Biaya, Model Harga & Aturan 2026
UU PDP, pendaftaran PSE, dan lokasi data: yang harus dicek pembeli ERP dan software bisnis
Kewajiban UU 27/2022 tentang Pelindungan Data Pribadi bagi pengguna ERP, peran pengendali dan prosesor, transfer data ke luar negeri, PP 71/2019, pendaftaran PSE Komdigi, dan pertanyaan untuk vendor.
Saat Anda memasukkan data karyawan, pelanggan, dan pemasok ke ERP, Anda adalah pengendali data pribadi menurut UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP), dan vendor ERP biasanya berperan sebagai prosesor yang memproses data atas perintah Anda. UU PDP diundangkan pada 17 Oktober 2022 dengan masa penyesuaian dua tahun, sehingga kewajibannya berlaku penuh sejak 17 Oktober 2024. Artinya, memilih ERP juga berarti memilih mitra yang memengaruhi kepatuhan Anda: di mana data disimpan, siapa subprosesornya, bagaimana kebocoran dilaporkan, dan bagaimana data dihapus atau dikembalikan saat kontrak berakhir.
Panduan ini bagian dari panduan utama perbandingan harga software ERP. Ini bukan nasihat hukum; untuk transfer data dalam jumlah besar atau data sensitif, konsultasikan dengan penasihat hukum. Pertimbangan lokasi data juga memengaruhi pilihan ERP cloud atau on-premise dan cara ERP terhubung ke Coretax.
Data pribadi apa yang ada di ERP
| Modul | Contoh data pribadi | Catatan |
|---|---|---|
| Penggajian dan HR | Nama, NIK, NPWP, rekening, gaji, status keluarga, data BPJS, catatan kesehatan untuk cuti sakit | Data keuangan pribadi dan data kesehatan termasuk data pribadi yang bersifat spesifik menurut UU PDP |
| CRM dan penjualan | Nama, telepon, email, alamat pelanggan orang pribadi, riwayat pembelian | Dasar pemrosesan dan tujuan perlu jelas |
| Pembelian | Nama dan rekening pemasok perorangan | Sering terlupa karena dianggap data usaha |
| Faktur pajak | NIK pembeli orang pribadi | Diproses untuk memenuhi kewajiban hukum perpajakan |
Data pribadi yang bersifat spesifik membutuhkan pelindungan lebih ketat, termasuk pembatasan hak akses. Pastikan ERP bisa membatasi siapa yang melihat gaji dan data kesehatan.
Kewajiban pengendali yang menyentuh pilihan software
UU PDP mengatur banyak kewajiban; yang paling relevan untuk pemilihan ERP:
- Keamanan pemrosesan: pengendali wajib melindungi dan memastikan keamanan data pribadi. Tanyakan enkripsi, kontrol akses, autentikasi dua faktor, dan log audit.
- Pemberitahuan kegagalan pelindungan: bila terjadi kebocoran, pengendali wajib memberitahukan secara tertulis kepada subjek data dan lembaga paling lambat 3 × 24 jam (Pasal 46). Kontrak harus mewajibkan vendor memberi tahu Anda jauh lebih cepat dari batas itu.
- Perjanjian dengan prosesor: prosesor memproses data berdasarkan perintah pengendali. Tuliskan perintah itu di perjanjian pemrosesan data.
- Hak subjek data: karyawan atau pelanggan bisa meminta akses, perbaikan, atau penghapusan data. ERP harus bisa mencari, mengekspor, dan menghapus data per orang, dengan tetap mematuhi kewajiban simpan dokumen pajak.
- Pejabat pelindungan data pribadi: UU PDP mewajibkan penunjukan pejabat atau petugas dalam kondisi tertentu (Pasal 53), misalnya pemrosesan berskala besar atau data spesifik. Cek apakah usaha Anda termasuk.
Sanksi administratif dalam UU PDP mencakup peringatan, penghentian sementara pemrosesan, penghapusan data, dan denda administratif yang dapat mencapai 2% dari pendapatan tahunan. Pelanggaran tertentu juga punya ancaman pidana.
Transfer data ke luar negeri
Banyak ERP cloud menyimpan data di pusat data luar negeri. Pasal 56 UU PDP mengatur urutan syarat transfer:
- Negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi dari UU PDP; bila tidak,
- Ada pelindungan yang memadai dan bersifat mengikat, misalnya klausul kontrak; bila tidak,
- Ada persetujuan subjek data.
Ketentuan rinci transfer diatur dalam peraturan pemerintah. Menurut ringkasan sejumlah firma hukum, peraturan pelaksananya adalah PP 33/2026 tentang Peraturan Pelaksanaan UU 27/2022, diundangkan 16 Juli 2026 dan disebut mulai berlaku 16 Januari 2027 (enam bulan setelah diundangkan). PP ini mengatur antara lain penilaian dampak (DPIA), pejabat pelindungan data, dan transfer ke luar negeri, tetapi banyak rinciannya menunggu peraturan lembaga, sementara lembaga pengawas PDP pada September 2026 diberitakan belum terbentuk sepenuhnya. Kami belum dapat membuka teks resminya, jadi cek di JDIH dan Komdigi sebelum mengandalkan rincian teknis. Dalam praktik, mintalah vendor menyebutkan negara lokasi data, daftar subprosesor, dan klausul pelindungan yang mereka tawarkan.
PP 71/2019: lokasi data dan pendaftaran PSE
PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik membedakan:
- PSE lingkup publik (instansi pemerintah dan pihak yang ditunjuk): wajib mengelola dan menyimpan sistem dan data elektronik di Indonesia, kecuali teknologi penyimpanannya tidak tersedia di dalam negeri (Pasal 20).
- PSE lingkup privat: boleh mengelola, memproses, dan menyimpan sistem dan data di dalam dan/atau di luar Indonesia, dengan kewajiban memastikan efektivitas pengawasan dan memberikan akses untuk pengawasan dan penegakan hukum (Pasal 21). Untuk sektor keuangan, ketentuan lokasi data diatur oleh otoritas sektornya.
Vendor SaaS yang melayani pengguna di Indonesia pada umumnya termasuk PSE lingkup privat yang wajib mendaftar ke kementerian yang membidangi komunikasi dan digital, kini Kementerian Komunikasi dan Digital (Komdigi), yang menggantikan Kominfo sejak Oktober 2024. Cek status pendaftaran vendor di portal PSE Komdigi. Vendor yang tidak terdaftar berisiko diblokir, dan itu berarti risiko operasional bagi Anda.
Kewajiban simpan dokumen pajak tetap berlaku
Terpisah dari UU PDP, UU KUP Pasal 28 ayat (11) dan PMK 81/2024 mewajibkan buku, catatan, dan dokumen dasar pembukuan, termasuk hasil pengolahan data, disimpan selama 10 tahun di Indonesia. Permintaan penghapusan data pribadi tidak menghapus kewajiban ini. Bila data ERP berada di luar negeri, simpan salinan arsip yang dapat Anda tunjukkan, dan bahas bentuknya dengan konsultan pajak. Lihat arsip dan retensi 10 tahun saat berganti ERP.
Pertanyaan untuk vendor
- Di negara mana data utama dan cadangan disimpan?
- Siapa saja subprosesor (hosting, email, dukungan) dan di negara mana?
- Apakah tersedia perjanjian pemrosesan data dalam bahasa Indonesia?
- Berapa lama vendor memberi tahu Anda bila terjadi insiden keamanan?
- Bagaimana data diekspor dan dihapus setelah kontrak berakhir, dan apa buktinya?
- Apakah vendor terdaftar sebagai PSE di Komdigi?
Masukkan jawabannya ke checklist memilih ERP dan ke pasal kontrak, lihat kontrak SaaS ERP.
Pertanyaan yang sering diajukan
Apakah UMKM kecil juga terkena UU PDP?
UU PDP berlaku bagi setiap orang dan badan yang memproses data pribadi, tanpa pengecualian umum untuk usaha kecil. Besarnya kewajiban praktis bergantung pada jenis dan skala data.
Apakah vendor yang menanggung bila terjadi kebocoran di servernya?
Tanggung jawab pengendali tidak berpindah begitu saja. Kontrak bisa mengatur ganti rugi dan kewajiban vendor, tetapi Anda tetap wajib memberi tahu subjek data dan lembaga.
Perlukah persetujuan karyawan untuk memproses data payroll?
Pemrosesan untuk memenuhi kontrak kerja dan kewajiban hukum (pajak, BPJS) punya dasar pemrosesan sendiri. Untuk tujuan lain, dasar pemrosesannya perlu dinilai terpisah.
Bagaimana mengecek status lembaga PDP terbaru?
Pantau pengumuman Komdigi dan JDIH. Pada September 2026 lembaga ini diberitakan belum terbentuk sepenuhnya, sementara PP 33/2026 disebut berlaku mulai 16 Januari 2027.
Sumber resmi
- Kementerian Komunikasi dan Digital — pelindungan data pribadi dan kebijakan PSE
- Portal PSE Komdigi — cek pendaftaran penyelenggara sistem elektronik
- JDIH Komdigi — peraturan menteri dan peraturan pelaksana
- Pasal.id — teks UU 27/2022 dan PP 71/2019
