PP 33/2026 Berlaku Januari 2027: Kewajiban Sekolah untuk Data Siswa

PP No. 33 Tahun 2026 adalah peraturan pelaksana UU Pelindungan Data Pribadi, ditetapkan 16 Juli 2026 dan berlaku mulai 16 Januari 2027. Bagi sekolah, intinya: persetujuan orang tua untuk data anak harus bisa dibuktikan, data wajah butuh penilaian dampak, kebocoran data wajib diberitahukan dalam 3 x 24 jam, dan pelanggarannya bisa disanksi. Berikut langkah yang bisa dikerjakan sekolah sebelum Januari.

Apa itu PP 33 Tahun 2026 dan kapan sekolah harus siap?

Nama lengkapnya Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Ditetapkan dan diundangkan 16 Juli 2026, dimuat dalam Lembaran Negara Tahun 2026 Nomor 88, 12 bab dan 225 pasal. Pasal 225 menyatakan PP berlaku enam bulan sejak diundangkan, yaitu 16 Januari 2027. PP ini tidak mencabut peraturan apa pun; Pasal 224 menegaskan ketentuan yang ada tetap berlaku sepanjang tidak bertentangan.

Kewajiban dasar UU 27/2022 pernah kami bahas di artikel keamanan data siswa menurut UU PDP. Yang baru dari PP 33/2026 adalah rinciannya: isi pemberitahuan ke orang tua, catatan yang wajib disimpan, kapan penilaian dampak wajib, dan tenggat menanggapi permintaan.

Catatan: banyak pasal berbunyi "diatur lebih lanjut dalam Peraturan Lembaga", sementara per pertengahan September 2026 lembaga itu belum terbentuk, seperti dilaporkan CNBC Indonesia. Pasal 223 mengisi kekosongannya: sampai Peraturan Lembaga ada, pemrosesan tetap dilakukan sepanjang tidak bertentangan dengan PP, jadi sekolah tidak bisa menunggu.

Kedudukan sekolah adalah Pengendali Data Pribadi (Pasal 1 angka 4), pihak yang menentukan tujuan dan mengendalikan pemrosesan. Penyedia aplikasi, termasuk kami, adalah Prosesor Data Pribadi, dan Pasal 13 ayat (3) menegaskan pemrosesan oleh prosesor tetap tanggung jawab pengendali.

Tabel kewajiban PP 33/2026 dan artinya di sekolah

Nomor pasal merujuk teks PP; kolom terakhir adalah tafsir praktis kami, bukan bunyi aturan.

Inventaris data siswa yang biasanya dipegang sekolah

Penjelasan Pasal 74 menyebut catatan pemrosesan sebagai "inventaris dan pemetaan aliran data". Mulailah dari tabel ini; kolom dasar adalah pilihan yang menurut kami wajar, bukan ketetapan PP.

Contoh formulir persetujuan orang tua yang bisa disalin

Unsurnya mengikuti Pasal 32, 33, dan 62; tiap tujuan dapat dipilih terpisah. Ganti bagian dalam kurung siku.

FORMULIR PERSETUJUAN PEMROSESAN DATA PRIBADI PESERTA DIDIK
[Nama Sekolah], NPSN [....], alamat [....]
Narahubung pelindungan data: [nama, jabatan, nomor telepon, surel]

Saya, [nama orang tua/wali], orang tua/wali dari [nama siswa], kelas [....], NISN [....], telah membaca Pemberitahuan Pelindungan Data Pribadi [Nama Sekolah] edisi [bulan tahun] dan memahami bahwa:

1. Data yang diproses: nama, NISN, kelas, foto, nomor telepon orang tua, dan data lain yang disebut pada tiap tujuan.
2. Data dipakai hanya untuk tujuan yang saya centang. Setiap tujuan dapat saya tolak tanpa mengurangi layanan pendidikan anak saya.
3. Data disimpan selama anak saya terdaftar sebagai peserta didik ditambah [....] tahun untuk arsip, lalu dihapus sesuai kebijakan retensi sekolah.
4. Data diakses oleh [operator sekolah, wali kelas, guru BK] dan diolah penyedia aplikasi [nama penyedia] atas perintah sekolah, tidak dibagikan ke pihak lain.
5. Saya berhak meminta akses, salinan, perbaikan, penghapusan, dan menarik persetujuan ini kapan saja melalui narahubung di atas; sekolah menindaklanjuti paling lambat 3 x 24 jam setelah verifikasi.

Persetujuan (centang yang disetujui):
[ ] Pencatatan kehadiran dengan pengenalan wajah; yang disimpan berupa foto pendaftaran dan sidik wajah hasil olahan, dihapus saat anak lulus, pindah, atau persetujuan ditarik.
[ ] Pengiriman pemberitahuan kehadiran, jadwal, dan informasi sekolah ke nomor WhatsApp [....] pada jam wajar.
[ ] Pemuatan foto atau video kegiatan dan prestasi anak saya di website dan media sosial resmi sekolah.
[ ] Pemuatan nama dan foto anak saya pada dokumentasi kegiatan di grup WhatsApp kelas.

[Kota], [tanggal]
Orang tua/wali: (tanda tangan, nama jelas, nomor telepon)
Diterima sekolah: (nama petugas, tanggal, nomor registrasi)

Pindai formulir yang sudah ditandatangani dan simpan dengan nomor registrasi, karena Pasal 36 mewajibkan sekolah menunjukkan bukti persetujuan; catat nomornya di data induk supaya wali kelas tahu anak mana yang boleh difoto. Siswa yang sudah 18 tahun memberi persetujuan sendiri.

Checklist 90 hari menjelang 16 Januari 2027

Kalau dimulai akhir Oktober, waktunya kurang lebih tiga bulan: tata kelola dulu, dokumen kemudian, baru sosialisasi.

Minggu 1 sampai 4: tata kelola dan inventaris

1. Kepala sekolah menerbitkan SK penanggung jawab pelindungan data (calon PPDP) dan narahubung.
2. Isi tabel inventaris data (Pasal 74) termasuk lokasi penyimpanan dan siapa yang mengakses.
3. Daftar semua penyedia aplikasi yang memegang data siswa; minta perjanjian pemrosesan data (Pasal 14) dan tanyakan cara mereka melapor insiden, karena Pasal 118 mewajibkan prosesor melapor pada kesempatan pertama.

Minggu 5 sampai 8: dokumen

1. Tulis Pemberitahuan Pelindungan Data Pribadi (Pasal 62) dengan bahasa orang tua, bukan bahasa pasal.
2. Susun ketentuan internal pemrosesan (Pasal 28) dan kebijakan masa retensi (Pasal 75): berapa lama data alumni, wajah, CCTV, dan catatan BK disimpan.
3. Buat penilaian dampak untuk absensi wajah (Pasal 120 dan 121): deskripsi dan tujuan, proporsionalitas, risiko terhadap hak siswa, langkah pelindungan.
4. Siapkan formulir persetujuan dan prosedur penanganan insiden (Pasal 117), termasuk template surat pemberitahuan 3 x 24 jam.

Minggu 9 sampai 12: sosialisasi dan pelaksanaan

1. Rapat orang tua per kelas: bagikan pemberitahuan dan formulir, jelaskan hak menolak.
2. Matikan pendaftaran wajah dan publikasi foto untuk siswa yang orang tuanya tidak setuju.
3. Bersih-bersih: hapus berkas Excel data siswa dari HP dan laptop pribadi serta data alumni yang habis retensinya, dengan berita acara (Pasal 86).
4. Uji prosedur: simulasikan "HP operator hilang" dan cek apakah surat pemberitahuan bisa keluar dalam 3 x 24 jam.
5. Buka kanal permohonan hak (Pasal 21) dengan buku register bertanggal; Pasal 22 menghitung tenggat dari tanggal tanda terima.

Kesalahan umum yang sebaiknya dihentikan sebelum Januari

• Menyebar foto siswa tanpa persetujuan. Foto anak di media sosial sekolah atau grup WA adalah pemrosesan data anak; tanpa persetujuan orang tua, ini melanggar Pasal 38 ayat (2), yang ada dalam daftar sanksi Pasal 184.
• Mengirim berkas Dapodik lengkap ke grup WA guru. Pasal 59 meminta data yang diproses tidak melebihi yang dibutuhkan; wali kelas tidak memerlukan NIK seluruh sekolah.
• Persetujuan borongan di formulir PPDB. Kalimat "saya setuju data anak saya digunakan untuk keperluan sekolah" tidak spesifik seperti yang diminta Pasal 32 ayat (2).
• Menyalakan absensi wajah untuk semua siswa sekaligus. Data biometrik anak wajib persetujuan per anak dan penilaian dampak lebih dulu; ulasannya ada di artikel apakah absensi wajah aman menurut UU PDP.
• Tidak ada yang tahu harus lapor ke siapa. Tenggat 3 x 24 jam dihitung sejak kegagalan diketahui secara pasti, patut, dan wajar (Pasal 114 ayat 2); tanpa prosedur, tiga hari habis untuk saling bertanya.

Apa yang bisa dibantu aplikasi, dan apa yang tetap pekerjaan sekolah

Tidak ada aplikasi yang bisa membuatkan persetujuan orang tua, menyusun penilaian dampak, atau menerbitkan SK penanggung jawab. Perangkat lunak hanya meringankan sisi teknisnya. Di SiTuntas, data induk siswa diimpor dari Excel hasil unduhan Dapodik (belum ada integrasi langsung), lalu akses diatur per peran dengan log aktivitas, sehingga berkas Excel tidak perlu beredar setelah diimpor. Absensi wajah hanya aktif setelah orang tua menyetujui dan data wajah dihapus bila persetujuan dicabut; orang tua bisa mengunduh data anak serta mengajukan koreksi atau penghapusan dari portal.

Sebagai prosesor, penyedia mana pun, termasuk kami, tunduk pada Pasal 139 sampai 141: memproses hanya atas perintah sekolah, mendokumentasikan kegiatannya, dan siap diaudit. Mintalah perjanjian pemrosesan data dari setiap penyedia. Kalau penyedia tidak bisa menjelaskan data apa yang disimpan, di mana, dan berapa lama, itu sudah jawaban.

Pertanyaan yang sering diajukan

Apakah sekolah negeri termasuk pengendali data yang tunduk pada PP 33/2026?

Ya. Pasal 1 angka 4 menyebut pengendali adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data, termasuk Badan Publik; sekolah menentukan data apa yang dikumpulkan dari siswa dan untuk apa. Memakai aplikasi pihak ketiga tidak mengubahnya, karena Pasal 13 ayat (3) menyatakan pemrosesan oleh prosesor tetap tanggung jawab pengendali.

Apakah data Dapodik juga harus minta persetujuan orang tua?

Persetujuan hanya satu dari enam dasar pemrosesan di Pasal 30; pengisian Dapodik adalah kewajiban sekolah berdasarkan peraturan, sehingga dasarnya lebih dekat ke pelayanan publik atau kewajiban hukum. Namun Pasal 62 ayat (2) mewajibkan informasi untuk semua dasar pemrosesan, jadi orang tua tetap harus tahu data apa yang diisikan, untuk apa, dan berapa lama disimpan. Hubungan Pasal 38 dengan dasar pelayanan publik masih menunggu Peraturan Lembaga; yang aman, beri informasi dan minta persetujuan untuk hal di luar kewajiban hukum.

Bagaimana kalau orang tua menolak absensi wajah untuk anaknya?

Anak itu tidak didaftarkan ke sistem wajah, dan Pasal 35 ayat (1) menegaskan sekolah tetap memberikan layanan dengan kualitas yang sama, misalnya absen dicatat wali kelas. Kalau persetujuan yang sudah diberikan lalu ditarik, Pasal 92 mewajibkan pemrosesan dihentikan paling lambat 3 x 24 jam setelah verifikasi, dan data wajahnya dihapus sesuai Pasal 82.

Apakah sekolah kecil wajib punya pejabat pelindungan data (PPDP)?

Pasal 142 ayat (1) mewajibkan PPDP antara lain untuk pemrosesan demi kepentingan pelayanan publik, dan sekolah negeri menjalankan pelayanan publik pendidikan. Namun Pasal 144 menyebut kewajiban itu mempertimbangkan ukuran organisasi, PPDP boleh dari luar, dan rinciannya menunggu Peraturan Lembaga. Langkah aman: tunjuk satu penanggung jawab dengan SK kepala sekolah dan tanyakan ke dinas soal PPDP bersama.

Lembaga PDP belum terbentuk, apakah sekolah tetap harus siap pada Januari 2027?

Tetap. PP berlaku 16 Januari 2027 menurut Pasal 225, tidak bergantung pada terbentuknya Lembaga, dan Pasal 223 mengatur pemrosesan tetap dijalankan sepanjang tidak bertentangan dengan PP sampai Peraturan Lembaga terbit. Yang belum ada hanyalah pihak yang menjatuhkan sanksi administratif; kewajiban dasarnya sudah berlaku dan bisa menjadi dasar gugatan pihak yang dirugikan.