PP PDP 33/2026: Hak Keberatan Subjek Data Pribadi atas Keputusan Berbasis Pemrosesan Otomatis, Apa yang Perlu Dipersiapkan Pengendali Data Pribadi?
Author(s)
A. Pendahuluan
Pada 16 Juli 2026, Pemerintah mengundangkan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“PP PDP 33/2026”). PP PDP 33/2026 hadir sebagai langkah penting untuk memberikan kerangka pengaturan teknis atas sejumlah ketentuan dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”) yang sebelumnya masih bersifat prinsipil.
Pengendali Data Pribadi (termasuk perusahaan) wajib melakukan penyesuaian kebijakan pelindungan data pribadi berdasarkan PP PDP 33/2026, baik terkait proses, sistem, maupun tata kelola pelindungan data pribadi.
PP PDP 33/2026 mulai berlaku 6 (enam) bulan sejak tanggal diundangkan, yaitu pada 16 Januari 2027. Jangka waktu tersebut memberikan kesempatan bagi Pengendali Data Pribadi untuk melakukan penyesuaian terhadap kebijakan pelindungan data pribadi yang berlaku di lingkungan operasionalnya.
Salah satu aspek yang patut mendapat perhatian adalah pengaturan mengenai hak Subjek Data Pribadi untuk mengajukan keberatan atas keputusan Pengendali Data Pribadi yang dibuat berdasarkan pemrosesan otomatis (automated decision-making) (“Hak Keberatan”). Pengaturan ini menjadi relevan, khususnya bagi Pengendali Data Pribadi yang menggunakan sistem pengambilan keputusan berbasis pemrosesan otomatis dalam operasionalnya, seperti penilaian kelayakan, profiling, fraud detection, credit scoring, atau proses pengambilan keputusan lain yang menggunakan algoritma.
Artikel ini akan berfokus pada pembahasan mengenai Hak Keberatan, termasuk mekanisme pengajuan keberatan oleh Subjek Data Pribadi dan kewajiban hukum yang timbul bagi Pengendali Data Pribadi sehubungan dengan Hak Keberatan.
PP PDP 33/2026 menggeser fokus kepatuhan dari sekadar having a written policy menjadi being able to demonstrate compliance.
B. Hak Keberatan Subjek Data Pribadi atas Keputusan Berbasis Pemrosesan Otomatis
Pasal 93 PP PDP 33/2026 mengatur hak Subjek Data Pribadi untuk mengajukan keberatan atas keputusan yang dibuat oleh Pengendali Data Pribadi berdasarkan pemrosesan otomatis, dan menimbulkan akibat hukum atau berdampak signifikan terhadap Subjek Data Pribadi.
Ketentuan di atas secara tegas telah menentukan kriteria pemrosesan otomatis yang dapat menimbulkan Hak Keberatan bagi Subjek Data Pribadi, yaitu pemrosesan otomatis yang menimbulkan akibat hukum atau berdampak signifikan terhadap Subjek Data Pribadi.
Penjelasan Pasal 93 PP PDP 33/2026 menjelaskan apa yang dimaksud “menimbulkan akibat hukum” dan “berdampak signifikan”.
Keputusan yang menimbulkan akibat hukum, antara lain adalah keputusan yang memengaruhi:
a. Status hukum Subjek Data Pribadi, misalnya kewarganegaraan; dan
b. Penentuan hak atau kewajiban Subjek Data Pribadi, misalnya penghapusan tunjangan sosial
dan pemutusan kontrak.
Sementara yang dimaksud dengan keputusan yang berdampak signifikan adalah keputusan yang berpengaruh besar terhadap kondisi hidup, perilaku, atau pilihan seseorang, seperti penolakan permohonan kredit, penolakan pekerjaan, dan pembentukan harga berbeda berdasarkan data pribadi (differential pricing).
Kewajiban Pengendali Data Pribadi: Memiliki Mekanisme Penanganan Keberatan atas Keputusan Berbasis Pemrosesan Otomatis
Hak Keberatan bagi Subjek Data Pribadi menimbulkan kewajiban hukum bagi Pengendali Data Pribadi untuk memiliki mekanisme penanganan dan pemberian tanggapan atas keberatan terhadap keputusan berbasis pemrosesan otomatis, sebagaimana diatur dalam Pasal 94 ayat (1) PP PDP 33/2026.
Setidaknya, Pengendali Data Pribadi perlu memiliki end-to-end procedure yang mengatur:
a. Pengajuan keberatan, baik secara elektronik maupun non-elektronik;
b. Verifikasi identitas dan kedudukan pemohon keberatan;
c. Penilaian atas substansi keberatan dan keputusan yang dipersoalkan;
d. Keputusan untuk menerima atau menolak keberatan;
e. Tindakan atau alternatif pemrosesan yang harus dilakukan;
f. Eskalasi kepada fungsi terkait apabila diperlukan; dan
g. Dokumentasi seluruh proses sebagai audit trail.
Dengan pendekatan tersebut, Hak Keberatan tidak berhenti sebagai formalitas normatif yang tercantum dalam privacy policy, namun secara nyata menjadi instrumen hak yang dapat digunakan oleh Subjek Data Pribadi.
Verifikasi Menjadi Titik Kontrol Krusial Dalam Pelaksanaan Hak Keberatan
Pengajuan keberatan tidak serta-merta mewajibkan Pengendali Data Pribadi mengubah setiap keputusan berbasis pemrosesan otomatis yang dipersoalkan. Sebelum menentukan tindak lanjut atas keberatan, Pengendali Data Pribadi perlu memastikan bahwa objek keberatan memenuhi kriteria pemrosesan otomatis yang dapat menimbulkan Hak Keberatan bagi Subjek Data Pribadi (sebagaimana ditentukan dalam Pasal 93 PP PDP 33/2026) dan keberatan diajukan oleh pihak yang berhak.
Dengan demikian, verifikasi setidaknya memiliki dua fungsi. Pertama, memastikan legitimasi pihak yang mengajukan keberatan. Kedua, memastikan bahwa keberatan berkaitan dengan keputusan berbasis pemrosesan otomatis yang memenuhi kriteria untuk menimbulkan Hak Keberatan.
Dalam praktik, mekanisme verifikasi perlu dirancang secara proporsional. Pengendali Data Pribadi harus membangun mekanisme verifikasi yang objektif, tanpa menciptakan prosedur yang justru menghambat pelaksanaan Hak Keberatan oleh Subjek Data Pribadi.
Apakah Setiap Keberatan Harus Diterima?
Pasal 95 PP PDP 33/2026 mengatur hak Pengendali Data Pribadi untuk menolak keberatan yang diajukan oleh Subjek Data Pribadi, dalam hal:
a. Tidak terdapat akibat hukum dan/atau dampak signifikan terhadap Subjek Data Pribadi; dan
b. Pengendali Data Pribadi memiliki akurasi sistem yang sangat baik serta sistem mitigasi untuk
menghindari dampak terhadap Subjek Data Pribadi.
Ketentuan tersebut memberikan dasar bagi Pengendali Data Pribadi untuk mempertahankan penggunaan sistem pemrosesan otomatis dalam pengambilan keputusan yang berkaitan dengan data pribadi milik Subjek Data Pribadi, sepanjang pemrosesan otomatis tersebut tidak memenuhi kualifikasi sebagai pemrosesan otomatis yang dapat menimbulkan Hak Keberatan bagi Subjek Data Pribadi, sebagaimana diatur dalam Pasal 93 PP PDP 33/2026.
Selanjutnya, ketentuan mengenai hak penolakan atas keberatan di atas tidak dapat dipahami sebagai pengecualian menyeluruh terhadap Hak Keberatan. Persyaratan berupa “akurasi sistem yang sangat baik” dan keberadaan “sistem mitigasi” mengharuskan Pengendali Data Pribadi memiliki dasar yang objektif untuk menolak keberatan, antara lain melalui pengujian akurasi sistem, pemantauan kinerja sistem, pengendalian kualitas sistem, penetapan threshold atau parameter yang terukur, serta mekanisme untuk mendeteksi dan memperbaiki kesalahan pada sistem. Demikian pula, sistem mitigasi harus didukung oleh kontrol yang diterapkan secara nyata dan efektif untuk mencegah, mendeteksi, dan menangani dampak yang merugikan Subjek Data Pribadi, dan tidak semata-mata didasarkan pada pernyataan dalam kebijakan internal.
Dalam hal keberatan ditolak, Subjek Data Pribadi tetap dapat mempertahankan haknya untuk menarik kembali persetujuan pemrosesan data pribadi yang telah diberikan sebelumnya.
Output Akhir Pelaksanaan Hak Keberatan
Pasal 94 ayat (3) PP PDP 33/2026 menentukan bahwa terhadap keberatan yang telah terverifikasi dan diterima, maka Pengendali Data Pribadi wajib memberikan kepada Subjek Data Pribadi opsi alternatif mekanisme pemrosesan data pribadi, yaitu:
a. Dengan melibatkan manusia dalam sistem pemrosesan otomatis (semi-otomatis); dan/atau
b. Sama sekali tidak menggunakan sistem pemrosesan otomatis (full manual).
Hak Keberatan tidak berhenti sebagai formalitas normatif yang tercantum dalam privacy policy, namun secara nyata menjadi instrumen hak yang dapat digunakan oleh Subjek Data Pribadi.
Kewajiban Pengendali Data Pribadi: Transparansi atas Teknologi Pemrosesan Otomatis
Aspek lain yang perlu diperhatikan sehubungan dengan Hak Keberatan adalah kewajiban Pengendali Data Pribadi untuk memberikan informasi yang memadai mengenai teknologi yang digunakan dalam pengambilan keputusan berbasis pemrosesan otomatis dan konsekuensi yang akan dialami oleh Subjek Data Pribadi, sebagaimana diatur dalam Pasal 94 ayat (2) PP PDP 33/2026.
Ketentuan ini menimbulkan pertanyaan praktis terkait sejauh mana Pengendali Data Pribadi harus menjelaskan teknologi atau algoritma yang digunakan tanpa membuka informasi yang bersifat rahasia (proprietary information)?
Dalam perspektif hukum, kewajiban “memberikan informasi yang memadai” tidak serta-merta berarti kewajiban untuk membuka seluruh source code, formula, atau parameter algoritma. Fokus utamanya adalah memastikan Subjek Data Pribadi memperoleh informasi yang memadai untuk memahami bahwa suatu keputusan dihasilkan melalui pemrosesan otomatis, bagaimana pemrosesan tersebut secara umum memengaruhi dirinya, serta konsekuensi yang mungkin timbul dari pemrosesan otomatis tersebut.
Oleh karena itu, Pengendali Data Pribadi perlu menjaga keseimbangan antara transparansi, pelindungan data pribadi, dan perlindungan kepentingan bisnis yang sah.
Fokus utama transparansi bukan membuka seluruh source code, formula, atau parameter algoritma, melainkan memastikan Subjek Data Pribadi memperoleh informasi yang memadai untuk memahami bagaimana keputusan berbasis pemrosesan otomatis memengaruhi dirinya.
Kewajiban Pengendali Data Pribadi: Penilaian terhadap Pemrosesan Data Pribadi Berisiko Tinggi
Selain memastikan adanya mekanisme keberatan, Pengendali Data Pribadi juga wajib melakukan penilaian dampak terhadap pemrosesan data pribadi yang memiliki potensi risiko tinggi terhadap Subjek Data Pribadi (“Pemrosesan Data Pribadi Berisiko Tinggi”). Pasal 120 ayat (2) huruf a PP PDP 33/2026 menentukan bahwa “keputusan berbasis pemrosesan otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi” termasuk dalam kategori Pemrosesan Data Pribadi Berisiko Tinggi.
Pasal 120 ayat (1) PP PDP 33/2026 mewajibkan Pengendali Data Pribadi untuk melakukan penilaian terhadap “dampak” dari Pemrosesan Data Pribadi Berisiko Tinggi, termasuk penilaian dampak keputusan berbasis pemrosesan otomatis terhadap Subjek Data Pribadi.
Secara best practice, proses penilaian dampak ini dikenal juga dengan istilah Data Protection Impact Assessment (“DPIA”), yang wajib dilakukan sebelum pelaksanaan pemrosesan data pribadi.
DPIA menjadi instrumen penting bagi Pengendali Data Pribadi untuk mengidentifikasi dan menilai potensi risiko dari suatu aktivitas pemrosesan data pribadi dan menentukan langkah penanganan terhadap potensi risiko yang ada.
Dalam konteks pemrosesan otomatis, DPIA berperan sebagai instrumen untuk menjawab setidaknya tiga pertanyaan krusial dalam pelindungan data pribadi, yaitu:
a. Keputusan apa yang dihasilkan melalui pemrosesan otomatis?
b. Apa dampak dari keputusan yang dihasilkan melalui pemrosesan otomatis tersebut terhadap
Subjek Data Pribadi? dan
c. Langkah apa yang wajib dilakukan untuk menangani potensi risiko yang timbul dari dampak
tersebut?
Pendekatan tersebut menunjukkan bahwa kewajiban penilaian dampak memiliki hubungan erat dengan Hak Keberatan atas keputusan berbasis pemrosesan otomatis. DPIA berfungsi sebagai mekanisme preventif, sedangkan mekanisme keberatan berperan sebagai mekanisme korektif ketika keputusan yang dihasilkan sistem pemrosesan otomatis telah menimbulkan akibat hukum atau berdampak signifikan terhadap Subjek Data Pribadi.
DPIA berfungsi sebagai mekanisme preventif, sedangkan mekanisme keberatan berperan sebagai mekanisme korektif.
C. Penutup
PP PDP 33/2026 menegaskan bahwa penggunaan pemrosesan otomatis tidak hanya perlu memperhatikan efisiensi dan akurasi sistem, tetapi juga memberikan ruang bagi Subjek Data Pribadi untuk melindungi hak dan kepentingannya. Salah satu aspek penting dalam hal ini adalah Hak Keberatan atas keputusan berbasis pemrosesan otomatis yang menimbulkan akibat hukum atau berdampak signifikan terhadap Subjek Data Pribadi.
Bagi Pengendali Data Pribadi, pemenuhan Hak Keberatan perlu diwujudkan melalui pembangunan mekanisme yang nyata dan dapat diterapkan. Setidaknya, terdapat sejumlah langkah yang dapat dilakukan oleh Pengendali Data Pribadi untuk menjamin kepatuhan terhadap ketentuan PP PDP 33/2026, yaitu:
- Membangun dan memastikan ketersediaan serta pelaksanaan mekanisme pengajuan Hak Keberatan secara end-to-end, termasuk mekanisme verifikasi, kriteria penerimaan dan penolakan keberatan, intervensi manusia, eskalasi, dan dokumentasi.
- Membangun dan memastikan ketersediaan serta pelaksanaan sistem penilaian terhadap Pemrosesan Data Pribadi Berisiko Tinggi atau DPIA.
- Membangun dan memastikan sistem pemrosesan otomatis memiliki akurasi yang baik dan sistem mitigasi untuk meminimalkan dampak terhadap Subjek Data Pribadi. Hal ini penting, khususnya sebagai dasar apabila Pengendali Data Pribadi menolak keberatan yang diajukan Subjek Data Pribadi.
- Menyesuaikan privacy notice dan informasi yang diberikan kepada Subjek Data Pribadi, khususnya mengenai penggunaan teknologi pemrosesan otomatis dan konsekuensi yang akan dialami oleh Subjek Data Pribadi dari pemrosesan otomatis tersebut.
Pada akhirnya, PP PDP 33/2026 menggeser fokus kepatuhan dari sekadar “having a written policy” menjadi “being able to demonstrate compliance”. Bagi Pengendali Data Pribadi yang menggunakan sistem pemrosesan otomatis, kepatuhan tidak cukup dinilai dari apakah Pengendali Data Pribadi memiliki dasar hukum untuk menggunakan sistem pemrosesan otomatis dalam pembuatan keputusan, tetapi apakah sistem pemrosesan otomatis tersebut telah dijalankan secara transparan, akurat, terukur, memiliki mitigasi yang memadai, serta menyediakan mekanisme perlindungan bagi Subjek Data Pribadi, termasuk mekanisme Hak Keberatan dan alternatif pemrosesan apabila keputusan berbasis pemrosesan otomatis tersebut menimbulkan akibat hukum atau berdampak signifikan terhadap Subjek Data Pribadi.
Dengan demikian, persiapan menuju berlakunya PP PDP 33/2026 tidak dapat dipandang semata-mata sebagai agenda pembaruan dokumen legal, melainkan harus menjadi bagian dari kerangka governance dan risk management dari Pengendali Data Pribadi.
Membutuhkan konsultasi hukum terkait pelindungan data pribadi dan kepatuhan terhadap UU PDP dan PP PDP 33/2026? Hubungi tim Dorna Legal untuk mendapatkan dukungan hukum yang tepat.