Komponen Biaya, Jenis Layanan & Aturan 2026
Server di luar negeri dan UU PDP: Pasal 56, PP 33/2026, dan langkah sebelum memakai cloud asing
Syarat transfer data pribadi ke luar negeri menurut UU PDP Pasal 56 dan PP 33/2026 Pasal 160–174, dampaknya pada pilihan region cloud, dan dokumen yang perlu disiapkan UMKM.
Bila data pribadi pelanggan atau karyawan disimpan atau diproses di server di luar Indonesia, itu adalah transfer data pribadi ke luar wilayah hukum Indonesia. UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) Pasal 56 membolehkannya dengan syarat berjenjang: negara penerima punya tingkat pelindungan setara atau lebih tinggi; bila tidak, ada pelindungan yang memadai dan mengikat; bila keduanya tidak terpenuhi, harus ada persetujuan subjek data. PP 33/2026, yang diundangkan 16 Juli 2026 dan berlaku mulai 16 Januari 2027, merinci langkahnya di Pasal 160–174. Panduan ini bagian dari panduan harga cloud server dan hosting. Ini bukan nasihat hukum.
UU PDP Pasal 56 dalam satu tabel
| Ayat | Isi |
|---|---|
| (1) | Pengendali data pribadi dapat mentransfer data pribadi kepada pengendali dan/atau prosesor di luar wilayah hukum Indonesia sesuai UU PDP |
| (2) | Pengendali wajib memastikan negara tempat kedudukan penerima memiliki tingkat pelindungan setara atau lebih tinggi |
| (3) | Bila ayat (2) tidak terpenuhi, pengendali wajib memastikan ada pelindungan yang memadai dan bersifat mengikat |
| (4) | Bila ayat (2) dan (3) tidak terpenuhi, pengendali wajib mendapatkan persetujuan subjek data pribadi |
| (5) | Ketentuan lebih lanjut diatur dalam peraturan pemerintah |
Dalam konteks hosting dan cloud, Anda (usaha yang memutuskan tujuan pemrosesan) biasanya adalah pengendali, dan penyedia cloud biasanya prosesor. Masa transisi UU PDP sudah berakhir pada Oktober 2024, jadi kewajiban ini sudah berlaku; PP 33/2026 menambah rincian pelaksanaan mulai 16 Januari 2027.
Yang ditambahkan PP 33/2026
Berdasarkan teks PP 33/2026 yang kami baca (salinan PDF yang beredar dengan rujukan LN 2026 No. 88 dan JDIH Setneg; per 28 Oktober 2026 salinan resminya belum kami temukan di basis data JDIH Setneg, jadi cocokkan dengan salinan resmi bila sudah terbit), Bab V mengatur transfer ke luar negeri:
- Pasal 160: transfer adalah pengendali membuat data pribadi tersedia bagi pengendali atau prosesor yang berada di luar wilayah hukum Indonesia; pengirim dan penerima sama-sama wajib melindungi data.
- Pasal 161: sebelum transfer, catat dan petakan siklus transfer, pastikan data yang dikirim cukup, relevan, dan terbatas, identifikasi instrumen hukum yang dipakai, nilai efektivitasnya, gunakan instrumen pelengkap (kontraktual, teknis, organisasional) bila perlu, dan evaluasi ulang secara berkala.
- Pasal 162–163: penilaian instrumen hukum dan penilaian risiko transfer, dengan mempertimbangkan antara lain tujuan, kategori data, tempat penyimpanan dan akses, format data (teks biasa, disamarkan, atau dienkripsi), dan kemungkinan transfer lanjutan ke negara lain.
- Pasal 164: subjek data harus diberi informasi sebelum transfer: tujuan, keberadaan instrumen pelindungan, mekanisme pelindungan, serta risiko dan mitigasinya.
- Pasal 165, 167, dan 168: urutan syarat sama dengan UU PDP Pasal 56; penilaian kesetaraan dilakukan oleh Lembaga, yang menetapkan daftar negara dengan tingkat pelindungan setara atau lebih tinggi.
- Pasal 169–171: pelindungan memadai dan mengikat dapat berupa instrumen yang mengikat secara hukum, standar klausul kontrak yang ditetapkan Lembaga, peraturan korporasi yang mengikat untuk grup usaha (dengan persetujuan Lembaga sebelum dipakai), atau instrumen lain yang diakui Lembaga.
- Pasal 173: transfer berdasarkan persetujuan hanya untuk keadaan terbatas, misalnya tidak berulang dan melibatkan subjek data dalam jumlah terbatas, dengan penilaian risiko dan pemberitahuan kepada Lembaga dan subjek data.
Artinya, untuk server utama atau backup harian di luar negeri, persetujuan pelanggan bukan jalan keluar yang praktis, karena transfernya berulang. Jalur yang realistis adalah negara dalam daftar Lembaga atau standar klausul kontrak.
Status per Oktober 2026
- Lembaga pelaksana pelindungan data pribadi belum terbentuk sepenuhnya; menurut pemberitaan Juli 2026, rancangan Perpres pembentukannya sedang difinalisasi, dan sampai lembaga terbentuk Komdigi menjalankan fungsi pengawasan. Per 28 Oktober 2026 kami belum menemukan Perpres itu diterbitkan.
- Daftar negara setara dan standar klausul kontrak dari Lembaga belum kami temukan diterbitkan.
- PP 33/2026 berlaku 16 Januari 2027.
Sambil menunggu, langkah yang wajar adalah menyiapkan dokumentasi yang toh akan diminta: peta aliran data, penilaian risiko, perjanjian pemrosesan data dengan penyedia cloud, dan pemberitahuan kepada pelanggan dalam kebijakan privasi. Cek perkembangan di Komdigi dan JDIH Setneg.
Dampak pada pilihan hosting dan biaya
| Pilihan | Pekerjaan kepatuhan tambahan | Contoh biaya ilustratif |
|---|---|---|
| Server dan backup di Indonesia | Keamanan, pemberitahuan kegagalan, kontrak prosesor | Rp0 tambahan untuk transfer |
| Server di Indonesia, backup di luar negeri | Penilaian transfer, klausul kontrak, informasi subjek data | Konsultasi hukum satu kali Rp8.000.000–Rp20.000.000 (ilustrasi) |
| Seluruh sistem di luar negeri | Seperti di atas, plus evaluasi berkala dan potensi pertanyaan dari klien atau auditor | Ditambah waktu staf untuk evaluasi tahunan |
Contoh ilustratif: menaruh backup di luar negeri menghemat Rp300.000 per bulan atau Rp3.600.000 per tahun. Bila penyusunan dokumen transfer satu kali menelan Rp12.000.000, penghematan itu baru menutup biaya dokumen dalam 40 bulan. Untuk UMKM, menaruh backup di zona atau pusat data kedua di Indonesia sering lebih sederhana. Rancangan backupnya dibahas di biaya backup, snapshot, dan pemulihan bencana.
Langkah praktis sebelum memakai cloud asing
- Petakan data: jenis data pribadi, termasuk data pribadi spesifik seperti kesehatan atau biometrik, dan di mana disimpan.
- Catat lokasi: region utama, region backup, dan lokasi dukungan teknis penyedia yang bisa mengakses data.
- Baca perjanjian pemrosesan data penyedia: subprosesor, lokasi, pemberitahuan insiden, dan penghapusan data saat kontrak berakhir.
- Nilai risiko: enkripsi saat disimpan dan dikirim, siapa memegang kunci, dan kemungkinan transfer lanjutan.
- Perbarui kebijakan privasi agar pelanggan diberi informasi tentang transfer.
- Siapkan rencana 3 × 24 jam untuk pemberitahuan kegagalan pelindungan data (UU PDP Pasal 46).
Aturan lokasi data yang lebih umum, termasuk PSE Lingkup Privat dan pilihan region di Jakarta, ada di PP 71/2019 dan region Jakarta. Replikasi dan backup lintas region juga menimbulkan biaya transfer data keluar.
Pertanyaan yang sering diajukan
Apakah memakai email atau aplikasi SaaS luar negeri juga transfer data?
Umumnya ya, bila data pribadi disimpan atau diproses di luar negeri. Prinsip yang sama berlaku untuk server, SaaS, dan backup.
Apakah enkripsi membuat transfer tidak dihitung?
PP 33/2026 menyebut format data, termasuk enkripsi, sebagai salah satu pertimbangan penilaian, bukan sebagai pengecualian. Enkripsi menurunkan risiko tetapi tidak menghapus kewajiban.
Apakah region Jakarta milik penyedia asing aman dari aturan transfer?
Bila data disimpan dan diproses di Jakarta, itu bukan transfer ke luar negeri dari sisi lokasi penyimpanan. Tetapi akses dukungan teknis dari luar negeri atau backup ke region lain perlu dicek di kontrak.
Sumber resmi
- pasal.id — teks UU 27/2022, termasuk Pasal 46 dan 56
- JDIH Sekretariat Negara — teks resmi PP 33/2026
- JDIH Komdigi — peraturan sektor komunikasi dan digital
- Portal PSE Komdigi — pendaftaran PSE Lingkup Privat
