewajiban Pasal 48 UU PDP sudah berlaku sejak Oktober 2024, sedangkan PP 33/2026 rincinya berlaku 16 Januari 2027. Panduan kewajiban UU PDP secara umum dibahas dalam panduan pelaksanaan UU PDP berdasarkan PP 33/2026.
Aksi Korporasi yang Terkena Kewajiban
UU PDP dan PP 33/2026 menyebutkan lima jenis aksi korporasi yang terikat aturan ini:
- Penggabungan (Merger): Satu atau lebih badan hukum bergabung ke badan hukum lain yang sudah ada.
- Peleburan (Konsolidasi): Dua atau lebih badan hukum melebur membentuk badan hukum baru.
- Pemisahan (Spinoff): Sebagian atau seluruh usaha dipisahkan ke badan hukum lain.
- Pengambilalihan (Akuisisi): Pihak lain mengambil alih kendali atas badan hukum.
- Pembubaran (Likuidasi): Eksistensi badan hukum berakhir secara resmi.
Kewajiban ini berlaku bagi pengendali berbentuk badan hukum. Untuk empat aksi korporasi pertama, PP 33/2026 mewajibkan perjanjian pelindungan data antara pengendali lama dan baru. Untuk pembubaran, berlaku ketentuan tersendiri.
Bagaimana dengan Akuisisi Saham?
PP 33/2026 tidak memuat pengaturan khusus untuk pengambilalihan melalui pembelian saham, memunculkan 2 tafsiran di kalangan hukum:
- Tetap Wajib Pemberitahuan: Pasal 48 UU PDP dan Pasal 133 PP 33/2026 menyebut "pengambilalihan" secara umum tanpa membedakan skema transaksi.
- Tidak Ada Pengalihan Data: Entitas pemroses data tidak berganti, sehingga secara konseptual data tidak berpindah dari pengendali lama ke pengendali baru.
Pendekatan aman adalah tetap menyiapkan pemberitahuan dan menilai dampaknya, terutama jika pemilik baru berencana mengintegrasikan data ke grup usahanya.
Status Pengendali Bersama Selama Transisi
Pasal 131 ayat (6) PP 33/2026 menetapkan bahwa hubungan hukum antara pengendali lama dan baru merupakan pengendali data pribadi bersama (joint data controller) selama masa transisi hingga transaksi tuntas.
Implikasi Hukum Status Pengendali Bersama:
- Tanggung Jawab Tanggung Renteng: Kedua pihak bertanggung jawab bersama secara hukum atas pelanggaran atau insiden kebocoran data di masa transisi.
- Syarat Perjanjian: Memuat peran, tanggung jawab, tujuan dan cara pemrosesan bersama, serta narahubung resmi.
- Pembagian Peran: Pengendali lama berperan dari pemberitahuan awal hingga transaksi berlaku; pengendali baru berperan setelah pemberitahuan penerimaan data.
Bagi pembeli, kondisi pelindungan data target wajib diperiksa sejak tahap due diligence, bukan ditunda sampai setelah closing.
Sebelum Data Dialihkan: Penilaian, DPIA, dan Rencana Teknis
Pasal 131 PP 33/2026 menetapkan tiga langkah operasional pra-pengalihan:
- Menilai Hak dan Kewajiban Melekat: Memastikan permohonan hak subjek data (akses, pembaruan, penghapusan) serta masa simpan data tetap dipenuhi.
- Memperbarui DPIA: Wajib bagi pemrosesan berisiko tinggi (Pasal 120 PP 33/2026), khususnya aksi penggabungan sekelompok data pelanggan dari dua entitas.
- Menyusun Rencana Teknis: Menyusun skema teknis pengalihan data, jadwal migrasi, metode pengamanan, dan penanggung jawab operasional.
Pemberitahuan kepada Subjek Data: Sebelum dan Sesudah Transaksi
Pasal 133 PP 33/2026 mewajibkan pemberitahuan ganda: pengendali lama memberi tahu sebelum pengalihan, dan pengendali baru memberi tahu setelah menerima data.
Catatan Kepatuhan Pemberitahuan:
- Terikat Tujuan Awal: Pengendali baru tidak boleh langsung menggunakan data akuisisi untuk tujuan baru (seperti pemasaran silang) tanpa dasar pemrosesan sah.
- Hak Subjek Data Menolak: Perusahaan wajib menyediakan kanal dan prosedur bagi subjek data yang menolak pengalihan datanya.
- Tenggat Keberatan: Pengendali baru wajib mencantumkan jangka waktu yang wajar bagi subjek data untuk mengajukan keberatan.
Perjanjian Pelindungan Data dan Due Diligence
Pasal 134 PP 33/2026 mewajibkan Perjanjian Pelindungan Data antara pengendali lama dan baru dengan 4 muatan minimum: dasar pemrosesan, prinsip PDP, hak subjek data, dan pembagian tanggung jawab. Klausul ini dapat disatukan ke dalam dokumen transaksi utama (SPA/APA).
Pengamanan saat Due Diligence:
Pengendali lama wajib menyampaikan syarat pelindungan data kepada pihak ketiga (Pasal 133 ayat 6):
- Batasi data dengan anonimisasi atau agregasi.
- Atur hak akses Virtual Data Room (VDR) dan simpan access log.
- Tuangkan ketentuan PDP dalam Perjanjian Kerahasiaan (NDA).
- Wajibkan pengembalian atau pemusnahan data jika transaksi batal.
Pembubaran Badan Hukum
Jika badan hukum dibubarkan, penanganan data pribadi wajib mengikuti Pasal 48 ayat (3-4) UU PDP dan Pasal 132 PP 33/2026. Perusahaan wajib memberitahukan tindakan penyimpanan, pengalihan, atau pemusnahan data kepada subjek data, serta menentukan entitas yang menyimpan data yang masih wajib disimpan secara hukum.
Pasca-Closing: Integrasi Data dan Migrasi Sistem
Fase integrasi merupakan tahap paling rawan insiden kebocoran data. Langkah penyesuaian meliputi:
- Konsolidasi Rekaman Kegiatan Pemrosesan (RoPA) sesuai Pasal 31 UU PDP.
- Tinjauan kewajiban Pejabat Pelindungan Data (DPO) melalui panduan pelaksanaan UU PDP.
- Pembaruan kebijakan privasi serta tinjauan ulang kontrak vendor dan prosesor data.
- Penyelarasan masa simpan data serta dokumentasi pemusnahan data lama.
Proses migrasi IT rentan terhadap celah keamanan cyber. Jika terjadi kebocoran, pemberitahuan tertulis paling lambat 3 × 24 jam tetap berlaku (Pasal 46 UU PDP). Melakukan vulnerability assessment sebelum dan sesudah migrasi, serta memastikan kontrol sistem manajemen keamanan informasi mencakup lingkungan baru, membantu menekan risiko tersebut.
Checklist Pelindungan Data per Fase Transaksi
Checklist berikut merangkum kewajiban dan praktik baik di setiap fase. Kolom dasar menunjukkan mana yang berasal dari regulasi dan mana yang merupakan praktik.
Kesimpulan
UU PDP dan PP 33/2026 menuntut pendekatan terencana dalam setiap aksi korporasi. Status sebagai pengendali bersama selama transisi menegaskan bahwa risiko kepatuhan target menjadi perhatian utama pembeli sejak due diligence.
Mitra Berdaya Optima dapat membantu memetakan data pribadi yang terlibat dalam transaksi, menilai risikonya, dan menyiapkan dokumentasi pendukungnya, termasuk kesiapan kontrol keamanan informasi untuk fase integrasi. Pendampingan ini melengkapi, bukan menggantikan, nasihat hukum dari penasihat transaksi Anda. Hubungi tim MBO atau pelajari layanan IT Assessment kami.
Latest News & Information
