Apakah UU PDP mewajibkan data klien disimpan di Indonesia?

Tidak secara mutlak. Pasal 56 UU PDP membolehkan transfer ke luar negeri jika negara penerima punya pelindungan setara atau lebih tinggi, atau ada pelindungan yang memadai dan mengikat, atau subjek data memberi persetujuan. Aturan sektor dan kontrak klien bisa lebih ketat.

Apakah menyimpan file di Google Drive atau Dropbox termasuk transfer data ke luar negeri?

Jika servernya di luar Indonesia, ya. Pasal 56 menyebut transfer kepada pengendali dan/atau prosesor di luar wilayah Indonesia, dan layanan penyimpanan cloud bertindak sebagai prosesor. Pastikan syarat Pasal 56 terpenuhi dan terdokumentasi.

Apa risikonya memakai vendor yang tidak terdaftar sebagai PSE?

Menurut Permenkominfo 5/2020, PSE lingkup privat yang tidak mendaftar bisa dikenai pemutusan akses. Jika itu terjadi pada layanan penyimpanan dokumen Anda, tim Anda bisa kehilangan akses ke file klien.

Apakah kantor hukum wajib mengikuti aturan lokasi data OJK?

Aturan OJK seperti POJK 11/POJK.03/2022 mengikat lembaga jasa keuangan, bukan kantor hukum. Tetapi bank sering meneruskan syarat serupa kepada penyedia jasanya lewat kontrak, jadi periksa perjanjian dengan klien Anda.

Transfer Data Pribadi ke Luar Negeri: Aturan untuk Kantor

Kenapa lokasi data jadi pertanyaan

Makin banyak klien korporat, terutama bank dan perusahaan besar, mengirim kuesioner vendor sebelum menunjuk kantor hukum, konsultan pajak, atau KAP. Salah satu pertanyaan yang hampir selalu muncul: di mana data kami akan disimpan?

Jawaban "di cloud" tidak lagi cukup. Ada tiga kelompok aturan yang relevan: UU Pelindungan Data Pribadi soal transfer ke luar negeri, aturan penyelenggara sistem elektronik (PSE) dari Komdigi, dan aturan sektor seperti OJK. Di luar aturan, ada juga risiko praktis: layanan yang tiba-tiba tidak bisa diakses dari Indonesia.

Panduan ini informasi umum, bukan nasihat hukum.

UU PDP: transfer data ke luar negeri (Pasal 56)

UU PDP tidak melarang data pribadi disimpan di luar negeri. Pasal 56 membolehkan transfer ke pengendali atau prosesor di luar Indonesia, dengan syarat berlapis:

Pastikan negara penerima punya tingkat pelindungan data yang setara atau lebih tinggi daripada UU PDP.
Jika tidak, pastikan ada pelindungan yang memadai dan mengikat, misalnya lewat perjanjian.
Jika keduanya tidak terpenuhi, Anda wajib mendapat persetujuan subjek data pribadi.

Perhatikan kata "prosesor" di Pasal 56 ayat 1. Menyimpan file klien di layanan cloud yang servernya di luar negeri berarti mengirim data ke prosesor di luar Indonesia. Jadi yang diatur pasal ini bukan hanya pengiriman ke kantor mitra di luar negeri.

Pelanggaran Pasal 56 ayat 2 sampai 4 bisa dikenai sanksi administratif menurut Pasal 57. Rincian mekanismenya diserahkan ke Peraturan Pemerintah (Pasal 56 ayat 5). PP Nomor 33 Tahun 2026 sebagai aturan pelaksana UU PDP diundangkan Juli 2026 dan, menurut Kompas, berlaku enam bulan kemudian. Cek naskah resminya untuk syarat teknis transfer.

PP 71/2019: lingkup publik dan lingkup privat

PP 71/2019 membedakan dua jenis penyelenggara sistem elektronik:

Lingkup publik (instansi penyelenggara negara dan institusi yang ditunjuknya). Pasal 20 ayat 2 mewajibkan pengelolaan, pemrosesan, dan penyimpanan data di wilayah Indonesia, kecuali teknologinya tidak tersedia di dalam negeri.
Lingkup privat (orang, badan usaha, dan masyarakat). Pasal 21 ayat 1 membolehkan penyimpanan di Indonesia dan/atau di luar Indonesia. Jika di luar, Pasal 21 ayat 2 dan 3 mewajibkan PSE memastikan pengawasan dan penegakan hukum tetap efektif serta memberi akses untuk keperluan itu.

Kantor hukum, konsultan pajak, dan KAP umumnya masuk lingkup privat. Tapi jika klien Anda instansi pemerintah, klien itu yang terikat Pasal 20, dan kewajibannya bisa diteruskan ke Anda lewat kontrak.

PP yang sama juga mewajibkan setiap PSE menyediakan rekam jejak audit atas seluruh kegiatan sistem elektroniknya (Pasal 22). Ini patut ditanyakan ke vendor.

Pendaftaran PSE dan risiko pemblokiran

Permenkominfo 5/2020, yang diubah dengan Permenkominfo 10/2021, mewajibkan PSE lingkup privat mendaftar sebelum sistemnya dipakai (Pasal 2). Kewajiban ini berlaku untuk PSE domestik maupun asing yang layanannya dipakai di Indonesia. Sanksi bagi yang tidak mendaftar adalah pemutusan akses (Pasal 7).

Ancaman ini bukan sekadar di atas kertas. Beberapa contoh dari siaran resmi Kemkomdigi:

17 November 2025: Kemkomdigi menyurati 25 PSE privat yang belum terdaftar dan mengingatkan sanksi hingga pemutusan akses.
25 Februari 2026: fitur login di subdomain auth.wikimedia.org dibatasi karena Wikimedia belum mendaftar sebagai PSE privat.
26 Juni 2026: pemberitahuan kepada 25 PSE privat, 15 asing dan 10 domestik, dengan tenggat 3 Juli 2026.

Apa artinya bagi kantor Anda? Jika layanan penyimpanan dokumen yang Anda pakai tidak terdaftar dan diblokir, tim Anda tidak bisa membuka file klien, mungkin tanpa pemberitahuan. Tanyakan status pendaftaran PSE vendor Anda sebelum memindahkan arsip ke sana.

Aturan sektor: contoh dari OJK

Beberapa sektor punya aturan lokasi data sendiri. Contoh yang paling sering muncul: POJK 11/POJK.03/2022 mewajibkan bank umum menempatkan sistem elektronik di pusat data dan pusat pemulihan bencana di Indonesia. Penempatan di luar negeri hanya boleh dengan kriteria tertentu dan izin OJK lebih dulu.

Aturan ini mengikat bank, bukan kantor Anda. Tetapi jika Anda menangani data nasabah atau dokumen internal bank, perjanjian kerja sama biasanya meneruskan syarat serupa kepada Anda. Baca bagian kerahasiaan dan lokasi data di kontrak klien sebelum memilih vendor.

Cara mendokumentasikan data yang keluar dari Indonesia

Memenuhi syarat Pasal 56 baru ada artinya jika Anda bisa membuktikannya. Untuk setiap vendor atau layanan yang memproses data klien di luar negeri, catat lima hal berikut di register pemrosesan Anda:

Data apa yang keluar. Misalnya seluruh file perkara, hanya email, atau hanya potongan teks yang dibaca AI.
Ke negara mana. Termasuk lokasi cadangan dan pusat dukungan, jika vendor menyebutkannya.
Lapisan Pasal 56 yang Anda pakai. Negara dengan pelindungan setara, perjanjian yang mengikat, atau persetujuan klien.
Buktinya. Perjanjian pemrosesan data, klausul pelindungan data di kontrak, atau formulir persetujuan yang sudah ditandatangani.
Tanggal peninjauan berikutnya. Kebijakan vendor berubah, dan PP 33/2026 bisa menambah syarat teknis.

Jika dasarnya persetujuan klien, ingat bahwa persetujuan bisa ditarik kembali (Pasal 9). Untuk layanan yang menyimpan arsip jangka panjang, dasar yang bergantung pada persetujuan paling rapuh.

Satu catatan untuk notaris: UU Jabatan Notaris mewajibkan minuta akta disimpan sebagai bagian dari protokol notaris. Salinan digital di cloud tidak menggantikan kewajiban itu, jadi perlakukan sebagai salinan kerja dan atur aksesnya dengan ketat.

Yang sering salah dipahami

"Semua data pribadi wajib disimpan di Indonesia." Tidak untuk sektor privat secara umum. UU PDP dan PP 71/2019 membolehkan penyimpanan di luar negeri dengan syarat.
"Server di Singapura berarti melanggar." Belum tentu. Yang penting syarat Pasal 56 terpenuhi dan bisa Anda buktikan.
"Vendor bilang datanya di Indonesia, berarti beres." Tanyakan data yang mana: file, basis data, cadangan, log, email notifikasi, dan akses tim dukungan bisa berada di tempat berbeda.
"Kalau datanya di Indonesia, tidak ada transfer." Begitu Anda menghubungkan layanan AI yang memproses di luar negeri, isi dokumen yang dibacanya ikut keluar.

Pertanyaan yang wajib Anda ajukan ke vendor

Pertanyaan	Kenapa penting
Di negara mana file kami disimpan?	Menentukan apakah Pasal 56 UU PDP berlaku
Di mana basis data, cadangan, dan log?	Lokasi file saja belum menjawab semuanya
Siapa subprosesor Anda dan di mana lokasinya?	Pasal 51 ayat 5 mensyaratkan persetujuan tertulis Anda
Apakah Anda terdaftar sebagai PSE di Komdigi?	Tanpa pendaftaran, layanan bisa diputus aksesnya
Apakah ada perjanjian pemrosesan data?	Dasar pengawasan Anda atas prosesor (Pasal 37 dan 51)
Apakah data kami dikirim ke layanan AI? Yang mana?	Pemrosesan AI sering terjadi di luar negeri
Bisakah kami melihat catatan akses?	Untuk rekaman pemrosesan (Pasal 31)
Seberapa cepat Anda memberi tahu jika terjadi insiden?	Anda sendiri punya tenggat 3 x 24 jam (Pasal 46)
Bagaimana ekspor dan penghapusan data saat kontrak selesai?	Agar data tidak tertinggal di vendor lama

Minta jawabannya tertulis dan simpan bersama register pemrosesan Anda. Jawaban yang samar atau "rahasia perusahaan" untuk pertanyaan lokasi adalah pertanda Anda perlu bertanya lebih jauh.

Bagaimana folders.id menjawab pertanyaan ini

Kami mencoba menjawab pertanyaan di tabel itu sejelas yang kami minta dari vendor lain:

File yang diunggah ke folders.id disimpan di penyedia object storage di Indonesia.
Aplikasi dan basis datanya, termasuk teks yang dibaca dari dokumen untuk pencarian, saat ini berjalan di Singapura. Artinya, sebagian data Anda diproses di luar Indonesia, dan Pasal 56 UU PDP berlaku.
Untuk daftar subprosesor, tanyakan rinciannya kepada kami sebelum Anda memutuskan. Pertanyaan di tabel tadi berlaku juga untuk kami.
Jika Anda menghubungkan AI, Anda memilih folder mana yang boleh dibacanya. Setiap pencarian, dokumen yang dibaca, dan permintaan yang ditolak tercatat, jadi Anda tahu persis apa yang keluar dan kapan.
NIK, NPWP, nomor paspor, dan nomor rekening disamarkan sebelum sampai ke AI, sehingga nomor identitas klien tidak ikut terkirim.

Lokasi data bukan sekadar soal alamat server. Yang Anda perlukan adalah jawaban tertulis yang bisa Anda tunjukkan saat klien bertanya.