Rancangan Perpres Badan PDP Masuk Tahap Final, Komdigi Juga Periksa Insiden Data Pelanggan Fore

Kementerian Komunikasi dan Digital (Kemkomdigi) menyatakan Rancangan Peraturan Presiden (Perpres) tentang pembentukan Badan Pengawas Pelindungan Data Pribadi (PDP) sudah masuk tahap final dan telah diajukan kepada Presiden melalui Kementerian Sekretariat Negara. Keterangan itu disampaikan Direktur Strategi dan Kebijakan Pengawasan Ruang Digital Kemkomdigi Muchtarul Huda di Jakarta, Rabu (4/11/2026). Pada hari yang sama, Kemkomdigi juga menyatakan sedang memeriksa laporan insiden akses tanpa izin ke salah satu platform pengelola data pelanggan PT Fore Kopi Indonesia Tbk. Menurut temuan awal perusahaan, insiden itu berdampak pada data hingga sekitar 5,7 juta akun pelanggan.

Dua kabar ini ternyata saling terkait erat. Undang-Undang Pelindungan Data Pribadi sudah berlaku sejak Oktober 2022, tetapi lembaga yang seharusnya mengawasi kepatuhan dan menjatuhkan sanksi belum terbentuk. Sementara itu, selama masa transisi, tugas pengawasan masih dijalankan Kemkomdigi. Bagi pelajar dan mahasiswa yang setiap hari mendaftar ke aplikasi belajar, aplikasi kopi, sampai layanan AI, kabar ini menyangkut langsung siapa yang akan mengawasi data mereka.

Ringkasnya: Rancangan Perpres Badan PDP sudah diajukan ke Presiden lewat Kemensetneg, menurut Kemkomdigi pada Rabu (4/11/2026). Kemkomdigi menyiapkan satuan tugas khusus untuk masa transisi. Di saat yang sama, kementerian memeriksa laporan insiden data pelanggan Fore yang disampaikan perusahaan pada 28 Oktober 2026. Menurut Kemkomdigi, sanksi hanya bisa dikenakan bila terbukti ada kelalaian atau pelanggaran, dan pihak maupun jenis sanksinya belum dapat ditentukan sebelum pemeriksaan selesai.

Daftar Isi

• Sejauh mana pembentukan Badan PDP
• Kronologi rancangan Perpres Badan PDP
• Pemeriksaan insiden data pelanggan Fore
• Apa tugas Badan PDP menurut UU
• Apa yang bisa kamu lakukan sekarang
• FAQ

Sejauh mana pembentukan Badan PDP saat ini?

Menurut Antara, rancangan Perpres untuk lembaga ini sudah tidak lagi berada di meja kementerian teknis, dan dokumen itu kini menunggu keputusan Presiden setelah diajukan lewat Kementerian Sekretariat Negara.

"Rancangan Perpres untuk pembentukan lembaga PDP telah pada tahap final dan saat ini sudah diajukan kepada Presiden melalui Kementerian Sekretariat Negara," kata Muchtarul Huda, Direktur Strategi dan Kebijakan Pengawasan Ruang Digital Kemkomdigi, seperti dikutip Antara.

Bukan hanya menunggu Perpres, Kemkomdigi ternyata juga menyiapkan tim untuk masa peralihan, yaitu perpindahan tugas pengawasan dari Kemkomdigi ke badan pengawas yang independen. Pernyataan yang sama juga dimuat Bisnis.com dari jawaban tertulis Muchtarul.

"Kementerian Komdigi juga sudah menyiapkan satuan tugas khusus untuk memastikan proses transisi berjalan lancar," kata Muchtarul Huda.

Namun, belum ada tanggal pasti kapan Perpres ditetapkan. Kemkomdigi sebelumnya menargetkan pembentukan badan ini rampung pada 2026. Dalam siaran pers Komdigi 22 Juli 2026, Wakil Menteri Komunikasi dan Digital Nezar Patria menyebut badan ini dirancang bekerja mandiri, terpisah dari struktur kementerian.

"Badan pelindungan data pribadi ini akan bekerja secara independen dengan seluruh strukturnya, tetapi semua laporannya ditujukan kepada presiden melalui Kementerian Komdigi," kata Nezar Patria dalam siaran pers tersebut.

Bagaimana kronologi rancangan Perpres Badan PDP?

Perjalanan aturan ini ternyata cukup panjang, lebih dari empat tahun sejak undang-undangnya terbit. Antara mencatat rincian tahapannya dari penjelasan Direktur Jenderal Pengawasan Ruang Digital Kemkomdigi Alexander Sabar dalam rapat bersama Komisi I DPR pada Rabu (4/2/2026).

Waktu	Tahap
17 Oktober 2022	UU 27/2022 tentang PDP diundangkan
Akhir 2022 sampai 2024	Rancangan Perpres disusun
4 Maret 2025	Izin prakarsa dari Presiden
Maret sampai September 2025	Pembahasan Panitia Antar Kementerian
Oktober 2025 sampai 2026	Harmonisasi di Kementerian Hukum
4 November 2026	Kemkomdigi menyatakan rancangan sudah final dan telah diajukan ke Presiden

Menurut Antara, rancangan itu disusun sejak akhir 2022 hingga 2024, lalu disampaikan ke Kemenpan RB selaku kementerian pemrakarsa. Setelah izin prakarsa keluar, Panitia Antar Kementerian yang dipimpin Kemenpan RB membahasnya selama tujuh bulan. Harmonisasi di Kementerian Hukum kemudian dimulai pada Oktober 2025 dan, menurut laporan Antara pada Februari 2026, masih berlangsung saat itu.

"Pada tahun 2026 pembahasan akan dilanjutkan di tingkat harmonisasi dan ditargetkan dapat diselesaikan pada tahun ini hingga ditetapkan oleh Bapak Presiden (Prabowo Subianto)," ujar Alexander Sabar, Direktur Jenderal Pengawasan Ruang Digital Kemkomdigi, dalam rapat tersebut seperti dikutip Antara.

Padahal, Pasal 74 UU PDP memberi waktu penyesuaian paling lama dua tahun sejak undang-undang diundangkan. Artinya, masa penyesuaian bagi pengendali dan prosesor data sudah berakhir pada Oktober 2024, sementara lembaga pengawasnya baru mendekati tahap penetapan.

Apa yang sedang diperiksa Komdigi dalam insiden Fore?

Kasus Fore memperlihatkan bagaimana pengawasan berjalan selama lembaga itu belum terbentuk. Menurut Kompas.com, Fore mengumumkan pada Rabu (28/10/2026) bahwa ada akses tanpa izin ke salah satu platform yang dipakai untuk mengelola data pelanggan, dengan dampak pada data hingga 5,7 juta akun. Perusahaan menyebut akses itu sudah dihentikan dan sistem diamankan dalam 24 jam sejak teridentifikasi.

Namun, data yang terdampak berbeda pada tiap pelanggan, dan isinya bisa mencakup nama, alamat email, nomor telepon, tanggal lahir, jenis kelamin, alamat di aplikasi, PIN yang sudah di-hash, dan riwayat pembelian. Fore menyatakan aplikasinya tidak meminta atau menyimpan NIK dan foto KTP, dan informasi pembayaran disimpan di platform terpisah. Hingga Rabu (28/10/2026), perusahaan menyatakan belum menemukan indikasi penyalahgunaan data tersebut, dan investigasi forensik oleh konsultan keamanan siber masih berlangsung.

"Kami memahami kekhawatiran yang ditimbulkan oleh kejadian ini dan dengan tulus meminta maaf kepada pelanggan yang terdampak. Melindungi data pelanggan merupakan tanggung jawab kami," ujar Vico Lomar, CEO Fore Kopi, seperti dikutip Kompas.com.

Kini, giliran Kemkomdigi yang memeriksa. Menurut Bisnis.com, Muchtarul memastikan Fore melapor ke Kemkomdigi pada 28 Oktober 2026. Antara dan Media Indonesia memuat keterangan tertulisnya soal kemungkinan sanksi.

"Apabila terbukti terdapat kelalaian atau pelanggaran terhadap kewajiban pelindungan data pribadi, dapat dikenakan tindakan dan/atau sanksi administratif sesuai dengan ketentuan peraturan perundang-undangan," kata Muchtarul Huda dalam keterangan tertulis, Rabu (4/11/2026).

Namun, Kemkomdigi belum menyimpulkan siapa yang bertanggung jawab. Menurut Media Indonesia, siaran pers Fore menyebut insiden itu dipicu kerentanan pada salah satu platform pihak ketiga yang dipakai untuk mengelola data pelanggan. Bisnis.com mencatat, menurut Pasal 51 UU PDP, pemrosesan oleh prosesor data tetap menjadi tanggung jawab pengendali data, kecuali prosesor memproses data di luar perintah dan tujuan yang ditetapkan pengendali. Kemkomdigi tidak menyebut pasal ini sebagai kesimpulan atas kasus Fore.

Alhasil, menurut jawaban tertulis Muchtarul yang dikutip Bisnis.com, pihak yang akan dikenai sanksi maupun jenis sanksi administratifnya belum dapat ditentukan sebelum proses pemeriksaan selesai.

Apa tugas Badan PDP menurut UU PDP?

Menurut teks resmi UU 27/2022, Pasal 58 menyebut penyelenggaraan pelindungan data pribadi dilaksanakan oleh lembaga yang ditetapkan oleh Presiden dan bertanggung jawab kepada Presiden. Rincian kelembagaannya diatur dengan Perpres, yaitu aturan yang kini menunggu keputusan Presiden.

Pasal 59 dan 60 kemudian merinci pekerjaannya. Lembaga ini merumuskan kebijakan, mengawasi kepatuhan pengendali data, menjatuhkan sanksi administratif, dan membantu aparat penegak hukum. Kewenangannya justru lebih luas dari sekadar menghukum, karena ia juga memfasilitasi penyelesaian sengketa di luar pengadilan dan menilai syarat transfer data ke luar negeri.

Bahkan, UU yang sama sudah mengatur kewajiban umum saat terjadi insiden data. Pasal 46 mewajibkan pengendali data memberi tahu pemilik data dan lembaga secara tertulis paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan data. Untuk sanksi, Pasal 57 mengatur peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, hingga denda administratif paling tinggi 2 persen dari pendapatan tahunan, seperti dirangkum Bisnis.com dan tertulis di teks UU.

Untuk pengawasan saat ini, Muchtarul menyebut ketentuan UU PDP diatur lebih lanjut dalam PP Nomor 33 Tahun 2026. Menurut Pasal 224 PP itu, aturan pelindungan data lain tetap berlaku sepanjang tidak bertentangan, sehingga PP Nomor 71 Tahun 2019 tentang penyelenggaraan sistem dan transaksi elektronik tetap dapat menjadi rujukan sepanjang relevan.

Apa artinya bagi pelajar dan mahasiswa, dan apa yang bisa dilakukan sekarang?

Salah satu kelompok yang datanya paling tersebar justru pelajar dan mahasiswa: aplikasi kampus, platform kursus, dompet digital, sampai aplikasi pesan kopi dekat kampus. Begitu Badan PDP berdiri, akan ada lembaga khusus yang bisa menerima aduan dan menjatuhkan sanksi. Namun sebelum itu, ada 5 langkah yang bisa kamu lakukan hari ini:

1. Ganti PIN atau kata sandi kalau kamu pelanggan Fore. Fore meminta pelanggan yang menerima pemberitahuan segera mengganti PIN, juga di akun lain yang memakai kombinasi sama.
2. Waspadai pesan yang mengatasnamakan perusahaan. Data yang tampak sepele seperti nomor telepon dan email justru bisa dipakai untuk penipuan yang terlihat meyakinkan. Jangan pernah memberikan PIN atau kode OTP kepada siapa pun, termasuk yang mengaku petugas.
3. Nyalakan verifikasi dua langkah. Fore sudah menerapkan autentikasi dua faktor saat masuk dari perangkat baru. Aktifkan fitur serupa di email, media sosial, dan akun kampus.
4. Pilah data sebelum mengunggah ke aplikasi atau AI. Jangan masukkan NIK, foto KTP, atau dokumen pribadi kalau tidak perlu. Daftar periksa lengkapnya ada di panduan seberapa aman data kamu saat pakai AI.
5. Ikuti perkembangan aturan digital. Pemerintah juga menyoroti risiko AI di sektor sensitif, seperti kami laporkan dalam berita peringatan Nezar Patria soal agentic AI. Ada pula kasus Komdigi meminta klarifikasi Meta soal Meta AI.

FAQ: Badan PDP dan insiden data Fore

Apa itu Badan PDP?

Badan PDP adalah lembaga yang diamanatkan UU 27/2022 untuk menyelenggarakan pelindungan data pribadi. Lembaga ini ditetapkan oleh Presiden, bertanggung jawab kepada Presiden, dan berwenang mengawasi kepatuhan serta menjatuhkan sanksi administratif.

Kapan Badan PDP dibentuk?

Belum ada tanggal pasti. Pada Rabu, 4 November 2026, Kemkomdigi menyatakan rancangan Perpres pembentukannya sudah masuk tahap final dan diajukan kepada Presiden melalui Kementerian Sekretariat Negara. Kemkomdigi sebelumnya menargetkan pembentukan rampung pada 2026.

Siapa yang mengawasi pelindungan data pribadi sebelum Badan PDP berdiri?

Selama masa transisi, pengawasan masih dijalankan Kemkomdigi. Kementerian menyiapkan satuan tugas khusus supaya peralihan tugas ke badan independen berjalan lancar.

Berapa akun yang terdampak insiden Fore dan data apa saja?

Menurut temuan awal Fore, hingga sekitar 5,7 juta akun pelanggan. Data yang terdampak berbeda pada tiap pelanggan dan bisa mencakup nama, email, nomor telepon, tanggal lahir, jenis kelamin, alamat, PIN yang sudah di-hash, dan riwayat pembelian. Fore menyatakan aplikasinya tidak pernah meminta atau menyimpan NIK dan foto KTP, dan informasi pembayaran tidak tersimpan di platform yang terdampak.

Apakah Fore akan dikenai sanksi?

Belum ada keputusan. Kemkomdigi menyatakan sanksi hanya dapat dikenakan apabila terbukti ada kelalaian atau pelanggaran, dan pihak yang dikenai maupun jenis sanksinya belum dapat ditentukan sebelum pemeriksaan dan pembuktian selesai. Secara umum, UU PDP mengatur sanksi administratif bagi pelanggar, mulai dari peringatan tertulis hingga denda paling tinggi 2 persen dari pendapatan tahunan.

Rancangan Perpres yang kini di meja Presiden menjadi langkah terakhir sebelum Indonesia punya pengawas data pribadi yang mandiri. Sementara itu, kasus Fore menunjukkan bahwa pelaporan insiden dan pemeriksaan sudah berjalan di masa transisi, dan pemilik data tetap perlu berjaga.

Sebelum mendaftar ke aplikasi baru, ada baiknya membaca dulu kebijakan privasinya, walau sering panjang dan kaku. Tanya Dokumen di kakak.ai bisa membantu kamu memahami dokumen panjang seperti itu: unggah berkasnya, lalu tanyakan data apa yang dikumpulkan dan untuk apa, sambil tetap mengecek jawabannya ke teks aslinya. Coba Sekarang, Gratis.