Penghapusan data pribadi perusahaan tidak dapat dilakukan hanya dengan menekan tombol hapus pada akun pelanggan atau menghapus satu baris dari database. Ketika seseorang meminta datanya dihapus, perusahaan perlu memastikan siapa yang mengajukan permintaan, data apa yang diminta, apakah data tersebut masih harus disimpan karena kewajiban hukum, serta apakah data yang sama berada pada sistem atau vendor lain.
UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi atau UU PDP memang memberikan hak kepada subjek data untuk mengakhiri pemrosesan, menghapus, dan atau memusnahkan data pribadinya. Namun, pelaksanaannya tetap mengikuti ketentuan peraturan perundang-undangan. Pasal 15 UU PDP juga memberikan pengecualian terhadap sejumlah hak dalam kondisi tertentu, termasuk untuk kepentingan penegakan hukum, penyelenggaraan negara, dan pengawasan sektor jasa keuangan.
Per 19 September 2026, ada perkembangan penting yang perlu diperhatikan perusahaan. Pemerintah telah menerbitkan PP Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP pada 16 Juli 2026. PP ini baru mulai berlaku enam bulan setelah diundangkan, yaitu 16 Januari 2027. Artinya, perusahaan sudah menghadapi kewajiban dasar berdasarkan UU PDP, sementara prosedur teknis dalam PP 33/2026 perlu mulai dipersiapkan sebelum tanggal tersebut.
Daftar Isi
Apa yang Dimaksud Penghapusan Data Pribadi
UU PDP membedakan pengakhiran pemrosesan, penghapusan, dan pemusnahan.
Pengakhiran pemrosesan berarti perusahaan menghentikan kegiatan pemrosesan terhadap data tersebut. Penghapusan berarti data tidak lagi dapat diakses dalam kondisi yang ditentukan UU dan peraturan pelaksana. Pemusnahan memiliki konsekuensi lebih jauh karena data dihilangkan, dilenyapkan, atau dihancurkan sehingga tidak lagi dapat digunakan untuk mengidentifikasi subjek data.
Pasal 16 UU PDP memasukkan penghapusan dan pemusnahan sebagai bagian dari pemrosesan data pribadi. Prinsip pemrosesan juga menyatakan bahwa data pribadi dihapus atau dimusnahkan setelah masa retensi berakhir atau berdasarkan permintaan subjek data, kecuali ditentukan lain oleh peraturan perundang-undangan.
PP 33/2026 kemudian memberikan rincian yang lebih operasional. Pasal 82 mengatur penghapusan, sedangkan Pasal 84 mengatur pemusnahan. Kewajiban tersebut juga mencakup keadaan ketika proses penghapusan atau pemusnahan melibatkan pengendali data pribadi lain atau prosesor data pribadi.
Perbedaan ini penting karena perusahaan dapat saja menghentikan penggunaan aktif suatu data tanpa benar-benar menghapus atau memusnahkannya. Dalam pemeriksaan kepatuhan, perusahaan perlu dapat menjelaskan apa yang sebenarnya dilakukan terhadap data tersebut.
Apakah Perusahaan Harus Selalu Mengabulkan Permintaan Penghapusan
Tidak secara otomatis.
Pasal 43 UU PDP menyebut beberapa keadaan ketika pengendali data pribadi wajib menghapus data, termasuk ketika data tidak lagi diperlukan untuk tujuan pemrosesan, subjek data menarik kembali persetujuan, terdapat permintaan dari subjek data, atau data diperoleh dan atau diproses secara melawan hukum.
Pasal 44 mengatur pemusnahan, termasuk ketika masa retensi telah habis dan data tersebut berketerangan untuk dimusnahkan berdasarkan jadwal retensi arsip, terdapat permintaan subjek data, data tidak berkaitan dengan penyelesaian proses hukum, atau data diperoleh dan atau diproses secara melawan hukum.
Pada saat yang sama, Pasal 15 UU PDP mengecualikan hak tertentu dalam kepentingan yang disebutkan undang-undang. Pasal 50 juga memberikan pengecualian terhadap sejumlah kewajiban pengendali dalam konteks tertentu, termasuk penegakan hukum dan pengawasan sektor jasa keuangan.
Karena itu, perusahaan sebaiknya tidak membuat SOP dengan aturan sederhana seperti “semua permintaan hapus harus langsung disetujui” atau “semua data harus disimpan sampai pelanggan meminta sebaliknya”. Keduanya dapat menghasilkan masalah hukum.
Yang perlu dilakukan adalah pemeriksaan terhadap data dan dasar penyimpanannya.
Misalnya, seorang mantan karyawan meminta seluruh dokumen terkait hubungan kerjanya dihapus. Perusahaan perlu memeriksa apakah seluruh dokumen tersebut memang sudah tidak memiliki dasar penyimpanan. Jika sebagian data masih berkaitan dengan kewajiban hukum atau proses sengketa, penghapusan seluruh data tanpa pemeriksaan dapat menimbulkan persoalan lain.
Hal yang sama berlaku untuk data pelanggan. Riwayat transaksi, dokumen pembayaran, catatan kontrak, atau dokumen lain dapat tunduk pada kewajiban retensi berdasarkan aturan sektor masing-masing. Perusahaan perlu mengidentifikasi aturan yang benar-benar berlaku pada jenis data tersebut sebelum mengambil keputusan.
6 Langkah Menangani Permintaan Penghapusan Data Pribadi
1. Catat dan verifikasi permintaan
Permintaan pemenuhan hak subjek data diajukan melalui permohonan tercatat kepada pengendali data pribadi, baik secara elektronik maupun nonelektronik.
Perusahaan perlu memiliki satu kanal resmi untuk menerima permintaan tersebut. Begitu permintaan masuk, catat tanggal dan waktu penerimaan, identitas pemohon, jenis hak yang diminta, serta data atau akun yang disebutkan.
Identitas pemohon juga perlu diverifikasi secara proporsional. Tujuannya memastikan perusahaan tidak menghapus data milik seseorang hanya karena permintaan datang dari pihak yang tidak berwenang.
PP 33/2026 memberikan pengaturan lebih rinci mengenai pemenuhan hak subjek data. Untuk penghapusan dan pemusnahan, Pasal 87 menyatakan bahwa pengendali melakukan tindakan setelah permohonan terverifikasi.
2. Tentukan data mana yang benar-benar diminta
Permintaan “hapus semua data saya” belum tentu cukup untuk menentukan ruang lingkup tindakan teknis.
Perusahaan perlu memetakan data yang berkaitan dengan pemohon, misalnya data pada CRM, aplikasi pelanggan, sistem pembayaran, HRIS, email, dokumen fisik, sistem layanan pelanggan, dan sistem lain yang relevan.
Pemetaan ini juga perlu mencakup salinan data yang berada pada pihak lain.
Satu pelanggan bisa saja memiliki data pada sistem perusahaan, penyedia cloud, vendor customer relationship management, penyedia layanan pengiriman, atau pihak lain yang memproses data atas nama perusahaan. Karena itu, pencarian data tidak boleh berhenti pada aplikasi utama yang digunakan perusahaan.
3. Periksa dasar retensi dan kemungkinan pengecualian
Ini merupakan bagian yang paling membutuhkan penilaian hukum.
Perusahaan perlu menanyakan setidaknya tiga hal. Apakah data masih diperlukan untuk tujuan pemrosesan? Apakah ada aturan lain yang mewajibkan penyimpanan? Apakah data tersebut berkaitan dengan proses hukum atau kepentingan hukum yang masih berjalan?
PP 33/2026 memberikan pengaturan khusus mengenai pemusnahan berdasarkan permintaan subjek data. Pasal 85 menyatakan bahwa pemusnahan berdasarkan permintaan tersebut dapat dilakukan meskipun masa retensi belum tercapai. Namun, Pasal 86 tetap mensyaratkan pelaksanaan penghapusan dan pemusnahan sesuai dengan peraturan perundang-undangan.
Artinya, perusahaan tetap perlu melakukan pemeriksaan terhadap aturan lain yang berlaku sebelum memusnahkan data.
Jika sebagian data memang harus dipertahankan, perusahaan perlu memisahkan data tersebut dari data yang dapat dihapus. Keputusan untuk mempertahankan data sebaiknya memiliki alasan hukum yang terdokumentasi, bukan sekadar karena “mungkin masih diperlukan”.
4. Lakukan penghapusan atau pemusnahan pada seluruh sistem yang relevan
Setelah permintaan terverifikasi dan hasil pemeriksaan menunjukkan bahwa data harus dihapus atau dimusnahkan, perusahaan perlu memastikan pelaksanaannya mencakup seluruh sistem yang relevan.
PP 33/2026 memberikan rincian penting pada Pasal 82. Penghapusan mencakup keadaan ketika data tidak lagi dapat diakses selain oleh pengendali data pribadi. Penjelasan pasalnya menyebut penghapusan dari sistem informasi atau basis data, termasuk salinan cadangan.
Ini berarti perusahaan perlu membedakan antara menonaktifkan akun dan benar-benar menghapus data.
Mengubah status akun menjadi “inactive” belum tentu menyelesaikan permintaan jika data tersebut masih dapat diakses, dipakai untuk analisis, atau tetap tersedia dalam sistem lain.
Untuk dokumen fisik, pemusnahan juga harus diperhatikan. Data pribadi dalam bentuk kertas tetap termasuk dalam ruang lingkup pelindungan data pribadi. Metode teknis yang digunakan perusahaan harus disesuaikan dengan jenis media, risiko, dan kebijakan keamanan yang berlaku.
Perusahaan juga perlu menyimpan bukti bahwa tindakan telah dilakukan. Bentuk dokumentasinya dapat disesuaikan dengan sistem perusahaan, misalnya catatan permintaan, hasil verifikasi, keputusan hukum, log penghapusan, instruksi kepada vendor, dan bukti pemusnahan dokumen fisik.
5. Beri instruksi kepada vendor dan prosesor data
Jika perusahaan menggunakan prosesor data pribadi, penghapusan tidak berhenti pada sistem internal.
Pasal 88 PP 33/2026 secara khusus mengatur bahwa ketika pengendali menunjuk prosesor, pengendali harus memberitahukan dan memerintahkan penghapusan dan atau pemusnahan data kepada prosesor. Pemberitahuan kepada prosesor tersebut dilakukan sebelum pemberitahuan kepada subjek data.
Ini relevan untuk vendor seperti penyedia cloud, HRIS, payroll, CRM, layanan customer support, dan penyedia sistem lainnya.
Perusahaan sebaiknya sudah mengetahui dari awal siapa saja yang menerima atau memproses data pribadi atas namanya. Kontrak dengan vendor juga perlu diperiksa untuk memastikan ada mekanisme yang dapat digunakan ketika perusahaan menerima permintaan penghapusan.
UU PDP menempatkan pengendali sebagai pihak yang bertanggung jawab atas pemrosesan data pribadi dan mewajibkan pengendali menunjukkan pertanggungjawaban dalam pemenuhan prinsip pelindungan data pribadi.
Karena itu, perusahaan sebaiknya tidak mengandalkan jawaban vendor bahwa “data sudah dihapus” tanpa bukti atau prosedur yang dapat diverifikasi.
6. Berikan pemberitahuan kepada subjek data
Setelah tindakan dilakukan, perusahaan perlu memberikan pemberitahuan.
Pasal 45 UU PDP mewajibkan pengendali memberitahukan penghapusan dan atau pemusnahan data pribadi kepada subjek data. PP 33/2026 memberikan rincian yang lebih spesifik melalui Pasal 87. Pemberitahuan tersebut setidaknya memuat identitas subjek data, informasi mengenai penghapusan atau pemusnahan, jenis data yang dihapus atau dimusnahkan, alasan, tanggal efektif, dan kontak pengendali.
Untuk permintaan penghapusan atau pemusnahan berdasarkan permintaan subjek data, PP 33/2026 mengatur pemberitahuan setelah penghapusan atau pemusnahan dilakukan. Pemberitahuan tersebut dilaksanakan paling lambat 3 × 24 jam sebelum atau setelah tindakan, sesuai kondisi yang diatur dalam Pasal 87.
Perusahaan sebaiknya menyimpan salinan pemberitahuan tersebut sebagai bagian dari rekam kepatuhan.
Bagaimana Jika Data Berada di Backup atau Sistem Vendor
Masalah ini sering muncul setelah perusahaan menyadari bahwa data yang ingin dihapus ternyata tidak hanya berada di database utama.
PP 33/2026 secara eksplisit menyebut salinan cadangan dalam penjelasan Pasal 82 ketika menjelaskan penghapusan dari sistem informasi atau basis data. Karena itu, perusahaan perlu memasukkan backup dalam pemetaan data dan prosedur penghapusan.
Namun, cara teknis pelaksanaannya dapat berbeda tergantung arsitektur sistem.
Perusahaan yang menggunakan backup immutable, misalnya, perlu menilai bagaimana data yang diminta untuk dihapus diperlakukan dalam siklus backup dan bagaimana perusahaan mencegah data tersebut kembali aktif apabila backup dipulihkan.
Tidak tepat menetapkan satu metode teknis seperti hard delete, cryptographic erase, atau penghancuran media sebagai satu-satunya cara yang diwajibkan UU PDP. Regulasi menetapkan konsekuensi hukum penghapusan dan pemusnahan, sedangkan metode teknis harus disesuaikan dengan sistem dan risiko perusahaan.
Karena itu, kebijakan retensi dan penghapusan sebaiknya dibuat bersama tim legal, compliance, IT, dan pihak yang bertanggung jawab atas pengelolaan sistem.
Apa yang Harus Dilakukan Jika Permintaan Tidak Dapat Dipenuhi Seluruhnya
Perusahaan tidak seharusnya berhenti pada jawaban “permintaan ditolak”.
Jika hanya sebagian data yang dapat dihapus sementara sebagian lainnya masih harus disimpan berdasarkan ketentuan yang berlaku, perusahaan perlu memisahkan keduanya dan menjelaskan dasar keputusannya kepada pemohon.
Dokumentasi internal setidaknya perlu menjawab:
| Pemeriksaan | Pertanyaan yang perlu dijawab |
| Identitas | Apakah pemohon merupakan subjek data yang bersangkutan atau pihak yang sah mewakilinya? |
| Ruang lingkup | Data apa saja yang tercakup dalam permintaan? |
| Tujuan | Untuk tujuan apa data tersebut diproses? |
| Retensi | Apakah masih ada masa retensi atau kewajiban penyimpanan? |
| Proses hukum | Apakah data berkaitan dengan sengketa atau proses hukum yang sedang berjalan? |
| Vendor | Apakah data berada pada prosesor atau pihak lain? |
| Keputusan | Data mana yang dihapus, dimusnahkan, dipertahankan, atau dibatasi? |
| Bukti | Apa bukti bahwa keputusan dan tindakan tersebut telah dilaksanakan? |
Dalam keadaan tertentu, pembatasan pemrosesan juga dapat menjadi isu yang perlu diperiksa. PP 33/2026 mengatur hak subjek data untuk meminta penundaan atau pembatasan pemrosesan, termasuk ketika terdapat kepentingan hukum untuk mengajukan, melaksanakan, atau melakukan pembelaan terhadap tuntutan hukum.
Ini berbeda dari sekadar menolak permintaan penghapusan. Perusahaan perlu menentukan tindakan yang sesuai dengan keadaan konkret.
Risiko Jika Perusahaan Mengabaikan Permintaan
UU PDP menempatkan kepatuhan sebagai tanggung jawab pengendali data pribadi. Pasal 47 mewajibkan pengendali bertanggung jawab atas pemrosesan dan dapat menunjukkan pertanggungjawaban dalam pemenuhan prinsip pelindungan data pribadi.
Pelanggaran kewajiban dalam UU PDP dapat menimbulkan sanksi administratif. Pasal 57 mencakup teguran tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data, dan denda administratif sampai dengan 2% dari pendapatan tahunan atau penerimaan tahunan yang terkait dengan variabel pelanggaran sesuai ketentuan UU PDP.
Selain sanksi administratif, UU PDP juga mengatur hak subjek data untuk mengajukan gugatan dan menerima ganti rugi. Ketentuan pidana dalam UU PDP berlaku untuk perbuatan tertentu yang secara khusus dirumuskan sebagai tindak pidana, termasuk perolehan, pengungkapan, penggunaan data pribadi secara melawan hukum, serta pemalsuan data. Pertanggungjawaban pidana korporasi memiliki ketentuan tersendiri dan tidak berarti setiap kegagalan memenuhi permintaan penghapusan otomatis menjadi tindak pidana.
Karena itu, perusahaan sebaiknya membedakan risiko administratif, perdata, dan pidana ketika melakukan penilaian terhadap suatu insiden atau kegagalan kepatuhan.
Apa yang Perlu Disiapkan Sebelum PP 33/2026 Berlaku
PP 33/2026 akan mulai berlaku pada 16 Januari 2027. Sampai tanggal tersebut, UU PDP tetap menjadi dasar utama kewajiban pelindungan data pribadi yang sudah berlaku. PP 33/2026 memberikan rincian tambahan yang perlu diterjemahkan ke dalam prosedur perusahaan.
Untuk permintaan penghapusan, perusahaan dapat mulai memeriksa beberapa hal berikut:
- Apakah sudah ada kanal resmi untuk permintaan hak subjek data?
- Siapa yang bertanggung jawab menerima dan memverifikasi permintaan?
- Apakah perusahaan memiliki inventaris lokasi penyimpanan data pribadi?
- Apakah jadwal retensi sudah ditetapkan untuk setiap kategori data?
- Apakah aturan sektoral yang relevan sudah dipetakan?
- Apakah kontrak dengan vendor mengatur instruksi penghapusan dan pemusnahan?
- Apakah backup dan dokumen fisik sudah masuk dalam prosedur penghapusan?
- Apakah perusahaan memiliki format keputusan untuk mengabulkan, menolak, atau memenuhi sebagian permintaan?
- Apakah bukti penghapusan dan pemberitahuan kepada subjek data terdokumentasi?
- Apakah prosedur tersebut sudah diuji dengan simulasi permintaan nyata?
Perusahaan yang belum memiliki prosedur sebaiknya tidak menunggu sampai PP 33/2026 mulai berlaku. Permintaan hak subjek data sudah menjadi bagian dari rezim UU PDP.
Kesimpulan
Permintaan penghapusan data pribadi harus diperlakukan sebagai proses kepatuhan hukum, bukan sekadar pekerjaan administratif atau teknis.
Perusahaan perlu memverifikasi pemohon, menentukan ruang lingkup data, memeriksa dasar retensi dan kewajiban hukum lain, mengoordinasikan penghapusan dengan vendor, melaksanakan tindakan pada sistem yang relevan, lalu memberikan pemberitahuan kepada subjek data.
PP 33/2026 memperjelas sejumlah prosedur tersebut dan akan berlaku pada 16 Januari 2027. Perusahaan yang mengelola data pelanggan, karyawan, pengguna platform, atau pihak lain sebaiknya menggunakan masa sebelum tanggal tersebut untuk menguji apakah prosedur penghapusan benar-benar dapat dijalankan sampai tingkat sistem, vendor, backup, dan dokumentasi.
Konsultasi Prosedur Penghapusan Data Pribadi Perusahaan
DDS Law Office dapat membantu perusahaan meninjau prosedur pemenuhan hak subjek data, kebijakan retensi, kontrak dengan prosesor atau vendor, serta dokumen dan mekanisme kepatuhan yang perlu disiapkan menghadapi PP 33/2026.
Untuk konsultasi hukum, hubungi DDS Law Office melalui:
Email: office@ddslaw.id
WhatsApp: +62 823-3456-0019
Dasar Hukum
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, terutama Pasal 8, Pasal 14, Pasal 15, Pasal 16, Pasal 42 sampai dengan Pasal 47, Pasal 50, dan Pasal 57. UU PDP memuat hak subjek data atas pengakhiran pemrosesan, penghapusan dan pemusnahan, kewajiban pengendali, pemberitahuan, tanggung jawab, pengecualian, serta sanksi administratif.
- Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, terutama Pasal 79 sampai dengan Pasal 89 mengenai pengakhiran pemrosesan, penghapusan, pemusnahan, pemberitahuan, dan instruksi kepada prosesor. PP ditetapkan dan diundangkan pada 16 Juli 2026 dan berdasarkan Pasal 225 mulai berlaku enam bulan setelah pengundangan.
Sumber Utama
| Sumber | Kegunaan |
| JDIH Kementerian Komunikasi dan Digital, UU Nomor 27 Tahun 2022 | Naskah UU PDP dan penjelasan pasal terkait hak serta kewajiban pengendali |
| Lembaran Negara Republik Indonesia Tahun 2026 Nomor 88, PP Nomor 33 Tahun 2026 | Dasar pengaturan teknis terbaru untuk pelaksanaan UU PDP |
| JDIH Mahkamah Konstitusi dan putusan terkait UU PDP | Referensi perubahan atau penafsiran konstitusional terhadap ketentuan UU PDP yang relevan |
Status hukum pada artikel ini disusun berdasarkan keadaan yang diketahui untuk tanggal publikasi 19 September 2026. PP 33/2026 telah diundangkan tetapi belum mulai berlaku pada tanggal tersebut. Ketentuan UU PDP yang sudah berlaku tetap menjadi dasar utama kewajiban perusahaan sampai PP tersebut efektif.