Untuk perusahaan swasta di luar sektor keuangan, PP 71/2019 membolehkan data aplikasi disimpan di Indonesia maupun di luar negeri, asalkan pengawasan dan penegakan hukum tetap bisa berjalan. Jadi pilihan antara cloud region Indonesia, cloud luar negeri, data center lokal, atau server sendiri lebih banyak ditentukan oleh aturan sektor Anda, aturan transfer data pribadi di UU PDP, dan siapa yang sanggup mengurus sistemnya, bukan oleh satu larangan umum.
DPR mengesahkan UU Satu Data Indonesia dalam rapat paripurna 6 Oktober 2026, dan menurut pemberitaan, undang-undang itu memuat ancaman pidana penjara sampai 15 tahun untuk serangan atau sabotase terhadap Pusat Data Nasional. Seminggu sebelumnya Telkom Indonesia menerbitkan panduan standar infrastruktur cloud untuk perusahaan (29 September 2026). Undang-undang itu mengatur data pemerintah, bukan data aplikasi kasir atau ERP Anda. Tetapi pertanyaan yang muncul di rapat direksi sama: data kita sebenarnya ada di mana, dan siapa yang bertanggung jawab kalau hilang?
Apa kata aturannya
PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik membedakan dua kelompok. Penyelenggara lingkup publik (instansi pemerintah dan pihak yang ditunjuk mewakilinya) wajib mengelola dan menyimpan data di Indonesia, kecuali teknologi penyimpanannya tidak tersedia di dalam negeri. Penyelenggara lingkup privat, termasuk hampir semua perusahaan swasta, boleh menyimpan di dalam dan/atau di luar Indonesia. Syaratnya, perusahaan wajib memastikan kementerian atau lembaga tetap bisa mengawasi dan aparat tetap bisa menegakkan hukum.
Sektor keuangan punya aturan sendiri. Untuk bank umum, Pasal 35 POJK 11/POJK.03/2022 mewajibkan sistem elektronik ditempatkan di pusat data dan pusat pemulihan bencana di wilayah Indonesia. Penempatan di luar negeri hanya bisa dengan izin OJK dan untuk kriteria sistem tertentu. Asuransi dan lembaga keuangan nonbank lain punya ketentuan OJK sendiri, jadi cek aturan yang berlaku untuk izin usaha Anda sebelum memilih lokasi.
Lalu ada UU 27/2022 tentang Pelindungan Data Pribadi. Pasal 56 membolehkan transfer data pribadi ke luar negeri kalau negara penerima punya pelindungan yang setara atau lebih tinggi. Kalau tidak, harus ada pelindungan yang memadai dan mengikat, dan kalau itu pun tidak ada, harus ada persetujuan pemilik data. Aplikasi yang menyimpan data pelanggan atau karyawan di server luar negeri masuk ke pasal ini.
Empat pilihan lokasi, dibandingkan
| Pilihan | Posisi regulasi | Biaya awal | Yang Anda urus sendiri | Risiko yang sering terlupa |
|---|---|---|---|---|
| Cloud publik, region Indonesia | Paling mudah untuk sektor yang mewajibkan data di dalam negeri | Rendah, bayar sesuai pemakaian | Konfigurasi akses, backup, keamanan akun | Tagihan bulanan naik tanpa terasa, sebagian layanan belum tersedia di region lokal |
| Cloud publik, region luar negeri | Boleh untuk lingkup privat non-keuangan, tetap kena aturan transfer UU PDP | Rendah | Sama seperti di atas, ditambah dasar transfer data pribadi | Latensi dari Indonesia, sulit dipakai kalau nanti masuk sektor yang diatur |
| Data center lokal (colocation atau private cloud) | Data jelas di Indonesia | Sedang, ada kontrak minimum | Server dan sistem operasi, tergantung paket | Bergantung pada satu penyedia, pindah keluar lebih repot |
| On-premise (server di kantor) | Data jelas di Indonesia | Tinggi, beli perangkat di depan | Semuanya: listrik, pendingin, patch, backup | Tidak ada salinan di luar gedung, keahlian bergantung pada satu atau dua orang |
Kami cenderung menyarankan cloud region Indonesia untuk kebanyakan aplikasi bisnis baru, karena posisi regulasinya paling aman kalau usaha Anda kelak masuk sektor yang diatur. On-premise masih masuk akal untuk sistem yang harus tetap jalan saat internet putus, misalnya mesin di pabrik. Tetapi ini tergantung, dan tagihan cloud sebuah sistem sering sulit ditebak setelah datanya tumbuh, jadi hitung ulang biayanya tiap tahun.
Lokasi tidak sama dengan keamanan
Data di Jakarta tidak otomatis lebih aman daripada data di Singapura. Panduan Telkom tadi menyatakannya dengan lugas: "Keamanan cloud bukan sepenuhnya menjadi tanggung jawab penyedia." Penyedia menjaga gedung, jaringan, dan perangkat keras. Konfigurasi akses, kata sandi admin, dan siapa yang boleh mengunduh database tetap urusan Anda.
Data bisa bocor tanpa pusat datanya dibobol sama sekali: bucket penyimpanan yang terbuka untuk publik, akun admin bekas karyawan yang belum dimatikan, atau backup yang ternyata tidak pernah diuji pemulihannya. Semua itu bisa terjadi di lokasi mana pun.
Yang perlu disepakati di awal adalah dua angka pemulihan: berapa lama sistem boleh mati (RTO) dan berapa jam data terakhir boleh hilang (RPO). Dua angka ini menentukan biaya backup dan pusat pemulihan bencana lebih banyak daripada pilihan lokasi. Cara menetapkannya kami bahas di rencana backup dan pemulihan sistem bisnis.
Pertanyaan untuk penyedia hosting atau cloud
- Di kota dan data center mana data utama dan backup kami disimpan? Apakah ada salinan yang dikirim ke luar negeri, misalnya untuk log atau dukungan teknis?
- Sertifikasi apa yang Anda punya, dan apa cakupannya? Sertifikat ISO 27001 untuk satu kantor tidak otomatis mencakup data center yang kami pakai.
- Apa isi SLA: persentase ketersediaan, apa yang dikecualikan, dan apa kompensasinya kalau target tidak tercapai?
- Siapa di pihak Anda yang bisa mengakses data kami, dan apakah aksesnya tercatat?
- Kalau terjadi insiden yang menyangkut data pribadi, berapa lama Anda memberi tahu kami? UU PDP memberi pengendali data 3 x 24 jam untuk memberi tahu pemilik data dan lembaga, jadi pemberitahuan dari penyedia harus jauh lebih cepat.
- Bagaimana cara kami mengambil semua data dan keluar kalau kontrak selesai, dalam format apa, dan berapa biayanya?
Kalau aplikasinya dibuat oleh vendor software, tanyakan juga apakah aplikasinya bisa dipindah antar penyedia tanpa ditulis ulang. Aplikasi yang terikat ke layanan khusus satu penyedia cloud membuat pilihan lokasi Anda terkunci untuk waktu lama. Digieco mengerjakan konsultasi IT dan pembuatan software custom, dan pemetaan seperti ini biasanya kami kerjakan sebelum menulis kode. Ulasan kami tentang kapan bisnis butuh IT consultant membahas kapan pemetaan semacam itu layak dibayar.
Pertanyaan yang Sering Diajukan
Apakah perusahaan swasta wajib menyimpan data di Indonesia?
Untuk penyelenggara lingkup privat di luar sektor keuangan, PP 71/2019 membolehkan penyimpanan di dalam dan/atau di luar Indonesia. Syaratnya, pengawasan oleh kementerian atau lembaga dan penegakan hukum tetap bisa berjalan. Kalau datanya berisi data pribadi, transfer ke luar negeri juga harus memenuhi Pasal 56 UU PDP.
Bagaimana aturan lokasi data untuk bank?
Pasal 35 POJK 11/POJK.03/2022 mewajibkan bank menempatkan sistem elektronik di pusat data dan pusat pemulihan bencana di Indonesia. Penempatan di luar negeri hanya bisa dengan izin OJK dan untuk kriteria sistem tertentu. Lembaga keuangan nonbank punya ketentuan OJK tersendiri.
Apakah UU Satu Data Indonesia berlaku untuk data aplikasi perusahaan swasta?
UU yang disahkan DPR pada 6 Oktober 2026 itu mengatur data pemerintah dan infrastruktur Satu Data Indonesia, termasuk Pusat Data Nasional. Data aplikasi internal perusahaan swasta tetap diatur PP 71/2019, UU PDP, dan aturan sektornya. Naskah resmi undang-undangnya belum kami baca langsung, jadi cek kembali kalau perusahaan Anda memasok sistem untuk instansi pemerintah.
Apakah data di cloud lokal pasti lebih aman?
Tidak. Lokasi menentukan aturan yang berlaku, bukan tingkat keamanan. Konfigurasi akses, akun admin, dan backup yang teruji tetap tanggung jawab perusahaan di lokasi mana pun.
Kapan on-premise masih masuk akal?
Untuk sistem yang harus tetap berjalan saat internet putus, seperti sistem di lantai produksi, atau ketika ada aturan yang mewajibkan perangkat berada di lokasi sendiri. Konsekuensinya, semua urusan listrik, pendingin, pembaruan sistem, dan salinan data di luar gedung menjadi tanggung jawab Anda.
Butuh tim yang mengerjakan ini untuk Anda?
Javaman Digieco menyediakan dedicated team, staff augmentation, dan pengembangan software custom untuk perusahaan di Jakarta, Medan, dan seluruh Indonesia.
Hubungi Kami Sekarang