Strengthening the Functional Autonomy of Data Protection Officers Under Indonesia’s PDP Law 2022: A Critical Legal and Institutional Review

Abstract

Law Number 27 of 2022 on Personal Data Protection introduces the mandatory appointment of a Data Protection Officer (DPO) as a key mechanism for accountability and compliance. This study critically examines whether Articles 53–54 of the PDP Law sufficiently guarantee the functional autonomy of the DPO in the context of Indonesia’s expanding digital economy and growing risk of data capitalism, where personal data is commodified for economic value. Using a normative-comparative legal method with the GDPR, the analysis demonstrates that although the PDP Law requires professionalism in DPO appointments, it lacks structural safeguards such as protection from interference, conflict-of-interest rules, and guaranteed access to resources—elements expressly regulated under GDPR Article 38. These gaps risk positioning the DPO as a symbolic compliance actor rather than an independent oversight mechanism. The contribution of this research lies in proposing the concept of an institutional firewall as an evaluative framework to assess and strengthen DPO autonomy in Indonesia. The findings imply the need for implementing regulations that institutionalize independence guarantees, reporting hierarchy, and enforcement mechanisms. Strengthening DPO autonomy is essential to ensuring effective privacy governance and realizing the constitutional right to personal data protection.

ABSTRAK

Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi memperkenalkan penunjukan wajib seorang Petugas Perlindungan Data (DPO) sebagai mekanisme kunci untuk akuntabilitas dan kepatuhan. Studi ini secara kritis mengkaji apakah Pasal 53–54 Undang-Undang PDP cukup menjamin otonomi fungsional DPO dalam konteks perekonomian digital Indonesia yang terus berkembang dan risiko meningkatnya kapitalisme data, di mana data pribadi dikomersialkan untuk nilai ekonomi. Menggunakan metode hukum normatif-komparatif dengan GDPR, analisis menunjukkan bahwa meskipun Undang-Undang PDP mensyaratkan profesionalisme dalam penunjukan DPO, undang-undang tersebut kekurangan jaminan struktural seperti perlindungan dari campur tangan, aturan konflik kepentingan, dan akses terjamin terhadap sumber daya elemen-elemen yang secara eksplisit diatur dalam Pasal 38 GDPR. Kekurangan ini berisiko menjadikan DPO sebagai aktor kepatuhan simbolis rather than mekanisme pengawasan independen. Kontribusi penelitian ini terletak pada usulan konsep “firewall institusional” sebagai kerangka kerja evaluatif untuk menilai dan memperkuat otonomi DPO di Indonesia. Temuan ini menyiratkan perlunya menerapkan regulasi yang menginstitusionalkan jaminan kemandirian, hierarki pelaporan, dan mekanisme penegakan. Memperkuat otonomi DPO esensial untuk memastikan tata kelola privasi yang efektif dan mewujudkan hak konstitusional atas perlindungan data pribadi.