Peraturan Pemerintah Nomor 33 Tahun 2026, aturan pelaksana Undang-Undang Pelindungan Data Pribadi (UU PDP), ditetapkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Kementerian Komunikasi dan Digital mengimbau pelaku usaha segera bersiap. “Komdigi mengimbau seluruh instansi pemerintah, pelaku usaha, dan masyarakat untuk segera melakukan audit internal,” kata Plt Kepala Biro Humas Kemkomdigi Farida Dewi Maharani, seperti dikutip Bisnis.com, 13 September 2026.
Bagi pemilik ruko, audit itu bisa dimulai dari kamera CCTV. Banyak toko, kafe, klinik, dan laundry memasangnya. Kamera itu merekam wajah pelanggan, karyawan, dan orang yang lewat di depan toko, dan wajah termasuk data pribadi.
CCTV di rumah dan CCTV di ruko diperlakukan berbeda
Pasal 2 ayat (2) UU PDP menyatakan undang-undang ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Kamera di teras rumah untuk menjaga keluarga Anda umumnya masuk wilayah ini.
Kamera di ruko yang dipakai untuk usaha sulit dimasukkan ke pengecualian itu. Begitu CCTV merekam pelanggan dan karyawan demi kepentingan bisnis, pemilik usaha bertindak sebagai Pengendali Data Pribadi: pihak yang menentukan tujuan dan mengendalikan pemrosesan data (Pasal 1 angka 4). Pasal 19 menegaskan pengendali mencakup “Setiap Orang”, termasuk usaha perorangan tanpa PT.
Ruko yang lantai bawahnya toko dan lantai atasnya tempat tinggal perlu dipilah per kamera. Kamera di ruang keluarga lantai 3 berbeda statusnya dari kamera yang menyorot meja kasir.
Tiga syarat kamera yang menyorot area umum
Pasal 17 ayat (1) UU PDP khusus mengatur “alat pemroses atau pengolah data visual di tempat umum dan/atau pada fasilitas pelayanan publik”. Pemasangannya harus memenuhi tiga ketentuan:
| Ketentuan Pasal 17 ayat (1) | Artinya untuk ruko |
|---|---|
| a. Untuk tujuan keamanan, pencegahan bencana, dan/atau penyelenggaraan lalu lintas | Kamera dipasang untuk keamanan toko saja |
| b. Harus menampilkan informasi pada area yang dipasang kamera | Pasang pemberitahuan yang terlihat, misalnya “Area ini direkam CCTV untuk keamanan” |
| c. Tidak digunakan untuk mengidentifikasi seseorang | Rekaman tidak dipakai untuk mengenali dan melacak orang tertentu |
Ayat (2) mengecualikan huruf b dan c untuk pencegahan tindak pidana dan proses penegakan hukum. Kalau terjadi pencurian, rekaman boleh dipakai untuk mengenali pelaku, misalnya sebagai bukti laporan ke polisi.
UU PDP tidak merinci batas “tempat umum” di penjelasan Pasal 17. Trotoar dan jalan di depan ruko jelas area umum. Ruang toko yang terbuka untuk pengunjung belum tentu dihitung tempat umum, tapi paling aman diperlakukan sama: pasang pemberitahuan dan batasi tujuannya untuk keamanan.
Fitur pengenal wajah perlu dicek
Sebagian kamera murah dijual dengan fitur face recognition atau pencatat wajah pengunjung. Fitur ini bekerja dengan mengidentifikasi orang, dan itu bertabrakan dengan huruf c di atas, kecuali untuk pencegahan tindak pidana. Kalau tidak butuh, matikan saja dari aplikasi kameranya.
Kewajiban lain setelah kamera terpasang
Pasal 17 hanya mengatur pemasangan. Setelah rekaman tersimpan, pemilik usaha tunduk pada kewajiban umum pengendali data:
- Punya dasar pemrosesan (Pasal 20). Ayat (2) menyediakan beberapa dasar, dari persetujuan eksplisit sampai “pemenuhan kepentingan yang sah lainnya” dengan memperhatikan keseimbangan kepentingan pengendali dan hak subjek data. Untuk kamera keamanan toko, dasar yang paling cocok biasanya kepentingan yang sah. Tulis tujuannya.
- Menjaga keamanan rekaman (Pasal 35). Pengendali wajib melindungi data yang diprosesnya dengan langkah teknis. Praktisnya: ganti kata sandi bawaan DVR/NVR, jangan bagikan akun aplikasi ke semua karyawan, dan taruh perekamnya di ruang yang terkunci.
- Menghapus yang tidak lagi diperlukan (Pasal 43 ayat 1 huruf a). UU PDP tidak menyebut angka hari. Atur hard disk agar menimpa rekaman lama secara otomatis setelah jangka waktu tertentu yang Anda tetapkan dan catat, kecuali rekaman yang sedang dipakai untuk laporan polisi.
Jangan unggah rekaman pelanggan ke media sosial
Setelah barang hilang, godaannya adalah memotong rekaman wajah terduga pelaku lalu mengunggahnya ke grup warga atau Instagram toko. Risikonya ada di Pasal 65 ayat (2): setiap orang dilarang secara melawan hukum mengungkapkan data pribadi yang bukan miliknya. Ancaman pidananya diatur Pasal 67 ayat (2), yang sejak 2 Januari 2026 disesuaikan oleh UU Nomor 1 Tahun 2026 tentang Penyesuaian Pidana: penjara paling lama 4 tahun dan/atau denda paling banyak kategori IV, yaitu Rp200 juta untuk pelaku perorangan; ancaman untuk korporasi lebih tinggi. Angka Rp4 miliar yang masih beredar di banyak artikel adalah bunyi sebelum penyesuaian.
Unsur “melawan hukum” tetap harus dibuktikan, jadi tidak setiap unggahan otomatis pidana. Jalur yang lebih aman adalah proses hukum, yang memang dikecualikan Pasal 17 ayat (2). Serahkan salinan rekaman ke polisi bersama laporan Anda.
Sanksi administratif menunggu badan yang belum ada
Pasal 57 mengatur sanksi administratif untuk pelanggaran kewajiban pengendali: peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan/atau denda paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Daftar pasal yang kena sanksi ini mencakup Pasal 20, 35, dan 43, tapi tidak Pasal 17. Yang menjatuhkannya adalah lembaga pelindungan data pribadi (ayat 4), yang menurut Pasal 58 ditetapkan oleh Presiden dan diatur lebih lanjut dengan Peraturan Presiden.
Lembaga itu belum terbentuk. “Karena tadi lembaganya atau Badan Pelindungan Data Pribadi belum terbentuk, maka sulit untuk bisa mengoperasikan,” kata Direktur Eksekutif Catalyst Policy-Works Wahyudi Djafar, seperti dimuat CNBC Indonesia, 16 September 2026. Menurutnya, tanpa badan itu, standar kepatuhan di PP 33/2026 sulit dijalankan dan diterapkan. Masa penyesuaian dua tahun di Pasal 74 sudah lewat sejak Oktober 2024, dan ketentuan pidana di Pasal 67 tidak menunggu badan itu.
Sambil menunggu, Kemkomdigi menyatakan pengawasan tetap berjalan lewat kewenangan yang saat ini dipegangnya (Bisnis.com, 13 September 2026). Aturan teknisnya juga sudah terbit.
Checklist 7 langkah untuk CCTV ruko
- Petakan kamera. Tulis daftar kamera, lokasinya, dan area yang disorot. Pisahkan kamera usaha dari kamera di area tempat tinggal.
- Tulis tujuannya. Satu kalimat cukup, misalnya “keamanan toko dan pencegahan pencurian”.
- Pasang pemberitahuan di pintu masuk dan di area yang disorot kamera.
- Atur arah kamera. Sorot pintu, kasir, dan gudang. Hindari mengarah ke dalam rumah atau ruko tetangga, dan jangan pasang di toilet atau ruang ganti karyawan.
- Matikan fitur pengenal wajah yang tidak dibutuhkan.
- Amankan akses. Ganti kata sandi bawaan, batasi siapa yang bisa membuka rekaman, dan catat setiap kali rekaman disalin.
- Tetapkan masa simpan. Atur penimpaan otomatis, dan simpan terpisah hanya rekaman yang dipakai untuk laporan resmi.
Ruko Sapphire di Kingspoint Private Residences punya muka 4,5 meter dan kedalaman 16 meter, tiga lantai plus rooftop dengan luas bangunan 172 m² dan daya listrik 2200 VA, di kisaran Rp 1,9 miliar-an, di Jl. Raya Perjuangan, Bekasi Utara. Dengan muka sesempit itu, satu kamera di atas pintu biasanya sudah menjangkau trotoar dan sebagian jalan. Tentukan titik kamera saat menata interior, sebelum toko buka. Denah dan spesifikasi unitnya ada di halaman Ruko Sapphire.
Urusan izin usahanya kami bahas di izin usaha ruko: NIB, OSS, dan SLF, dan kewajiban lapor tempat usaha ke pajak di NITKU Coretax untuk outlet ruko. Pilihan kamera dan alarm untuk rumah ada di alarm vs CCTV untuk rumah cluster.
Pertanyaan yang sering muncul
Apakah pemilik ruko wajib memasang tanda CCTV?
Untuk kamera yang dipasang di tempat umum, ya. Pasal 17 ayat (1) huruf b UU 27/2022 mewajibkan informasi ditampilkan di area yang dipasang alat pemroses data visual. Ruang toko yang terbuka untuk pengunjung paling aman diperlakukan sama.
Apakah UU PDP berlaku untuk CCTV di rumah?
Pasal 2 ayat (2) UU PDP mengecualikan pemrosesan data oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. CCTV rumah untuk keamanan keluarga umumnya masuk pengecualian ini. CCTV ruko yang dipakai untuk usaha hampir pasti tidak termasuk.
Bolehkah menyebarkan rekaman CCTV pencuri di toko?
Pasal 65 ayat (2) melarang mengungkapkan data pribadi orang lain secara melawan hukum, dengan ancaman pidana Pasal 67 ayat (2) sampai 4 tahun penjara dan/atau denda kategori IV (Rp200 juta untuk perorangan) setelah UU 1/2026. Jalur yang lebih aman adalah menyerahkan rekaman ke polisi sebagai bukti laporan, karena Pasal 17 ayat (2) mengecualikan pencegahan tindak pidana dan penegakan hukum.