PP 33/2026 Berlaku Januari 2027 Perhatikan Daftar Dokumen HR yang Wajib Ditinjau Ulang

Undang-undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) telah memberikan masa penyesuaian selama 2 athun yang berakhir pada Oktobe 2024. Kini, pemerintah mempertegas dengan menerbitkan Peraturan Pemerintah (PP) Nomor 33 Tahun 2026 sebagai peraturan pelaksanaannya.

Aturan operasional ini akan berlaku penuh pada Januari 2027. Bagi divisi Sumber Daya Manusia (HR), ini adalah sinyal urgensi. PP 33/2026 bukan sekadar wacana, melainkan standar teknis yang menyentuh langsung dokumen-dokumen kepegawaian yang selama ini Anda simpan.

Lantas, dokumen HR apa saja yang perlu ditinjau kembali sebelum tenggat tersebut tiba?

Baca juga: Kewajiban Pengendali dan Prosesor Data Pribadi Sesuai UU PDP: Apakah Bisnis Anda Sudah Siap?

Data HR adalah Aset Paling Sensitif di Perusahaan

Perlindungan data pribadi sering kali dianggap sebagai urusan tim IT atau hukum. Padahal, jika dipetakan sepanjang siklus kerja, divisi HR memegang himpunan data pribadi terlengkap dan sering kali paling sensitif di perusahaan.

Perjalanannya dimulai dari berkas lamaran (CV dan KTP), data rekening bank untuk penggajian, kepesertaan BPJS, evaluasi kinerja, hingga rekaman CCTV di area kantor. Sebagian data ini, seperti riwayat kesehatan dan data biometrik, dikategorikan sebagai Data Pribadi Spesifik dalam UU PDP. Data jenis ini menuntut perlindungan tingkat tinggi dan tidak boleh disimpan sembarangan bersama berkas umum.

Mengapa "Persetujuan Karyawan" Saja Kini Tidak Cukup?

Banyak perusahaan merasa aman hanya karena sudah mencantumkan klausul persetujuan di Perjanjian Kerja (PK) atau formulir rekrutmen. Namun, di bawah kacamata UU PDP dan PP 33/2026, anggapan ini keliru.

Persetujuan yang sah harus diberikan secara bebas, sadar, dan spesifik. Dalam hubungan kerja, terdapat ketimpangan posisi tawar. Apakah seorang pelamar atau karyawan benar-benar "bebas" menolak memberikan datanya jika hal itu memengaruhi kelanjutan karier mereka?

Karena itu, HR tidak boleh hanya menyandarkan seluruh aktivitas pemrosesan data pada satu tanda tangan di awal kerja. Anda perlu menetapkan dasar pemrosesan lain yang lebih sesuai, seperti pemenuhan kewajiban kontrak atau kewajiban hukum (misalnya pelaporan pajak dan BPJS). Pembahasan lebih rinci mengenai pilihan dasar pemrosesan dapat dibaca pada artikel 6 Dasar Pemrosesan Data Pribadi Pasal 20 UU PDP.

2 Ketentuan Baru yang Langsung Menyentuh Praktik HR

1. Dasar Pemrosesan Harus Ditetapkan di Awal

PP 33/2026 menutup celah bagi organisasi yang hobi mengumpulkan data terlebih dahulu, lalu mencari alasannya belakangan. Setiap titik pengumpulan data mulai dari sistem absensi sidik jari hingga kamera pengawas wajib memiliki dasar pemrosesan yang jelas sebelum aktivitas dimulai.

2. Larangan Mengalihkan Tanggung Jawab

Pengendali data dilarang mencantumkan klausul yang secara sepihak mengalihkan tanggung jawab perlindungan data kepada karyawan. Kalimat dalam dokumen HR yang menggeser risiko jika terjadi kebocoran data kini tidak lagi memiliki kekuatan hukum dan justru akan menjadi temuan audit kepatuhan.

Dokumen dan Praktik HR yang Perlu Ditinjau

Untuk memastikan kepatuhan pada Januari 2027, mulailah dengan meninjau enam dokumen berikut:

• Formulir Rekrutmen: Batasi data yang diminta hanya pada hal yang relevan dengan posisi jabatan.
• Perjanjian Kerja (PK): Perbarui klausul perlindungan data pribadi dan sesuaikan dasar pemrosesannya.
• Peraturan Perusahaan (PP) atau Perjanjian Kerja Bersama (PKB): Masukkan bab khusus mengenai tata kelola privasi data karyawan.
• SOP Pengelolaan Data Kepegawaian: Atur siapa yang boleh mengakses data medis atau data spesifik lainnya.
• Formulir Keluar (Exit Form): Tentukan mekanisme penghapusan atau anonimisasi data karyawan yang sudah resign.
• Perjanjian dengan Vendor HRIS/Payroll: Tanggung jawab hukum tetap melekat pada perusahaan Anda, meskipun kebocoran terjadi di sistem pihak ketiga.

Butir terakhir perlu mendapat perhatian khusus. Menunjuk pihak ketiga untuk memproses data pekerja tidak memindahkan tanggung jawab perusahaan sebagai pengendali data. Apabila terjadi kebocoran di sistem penyedia HRIS, kewajiban hukum tetap melekat pada perusahaan.

Urgensi Notifikasi 3x24 Jam

Salah satu poin paling menantang dalam PP 33/2026 adalah tenggat waktu laporan kegagalan data. Jika terjadi kebocoran, perusahaan wajib mengirimkan notifikasi tertulis kepada subjek data dan lembaga pengawas dalam waktu maksimal 3x24 jam.

Tenggat ini sangat sempit. Tanpa pencatatan aktivitas pemrosesan yang rapi, Anda tidak akan mampu menyusun kronologi kejadian dan mengidentifikasi jenis data yang bocor dalam waktu tiga hari. Kesiapan dokumentasi adalah kunci untuk menghindari sanksi administratif hingga 2% dari pendapatan tahunan.

Solusi Berkelanjutan: Dari Proyek Menjadi Sistem (ISO 27701)

Meninjau dokumen menjelang tenggat Januari 2027 hanyalah solusi jangka pendek. Perusahaan membutuhkan sistem yang terus beradaptasi seiring pergantian personel dan teknologi.

ISO/IEC 27701 menyediakan kerangka kerja Sistem Manajemen Informasi Pribadi (PIMS) yang menjaga kepatuhan Anda tetap berjalan. Standar ini mengatur pencatatan pemrosesan, tinjauan berkala, dan mekanisme perbaikan berkelanjutan. Dengan ISO 27701, perlindungan data pribadi bukan lagi menjadi beban tahunan, melainkan budaya kerja yang terintegrasi.

Tinjau Kesiapan Anda Sekarang

Temuan pelanggaran data pribadi sering kali bukan disebabkan oleh masalah teknologi yang rumit, melainkan kelalaian dalam tata kelola dokumen. Yang tersulit bukanlah memperbaiki sistem, melainkan menemukan celah tersebut sebelum otoritas pengawas menemukannya.

Mitra Berdaya Optima siap mendampingi perusahaan Anda menavigasi kepatuhan UU PDP dan PP 33/2026. Kami dengan senang hati membantu Anda dalam pemetaan aktivitas pemrosesan, audit dokumen HR, hingga penerapan standar internasional ISO/IEC 27701.