Kewajiban Perusahaan Melindungi Data Pribadi 7 Hal yang Wajib Dicek

Kewajiban perusahaan melindungi data pribadi semakin penting dalam operasional bisnis karena perusahaan mengelola data pelanggan, karyawan, pelamar kerja, hingga pengguna platform digital. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menetapkan sejumlah kewajiban bagi pengendali dan prosesor data pribadi, mulai dari memastikan dasar pemrosesan yang sah, menjaga keamanan data, mencatat kegiatan pemrosesan, memenuhi hak subjek data, hingga menangani kebocoran data.

Bagi perusahaan, kepatuhan terhadap UU PDP tidak cukup hanya dengan memiliki kebijakan privasi. Proses pengumpulan, penggunaan, penyimpanan, pengungkapan, sampai penghapusan data perlu memiliki dasar dan prosedur yang jelas.

Apa yang Dimaksud Data Pribadi dalam Perusahaan

UU PDP membedakan Data Pribadi menjadi dua kelompok.

Data Pribadi yang bersifat umum mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, serta data yang dikombinasikan untuk mengidentifikasi seseorang.

Data Pribadi yang bersifat spesifik mencakup data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Data dalam kategori ini dapat menimbulkan dampak yang lebih besar bagi seseorang apabila diproses secara tidak tepat.

Dalam kegiatan perusahaan, kedua kelompok data tersebut dapat muncul sekaligus. Formulir lamaran kerja misalnya dapat berisi identitas dan riwayat pendidikan, sedangkan proses pemeriksaan kesehatan karyawan dapat menghasilkan data kesehatan yang termasuk Data Pribadi spesifik.

Karena itu, perusahaan perlu memetakan jenis data yang dimiliki dan tidak memperlakukan seluruh data dengan cara yang sama.

Perusahaan Sebagai Pengendali atau Prosesor Data Pribadi

UU PDP mengenal Pengendali Data Pribadi dan Prosesor Data Pribadi.

Pengendali adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan data. Perusahaan yang menentukan sendiri mengapa data pelanggan dikumpulkan dan bagaimana data tersebut digunakan pada umumnya bertindak sebagai Pengendali Data Pribadi.

Prosesor adalah pihak yang memproses data atas nama Pengendali. Contohnya dapat berupa penyedia layanan tertentu yang menerima data untuk menjalankan fungsi berdasarkan instruksi perusahaan.

Pembagian ini penting ketika perusahaan menggunakan vendor. Menyerahkan pengolahan data kepada vendor tidak otomatis menghapus tanggung jawab perusahaan. Pasal 51 UU PDP menyatakan bahwa pemrosesan oleh Prosesor berdasarkan perintah Pengendali tetap termasuk dalam tanggung jawab Pengendali. Apabila Prosesor memproses data di luar perintah dan tujuan yang ditetapkan Pengendali, pemrosesan tersebut menjadi tanggung jawab Prosesor.

Artinya, perusahaan perlu mengetahui secara jelas siapa yang menentukan tujuan pemrosesan dan siapa yang hanya menjalankan pemrosesan atas nama perusahaan.

7 Kewajiban Perusahaan Melindungi Data Pribadi

1. Menentukan dasar pemrosesan yang sah

Setiap Pengendali Data Pribadi wajib memiliki dasar pemrosesan.

Pasal 20 UU PDP menyediakan enam dasar pemrosesan, yaitu persetujuan yang sah secara eksplisit, pemenuhan kewajiban perjanjian, pemenuhan kewajiban hukum, perlindungan kepentingan vital, pelaksanaan tugas dalam rangka kepentingan umum atau kewenangan berdasarkan peraturan perundang-undangan, serta pemenuhan kepentingan yang sah dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan.

Persetujuan karena itu bukan satu-satunya dasar pemrosesan.

Untuk data karyawan, misalnya, sebagian pemrosesan dapat berkaitan dengan pelaksanaan perjanjian kerja atau kewajiban hukum perusahaan. Data yang dibutuhkan untuk pembayaran upah atau pemenuhan kewajiban perpajakan tidak selalu tepat jika seluruhnya dipaksakan menggunakan persetujuan sebagai dasar hukum.

Sebaliknya, apabila perusahaan memang menggunakan persetujuan, persetujuan tersebut harus diberikan secara tertulis atau terekam. Jika permintaan persetujuan memuat tujuan lain, tujuan tersebut harus dapat dibedakan dengan jelas dan disampaikan dalam format yang mudah dipahami serta menggunakan bahasa yang sederhana.

Perusahaan juga wajib dapat menunjukkan bukti persetujuan apabila persetujuan menjadi dasar pemrosesan.

2. Mengumpulkan data sesuai tujuan dan kebutuhan

UU PDP mewajibkan Pengendali Data Pribadi memproses data secara terbatas dan spesifik, sah secara hukum, transparan, serta sesuai dengan tujuan pemrosesan.

Prinsip ini berpengaruh langsung terhadap formulir pelanggan dan dokumen HR.

Perusahaan sebaiknya dapat menjelaskan alasan setiap kategori data dikumpulkan. Data yang dikumpulkan untuk proses pengiriman barang, misalnya, perlu dibedakan dari data yang memang diperlukan untuk kegiatan pemasaran.

Data karyawan juga perlu ditinjau secara berkala. Informasi yang relevan ketika seseorang bekerja belum tentu tetap diperlukan setelah hubungan kerja berakhir. Retensi data harus disesuaikan dengan tujuan pemrosesan dan kewajiban penyimpanan yang berlaku.

UU PDP juga memberikan hak kepada Subjek Data Pribadi untuk meminta akses, memperbaiki data, menarik persetujuan, membatasi pemrosesan, serta dalam kondisi yang ditentukan undang-undang meminta penghapusan atau pemusnahan data.

Penghapusan juga bukan berarti perusahaan harus menghapus semua data begitu seseorang memintanya. UU PDP sendiri mengatur kondisi dan pengecualian tertentu. Perusahaan perlu memeriksa apakah data masih diperlukan untuk tujuan yang sah, masa retensinya masih berlaku, atau terdapat kewajiban hukum maupun proses hukum yang mengharuskan data tetap tersedia.

3. Mencatat seluruh kegiatan pemrosesan

Pasal 31 UU PDP mewajibkan Pengendali Data Pribadi melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi.

UU PDP tidak menggunakan istilah Record of Processing Activities atau RoPA sebagai nama dokumen. Dalam praktik kepatuhan, kewajiban pencatatan tersebut dapat dituangkan dalam inventaris atau RoPA yang menggambarkan kegiatan pemrosesan perusahaan.

Dokumen tersebut sebaiknya dapat menjawab pertanyaan dasar seperti data apa yang diproses, siapa subjek datanya, untuk tujuan apa data digunakan, apa dasar pemrosesannya, siapa penerima data, berapa lama data disimpan, dan sistem atau pihak mana yang terlibat.

Tanpa pemetaan semacam ini, perusahaan akan kesulitan menilai apakah setiap kegiatan pemrosesan memiliki dasar hukum yang tepat dan apakah hak Subjek Data Pribadi dapat dipenuhi secara konsisten.

4. Melakukan penilaian dampak untuk pemrosesan berisiko tinggi

Pasal 34 UU PDP mewajibkan Pengendali Data Pribadi melakukan Penilaian Dampak Perlindungan Data Pribadi apabila pemrosesan memiliki potensi risiko tinggi terhadap Subjek Data Pribadi.

UU PDP menyebut beberapa keadaan yang termasuk pemrosesan berisiko tinggi. Di antaranya pengambilan keputusan otomatis yang menimbulkan akibat hukum atau dampak signifikan, pemrosesan Data Pribadi spesifik, pemrosesan dalam skala besar, evaluasi atau pemantauan sistematis, pencocokan atau penggabungan data, penggunaan teknologi baru, dan pemrosesan yang membatasi pelaksanaan hak Subjek Data Pribadi.

Karena itu, penggunaan teknologi baru atau pemrosesan data dalam skala besar sebaiknya tidak langsung diterapkan sebelum perusahaan menilai risikonya terhadap hak Subjek Data Pribadi.

Penilaian dampak bukan sekadar dokumen formal. Tujuannya adalah mengidentifikasi risiko dari kegiatan pemrosesan dan menentukan langkah yang diperlukan untuk menguranginya.

5. Menjaga keamanan data dan menyiapkan respons insiden

Pasal 35 UU PDP mewajibkan Pengendali Data Pribadi melindungi dan memastikan keamanan data yang diproses melalui langkah teknis dan operasional yang sesuai, dengan memperhatikan sifat serta risiko data.

Perusahaan juga wajib menjaga kerahasiaan data, mengawasi pihak yang terlibat dalam pemrosesan, mencegah pemrosesan yang tidak sah, dan mencegah akses yang tidak sah.

Kewajiban ini harus diterjemahkan ke dalam pengaturan nyata di perusahaan. Pengendalian akses, pengelolaan akun, pencadangan, keamanan perangkat, pemantauan sistem, pengelolaan vendor, dan prosedur respons insiden perlu dipertimbangkan sesuai risiko kegiatan pemrosesan.

Hal yang sering terlewat adalah batas waktu ketika terjadi kegagalan perlindungan data.

Pasal 46 mewajibkan Pengendali Data Pribadi menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada Subjek Data Pribadi dan lembaga. Pemberitahuan tersebut setidaknya memuat data yang terungkap, kapan dan bagaimana data terungkap, serta langkah penanganan dan pemulihan.

Definisi kegagalan perlindungan data dalam UU PDP mencakup kegagalan terhadap kerahasiaan, integritas, dan ketersediaan data, termasuk perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah.

Karena tenggat tersebut singkat, perusahaan sebaiknya memiliki prosedur respons insiden sebelum kebocoran terjadi. Tim IT tidak dapat bekerja sendiri. Legal, compliance, manajemen, dan pihak yang bertanggung jawab atas komunikasi dengan subjek data perlu mengetahui peran masing-masing.

6. Mengatur hubungan dengan vendor

Penggunaan cloud service, aplikasi HR, payroll, CRM, platform pemasaran, layanan analitik, dan berbagai sistem pihak ketiga dapat melibatkan pemrosesan Data Pribadi.

Pasal 51 mengatur bahwa Prosesor harus memproses data berdasarkan perintah Pengendali. Jika Prosesor hendak melibatkan Prosesor lain, diperlukan persetujuan tertulis dari Pengendali.

UU PDP tidak secara eksplisit mewajibkan dokumen dengan nama Data Processing Agreement atau DPA. Namun, perjanjian tertulis menjadi instrumen penting untuk mendokumentasikan perintah pemrosesan, tujuan penggunaan data, kewajiban kerahasiaan, keamanan, penggunaan subprosesor, pelaporan insiden, penghapusan data, serta pembagian tanggung jawab para pihak.

Klausul kontrak juga perlu disesuaikan dengan hubungan sebenarnya. Tidak semua vendor otomatis merupakan Prosesor. Penentuan status bergantung pada peran dan kendali masing-masing pihak dalam kegiatan pemrosesan.

7. Menilai transfer data ke luar Indonesia

Perusahaan yang menggunakan layanan global perlu memperhatikan apakah Data Pribadi ditransfer ke luar wilayah hukum Indonesia.

Pasal 56 UU PDP mengatur bahwa Pengendali dapat melakukan transfer ke Pengendali atau Prosesor di luar Indonesia dengan persyaratan tertentu.

Tahap pertama adalah memastikan negara penerima memiliki tingkat perlindungan data yang setara atau lebih tinggi. Jika syarat tersebut tidak terpenuhi, Pengendali wajib memastikan adanya perlindungan yang memadai dan bersifat mengikat. Jika kedua kondisi tersebut tidak terpenuhi, UU PDP mensyaratkan persetujuan Subjek Data Pribadi.

Karena ketentuan lebih lanjut mengenai transfer data masih diamanatkan untuk diatur dalam Peraturan Pemerintah, perusahaan sebaiknya tidak menganggap penggunaan kontrak standar tertentu sebagai solusi otomatis untuk semua transfer lintas negara.

Untuk perusahaan yang menggunakan cloud atau vendor luar negeri, pemetaan lokasi pemrosesan dan penerima data menjadi langkah awal yang penting.

Putusan MK Mengubah Cara Membaca Kewajiban Menunjuk DPO

Salah satu perkembangan penting dalam penerapan UU PDP adalah Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 yang diucapkan pada 30 Juli 2025.

Pasal 53 ayat (1) UU PDP mengatur kewajiban Pengendali dan Prosesor menunjuk pejabat atau petugas yang menjalankan fungsi Pelindungan Data Pribadi dalam keadaan tertentu.

Sebelum putusan tersebut, penggunaan kata “dan” pada rumusan Pasal 53 ayat (1) huruf b menimbulkan persoalan mengenai apakah kriteria tersebut harus dipenuhi secara kumulatif. MK menyatakan kata tersebut bertentangan dengan UUD 1945 secara bersyarat sepanjang tidak dimaknai “dan/atau”.

Akibatnya, kewajiban menunjuk pejabat atau petugas fungsi Perlindungan Data Pribadi perlu dibaca berdasarkan kriteria dalam Pasal 53 secara alternatif dan kumulatif sesuai rumusan setelah putusan MK.

Kriteria tersebut mencakup pemrosesan untuk kepentingan pelayanan publik, kegiatan inti yang memerlukan pemantauan secara teratur dan sistematis terhadap Data Pribadi dalam skala besar, serta kegiatan inti yang melibatkan pemrosesan Data Pribadi spesifik atau data yang berkaitan dengan tindak pidana dalam skala besar.

Perusahaan tidak dapat menentukan kewajiban DPO hanya berdasarkan jumlah karyawan atau ukuran omzet. Yang harus diperiksa adalah kegiatan inti, sifat pemrosesan, skala, jenis data, serta tingkat pemantauan yang dilakukan.

Pejabat atau petugas tersebut juga tidak harus selalu merupakan karyawan internal. Pasal 53 ayat (3) memungkinkan fungsi tersebut berasal dari dalam dan/atau luar Pengendali atau Prosesor, sepanjang memenuhi profesionalitas, pengetahuan hukum dan praktik perlindungan data pribadi, serta kemampuan menjalankan tugasnya.

Data Karyawan Memerlukan Perhatian Khusus dari HR

Data karyawan muncul sejak proses rekrutmen sampai hubungan kerja berakhir.

CV, identitas, alamat, rekening untuk pembayaran gaji, data keluarga, data kesehatan, data biometrik, hasil pemeriksaan latar belakang, hingga data yang dihasilkan sistem absensi dapat masuk ke dalam kegiatan pemrosesan Data Pribadi.

HR perlu memetakan dasar pemrosesan untuk setiap kegiatan tersebut. Jangan menggunakan satu formulir persetujuan sebagai dasar untuk semua kegiatan tanpa membedakan tujuan dan jenis pemrosesan.

Data kesehatan dan biometrik termasuk Data Pribadi spesifik. Jika perusahaan menggunakan sistem absensi berbasis wajah atau sidik jari, kegiatan tersebut perlu dinilai dari dasar pemrosesan, tujuan, proporsionalitas, keamanan, retensi, serta potensi risiko terhadap karyawan.

Hal yang sama berlaku untuk pemeriksaan latar belakang. Perusahaan perlu memastikan bahwa informasi yang diminta memang relevan dengan tujuan rekrutmen atau pekerjaan dan diperoleh melalui cara yang sah.

Data Pelanggan Tidak Boleh Dipakai untuk Tujuan yang Berbeda Tanpa Dasar yang Tepat

Perusahaan juga perlu memeriksa apakah data pelanggan digunakan sesuai dengan tujuan awal.

Nomor telepon yang dikumpulkan untuk pengiriman barang, misalnya, tidak otomatis dapat digunakan untuk seluruh kegiatan pemasaran perusahaan. Ketika tujuan pemrosesan berubah, perusahaan perlu menilai kembali dasar pemrosesan dan kewajiban transparansinya.

UU PDP juga memberi Subjek Data Pribadi sejumlah hak yang harus dapat ditangani secara operasional. Permintaan akses, koreksi, penarikan persetujuan, pembatasan pemrosesan, serta penghapusan atau pemusnahan data membutuhkan prosedur internal dan koordinasi dengan sistem yang digunakan perusahaan.

Kebijakan Privasi yang baik perlu mencerminkan praktik yang benar-benar dijalankan perusahaan. Dokumen tersebut tidak dapat menggantikan pengendalian internal, pencatatan kegiatan pemrosesan, pengamanan sistem, dan prosedur pemenuhan hak subjek data.

Apa yang Perlu Dicek Perusahaan Sekarang

Perusahaan yang ingin menilai posisi kepatuhannya dapat memulai dari beberapa pertanyaan dasar.

1. Data pelanggan, karyawan, dan pelamar apa saja yang dikumpulkan?
2. Untuk setiap kegiatan pemrosesan, apa dasar hukumnya?
3. Apakah tujuan pemrosesan sudah jelas dan sesuai dengan data yang dikumpulkan?
4. Apakah perusahaan memiliki pencatatan seluruh kegiatan pemrosesan?
5. Apakah ada kegiatan pemrosesan berisiko tinggi yang memerlukan penilaian dampak?
6. Siapa saja vendor yang memiliki akses atau memproses Data Pribadi?
7. Apakah kontrak dengan vendor mengatur instruksi pemrosesan, keamanan, subprosesor, dan penanganan insiden?
8. Apakah ada transfer data ke luar Indonesia?
9. Apakah perusahaan termasuk pihak yang wajib menunjuk pejabat atau petugas fungsi Perlindungan Data Pribadi?
10. Apakah perusahaan mampu merespons permintaan Subjek Data Pribadi dan insiden kebocoran dalam batas waktu yang ditentukan?

Jawaban atas pertanyaan tersebut akan memberikan gambaran yang lebih berguna daripada sekadar memeriksa apakah perusahaan sudah memiliki Privacy Policy.

Sanksi Pelanggaran UU PDP

Risiko hukum UU PDP mencakup sanksi administratif dan ketentuan pidana untuk perbuatan tertentu.

Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan Data Pribadi, dan denda administratif. Denda administratif paling tinggi sebesar 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.

Ketentuan pidana memiliki ruang lingkup yang berbeda. Pasal 65 melarang, antara lain, memperoleh atau mengumpulkan, mengungkapkan, dan menggunakan Data Pribadi yang bukan miliknya secara melawan hukum dalam keadaan yang ditentukan undang-undang.

Untuk tindak pidana yang diatur dalam Pasal 67 dan Pasal 68 dan dilakukan oleh korporasi, Pasal 70 memungkinkan pidana dijatuhkan kepada pengurus, pemegang kendali, pemberi perintah, pemilik manfaat, dan/atau korporasi.

Terhadap korporasi, pidana yang dapat dijatuhkan berupa denda, dengan kemungkinan pidana tambahan seperti perampasan keuntungan atau harta hasil tindak pidana, pembekuan usaha, penutupan tempat usaha, pencabutan izin, hingga pembubaran korporasi.

Karena itu, angka denda administratif 2 persen tidak boleh dicampur dengan ancaman pidana dalam UU PDP. Keduanya memiliki dasar, mekanisme, dan kondisi penerapan yang berbeda.

Peraturan Pelaksana dan Otoritas PDP Masih dalam Proses

UU PDP memberikan mandat pembentukan lembaga yang bertanggung jawab kepada Presiden untuk menyelenggarakan perlindungan data pribadi. Lembaga tersebut antara lain memiliki fungsi pengawasan, penegakan hukum administratif, serta fasilitasi penyelesaian sengketa.

Per September 2026, pembentukan otoritas tersebut masih menjadi agenda pemerintah. Dalam keterangan resmi pada Juli 2026, Kementerian Komunikasi dan Digital menyampaikan bahwa pemerintah sedang memfinalisasi pembentukan otoritas yang direncanakan bekerja secara independen.

Peraturan Pemerintah sebagai aturan pelaksana UU PDP juga masih berada dalam proses penyusunan. Dokumen perencanaan regulasi pemerintah menunjukkan bahwa RPP PDP diperlukan untuk menjalankan sejumlah amanat UU PDP, termasuk mengenai penilaian dampak, fungsi pejabat atau petugas perlindungan data, transfer data, dan sanksi administratif.

Kondisi ini penting bagi perusahaan karena beberapa ketentuan teknis masih menunggu aturan pelaksana. Namun, keberadaan proses tersebut tidak menghapus kewajiban yang sudah secara langsung diatur dalam UU PDP.

Kesimpulan

Kewajiban perusahaan melindungi data pribadi mencakup seluruh siklus pemrosesan, mulai dari pengumpulan sampai penghapusan atau pemusnahan data.

Perusahaan perlu memiliki dasar pemrosesan yang tepat, membatasi penggunaan data sesuai tujuan, mencatat kegiatan pemrosesan, melakukan penilaian dampak untuk pemrosesan berisiko tinggi, menjaga keamanan data, memenuhi hak Subjek Data Pribadi, mengendalikan hubungan dengan vendor, dan menyiapkan prosedur untuk menghadapi kegagalan perlindungan data.

Putusan MK Nomor 151/PUU-XXII/2024 juga membuat perusahaan perlu menilai kembali apakah kegiatan inti mereka memenuhi kriteria wajib penunjukan pejabat atau petugas fungsi Perlindungan Data Pribadi.

Bagi perusahaan, persoalan utamanya bukan sekadar memiliki dokumen Privacy Policy. Yang perlu dibuktikan adalah apakah proses bisnis, kontrak, sistem, pengelolaan vendor, dan keputusan internal perusahaan benar-benar sesuai dengan kewajiban UU PDP.

Konsultasi Kepatuhan Perlindungan Data Pribadi

DDS Law Office dapat membantu perusahaan menilai kewajiban perlindungan data pribadi melalui legal audit, pemetaan tanggung jawab Pengendali dan Prosesor, peninjauan kebijakan privasi, review kontrak vendor, penyusunan klausul pemrosesan data, serta pendampingan penanganan persoalan hukum yang berkaitan dengan data pribadi.

Untuk konsultasi hukum, hubungi DDS Law Office melalui:

Email: office@ddslaw.id

WhatsApp: +62 823-3456-0019

---

Dasar Hukum

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, terutama Pasal 2, Pasal 4, Pasal 5 sampai dengan Pasal 15, Pasal 20 sampai dengan Pasal 24, Pasal 27 sampai dengan Pasal 39, Pasal 42 sampai dengan Pasal 57, Pasal 64 sampai dengan Pasal 70, dan Pasal 74.
2. Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024, khususnya mengenai pemaknaan kata “dan” dalam Pasal 53 ayat (1) huruf b UU PDP menjadi “dan/atau”.
3. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, khususnya ketentuan mengenai pemrosesan dan keamanan Data Pribadi oleh Penyelenggara Sistem Elektronik.

Sumber Utama

• JDIH Kementerian Komunikasi dan Digital, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
• Mahkamah Konstitusi Republik Indonesia, Putusan Nomor 151/PUU-XXII/2024.
• Mahkamah Konstitusi Republik Indonesia, keterangan dan pemberitaan resmi mengenai Putusan Nomor 151/PUU-XXII/2024.
• Kementerian Komunikasi dan Digital Republik Indonesia, keterangan resmi 22 Juli 2026 mengenai proses pembentukan Otoritas Pelindungan Data Pribadi.
• JDIH Kementerian Komunikasi dan Digital, Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.
• Dokumen perencanaan regulasi Kementerian Komunikasi dan Digital mengenai Rancangan Peraturan Pemerintah sebagai peraturan pelaksanaan UU Nomor 27 Tahun 2022.