UU PDP dan Cloud Kantor Hukum: Transfer Data Klien

Memindahkan berkas klien ke penyimpanan cloud dapat melibatkan beberapa pihak, lokasi server, subprosesor, dan akses dukungan teknis. Enkripsi adalah satu kontrol keamanan yang berguna, tetapi tidak dengan sendirinya menjawab apakah terjadi transfer data ke luar yurisdiksi Indonesia atau apakah syarat Pasal 56 UU Pelindungan Data Pribadi terpenuhi. UU Nomor 27 Tahun 2022 masih tercatat berlaku dalam basis data BPK. Teks dan status UU 27/2022.

Artikel ini adalah checklist awal untuk pemetaan alur data, bukan pendapat hukum untuk konfigurasi vendor tertentu. Untuk status perkara MK yang terkait ketentuan transfer, lihat putusan dan berita resmi, bukan hanya ringkasannya.

Untuk vendor lintas negara, lihat pula daftar uji kontrak dalam konteks RUU HPI. Jika file yang disimpan berupa rekaman, panduan verifikasi bukti AI dan deepfake membahas asal-usul dan salinan berkas.

Mulai dari data dan peran para pihak

Buat inventaris data yang digunakan kantor: identitas klien, kontak, dokumen transaksi, informasi keuangan, data pegawai, dan berkas komunikasi. Catat tujuan pemakaian, siapa yang memasukkan, siapa yang dapat melihat, berapa lama disimpan, dan bagaimana data dihapus atau diekspor. Bedakan data pribadi dari informasi lain, karena file yang sama bisa memuat keduanya.

Petakan peran kantor, penyedia aplikasi, penyedia cloud, pemroses pembayaran, sistem cadangan, dan subprosesor. Periksa lokasi pusat data, lokasi cadangan, negara tempat dukungan dapat mengakses, dan bagaimana vendor memberi tahu perubahan. Dropdown “region Indonesia” saja mungkin belum menjelaskan seluruh jalur penyimpanan atau dukungan; minta dokumentasi teknis yang cukup untuk memahami aliran aktual.

Baca Pasal 56 sebagai jalur transfer bertingkat

Pasal 56 UU 27/2022 mengatur transfer data pribadi oleh pengendali ke pengendali atau prosesor di luar yurisdiksi Indonesia. Pengendali harus memastikan negara penerima memiliki tingkat pelindungan setara atau lebih tinggi; bila syarat itu tidak terpenuhi, perlu pelindungan yang memadai dan mengikat; dan jika kedua jalur tersebut tidak terpenuhi, pasal mengatur persetujuan subjek data. Ketentuan lebih lanjut diatur dengan peraturan pemerintah. Baca seluruh ayat langsung dari PDF resmi UU PDP.

Secara praktis, proses ini berarti kantor perlu mengetahui tujuan transfer, penerima dan kapasitasnya, negara atau yurisdiksi yang terlibat, mekanisme pelindungan, serta dokumentasi persetujuan bila menjadi dasar yang relevan. Menyimpan file terenkripsi dapat mengurangi risiko akses tidak sah, tetapi bukan pengganti pemeriksaan jalur legal transfer. Ini adalah kesimpulan praktis dari struktur Pasal 56, bukan kutipan tambahan dari UU.

Uji kontrak, keamanan, dan retensi

Minta vendor menjelaskan lokasi data utama dan cadangan, daftar subprosesor, akses administrator, notifikasi insiden, penghapusan, ekspor data, dan prosedur ketika kontrak berakhir. Tinjau perjanjian pemrosesan, pembatasan penggunaan, standar keamanan, serta dukungan terhadap permintaan subjek data. Periksa pula siapa yang mengendalikan tujuan pemrosesan, sebab pembagian peran tidak ditentukan hanya oleh label dalam kontrak.

Contoh fiktif: sebuah kantor mengunggah akta dan kartu identitas ke sistem yang menyimpan data di Indonesia, tetapi vendor memakai tim dukungan global dan cadangan di negara lain. Kantor sebaiknya mencatat pertanyaan yang belum terjawab, meminta dokumen teknis dan kontrak, lalu menilai Pasal 56 serta dasar pemrosesan lainnya. Jangan membuat kesimpulan bahwa seluruh penggunaan cloud melanggar hukum; fakta aliran dan kontrol setiap layanan berbeda.

Buat daftar retensi berdasarkan kebutuhan dan aturan yang relevan. Akses staf harus sesuai tugas; autentikasi, pencatatan aktivitas, backup terenkripsi, dan latihan pemulihan membantu keamanan. Dokumentasikan insiden dan keputusan respons. Kontrol keamanan yang baik tidak otomatis menjawab legalitas tujuan pemrosesan, dasar pemrosesan, atau transfer lintas negara.

Untuk setiap layanan, simpan hasil penilaian vendor dan tanggal peninjauan. Tanyakan apa yang terjadi ketika subprosesor diganti, layanan berpindah wilayah, atau dukungan darurat mengakses akun. Batasi akun bersama, gunakan akses berbasis peran, dan uji pemulihan cadangan. Catatan ini mendukung tata kelola dan respons insiden, tetapi keputusan pemrosesan tetap harus sesuai tujuan, kewenangan, dan kewajiban hukum yang berlaku.

Apa arti perkara MK 133/PUU-XXIV/2026?

MK pada 25 Mei 2026 menolak seluruh permohonan pengujian terkait Pasal 62 ayat (2) UU PDP menurut informasi resmi perkara. Permohonan itu tidak menguji Pasal 56. Karena itu, hasil perkara tersebut tidak boleh diringkas seolah MK telah menyelesaikan seluruh pertanyaan transfer lintas batas. Informasi resmi MK tentang perkara 133/PUU-XXIV/2026 dan putusan di JDIH MK.

Pertanyaan umum

Jika data dienkripsi, apakah transfer lintas batas otomatis sesuai?

Tidak otomatis. Enkripsi adalah kontrol keamanan, sementara Pasal 56 mengatur prasyarat transfer ke luar yurisdiksi. Periksa alur, peran, penerima, dan dasar yang relevan.

Apakah kasus MK Mei 2026 menguji Pasal 56?

Sumber MK yang diperiksa menyebut permohonan terhadap Pasal 62 ayat (2), bukan Pasal 56.

Apa yang perlu diperiksa saat memilih vendor?

Peta lokasi, subprosesor, akses dukungan, retensi, kontrak, keamanan, dan mekanisme transfer. Status UU diperiksa pada 4 Oktober 2026.