PP 33/2026 membawa Pelindungan Data Pribadi lebih dekat ke ruang kerja IT. Salah satu contohnya terlihat jelas dalam Pasal 123, yang secara eksplisit menyebut technical measures seperti encryption dan pseudonymization. Lalu, bagaimana requirement tersebut diterjemahkan ke dalam data security architecture?
Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah diterbitkan sebagai aturan pelaksana UU PDP. Ruang lingkupnya mencakup Data Pribadi, pemrosesan Data Pribadi, hak dan kewajiban, transfer Data Pribadi ke luar wilayah hukum Indonesia, pengawasan kepatuhan, hingga sanksi administratif.
Bagi organisasi, kehadiran PP ini bukan hanya kabar untuk tim Legal, Compliance, atau Privacy.
Ada bagian yang secara langsung menyentuh technology dan security controls.
Salah satunya adalah Pasal 123 tentang Pengamanan Data Pribadi.
Dan bagi IT Professional, pasal ini menarik karena pembahasannya bergerak dari pertanyaan:
Apa kewajiban organisasi?
menjadi:
Bagaimana Data Pribadi benar-benar diamankan di dalam technology environment?
Mengapa PP 33/2026 Masuk ke Ranah Technical Control?
Pelindungan Data Pribadi sering kali dimulai dari policy.
Organisasi menetapkan siapa yang bertanggung jawab, bagaimana Data Pribadi diproses, berapa lama data disimpan, siapa yang boleh mengakses, dan apa yang harus dilakukan ketika terjadi pelanggaran.
Semua itu penting.
Tetapi policy sendiri tidak mengenkripsi database.
Policy tidak menentukan bagaimana encryption key dikelola.
Policy juga tidak secara otomatis menemukan Personal Data yang tersebar di database, file server, cloud environment, atau berbagai data repository lainnya.
Di sinilah regulasi mulai bersinggungan langsung dengan IT.
Pasal 123 ayat (1) menyatakan bahwa Pengendali Data Pribadi wajib menyusun dan menerapkan langkah teknis operasional untuk melindungi Data Pribadi serta menentukan tingkat keamanan berdasarkan sifat dan risiko Data Pribadi.
Pasal yang sama kemudian secara eksplisit menyebut pseudonimisasi dan enkripsi Data Pribadi sebagai bagian dari langkah teknis tersebut. Pengendali juga perlu memastikan aspek keamanan dan ketahanan, kemampuan pemulihan akses dan ketersediaan setelah physical atau technical incident, serta melakukan pengujian, evaluasi, dan penilaian secara berkala.
Jadi, PP 33/2026 tidak hanya berbicara mengenai governance.
Sebagian requirement-nya harus diterjemahkan menjadi technical controls.
Bedah Pasal 123: Apa yang Harus Dijawab oleh IT?
Pasal 123 tidak memberikan daftar produk yang harus digunakan organisasi. Regulasi menetapkan requirement, sementara implementasinya perlu disesuaikan dengan risk, technology environment, dan kebutuhan organisasi.
Namun ada beberapa pertanyaan teknis yang muncul secara natural.
1. Data apa yang sebenarnya harus dilindungi?
Pasal 123 mengharuskan tingkat keamanan ditentukan berdasarkan sifat dan risiko Data Pribadi.
Artinya, organisasi perlu memahami terlebih dahulu data yang dimiliki dan risiko yang melekat padanya.
Ini bukan pertanyaan sederhana jika Data Pribadi tersebar di:
- database;
- file server;
- cloud storage;
- data warehouse;
- big data environment;
- application;
- backup;
- atau repository lainnya.
You cannot protect data you cannot see.
Karena itu, data discovery dan classification menjadi langkah penting sebelum menentukan protection mechanism.
2. Apakah seluruh Data Pribadi membutuhkan protection yang sama?
Tidak selalu.
Risk terhadap data keuangan pribadi, misalnya, dapat berbeda dengan data yang memiliki tingkat sensitivitas lebih rendah.
PP 33/2026 sendiri mengategorikan data keuangan pribadi sebagai bagian dari Data Pribadi yang bersifat spesifik.
Maka pendekatan yang lebih masuk akal bukan sekadar:
Encrypt everything.
Melainkan:
Understand the data, understand the risk, then apply the appropriate protection.
Inilah alasan data discovery dan classification menjadi relevan dalam membangun data protection strategy.
Encryption Disebut Secara Eksplisit. Tetapi Jangan Berhenti di Encryption.
Pasal 123 ayat (2) huruf a secara eksplisit menyebut:
“menerapkan pseudonimisasi, enkripsi Data Pribadi, dan/atau langkah teknis lainnya”
Ini menjadikan encryption salah satu technical control yang secara langsung disebut dalam PP 33/2026.
Tetapi ada pertanyaan berikutnya yang sering kali lebih sulit:
Bagaimana encryption tersebut dikelola?
Karena encryption tidak berdiri sendiri.
Ada cryptographic key di belakangnya.
Pertanyaannya kemudian:
- Siapa yang mengelola key?
- Di mana key disimpan?
- Siapa yang memiliki akses?
- Bagaimana key lifecycle dikelola?
- Bagaimana policy diterapkan ketika data berada di berbagai environment?
Jika organisasi memiliki banyak database, cloud environment, application, dan storage platform, pengelolaan encryption key secara terpisah dapat menjadi semakin kompleks.
Karena itu, data encryption dan key management perlu dipandang sebagai satu bagian dari data protection architecture, tetapi bukan hal yang sama.
Dari Requirement ke Architecture: Discover, Protect, Control
Di sinilah pendekatan Thales CipherTrust Data Security Platform menjadi relevan.
CipherTrust mengintegrasikan beberapa kemampuan data security dalam satu platform, termasuk data discovery and classification, data protection, granular access controls, dan centralized key management.
Secara sederhana, pendekatannya dapat dilihat dalam tiga tahap:
1. Discover: Kenali Data dan Risikonya
Sebelum melindungi Data Pribadi, organisasi perlu mengetahui di mana data tersebut berada.
CipherTrust Data Discovery and Classification membantu menemukan dan mengklasifikasikan sensitive data di berbagai data store, termasuk structured dan unstructured data, sehingga organisasi dapat memperoleh visibility terhadap lokasi dan risiko data.
Ini penting karena data yang diketahui lokasinya dapat dinilai, diprioritaskan, dan kemudian diberikan protection yang sesuai.
Dalam konteks Pasal 123, capability ini dapat mendukung proses organisasi dalam memahami nature dan risk Data Pribadi sebelum menentukan technical protection yang tepat.
2. Protect: Lindungi Data dengan Encryption atau Tokenization
Setelah data ditemukan dan diklasifikasikan, organisasi dapat menentukan protection mechanism yang sesuai.
CipherTrust menyediakan beberapa pendekatan, termasuk:
- data-at-rest encryption;
- database protection;
- application-layer protection;
- tokenization;
- dynamic data masking.
Thales menjelaskan bahwa CipherTrust Transparent Encryption menyediakan encryption sekaligus granular access controls untuk file, directory, dan volume, sedangkan CipherTrust Tokenization dapat menggantikan sensitive data dengan token sehingga data asli dapat dipisahkan dari sistem atau pengguna yang tidak seharusnya mengaksesnya.
Di titik ini, hubungan dengan Pasal 123 menjadi lebih konkret.
Regulasi menyebut encryption dan pseudonymization sebagai technical measures.
Technology menyediakan mekanisme untuk menerapkan data protection tersebut.
Tetapi implementasinya tetap harus ditentukan berdasarkan kebutuhan dan risk profile masing-masing organisasi.
3. Control: Jangan Lupakan Encryption Key
Ada satu layer yang sering luput ketika organisasi membicarakan encryption:
the key.
Data yang encrypted tetap membutuhkan cryptographic key untuk proses encryption dan decryption.
Karena itu, key management menjadi bagian penting dari architecture.
CipherTrust Manager berfungsi sebagai central management point untuk encryption keys dan security policies. Thales menyebut capability seperti key lifecycle management, role-based access, auditing, dan centralized management untuk encryption keys di berbagai environment.
Dengan pendekatan ini, organisasi tidak hanya bertanya:
“Apakah data kita encrypted?”
Tetapi juga:
“Apakah cryptographic keys yang melindungi data tersebut dikelola dengan governance dan access control yang tepat?”
Ini perbedaan penting antara sekadar memasang encryption dengan membangun data-centric security architecture.
Contoh Sederhana: Customer Database yang Sudah Encrypted
Bayangkan sebuah perusahaan memiliki customer database yang menyimpan:
- nama;
- alamat;
- nomor telepon;
- informasi akun;
- data keuangan tertentu.
Database tersebut sudah menggunakan encryption.
Apakah masalah selesai?
Belum tentu.
Mari kita breakdown.
Question 1
Apakah organisasi mengetahui seluruh lokasi Data Pribadi lainnya?
Bagaimana dengan file server, backup, cloud storage, atau database lain?
→ Data Discovery & Classification
Question 2
Apakah seluruh data membutuhkan protection yang sama?
→ Data Classification & Risk Analysis
Question 3
Apakah sensitive data tertentu lebih tepat menggunakan tokenization atau masking?
→ Tokenization / Data Masking
Question 4
Siapa yang mengontrol encryption key?
→ Centralized Key Management
Question 5
Siapa yang boleh mengakses data dan melakukan operasi tertentu?
→ Granular Access Control
Dengan pendekatan tersebut, data protection tidak lagi dilihat sebagai satu fitur encryption.
Ia menjadi sebuah architecture.
Bagaimana CipherTrust Mendukung Pasal 123?
Jika kita sederhanakan mapping-nya:
| Requirement Pasal 123 | Technical Need | CipherTrust Capability |
| Langkah teknis operasional | Data protection controls | Data Protection Platform |
| Security berdasarkan nature & risk | Data visibility & classification | Data Discovery & Classification |
| Pseudonymization / protection | Reduce direct exposure | Tokenization / Data Masking |
| Encryption | Protect sensitive data | Transparent Encryption / Database Protection |
| Key protection & management | Manage cryptographic lifecycle | CipherTrust Manager |
| Control terhadap data | Access governance | Granular Access Controls |
| Evaluasi dan governance | Visibility, policy, audit | Centralized management & reporting |
Namun mapping ini perlu dibaca dengan satu catatan penting:
CipherTrust bukan checklist compliance untuk Pasal 123.
PP 33/2026 tetap mengharuskan organisasi menentukan langkah teknis dan operasional berdasarkan kondisi, sifat, konteks, tujuan pemrosesan, dan risiko Data Pribadi.
CipherTrust adalah salah satu technology platform yang dapat membantu organisasi mengimplementasikan bagian dari technical controls tersebut.
Compliance Requirement vs. Technical Implementation
Di sinilah hubungan antara regulasi dan IT menjadi lebih jelas.
PP 33/2026 mengatakan:
Data Pribadi harus diamankan dengan langkah teknis dan operasional yang sesuai dengan risiko, termasuk melalui encryption, pseudonymization, dan langkah teknis lainnya.
IT kemudian harus menjawab:
Bagaimana data ditemukan?
Bagaimana data diklasifikasikan?
Bagaimana data dilindungi?
Bagaimana encryption diterapkan?
Bagaimana key dikelola?
Bagaimana akses dikontrol?
Bagaimana protection diterapkan secara konsisten di berbagai environment?
Dan itulah titik di mana regulatory requirement bertemu dengan security architecture.
Apa Artinya bagi IT Professional?
PP 33/2026 membawa satu pesan yang cukup jelas:
Pelindungan Data Pribadi tidak dapat berhenti di policy.
Ketika regulasi mulai menyebut technical measures seperti encryption dan pseudonymization, IT memiliki peran langsung dalam implementasinya.
Karena itu, readiness terhadap PP 33/2026 sebaiknya tidak hanya dimulai dari:
“Apakah policy kami sudah ada?”
Tetapi juga:
“Apakah kami tahu di mana Data Pribadi berada, risiko yang melekat padanya, dan technical controls apa yang melindunginya?”
Untuk data security, pendekatannya dapat dimulai dari tiga pertanyaan sederhana:
Discover the data.
Protect the data.
Control the protection.
Key Takeaway
Pasal 123 PP 33/2026 tidak mewajibkan organisasi menggunakan produk tertentu.
Yang diwajibkan adalah penerapan langkah teknis dan operasional untuk mengamankan Data Pribadi berdasarkan sifat dan risikonya, dengan encryption dan pseudonymization disebut secara eksplisit sebagai salah satu technical measures.
Bagi IT Professional, tantangannya adalah menerjemahkan requirement tersebut menjadi architecture yang nyata.
Thales CipherTrust dapat menjadi salah satu technology layer untuk mendukung kebutuhan tersebut, mulai dari Data Discovery & Classification, Encryption, Tokenization, Access Control, hingga centralized Key Management.
Karena pada akhirnya:
Regulation defines what needs to be protected.
Security architecture determines how it is protected.
Siap Menilai Data Protection Architecture Anda?
PP 33/2026 memberikan arah yang semakin jelas mengenai kebutuhan technical measures dalam Pelindungan Data Pribadi.
Dymar dapat membantu organisasi mengevaluasi data protection architecture dan mengidentifikasi bagaimana Data Discovery, Classification, Encryption, Tokenization, Access Control, dan Key Management dapat diterapkan sesuai dengan kebutuhan serta risk profile organisasi.
Untuk laporan lebih lanjut terkait Thales digital trust index 2026 dapat didownload di :
https://drive.google.com/file/d/1Rn8FR8mIU6KpjBSdj336J8jow4gysnT4/view?usp=sharing
Diskusikan kebutuhan Data Protection Anda bersama tim Dymar.