Ada satu pertanyaan sederhana yang jarang bisa dijawab lengkap di sektor air minum: sebenarnya sektor ini diatur oleh berapa banyak aturan?
Jawaban yang paling sering muncul menyebut izin pengusahaan, baku mutu, dan tarif. Itu benar, tetapi baru sebagian. Utilitas air Indonesia hari ini hidup di bawah setidaknya lima lapis regulasi yang datang dari rezim hukum yang berbeda, ditegakkan oleh lembaga yang berbeda, dengan ritme yang berbeda pula. Dan dari pembacaan saya atas dokumen-dokumen publik sektor ini, lapisan yang paling berisiko justru bukan yang paling ketat, melainkan yang paling jarang disadari keberadaannya.
Tulisan ini mencoba menyusun kelima lapis itu dalam satu peta. Bukan sebagai nasihat hukum, melainkan sebagai alat bantu membaca: apa yang diminta setiap lapis, siapa yang menegakkannya, dan bagaimana statusnya hari ini.
Lapis pertama: air sebagai sumber daya
Fondasinya adalah UU Nomor 17 Tahun 2019 tentang Sumber Daya Air [1]. Undang-undang ini menegaskan penguasaan negara atas sumber daya air dan menempatkan pemenuhan kebutuhan pokok rakyat sebagai prioritas tertinggi. Dari sinilah mengalir aturan turunan tentang penyelenggaraan sistem penyediaan air minum, termasuk PP Nomor 122 Tahun 2015 yang mengatur SPAM dari hulu ke hilir.
Lapis ini yang paling tua dan paling dipahami. Izin, alokasi air baku, baku mutu: inilah kepatuhan yang sudah menjadi refleks organisasi. Justru karena sudah refleks, ia jarang menjadi sumber kejutan.
Lapis kedua: badan usaha dan kelembagaannya
BUMD air minum tidak hanya diatur sebagai penyelenggara SPAM, tetapi juga sebagai badan usaha milik daerah. PP Nomor 54 Tahun 2017 tentang BUMD mengatur tata kelola korporasinya: organ perusahaan, pengangkatan direksi, kewajiban pelaporan, sampai evaluasi kinerja.
Lapis ini penting karena ia yang menentukan siapa bertanggung jawab atas apa. Ketika terjadi kegagalan pelayanan atau kerugian, pertanyaan pertama auditor bukan tentang pipa, melainkan tentang keputusan: siapa yang memutuskan, atas dasar apa, dan apakah kewenangannya sah.
Lapis ketiga: tarif, kewajiban yang paling sering dibaca sebagai pilihan
Tarif air minum diatur sampai ke mekanismenya: peninjauan dilakukan secara berkala, dan regulasinya menyediakan formula penyesuaian tahunan. Tentang bagaimana kewajiban ini dalam praktik bertahun-tahun tidak dijalankan, dan mengapa itu bukan soal keberanian melainkan desain insentif, saya tulis lengkap di analisis tarif air yang tidak naik enam belas tahun .
Di peta ini cukup satu hal yang dicatat: lapis tarif adalah satu-satunya lapis yang kegagalannya bersifat senyap. Melanggar baku mutu terlihat di laboratorium. Melanggar kewajiban peninjauan tarif tidak terlihat di mana-mana, sampai neracanya yang bicara.
Lapis keempat: data pribadi, lapis yang berlaku karena peran
Ini lapis yang paling sering luput. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh sejak Oktober 2024, setelah masa transisi dua tahun berakhir [2].
Yang perlu dipahami betul: kewajiban dalam UU PDP melekat karena peran, bukan karena kepemilikan atau ukuran organisasi. Siapa pun yang menentukan tujuan dan cara pemrosesan data pelanggan, nama, alamat, NIK, riwayat tagihan, pola konsumsi, adalah Pengendali Data Pribadi dengan kewajiban penuh: dasar pemrosesan yang sah, pengamanan, notifikasi kebocoran, dan pemenuhan hak subjek data. Utilitas air melayani puluhan ribu sampai jutaan pelanggan; artinya ia mengelola salah satu himpunan data pribadi terbesar di daerahnya, dengan kewajiban yang sama seperti bank atau operator telekomunikasi.
Satu perkembangan penting untuk dipantau: lembaga pengawas PDP yang diamanatkan Pasal 58 UU PDP, yang dibentuk oleh dan bertanggung jawab kepada Presiden, hingga awal 2026 belum terbentuk [3]. Penegakan penuh belum berjalan. Tetapi membaca ini sebagai kelonggaran adalah salah baca: kewajiban hukumnya sudah berlaku, dan organisasi yang baru mulai berbenah setelah lembaganya berdiri akan berbenah di bawah tekanan.
Lapis kelima: keamanan siber infrastruktur vital
Koreksi (Juli 2026): paragraf ini semula menyebut air minum termasuk sektor yang dilindungi rezim Infrastruktur Informasi Vital. Penelusuran lebih dalam menunjukkan itu keliru: air tidak tercantum secara eksplisit di antara delapan sektor yang diatur Perpres 82/2022. Yang berjalan hari ini baru kerja sama bilateral sukarela antara BSSN dan sejumlah utilitas air tertentu, bukan kewajiban yang otomatis berlaku ke seluruh sektor seperti empat lapis lainnya di halaman ini. Detail lengkap dan pembandingnya dengan Australia serta Selandia Baru ada di analisis infrastruktur kritis air lintas negara . Bagaimana lapis ini berinteraksi dengan teknologi baru, termasuk kecerdasan buatan yang mulai masuk ke sistem penagihan dan operasi, saya bahas di analisis celah regulasi AI untuk utilitas publik .
Lapis keempat dan kelima punya sifat yang sama: keduanya lahir di luar sektor air, sehingga tidak datang lewat saluran sosialisasi yang biasa dibaca sektor ini. Itulah mengapa keduanya paling jarang disadari.
Peta satu halaman
| Lapis | Regulasi kunci | Ritme penegakan |
|---|---|---|
| Sumber daya air & SPAM | UU 17/2019, PP 122/2015 | Mapan, rutin |
| Kelembagaan BUMD | PP 54/2017 | Mapan, lewat audit |
| Tarif | Rezim tarif Kemendagri | Lemah; kegagalannya senyap |
| Data pribadi | UU 27/2022 | Berlaku sejak Okt 2024; lembaga pengawas belum terbentuk |
| Siber & IIV | Perpres 82/2022 (air belum tercantum eksplisit) | Baru kerja sama sukarela, belum kewajiban sektor-wide |
Tabel 1. Lima lapis regulasi utilitas air Indonesia dan ritme penegakannya. Dua lapis terbawah lahir di luar sektor air, dan justru karena itu paling sering luput.
Satu langkah konkret
Kalau hanya satu hal yang diambil dari peta ini, ambil ini: buat register kepatuhan satu halaman yang mendaftar kelima lapis, pemilik internalnya (satu nama per lapis, bukan satu bagian), dan tanggal peninjauan terakhirnya. Bukan dokumen tebal; satu halaman yang ditinjau tiap semester.
Ukurannya sederhana: kalau ada lapis yang kolom pemiliknya kosong, atau tanggal peninjauannya lebih tua dari satu tahun, di situlah risiko organisasi sedang menumpuk tanpa suara. Organisasi yang tahu persis lapis mana yang belum diurusnya jauh lebih aman daripada organisasi yang merasa sudah patuh karena tidak pernah ditegur.
Regulasi berlapis memang melelahkan. Tetapi bagi pengelola yang menatanya dengan jujur, setiap lapis adalah jawaban yang sudah disiapkan ketika suatu hari pertanyaannya datang: dari auditor, dari regulator, atau dari pelanggan yang datanya bocor.
FD Iskandar menulis tentang tata kelola teknologi, sistem, dan utilitas air. Kontak: me@fdiskandar.com .
Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Informasi disajikan untuk tujuan edukasi dan diskusi, bukan nasihat hukum atau profesional.
Referensi
- Undang-Undang Nomor 17 Tahun 2019 tentang Sumber Daya Air. JDIH BPK. https://peraturan.bpk.go.id/Details/122742/uu-no-17-tahun-2019
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (disahkan 17 Oktober 2022; masa transisi dua tahun). JDIH BPK. https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
- Kompas.id, "Menanti Lembaga Pengawas Pelindungan Data Pribadi". https://www.kompas.id/artikel/menanti-lembaga-pengawas-pelindungan-data-pribadi