Denda UU PDP Berubah di Bawah KUHP Baru: Angka Mengecil, Kewajiban Tetap Sama

Denda UU PDP Berubah di Bawah KUHP Baru: Angka Mengecil, Kewajiban Tetap Sama

Denda pidana UU PDP turun, bukan naik. Tapi jangan buru-buru membacanya sebagai kabar baik — sanksi yang benar-benar dihadapi kebanyakan SME sama sekali tidak berubah.

Pada 2 Januari 2026, UU No. 1/2026 tentang Penyesuaian Pidana mulai berlaku dan diam-diam menulis ulang denda pidana di puluhan undang-undang sektoral, termasuk UU PDP (Undang-Undang Pelindungan Data Pribadi). Nilai nominal denda yang tertulis di pasal-pasal pidana UU PDP turun, di beberapa pasal cukup tajam. Analisis Hukumku.id menelusuri angka-angka spesifiknya. Pahami dulu duduk perkaranya sebelum menyimpulkan artinya bagi bisnis Anda.

Apa yang sebenarnya berubah

Denda pidana UU PDP awalnya ditulis sebagai angka rupiah tetap. Pasal 67 ayat (1) dan (3), soal memperoleh atau menggunakan data pribadi orang lain secara melawan hukum, masing-masing membawa denda maksimal Rp5 miliar. Pasal 67 ayat (2), soal mengungkapkan data pribadi secara melawan hukum, membawa Rp4 miliar. Pasal 68, soal memalsukan data pribadi, membawa Rp6 miliar.

Bayangkan seperti redenominasi mata uang: angka nominal berubah, tapi nilai sebenarnya di baliknya menyesuaikan lewat rumus yang sama untuk semua. Di bawah sistem kategori KUHP baru, yang ditetapkan di Pasal 79 UU No. 1/2023, denda tidak lagi ditulis sebagai angka tersendiri di tiap undang-undang. Denda dipetakan ke delapan kategori standar, dari Kategori I (Rp1 juta) sampai Kategori VIII (Rp50 miliar). Konversinya mengikuti ancaman penjara maksimal yang melekat pada tindak pidana yang sama: ancaman tiga sampai lima tahun dikonversi ke Kategori IV (Rp200 juta), lima sampai delapan tahun dikonversi ke Kategori V (Rp500 juta).

Diterapkan ke UU PDP, tiga ayat Pasal 67 dengan ancaman maksimal empat sampai lima tahun jatuh ke Kategori IV. Pasal 68 dengan ancaman maksimal enam tahun jatuh ke Kategori V. Praktisnya, Rp4-6 miliar menjadi Rp200-500 juta. Mekanisme konversi ini terdokumentasi secara independen di komentar hukum soal kategori denda baru, dan tanggal berlakunya undang-undang yang mendasarinya dikonfirmasi oleh pemberitaan soal penandatanganannya.

Ini bukan khusus soal UU PDP. Sistem kategori ini ada supaya pembuat undang-undang tidak perlu mengubah ratusan statuta satu per satu tiap kali inflasi membuat denda lama kehilangan makna. Indonesia memakai UU Penyesuaian Pidana untuk menerapkannya secara menyeluruh. UU PDP kebetulan menjadi salah satu undang-undang yang penurunannya cukup besar untuk diperhatikan.

Kenapa angka yang lebih kecil tidak seharusnya mengubah sikap SME

Denda pidana membutuhkan jaksa, pengadilan, dan pembuktian niat — "dengan sengaja dan melawan hukum" dalam bahasa undang-undangnya sendiri. Sebagian besar kegagalan penanganan data di SME tidak pernah sampai ke ambang itu.

Penegakan administratif lain cerita: jauh lebih mudah dijatuhkan, jauh lebih sering terjadi. Pasal 57 UU PDP memisahkannya sepenuhnya dari bab pidana, dan rekalibrasi ini tidak menyentuhnya sama sekali. Otoritas pengawas bisa mengeluarkan peringatan tertulis, memerintahkan penghentian sementara kegiatan pemrosesan, memerintahkan penghapusan atau pemusnahan data yang bersangkutan, atau menjatuhkan denda administratif hingga 2% dari pendapatan tahunan.

Bagi kebanyakan SME, 2% dari pendapatan adalah angka yang jauh lebih besar dibanding denda pidana Kategori IV. Kegiatan pemrosesan yang dihentikan — artinya sistem pembayaran, platform booking, atau database pelanggan Anda mati total — adalah hasil yang lebih buruk dibanding keduanya.

Artinya bagi sikap Anda, bukan sekadar dokumen

Semua ini bukan nasihat hukum. Kasus nyata tetap butuh pengacara yang bisa membaca fakta spesifiknya. Yang bisa disimpulkan: kepatuhan UU PDP perlu diperlakukan sebagai disiplin engineering, bukan dokumen yang cukup diarsipkan sekali.

• Punya inventaris data yang nyata. Ketahui sistem mana yang menyimpan data pribadi, untuk apa, dan atas dasar hukum apa. Anda tidak bisa menjawab "apakah pemrosesan ini sah" tanpa lebih dulu tahu apa yang sedang diproses.
• Simpan catatan consent dan dasar hukum di tempat yang bisa Anda tunjukkan cepat. Permintaan otoritas pengawas yang dijawab dalam sehari terlihat sangat berbeda dari yang dijawab setelah tiga minggu menggali Slack.
• Tulis breach runbook sebelum Anda membutuhkannya. Siapa yang diberi tahu, dalam urutan apa, apa yang dicatat, dan siapa yang berwenang bicara dengan regulator. Saya sudah menulis soal disiplin serupa dalam menjalankan sistem yang dibangun vendor di playbook proyek software untuk SME: insting yang sama, kontrol lewat visibilitas dan bukan panik setelah kejadian, berlaku di sini juga.
• Masukkan klausul penanganan data ke setiap kontrak processor. Kalau vendor menyentuh data pribadi pelanggan Anda, eksposur Anda mencakup apa yang mereka lakukan dengan data itu. Satu klausul singkat yang menetapkan retensi, penghapusan, dan kewajiban notifikasi breach adalah asuransi murah terhadap temuan otoritas pengawas.

Intinya

Denda pidana nominal di UU PDP turun, bukan naik, dan menganggapnya sebagai kabar baik salah membaca apa yang sebenarnya berubah. Jaksa selalu butuh niat dan pengadilan untuk menagih denda itu — justru itu sebabnya denda pidana tidak pernah menjadi sumber eksposur nyata kebanyakan SME.

Kekuatan administratif selalu lebih mungkin diterapkan: penghentian pemrosesan, penghapusan paksa, denda yang terikat pada pendapatan bukan plafon tetap. Itu semua sama sekali tidak berubah. Bangun sikap untuk itu, dan angka pidananya jadi nyaris tidak relevan.