108/PUU-XX/2022

SALINAN PUTUSAN Nomor 108/PUU-XX/2022 DEMI KEADILAN BERDASARKAN KETUHANAN YANG MAHA ESA MAHKAMAH KONSTITUSI REPUBLIK INDONESIA, [1.1] Yang mengadili perkara konstitusi pada tingkat pertama dan terakhir, menjatuhkan putusan dalam perkara Pengujian Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, yang diajukan oleh: Nama : Leonardo Siahaan, S.H. Alamat : Perumahan Taman Alamanda Blok B7 Nomor 24, Tambun Utara, Bekasi. Selanjutnya disebut sebagai ------------------------------------------- Pemohon; [1.2] Membaca permohonan Pemohon; Mendengar keterangan Pemohon; Mendengar dan membaca Keterangan Dewan Perwakilan Rakyat; Membaca dan mendengar keterangan Presiden; Membaca dan mendengar keterangan ahli Presiden; Memeriksa bukti-bukti Pemohon dan Presiden; Membaca kesimpulan Pemohon dan Presiden. 2. DUDUK PERKARA [2.1] Menimbang bahwa Pemohon telah mengajukan permohonan bertanggal 28 Oktober 2022 yang diterima di Kepaniteraan Mahkamah Konstitusi (selanjutnya disebut Kepaniteraan Mahkamah) pada 28 Oktober 2022 berdasarkan Akta Pengajuan Permohonan Pemohon Nomor 102/PUU/PAN.MK/AP3/10/2022 dan telah dicatat dalam Buku Registrasi Perkara Konstitusi Elektronik (e-BRPK) pada 08 November 2022 dengan Nomor 108/PUU-XX/2022, yang telah diperbaiki dengan permohonan bertanggal 23 November 2022 yang diterima melalui e-mail pada 2 tanggal 24 November 2022 dan kemudian dokumen fisiknya diterima Kepaniteraan Mahkamah pada tanggal 1 Desember 2022, yang pada pokoknya menguraikan hal- hal sebagai berikut: I. KEWENANGAN MAHKAMAH KONSTITUSI 1. Bahwa Pasal 24 ayat (2) UUD NRI 1945 perubahan ketiga menyatakan: “Kekuasaan kehakiman dilakukan oleh sebuah Mahkamah Agung dan badan peradilan yang berada di bawahnya dalam lingkungan peradilan umum, lingkungan peradilan agama, lingkungan peradilan militer, lingkungan peradilan tata usaha negara, dan oleh sebuah Mahkamah Konstitusi ”; 2. Bahwa selanjutnya Pasal 24 C ayat (1) perubahan keempat UUD NRI 1945 menyatakan: “Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang- undang terhadap Undang-Undang Dasar, memutus sengketa kewenangan lembaga negara yang kewenangannya diberikan oleh Undang-Undang Dasar, memutus pembubaran partai politik dan memutus perselisihan tentang hasil pemilu ”; 3. Bahwa berdasarkan ketentuan di atas, Mahkamah Konstitusi diberi kewenangan oleh UUD NRI 1945 untuk melakukan pengujian UU terhadap UUD NRI 1945. Kemudian oleh UU Nomor 7 Tahun 2020 tentang Perubahan Ketiga atas UU No. 24 Tahun 2003 tentang Mahkamah Konstitusi (selanjutnya disebut UU Mahkamah Konstitusi), pada Pasal 10 ayat (1) huruf a menyatakan: “Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk; (a) menguji undang-undang (UU) terhadap UUD tahun 1945 ”; 4. Bahwa selanjutnya kewenangan MK dalam menguji UU terhadap UUD 1945 diatur dalam Pasal 29 ayat (1) UU No. 48 Tahun 2009 tentang Kekuasaan Kehakiman menyatakan bahwa: Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk: a) Menguji undang-undang terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945; b) Memutus sengketa kewenangan lembaga negara yang kewenangannya diberikan oleh Undang-Undang Dasar Negara Republik Indonesia Tahun 1945; c) Memutus pembubaran partai politik; d) Memutus perselisihan tentang hasil pemilihan umum; dan e) Kewenangan lain yang diberikan oleh undang-undang 3 5. Bahwa Pasal 7 ayat (1) UU No. 12 Tahun 2011 sebagaimana telah diubah oleh UU No. 15 Tahun 2019 tentang Pembentukan Peraturan Perundang- Undangan, mengatur jenis dan hierarki kedudukan UUD 1945 lebih tinggi dari pada UU. Oleh karena itu, setiap ketentuan UU tidak boleh bertentangan dengan UUD 1945. Jika terdapat ketentuan dalam UU yang bertentangan dengan UUD 1945, ketentuan tersebut dapat dimohonkan untuk diuji melalui mekanisme pengujian UU, baik pengujian formil maupun pengujian materil; 6. Bahwa selanjutnya Pasal 9 ayat (1) UU Nomor 12 Tahun 2011 sebagaimana telah diubah oleh Undang-Undang Nomor 13 Tahun 2022 Pembentukan Peraturan Perundang-Undangan. mengatur bahwa manakala terdapat dugaan suatu UU bertentangan dengan UUD 1945, maka pengujiannya dilakukan oleh Mahkamah konstitusi; 7. permohonan Pengujian Undang-Undang Pasal 1 angka 4, Pasal 2 ayat 2, dan Pasal 19 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Nomor 6820) terhadap Undang-undang Dasar 1945. 8. Oleh karena Pemohon memohon untuk melakukan pengujian UU terhadap UUD 1945, maka Mahkamah Konstitusi berwenang untuk menerima, memeriksa dan mengadili permohonan a quo. II. KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON 1. Pasal 51 Ayat (1) UU Mahkamah Konstitusi mengatur bahwa: “Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya dirugikan oleh berlakunya undang-undang, yaitu: a. Perorangan warga negara Indonesia; b. Kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. Badan hukum publik atau privat; atau d. Lembaga negara; 2. Selanjutnya Penjelasan Pasal 51 Ayat (1) menyatakan: “Yang dimaksud dengan hak konstitusional adalah hak-hak yang diatur dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 4 1945; 3. Kemudian, berdasarkan Pasal 4 ayat 2 Peraturan Mahkamah Konstitusi Nomor 2 Tahun 2021 tentang tata beracara dalam perkara pengujian undang-undang. Mahkamah Konstitusi telah menentukan 5 (lima) syarat adanya kerugian konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) Undang- Undang Nomor 24 Tahun 2003 sebagaimana diubah dengan Undang- Undang Nomor 8 Tahun 2011 sebagai berikut: a. ada hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD 1945; b. hak dan/atau kewenangan konstitusional Pemohon dirugikan oleh berlakunya undang-undang atau Perppu yang dimohonkan pengujian c. kerugian konstitusional dimaksud bersifat spesifik (khusus) dan aktual atau setidak- tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. ada hubungan sebab-akibat antara kerugian kon stitusional dan berlakunya undang- undang atau Perppu yang dimohonkan pengujian; dan e. ada kemungkinan bahwa dengan dikabulkannya Permohonan, kerugian konstitusional seperti yang didalilkan tidak lagi at.au tidak akan terjadi 4. Bahwa untuk memenuhi syarat kedudukan hukum sebagaimana dimaksud dalam Pasal 51 ayat (1) UU Mahkamah Konstitusi, Pemohon menerangkan bahwa Pemohon merupakan perorangan warga negara Indonesia yang dibuktikan dengan identitas (KTP Bukti P-1) yang hak-hak konstitusionalnya secara penalaran yang wajar (potensial) akan terlanggar dengan keberadaan Pasal dalam perkara a quo; 5. Pemohon sebagai perorangan warga negara Indonesia memiliki hak-hak konstitusional yang diatur dalam UUD 1945, yang kemudian hak-hak tersebut berpotensi tercederai dengan keberlakuan Pasal yang pengujiannya dimohonkan oleh Pemohon. Hak-hak konstitusional yang diberikan oleh UUD 1945 kepada Pemohon kemudian dijadikan sebagai batu uji. Pasal-pasal tersebut adalah sebagai berikut: Pasal 28D Undang-Undang Dasar 1945 (1) Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan 5 kepastian hukum yang adil serta perlakuan yang sama dihadapan hukum. (bukti P-2 salinan Undang-Undang Dasar ) 6. Bahwa dalam permohon yang diajukan dalam permohonan Pengujian Undang-Undang adalah Pasal 1 angka 4, Pasal 2 ayat 2, dan Pasal 19 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi Pasal 1 angka 4 Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama- sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Pasal 19 Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional. Pasal 2 ayat 2 “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. (bukti salinan P-3 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi) 7. Bahwa, Pemohon secara potensial mengalami kerugian konstitusional terhadap tidak ada pemberlakuan kewenangan badan hukum dalam melakukan pengendali data pribadi seperti bunyi Pasal 1 angka 4, Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. Padahal bila melihat keterlibatan badan hukum dalam melakukan pengendali data pribadi sangat bermanfaat ini mengingat ketidak lepasan dalam menggunakan teknologi dan tidak lepas mencangkup pula data pribadi yang dimiliki sehingga memerlukan jasa yang ahli untuk membantu membendung perlindungan data pribadi. Maka kapasitas badan hukum dalam melakukan pengendali data pribadi sangat mumpuni dalam menjawab persoalan permasalahan kebocaran data pribadi Selain itu pemohon yang keseharian tidak terlepas dalam menggunakan teknologi dan tidak terlepas pula dengan data data digital yang dimiliki pemohon guna kepentingan secara pribadi dalam berbagai kegiatan. Menggangap adanya kerugian potensial dengan adanya pemberlakuan 6 frasa “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Didalam Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi. bahwa dalam penggunaan data pribadi tidak terlepas untuk kepentingan pribadi pula mulai dalam kegiatan bisnis, kegiatan pendataan dari Pemerintahan maupun kegiatan lainnya. Bila melihat pemberlakuan Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Didalam Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi. Maka pemohon tidak diberikan perlindungan dan kebebasan hak yang melekat didalam pemohon dalam hal Pemrosesan Data Pribadi. Bahwa pemrosesan data pribadi menjadi sangat penting guna untuk adanya jaminan hak bagi pengguna data pribadi. PERBANDINGAN BERBAGAI PERATURAN terhadap Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi NO Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 Tentang Informasi Dan Transaksi Elektronik EU General Data Protection Regulation (GDPR) Tahun 2016 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi Pasal 30 ayat 2 “Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum mengakses Kompute dan/atau Sistem Elektronik dengan cara apapun dengan tujuan untuk memperoleh Informasi Elektronik dan/atau Dokumen Elektronik”. pasal 2 huruf C ruang lingkup materi yang berbunyi: “oleh orang perseorangan dalam rangka kegiatan pribadi atau rumah tangga semata- mata” Sedangkan penjelasannya terdapat Didalam point 18 dibagian awal EU General Data Protection Pasal 2 ayat 2 “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” 7 Regulation (GDPR) menyatakan: “Peraturan ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan yang murni pribadi atau rumah tangga dan dengan demikian tidak ada hubungannya dengan kegiatan profesional atau komersial. Aktivitas pribadi atau rumah tangga dapat mencakup korespondensi dan penyimpanan alamat, atau jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas tersebut. Namun, Peraturan ini berlaku untuk pengontrol atau pemroses yang menyediakan sarana untuk memproses data pribadi untuk aktivitas pribadi atau rumah tangga tersebut”. III. ALASAN-ALASAN PEMOHON Kerugian Konstitusional diakibatkan Pasal 1 angka 4, Pasal 19 Undang- Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi 1. bahwa, dengan adanya kebutuhan dalam melakukan pengendali data pribadi yang tentu saja memerlukan ahli dibidangnya atau memerlukan pula memakai jasa perusahaan untuk melakukan pengendali/pemroses data pribadi menjadi kebutuhan konstitusional yang dijamin oleh UUD 1945. 8 Permasalahan kebocoran data kerap menjadi hantu bagi semua lapisan masayarakat. Mengingat data pribadi yang bersifat sensitif dan rawan disalahgunakan oleh oknum-oknum menjadi pemicu utama dari ketakutan yang dialami pemohon. Dalam persoalan ini dengan kapasitas yang terbatas kemampuan pemohon dalam memahami pengendalian data pribadi menjadi kekhawatiran tersendiri bila mana sewaktu-waktu data pribadi pemohon bocor maka dapat berakibat kerugian ekonomi secara besar bahkan berakibat bisa saja kehilangan pekerjaan karena data data milik pemohon semua hilang Dengan adanya keterbatasan kemampuan tersebut pemohon meyakini bahwa dalam menjawab permasalahan ini memerlukan seseorang yang ahli dibidangnya atau jasa perusahaan yang bersedia melakukan pengendali/pemroses data pribadi. Seperti contoh Contoh 1 Misalnya Perusahaan ABC merupakan badan hukum bergerak dibidang IT, mereka menyediakan jasa untuk melakukan pemrosesaan data pribadi. Mereka menyediakan fasilitas dalam melakukan pemrosesan data pribadi hingga melakukan keamaan cyber terhadap sistem perusahaan klien. Maka dengan memiliki tugas tanggungjawab terhadap pengedali data pribadi/pemrosesan data pribadi perusahaan ABC merupakan badan hukum bergerak dibidang IT harus melakukan secara transparan pelaporan tugasnya dan tidak melakukan pelanggaran yang merugikan klien nya. Contoh 2 Misalnya Sebuah perusahaan mempekerjakan seorang akuntan untuk melakukan pembukuan mereka. Saat bertindak untuk klien mereka, akuntan digolongkan sebagai pengontrol data sehubungan dengan data pribadi apa pun yang termasuk dalam akun. Hal ini karena akuntan dan penyedia jasa profesional lainnya harus bekerja sesuai dengan standar profesional tertentu dan wajib bertanggung jawab atas setiap data pribadi yang mereka sewa untuk diproses. Misalnya, jika akuntan menemukan beberapa malpraktik saat menyelesaikan akun perusahaan, mereka mungkin diharapkan untuk 9 melaporkan malpraktik ini ke polisi atau pihak berwenang lainnya. Jika mereka dipaksa untuk mengambil tindakan ini, mereka tidak akan lagi bertindak sesuai dengan instruksi klien mereka tetapi sesuai dengan kewajiban profesional mereka sendiri dan oleh karena itu sebagai pengontrol data dalam hak mereka sendiri. Penyedia layanan spesialis yang memproses data sesuai dengan kewajiban profesionalnya sendiri akan selalu bertindak sebagai pengontrol data. Untuk alasan ini, mereka tidak diizinkan untuk menyerahkan atau berbagi kewajiban pengontrol data dengan klien mereka. 2. bahwa pengendali data pribadi atau disebut juga melakukan pemrosesan data pribadi Pemrosesan data pribadi meliputi berdasarkan Pasal 16 Undang-Undang Nomor 27 Tahun 2022 tentang perlindungan Data Pribadi: a. pemerolehan dan pengumpulan; b. pengolahan dan penganalisisan; c. penyimpanan; d. perbaikan dan pembaruan; e. penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/ atau f. penghapusan atau pemusnahan. Maka dengan lingkup pengelompokan Perlindungan data pribadi tersebut menjadi hak subjektif data pribadi dikarenakan subjek data pribadi adalah orang perseorangan memiliki kuasa penuh terhadap data pribadi yang dimiliki nya. Sehingga adanya kuasa penuh itu lah yang tidak bisa dihilangkan hak hak nya termasuk salah satunya adalah melakukan kerjasama dengan ahli dibidang pemerosesan data pribadi/pengendali data pribadi untuk mencegah adanya kerugian finasial diakibatkan kebocoran data yang dimiliki. Sangat disayangkan ketiadaan keterlibatan badan hukum dalam melakukan pemrosesan data pribadi atau pengendali data pribadi yang sebagaimana dimuat dalam Pasal 1 angka 4 dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi menandakan bahwa UU ini belum secara efektif menjadi angin segar bagi masyarakat. 10 Pemohon melakukan pembedahan regulasi hukum yang diterapkan di eropa yaitu termuat dalam peraturan (UE) 2016/679 dewan parlemen eropa yang diberlakukan 27 april 2016 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum). Dalam Pasal 4 angka 7 peraturan (UE) 2016/679 dewan parlemen eropa yang diberlakukan 27 april 2016 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum) berbunyi: 'pengendali' berarti orang atau badan hukum, otoritas publik, badan atau badan lain yang, sendiri atau bersama-sama dengan orang lain, menentukan tujuan dan sarana pemrosesan data pribadi; di mana tujuan dan cara pemrosesan tersebut ditentukan oleh undang-undang Persatuan atau Negara Anggota, pengontrol atau kriteria khusus untuk pencalonannya dapat diatur oleh undang-undang Persatuan atau Negara Anggota. Bahwa dalam Pasal 4 tersebut sangat jelas bahwa badan hukum diperbolehkan melakukan pengendali data pribadi artinya bukan hanya diberikan kewenangannya kepada badan publik, atau organisasi Internasional sebagaimana tertuang didalam Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. Meskipun begitu badan hukum dalam pengadali data diri atau pemerosesan data diri bertanggung jawab atas pengkontrol pemerosesan data pribadi terdapat didalam Pasal 24 peraturan (UE) 2016/679 dewan parlemen eropa yang diberlakukan 27 april 2016 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum) yang berbunyi: 1. Mempertimbangkan sifat, ruang lingkup, konteks dan tujuan pemrosesan serta risiko kemungkinan dan tingkat keparahan yang bervariasi untuk hak dan kebebasan individu, pengontrol harus menerapkan langkah- langkah teknis dan organisasi yang tepat untuk memastikan dan mampu menunjukkan bahwa pengolahan dilakukan sesuai dengan Peraturan ini. 11 Langkah-langkah tersebut harus ditinjau dan diperbarui jika diperlukan. 2. Jika proporsional dalam kaitannya dengan kegiatan pemrosesan, tindakan yang dirujuk dalam ayat 1 harus mencakup penerapan kebijakan perlindungan data yang sesuai oleh pengontrol. 3. Ketaatan terhadap kode etik yang telah disetujui sebagaimana dimaksud dalam Pasal 40 atau mekanisme sertifikasi yang disetujui sebagaimana dimaksud dalam Pasal 42 dapat digunakan sebagai unsur untuk menunjukkan kepatuhan terhadap kewajiban pengawasan. Kerugian Konstitusional yang diakibatkan oleh Pasal 2 ayat 2 Undang- Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi 1) Bahwa karena tidak ada nya penjelasan untuk menjelaskan maksud dibentuk nya frasa “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi telah secara langsung melanggar BAB I Kerangka Peraturan Perundang-Undangan bagian E. Penjelasan Undang-Undang Nomor Undang-Undang Republik Indonesia nomor 12 tahun 2011 tentang Pembentukan Peraturan Perundang- Undangan yang berbunyi: “Setiap Undang-Undang, Peraturan Daerah Provinsi dan Peraturan Daerah Kabupaten/Kota diberi penjelasan”. Penjelasan berfungsi sebagai tafsir resmi pembentuk Peraturan Perundang-undangan atas norma tertentu dalam batang tubuh. Oleh karena itu, penjelasan hanya memuat uraian terhadap kata, frasa, kalimat atau padanan kata/istilah asing dalam norma yang dapat disertai dengan contoh. Penjelasan sebagai sarana untuk memperjelas norma dalam batang tubuh tidak boleh mengakibatkan terjadinya ketidakjelasan dari norma yang dimaksud. Maka dengan tidak diberikan nya suatu penjelasan maksud frasa “Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi dikhawatirkan akan menimbulkan perbedaan penafsiran dari penegak hukum sehingga semangat dari tujuan dibentuknya Undang- Undang Republik Indonesia Nomor 27 tahun 2022 tentang 12 Pelindungan Data Pribadi menjadi tidak ada gunanya 2) Bahwa pemohon beranggapan dengan berlakunya suatu frasa Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Didalam Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi. Dapat menimbulkan kerugian a. tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah. Bahwa dalam kepentingan pribadi di kegiatan rumah tangga bisa melakukan kegiatan bisnis atau kegiatan e-commerce. Dalam kegiataan pribadi atau rumah tangga salah satunya ialah bisa melakukan bisnis e-commerce. Kegiatan bisnis e-commerce tidak luput dari perhatian kerentanan kebocoran data yang diakibat dilakukan oleh peretas guna meraup keuntungan yang sebesar-besarnya. Dan pelaku peretas bisa melakukan phising kepada target. muncul fenomena cybercrime economy, yaitu ketika insiden kebocoran data diikuti dengan transaksi finansial. Biasanya terjadi pada perusahaan penyedia layanan seperti platform digital atau e-commerce yang diakibatnya adanya kecelahan kelemahan sistem yang dimanfaatkan pelaku. b. semakin kemungkinan maraknya kelemahan perlindungan terhadap data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga. Bahwa perlu diketahui dengan seksama pengertian Pemrosesan Data Pribadi yang diatur dalam UU PDP meliputi pemerolehan dan pengumpulan; pengolahan dan penganalisisan; penyimpanan; perbaikan dan pembaruan; penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan; dan/atau penghapusan atau pemusnahan. Prinsip Pemrosesan Data Pribadi: 1. pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; 2. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya; 3. pemrosesan Data Pribadi dilakukan dengan menjamin hak Subjek Data Pribadi; 13 4. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; 5. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan Data Pribadi; 6. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan Pelindungan Data Pribadi; 7. Data Pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan; dan 8. pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. Bahwa dengan marak nya kebocoran data Berdasarkan catatan Tempo dari Januari hingga September 2022, telah terjadi tujuh kasus besar dugaan kebocoran data pribadi. Kerentanan atau kelemahan sistem menjadi faktor utamanya. Maka dengan maraknya kasus pembocoran data telah secara otomotasi asas asas berdasarkan Pasal 3 Undang- Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi Mengatur asas kepastian hukum; kepentingan umum; tidak berguna sama sekali dikarenakan adanya pemberlakuan frasa Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Didalam Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi. c. Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi tidak menjawab perlindungan terhadap hak subjek data pribadi adanya pembedaan perlakuan perlindungan yang dimana dalam kegiatan pemrosesan data pribadi didalam Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak berlaku bagi perseorangan dalam kegiatan pribadi atau rumah tangga tanpa disadari pembuat Undang-Undang sama saja masih 14 belum memberikan payung hukum atau angin segar bagi pengguna data pribadi. Padahal dalam penjelasan umum didalam Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi telah mengakui Pemanfaatan teknologi informasi mengakibatkan Data Pribadi seseorang sangat mudah untuk dikumpulkan dan dipindahkan dari satu pihak ke pihak lain tanpa sepengetatnran Subjek Data Pribadi, sehingga mengancam hak konstitusional Subjek Data Pribadi. Kemudian di penjelasan umum nya juga mengakui pelindungan Data Pribadi masuk dalam pelindungan hak asasi manusia Dengan demikian, pengaturan menyangkut Data Pribadi merupakan manifestasi pengakuan dan pelindungan atas hak dasar manusia. Maka sudah jelas isi Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” tidak menjawab perlindungan terhadap hak subjek data pribadi 3) Bahwa didalam Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak memberikan penjelasan mengenai apa maksud dari pembentukan frasa “Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” sehingga menimbulkan suatu pandangan negatif terhadap pemberlakuan frasa tersebut. Pemohon melakukan analisa dengan melihat peraturan negara luar untuk melihat apakah di negara luar serupa mengatur seperti bunyi Pasal 2 ayat 2 Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pemohon menemukan aturan yang serupa didalam regulation (eu) 2016/679 of the european parliament and of the council tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum). pasal 2 huruf C ruang lingkup materi yang berbunyi: “oleh orang perseorangan dalam rangka kegiatan pribadi atau rumah tangga semata- mata” 15 Sedangkan penjelasannya terdapat Didalam point 18 dibagian awal EU General Data Protection Regulation (GDPR) menyatakan: “Peraturan ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan yang murni pribadi atau rumah tangga dan dengan demikian tidak ada hubungannya dengan kegiatan profesional atau komersial. Aktivitas pribadi atau rumah tangga dapat mencakup korespondensi dan penyimpanan alamat, atau jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas tersebut. Namun, Peraturan ini berlaku untuk pengontrol atau pemroses yang menyediakan sarana untuk memproses data pribadi untuk aktivitas pribadi atau rumah tangga tersebut”. Dalam point 18 dari regulation (eu) 2016/679 of the european parliament and of the council tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum). dapat disimpulkan bahwa tidak diberikan perlindungan terhadap pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga adalah disebabkan karena tidak ada hubungannya dengan kegiatan profesional atau komersial. Dan menjadi pertanyaan apakah seperti maksud dari frasa “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” Pasal 2 ayat 2 Undang- Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi? 4) Pemohon mendapatkan kasus dari negara lain terkait pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Yaitu kasus yang terjadi di belanda dalam the Court of First Instance of Gelderland delivered on the 13 May 2020. Pengadilan Tingkat Pertama Gelderland memutuskan bahwa pemrosesan data pribadi (foto) anak di bawah umur oleh nenek penggugat adalah melanggar hukum dan harus berdasarkan persetujuan perwakilan hukum. Pengadilan memutuskan bahwa tidak mungkin untuk menetapkan dengan pasti bahwa postingan foto di media sosial termasuk dalam “pengecualian rumah tangga” dari Pasal 2(2)(c) GDPR. Fakta Kasus tersebut melibatkan perselisihan antara seorang ibu dan putrinya atas publikasi foto cucu. Anak perempuan (penggugat), ibu dari tiga anak di bawah umur mengajukan gugatan ke pengadilan untuk menghentikan 16 unggahan foto anak-anaknya oleh nenek (tergugat) di media sosial. Penggugat mendalilkan bahwa tergugat tidak mendapatkan persetujuan dari mantan pasangannya yang sekarang memiliki otoritas orang tua atas anak bungsu. Dari April 2012 hingga April 2019, anak itu tinggal bersama orang tua dan saudara- saudaranya di kakek-nenek dari pihak ibu. Selama waktu ini, sang nenek telah menempatkan foto-foto anak-anak di profil Facebook-nya. Setelah itu, anak bungsu pergi untuk tinggal bersama ayahnya. Ibu dari anak-anak itu beberapa kali meminta agar foto- foto itu dihapus. Sang nenek mengakui untuk menghapus foto anak-anak yang lebih tua dari Facebook tetapi secara khusus ingin menyimpan foto-foto anak bungsu, karena dia menyatakan memiliki hubungan khusus dengannya karena dia telah merawatnya untuk waktu yang lama. Penggugat juga meminta tergugat untuk menghapus foto lama penggugat dan anak-anaknya dari Pinterest. Putusan GDPR melindungi hak-hak dasar dan kebebasan individu dan hak mereka atas perlindungan data pribadi. Namun, GDPR tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam pelaksanaan aktivitas pribadi atau rumah tangga semata. Pengadilan memutuskan bahwa meskipun tidak dapat mengecualikan bahwa penempatan foto di halaman Facebook pribadi berada di bawah aktivitas pribadi atau rumah tangga murni, dalam pendapat awal Pengadilan belum cukup ditetapkan bagaimana terdakwa mengatur atau melindungi Facebook-nya. akun atau akun Pinterest-nya. Lebih lanjut dinyatakan bahwa tidak jelas apakah foto- foto tersebut dapat ditemukan melalui mesin pencari seperti Google dan dengan Facebook tidak dapat disangkal bahwa foto dapat didistribusikan dan mungkin berakhir di tangan pihak ketiga. Untuk alasan-alasan ini, Undang-Undang Implementasi GDPR Belanda (“UAVG”) menetapkan bahwa pengeposan foto anak di bawah umur yang belum mencapai usia 16 tahun memerlukan izin dari perwakilan hukum mereka. ditetapkan bahwa dalam kasus ini, baik penggugat maupun ayah dari anak bungsu tidak memberikan izin untuk mengunggah foto anak-anak tersebut ke media sosial. 17 Oleh karena itu, mengingat pemrosesan foto penggugat termasuk dalam cakupan GDPR dan karena kurangnya persetujuan, pengadilan meminta nenek untuk menghapus foto atau membayar denda harian sebesar €50, hingga €1000. Pengadilan juga memutuskan bahwa terdakwa dilarang memposting tanpa izin foto anak-anak penggugat di media sosial. Penilaian Terlepas dari berita utama kasus ini yang menarik di beberapa portal berita, penting untuk dicatat bahwa keputusan pengadilan dalam kasus ini dimotivasi oleh fakta bahwa tidak jelas apakah foto-foto ini dapat ditemukan melalui pencarian publik, dan bagaimana terdakwa menetapkan dan melindungi akun Facebook dan Pinterest miliknya. Oleh karena itu, pengaturan privasi pada akun media sosial sangat relevan dalam menentukan hal tersebut. Dapat dikatakan bahwa jika sang nenek memberlakukan batasan dalam hal siapa yang dapat melihat gambar, hasilnya mungkin akan berbeda. 5) bahwa adanya pemberlakuan perlindungan pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga didalam Pasal 2 ayat 2 Undang- Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah memberikan pembatasan perlindungan terhadap orang perseorangan yang dimana Data pribadi mencakup semua informasi tentang individu yang dapat diidentifikasi, termasuk data pribadi yang sensitif . Kategori ini mencakup informasi seperti ras, agama, orientasi politik, perilaku kriminal dan lain-lain. mengumpulkan dan memproses informasi pribadi harus mengungkapkan tujuan penggunaan data dan tujuan tersebut harus eksplisit dan sah. Individu harus menyetujui pelepasan dan penggunaan informasi pribadinya. Tindakan pemrosesan data pribadi tidak hanya mencakup pengumpulannya tetapi juga operasi lain yang digunakan untuk merekam informasi, mengatur dan menyimpannya, memperbarui, berkonsultasi, dan menyebarkannya. Penghapusan dan/atau pemusnahan data ini harus dilakukan menurut hukum dan, dalam beberapa kasus, wajib setelah jangka waktu tertentu. Individu yang menyetujui penggunaan datanya diizinkan secara hukum untuk mengubah informasi yang diberikan 6) Bahwa warga negara memiliki beberapa hak untuk mengontrol pemrosesan 18 data pribadi mereka. Misalnya, warga negara memiliki hak untuk mengakses data pribadi mereka sendiri dan hak untuk memperbaiki data yang salah/tidak lengkap. Bagi warga negara, kepemilikan data pribadi sering dikaitkan dengan hak-hak ini. Artinya setiap warga negara memiliki hak penuh terhadap pemrosesan data pribadi tetapi ini hak penuh tersebut bukan lah bersikap absolute atau tanpa batas melainkan ada hal-hal hak penuh itu dibatasi seperti: kepentingan proses penegakan hukum; kepentingan umum dalam rangka penyelenggaraan negara; 7) Bahwa berkaca dari peraturan EU General Data Protection Regulation (GDPR) menjelaskan Setiap pemrosesan data pribadi harus sah dan adil. Oleh karena itu, menetapkan bahwa harus transparan kepada individu bahwa data pribadinya diproses dan sejauh mana. Prinsip transparansi ini dijelaskan lebih lanjut dalam pasal 13 dan 14 GDPR yang menjelaskan informasi mana yang harus diberikan kepada individu. Informasi ini harus mudah diakses dan mudah dipahami dan harus diberikan pada saat data pribadi diperoleh. Informasi tersebut dapat ditetapkan dalam pernyataan privasi. Informasi berikut harus diberikan (dalam hal data pribadi dikumpulkan dari individu): a. rincian kontak pengontrol dan jika berlaku, perwakilan pengontrol dan petugas perlindungan data (DPO); b. tujuan pemrosesan; c. penerima atau kategori penerima data pribadi, jika ada; d. jika berlaku, bahwa pengontrol bermaksud untuk mentransfer data pribadi ke negara ketiga atau organisasi internasional; e. jangka waktu penyimpanan; f. bahwa individu tersebut dapat meminta akses dan perbaikan atau penghapusan data pribadi atau pembatasan pemrosesan atau untuk menolak pemrosesan serta hak atas portabilitas data; g. jika individu memberikan persetujuannya, bahwa individu tersebut dapat menarik persetujuannya kapan saja; h. hak untuk mengajukan pengaduan kepada otoritas pengawas; i. jika pemrosesan merupakan persyaratan undang-undang atau kontrak, atau persyaratan yang diperlukan untuk membuat kontrak, serta apakah individu tersebut wajib memberikan data pribadi dan kemungkinan 19 konsekuensi dari kegagalan memberikan data tersebut; dan j. keberadaan pengambilan keputusan otomatis, termasuk pembuatan profil dan informasi bermakna tentang logika yang terlibat, serta signifikansi dan konsekuensi yang dibayangkan dari pemrosesan tersebut bagi individu. 8) Bahwa kemudian berkaca pada regulasi perbandingan aturan hukum dengan Amerika Serikat yang terdapat di Privacy Act obligation yang merupakan undang-undang federal Amerika Serikat yang diundangkan pada tanggal 31 Desember 1974 menjelaskan Privacy Act melindungi privasi warga negara melalui aturan dan hak berikut dalam penanganan data pribadi: • Warga negara memiliki hak untuk mengakses data apa pun yang dimiliki oleh lembaga pemerintah; dan hak untuk menyalin dan memperbaiki kesalahan informasi apa pun • Instansi pemerintah harus mengikuti prinsip minimalisasi data (informasi yang relevan dan diperlukan untuk mencapai tujuannya) atau "praktik informasi yang adil" saat mengumpulkan dan menangani data pribadi • Berbagi informasi antara lembaga federal (dan non-federal) lainnya dibatasi dan hanya diperbolehkan dalam kondisi tertentu • Individu memiliki hak untuk menuntut pemerintah karena melanggar ketentuannya IV. PETITUM Bahwa dari seluruh dalil-dalil yang diuraikan di atas dan bukti-bukti terlampir, dengan ini Pemohon memohon kepada para Yang Mulia Majelis Hakim Mahkamah Konstitusi untuk kiranya berkenan memberikan putusan sebagai berikut: 1. mengabulkan permohonan Pemohon untuk seluruhnya. 2. menyatakan Pasal 1 angka 4, Pasal 2 ayat 2, dan Pasal 19 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Nomor 6820) bertentangan dan tidak mempunyai kekuatan mengikat dengan Undang-Undang Dasar 1945. 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. 20 Atau apabila Majelis Hakim Mahkamah Konstitusi berpendapat lain mohon putusan Yang seadil-adilnya (ex aequo et bono). [2.2] Menimbang bahwa untuk membuktikan dalilnya, Pemohon telah mengajukan alat bukti surat/tulisan yang diberi tanda bukti P-1 sampai dengan bukti P-3 sebagai berikut: 1. Bukti P-1 : Fotokopi Kartu Tanda Penduduk (KTP) Pemohon; 2. Bukti P-2 : Fotokopi Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 Dalam Satu Naskah; 3. Bukti P-3 : Fotokopi Undang-Undang 27 Tahun 2022 tentang Pelindungan Data Pribadi. [2.3] Menimbang bahwa terhadap permohonan Pemohon, Dewan Perwakilan Rakyat memberikan keterangan dalam persidangan pada tanggal 30 Januari 2023, dan keterangan tertulis yang di terima Mahkamah pada tanggal 23 Februari 2023, pada pokoknya mengemukakan hal sebagai berikut: I. KETENTUAN UU 27/2022 YANG DIMOHONKAN PENGUJIAN TERHADAP UUD NRI TAHUN 1945 Dalam permohonan a quo, Pemohon Perkara 108 mengajukan pengujian materiil terhadap Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022 dan Pemohon Perkara 110 mengajukan pengujian materiil terhadap Pasal 15 ayat (1) huruf a UU 27/2022, yang berketentuan sebagai berikut: Pasal 1 angka 4 UU 27/2022: Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemprosesan Data Pribadi. Pasal 2 ayat (2) UU 27/2022: Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Pasal 15 ayat (1) huruf a UU 27/2022: (1) Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2) dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. ….; Pasal 19 UU 27/2022: Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan 21 c. Organisasi Internasional Pemohon Perkara 108 mengemukakan bahwa Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022 bertentangan dengan Pasal 28D ayat (1) UUD NRI Tahun 1945 dan Pemohon Perkara 110 mengemukakan bahwa Pasal 15 ayat (1) huruf a UU 27/2022 bertentangan dengan Pasal 28D ayat (1) dan Pasal 28G ayat (1) UUD NRI Tahun 1945, yang berketentuan sebagai berikut: Pasal 28D ayat (1) UUD NRI Tahun 1945 Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama dihadapan hukum. Pasal 28G ayat (1) UUD NRI Tahun 1945: Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. Selanjutnya, para Pemohon dalam permohonannya mengemukakan bahwa hak dan/atau kewenangan konstitusionalnya telah dirugikan dan dilanggar oleh berlakunya ketentuan Pasal-Pasal a quo yang pada intinya sebagai berikut: Dalam Perkara 108 Pemohon Perkara 108 dalam permohonannya mengemukakan bahwa hak konstitusionalnya telah dirugikan dan dilanggar oleh berlakunya ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022. Pemohon beranggapan bahwa ketiadaan keterlibatan badan hukum dalam pengendalian dan pemrosesan data pribadi sebagaimana diatur dalam Pasal 1 angka 4 jo. Pasal 19 UU 27/2022 mengakibatkan kerugian tidak dapatnya Pemohon Perkara 108 menunjuk suatu badan hukum yang ahli di bidang pemrosesan data sebagai pengendali dan prosesor data pribadinya sehingga dengan demikian dapat berpotensi terjadinya kebocoran data. Selanjutnya, terhadap ketentuan Pasal 2 ayat (2) UU a quo juga menimbulkan kerugian Pemohon Perkara 108 karena dianggap belum mampu memberikan payung hukum bagi pengguna data pribadi khususnya bagi pelaku bisnis berskala rumah tangga yang rentan akan kebocoran data utamanya saat transaksi finansial yang dapat saja dilakukan oleh peretas dengan melakukan cybercrime economy atas insiden kebocoran data (vide Perbaikan Permohonan hlm. 9 dan 11). Bahwa para Pemohon dalam petitumnya memohon sebagai berikut: 22 Dalam Perkara 108 1. Mengabulkan Permohonan Pemohon untuk seluruhnya; 2. Menyatakan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 Undang- Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) bertentangan dengan Undang-undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan mengikat. 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Atau Apabila Majelis Hakim Konstitusi berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). II. KETERANGAN DPR RI Terhadap dalil para Pemohon sebagaimana diuraikan dalam permohonan yang diajukan kepada Majelis Hakim Mahkamah Konstitusi (MK), DPR dalam penyampaian pandangannya terlebih dahulu dengan menguraikan mengenai kedudukan hukum (legal standing) Para Pemohon sebagai berikut: A. Kedudukan Hukum (Legal Standing) Para Pemohon Terkait kedudukan hukum (legal standing) para Pemohon dalam pengujian Undang-Undang a quo secara materiil, DPR memberikan pandangan berdasarkan 5 (lima) batasan kerugian konstitusional berdasarkan Pasal 4 ayat (2) Peraturan Mahkamah Konstitusi Nomor 2 Tahun 2021 tentang Tata Beracara Dalam Perkara Pengujian Undang- Undang yang sejalan dengan Putusan MK Perkara Nomor 006/PUU-III/2005 dan Putusan Perkara Nomor 001/PUU-V/2007 mengenai parameter kerugian konstitusional sebagai berikut: 1. Adanya hak dan/atau kewenangan konstitusional Para Pemohon yang diberikan oleh UUD NRI Tahun 1945 Dalam Perkara 108 Pemohon Perkara 108 mengajukan Permohonannya sebagai perorangan warga negara Indonesia mendalilkan memiliki hak konstitusional yang diberikan oleh Pasal 28D ayat (1) UUD NRI Tahun 1945. 23 Terhadap dalil tersebut, DPR menerangkan bahwa ketentuan Pasal 28D ayat (1) UUD NRI Tahun 1945 telah dipenuhi dengan adanya Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022. Ketentuan Pasal 1 angka 4 UU 27/2022 mengatur definisi Pengendali Data Pribadi sehingga jelas batasan dan ruang lingkupnya. Apabila dikaitkan dengan pengaturan dalam Pasal 19 UU 27/2022, pengaturan Pasal 1 angka 4 telah sejalan dan tidak ditemukan potensi melanggar ketentuan Pasal 28D ayat (1) UUD NRI Tahun 1945 dalam keberlakuannya. Sedangkan Pasal 2 ayat (2) UU 27/2022 yang mengatur mengenai pengecualian keberlakuan UU 27/2022 terhadap pemrosesan Data Pribadi oleh perseorangan dalam kegiatan pribadi atau rumah tangga juga telah relevan mengingat lingkup kegiatan pribadi atau rumah tangga merupakan ranah privat bagi subjek data sebagai individu dan merupakan manifestasi hak privasi individu dalam menggunakan data pribadinya untuk tujuan pribadi maupun rumah tangga. Dalam menyusun argumennya terkait dengan keberlakuan Pasal 2 ayat (2) UU 27/2022, seharusnya Pemohon Perkara 108 terlebih dahulu memahami ruang lingkup pengaturan UU 27/2022 mengingat terdapat beberapa undang-undang yang mengatur terkait data pribadi. Meskipun terdapat pengecualian sebagaimana diatur dalam Pasal 2 ayat (2) UU 27/2022, perlindungan terhadap data perseorangan dalam kegiatan pribadi atau rumah tangga telah diatur dalam peraturan perundang- undangan lainnya, seperti Undang-Undang tentang Administrasi Kependudukan, Undang-Undang tentang Informasi dan Transaksi Elektronik, dan Undang-Undang tentang Perbankan. Dengan demikian adanya Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022 telah sejalan dengan pengaturan dalam Pasal 28D ayat (1) UUD NRI Tahun 1945. 2. Adanya hak dan/atau kewenangan konstitusional Para Pemohon tersebut dianggap oleh Pemohon telah dirugikan oleh suatu undang- undang yang diuji 24 Dalam Perkara 108 a. Pemohon Perkara 108 mendalilkan adanya kerugian konstitusional yang diakibatkan oleh Pasal 1 angka 4 dan Pasal 19 UU 27/2022, yaitu dengan ketiadaan keterlibatan badan hukum dalam melakukan pemrosesan data pribadi atau pengendali data pribadi sebagaimana diatur dalam Pasal a quo menyebabkan hilangnya hak Pemohon Perkara 108 untuk dapat menggunakan badan hukum yang ahli di bidang pemrosesan dan perlindungan data pribadi sebagai pencegah terjadinya kebocoran data (vide perbaikan permohonan hlm. 7 dan hlm. 8). Terhadap dalil kerugian konstitusional tersebut, DPR menerangkan bahwa Pasal a quo telah jelas mengatur bahwa subjek hukum setiap orang, badan publik, dan organisasi internasional dapat ditunjuk/berlaku sebagai Pengendali Data Pribadi baik bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Dalam memahami subjek hukum “setiap orang” sebagai Pengendali Data Pribadi juga harus memperhatikan definisi yang diberikan dalam Pasal 1 angka 7 dan angka 8 UU 27/2022 yang mengatur bahwa “Setiap Orang adalah orang perseorangan atau korporasi” dan “Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum”. Mengacu pada definisi tersebut maka sejatinya badan hukum sudah diatur dalam UU 27/2022 untuk menjadi salah satu subjek hukum yang dapat ditunjuk sebagai Pengendali Data Pribadi. b. Selain itu, Pemohon Perkara 108 mendalilkan bahwa kerugian konsitusional Pemohon Perkara 108 juga diakibatkan oleh tidak adanya penjelasan Pasal 2 ayat (2) UU 27/2022 yang dapat menimbulkan tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah serta semakin maraknya kemungkinan kelemahan perlindungan terhadap data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga (vide perbaikan permohonan hlm.10 dan hlm. 11). 25 Terhadap dalil kerugian konstitusional tersebut, DPR menerangkan bahwa perlindungan Data Pribadi diberikan karena adanya kebutuhan untuk melindungi hak individu di dalam masyarakat sehubungan dengan pemrosesan Data Pribadi baik yang dilakukan secara elektronik maupun nonelektronik menggunakan perangkat olah data. Perlindungan data pribadi tetap harus menghormati hak konstitusional individu sebagai subjek data untuk dapat bebas dalam menggunakan data pribadi untuk kegiatan diri sendiri dan/atau rumah tangga. Mengacu kepada konsep perlindungan yang demikian maka terhadap pemrosesan data untuk keperluan pribadi atau rumah tangga dikecualikan dari berlakunya UU 27/2022. Pengaturan Data Pribadi dalam UU 27/2022 ini bertujuan untuk melindungi dan menjamin hak dasar warga negara terkait dengan pelindungan diri pribadi, menjamin masyarakat untuk mendapatkan pelayanan dari Korporasi, Badan Publik, Organisasi Internasional, dan Pemerintah, mendorong pertumbuhan ekonomi digital dan industri teknologi informasi dan komunikasi, dan mendukung peningkatan daya saing industri dalam negeri, yang sejatinya tidak relevan dengan kegiatan pemrosesan data untuk keperluan pribadi atau rumah tangga. Selain itu, Pemohon Perkara 108 tidak dengan jelas memberikan pertautan hak konstitusionalnya dengan keberlakuan ketentuan Pasal UU a quo yang diujikan sehingga tidak terdapat kerugian hak dan/atau kerugian konstitusionalitas Pemohon Perkara 108 atas berlakunya Pasal a quo. Dalil kerugian konstitusionalitas Pemohon Perkara 108 juga tidak dibangun dengan konstruksi yang jelas sehingga Pemohon tidak dapat mengkorelasikan kerugian yang dialaminya dengan ketentuan Pasal-Pasal a quo. Pemohon Perkara 108 hanya menafsirkan sendiri dengan pemaknaan dan kepentingan yang didasarkan pada asumsi tanpa terlebih dahulu memahami apa yang menjadi maksud dari ketentuan Pasal-Pasal a quo. 3. Adanya kerugian hak dan/atau kewenangan konstitusional Para Pemohon yang dimaksud bersifat spesifik (khusus) dan aktual atau setidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi 26 Bahwa pelindungan yang memadai atas Data Pribadi akan mampu memberikan kepercayaan masyarakat untuk menyediakan Data Pribadi guna berbagai kepentingan masyarakat yang lebih besar tanpa disalahgunakan atau melanggar hak pribadinya. Dengan demikian, pengaturan ini akan menciptakan keseimbangan antara hak individu dan masyarakat yang diwakili kepentingannya oleh negara. Pengaturan tentang Pelindungan Data Pribadi ini akan memberikan kontribusi yang besar terhadap terciptanya ketertiban dan kemajuan dalam masyarakat informasi. Bahwa sebagaimana telah diuraikan diatas, berlakunya Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 ayat (1) huruf a, dan Pasal 19 UU 27/2022 tidak memiliki pertautan dengan hak dan/atau kewenangan konstitusional para Pemohon yang dalam hal ini dijamin oleh ketentuan Pasal 28D ayat (1) dan Pasal 28G ayat (1) UUD NRI Tahun 1945 karena hak konstitusional Para Pemohon justru menjadi terlindungi dengan keberlakukan Pasal a quo. Dengan tidak adanya kerugian hak dan/atau kewenangan konstitusional Para Pemohon maka tidak terdapat juga kerugian konstitusional yang bersifat spesifik (khusus) dan aktual atau setidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi. 4. Adanya hubungan sebab akibat (causal verband) antara kerugian hak dan/atau kewenangan konstitusional dengan undang-undang yang dimohonkan pengujian Bahwa sebagaimana telah dikemukakan di atas, para Pemohon tidak menguraikan secara spesifik dan aktual mengenai kerugian konstitusionalnya sehingga tidak ditemukan adanya hubungan sebab akibat (causal verband) antara kerugian konstitusional yang didalilkan oleh Para Pemohon dengan ketentuan pasal-pasal a quo yang menguatkan tidak terdapat kerugian hak dan/atau kewenangan konstitusional yang dialami oleh para Pemohon. Disamping itu, kerugian konstitusional para Pemohon merupakan kekhawatiran para Pemohon yang tidak berdasar. Dengan demikian, tidak ada hubungan sebab akibat (causal verband) antara kerugian dan berlakunya Undang-Undang a quo yang dimohonkan pengujian. 27 5. Adanya kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian hak dan/atau kewenangan konstitusional yang didalilkan tidak akan atau tidak lagi terjadi Bahwa karena tidak adanya kerugian hak dan/atau kewenangan konstitusional para Pemohon atas berlakunya ketentuan Pasal-Pasal a quo yang bersifat spesifik (khusus) dan aktual atau setidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi, maka sudah dapat dipastikan bahwa dikabulkannya permohonan a quo tidak akan berdampak apapun pada Para Pemohon. Dengan demikian menjadi tidak relevan lagi bagi MK untuk memeriksa dan memutus permohonan a quo, karena para Pemohon tidak memiliki kedudukan hukum (legal standing) sehingga sudah sepatutnya MK tidak mempertimbangkan pokok permohonan para Pemohon. Namun, apabila Majelis Hakim Konstitusi mengabulkan permohonan a quo, hal ini justru akan mengakibatkan ketidakpastian hukum khususnya dalam upaya melindungi masyarakat, bangsa, dan negara dalam kaitannya dengan pelindungan data pribadi. Bahwa terkait dengan kedudukan hukum (legal standing) Pemohon, DPR memberikan pandangan selaras dengan Putusan MK Nomor 22/PUU-XIV/2016 yang diucapkan dalam sidang Pleno MK terbuka untuk umum pada tanggal 15 Juni 2016, yang pada pertimbangan hukum [3.5.2] MK menyatakan bahwa menurut Mahkamah: ... dalam asas hukum dikenal ketentuan umum bahwa tiada kepentingan maka tiada gugatan yang dalam bahasa Perancis dikenal dengan point d’ interest point d’ action dan dalam bahasa Belanda dikenal dengan zonder belang geen rechtsingang. Hal tersebut sama dengan prinsip yang terdapat dalam Reglement op de Rechtsvordering (RV) khususnya Pasal 102 yang menganut ketentuan bahwa “tiada gugatan tanpa hubungan hukum” (no action without legal connection). Berdasarkan pada hal-hal yang telah disampaikan tersebut, DPR berpandangan bahwa para Pemohon tidak memiliki kedudukan hukum (legal standing) karena tidak memenuhi Pasal 51 ayat (1) dan Penjelasan Undang-Undang tentang Mahkamah Konstitusi, Peraturan Mahkamah Konstitusi Nomor 2 Tahun 2021 tentang Tata Beracara Dalam Perkara Pengujian Undang-Undang, serta tidak memenuhi persyaratan kerugian konstitusional yang diputuskan dalam putusan Mahkamah Konstitusi 28 terdahulu. Namun demikian, terhadap kedudukan hukum (legal standing) para Pemohon, DPR menyerahkan sepenuhnya kepada kebijaksanaan Yang Mulia Majelis Hakim Konstitusi untuk mempertimbangkan dan menilai apakah Para Pemohon memiliki kedudukan hukum. B. PANDANGAN UMUM DPR 1. Di era digital, data pribadi seseorang sebagai pengguna internet dan konsumen menjadi aset yang sangat bernilai. Pihak-pihak seperti sosial media platform, e-commerce, on-demand service platform banyak melakukan kegiatan pemrosesan data pribadi konsumen seperti mengumpulkan data dan informasi pengguna, melakukan tracking terhadap perilaku online pengguna, hingga memproses lebih lanjut data pengguna. 2. Ketentuan hukum terkait pelindungan data pribadi masih bersifat parsial dan sektoral, tampaknya belum bisa memberikan perlindungan yang optimal dan efektif terhadap data pribadi, sebagai bagian dari privasi. Potensi pelanggaran hak privasi atas data pribadi tidak saja ada dalam kegiatan online tetapi juga kegiatan offline. Potensi pelanggaran privasi atas data pribadi secara online misalnya terjadi dalam kegiatan pengumpulan data pribadi secara masal (digital dossier), pemasaran langsung (direct selling), media sosial, pelaksanaan program e-KTP, pelaksanaan program e-health dan kegiatan komputasi awan (cloud computing). Khususnya di era big data, pengumpulan data secara masif lazim dilakukan, tak hanya oleh pemerintah, namun juga oleh entitas bisnis atau korporasi. Jenis data yang dikumpulkan pun beragam, mulai dari personally identifiable information (PII) hingga sensitive personal information (SPI). Perusahaan sebagai pengendali data memiliki tanggung jawab untuk menjaga data konsumen dari kebocoran data. Kebocoran data pribadi baik disengaja maupun tidak merupakan pelanggaran atas kepercayaan yang diberikan seseorang tanpa diketahui oleh yang bersangkutan yang mengakibatkan pemanfaatan data pribadi tersebut oleh pihak-pihak lain untuk kepentingan yang menguntungkan merupakan pelanggaran yang tidak dapat ditoleransi. Oleh karenanya, diperlukan peraturan hukum 29 yang komprehensif guna melindungi data pribadi konsumen yang dimiliki oleh para pihak yang memperoleh data pribadi tersebut dari konsumen. 3. Salah satu tujuan utama regulasi pelindungan data pribadi adalah melindungi kepentingan konsumen dan memberikan manfaat ekonomi bagi Indonesia. Berdasarkan kasus yang terjadi di Eropa yaitu Maximillian Schrems v. Data Protection Commissioner yang diputus Court of Justice of the European Union, 2015, perbedaan perlindungan kepentingan konsumen dapat mengancam transaksi antar dua negara atau dua regional. Dari kasus tersebut terlihat bahwa terdapat kepentingan untuk memberikan pelindungan data pribadi yang setara dengan negara-negara lain. Pengaturan perlindungan data pribadi dalam peraturan perundang-undangan diharapkan akan menempatkan Indonesia sejajar dengan negara-negara maju yang telah menerapkan hukum mengenai pelindungan data pribadi. Hal ini akan lebih mendorong dan memperkuat posisi Indonesia sebagai pusat bisnis terpercaya, yang merupakan suatu strategi kunci dalam ekonomi nasional Indonesia. 4. Pelindungan data pribadi merupakan salah satu hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi maka perlu diberikan landasan hukum untuk memberikan keamanan atas data pribadi, berdasarkan Pasal 28G ayat (1) UUD NRI Tahun 1945. Pengaturan menyangkut Data Pribadi merupakan manifestasi pengakuan dan pelindungan atas hak dasar manusia. Keberadaan suatu Undang- Undang tentang Pelindungan Data Pribadi suatu keharusan yang tidak dapat ditunda lagi karena sangat mendesak bagi berbagai kepentingan nasional. Pergaulan internasional Indonesia turut menuntut adanya Pelindungan Data Pribadi. Pelindungan tersebut dapat memperlancar perdagangan, industri, dan investasi yang bersifat transnasional. 5. UU 27/2022 mengatur prinsip-prinsip Pelindungan Data Pribadi, antara lain: Pertama, pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, patut, dan transparan. Kedua, pemrosesan data pribadi dilakukan sesuai dengan tujuannya, serta dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan. Ketiga, pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan, 30 pengungkapan, dan pengubahan secara tidak sah, serta penyalahgunaan, perusakan, dan/atau kehilangan data pribadi. Keempat, dalam hal terjadi kegagalan dalam pelindungan data pribadi (data breach), pengendali data pribadi wajib memberitahukan kegagalan tersebut pada kesempatan pertama kepada pemilik data pribadi. Kelima, data pribadi wajib dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan pemilik data pribadi (right to erasure) kecuali ditentukan lain oleh peraturan perundang-undangan. C. KETERANGAN DPR TERHADAP POKOK PERMOHONAN Dalam Perkara 108 1. Terhadap dalil Pemohon Perkara 108 yang beranggapan bahwa dengan berlakunya Pasal 2 ayat (2) UU 27/2022 dapat menimbulkan kerugian tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah dan semakin kemungkinan maraknya kelemahan perlindungan data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga (vide Perbaikan Permohonan hlm. 11-17), DPR menerangkan sebagai berikut: a. Bahwa data pribadi sebagai hak milik pribadi juga wajib dilindungi oleh negara karena hak milik tersebut tidak boleh diambil alih secara sewenang-wenang oleh siapapun sebagaimana diatur dalam Pasal 28H ayat (4) UUD NRI Tahun 1945. Dalam konteks hak milik pribadi tersebut maka terhadap data pribadi melekat pula hak privasi perseorangan yang memiliki data pribadi tersebut dan dalam rangka memberikan perlindungan terhadap hak konstitusional tersebut negara wajib hadir untuk memberikan pelindungan dari potensi terjadinya pelanggaran dalam penggunaannya oleh pihak lain. Hal ini juga telah menjadi pertimbangan pembentuk undang-undang dengan mencantumkan Pasal 28H ayat (4) UUD NRI Tahun 1945 dalam konsideran mengingat UU 27/2022. b. Bahwa pelaksanaan perlindungan data pribadi tetap harus memberikan penghormatan terhadap Data Pribadi sebagai privasi (the right to private life) yang dimiliki oleh pemilik data. Kebebasan dalam menggunakan data pribadi oleh si pemilik data merupakan bagian dari hak privasi yang dimiliki oleh pemilik data. Mengacu kepada konsep 31 penghormatan terhadap privasi pemilik data pribadi tersebut maka terhadap pemrosesan data pribadi yang dilakukan oleh pemilik data untuk keperluan pribadi atau rumah tangga dikecualikan dari pelaksanaan perlindungan data pribadi sebagai ranah publik dalam peraturan perundang-undangan. Hal ini diakomodir dalam UU 27/2022 yang memberikan pengecualian dalam Pasal 2 ayat (2) UU UU 27/2022. Pengecualian tersebut diberikan karena pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga merupakan ranah privat masing-masing individu sebagai pemilik data yang melakukan pemrosesan Data Pribadi. c. Bahwa pengaturan yang terdapat dalam Pasal 2 ayat (2) UU 27/2022 merupakan bentuk partisipasi bermakna karena mengakomodir masukan yang disampaikan oleh Dr. Edmon Makarim, S.Kom., S.H., LL.M. dan Asosiasi Fintech Indonesia (AFTECH) yang menyampaikan masukan terkait adanya pengaturan data pribadi dalam International Covenant on Civil and Political Rights adopted by the General Assembly of the United Nations on 19 December 1966 (ICCPR) dan General Data Protection Regulation (GDPR). d. Bahwa Article 17 ICCPR mengatur: 1. No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honour and reputation. 2. Everyone has the right to the protection of the law against such interference or attacks. Dengan adanya pengaturan ICCPR terkait privasi, hal ini sejalan dengan upaya Pembentuk Undang-Undang memenuhi kewajibannya sebagaimana diatur dalam Pasal 28I ayat (4) UUD NRI Tahun 1945 dalam kaitannya dengan pemenuhan hak setiap orang atas atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi sebagaimana diatur dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Bahwa data yang dimiliki oleh setiap orang tersebut selama tidak diberikan kepada pihak ketiga maka hal itu 32 merupakan ranah privasi orang yang dijamin oleh UUD NRI Tahun 1945 dan diatur dengan berbagai peraturan perundang-undangan. Dalam hal data pribadi tersebut telah disampaikan dan diproses oleh pihak ketiga atau badan publik maka Negara melindungi melalui UU a quo. e. Bahwa GDPR disebut sebagai “The toughest data protection law in the world” karena memiliki aturan yang cukup ketat dengan sanksi yang berat bagi pelanggar. GDPR juga memiliki efek ekstra teritorial karena regulasi ini berlaku bagi semua pihak di manapun berada, termasuk yang berada di luar Uni Eropa, selama mereka melakukan kegiatan- kegiatan yang berkaitan dengan pemrosesan data individu yang tinggal di kawasan Uni Eropa. GDPR memaksa perusahaan untuk lebih akuntabel, transparan, bertanggung jawab pada data pribadi pengguna dan meningkatkan cybersecurity-nya, jika tidak mau terkena denda. Pemberlakukan GDPR membuat UE menjadi sorotan internasional, dimana: • UE mempertahankan sepak terjangnya sebagai leader dan global trendsetter dalam tech regulation dengan hadirnya GDPR yang juga banyak menjadi katalis bagi negara lain untuk menerapkan regulasi serupa. • Selama tiga tahun penerapan, GDPR menjatuhkan sanksi kepada sejumlah raksasa teknologi mulai Google, Facebook’s WhatsApp, hingga Amazon dengan denda puluhan juta euro atas pelanggaran data pribadi yang mereka lakukan. • Pemberlakukan GDPR berhasil mengundang masyarakat untuk melaporkan pelanggaran terhadap perlindungan data pribadi. Setidaknya 59,000 aduan dilaporkan hanya dalam waktu 8 bulan diberlakukannya aturan ini. f. Bahwa Recital (18), Chapter 1 Article 2 (2c) GDPR mengatur pengecualian penerapan GDPR atas kegiatan pribadi atau rumah tangga. Recital (18) menyatakan: This Regulation does not apply to the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional 33 or commercial activity. Personal or household activities could include correspondence and the holding of addresses, or social networking and online activity undertaken within the context of such activities. However, this Regulation applies to controllers or processors which provide the means for processing personal data for such personal or household activities (https://gdpr.eu/Recital-18-Not-applicable-to-personal-or- household-activities/). Chapter 1 Article 2 GDPR menyatakan: This regulation does not apply to the processing of personal data: (a)… (b)… (c) by a natural person in the course of a purely personal or household activity. g. Bahwa berdasarkan ketentuan tersebut, pengaturan data pribadi dalam GDPR dikecualikan untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga murni yang tidak ada hubungannya dengan kegiatan profesional atau komersial. Aktivitas pribadi atau rumah tangga dapat mencakup antara lain korespondensi data pribadi, penyimpanan data pribadi, aktivitas jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas pribadi atau rumah tangga tersebut. UU 27/2022 sebagai landasan hukum perlindungan data pribadi yang dibentuk dengan tetap memberikan penghormatan kepada penggunaan data pribadi sebagai hak milik pribadi (hak privasi) juga mengacu kepada ketentuan pengecualian yang diatur dalam GDPR terkait penggunaan data pribadi dalam kegiatan pribadi dan rumah tangga. Hal ini menjelaskan bahwa pengaturan pengecualian pemrosesan data pribadi dalam kegiatan pribadi dan rumah tangga dalam Pasal 2 ayat (2) UU a quo telah selaras dengan ketentuan yang diatur dalam ICCPR maupun GDPR. h. Bahwa terkait perlindungan data pribadi di Indonesia saat ini, selain diatur dalam UU 27/2022 juga sudah diatur secara sektoral dan parsial yang tersebar pada beberapa peraturan perundang-undangan. Hal ini dikuatkan dengan adanya ketentuan Pasal 75 UU a quo yang menyatakan bahwa ketentuan peraturan perundang-undangan yang mengatur mengenai Pelindungan Data Pribadi, dinyatakan masih 34 tetap berlaku sepanjang tidak bertentangan dengan ketentuan dalam UU a quo. i. Bahwa perlindungan data pribadi dalam kegiatan bisnis yang dilakukan di rumah tetap dilindungi undang-undang di sektor terkait. Dalam hal kegiatan bisnis dilakukan secara online dan masuk kedalam konteks transaksi elektronik maka data pribadi yang digunakan untuk transaksi dilindungi oleh Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 (UU ITE) dan peraturan pelaksananya, yakni PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE). UU ITE jo. PP PSTE telah memberikan pengaturan peran Pemerintah dalam memfasilitasi pemanfaatan Teknologi Informasi dan Transaksi Elektronik, melindungi kepentingan umum dari segala jenis gangguan sebagai akibat penyalahgunaan Informasi Elektronik dan Transaksi Elektronik yang mengganggu ketertiban umum, dan mencegah penyebarluasan dan penggunaan Informasi Elektronik dan/atau Dokumen Elektronik yang memiliki muatan yang dilarang sesuai dengan ketentuan peraturan perundang-undangan. j. Bahwa selain UU ITE jo. PP PSTE, kegiatan perdagangan dalam rumah tangga tentunya tidak lepas dari pengaturan dalam UU Nomor 7 Tahun 2014 tentang Perdagangan yang telah diubah terakhir dengan Perpu Nomor 2 Tahun 2022 tentang Cipta Kerja (UU Perdagangan) dan peraturan pelaksanaannya yaitu PP Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik (PP PMSE) yang mengatur aspek hukum Perdagangan dalam penyelenggaraan dan pemanfaatan Sistem Elektronik yang ditujukan khusus untuk Perdagangan. PP PMSE ini mencakup semua kegiatan Perdagangan yang dilakukan dengan menggunakan berbagai moda dan jenis sistem komunikasi elektronik, baik yang online maupun secara offline. Hal tersebut akan mencakup hubungan hukum dalam konteks antara pelaku usaha (business to business) maupun pelaku usaha dengan konsumen (business to customer). Selain itu, PP PMSE ini telah mengatur subjek hukum dalam PMSE terdiri dari pelaku 35 usaha, konsumen, pribadi, dan instansi penyelenggara negara dengan jenis skema kegiatan PMSE diantaranya: pelaku usaha dengan pelaku usaha; pelaku usaha dengan konsumen; pribadi dengan pribadi; dan instansi penyelenggara negara dengan pelaku usaha. k. Bahwa dengan demikian, perlindungan Data Pribadi di berbagai sektor telah jelas diberikan melalui peraturan perundang-undangan sektor lain selain UU 27/2022. Kebocoran data pribadi dalam kegiatan tersebut menjadi terlindungi dan dijamin oleh negara melalui peraturan perundang-undangan sektor terkait. Mengacu pada penjelasan tersebut maka dalam hal kegiatan bisnis atau perdagangan dilakukan di rumah, tetap saja pelaksanaannya tunduk dengan pengaturan yang ada dalam UU ITE, UU Perdagangan, PP PSTE dan PP PMSE, dan oleh karena itu dalil Pemohon Perkara 108 seharusnya memahami bahwa data pribadi yang digunakan dalam kegiatan bisnis di rumah telah diatur dan dilindungi dalam berbagai peraturan perundang- undangan. l. Bahwa dengan demikian pengecualian dalam ketentuan Pasal 2 ayat (2) UU a quo telah memberikan perlindungan terhadap hak privasi pemilik data dalam menggunakan data pribadinya untuk kegiatan pribadi atau kegiatan rumah tangga. Oleh karena itu, dalil Pemohon Perkara 108 yang menyebutkan bahwa pengecualian Pasal 2 ayat (2) UU a quo menyebabkan lemahnya perlindungan data pribadi sebagai pemenuhan hak atas data pribadi adalah tidak benar dan hanya merupakan kekhawatiran Pemohon Perkara 108 yang telah jelas pengaturannya. 2. Terhadap dalil Pemohon Perkara 108 yang beranggapan bahwa dengan berlakunya Pasal 1 angka 4 jo. Pasal 19 UU 27/2022 dapat menimbulkan kerugian tidak dapatnya Pemohon Perkara 108 menunjuk suatu badan hukum yang ahli dibidang pemrosesan data sebagai pengendali dan prosesor data pribadinya, DPR menerangkan sebagai berikut: a. Bahwa UU 27/2022 telah mengatur perlindungan data pribadi sebagai bagian dari pelindungan diri pribadi dan jaminan bagi masyarakat untuk mendapatkan pelayanan dari Korporasi, Badan Publik, 36 Organisasi Internasional, dan Pemerintah dalam hal pemrosesan dan pengendalian data pribadi, sebagai upaya mendorong pertumbuhan ekonomi digital dan industri teknologi informasi dan komunikasi, dan mendukung peningkatan daya saing industri dalam negeri. b. Bahwa korporasi yang diatur dalam UU 27/2022 menjadi masuk kedalam pengertian frasa “Setiap Orang” sebagaimana diatur dalam Pasal 1 angka 7 dan angka 8 UU 27/2022 sebagai berikut: Pasal 1 angka 7 UU 27/2022: “Setiap Orang adalah orang perseorangan atau korporasi” Pasal 1 angka 8 UU 27/2022: “Korporasi adalah kumpulan orang dan/atau kekayaan terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum”. Dilihat dari norma definisi yang diatur tersebut maka frasa “badan hukum” sudah diakomodir dalam frasa “Setiap Orang” yang ada dalam ketentuan-ketentuan UU a quo. Oleh karenanya Pasal 19 UU 27/2022 telah mencakup badan hukum sebagai pengendali dan prosesor data pribadi dan dalil Pemohon Perkara 108 terkait dengan frasa “badan hukum” menjadi tidak berdasar. c. Bahwa mengacu kepada definisi tersebut maka maksud Pasal 1 angka 4 dan angka 5 jo. Pasal 19 UU 27/2022 menjadi jelas bahwa badan hukum dapat ditunjuk sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi, dimana pengendali data pribadi merupakan pihak yang memiliki kendali penuh dalam pemrosesan data pribadi, sementara prosesor data pribadi hanya melakukan pengolahan data pribadi berdasarkan perintah atau atas nama pengendali data pribadi, yang artinya kewajiban perlindungan data pribadi yang berlaku kepada Pengendali Data Pribadi juga berlaku kepada Prosesor Data Pribadi. Bahkan Pasal 70 UU 27/2022 juga mengatur ketentuan sanksi bagi korporasi yang melakukan pelanggaran, dalam hal ini badan hukum termasuk didalamnya, berupa denda dan pidana tambahan. d. Dengan demikian, suatu perusahaan yang berbadan hukum, dapat ditunjuk oleh pemilik data pribadi untuk menjadi Pengendali Data Pribadi atau Prosesor Data Pribadi yang tentunya dengan mengikuti ketentuan dalam UU 27/2022. 37 Demikian keterangan DPR disampaikan untuk menjadi bahan pertimbangan bagi Majelis Hakim MK untuk memeriksa, memutus, dan mengadili perkara a quo dan dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa para Pemohon tidak mempunyai kedudukan hukum (Legal Standing) sehingga permohonan a quo harus dinyatakan tidak dapat diterima (niet ontvankelijk verklaard); 2. Menolak permohonan para Pemohon untuk seluruhnya atau paling tidak menyatakan permohonan Pemohon tidak dapat diterima; 3. Menerima Keterangan DPR secara keseluruhan; 4. Menyatakan Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 ayat (1) huruf a dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (Lembaran Negara Nomor 196 Tahun 2022, Tambahan Lembaran Negara Republik Indonesia Nomor 6820), tidak bertentangan dengan Undang- Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap memiliki kekuatan hukum mengikat; 5. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Apabila Yang Mulia Hakim Majelis Mahkamah Konstitusi berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). [2.4] Menimbang bahwa terhadap permohonan Pemohon, Presiden memberikan keterangan tertulisnya diterima Mahkamah tanggal 9 Februari 2023 dan didengarkan dalam persidangan pada tanggal 13 Februari 2023, yang pada pokoknya mengemukakan hal sebagai berikut: 1. pengujian materiil ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (selanjutnya disebut UU PDP) terhadap Pasal 28D ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 (selanjutnya disebut UUD NRI 1945) yang dimohonkan oleh Leonardo Siahaan, S.H. (selanjutnya disebut Pemohon 108), sesuai registrasi di Kepaniteraan Mahkamah Konstitusi Nomor 108/PUU-XX/2022 tanggal 8 November 2022 dan perbaikan permohonan tanggal 24 November 2022; dan 2. pengujian materiil ketentuan Pasal 15 ayat (1) huruf a UU PDP terhadap Pasal 28D ayat (1), Pasal 28E ayat (3), dan Pasal 28G ayat (1) UUD NRI 1945 yang dimohonkan oleh Dian Leonaro Benny, S.H. (selanjutnya disebut Pemohon 38 110), sesuai registrasi di Kepaniteraan Mahkamah Konstitusi Nomor 110/PUU- XX/2022 tanggal 10 November 2022 dan perbaikan permohonan tanggal 5 Desember 2022. Selanjutnya, perkenankanlah Pemerintah menyampaikan keterangan atas permohonan pengujian ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 ayat (1) huruf a, dan Pasal 19 UU PDP sebagai berikut: I. POKOK PERMOHONAN PEMOHON A. Pokok Permohonan Register 108/PUU-XX/2022 1. Bahwa Pemohon 108 mendalilkan ketentuan Pasal 1 angka 4 dan Pasal 19 tidak mengatur “badan hukum” untuk dapat terlibat menjadi pihak yang melakukan pemrosesan dan pengendalian data pribadi, sehingga bertentangan dengan ketentuan Pasal 28D ayat (1) UUD NRI 1945. 2. Bahwa Pemohon 108 mendalilkan ketentuan Pasal 2 ayat (2) UU PDP yang tidak memberikan penjelasan lebih lanjut mengenai frasa “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”, sehingga dapat menimbulkan: a. tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah; b. semakin maraknya kelemahan perlindungan terhadap data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga; dan c. UU PDP tidak menjawab perlindungan terhadap hak subjek data pribadi. II. KEDUDUKAN HUKUM (LEGAL STANDING) PEMOHON Dalam perkara a quo ini, izinkanlah Pemerintah memberikan tanggapan terhadap kedudukan hukum (legal standing) Pemohon 108 dan Pemohon 110 yaitu bahwa menurut Pemerintah, Pemohon 108 yang memohon pengujian ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU PDP dan Pemohon 110 yang memohon pengujian ketentuan Pasal 15 ayat (1) huruf a UU PDP tidak dalam posisi dirugikan, dikurangi, atau setidak-tidaknya dihalang-halangi hak konstitusionalnya akibat keberlakuan ketentuan- ketentuan a quo yang dimohonkan dimaksud, dengan alasan sebagai berikut: 39 A. Ketentuan-ketentuan mengenai Kedudukan Hukum (Legal Standing) Bahwa, sesuai dengan ketentuan Pasal 51 ayat (1) Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah dengan Undang-Undang Nomor 8 Tahun 2011 tentang Perubahan atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (selanjutnya disebut UU MK) jelas mengatur Pemohon adalah pihak yang menganggap hak dan / atau kewenangan konstitusionalnya telah dirugikan dengan berlakunya undang-undang, yang meliputi : a. Perorangan Warga Negara Indonesia; b. Kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. Badan hukum publik atau privat; atau d. Lembaga Negara. Bahwa berdasarkan ketentuan peraturan perundang-undangan di atas, sehubungan dengan kedudukan hukum (legal standing) Pemohon 108 untuk mengajukan permohonan uji materiil atas ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU PDP dan Pemohon 110 untuk mengajukan permohonan uji materiil atas ketentuan Pasal 15 ayat (1) huruf a UU PDP terhadap UUD NRI 1945, maka harus dibuktikan bahwa: a. Pemohon memenuhi kualifikasi untuk mengajukan permohonan sesuai dengan ketentuan Pasal 51 ayat (1) UU MK; dan b. Hak dan/atau kewenangan konstitusional Pemohon dirugikan akibat berlakunya undang-undang yang diuji. Bahwa, sesuai dengan putusan Mahkamah Konstitusi Nomor 006/PUU- III/2005 dan Nomor 010/PUU-III/2005 yang pada pokoknya menyatakan, dikutip: “Bahwa, kerugian konstitusional yang timbul karena berlakunya suatu undang-undang menurut ketentuan Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: 1. Adanya hak konstitusional Pemohon yang diberikan oleh UUD NRI 1945; 2. Adanya hak konstitusional Pemohon tersebut dianggap oleh Pemohon telah dirugikan oleh suatu undang-undang yang diuji; 3. Kerugian konstitusional Pemohon yang dimaksud bersifat spesifik (khusus) dan aktual atau setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; 40 4. Adanya hubungan sebab akibat (causal verband) antara kerugian dan berlakunya undang-undang yang dimohonkan untuk diuji; 5. Adanya kemungkinan bahwa dengan dikabulkannya permohonan maka kerugian konstitusional yang didalilkan tidak akan atau tidak lagi terjadi.” B. Tanggapan Pemerintah atas uraian kedudukan hukum (Legal Standing) Pemohon. 1. Tanggapan terhadap Legal Standing Pemohon 108 dengan uraian sebagai berikut: Pokok permohonan Pemohon 108 perlu dibagi menjadi dua bagian, yaitu: a. Terkait badan hukum sebagaimana dimaksud dalam Pasal 1 angka 4 jo. Pasal 19 UU PDP. Pemohon 108 tidak memiliki legal standing mengenai pokok permohonan terkait badan hukum, dengan penjelasan sebagai berikut: a. Pemohon 108 mendalilkan kerugian konstitusionalnya muncul karena "tidak ada pemberlakuan kewenangan badan hukum dalam melakukan pengendali data pribadi”. b. Dalil kerugian Pemohon 108 dimaksud keliru karena Pemohon tidak membaca secara keseluruhan ketentuan umum yang terkait dengan Pasal 1 angka 4 dan Pasal 19 UU PDP. c. Apabila mencermati definisi “Setiap Orang” yang diatur dalam Pasal 1 angka 7 UU PDP yang terkutip sebagai berikut: “Setiap Orang adalah orang perseorangan atau korporasi.” dan dihubungkan dengan definisi “Korporasi” yang diatur dalam Pasal 1 angka 8 UU PDP yang terkutip sebagai berikut: “Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum.” Berdasarkan uraian Pasal di atas, badan hukum yang dimaksudkan oleh Pemohon 108 sesungguhnya telah tercakup pada definisi Setiap Orang pada ketentuan umum Pasal 1 angka 7 UU PDP, sehingga termasuk bagian dari unsur Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 1 angka 4 dan Pasal 19 UU PDP. 41 Oleh karena itu, Pemohon 108 sesungguhnya tidak memiliki kerugian konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK karena berlakunya norma Pasal 1 angka 4 dan Pasal 19 UU PDP, sehingga dalil kerugian potensial konstitusional Pemohon 108 tidak berdasar dan tidak beralasan menurut hukum karena badan hukum yang mengendalikan dan memproses data pribadi telah diatur secara tegas dalam UU PDP. b. Terkait pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP. Pemohon 108 juga tidak mempunyai legal standing dalam pokok permohonan terkait pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP, dengan penjelasan sebagai berikut: a. UU PDP memberikan perlindungan dalam pemrosesan data pribadi dalam kegiatan bisnis termasuk yang dilakukan di rumah. b. Pengecualian terhadap keberlakuan UU PDP sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP hanya terbatas pada pemrosesan data pribadi yang dilakukan oleh individu atau natuurlijk person, dan pemrosesan tersebut hanya dilakukan dalam kegiatan pribadi atau rumah tangga yaitu kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional. Pengecualian yang diatur dalam Pasal 2 ayat (2) UU PDP merupakan bentuk pengaturan dalam rangka memberikan perlindungan hak asasi manusia, khususnya menjaga hak privasi. c. Pemohon 108 mendalilkan pada pokoknya bahwa dengan adanya Pasal 2 ayat (2) UU PDP “tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah” merupakan dalil yang keliru dan tidak berdasar. d. Kegiatan bisnis atau kegiatan e-commerce yang dilakukan oleh orang perorangan di rumah tangganya bukanlah kegiatan yang 42 dikecualikan berdasarkan Pasal 2 ayat (2) UU PDP. Orang perorangan yang melakukan kegiatan bisnis atau e-commerce di rumahnya dapat dikategorikan sebagai pengendali data pribadi atau prosesor data pribadi. Oleh karena itu, orang tersebut harus bertanggung jawab secara hukum atas pemrosesan data pribadi yang diselenggarakannya sesuai dengan ketentuan dalam UU PDP, antara lain terkait prinsip pemrosesan data pribadi (Pasal 16 ayat (2) UU PDP), dasar hukum (legal basis) dalam pemrosesan data pribadi (Pasal 20 ayat (2) UU PDP), kewajiban pengendali data pribadi atau prosesor data pribadi sebagaimana dimaksud dalam Pasal 20 s.d. Pasal 52. e. Dengan perkataan lain, UU PDP memberikan perlindungan dalam pemrosesan data pribadi untuk kegiatan bisnis atau e-commerce yang dilakukan di rumah, dan dalil Pemohon 108 yang menyatakan “Pasal 2 ayat (2) UU PDP tidak memberikan perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah” merupakan dalil yang tidak berdasar. Dengan demikian, menurut Pemerintah, dapat disimpulkan bahwa Pemohon 108 sesungguhnya tidak memiliki kerugian konstitusional sebagaimana dimaksud Pasal 51 ayat (1) UU MK atas keberlakuan ketentuan Pasal 2 ayat (2) UU PDP karena dalil yang diuraikan oleh Pemohon 108 berkenaan dengan kegiatan bisnis yang dilakukan di rumah bukanlah cakupan dari Pasal 2 ayat (2) UU PDP dan terhadap perbuatan hukum dimaksud telah diatur dengan pasal- pasal lain dalam UU PDP. III. KETERANGAN PEMERINTAH ATAS MATERI PERMOHONAN YANG DIMOHONKAN UNTUK DIUJI A. LATAR BELAKANG UU PDP 1. Salah satu pertimbangan filosofis konstitusional dalam penyusunan UU PDP didasarkan pada tanggung jawab Pemerintah Negara Indonesia dalam melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang 43 berdasarkan kemerdekaan, perdamaian abadi dan keadilan sosial. (vide Bab I Pendahuluan Naskah Akademik RUU PDP, Bukti PK-1). 2. Wujud dari pelindungan segenap bangsa Indonesia dan seluruh tumpah darah Indonesia ialah pengakuan hak-hak asasi manusia yang diatur dalam UUD NRI 1945 sebagai Konstitusional Indonesia, yaitu dalam Bab XA tentang Hak Asasi Manusia, mulai dari Pasal 28A s.d. Pasal 28J. 3. Dalam UUD NRI 1945 hak atas pelindungan data pribadi tidak diatur secara tegas dan spesifik. Oleh karena itu, dalam bagian menimbang huruf a dan Penjelasan Umum UU PDP ditegaskan bahwa pelindungan data pribadi merupakan bagian dari hak konstitusional yang lahir dari Pasal 28G ayat (1) UUD NRI 1945, yaitu hak atas perlindungan diri, pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. 4. Kemudian, dalam Pasal 28I ayat (4) UUD NRI 1945 diatur dengan tegas bahwa pelindungan, pemajuan, penegakan, dan pemenuhan hak asasi manusia adalah tanggung jawab negara, terutama pemerintah. Oleh karena itu, penyusunan regulasi dan kebijakan dalam mengatur pemrosesan data pribadi dalam rangka memenuhi hak atas pelindungan data pribadi merupakan tanggung jawab Pemerintah. 5. Perlindungan konstitusional dalam pemrosesan data pribadi sangat penting dalam menghadapi atau menyikapi perkembangan teknologi. Artificial Intelligence, Big Data, Internet of Things, Blockchain, Cloud Computing, dan augmented reality adalah beberapa contoh teknologi yang berkembang sangat cepat dalam satu dekade belakangan ini. Teknologi-teknologi tersebut terhubung dengan berbagai perangkat yang digunakan oleh masyarakat dan memproses data pribadi dalam volume besar. 6. Mengingat keterhubungan berbagai sistem elektronik di dalam maupun di luar teritori satu negara, aliran bebas lintas batas (cross-border data flow) menjadi satu kebutuhan sekaligus permasalahan utama. Penggunaan layanan atau aplikasi yang berbasis cloud computing dan 44 layanan sosial media serta penyelenggaraan transaksi komersial melalui berbagai penyelenggara platform merupakan kegiatan-kegiatan yang memiliki aspek lintas batas yang dilakukan oleh masyarakat dan pelaku usaha sehari-hari. Meskipun aliran bebas lintas batas merupakan kebutuhan, pemerintah juga harus hadir memberikan perlindungan dan menjamin hak atas perlindungan data pribadi sebagai hak konstitusional warga negara Indonesia terhadap data pribadi yang diproses di luar yurisdiksi Indonesia. 7. Ketentuan hukum terkait pelindungan data pribadi di Indonesia masih bersifat parsial dan sektroral (vide Bab I Pendahuluan Bukti PK-1). Pengaturan yang sifatnya parsial dan sektoral tersebut mengakibatkan beragamnya pola pengaturan pemrosesan dan pelindungan data pribadi dan terjadi tumpang tindih pengaturan. Di sisi lain, regulasi sektoral tersebut belum mengatur secara tegas, antara lain, prinsip-prinsip apa yang wajib diterapkan oleh pengendali data pribadi, dasar hukum (legal basis) apa saja yang dapat digunakan oleh pengendali atau prosesor data pribadi dalam pemrosesan data pribadi, dan perlindungan data pribadi warga negara Indonesia yang ditransfer ke luar yurisdiksi Indonesia. Selain itu, regulasi sektoral yang ada juga belum mengatur dengan tegas hak-hak subjek data pribadi, sanksi-sanksi administratif dan pidana yang mampu memberikan efek jera sehingga penegakan hukum terhadap kasus-kasus kebocoran data pribadi yang terjadi di Indonesia belum dapat dilakukan dengan maksimal. 8. Oleh karena itu, dalam menghadapi permasalahan pelindungan data pribadi yang semakin kompleks yang didorong oleh: a. perkembangan teknologi disruptif yang memungkinkan pemrosesan data pribadi dalam volume besar dan dengan tingkat intrusi terhadap privasi yang tinggi sehingga dapat mengancam hak-hak konstitusional warga negara; b. kebutuhan untuk menjamin transfer data pribadi lintas batas tetap memberikan perlindungan konstitusional bagi warga negara; c. peraturan perundang-undangan yang sifatnya sektoral yang mengakibatkan adanya tumpang tindih atau kekosongan hukum; Pengaturan mengenai perlindungan data yang ada belum cukup efektif 45 karena masih tersebar dalam beberapa pengaturan yang bersifat sektoral sehingga belum memberikan perlindungan yang optimal, maka dari itu Indonesia membutuhkan konsep regulasi yang komprehensif. (vide Bab VI Kesimpulan Bukti PK-1). B. MAKSUD DAN TUJUAN Berdasarkan latar belakang di atas, maksud dari pengundangan UU PDP adalah untuk membentuk satu sistem hukum pelindungan data pribadi yang komprehensif, yang meliputi substansi, struktur, dan kultur. Maksud untuk membangun sistem hukum yang komprehensif tersebut setidaknya terlihat dari: 1. Definisi Data Pribadi a. UU PDP mendefinisikan “Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non-elektronik.” (vide Pasal 1 angka 1 UU PDP). Berdasarkan definisi tersebut, jangkauan pengaturan UU PDP mencakup tidak hanya informasi atau dokumen elektronik yang memuat atau mengandung data pribadi tetapi juga dokumen atau surat dalam bentuk kertas. b. Dari definisi tersebut, UU PDP mengklasifikasikan data pribadi ke dalam dua kategori, yaitu: 1) data pribadi yang bersifat spesifik, antara lain: data biometrik, data genetika dan data anak (vide Pasal 4 ayat (2) UU PDP); 2) data pribadi yang bersifat umum, antara lain: nama lengkap, jenis kelamin, dan kewarganegaraan (vide Pasal 4 ayat (3) UU PDP). 2. Konsep pelindungan data pribadi Berdasarkan Pasal 1 angka 2 UU PDP, pelindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi. Dengan perkataan lain pelindungan data pribadi merupakan konsep yang holistik. Pelindungan data pribadi diterapkan dalam keseluruhan pemrosesan data pribadi. Dalam UU PDP diatur bahwa pemrosesan data pribadi meliputi pemerolehan dan pengumpulan, 46 pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, penghapusan atau pemusnahan (vide Pasal 16 ayat (1) UU PDP). 3. Tujuan UU PDP adalah untuk memberikan perlindungan, memajukan, menegakkan, memenuhi, dan menjamin hak konstitusional warga negara Indonesia, khususnya hak atas perlindungan data pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI 1945, baik terhadap pemrosesan data pribadi yang dilakukan di dalam teritori Indonesia maupun di luar teritori Indonesia. Tujuan ini terlihat setidaknya dari ketentuan-ketentuan sebagai berikut: a. Hak subjek data pribadi (vide Pasal 5 s.d. Pasal 14 UU PDP); b. Kewajiban pengendali data pribadi dan prosesor data pribadi (vide Pasal 20 s.d. Pasal 54 UU PDP); c. Pengaturan prinsip pemrosesan data pribadi (vide Pasal 16 UU PDP); d. Kewajiban adanya dasar hukum untuk memproses data pribadi (vide Pasal 20 UU PDP). 4. Berdasarkan Pasal 28J ayat (2) UUD NRI 1945, hak atas perlindungan data pribadi bukanlah hak absolut, tetapi hak yang dapat dibatasi untuk kepentingan atau tujuan yang sah yang diatur dalam undang-undang. UU PDP memungkinkan adanya pembatasan terhadap hak-hak subjek data pribadi dan pengecualian terhadap kewajiban pengendali atau prosesor data pribadi untuk kepentingan, antara lain pertahanan dan keamanan nasional, proses penegakan hukum, dan kepentingan umum dalam rangka penyelenggaraan negara. C. ARAH PENGATURAN Arah pengaturan dalam UU PDP ialah pembentukan satu sistem hukum pelindungan data pribadi yang komprehensif, dengan mengatur, antara lain: 1. Definisi dan ruang lingkup pelindungan data pribadi; 2. Asas pelindungan data pribadi; 3. Jenis data pribadi; 4. Hak subjek data pribadi; 5. Pemrosesan data pribadi termasuk prinsip dan dasar pemrosesan data pribadi; 47 6. Pengendali gabungan; 7. Kewajiban pengendali dan prosesor data pribadi; 8. Transfer data pribadi; 9. Sanksi administratif; 10. Kelembagaan; 11. Kerjasama Internasional; 12. Partisipasi masyarakat; 13. Penyelesaian sengketa dan hukum acara; 14. Larangan dalam penggunaan data pribadi; 15. Ketentuan pidana. Dalam membangun dan mengembangkan substansi, struktur, dan kultur pelindungan data pribadi yang komprehensif, UU PDP merupakan tonggak utama yang dipancangkan ke dalam sistem hukum Indonesia. Dari UU PDP akan lahir aturan-aturan pelaksanaannya, termasuk lembaga pelindungan data pribadi. UU PDP juga akan mendorong harmonisasi hukum dan Peraturan perundang-undangan sektoral, serta perubahan praktik pemrosesan data pribadi di Indonesia. Saat ini Pemerintah sedang menyiapkan Rancangan Peraturan Presiden mengenai Penetapan Lembaga Pelindungan Data Pribadi, dan Rancangan Peraturan Pemerintah mengenai Pelaksanaan UU PDP. D. KETERANGAN PEMERINTAH TERKAIT DENGAN POKOK PERMOHONAN PEMOHON 108 DAN 110 Pemohon Pasal yang Diuji Batu Uji Pemohon 108/PUU- XX/2022 Pasal 1 angka 4 UU PDP 4. Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri- sendiri atau bersama- sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Pasal 2 ayat (2) UU PDP (2) Undang-Undang ini tidak berlaku untuk Pasal 28D ayat (1) UUD NRI 1945 (1) Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama dihadapan hukum. 48 Pemohon Pasal yang Diuji Batu Uji Pemohon pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Pasal 19 UU PDP Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional. Sehubungan dengan dalil Pemohon 108 dan Pemohon 110 dalam permohonannya, Pemerintah memberikan tanggapan sebagai berikut: D.1. KETERANGAN PEMERINTAH ATAS POKOK PERMOHONAN 108 1. Terhadap dalil Pemohon 108 pada bagian I Pokok Permohonan Pemohon 108 Huruf A Angka 1 mengenai Pasal 1 angka 4 dan Pasal 19 UU PDP yang didalilkan bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945, Pemerintah memberikan keterangan bahwa ketentuan a quo telah memberikan jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum, dengan penjelasan sebagai berikut: a. Alasan Permohonan Pemohon 108 berangkat dari ketidakcermatan Pemohon 108 yang membaca secara parsial Pasal 1 angka 4 dan Pasal 19 UU PDP sehingga keliru mengambil kesimpulan bahwa ketentuan-ketentuan a quo dimaksud tidak mencakup Badan Hukum sebagai Pengendali Data Pribadi dan Prosesor Data Pribadi. b. Pasal 1 angka 4 dan Pasal 19 UU PDP harus dibaca dan ditafsirkan sebagai satu kesatuan yang utuh dengan norma Pasal 1 angka 5, angka 7 dan angka 8 terkutip sebagai berikut: 49 Pasal 1 angka 4 UU PDP “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.” Pasal 1 angka 5 UU PDP “Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi.” Pasal 1 angka 7 UU PDP “Setiap Orang adalah orang perseorangan atau korporasi.” Pasal 1 angka 8 UU PDP “Korporasi adalah kumpulan orang dan/ atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum.” c. Berdasarkan pemaknaan secara holistik ketentuan tersebut pada huruf b, maka terdapat pemahaman bahwa Setiap Orang juga mencakup Korporasi yang berbadan hukum, sehingga Korporasi yang berbadan hukum yang melakukan pemrosesan Data Pribadi masuk dalam kategori Pengendali Data Pribadi (data controller) atau Prosesor Data Pribadi (data processor), oleh karena itu tunduk pada UU PDP. Dengan perkataan lain, baik pengendali data pribadi ataupun prosesor data pribadi dapat berbentuk badan hukum baik yang dikenal di Indonesia (seperti perseroan terbatas atau yayasan) maupun yang dikenal di luar Indonesia (limited liability company atau naamloze vennootschap) dan termasuk dalam cakupan UU PDP. Oleh karena “badan hukum” yang merupakan bagian dari “Korporasi” telah diatur dalam Pasal 1 angka 7 dan Pasal 1 angka 8 UU PDP, maka dalil Pemohon 108 yang menyatakan sebaliknya bahwa badan hukum tidak terdapat dalam Pasal 1 angka 4 dan Pasal 19 UU PDP sehingga tidak masuk ke dalam bagian dari pengaturan terhadap pengendali data pribadi adalah dalil yang berangkat dari pemahaman parsial, 50 kurang cermat, keliru, dan merupakan dalil yang tidak sesuai dengan hukum. d. Selanjutnya, dalil Pemohon 108 tersebut di atas dikaitkan dengan adanya pengujian UU PDP a quo dengan Pasal 28D ayat (1) UUD NRI 1945 yang berbunyi “Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum”, senyatanya dalil Pemohon 108 tersebut adalah dalil yang tidak relevan dan bertentangan dengan hak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum karena sebagaimana telah diuraikan di atas ketentuan mengenai Setiap Orang sudah mencakup Korporasi yang berbadan hukum. Dengan demikian, berdasarkan seluruh keterangan di atas, Pemerintah menyimpulkan bahwa ketentuan Pasal 1 angka 4 dan Pasal 19 UU PDP tidak bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945 sebagaimana yang dikhawatirkan oleh Pemohon 108. Oleh karena itu, menurut Pemerintah adalah tepat dan sangat beralasan hukum dan sudah sepatutnya jika Yang Mulia Ketua dan Majelis Hakim Konstitusi secara bijaksana menolak dali Pemohon 108 dimaksud. 2. Terhadap dalil Pemohon 108 pada Bagian I Pokok Permohonan Pemohon Huruf A Angka 2, mengenai Pasal 2 ayat (2) UU PDP yang didalilkan bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945, Pemerintah memberikan keterangan bahwa ketentuan a quo telah memberikan jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum, dengan penjelasan sebagai berikut: a. UU PDP telah secara jelas mengatur perbuatan yang termasuk cakupan UU PDP 1) Rumusan dalam ketentuan Pasal 2 ayat (2) UU PDP telah secara tegas menyatakan bahwa UU PDP tidak berlaku 51 untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. 2) Pemohon 108 mendalilkan bahwa akibat Pasal 2 ayat (2) UU PDP meyebabkan dirinya menjadi tidak terlindungi data pribadinya terhadap kegiatan pribadi atau rumah tangga yang melakukan kegiatan bisnis atau kegiatan e-commerce, yang mana bisnis e-commerce tidak luput dari kebocoran data yang dilakukan oleh peretas guna meraup keuntungan yang sebesar-besarnya. 3) Bahwa dalil kerugian yang diuraikan Pemohon 108 tersebut pada angka 2) di atas, sesungguhnya bukan merupakan cakupan yang diatur dalam Pasal 2 ayat (2) UU PDP melainkan sudah terakomodir dalam Pasal 2 ayat (1) UU PDP yang mengatur bahwa UU PDP berlaku untuk Setiap Orang (termasuk orang perorangan yang melakukan kegiatan bisnis dan korporasi), Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum sebagaimana diatur dalam UU PDP. Berdasarkan UU PDP, orang perorangan (individu atau natuurlijk persoon) yang melakukan kegiatan bisnis atau e-commerce di rumahnya dapat dikategorikan sebagai pengendali data pribadi atau prosesor data pribadi. Oleh karena itu, orang tersebut harus bertanggung jawab secara hukum atas pemrosesan data pribadi yang diselenggarakannya dan memenuhi ketentuan ketentuan dalam UU PDP, antara lain terkait: a) pemenuhan prinsip pemrosesan data pribadi (Pasal 16 ayat (2) UU PDP) b) pemenuhan adanya dasar hukum (legal basis) dalam pemrosesan data pribadi (Pasal 20 ayat (2) UU PDP) c) pelaksanaan kewajiban pengendali data pribadi atau prosesor data pribadi sebagaimana dimaksud dalam Pasal 20 s.d. Pasal Pasal 52. 52 4) Ketentuan Pasal 2 ayat (2) UU PDP mengatur “Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.” Berdasarkan ketentuan tersebut, Pemerintah memberikan keterangan sebagai berikut: a) “orang perseorangan” dalam ketentuan a quo merupakan individu atau natuurlijk persoon yang melakukan kegiatan pribadi atau rumah tangga, sehingga ketentuan Pasal 2 ayat (2) UU PDP tidak dikecualikan terhadap orang peorangan yang melakukan kegiatan bisnis atau e-commerce, Korporasi, Badan Publik, dan Organisasi Internasional; b) Frasa “kegiatan pribadi” atau “kegiatan rumah tangga” dalam Pasal 2 ayat (2) UU PDP memiliki esensi dan benang merah yang sama, yaitu kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional. Pengecualian yang diatur dalam Pasal 2 ayat (2) UU PDP merupakan bentuk pengaturan dalam rangka memberikan perlindungan hak asasi manusia, khususnya menjaga hak privasi setiap orang sebagaimana diatur dalam Pasal 28G ayat (1) UUD NRI 1945. c) Sebagai referensi, pengaturan di yuridiksi lain yang serupa mengenai pengecualian “kegiatan pribadi atau rumah tangga” dimaksud juga termuat dalam Recital 18 Chapter 1 Article 2 (2c) European Union General Data Protection Regulation (EU GDPR) yang berbunyi sebagai berikut: “1.This Regulation does not apply to the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional or commercial activity. 2. Personal or household activities could include correspondence and the holding of addresses, 53 or social networking and online activity undertaken within the context of such activities. 3. However, this Regulation applies to controllers or processors which provide the means for processing personal data for such personal or household activities.” https://gdpr.eu/Recital-18-Not-applicable-to-personal-or- household-activities/ (terakhir diakses 6 Februari 2023). d) Makna pengecualian ketentuan UU PDP terhadap orang perseorangan ialah bahwa individu atau natuurlijk persoon yang melakukan pemrosesan data pribadi sepanjang untuk kegiatan pribadi atau rumah tangga tidak dikategorikan sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi. Dengan demikian, individu atau natuurlijk persoon dimaksud tidak memiliki tanggung jawab atau kewajiban sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi sebagaimana diatur dalam UU PDP. e) Pasal 2 ayat (2) UU PDP dapat diterapkan dalam kegiatan, misalnya, seseorang memberikan nomor handphone anaknya kepada paman dari anak itu agar paman dapat mengucapkan selamat ulang tahun kepada anak tersebut. Contoh lainnya adalah seseorang yang mengambil fotonya sendiri (selfie) tetapi di dalam foto tersebut tertangkap wajah orang lain yang tidak ia kenal. Sepanjang orang tersebut hanya menggunakan foto yang dimaksud untuk koleksi pribadinya, ia tidak wajib untuk meminta persetujuan dari orang lain tersebut. Oleh karena itu, pemrosesan data pribadi untuk kepentingan usaha atau bisnis rumah tangga maupun usaha mikro, kecil dan menengah (termasuk e-commerce) yang dijalankan oleh seseorang di rumahnya seperti yang disebutkan Pemohon 108 tidak dapat dikecualikan berdasarkan Pasal 2 ayat (2) UU PDP. Demikian juga dengan contoh 54 Pemohon 108 yaitu akuntan publik atau advokat yang menjalankan profesinya dirumahnya; baik akuntan publik maupun advokat tersebut tidak dapat menggunakan Pasal 2 ayat (2) UU PDP, dan harus memenuhi kewajibannya sebagai pengendali data pribadi. Sebagai perbandingan contoh pengecualian ketentuan pelindungan data pribadi yang diberikan Lembaga Pelindungan Data Pribadi Persatuan Kerajaan Britania Raya dan Irlandia Utara (United Kingdom/UK), yaitu Information Commissioner’s Office, menerbitkan Guide to the General Data Protection Regulation dengan memberikan ilustrasi penerapan yang tidak tertuang dalam UK General Data Protection Regulation (GDPR) sebagai berikut: “Domestic purposes – personal data processed in the course of a purely personal or household activity, with no connection to a professional or commercial activity, is outside the UK GDPR’s scope. This means that if you only use personal data for such things as writing to friends and family or taking pictures for your own enjoyment, you are not subject to the UK GDPR” https://ico.org.uk/for-organisations/guide-to-data- protection/guide-to-the-general-data-protection-regulation- gdpr/exemptions/?q=necessary (terakhir diakses pada tanggal 24 Januari 2023). f) Oleh karena itu, Ketentuan pengecualian yang diatur di dalam Pasal 2 ayat (2) UU PDP diperlukan untuk menjamin pemenuhan hak asasi manusia yang diatur konstitusi, antara lain dalam Pasal 28G ayat (1) UUD NRI 1945 terkait dengan hak atas privasi yang sejalan dengan Pasal 28D UUD NRI 1945 dalam pemrosesan data pribadi pada kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional. Dengan demikian, dalil Pemohon 108 yang menyatakan “Pasal 55 2 ayat (2) UU PDP tidak memberikan perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah” merupakan dalil yang tidak berdasar karena hal-hal yang diuraikan Pemohon 108 bukan cakupan dari Pasal 2 ayat (2) UU PDP. b. UU PDP memberikan pelindungan terhadap hak subjek data pribadi 1) Bahwa berdasarkan ketentuan Pasal 5 sampai dengan Pasal 13 UU PDP telah diatur hak-hak subjek data pribadi. 2) Selain itu, Pasal 20 sampai dengan Pasal 50 UU PDP juga mengatur kewajiban pengendali data pribadi, yang salah satunya mewajibkan pengendali data pribadi memiliki dasar pemrosesan data pribadi dari subjek data pribadi. 3) Bahwa pelindungan terhadap hak subjek data pribadi yang diatur dalam Pasal 5 sampai dengan Pasal 13 UU PDP telah diatur berdampingan dengan pengaturan kewajiban pengendali data pribadi yang diatur dalam Pasal 20 sampai dengan Pasal 50 UU PDP, dimana pelanggaran atas kewajiban pengendali data pribadi tersebut dikenai sanksi administratif sebagaimana diatur dalam Pasal 57 UU PDP. Dengan demikian, UU PDP telah memberikan pelindungan hak subjek data pribadi dalam bentuk pengenaan sanksi administratif bagi pengendali data pribadi yang melanggar kewajibannya. 3. Dampak apabila Permohonan 108/PUU-XX/2022 dikabulkan: Dalam Petitum permohonan register 108/PUU-XX/2022 angka 2, Pemohon 108 memohon Majelis Hakim Konstitusi untuk: “Menyatakan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU No.27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Nomor 6820) bertentangan dan tidak mempunyai kekuatan mengikat dengan UUD 1945.” Terhadap petitum yang meminta ketentuan a quo dinyatakan tidak mempunyai kekuatan mengikat, bersama ini disampaikan tanggapan Pemerintah sebagai berikut: 56 a. Pasal 1 angka 4 UU PDP yang terkutip sebagai berikut: “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau Bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi” merupakan salah satu pasal jantung dalam UU PDP karena memberikan definisi “Pengendali Data Pribadi” yang dalam hal ini menjelaskan subyek hukum utama dalam UU PDP yang terkena kewajiban untuk melindungi data pribadi dan definisi Pengendali Data Pribadi dimaksud, disebutkan dalam 63 (enam puluh tiga) ketentuan di UU PDP. Dengan dimohonkannya Pasal 1 angka 4 UU PDP untuk dinyatakan tidak berlaku, justru akan menyebabkan Pemohon 108 dan masyarakat secara keseluruhan kehilangan kepastian dan perlindungan hukum dalam kegiatan pemrosesan data pribadi. Dengan tidak berlakunya pasal tersebut juga akan berdampak terhadap 63 (enam puluh tiga) ketentuan dalam UU PDP yang menggunakan/merujuk definisi “Pengendali Data Pribadi”, sehingga menjadikan UU PDP tidak dapat berlaku efektif secara keseluruhan. b. Pasal 2 ayat (2) UU PDP, yang terkutip sebagai berikut: “Undang-undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga” telah memberikan pengecualian pemberlakuan UU PDP yaitu dalam hal “kegiatan pribadi dan rumah tangga”. Dengan dimohonkannya Pasal 2 ayat (2) UU PDP untuk tidak berlaku akan berdampak terhadap seluruh kegiatan Individu atau natuurlijk persoon yang memproses data pribadi dalam kegiatan pribadi atau rumah tangga seperti kegiatan ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional, yang akibatnya akan dikategorikan sebagai pengendali data pribadi atau prosesor data pribadi yang diwajibkan untuk memenuhi ketentuan dalam UU PDP. Pemberlakuan UU PDP terhadap seluruh 57 kegiatan dalam ranah privat tersebut merupakan kebijakan yang berlebihan (excessive) dalam mengatur privasi, yang tidak sejalan dengan Pasal 28J UUD NRI 1945. Sebagai perbandingan dengan pengaturan di kawasan Uni Eropa, Persatuan Kerajaan Britania Raya dan Irlandia Utara (United Kingdom), dan di Negara Singapura bahwa “kegiatan pribadi atau rumah tangga” sebagaimana diatur dalam Pasal 2 ayat (2) UU PDP, pada faktanya juga dikecualikan dari pengaturan pelindungan data pribadi. Hal ini dapat dilihat dalam pengaturan: a. Bagian Recital 18 European Union General Data Protection Regulation (EU GDPR), telah memberikan penjelasan terhadap kegiatan yang dikecualikan dalam lingkup EU GDPR antara lain sebagai berikut: This Regulation does not apply to the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional or commercial activity. https://gdpr.eu/Recital-18-Not-applicable-to-personal-or- household-activities/ (terakhir diakses 6 Februari 2023). b. Lembaga pelindungan data pribadi Inggris, yaitu Information Commissioner’s Office, menerbitkan Guide to the General Data Protection Regulation sebagai berikut: “The UK GDPR does not apply to certain activities including processing covered by the Law Enforcement Directive, processing for national security purposes and processing carried out by individuals purely for personal/household activities…” Beberapa contohnya sebagai berikut: “Domestic purposes – personal data processed in the course of a purely personal or household activity, with no connection to a professional or commercial activity, is outside the UK GDPR’s scope. This means that if you only use personal data for such things as writing to friends 58 and family or taking pictures for your own enjoyment, you are not subject to the UK GDPR” https://ico.org.uk/for-organisations/guide-to-data- protection/guide-to-the-general-data-protection-regulation- gdpr/exemptions/?q=necessary (terakhir diakses pada tanggal 24 Januari 2023). c. Lembaga pelindungan data pribadi Singapura, yaitu Personal Data Protection Commission, mengeluarkan Advisory Guidelines on Key Concepts in the Personal Data Protection Act: “The PDPA provides that the Data Protection Provisions do not impose any obligations on the following entities. These categories of organisations are therefore excluded from the application of the Data Protection Provisions: a) Any individual acting in a personal or domestic capacity; b) Any employee acting in the course of his or her employment with an organisation; and c) Any public agency” https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF- Files/Advisory-Guidelines/AG-on-Key-Concepts/Advisory- Guidelines-on-Key-Concepts-in-the-PDPA-1-Oct- 2021.pdf?la=en (terakhir diakses pada tanggal 24 Januari 2023). Berdasarkan informasi yang diperoleh dari ketiga link tersebut, terlihat bahwa pengaturan terkait “kegiatan pribadi atau rumah tangga” baik di Uni Eropa, Persatuan Kerjaan Britania Raya dan irlandia Utara, maupun di Singapura dikecualikan dari ketentuan pemrosesan pelindungan data pribadi. c. Pasal 19 UU PDP yang terkutip sebagai berikut: “Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional.” Apabila ketentuan Pasal 19 UU PDP dinyatakan tidak berlaku, akan menyebabkan hilangnya ketentuan dalam batang 59 tubuh yang mengatur cakupan subjek hukum dari Pengendali Data Pribadi dan Prosesor Data Pribadi yang sejalan dengan definisi yang telah diatur dalam Pasal 1 angka 4 dan angka 5 UU PDP. Dengan demikian, berdasarkan seluruh keterangan di atas, Pemerintah dapat simpulkan bahwa ketentuan Pasal 2 ayat (2) UU PDP diperlukan dan tidak bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945. E.1. Berdasarkan penjelasan sebagaimana dimaksud di atas, dapat disimpulkan beberapa hal berikut 1. Pasal 1 angka 4 dan Pasal 19 UU PDP harus dibaca dan ditafsirkan sebagai satu kesatuan yang utuh dengan norma Pasal 1 angka 5, angka 7 dan angka 8, sehingga berdasarkan pemaknaan secara holistik ketentuan-ketentuan tersebut terdapat pemahaman bahwa Setiap Orang juga mencakup Korporasi yang berbadan hukum. Dalam hal ini, Korporasi yang berbadan hukum yang melakukan pemrosesan Data Pribadi masuk dalam kategori Pengendali Data Pribadi (data controller) atau Prosesor Data Pribadi (data processor) sehingga tunduk pada UU PDP. 2. Pasal 2 ayat (2) UU PDP telah memberikan pengecualian pemberlakuan UU PDP yaitu dalam hal “kegiatan pribadi dan rumah tangga” untuk menjamin pemenuhan hak asasi manusia sesuai dengan Pasal 28G ayat (1) UUD NRI 1945 dan sejalan dengan Pasal 28D UUD NRI 1945. Dengan dimohonkannya Pasal 2 ayat (2) UU PDP untuk tidak berlaku akan berdampak pada terhadap seluruh “kegiatan pribadi dan rumah tangga” dalam ranah privat dimaknai sebagai “melakukan perbuatan hukum” dalam UU PDP dan diberlakukan ketentuan UU PDP sehingga bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945. IV. PETITUM Berdasarkan penjelasan dan argumentasi tersebut di atas, Pemerintah memohon kepada Yang Mulia Ketua/Majelis Hakim Konstitusi Republik Indonesia yang memeriksa, mengadili dan memutus permohonan pengujian (constitusional review) ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 60 ayat (1) huruf a, dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia 1945, dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU- XX/2022 tidak mempunyai kedudukan hukum (legal standing); 2. Menolak permohonan pengujian Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU-XX/2022 seluruhnya atau setidak-tidaknya menyatakan permohonan pengujian Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU-XX/2022 tidak dapat diterima (niet onvankelijk verklaard); 3. Menerima Keterangan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 ayat (1) huruf a, dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan dengan ketentuan Pasal 28D ayat (1), Pasal 28E ayat (3), dan Pasal 28G ayat (1) UUD NRI 1945 dan tetap mempunyai kekuatan hukum mengikat, Atau dalam hal Yang Mulia Majelis Hakim Konstitusi di Mahkamah Konstitusi berpendapat lain, mohon putusan yang bijaksana dan yang seadil- adilnya (ex aequo et bono). [2.5] Menimbang bahwa untuk menguatkan keterangannya, Presiden telah mengajukan alat bukti surat/tulisan yang diberi tanda bukti PK-1 sampai dengan bukti PK-2 sebagai berikut: 1. Bukti PK-1 : Fotokopi Naskah Akademik Rancangan Undang-Undang Tentang Pelindungan Data Pribadi; 2. Bukti PK-2 : Print-out berita dari JejakParlemen.id, Laporan Panja, Pendapat Mini Pemerintah terhadap Rancangan Undang- Undang tentang Pelindungan Data Pribadi (RUU PDP)- Komisi 1DPR-RI Rapat Kerja (Raker) dengan Menteri Komunikasi dan Informatika RI. [2.6] Menimbang bahwa untuk menguatkan keterangannya, Presiden mengajukan 2 (dua) orang ahli yaitu Prof. Dr. Ahmad M. Ramli, S.H., M.H., FCB.Arb dan Prof. Dr. Henri Subiakto, Drs, S.H., M. Si yang masing-masing telah didengar keterangannya dalam persidangan pada 21 Maret 2023, masing-masing telah menyerahkan keterangan tertulisnya pada tanggal 23 Februari 2023 yang pada pokoknya sebagai berikut: 61 Ahli 1. Prof. Dr. Ahmad M. Ramli, S.H., M.H., FCBArb I. Pendahuluan 1. Keterangan ahli ini diberikan atas permintaan Pihak Pemerintah dalam dalam menghadapi proses persidangan Perkara Nomor 108/PUU- XX/2022 dan Perkara Nomor 110/PUU-XX/2022 di Mahkamah Konstitusi Republik Indonesia. 2. Keterangan ini saya berikan semata-mata berdasarkan pendapat ilmiah dan kajian akademik sesuai dengan kapasitas akademik saya sebagai Guru Besar yang mengajar antara lain Cyber Law dan Hukum yang terkait dengan Pelindungan Data Pribadi di Universitas Padjadjaran, dan sebagai orang yang berkecimpung di bidang regulasi dan kebijakan transformasi digital. 3. Untuk mempersingkat waktu presentasi, saya akan menyingkat paparan tanpa mengurangi substansi inti. Naskah lengkap saya sertakan untuk Majelis yang mulia yang merupakan bagian tak terpisahkan dari yang saya bacakan hari ini. II. Urgensi Legislasi Pelindungan Data Pribadi dalam menghadapi Industry 5.0 1. UU Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (UU PDP), sangat penting dan strategis untuk mengawal dan memacu transformasi Indonesia memasuki Industri 5.0. Saat ini data sudah menjelma sebagai the new oil di era transformasi digital yang begitu masif. 2. Produk legislasi ini mengatur pelindungan data pribadi dalam satu UU secara terintegrasi, komprehensif, dan sistematik. Kita memang tidak menafikan bahwa sebelumnya ketentuan tentang pelindungan data pribadi memang sudah ada, meskipun sangat terbatas. Kondisi ketentuan secara sangat terbatas inilah yang justru menjadi persoalan, karena sangat tidak memadai, parsial, belum lagi tersebar dalam berbagai UU. Materi muatannya pun relatif sumir dan tidak komprehensif. Ketiadaan UU komprehensif ini menjadi cikal-bakal ketidakpastian hukum dan kesulitan dalam penegakannya. Kondisi ini juga tidak bagus bagi keamanan data pribadi warga negara dan juga bagi dunia usaha dan investasi. 3. UU PDP diproyeksikan antara lain untuk menjawab realitas ketiadaan 62 standar dan kriteria pelindungan subyek data pribadi baik individu maupun dalam konteks rumah tangga. UU PDP juga menjawab keraguan dunia usaha dan investasi, tatkala kegiatan usahanya bersentuhan dengan data pribadi. 4. Dengan kata lain, UU ini menjadi jawaban atas ketidakpastian hukum itu. Kepastian hukum merupakan unsur esensial dalam negara hukum, karena secara filosofis sekaligus pragmatis salah satu tujuan hukum adalah kepastian. Kepastian hukum dalam bentuk norma UU PDP semakin penting, apalagi di negara yang lekat dengan sistem hukum Eropa Kontinental yang mentitikberatkan hukum tertulis seperti Indonesia. Selama ini, pelaku usaha banyak yang khawatir akan dianggap melanggar pelindungan data pribadi dalam kegiatan usahanya, sementara norma detailnya tidak ada. UU PDP menjawab keraguan itu semua. Inilah arti sebuah kepastian hukum, sepanjang siapapun telah memenuhi kewajiban, menghindari larangan dan memenuhi semua mekanisme dan standar yang tertera dalam UU PDP maka lepaslah ia dari pelanggaran PDP. 5. Materi muatan UU PDP, tidak hanya berisi perintah dan larangan. Di dalamnya juga mengatur secara detail jenis data pribadi, hak subjek data, pemrosesan, kewajiban pengendali data, prosesor data, transfer data, kerja sama internasional, sanksi, dan kelembagaan PDP, juga membuka ruang penyelesaian sengketa melalui mekanisme Alternatif Dispute Resolutuon (ADR) dan Arbitrase. Hal terakhir ini sangat penting untuk dunia usaha dalam rangka penyelesaian sengketa secara cepat, efisien, ditangani ekspert, dan tanpa perlu hingar-bingar. Model penyelesaian sengketa ini dapat menjadi pilihan di samping penyelesaian sengketa ajudikasi litigasi melalui pengadilan. 6. Di sisi lain, UU PDP secara bijak memberikan pembatasan untuk hal-hal yang amat pribadi, UU ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. 7. Lalu apa yang dilarang oleh UU ini? Secara garis besar larangan diatur dalam pasal 65 dan 66 UU yang mencakup: Pertama, larangan memperoleh atau mengumpulkan data pribadi yang bukan miliknya, dengan maksud untuk menguntungkan diri sendiri atau 63 orang lain, yang dapat mengakibatkan kerugian subjek data pribadi. Kedua, larangan mengungkapkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi. Ketiga, larangan menggunakan data pribadi yang bukan miliknya, dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi. Keempat, larangan membuat data pribadi palsu atau memalsukan data pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain. Contoh hal yang terakhir terkait data pribadi palsu paling sederhana adalah, saat seseorang secara tanpa hak meng-capture foto dan nama orang lain, dan menjadikannya sebagai display picture WA serta menggunakannya untuk menipu. Untuk kasus ini, maka APH tidak perlu menunggu sampai adanya akibat kerugian yang dialami korban, karena tindakan membuat data pribadi palsu itu saja, sudah dikualifikasikan sebagai delik pidana. 8. UU PDP juga menerapkan Yurisdiksi ekstrateritorial dan prinsip hukum transformatif. UU PDP sangat bersentuhan dengan kedaulatan negara, teritori, dan yurisdiksi. Transformasi digital telah menjadi sebuah keniscayaan yang berdampak pada kegiatan transfer data pribadi antarnegara yang sangat intens. Untuk itulah maka UU ini pada pasal 2 menerapkan prinsip yurisdiksi ekstrateritorial (extraterritorial jurisdiction), yang memberikan hak yurisdiksional dan kewenangan kepada negara menerapkan UU ini terhadap segala perbuatan hukum yang dilakukan di luar wilayah NKRI tetapi berdampak di dalam negeri. Pilihan penerapan model yurisdiksi ekstra teritorial secara eksplisit seperti ini untuk kedua kalinya dilakukan Pemerintah dan DPR, setelah sebelumnya diterapkan dalam UU ITE. Penerapan model yurisdiksi ini adalah bagian penting penegakan kedaulan data. Progresifitas UU ini tidak lain adalah, untuk melindungi masyarakat dan negara dari segala gangguan peretasan, penyalahgunaan, pelanggaran dan kejahatan berbasis data pribadi baik yang dilakukan dari dalam maupun luar negeri juga WNI yang berada di luar negeri. 9. Hal ini sejalan dengan penerapan teori hukum transformatif. Penerapan 64 yurisdiksi ekstraterirorial dan prinsip-prinsip hukum baru secara progresif, untuk menyongsong transformasi digital, sejalan dengan teori hukum transformatif ini. Prinsip hukum transformatif mengedepankan, bahwa hukum selain berfungsi untuk terpeliharanya ketertiban, keadilan, kepastian dan kemanfaatan juga berfungsi sebagai infrastruktur transformasi di berbagai bidang. Berdasarkan prinsip ini, hukum diproyeksikan dan difungsikan secara pragmatis sebagai instrumen pendukung transformasi dan bukan penghambat transformasi itu sendiri. 10. Kita harus mewaspadai adagium “Jika satu negara ingin menguasai sebuah negara lainnya, maka kuasai dan kendalikan hukumnya, dan biarkan mereka tidak bisa bergerak maju karena kakinya telah diikat oleh hukum yang dibuatnya sendiri dan segala dinamika kegaduhannya”. 11. UU PDP lahir karena kepentingan nasional. UU ini selain menapak pada falsafah dan konstitusi negara, juga menerapkan Prinsip-prinsip hukum umum (general principles of law), dan praktik internasional yang diterapkan secara realistis di berbagai negara sebagai best practices. Salah satu yang sangat menjiwai UU PDP adalah Regulasi Perlindungan Data Uni Eropa (General Data Protection Regulation) atau disingkat GDPR. Regulasi multilateral ini telah menjadi guideline legislasi PDP di berbagai negara di dunia. Formula penyusunan legislasi PDP seperti ini, termasuk kaidah atau norma pengecualiannya yang kita bahas dalam 2 perkara hari ini. UU PDP negeri kita ini berstandar global, setara dengan negara lain, termasuk negara maju dalam hal perlindungan dan kedaulatan data. III. Petitum: 1. Agar analisis dan pandangan akademik dapat diberikan secara akurat sesuai dengan fakta-fakta persidangan maka terlebih dulu saya mencermati permohonan secara keseluruhan, dan jawaban pihak Pemerintah. 2. Hal-hal yang terdapat pada petitum para Pemohon juga menjadi perhatian agar bisa memfokuskan keterangan ahli ini pada hal-hal yang memang diperlukan. 3. Keterangan ahli ini diberikan sekaligus dengan melihat petitum dua perkara yang dimohonkan yaitu perkara Nomor 108/PUU-XX/2022 dan 65 Perkara Nomor 110/PUU-XX/202 A. Petitum Permohonan Nomor 108/PUU-XX/2022 1. Mengabulkan permohonan pemohon untuk seluruhnya. 2. Menyatakan pasal 1 angka 4, pasal 2 ayat (2) dan pasal 19 Undang- Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi (Lembar Negara Republik Indonesia Nomor 6820) bertentangan dan tidak mempunyai kekuatan hukum mengikat dengan Undang-Undang Dasar 1945. 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Atau apabila Majelis Hakim Mahkamah Konstitusi berpendapat lain mohon putusan yang seadil-adilnya (ex aequo et bono). IV. Keterangan Ahli Pemerintah: Permohonan Nomor 108/PUU-XX/2022: Gugatan atas Pasal 1 angka 4, Pasal 2 ayat (2), dan pasal 19 UU No. 27 Tahun 2022 Tentang Pelindungan Data Pribadi (UU PDP) A. Arti dan Makna Pasal 1 angka 4, Pasal 2 ayat (2), dan pasal 19 UU PDP 1. Bahwa pasal 1 angka 4 UU PDP berbunyi: “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.” 2. Pasal 1 angka 4 ini harus ditafsirkan jo Pasal 1 angka 7 sehingga pengertian orang adalah orang perseorangan dan korporasi. Namun demikian UU PDP memang sengaja membatasi kapan orang perseorangan dan dalam kaitanya dengan kegiatan pribadi atau rumah tangga dikecualikan sebagai Pengendali Data. 3. Pasal 1 angka 4 berbunyi “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi”. 4. Penghapusan Pasal 1 angka 4 akan berdampak pada hilangnya terminologi Pengendali Data yang merupakan salah satu subjek hukum yang paling esensial dari Undang–Undang ini dan berperan memproses dan melindungi data pribadi berdasarkan Undang- Undang ini. 66 5. Bahwa Pasal 2 ayat (2) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (selanjutnya disebut UU PDP) berbunyi: “Undang- Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.” 6. Pengecualian orang perseorangan dalam kegiatan pribadi atau rumah tangga yang terdapat pada pasal 2 ayat (2): “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. “mengandung amanat bahwa UU PDP tidak bermaksud memberikan beban berlebih kepada Subjek Data Pribadi, jika yang bersangkutan dikualifikasikan dan berstatus sebagai Pengendali Data. Dengan demikian pasal ini sangat diperlukan eksistensinya. 7. Bahwa Pasal ini berbicara tentang kekecualian fungsi Pengendali dan Pemrosesan Data Pribadi dan bukan tentang Pelindungan Subjek Data Pribadi pada umumnya. Dengan demikian kekecualian yang dimuat pada pasal 2 ayat (2) UU PDP ini adalah terkait Pemrosesan Data yang terkait dengan fungsi Pengendali Data Pribadi dan Prosesor Data Pribadi. 8. Pasal ini sama sekali tidak mengurangkan makna Pelindungan Data Pribadi yang dimiliki oleh individu sebagai Subjek Data Pribadi. 9. Pasal 2 ayat (2) ini tidak dimaksudkan untuk mengidentikan atau mengkualifikasikan individu dan rumah tangga sama dengan korporasi atau badan publik dalam hal Pemrosesan Data Pribadi. Pasal ini justru menjadi ketentuan dan norma yang sangat penting untuk membedakan individu dan angota rumahntangga sebagai subyek data pribadi yang berbeda dengan korporasi dan badan publik. 10. Sebagai catatan, setiap kita harus memahami, alangkah repotnya jika setiap orang dan/atau setiap keluarga/rumah tangga jika harus berperan sebagai Pengendali Data atau Prosesor data Pribadi seperti layaknya korporasi atau badan publik sebagaimana di atur dalam UU Nomor 27 Tahun 2022 tentang PDP padahal tidak melibatkan kegiatan komersial dan orang lain/pelanggan. 11. Perlu diketahui bahwa, jika pasal ini dihilangkan atau ditiadakan, 67 maka konsekuensinya, setiap individu dalam kegiatan rumah tangga wajib melaksanakan ketentuan-ketentuan sebagai Pengendali Data Pribadi dan melakukan kewajiban sebagaimana dimuat dalam Bab VI yaitu pasal 20 sampai dengan pasal 50 UU PDP. 12. Pasal 19 UU PDP berbunyi: Pasal 19 Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional. 13. Pasal 19 UU PDP adalah pasal yang sangat penting sebagai kategori dan ruang lingkup Pengendali Data sebagai Subjek UU PDP. B. Konsekuensi Jika terjadi penghapusan pasal 1 angka 4 dan pasal 2 ayat (2) dan pasal 19 UU PDP 1. Jika Pasal ini dihapus maka setiap orang dalam kehidupan rumah tangganya wajib melaksanakan ketentuan pasal 20 sampai dengan pasal 50 UU PDP. 2. Konsekuensinya, maka Individu dalam kapasitas kegiatan rumah tangga akan menjadi dan berstatus hukum sebagai Pengendali Data Pribadi. Apabila pasal 1 angka 4 dihapuskan dan dinyatakan tidak memiliki kekuatan hukum maka Undang-Undang PDP akan kehilangan batasan atau terminologi tentang Pengendali Data beserta unsur-unsur subjek hukum nya. Hilangnya pasal ini tidak sekadar menghapus peristilahan tetapi juga menghilangkan kepastian hukum yang menyangkut siapa saja Subjek Pengendali Data yang berdampak pada ketidakjelasan implementasi Pelindungan Data Pribadi. 3. Sebagai Pengendali data Pribadi wajib memiliki alas hak, berupa persetujuan yang sah dan eksplisit, dari subjek data pribadi disertai tujuan pemrosesan data dimaksud. 4. UU PDP mewajibkan pengendali data pribadi untuk melakukan pemrosesan data secara terbatas dan spesifik, sah secara hukum, dan transparan sesuai dengan tujuan pemrosesan data pribadi tersebut (pasal 27 – pasal 28). 68 5. Setiap Individu dalam konteks kepentingan pribadi dan/atau rumah tangga akan disamakan sebagai pengendali data pribadi dan wajib melindungi dan memastikan keamanan data pribadi yang diprosesnya (pasal 47 UU PDP). 6. Setiap Individu dan rumah tangga wajib melakukan penyusunan, dan penerapan langkah teknis operasional, untuk melindungi data pribadi dari gangguan pemrosesan, yang bertentangan dengan ketentuan peraturan perundang-undangan, dan penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi (pasal 35 UU PDP). 7. Sebagai pengendali data pribadi Individu dalam konteks kepentingan pribadi dan/atau rumah tangga juga wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya dan melindungi data pribadi dari pemrosesan yang tidak sah (pasal 36,37 dan 38 UU PDP). 8. Jika pasal 2 ayat (2) UU PDP dibatalkan maka individu sebagai Pengendali data pribadi juga dibebani keawajiban layaknya korporasi atau badan publik untuk mencegah data pribadi diakses secara tidak sah. Pencegahan dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses menggunakan sistem elektronik, wajib dilakukan secara andal, aman, dan bertanggung jawab (sesuai pasal 39 UU PDP). 9. UU PDP juga mengatur tentang prosesor data pribadi pada pasal 51 dan 52. Intinya mengatakan bahwa dalam hal pengendali data pribadi menunjuk prosesor data pribadi, prosesor data pribadi wajib melakukan pemrosesan berdasarkan perintah pengendali data pribadi. Pemrosesan itu termasuk dalam tanggung jawab pengendali data pribadi. Prosesor data pribadi dapat melibatkan prosesor data pribadi lain dalam melakukan pemrosesan atas persetujuan tertulis dari pengendali data pribadi. 10. Pasal 19 UU PDP adalah pasal yang sangat penting sebagai ketentuan tentang kategori dan ruang lingkup Pengendali Data sebagai Subjek UU PDP. Secara teoritik hukum itu terdiri atas asas, kaidah atau norma, Lembaga, subjek dan proses-proses. Pasal 19 69 ini justru menjadi penegasan tentang subjek yang sangat penting dan memiliki peran utama dalam pelindungan data pribadi yaitu pengendali data. 11. Apabila pasal 19 dihapus maka siapa saja, dan subjek mana yang menjadi pengendali data pribadi akan menjadi tidak jelas dan berdampak sangat fatal dalam implementasinya karena ketidakpastian hukum. C. Recital 18 General Data Protection Regulation (GDPR) Sebagai Komparasi 1. Recital 18 GDPR menyatakan bahwa Regulasi ini Tidak Berlaku untuk aktivitas pribadi atau rumah tangga dengan uraian sebagai berikut: Peraturan ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga murni dan tidak ada kaitannya dengan kegiatan profesional atau komersial. 2. Aktivitas pribadi atau rumah tangga dapat mencakup korespondensi dan menyimpan alamat, atau jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas tersebut. 3. Namun, Peraturan ini (GDPR) berlaku untuk pengendali atau prosesor yang menyediakan sarana untuk memproses data pribadi untuk kegiatan pribadi atau rumah tangga tersebut. 4. Saya dapat ilustrasikan, sebagai contoh jika terdapat kegiatan di sebuah apartemen atau kompleks perumahan dan semua rumah tangganya didata untuk kepentingan managemen keamanan Apartemen/kompleks perumahan itu, maka Management office Apartemen atau kompleks perumahan itu harus tundak pada ketentuan regulasi data pribadi. 5. Untuk diketahui, Recital adalah penjelasan resmi atau merupakan latar belakang atas sesuatu keadaan dalam suatu regulasi untuk menjelaskan mengapa terjadinya regulasi dimaksud. Recital juga seringkali diartikan sebagai premis baik dalam regulasi maupun kontrak. D. Konklusi 1. Apabila pasal 1 angka 4 dihapuskan dan dinyatakan tidak memiliki 70 keuatan hukum maka Undang-Undang PDP akan kehilangan batasan atau terminologi tentang Pengendali Data beserta unsur- unsur subjek hukum nya. Hilangnya pasal ini tidak sekadar menghapus peristilahan tetapi juga menghilangkan kepastian hukum yang menyangkut siapa saja Subjek Pengendali Data yang berdampak pada ketidakjelasan implementasi Pelindungan Data Pribadi. 2. Bahwa Pasal 2 ayat 2 UU PDP yang berbunyi Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Secara ilmiah dan akademis tidak bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945 yang berbunyi (1) Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama dihadapan hukum. 3. Pengecualian dalam pasal ini semata-mata hanya terkait dengan Pemrosesan Data dan bukan esensi Pelindungan Data Pribadi yang dimiliki oleh Subjek Data Pribadi. Dengan demikian apabila suatu saat ada orang lain yang melakukan pelanggaran data pribadi yang dimiliki individu atau sebuah rumah tangga, maka tetap dapat dikenakan pasal-pasal dan sanksi dalam Undang-Undang PDP. 4. Apabila pasal 19 dihapus maka siapa saja, dan subjek mana yang menjadi pengendali data pribadi akan menjadi tidak jelas dan berdampak sangat fatal dalam implementasinya karena ketidakpastian hukum. 5. Apabila individu melakukan usaha komersial dan terkait dengan data pelanggannya maka bagi yang bersangkutan juga tetap berlaku pasal-pasal Pelindungan Data Pribadi dalam UU PDP. 6. Demikian juga apabila individu atau rumah tangga melakukan transaksi elektronik misalnya memiliki akun perbankan, media sosial maka platform dimaksud sebagai pengendali data wajib melindungi data pribadi individu tersebut sesuai dengan pasal 20 sampai dengan pasal 50 UU PDP jo. Pasal 51 dan 52 UU PDP. 2. Prof. Dr. Henri Subiakto, Drs, S.H., M. Si Perkembangan teknologi Komunikasi telah mengubah kehidupan. Teori 71 determinisme teknologi, menjelaskan rangkaian penemuan dan aplikasi teknologi komunikasi telah mempengaruhi perubahan sosial di masyarakat secara signifikan. Wanda J. Orlikowski (2009) mengungkapkan fenomena “Sociomateriality” yang terjadi sekarang ini, dimana manusia dan teknologi komunikasi itu sudah menyatu, saling berinteraksi dan mempengaruhi satu dengan yang lain. Manusia menciptakan teknologi digital, namun kemudian manusia dalam aktivitas hidupnya sangat tergantung dengan teknologi itu. Susan Greenfields, dalam Mind Change, How Digital Technologies are leaving Their Mark on Our Brains mengatakan, perkembangan otak manusia sekarang menyesuaikan dengan lingkungan teknologi yang digunakan. Teknologi digital yang sangat canggih menurutnya tidak membuat otak menjadi malas atau tidak bekerja, tapi justru memunculkan potensi kreativitas dan kecerdasan yang sebelumnya tersembunyi (Greenfields, 2015). Perangkat teknologi komunikasi digital berbasis internet, secara teknis memungkinkan penggunanya menjadi saling terhubung, get connected dengan pengguna lain di seluruh dunia. Terjadi technical connectivity, yang kemudian memunculkan social connectivity, economical connectivity dan political connectivity. Melalui penggunaan gadget, aplikasi dan internet, milyaran orang saling terhubung secara sosial, politik dan ekonomi, dengan berbagai konsekuensinya. Dulu teknologi televisi yang memunculkan konsep “global village’ (McLuhan, 1980). Sekarang teknologi digital smartphone memunculkan konsep “global brain” (Russell, 2008). Menurut Peter Russell Global Brain adalah worldwide community, yang merupakan the distributed intelligence emerging internet. Saat teknologi komunikasi mampu menghubungkan miliaran penduduknya, maka terwujudlah worldwide community yang semakin cerdas. Punya kesadaran humanis secara kolektif, untuk saling menyelamatkan, saling membantu, dan saling sharing apapun yang bermanfaat. Itulah global brain yang terjadi berkat teknologi berbasis internet. Teknologi komunikasi digital juga memunculkan fenomena “Mass Self Communication”. Media sosial menyebarkan pesan komunikasi dari orang banyak kepada orang banyak atau masif, tetapi tidak serentak sebagaimana terjadi dalam komunikasi massa. Komunikasi mengunakan media sosial sekarang, pesan dan informasinya menyebar lewat viral yang merambat dari person to person, atau dari self to self. Komunikasi bentuk ini disebut “Mass Self 72 Communication” (Castells, 2010). Dengan teknologi komunikasi digital dan media sosial, dunia menjadi semakin terhubung. Persoalan di suatu wilayah, bisa menjadi persoalan di negara lain. Atau the world the more global, the more national matters. Persoalan-persoalan yang terjadi di negara lain, atau global, muncul menjadi persoalan nasional. Kini kita hidup di dunia yang teknologi dan pengaruhnya tidak pernah terbayangkan satu dekade sebelumnya. Aktivitas sosial, ekonomi, budaya, dan politik, terjadi tidak hanya di dunia fisik, melainkan semakin banyak bergeser ke dunia siber (cyber life). Dulu orang melakukan aktivitas komunikasi, kegiatan sosial, ekonomi, dan budaya, adanya di dunia fisik, sekarang bertransformasi secara signifikan ke dunia cyber atau online. Kalangan net generation, waktunya semakin dihabiskan dalam aktivitas di dunia cyber. Tidak sedikit yang beraktivitas online sampai sepuluh jam sehari. Dunia cyber menjadi dunia nyata “real life” yang porsinya semakin ke depan semakin besar bagi net generation, bahkan kita semua. Berdasarkan data dari We Are Social, pengguna internet secara global hingga 2022 mencapai 4,8 milyar jiwa, sedangkan di tingkat nasional (Indonesia) mencapai 212,9 juta jiwa pengguna internet, yang juga disebut sebai “warganet” atau netizen. Setiap aktivitas warga di dunia digital selalu terkait dengan data pribadi. Dari mulai aktivitas mendownload aplikasi, menggunakannya dengan memasukkan identitas, membuka tautan, berbelanja, berkomunikasi maupun aktivitas sehari hari lainnya, menjadi data yang terkumpul, dan diolah secara digital oleh perusahaan-perusahaan platform digital. Pemanfaatan data pribadi tersebut memerlukan tata kelola yang baik dan akuntabel. Dibutuhkan regulasi yang kuat dan komprehensif untuk memastikan perlindungan terhadap data pribadi secara memadai sekaligus mengawasi pengendali dan pemroses data pribadi. Regulasi sangat penting, mengingat di era digital yang diperlukan kalangan kapitalis, adalah bagaimana menguasai data konsumen, pola perilaku masyarakat, dan komunikasi mereka (Schonberger, Victor Mayer & Thomas Ramge, 2018). Data data ini sebenarnya berasal dari kumpulan data pribadi yang dimiliki oleh jutaan bahkan ratusan juta warga negara. Data pribadi yang terkumpul lewat teknologi aplikasi digital yang digunakan ratusan juta warga masyarakat tersebut dikenal sebagai Big Data, yang mengubah wajah kapitalisme di era digital. Kapitalisme dengan wajah baru tapi tetap dalam 73 karakter lama, yaitu greedy, rakus. Dulu kapitalisme bekerja lewat penguasaan uang, sekarang lewat penguasaan data tujuannya sama, berkuasa dan menguasai hidup manusia lain dengan cara lebih efektif. Era penguasaan data secera digital itulah yang disebut Era Kapitalisme pengawasan. Era dimana manusia diperlakukan seperti komoditas ekonomi belaka. Dalam kapitalisme pengawasan, manusia terasing bukan karena pekerjaannya, melainkan karena ranah pribadinya (data pribadi mereka secara digital) telah dikuasai pihak ketiga. Shosanna Zuboff (2019) menunjuk Google sebagai pelopor kapitalisme pengawasan (Surveillance Capitalism) dengan fitur mesin pencarian hingga sistem Android yang tersemat pada sebagian besar ponsel pintar di dunia. Riwayat pencarian pengguna, pesan suara, jejak rute peta perjalanan, atau kontak di surel dikonversi ke dalam data yang kemudian menjadi komoditas bagi perusahaan digital lainnya. Perusahaan perusahaan platform global seperti Google, Youtube, IG, Facebook, TikTok dan lain lain mencari keuntungan besar lewat penguasaan data. Ada tiga tahap menurut Zuboff cara yang dilakukan perusahaan platform global menyiasati protes dari masyarakat yang dirugikan karena datanya dikendalikan dan diproses oleh mereka. Pertama melakukan Incursion, yaitu minta persetujuan data pengguna agar boleh diekstraksi dan diolah demi kepentingan lainnya. Kedua Adaptation, apabila ada protes yang disorot dunia dan media, perusahaan-perusahaan platform global akan mempertahankan posisinya dengan tidak menanggapi protes dan keberatan. Ketiga, Redirection, setelah sorotan mereda, mereka akan melakukan kembali dalam memanfatkan data pribadi pengguna. Keempat Habituation, ketika pengguna protes, perusahaan digital akan bersikap abai dan tidak mempedulikannya, karena sudah dianggap wajar. Inti dari penjelasan ini, betapa lemahnya kedudukan warga negara atau masyarakat di hadapan korporasi multi nasional yang mengendalikan, memproses dan memanfaatkan data pribadi mereka apabila tidak ada ketentuan Perundang undangan yang mengaturnya. Situasi yang digambarkan di atas memunculkan isu governance (tata kelola) atas akses internet (internet access) di berbagai negara. Inovasi dan kreasi dari sektor swasta perusahaan penyedia layanan internet dan platforms, yang merupakan korporasi-korporasi transnasional yang sangat powerfull dengan kekayaan milyaran dolar ini memiliki pengaruh yang sangat besar terhadap kehidupan rakyat dan negara. Penggunanya adalah individu (warganet) yang tersebar di 74 berbagai negara, dan kemudian Negara justru dituntut berperan memfasilitasi perkembangan iklim bisnis yang sehat, dan sekaligus pengaturannya. Tiga aktor utama ini membutuhkan suatu governance yang dapat menjaga kepentingan masing-masing secara tepat. Perusahaan-perusahaan penyedia internet dan platforms sudah tidak bisa lagi berdalih mereka hanya menyediakan “jalan raya secara gratis untuk semua orang”, tetapi sebagai perantara mereka juga punya tanggung jawab (intermediary liability). Begitu juga dengan pengguna internet, tidak hanya menikmati kebebasan meraup informasi sebesar-besarnya tetapi juga dituntut menggunakannya secara benar. Negara bertindak sebagai wasit yang adil dalam konteks ini, menjaga tumbuhnya iklim bisnis yang kompetitif di satu sisi, dan menjaga kepentingan individu dan publik disisi lainnya. Mencari keseimbangan antara kebebasan di satu sisi dan kepentingan umum disisi lainnya (balance of rights) merupakan isu tata kelola akses atas internet yang terus berkembang. Lalu apa yang dilakukan negara menghadapi fenomena kapitalisme pengawasan tersebut? Itulah mengapa regulasi terkait tata kelola menjadi sangat penting. Diantaranya adalah UU ITE, UU Administrasi Kependudukan dan terakhir UU Perlindungan Data Pribadi. Dalam UU ITE terdapat pasal 26 ayat 1: “penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan.” Juga dalam UU PDP: Pemrosesan data pribadi harus memenuhi ketentuan adanya persetujuan yang sah sesuai tujuan penggunaan data, bahkan ada pula yang harus berdasar perjanjian atau kontrak. Serta pengendali data wajib menjaga kerahasiaan Data Pribadi. Pemilik Data Pribadi berhak untuk mengakhiri pemrosesan, menghapus dan atau memusnahkan Data Pribadi miliknya. Dibuatnya UU Perlindungan Data Pribadi merupakan instrumen hukum yang disusun untuk melindungi data pribadi warga negara dari praktik penyalahgunaan data pribadi. Dengan kata lain pembuatan UU no 27 tahun 2022 adalah upaya menjawab kebutuhan atas regulasi yang komprehensif untuk melindungi data pribadi sebagai bagian dari hak asasi manusia. Sekaligus upaya menjamin keseimbangan dalam tata kelola pemrosesan data pribadi dan jaminan perlindungan hak dan kesadaran subjek data, sekaligus Pencegahan dan penanganan kasus pelanggaran data pribadi. Dan upaya membangun ekosistem ekonomi digital yang aman dengan memberikan kepastian hukum bagi bisnis 75 dan meningkatkan kepercayaan konsumen. Regulasi yang mengatur kesetaraan dalam aturan PDP secara internasional yang mendukung pertumbuhan ekonomi digital melalui pengaturan cross-border data flow. Karena Data Pribadi pada dasarnya adalah sebagai bagian dari HAM (sesuai amanat UUD 1945). Pasal 28G ayat (1): “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi”. Sedangkan Pasal 28H ayat (4) “Setiap orang berhak mempunyai hak milik pribadi dan hak milik tersebut tidak boleh diambil alih secara sewenang-wenang oleh siapa pun” Dalam konteks Amanah konstitusi, UU Perlindungan Data Pribadi memberikan landasan hukum bagi Indonesia untuk menjaga kedaulatan negara, keamanan negara, dan perlindungan terhadap data pribadi milik warga negara Indonesia dimanapun data pribadi tersebut berada. Disitulah dalam Undang Undang nomer 27 tahun 2022 tentang Perlindungan Data Pribadi mengatur tentang subjek data (atau pemilik data pribadi), pengendali data, dan pemroses data pribadi dengan hak dan kewajiban masing masing. Tanpa Undang Undang Perlindungan Data Pribadi, sama saja negara membiarkan warga negaranya tak hanya diawasi, tapi juga dieksploitasi data data pribadi mereka untuk kepentingan bisnis, politik bahkan objek kejahatan dari para pelaku yang memanfaatkan data data pribadi warga negara. Oleh karenanya kehadiran Undang Undang Perlindungan Data Pribadi adalah keniscayaan yang ditunggu-tunggu, tak lain adalah untuk melindungi diri pribadi, keluarga, kehormatan, martabat seluruh warga negara Republik Indonesia. Sebagaimana Amanah Pasal 28G ayat (1) UUD NRI Tahun 1945, yaitu “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi”. Karena semakin banyaknya pelanggaran terhadap data pribadi yang dialami oleh orang dan/atau badan hukum di Indonesia, hingga tak sedikit menimbulkan kerugian materiil dan imateriil, maka dibuatlah pengaturan dalam UU nomer 27 tahun 2022 tentang Perlindungan Data Pribadi yang berfokus pada pelindungan data pribadi yang dimiliki oleh individu warga negara Republik Indonesia. 76 PERKARA 108 Perkara 108 dimulai dengan adanya Pemohon Perkara yang mengajukan pengujian materiil terhadap Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022 yang isinya ketentuan sebagai berikut: Pasal 1 angka 4 UU 27/2022: “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama- sama dalam menentukan tujuan dan melakukan kendali pemprosesan Data Pribadi.” Pasal 2 ayat (2) UU 27/2022: “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Pasal 19 UU 27/2022: Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional Pemohon Perkara 108 berpendapat bahwa Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU nomer 27 tahun 2022 tentang Perlindungan Data Pribadi bertentangan dengan Pasal 28D ayat (1) UUD NRI Tahun 1945. Pemohon Perkara 108 mengemukakan, hak konstitusionalnya telah dirugikan dan dilanggar akibat berlakunya ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022. Sementara bunyi pasal 1 angka 4 “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.” Pemohon beranggapan, ketiadaan keterlibatan badan hukum dalam pengendalian dan pemrosesan data pribadi sebagaimana diatur dalam Pasal 1 angka 4 jo. Pasal 19 UU 27/2022 mengakibatkan kerugian tidak dapatnya Pemohon menunjuk suatu badan hukum yang ahli di bidang pemrosesan data sebagai pengendali dan prosesor data pribadinya sehingga dengan demikian dapat berpotensi terjadinya kebocoran data. Selanjutnya ketentuan Pasal 2 ayat (2) UU a quo, terkait frasa “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”). Pasal ini juga dianggap menimbulkan kerugian Pemohon karena dianggap belum mampu memberikan payung hukum bagi pengguna data pribadi khususnya bagi pelaku bisnis berskala rumah tangga yang rentan akan kebocoran data utamanya saat transaksi finansial yang dapat 77 saja dilakukan oleh peretas dengan melakukan cybercrime economy atas insiden kebocoran data. Sebagaimana kita ketahui dari anggapan tersebut di atas, pemohon mengajukan Petitum Perkara 108 yang isi utamanya: Memohon agar Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi bertentangan dengan Undang-undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan mengikat. Keterangan Ahli terkait Petitum, Dalil dan Kajian Normatif: Terkait pendapat Pemohon yang menganggap Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU Nomor 27 Tahun 2022 bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945, kemudian mengemukakan bahwa hak konstitusional pemohon telah dirugikan dan dilanggar akibat berlakunya pasal a quo, Ahli berpendapat, ketentuan Pasal 28D ayat (1) UUD NRI Tahun 1945 justru telah dipenuhi dengan adanya Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022. Sebagaimana kita ketahui Ketentuan Pasal 1 angka 4 UU 27/2022 mengatur definisi Pengendali Data Pribadi sehingga jelas batasan dan ruang lingkupnya. Jika dikaitkan dengan pengaturan dalam Pasal 19 UU 27/2022, pengaturan Pasal 1 angka 4 justru telah sejalan dan sama sekali tidak ditemukan potensi melanggar ketentuan Pasal 28D ayat (1) UUD NRI 1945. Sedangkan Pasal 2 ayat (2) UU 27/2022 yang berisi pengecualian keberlakuan UU 27/2022 terhadap pemrosesan Data Pribadi oleh perseorangan dalam kegiatan pribadi atau rumah tangga, justru menurut ahli, ini merupakan pasal penting yang menempatkan pribadi dan rumah tangga tidak dibebani kewajiban sebagai pengendali data, melainkan dengan pasal a quo perseorangan dalam kegiatan pribadi atau rumah tangga tetap ditempatkan sebagai warga negara yang data pribadinya dilindungi, namun dikecualikan dengan tidak diperlakukan sebagai pengendali data seperti untuk badan hukum atau korporasi, atau seperti perseorangan yang menjalankan bisnis, usaha atau profesi. Ketentuan ini sekaligus menguatkan bahwa kegiatan lingkup kegiatan pribadi atau rumah tangga merupakan ranah privat bagi subjek data yang dilindungi negara, tapi sekaligus diperlakukan sebagai individu dan merupakan manifestasi hak privasi dalam menggunakan data pribadinya untuk tujuan pribadi maupun rumah tangga. Untuk keberlakuan Pasal 2 ayat (2) UU 27/2022, perlu terlebih dahulu dipahami 78 ruang lingkup pengaturan UU 27/2022, mengingat faktanya secara normatif ada beberapa ketentuan undang-undang yang mengatur data pribadi. Meskipun terdapat pengecualian sebagaimana ketentuan Pasal 2 ayat (2) UU 27/2022, perlindungan terhadap data perseorangan dalam kegiatan pribadi atau rumah tangga telah diatur dalam beberapa peraturan perundang-undangan lainnya, seperti dalam Undang-Undang Informasi dan Transaksi Elektronik (ITE), Undang-Undang Administrasi Kependudukan, dan Undang-Undang Perbankan. Dengan demikian keberadaan Pasal 1 angka 4, Pasal 2 ayat (2), dan Pasal 19 UU 27/2022 menurut Ahli justru sejalan dengan pengaturan dalam Pasal 28D ayat (1) UUD NRI Tahun 1945. Terkait dalil kerugian konstitusional pemohon yang menganggap bahwa Pasal 1 angka 4 jo Pasal 19 UU 27/2022 dapat menimbulkan kerugian, dengan alasan tidak bisa menunjuk suatu badan hukum yang ahli di bidang pemrosesan data sebagai pengendali dan prosesor data pribadinya, perlu Ahli jelaskan, bahwa pasal a quo telah mengatur subjek hukum Setiap Orang, badan publik, dan organisasi internasional dapat ditunjuk/berlaku sebagai Pengendali Data Pribadi baik bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Menurut Ahli, untuk memahami pengertian subjek hukum “Setiap Orang” sebagai Pengendali Data Pribadi, maka kita harus memperhatikan definisi yang diberikan dalam Pasal 1 angka 7 dan angka 8 UU 7/2022. “Setiap Orang adalah orang perseorangan atau korporasi” artinya setiap Orang dengan huruf “O” ditulis huruf besar, itu bisa berarti pribadi perseorangan maupun badan hukum atau korporasi. Adapun “Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum”. Mengacu pada definisi tersebut maka sejatinya Badan Hukum itu sudah masuk dalam pengertian “Setiap Orang”. Badan Hukum telah menjadi salah satu subjek hukum yang dapat ditunjuk sebagai Pengendali Data Pribadi. Pengertian “Setiap Orang” sebagai subjek hukum baik perseorangan (naturlijk person) dan badan hukum (recht persoon) itu merupakan ketentuan yang juga terdapat pada pengertian “Setiap Orang” di beberapa Undang Undang. Sebagai misal pengertian Setiap Orang pada Pasal 1 Angka 18 UU Nomor 7 Tahun 1996 Tentang Pangan, disebutkan; “Setiap Orang (1) adalah orang perseorangan atau badan usaha, baik yang berbentuk badan hukum maupun tidak.” Juga pengertian 79 Setiap Orang pada Pasal 1 Angka 1 UU Nomor 42 Tahun 1999 Tentang Jaminan Fidusia, berbunyi; “Setiap Orang (2) adalah orang perseorangan atau korporasi.”. Pengertian dalam UU ITE pun frase “Setiap Orang” juga memiliki pengertian yang sama dengan penjelasan di atas. Dilihat dari norma definisi yang diatur tersebut maka subjek “badan hukum” sudah diakomodir dalam frasa “Setiap Orang” yang ada dalam ketentuan- ketentuan UU a quo. Oleh karenanya Pasal 19 UU 27/2022 telah mencakup badan hukum sebagai pengendali dan prosesor data pribadi dan dalil Pemohon Perkara 108 terkait dengan frasa “badan hukum” menjadi tidak berdasar. Mengacu kepada definisi tersebut maka maksud Pasal 1 angka 4 dan angka 5 jo, pasal 19 UU 27/2022 menjadi jelas bahwa badan hukum dapat ditunjuk sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi, dimana pengendali data pribadi merupakan pihak yang memiliki kendali penuh dalam pemrosesan data pribadi, sementara prosesor data pribadi hanya melakukan pengolahan data pribadi berdasarkan perintah atau atas nama pengendali data pribadi, yang artinya kewajiban perlindungan data pribadi yang berlaku kepada Pengendali Data Pribadi juga berlaku kepada Prosesor Data Pribadi. Bahkan Pasal 70 UU 27/2022 juga mengatur ketentuan sanksi bagi korporasi yang melakukan pelanggaran, dalam hal ini badan hukum termasuk di dalamnya, berupa denda dan pidana tambahan. Dengan demikian, suatu perusahaan yang berbadan hukum, dapat ditunjuk oleh pemilik data pribadi untuk menjadi Pengendali Data Pribadi atau Prosesor Data Pribadi yang tentunya dengan mengikuti ketentuan dalam UU 27/2022. Sedangkan untuk dalil kerugian konstitusional karena tidak adanya penjelasan Pasal 2 ayat (2) UU 27/2022 hingga dapat menimbulkan tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah serta semakin maraknya kemungkinan kelemahan perlindungan terhadap data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga. Perlu dijelaskan bahwa perlindungan Data Pribadi diberikan kepada siapa saja seluruh warga negara, terkait pemrosesan Data Pribadi yang menggunakan perangkat olah data, baik yang dilakukan secara elektronik maupun non- elektronik. Namun di sisi lain Perlindungan data pribadi tetap harus menghormati hak konstitusional individu sebagai subjek data untuk dapat bebas dalam menggunakan data pribadi untuk kegiatan diri sendiri dan/atau rumah tangga, 80 atau persoalan domestik, tanpa dibebahi kewajiban sebagaimana korporasi, atau perseorangan yang melakukan usaha bisnis berbasis e-commerce, atau pekerjaan professional. Dengan demikian terhadap pemrosesan data untuk keperluan pribadi atau rumah tangga dikecualikan dari berlakunya UU 27/2022, dengan maksud agar pribadi atau keluarga tidak dibebani kewajiban yang memberatkan dan merepotkan saat melakukan aktivitas pribadi. Jadi Pengaturan Data Pribadi dalam UU 27/2022 ini bertujuan untuk melindungi dan menjamin hak dasar warga negara terkait dengan pelindungan diri pribadi, sekaligus menjamin warga negara sebagai pribadi dapat beraktivitas bersama keluarganya untuk keperluan pribadi atau rumah tangga, tanpa dibebani kewajiban sebagaimana aktivitas bisnis digital atau sebuah perusahaan. Jadi ketentuan Pasal a quo yang diujikan tidak terdapat potensi memunculkan kerugian hak dan/atau kerugian konstitusionalitas saat pasal itu diberlakukan. Justru tanpa pasal a quo, warga negara akan sangat direpotkan dan privasinya tidak terlindungi saat perseorangan itu bertindak sebagai pribadi dan keluarga. Inilah akibat menafsirkan sendiri dengan pemaknaan dan kepentingan yang didasarkan pada asumsi tanpa terlebih dahulu memahami apa yang menjadi maksud dari ketentuan pasal-pasal a quo. Aktivitas Pribadi dan Keluarga, Berbeda Dengan Aktivitas Bisnis. Perkara 108 di dasarkan pada dalil bahwa dengan berlakunya Pasal 2 ayat (2) UU 27/2022 dapat menimbulkan kerugian tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah dan semakin kemungkinan maraknya kelemahan perlindungan data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga. Dalil kerugian Pemohon ini keliru karena dengan bunyi pasal 2 ayat (2) “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Jika ditelaah lebih dalam isi pasal a quo, menurut ahli justru bermakna bahwa kalau ada perseorangan melakukan pemrosesan data pribadi, maka kegiatannya dilindungi oleh negara sebagaimana negara melindungi segenap warga negara, namun apabila kegiatan perseorangan itu memroses data untuk kegiatan pribadi atau rumah tangga, maka berdasar pasal a quo, perseorangan itu tidak dikenakan kewajiban meminta persetujuan sebagai pengendali data, tidak 81 terancam denda atau sanksi sebagaimana kalau kegiatan itu bukan kegiatan pribadi dan keluarga. Berbeda jika aktivitas perseorangan itu untuk kegiatan bisnis, usaha atau profesi, maka berlaku kewajiban yang ada dalam UU a quo. Jika kegiatan itu adalah kegiatan pribadi dan keluarga, korespodensi dan komunikasi antar keluarga, perseorangan tersebut tidak perlu minta persetujuan anggota keluarganya walau menggunakan data pribadi keluarga mereka sepanjang itu sebagai kegiatan perseorangan yang bersifat pribadi dan keluarga atau domestik. Frasa “kegiatan pribadi” atau “kegiatan rumah tangga” dalam Pasal 2 ayat (2) UU PDP memiliki esensi yaitu menunjuk pada kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan juga nonprofesional. Pengecualian yang diatur dalam Pasal 2 ayat (2) UU PDP merupakan bentuk pengaturan dalam rangka memberikan perlindungan hak asasi manusia, khususnya menjaga atau melindungi hak privasi setiap orang sebagaimana diatur dalam Pasal 28G ayat (1) UUD NRI 1945. Contoh aktivitas pribadi dan keluarga yang dilindungi oleh pasal a quo, misal seseorang memiliki group WA keluarga, lalu salah satu perseorangan dalam group WA keluarga itu memberikan data pribadi anggota keluarganya kepada anggota keluarga yang lain, maka disitu perseorangan anggota keluarga tersebut tidak dibebani kewajiban maupun sanksi sebagaimana ketentuan terkait pengendali data dan pemroses data pribadi sebagaimana diatur dalam UU ini. Contoh yang lain yang lebih konkrit, jika seorang Ayah memberikan nomor handphone anaknya kepada paman dari anak itu agar paman dapat komunikasi dengan ponakannya, maka tidak dikenakan kewajiban sebagaimana diatur dalam UU ini. Contoh lainnya adalah seseorang yang mengambil fotonya sendiri (selfie) tetapi di dalam foto tersebut tertangkap wajah orang lain yang tidak ia kenal. Sepanjang foto yang dimaksud hanya untuk koleksi pribadinya atau keluarganya, perseorangan itu tidak wajib untuk meminta persetujuan dari orang lain yang ada di foto tadi. Inilah esensi pengecualian untuk aktivitas pribadi dan keluarga. Jadi pasal a quo itu bertujuan untuk tidak membebani perseorangan dalam aktivitas pribadi dan keluarga. Pasal a quo justru menghormati apa yang disebut sebagai the right to private life. Sedangkan pengendali data pribadi untuk kepentingan pekerjaan profesi, usaha atau bisnis rumah tangga maupun usaha 82 mikro, kecil dan menengah (termasuk e-commerce) yang dijalankan oleh seseorang di rumahnya, tidak termasuk yang dikecualikan dalam Pasal 2 ayat (2) UU PDP. Artinya untuk para pelaku profesi seperti dokter, advokat, notaris, hingga akuntan publik yang menjalankan profesinya di rumahnya; aktivitas profesi seperti itu tidak dapat menggunakan Pasal 2 ayat (2) UU PDP sebagai pengecualian, dan tetap harus memenuhi kewajibannya sebagai pengendali data pribadi. Dengan penjelasan panjang lebar di atas, menurut ahli, justru dengan adanya pasal 2 ayat (2) UU PDP tersebut, terdapat ketentuan yang penting untuk melindungi perseorangan dalam aktivitas pribadi dan keluarganya (atau aktivitas domestiknya). Dengan keberadaan pasal a quo, negara menjamin terhadap setiap perseorangan warga negara bisa melakukan aktivitas pribadi dan keluarganya secara alami, luwes, tidak kaku, tidak dibebani kewajiban, tidak harus khawatir terkena denda maupun pajak untuk aktivitas pribadi dalam kehidupan domestik mereka. Ini membedakan dengan aktivitas yang masuk dalam kegiatan korporasi atau aktivitas perseorangan namun untuk kepentingan bisnis. Sekali lagi ketentuan pasal a quo tersebut hanya untuk perseorangan yang aktivitasnya bersifat pribadi dan keluarga saja, bukan aktivitas bisnis atau usaha ekonomi. Beda lagi kalau untuk bisnis atau profesi yang melibatkan tidak hanya anggota keluarga, tapi juga mengumpulkan data pribadi dari orang banyak. Sedangkan dalam konteks data pribadi terkait keamanan data dari penggunaan oleh pihak lain, maka tanpa kecuali negara melindunginya, karena terhadap data pribadi, melekat pula hak privasi perseorangan yang memiliki data pribadi tersebut dan dalam rangka memberikan perlindungan terhadap hak konstitusional tersebut negara wajib hadir untuk memberikan pelindungan dari potensi terjadinya pelanggaran penggunaannya oleh pihak lain. Hal ini juga telah menjadi pertimbangan pembentuk undang-undang dengan mencantumkan Pasal 28H ayat (4) UUD NRI Tahun 1945 dalam konsideran mengingat UU 27/2022. Dengan kata lain untuk kegiatan bisnis atau kegiatan e-commerce yang dilakukan oleh orang perorangan di rumah tangganya bukanlah kegiatan yang dikecualikan berdasarkan Pasal 2 ayat (2) UU PDP. Orang perorangan yang melakukan kegiatan bisnis atau e-commerce di rumahnya dapat dikategorikan sebagai pengendali data pribadi. Oleh karena itu, orang tersebut harus 83 bertanggung jawab secara hukum atas pengendalian atrau pemrosesan data pribadi yang diselenggarakannya sesuai dengan ketentuan dalam UU PDP, antara lain terkait prinsip pemrosesan data pribadi (Pasal 16 ayat (2) UU PDP), dasar hukum (legal basis) dalam pemrosesan data pribadi (Pasal 20 ayat (2) UU PDP), kewajiban pengendali data pribadi atau prosesor data pribadi sebagaimana dimaksud dalam Pasal 20 s.d. Pasal 52. Dengan perkataan lain, UU PDP mengatur pengendalian dan pemrosesan data pribadi untuk kegiatan bisnis atau e-commerce yang dilakukan di rumah. Benchmarking Regulasi Di Negara Lain Di Inggris regulasi pelindungan data pribadi yang terkait pengecualian bagi aktivitas pribadi dan keluarga, juga terdapat dalam ketentuan disana. Lembaga Pelindungan Data Pribadi Persatuan Kerajaan Britania Raya dan Irlandia Utara (United Kingdom/UK), yang disebut Information Commissioner’s Office, tahun 2018, mengeluarkan Exemptions, pengecualian terkait penerapan Guide to the General Data Protection Regulation. Exemptions tersebut memberikan pengecualian terhadap aktivitas yang masuk dalam istilah “Domestic purposes – personal data processed in the course of a purely personal or household activity, with no connection to a professional or commercial activity, is outside the UK GDPR’s scope. This means that if you only use personal data for such things as writing to friends and family or taking pictures for your own enjoyment, you are not subject to the UK GDPR” https://ico.org.uk/for- organisations/guide-to-data-protection/guide-to-the-general-data-protection- regulation-gdpr/exemptions/?q=necessary (diakses pada tanggal 17 Februari 2023). Dengan adanya regulasi pengecualian tersebut, maka aktivitas pribadi atau kegiatan domestik dalam keluarga di Inggris tidak dikenakan kewajiban tertentu yang bersifat umum, termasuk kewajiban pajak dan denda sebagaimana berlaku di luar urusan domestik. Selain Inggris atau UK-GDPR, Regulasi yang berlaku di negara-negara Eropa (Europian Union) juga memuat ketentuan pengecualian (Exception) seperti yang taerdapat dalam pasal a quo yaitu terkait “kegiatan pribadi atau rumah tangga”, khususnya juga bisa kita temukan dalam “Recital 18 Chapter 1 Article 2 (2c) European Union General Data Protection Regulation (EU GDPR) yang isinya berbunyi: 84 “1. This Regulation does not apply to the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional or commercial activity. 2. Personal or household activities could include correspondence and the holding of addresses, or social networking and online activity undertaken within the context of such activities. 3. However, this Regulation applies to controllers or processors which provide the means for processing personal data for such personal or household activities.” https://gdpr.eu/Recital-18-Not-applicable-to-personal-or-household- activities/ (diakses 17 Februari 2023). Berdasarkan ketentuan Recital 18 Chapter 1 Article 2 (2c) European Union General Data Protection Regulation (EU GDPR) tersebut, pengaturan data pribadi di Uni Eropa juga dikecualikan untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga murni yang tidak ada hubungannya dengan kegiatan profesional atau komersial. Aktivitas pribadi atau rumah tangga yang tidak termasuk dalam GDPR itu antara lain aktivitas korespondensi data pribadi, penyimpanan data pribadi, aktivitas jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas pribadi atau rumah tangga. Walhasil regulasi milik Uni Eropa GDPR ini menjadi contoh banyak negara di dunia, dan disebut sebagai “The toughest data protection law in the world” karena memiliki aturan yang ketat dengan sanksi yang berat bagi pelanggarnya. GDPR diberlakukan dan memiliki efek ekstra territorial, yaitu regulasi tersebut berlaku bagi semua pihak di manapun berada, termasuk yang berada di luar Uni Eropa, selama mereka melakukan kegiatan-kegiatan yang berkaitan dengan pengendalian dan pemrosesan data individu yang tinggal di kawasan Uni Eropa. Prinsip berlaku secara Extra territorial ini merupakan prinsip yang sama yang juga diperlakukan dalam UU PDP maupun UU ITE di Indonesia. Artinya UU PDP dan UU ITE itu berlaku bagi semua pihak di manapun berada, termasuk yang berada di luar Indonesia, selama mereka melakukan kegiatan-kegiatan yang berkaitan dengan pengendalian dan pemrosesan data individu yang dimiliki oleh orang yang tinggal di Indonesia. Secara empiris, GDPR berpengalaman mampu memaksa perusahaan- perusahaan global untuk menjadi lebih akuntabel, transparan, bertanggung jawab pada data pribadi yang mereka kumpulkan dari pribadi para pengguna. Kemudian GDPR juga dianggap mampu mendorong meningkatkan cybersecurity untuk korporasi pengendali dan pemroses data, jika tidak mau 85 terkena denda. Inilah yang menjadi alasan mengapa UU PDP pun lalu mengacu atau menggunakan referensinya adalah GDPR. Tak lain karena pengalaman Uni Eropa dalam menghadapi platform global dari Amerika Serikat, China, Rusia, ataupun dari negara Uni Eropa sendiri. Begitu pula regulasi yang ada di negara tetangga sesama negara ASEAN, Singapura. Personal Data Protection Commission, atau Lembaga pelindungan data pribadi negara Singapura, sejak 23 September 2013 telah mengeluarkan Advisory Guidelines on Key Concepts in the Personal Data Protection Act, yang kemudian direvisi pada 1 October 2021. Regulasi tersebut berbunyi: “The PDPA provides that the Data Protection Provisions do not impose any obligations on the following entities. These categories of organisations are therefore excluded from the application of the Data Protection Provisions: a) Any individual acting in a personal or domestic capacity; b) Any employee acting in the course of his or her employment with an organisation; and c) Any public agency” https://www.pdpc.gov.sg/-/media/Files/PDPC/PDF-Files/Advisory- Guidelines/AG-on-Key-Concepts/Advisory-Guidelines-on-Key- Concepts-in-the-PDPA-1-Oct-2021.pdf?la=en (diakses tanggal 21 Februari 2023). Regulator Singapura PDPA juga memberikan pengecualian atau tidak mengenakan kewajiban terkait ketentuan perlindungan data pribadi kepada beberapa entitas, antara lain: Pertama untuk aktivitas perseorangan dalam kapasitasnya sebagai pribadi atau dalam urusan domestik. Kedua, untuk karyawan yang bertindak dalam organisasi selama dia bekerja. Dan ketiga adalah untuk lembaga publik. Artinya regulasi Perlindungan data pribadi di Singapura pun memiliki pengecualian kewajiban untuk perseorangan yang melakukan aktivitas urusan pribadi, keluarga, atau keperluan domestik. Di sisi lain, pengaturan yang terdapat pada Pasal 2 ayat (2) UU 27/2022 tentang Perlindungan Data Pribadi jika kita telaah lebih dalam, substansi regulasinya juga sudah sesuai dengan ketentuan regulasi internasional yaitu International Covenant on Civil and Political Rights, disingkat ICCPR. Yaitu sebuah perjanjian multilateral yang ditetapkan oleh Majelis Umum Perserikatan Bangsa-Bangsa berdasarkan Resolusi 2200A (XXI.) Perjanjian ini mewajibkan negara anggota PBB untuk melindungi hak-hak sipil dan politik individu, termasuk hak untuk hidup, kebebasan beragama kebebasan berpendapat, kebebasan berkumpul, hak elektoral, dan hak untuk memperoleh proses pengadilan yang adil dan tidak berpihak. Pada bulan Februari 2017, terdapat 169 negara anggota dan enam 86 penandatangan lain yang belum meratifikasi. Negara Indonesia sudah meratifikasi ICCPR melalui UU Nomor 12 Tahun 2005 tentang Pengesahan ICCPR (Lembar Negara RI Tahun 2005 Nomor 119, TLN RI Nomor 4558). Perjanjian ICCPR tersebut merupakan bagian dari Piagam Hak Asasi Manusia Internasional Bersama dengan Kovenan Internasional tentang Hak-hak Ekonomi, Sosial dan Budaya, Covenant on Economic, Social and Cultural Rights disingkat ICESCR) dan Deklarasi Hak Asasi Manusia Universal (Universal Declaration of Human Rights, UDHR). Dalam Article 17 ICCPR terdapat ketentuan yang mengatur: 1) No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honour and reputation. 2) Everyone has the right to the protection of the law against such interference or attacks. Ada kesesuaian antara pengaturan dalam ICCPR tentang Hak Azasi dengan ketentuan yang pada Pasal 28 I ayat (4) UUD NRI Tahun 1945. Pembentuk Undang-Undang PDP juga mendasarkan pula pada ketentuan konstitusi yang berbunyi “setiap orang berhak atas atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi sebagaimana diatur dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Amanah konstitusi di atas diimplementasi ke dalam UU PDP yaitu ketentuan pasal 2 ayat (2) yang sangat relevan dengan ICCPR. Ada prinsip yang sama baik menurut ICCPR maupun UU Nomor 27 Tahun 2022 tentang PDP. Bahwa data yang dimiliki oleh setiap orang selama tidak diberikan kepada pihak ketiga maka hal itu merupakan ranah privasi orang tersebut yang dijamin oleh UUD NRI Tahun 1945 dan diatur dengan berbagai peraturan perundang-undangan. Komunikasi antar-anggota keluarga beserta aktivitas digital keluarga adalah ranah pribadi yang dilindungi. Disitulah kesesuaian ICCPR dengan ketentuan pasal 2 ayat (2) UU PDP. Jadi bisa dikatakan UU 27/2022 merupakan landasan hukum perlindungan data pribadi di Indonesia yang memberikan penghormatan kepada penggunaan data pribadi sebagai hak milik pribadi (hak privasi). Apa yang diatur dalam pasal a quo UU PDP sesuai dengan ketentuan pengecualian yang diatur dalam ICCPR, GDPR, UK GDPR, hingga PDP Singapore. Khususnya terkait regulasi penggunaan data pribadi dalam kegiatan privat dan rumah tangga, atau disebut 87 juga dengan kegiatan domestik. Hal ini menunjukkan bahwa pengaturan pengecualian pemrosesan data pribadi dalam kegiatan pribadi dan rumah tangga dalam Pasal 2 ayat (2) UU a quo telah selaras dengan ketentuan yang diatur dalam regulasi regulasi di negara lain, maupun konstitusi Indonesia sendiri. Sedangkan perlindungan data pribadi terkait kegiatan bisnis yang dilakukan di rumah, juga tidak perlu dikhawatirkan. Karena kegiatan bisnis seperti itu tetap dilindungi undang-undang di sektor terkait. Jika kegiatan bisnis itu dilakukan secara online, selain UU PDP, aktivitasnya diatur sebagai aktivitas transaksi elektronik. Aktivitas transaksi elektronik dilindungi dan diatur oleh Undang- Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 (UU ITE) dan peraturan pelaksananya, yakni PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE). Kegiatan Perdagangan atau bisnis dalam rumah tangga, selain diatur Undang- Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 (UU ITE) dan peraturan pelaksananya, yakni PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, kegiatan perdagangan ini juga diatur dengan UU Nomor 7 Tahun 2014 tentang Perdagangan. UU Perdagangan telah diubah dengan Perpu Nomor 2 Tahun 2022 tentang Cipta Kerja. Sebelumnya terdapat PP Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik (PP PMSE). Isi PP ini mengatur aspek hukum Perdagangan dalam penyelenggaraan dan pemanfaatan Sistem Elektronik yang ditujukan khusus untuk Perdagangan. PP PMSE ini mencakup semua kegiatan Perdagangan yang dilakukan dengan menggunakan berbagai moda dan jenis sistem komunikasi elektronik, baik yang online maupun offline. Hal tersebut mencakup hubungan hukum dalam konteks antara pelaku usaha (business to business) maupun pelaku usaha dengan konsumen (business to customer). Dengan demikian, perlindungan Data Pribadi di berbagai sektor, selain berlaku UU 27/2022, telah diatur dan berlaku pula berbagai peraturan perundang- undangan di sektornya. Kebocoran data pribadi dalam kegiatan tersebut dilindungi dan dijamin oleh negara melalui peraturan perundang-undangan sektor terkait. Berdasar penjelasan tersebut, dalam hal kegiatan bisnis atau 88 perdagangan dilakukan di rumah, pelaksanaannya tunduk dengan pengaturan yang ada dalam UU ITE, UU Perdagangan, PP PSTE dan PP PMSE, oleh karena itu data pribadi yang digunakan dalam kegiatan bisnis di rumah telah diatur dan dilindungi secara normatif dalam berbagai peraturan perundang- undangan, sehingga dalil merasa tidak dilindungi itu tidak relevan. Terlebih jika memperhatikan Pasal 16 UU 27/2022 yang telah mengatur prinsip- prinsip perlindungan data pribadi. Diantaranya prinsip-prinsip itu adalah pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan, dan pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. Berdasarkan prinsip-prinsip tersebut, maka telah jelas bahwa dalam pengelolaan data pribadi tidak akan lepas dari prinsip-prinsip tersebut. Artinya secara normatif UU a quo telah memberikan perlindungan terhadap Data Pribadi milik siapapun yang berada di Indonesia. [2.7] Menimbang bahwa Pemohon menyampaikan kesimpulan tertulis yang diterima Mahkamah melalui e-mail pada 28 Maret 2022 dan melalui Kepaniteraan Mahkamah Konstitusi pada 29 Maret 2023, yang pada pokoknya sebagai berikut: 1. Bahwa bias dan ambigunya isi Pasal 2 ayat 2 “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Hal ini dapat dilihat secara menyeluruh Pasal 2 ayat 2 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi tidak terdapat penjelasan yang mendalam didalam Undang-Undang tersebut padahal BAB I KERANGKA PERATURAN PERUNDANG-UNDANGAN bagian E. Penjelasan Undang-Undang Nomor Undang-Undang Republik Indonesia nomor 12 tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan menjelaskan: “Setiap Undang-Undang, Peraturan Daerah Provinsi dan Peraturan Daerah Kabupaten/Kota diberi penjelasan”. Karena tidak adanya penjelasan mendalam didalam Undang-Undang Nomor 27 Tahun 2022 mengenai makna Pasal 2 ayat 2 tersebut maka tidak dapat dipungkirin akan ada kasus kontroversial penanganan kasus hukum data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. 2. Bila dilakukan studi perbandingan dengan negara lain yang memiliki aturan sejenis berkaitan dengan “data pribadi oleh orang perseorangan dalam kegiatan 89 pribadi atau rumah tangga” yang diatur di Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi, seperti: Articles 2-4, 9, 26 Singapore PDPA “The GDPR excludes from its application the processing of personal data by individuals for purely personal or household purposes. This is data processing that has 'no connection to a professional or commercial activity.” Dalam aturan Articles 2-4,9.26 Singapore PDPA menegaskan bahwa kontes perindungan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga masih dapat dijangkau dilindungin asalkan hal tersebut berkaitan dengan kegiatan professional atau komersial. Penegasan ini berguna supaya adanya kejelasan mengenai lingkup hukum yang berkaitan dengan data pribadi oleh orang perseorang atau pengecualian sehingga apabila adanya kasus dimasa depan berkaita dengan bunyi aturan tersebut dapat ditegakan dengan baik dan tentu saja menghindari penegakan yang kontroversial dikemudian hari. 3. Kemudian studi perbandingan lainnya melihat pertentangan Pasal karet yang tersirat didalam Pasal 2 ayat 2 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi adalah dari point 18 dibagian awal EU General Data Protection Regulation (GDPR) “Peraturan ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan yang murni pribadi atau rumah tangga dan dengan demikian tidak ada hubungannya dengan kegiatan profesional atau komersial. Aktivitas pribadi atau rumah tangga dapat mencakup korespondensi dan penyimpanan alamat, atau jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas tersebut. Namun, Peraturan ini berlaku untuk pengontrol atau pemroses yang menyediakan sarana untuk memproses data pribadi untuk aktivitas pribadi atau rumah tangga tersebut” Melihat dalam bunyi point 18 dibagian awal EU General Data Protection Regulation (GDPR) dapat dipahami ada dua hal perlindungan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga ada dua hal yaitu; A. Tidak berkaitan dengan professional atau komersial B. Berlaku untuk pengkontrol atau pemroses sarana aktivitas pribadi atau rumah tangga 4. Menurut Pemohon bahwa penilaian menentukan aktivitas pribadi sebagai bentuk pengecualian terhadap data pribadi orang perseorangan atau rumah tangga 90 sangat lah rumit. Ini disebabkan akan ada penilaian faktor-faktor tertentu yang bisa membuat banyak pihak bertentangan tafsiran Kapan tepatnya kita terlibat dalam aktivitas "pribadi" dan kapan dalam aktivitas "publik"? apakah maksudnya Memposting ke Facebook harus selalu dianggap "pribadi" dan berurusan dengan penguploadtan data pribadi urusan pemerintah disebut "publik"? atau bahkan menjadi terkesan membingungkan kegiatan rumah tangga, apakah dalam masalah mengurus surat surat data rumah tangga di dukcapil dianggap “publik” yang harus dilindungin? Atau untuk melihat ranah aktivitas kegiatan “pribadi” dalam rumah tangga apa yang menjadi tolak ukurnya? Hal-hal seperti ini tentu saja dan layak Pasal 2 ayat 2 Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi disebut sebagai Pasal karet 5. Yang menariknya ialah perlindungan data pribadi di aturan hukum China yang diatur didalam Article 2 The 2021 Personal Information Protection Law (PIPL) justru tidak memberikan pengeculian data pribadi orang perseorangan atau rumah tangga. Isi dari Article 2 The 2021 Personal Information Protection Law (PIPL) sebagai berikut: “The personal information of any natural person shall be protected by law, and no organization or individual may infringe upon the personal information rights and interests of any natural person”. (Informasi pribadi setiap orang perseorangan harus dilindungi oleh hukum, dan tidak ada organisasi atau individu yang boleh melanggar hak dan kepentingan informasi pribadi orang perseorangan mana pun.) Bahkan didalam Article 7 nya menjelaskan Pemrosesan informasi pribadi harus mengikuti prinsip keterbukaan dan transparansi, mengungkapkan aturan pemrosesan informasi pribadi, dan secara tegas menunjukkan tujuan, cara, dan ruang lingkup pemrosesan. 6. Court of First Instance of Gelderland delivered on the 13 May 2020. 14 Pengadilan Tingkat Pertama Gelderland memutuskan bahwa pemrosesan data pribadi (foto) anak di bawah umur oleh nenek penggugat adalah melanggar hukum dan harus berdasarkan persetujuan perwakilan hukum. Pengadilan memutuskan bahwa tidak mungkin untuk menetapkan dengan pasti bahwa postingan foto di media sosial termasuk dalam “pengecualian rumah tangga” dari Pasal 2(2)(c) GDPR. Fakta Kasus tersebut melibatkan perselisihan antara seorang ibu dan putrinya atas publikasi foto cucu. Anak perempuan (penggugat), ibu dari tiga anak di bawah 91 umur mengajukan gugatan ke pengadilan untuk menghentikan unggahan foto anak-anaknya oleh nenek (tergugat) di media sosial. Penggugat mendalilkan bahwa tergugat tidak mendapatkan persetujuan dari mantan pasangannya yang sekarang memiliki otoritas orang tua atas anak bungsu. Dari April 2012 hingga April 2019, anak itu tinggal bersama orang tua dan saudara saudaranya di kakek-nenek dari pihak ibu. Selama waktu ini, sang nenek telah menempatkan foto-foto anak-anak di profil Facebook-nya. Setelah itu, anak bungsu pergi untuk tinggal bersama ayahnya. Ibu dari anak-anak itu beberapa kali meminta agar foto-foto itu dihapus. Sang nenek mengakui untuk menghapus foto anak-anak yang lebih tua dari Facebook tetapi secara khusus ingin menyimpan foto-foto anak bungsu, karena dia menyatakan memiliki hubungan khusus dengannya karena dia telah merawatnya untuk waktu yang lama. Penggugat juga meminta tergugat untuk menghapus foto lama penggugat dan anak-anaknya dari Pinterest. Putusan GDPR melindungi hak-hak dasar dan kebebasan individu dan hak mereka atas perlindungan data pribadi. Namun, GDPR tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam pelaksanaan aktivitas pribadi atau rumah tangga semata. Pengadilan memutuskan bahwa meskipun tidak dapat mengecualikan bahwa penempatan foto di halaman Facebook pribadi berada di bawah aktivitas pribadi atau rumahtangga murni, dalam pendapat awal Pengadilan belum cukup ditetapkan bagaimana terdakwa mengatur atau melindungi Facebook-nya. akun atau akun Pinterest-nya. Lebih lanjut dinyatakan bahwa tidak jelas apakah foto-foto tersebut dapat ditemukan melalui mesin pencari seperti Google dan dengan Facebook tidak dapat disangkal bahwa foto dapat didistribusikan dan mungkin berakhir di tangan pihak ketiga. Untuk alasan- alasan ini, Undang-Undang Implementasi GDPR Belanda (“UAVG”) menetapkan bahwa pengeposan foto anak di bawah umur yang belum mencapai usia 16 tahun memerlukan izin dari perwakilan hukum mereka. ditetapkan bahwa dalam kasus ini, baik penggugat maupun ayah dari anak bungsu tidak memberikan izin untuk mengunggah foto anakanak tersebut ke media sosial. Oleh karena itu, mengingat pemrosesan foto penggugat termasuk dalam cakupan GDPR dan karena kurangnya persetujuan, pengadilan meminta nenek 92 untuk menghapus foto atau membayar denda harian sebesar €50, hingga €1000. Pengadilan juga memutuskan bahwa terdakwa dilarang memposting tanpa izin foto anak-anak penggugat di media sosial [2.8] Menimbang bahwa Presiden menyampaikan kesimpulan tertulis yang diterima melalui Kepaniteraan Mahkamah Konstitusi pada 31 Maret 2023, yang pada pokoknya sebagai berikut: I. TENTANG KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON Bahwa Pemerintah tetap pada pendiriannya menyatakan Para Pemohon tidak memiliki kedudukan hukum (legal standing). Pemohon 108 tidak memiliki kerugian konstitusional akibat keberlakuan norma-norma a quo yang dimohonkan dimaksud, dengan alasan sebagai berikut: A. Terhadap Legal Standing Pemohon 108 dengan uraian sebagai berikut: 1. Pertama, terkait dalil Pemohon 108 yang menyatakan bahwa badan hukum belum tercakup dalam norma Pasal 1 angka 4 jo. Pasal 19 UU PDP. Pemohon 108 keliru dalam memaknai norma Pasal 1 angka 4 jo. Pasal 19 UU PDP dimaksud sehingga sebenarnya tidak mengalami kerugian konstitusional. Oleh karena itu, Pemohon 108 tidak memiliki legal standing, dengan penjelasan sebagai berikut: a. Pemohon 108 mendalilkan kerugian konstitusionalnya muncul karena "tidak ada pemberlakuan kewenangan badan hukum dalam melakukan pengendali data pribadi”. b. Badan hukum yang dimaksudkan oleh Pemohon 108 sesungguhnya telah tercakup pada definisi “Setiap Orang” pada ketentuan umum Pasal 1 angka 7 UU PDP, sehingga badan hukum termasuk bagian dari unsur Pengendali Data Pribadi sebagaimana diatur dalam Pasal 1 angka 4 dan Pasal 19 UU PDP. Badan hukum yang bertindak sebagai Pengendali Data Pribadi tunduk pada kewajiban-kewajiban dan tanggung jawab yang diatur dalam UU PDP. c. Dengan demikian, Pemohon 108 sesungguhnya tidak memiliki kerugian konstitusional sebagaimana dimaksud dalam Pasal 51 93 ayat (1) Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah beberapa kali diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 (UU MK) karena berlakunya norma Pasal 1 angka 4 dan Pasal 19 UU PDP, sehingga dalil kerugian potensial konstitusional Pemohon 108 tidak berdasar dan tidak beralasan menurut hukum. 2. Kedua, terkait dalil Pemohon 108 bahwa pengecualian pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP menyebabkan tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah, Pemohon 108 juga keliru dalam memaknai Pasal 2 ayat (2) UU PDP dimaksud, sehingga tidak mengalami kerugian konstitusional. Oleh karena itu, Pemohon 108 tidak memiliki legal standing, dengan penjelasan sebagai berikut: a. UU PDP memberikan perlindungan dalam pemrosesan data pribadi dalam kegiatan bisnis atau e-commerce termasuk yang dilakukan di rumah. b. Pengecualian terhadap keberlakuan UU PDP sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP hanya terbatas pada pemrosesan data pribadi yang dilakukan oleh individu atau natuurlijk person, dan pemrosesan tersebut hanya dilakukan dalam kegiatan pribadi atau rumah tangga, yaitu kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional. Pengecualian yang diatur dalam Pasal 2 ayat (2) UU PDP merupakan bentuk pengaturan dalam rangka memberikan perlindungan hak asasi manusia, khususnya menjaga hak privasi. c. Kegiatan bisnis atau kegiatan e-commerce yang dilakukan oleh orang perorangan di rumah tangganya bukanlah kegiatan yang dikecualikan berdasarkan Pasal 2 ayat (2) UU PDP. Orang perorangan yang melakukan kegiatan bisnis atau e-commerce di rumahnya dapat dikategorikan sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi sehingga orang tersebut tunduk pada 94 kewajiban Pengendali Data Pribadi atau Prosesor Data Pribadi yang diatur dalam UU PDP. Sejalan dengan kewajiban tersebut, subjek data pribadi yang Data Pribadinya diproses oleh orang perseorangan yang melakukan kegiatan bisnis atau e-commerce di rumahnya, mendapat perlindungan sesuai dengan ketentuan UU PDP. Oleh karena itu, orang perseorangan yang melakukan kegiatan bisnis atau e-commerce di rumahnya tersebut harus bertanggung jawab secara hukum atas pemrosesan data pribadi yang diselenggarakannya sesuai dengan ketentuan dalam UU PDP. d. Dengan demikian, menurut Pemerintah, dapat disimpulkan bahwa Pemohon 108 sesungguhnya tidak memiliki kerugian konstitusional sebagaimana dimaksud Pasal 51 ayat (1) UU MK atas keberlakuan ketentuan Pasal 2 ayat (2) UU PDP karena dalil yang diuraikan oleh Pemohon 108 berkenaan dengan kegiatan bisnis yang dilakukan di rumah bukanlah cakupan dari Pasal 2 ayat (2) UU PDP dan terhadap perbuatan hukum dimaksud telah diatur dengan pasal-pasal lain dalam UU PDP. Berdasarkan hal tersebut di atas, Pemerintah berpendapat Pemohon 108 tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU MK, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007). Oleh karena itu, menurut Pemerintah adalah tepat dan sangat beralasan hukum dan sudah sepatutnya jika Majelis Hakim Konstitusi secara bijaksana menyatakan permohonan Pemohon 108 tidak dapat diterima (niet ontvankelijk verklaard). II. JAWABAN PEMERINTAH TERHADAP PERTANYAAN YANG MULIA MAJELIS HAKIM KONSTITUSI Pada masa persidangan atas Permohonan Pengujian 108/PUU-XX/2022 dan 110/PUU-XX/2022, Yang Mulia Hakim Konstitusi Dr. Suhartoyo, S.H., M.H., dan Prof. Dr. Enny Nurbaningsih, S.H., M. Hum telah memberikan pertanyaan dan tanggapannya terhadap Keterangan DPR dan Keterangan 95 Presiden pada persidangan 30 Januari 2023. Terhadap hal-hal tersebut, Pemerintah pada intinya memberikan jawaban/tanggapan sebagai berikut: 1. Terkait pertanyaan Yang Mulia Hakim Konstitusi Dr. Suhartoyo S.H., M.H, dan Prof. Dr. Enny Nurbaningsih, S.H., M. Hum yang pada intinya mempertanyakan “Apakah terdapat risalah pembahasan terkait norma Pasal 15 ayat (1) huruf a UU PDP?”, Pemerintah telah memberikan jawaban pada halaman 34 Keterangan Presiden yang pada intinya sebagai berikut: a. Dalam pembahasan bersama dengan DPR, Fraksi PKS memberikan pandangan bahwa penegakan hukum dan pertahanan perlu dilakukan dalam koridor prinsip demokrasi dan perlindungan terhadap hak-hak asasi Warga Negara Indonesia. Terkait dengan ketentuan pertahanan tersebut, Pemerintah menjelaskan bahwa perlindungan terhadap hak-hak asasi warga negara Indonesia telah diakomodir dalam Pasal 15 ayat (2) UU PDP yang mengatur bahwa pengecualian dimaksud “…dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang”. b. Pendapat Fraksi PKS tersebut tercantum dalam Laporan Panja, Pendapat Mini Fraksi, dan Pendapat Akhir Mini Pemerintah terhadap Rancangan Undang-Undang tentang Pelindungan Data Pribadi (RUU PDP) --- Komisi 1 DPR RI Rapat Kerja (Raker) dengan Menteri Komunikasi dan Informatika RI tanggal 7 September 2022 (vide Bukti PK- 2 dari Keterangan Presiden yang disampaikan pada tanggal 9 Februari 2023). 2. Terkait pertanyaan Yang Mulia Hakim Konstitusi Dr. Suhartoyo S.H., M.H, dan Prof. Dr. Enny Nurbaningsih, S.H., M. Hum yang pada intinya meminta agar Keterangan Presiden yang akan disampaikan dilengkapi juga dengan Naskah Akademik, sekaligus juga dilengkapi mengenai undang-undang yang bersentuhan dengan UU PDP, Pemerintah telah menyampaikannya dalam halaman 35 Keterangan Presiden yang pada intinya sebagai berikut: a. Pemerintah juga telah menyampaikan Naskah Akademik (vide Bukti PK- 1 dari Keterangan Presiden yang disampaikan pada tanggal 9 Februari 2023). Dalam Naskah Akademik tersebut telah disebutkan 10 (sepuluh) undang-undang terkait dengan RUU PDP. 96 b. Pemerintah juga telah menjelaskan bahwa keterkaitan UU PDP dengan undang-undang lain tidak hanya terbatas pada undang-undang yang tercantum dalam naskah akademik tersebut. Hal ini didasarkan pada pertimbangan bahwa Naskah Akademik RUU PDP disusun sebelum pembahasan antar kementerian dan sebelum pembahasan antara DPR dengan Pemerintah, serta mengingat dinamisnya pembahasan RUU PDP yang dimaksud. III. KETERANGAN/JAWABAN AHLI PEMERINTAH BERKENAAN DENGAN PERMOHONAN PARA PEMOHON DAN PERTANYAAN MAJELIS HAKIM KONSTITUSI SERTA PEMOHON 108 A. Keterangan Ahli Pemerintah Berkenaan dengan Permohonan Para Pemohon. Pemerintah sependapat dengan keterangan Ahli Pemerintah yang disampaikan pada persidangan tanggal 21 Maret 2023, sebagai berikut: 1. Prof. Dr. Ahmad M. Ramli, S.H., M.H., FCB.Arb, (Prof. Ahmad M. Ramli) Guru Besar Cyber Law, Hukum Telekomunikasi Media, & Kekayaan Intelektual, Fakultas Hukum Universitas Padjajaran, yang pada intinya, sebagai berikut: a. Berdasarkan pendapat ilmiah dan kajian akademik Ahli Pemerintah keberadaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi merupakan hal yang sangat penting: 1) UU PDP mengatur pelindungan data pribadi dalam satu undang-undang secara terintegrasi, komprehensif, dan sistematik. Beberapa regulasi telah mengatur pelindungan data pribadi, tetapi masih sangat terbatas. Kondisi ketentuan secara sangat terbatas inilah yang justru menjadi persoalan, karena sangat tidak memadai, parsial, belum lagi tersebar dalam berbagai undang-undang. Materi muatannya pun relatif sumir dan tidak komprehensif. Ketiadaan undang-undang yang komprehensif ini menjadi cikal-bakal ketidakpastian hukum dan kesulitan dalam penegakannya. Kondisi ini juga tidak konstruktif bagi keamanan data pribadi warga negara dan juga bagi dunia usaha dan investasi. 97 2) UU PDP disusun untuk, antara lain, menjawab realitas ketiadaan standar dan kriteria pelindungan subyek data pribadi di dalam negeri, baik individu maupun dalam konteks rumah tangga. UU PDP juga menjawab keraguan dunia usaha dan investasi, tatkala kegiatan usahanya bersentuhan dengan data pribadi. 3) Dengan kata lain, UU ini menjadi jawaban atas ketidakpastian hukum itu. Kepastian hukum merupakan unsur esensial dalam negara hukum, karena secara filosofis sekaligus pragmatis salah satu tujuan hukum adalah kepastian. Kepastian hukum dalam bentuk norma UU PDP semakin penting, apalagi di negara yang lekat dengan sistem hukum Eropa Kontinental seperti di Indonesia yang mentitikberatkan hukum tertulis. Selama ini, pelaku usaha banyak yang khawatir akan dianggap melanggar pelindungan data pribadi dalam kegiatan usahanya, sementara norma detailnya tidak ada. UU PDP menjawab keraguan itu semua. Inilah arti sebuah kepastian hukum, sepanjang siapapun telah memenuhi kewajiban, menghindari larangan dan memenuhi semua mekanisme dan standar yang tertera dalam UU PDP maka lepaslah ia dari pelanggaran PDP. b. Pendapat Ahli Prof. Ahmad M. Ramli mengenai Permohonan 108/PUU-XX/2022. 1) Pengecualian pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi/rumah tangga merupakan pengaturan yang sangat penting dalam memberikan perlindungan bagi individu, yaitu: a) Secara ilmiah dan akademis tidak bertentangan dengan Pasal 28D ayat (1) UUD NRI 1945 yang berbunyi “Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama dihadapan hukum.” b) UU PDP secara bijak memberikan pembatasan untuk hal- hal yang amat pribadi. UU PDP tidak berlaku untuk 98 pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. c) Pasal 2 ayat (2) UU PDP mengatur “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.” Pengecualian orang perseorangan dalam kegiatan pribadi atau rumah tangga yang terdapat dalam Pasal 2 ayat (2) UU PDP tersebut mengandung amanat bahwa UU PDP tidak bermaksud memberikan beban berlebih kepada Subjek Data Pribadi, jika yang bersangkutan dikualifikasikan dan berstatus sebagai Pengendali Data. Dengan demikian, pasal a quo sangat diperlukan eksistensinya. d) Bahwa Pasal 2 ayat (2) UU PDP tersebut mengatur tentang pengecualian pemrosesan data bukan tentang esensi Pelindungan Subjek Data Pribadi pada umumnya. Dengan demikian yang dimuat pada Pasal 2 ayat (2) UU PDP ini adalah mengenai pengecualian Pemrosesan Data yang terkait dengan fungsi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk kegiatan pribadi dan rumah tangga. e) Pasal a quo sama sekali tidak mengurangi makna Pelindungan Data Pribadi yang dimiliki oleh individu sebagai Subjek Data Pribadi. Pasal 2 ayat (2) UU PDP tidak dimaksudkan untuk mengidentikan atau mengkualifikasikan individu dan anggota rumah tangga sama dengan korporasi atau badan publik dalam hal Pemrosesan Data Pribadi. Pasal a quo justru menjadi ketentuan dan norma yang sangat penting untuk membedakan individu dan anggota rumah tangga sebagai subyek data pribadi yang berbeda dengan korporasi dan badan publik. f) Ahli Pemerintah Prof. Ahmad M. Ramli juga berpendapat setiap orang harus memahami, alangkah repotnya jika 99 setiap orang dan/atau setiap keluarga/rumah tangga jika harus berperan sebagai Pengendali Data atau Prosesor data Pribadi seperti layaknya korporasi atau badan publik sebagaimana di atur dalam UU PDP, padahal tidak melibatkan kegiatan komersial dan orang lain/pelanggan. g) Akan tetapi, menurut Ahli Pemerintah Prof. Ahmad M. Ramli, dalam hal individu melakukan transaksi elektronik misalnya memiliki akun perbankan, media sosial maka platform dimaksud sebagai pengendali data wajib melindungi data pribadi individu tersebut sesuai dengan Pasal 20 sampai dengan Pasal 50 UU PDP jo. Pasal 51 dan 52 UU PDP. 2) Konsekuensi Kontraproduktif Penghapusan Pasal 2 ayat (2) UU PDP Ahli Pemerintah, Prof. Ahmad M. Ramli, berpendapat bahwa jika Pasal 2 ayat (2) UU PDP dihilangkan atau ditiadakan, maka konsekuensinya, setiap individu dalam kegiatan rumah tangga akan disamakan sebagai Pengendali Data Pribadi dan wajib melaksanakan ketentuan-ketentuan sebagai Pengendali Data Pribadi sebagaimana diatur dalam Bab VI, Pasal 20 sampai dengan Pasal 50 UU PDP. Kewajiban-kewajiban tersebut, antara lain: a) melakukan penyusunan, dan penerapan langkah teknis operasional, untuk melindungi data pribadi dari gangguan pemrosesan, yang bertentangan dengan ketentuan peraturan perundang-undangan, dan penentuan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi (Pasal 35 UU PDP); b) melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya dan melindungi data pribadi dari pemrosesan yang tidak sah (Pasal 36 s.d. Pasal 38 UU PDP); 100 c) mencegah data pribadi diakses secara tidak sah. Pencegahan dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses menggunakan sistem elektronik, wajib dilakukan secara andal, aman, dan bertanggung jawab (Pasal 39 UU PDP); d) melindungi dan memastikan keamanan data pribadi yang diprosesnya (Pasal 47 UU PDP); e) Dalam hal individu memiliki status sebagai prosesor data pribadi, sebagaimana dimaksud dalam Pasal 51 dan Pasal 52 UU PDP, individu tersebut wajib melakukan pemrosesan berdasarkan perintah pengendali data pribadi. 3) Norma Pasal 2 ayat (2) UU PDP sejalan dengan praktik yang berlaku secara internasional, yaitu: Ahli Pemerintah Prof. Ahmad M. Ramli menyampaikan bahwa pengecualian sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP juga selaras dengan praktik yang berlaku secara Internasional. Salah satu yang sangat menjiwai UU PDP adalah Regulasi Perlindungan Data Uni Eropa (General Data Protection Regulation) atau disingkat GDPR. Regulasi multilateral ini telah menjadi guideline legislasi PDP di berbagai negara di dunia. Formula penyusunan legislasi PDP seperti ini telah diakomodir dalam Pasal 2 ayat (2) UU PDP. 4) Badan Hukum merupakan bagian dari pengaturan dalam UU PDP, baik sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi, yaitu: a) Bahwa Pasal 1 angka 4 UU PDP mengatur “Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.” b) Pasal 1 angka 4 UU PDP harus ditafsirkan bersama dengan Pasal 1 angka 7 UU PDP sehingga pengertian orang adalah orang perseorangan dan korporasi. 101 c) Penghapusan Pasal 1 angka 4 akan berdampak pada hilangnya terminologi Pengendali Data yang merupakan salah satu subjek hukum yang paling esensial dari Undang–Undang ini dan berperan memproses dan melindungi data pribadi berdasarkan Undang-Undang ini. 5) Konsekuensi Penghapusan Pasal 1 angka 4 jo. Pasal 19 UU PDP a) Pasal 19 UU PDP adalah pasal yang sangat penting karena mengatur kategori dan ruang lingkup Pengendali Data sebagai subjek hukum yang diatur dalam UU PDP. Secara teoritik, hukum itu terdiri atas asas, kaidah atau norma, lembaga, subjek dan proses-proses. Pasal 19 ini justru menjadi penegasan tentang subjek yang sangat penting dan memiliki peran utama dalam pelindungan data pribadi, yaitu Pengendali Data Pribadi. b) Apabila Pasal 19 UU PDP dihapus maka siapa saja, dan subjek mana yang menjadi Pengendali Data Pribadi akan menjadi tidak jelas dan berdampak sangat fatal dalam implementasinya karena ketidakpastian hukum. c) Apabila Pasal 1 angka 4 UU PDP dihapuskan dan dinyatakan tidak memiliki kekuatan hukum maka UU PDP akan kehilangan batasan atau terminologi tentang Pengendali Data Pribadi beserta unsur-unsur subjek hukumnya. Hilangnya pasal ini tidak sekadar menghapus peristilahan tetapi juga menghilangkan kepastian hukum yang menyangkut siapa saja Subjek Pengendali Data yang berdampak pada ketidakjelasan implementasi Pelindungan Data Pribadi. 2. Prof. Dr. Henri Subiakto, Drs. S.H. M.Si, Guru Besar Fakultas Ilmu Sosial dan Ilmu Politik Universitas Airlangga, Pengajar Hukum Media dan Komunikasi (Prof. Henri Subiakto), yang pada intinya, sebagai berikut: 102 a. Pendapat Ahli Prof. Henri Subiakto terhadap Permohonan 108/PUU-XX/2022 terkait pengaturan Badan Hukum dalam UU PDP dalam Pasal 1 angka 4 dan Pasal 19 UU PDP 1) Pasal 1 angka 4 jo. Pasal 19 UU PDP telah mengatur subjek hukum pengaturan UU PDP, yaitu setiap Orang, badan publik, dan organisasi internasional. Subjek hukum tersebut dapat bertindak sebagai Pengendali Data Pribadi baik bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. 2) Untuk memahami pengertian subjek hukum “Setiap Orang” maka harus memperhatikan definisi dalam Pasal 1 angka 7 UU PDP, yaitu “Setiap Orang adalah orang perseorangan atau korporasi” dan Pasal 1 angka 8 yaitu “Korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum”. Berdasarkan definisi tersebut maka maksud Pasal 1 angka 4 dan angka 5 jo. pasal 19 UU PDP menjadi jelas bahwa badan hukum dapat bertindak sebagai Pengendali Data Pribadi yaitu pihak yang memiliki kendali penuh dalam pemrosesan data pribadi. Badan hukum juga dapat bertindak sebagai Prosesor Data Pribadi, yaitu pihak yang melakukan pengolahan data pribadi berdasarkan perintah atau atas nama pengendali data pribadi. 3) Bahkan selain itu, telah terdapat ketentuan Pasal 70 UU PDP yang mengatur sanksi bagi korporasi termasuk badan hukum di dalamnya yang melakukan pelanggaran terhadap ketentuan pelindungan data pribadi, yaitu berupa denda dan pidana tambahan. Dengan demikian, berdasarkan uraian tersebut di atas ketentuan badan hukum sudah diatur dalam UU PDP. b. Pendapat Ahli Prof. Henri Subiakto terhadap Permohonan 108/PUU-XX/2022 terkait pengaturan kegiatan pribadi atau rumah tangga dalam Pasal 2 ayat (2) UU PDP 103 1) Frasa “kegiatan pribadi” atau “kegiatan rumah tangga” dalam Pasal 2 ayat (2) UU PDP memiliki esensi yaitu menunjuk pada kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan juga nonprofesional. Pengecualian yang diatur dalam Pasal 2 ayat (2) UU PDP merupakan bentuk pengaturan dalam rangka memberikan perlindungan hak asasi manusia, khususnya menjaga atau melindungi hak privasi setiap orang sebagaimana diatur dalam Pasal 28G ayat (1) UUD NRI 1945. 2) Pasal 2 ayat (2) UU PDP bertujuan untuk tidak membebani perseorangan dalam aktivitas pribadi dan keluarga, serta menghormati apa yang disebut sebagai the right to private life. Sedangkan kegiatan yang dilakukan seseorang dirumahnya untuk kepentingan pekerjaan profesi, usaha atau bisnis rumah tangga maupun usaha mikro, kecil dan menengah (termasuk e-commerce), tidak termasuk yang dikecualikan dalam Pasal 2 ayat (2) UU PDP. Maka dari itu, para pelaku profesi seperti dokter, advokat, notaris, hingga akuntan publik yang menjalankan profesinya di rumahnya tidak dapat menggunakan Pasal 2 ayat (2) UU PDP sebagai pengecualian, dan tetap harus memenuhi kewajibannya sebagai Pengendali Data Pribadi. 3) Dengan keberadaan Pasal 2 ayat (2) UU PDP, negara menjamin terhadap setiap perseorangan warga negara bisa melakukan aktivitas pribadi dan keluarganya secara alami, luwes, tidak kaku, tidak dibebani kewajiban, tidak harus khawatir terkena denda maupun pajak untuk aktivitas pribadi dalam kehidupan domestik mereka. Ini membedakan dengan aktivitas yang masuk dalam kegiatan korporasi atau aktivitas perseorangan namun untuk kepentingan bisnis. B. Jawaban Ahli Pemerintah dan Tanggapan Pemerintah Berkenaan dengan Pertanyaan Majelis Hakim Konstitusi kepada Ahli Pemerintah 104 Jawaban Ahli Pemerintah dan Tanggapan Pemerintah Terhadap Pertanyaan Pemohon 108 kepada Ahli Pemerintah dalam Persidangan pada tanggal 21 Maret 2023 1. Terkait pertanyaan Pemohon 108 yang pada intinya mempertanyakan “bagaimana penerapan pada suatu kasus yang berkaitan dengan profesional pekerjaan seseorang dihadapkan dengan permasalahan yang menyangkut dalam Pasal 2 ayat (2)? Apa lingkup yang bersifat nonkomersial dan nonprofesional?”, Pemerintah memberikan tanggapan/klarifikasi sebagai berikut: a. Dalam Keterangan Presiden yang telah dibacakan pada tanggal 13 Februari 2023, Pemerintah menyampaikan bahwa pengecualian terhadap keberlakuan UU PDP sebagaimana dimaksud dalam Pasal 2 ayat (2) UU PDP hanya terbatas pada pemrosesan data pribadi yang dilakukan oleh individu atau natuurlijk person. Pengecualian tersebut hanya dilakukan dalam kegiatan pribadi atau rumah tangga, yaitu kegiatan dalam ranah privat yang memiliki sifat personal, intim, kekerabatan dekat, nonkomersial dan nonprofesional. Pemrosesan data pribadi untuk kepentingan usaha atau bisnis rumah tangga maupun usaha mikro, kecil dan menengah (termasuk e-commerce) yang dijalankan oleh seorang pribadi kodrati di rumahnya seperti yang disebutkan Pemohon 108 dalam permohonannya tidak dapat dikecualikan berdasarkan Pasal 2 ayat (2) UU PDP. b. Demikian juga dengan contoh Pemohon 108 dalam permohonannya dan pertanyaan yang disampaikan pada persidangan tanggal 21 Maret 2023, apabila seorang individu sebagai yang menjalankan profesinya sebagai akuntan publik atau advokat di rumahnya sendiri tidak dapat menggunakan Pasal 2 ayat (2) UU PDP, dan harus memenuhi kewajibannya sebagai pengendali data pribadi. 2. Tanggapan Pemerintah tersebut sejalan dengan keterangan Ahli Pemerintah (Prof. Henri Subiakto) yang pada intinya menyampaikan sebagai berikut: a. bahwa walaupun aktivitas yang dilakukan merupakan aktivitas pribadi dan dilakukan di rumah, sepanjang tujuan dari aktivitas tersebut adalah untuk mencari keuntungan (komersial) atau untuk melakukan 105 tugas profesi (profesional), maka aktivitas tersebut tidak masuk dalam lingkup pengaturan pengecualian dalam Pasal 2 ayat (2) UU PDP dan bagi si pelaku aktivitas tersebut tetap mengikuti pengaturan UU PDP; b. apabila batasan pengecualian aktivitas untuk kepentingan pribadi dan kepentingan rumah tangga dalam Pasal 2 ayat (2) UU PDP ini dihilangkan, akan mengacaukan batasan: 1) saat seseorang beraktivitas untuk kepentingan pribadi dan kepentingan rumah tangga/keluarga; dan 2) saat seseorang beraktivitas sebagai bagian dari sebuah korporasi atau sebuah profesi, sehingga pengaturan Pasal 2 ayat (2) UU PDP ini sangat signifikan dan penting untuk dipertahankan. 1. Terkait pernyataan Pemohon 108 yang pada intinya menyatakan “Pasal 18 EU GDPR menegaskan meskipun dalam konteks perlindungan data pribadi orang perseorangan atau rumah tangga tidak dalam lingkup pengaturannya, namun sepanjang ada bentuk kontrol atau pemrosesan data yang menyediakan sarana pemrosesan data, maka pemrosesan data pribadi bisa dilindungi”, Pemerintah memberikan tanggapan/klarifikasi sebagai berikut: Pemerintah telah menanggapi isu yang disampaikan Pemohon terkait pengecualian Pasal 2 ayat (2) UU PDP terhadap individu atau naturlijk persoon untuk kegiatan pribadi atau rumah tangga dengan memberikan dua contoh implementasi. Pertama, seseorang individu memberikan nomor handphone anaknya kepada paman dari anak itu agar paman dapat mengucapkan selamat ulang tahun kepada anak tersebut. Contoh lainnya adalah seseorang yang mengambil fotonya sendiri (selfie) tetapi di dalam foto tersebut tertangkap wajah orang lain yang tidak ia kenal. Sepanjang orang tersebut hanya menggunakan foto yang dimaksud untuk koleksi pribadinya, ia tidak wajib untuk meminta persetujuan dari orang lain tersebut. Dalam kedua contoh tersebut dapat tergambarkan bahwa penekanannya bukan pada sarana, melainkan tujuan pemrosesan data pribadi tersebut apakah masih dalam lingkup kegiatan “pribadi” atau “rumah tangga” atau di luar lingkup kegiatan “pribadi” atau “rumah tangga”. 106 IV. KESIMPULAN Berdasarkan keseluruhan materi dan fakta yang terungkap di persidangan yang Pemerintah telah uraikan di atas, maka pasal-pasal dalam Undang- Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi yang dimohonkan pengujian terbukti tidak bertentangan dengan Undang-Undang Dasar NRI 1945. Dengan demikian, beralasan hukum bagi Pemerintah pada penutup keterangan dalam pokok perkara dengan memohon kepada Yang Mulia Majelis Hakim Mahkamah Konstitusi untuk memutus permohonan dengan menolak permohonan Pemohon seluruhnya. V. PETITUM Berdasarkan alasan-alasan yang telah diuraikan di atas dan didukung dengan bukti-bukti yang telah diajukan, maka Pemerintah memohonkan kepada Yang Mulia Majelis Hakim Konstitusi pada Mahkamah Konstitusi Republik Indonesia untuk memeriksa dan memutus perkara a quo dengan amar putusan sebagai berikut: 1. Menyatakan bahwa Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU- XX/2022 tidak mempunyai kedudukan hukum (legal standing); 2. Menolak permohonan pengujian Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU-XX/2022 seluruhnya atau setidak-tidaknya menyatakan permohonan pengujian Pemohon 108/PUU-XX/2022 dan Pemohon 110/PUU-XX/2022 tidak dapat diterima (niet onvankelijk verklaard); 3. Menerima Keterangan Presiden dan Kesimpulan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 1 angka 4, Pasal 2 ayat (2), Pasal 15 ayat (1) huruf a, dan Pasal 19 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan dengan Undang-Undang Dasar NRI 1945 dan tetap mempunyai kekuatan hukum mengikat, atau apabila Yang Mulia Majelis Hakim Mahkamah Konstitusi berpendapat lain mohon putusan yang seadil-adilnya (ex aequo et bono). [2.9] Menimbang bahwa untuk mempersingkat uraian dalam putusan ini, segala sesuatu yang terjadi di persidangan cukup ditunjuk dalam Berita Acara Persidangan, yang merupakan satu kesatuan yang tidak terpisahkan dengan putusan ini. 107 3. PERTIMBANGAN HUKUM Kewenangan Mahkamah [3.1] Menimbang bahwa berdasarkan Pasal 24C ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 (selanjutnya disebut UUD 1945), Pasal 10 ayat (1) huruf a Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554, selanjutnya disebut UU MK), dan Pasal 29 ayat (1) huruf a Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076), Mahkamah berwenang, antara lain, mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap UUD 1945; [3.2] Menimbang bahwa oleh karena permohonan Pemohon adalah permohonan untuk menguji konstitusionalitas norma undang-undang, in casu Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 Undang-Undang 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820 selanjutnya disebut UU 27/2022) terhadap UUD 1945, maka Mahkamah berwenang mengadili permohonan a quo; Kedudukan Hukum Pemohon [3.3] Menimbang bahwa berdasarkan Pasal 51 ayat (1) UU MK beserta Penjelasannya, yang dapat mengajukan permohonan pengujian undang-undang terhadap UUD 1945 adalah mereka yang menganggap hak dan/atau kewenangan konstitusionalnya yang diberikan oleh UUD 1945 dirugikan oleh berlakunya suatu undang-undang, yaitu: a. perorangan warga negara Indonesia (termasuk kelompok orang yang mempunyai kepentingan sama); 108 b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; atau d. lembaga negara; Dengan demikian, Pemohon dalam pengujian undang-undang terhadap UUD 1945 harus menjelaskan terlebih dahulu: a. kedudukannya sebagai Pemohon sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK; b. ada tidaknya kerugian hak dan/atau kewenangan konstitusional yang diberikan oleh UUD 1945 yang diakibatkan oleh berlakunya undang-undang yang dimohonkan pengujian dalam kedudukan sebagaimana dimaksud pada huruf a; [3.4] Menimbang bahwa Mahkamah sejak Putusan Nomor 006/PUU- III/2005 tanggal 31 Mei 2005 dan Putusan Nomor 11/PUU-V/2007 tanggal 20 September 2007 serta putusan-putusan selanjutnya, telah berpendirian bahwa kerugian hak dan/atau kewenangan konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: a. adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD 1945; b. hak dan/atau kewenangan konstitusional tersebut oleh Pemohon dianggap dirugikan oleh berlakunya undang-undang yang dimohonkan pengujian; c. kerugian konstitusional tersebut harus bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. adanya hubungan sebab-akibat antara kerugian dimaksud dan berlakunya undang-undang yang dimohonkan pengujian; e. adanya kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian konstitusional seperti yang didalilkan tidak akan atau tidak lagi terjadi; [3.5] Menimbang bahwa berdasarkan uraian ketentuan Pasal 51 ayat (1) UU MK dan syarat-syarat kerugian hak dan/atau kewenangan konstitusional sebagaimana diuraikan dalam Paragraf [3.3] dan Paragraf [3.4] di atas, selanjutnya 109 Mahkamah akan mempertimbangkan mengenai kedudukan hukum Pemohon sebagai berikut: 1. Bahwa norma undang-undang yang dimohonkan pengujian oleh Pemohon dalam permohonan a quo adalah norma Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 yang menyatakan sebagai berikut: Pasal 1 angka 4 UU 27/2022 Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Pasal 2 ayat (2) UU 27/2022 (1) ......................., (2) Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Pasal 19 UU 27/2022 Pengendali Data Pribadi dan Prosesor Data Pribadi meliputi: a. Setiap Orang; b. Badan Publik; dan c. Organisasi Internasional. 2. Bahwa Pemohon adalah perorangan warga negara Indonesia, yang hak konstitusionalnya berpotensi tercederai dengan berlakunya pasal-pasal yang dimohonkan pengujian di mana hak konstitusional tersebut dilindungi Pasal 28D ayat (1) UUD 1945; 3. Bahwa Pemohon merasa hak konstitusionalnya secara potensial akan dirugikan dengan tidak adanya pemberlakuan kewenangan badan hukum dalam melakukan pengendalian data pribadi. Sebab, akan bermanfaat jika badan hukum turut serta dalam melakukan pengendalian data pribadi, karena kapasitas badan hukum dalam melakukan pengendalian data pribadi dapat menjawab persoalan permasalahan kebocoran data pribadi; 4. Bahwa menurut Pemohon, penggunaan data pribadi tidak terlepas dari kepentingan pribadi baik dalam kegiatan bisnis, kegiatan pendataan dari Pemerintahan maupun kegiatan lainnya dan dengan berlakunya ketentuan Pasal 2 ayat (2) UU 27/2022, Pemohon tidak diberikan perlindungan dan jaminan atas kebebasan yang melekat bagi pemohon dalam hal pemrosesan data pribadi. Pemrosesan data pribadi penting sebagai jaminan hak bagi pengguna data pribadi. 110 Berdasarkan seluruh uraian Pemohon dalam menjelaskan kedudukan hukumnya sebagaimana diuraikan di atas, menurut Mahkamah Pemohon telah dapat menerangkan secara spesifik hak konstitusionalnya yang dijamin oleh konstitusi, menurut anggapannya dirugikan dengan berlakunya norma undang- undang yang dimohonkan pengujian, yaitu hak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum sebagaimana dijamin dalam UUD 1945. Oleh karenanya, telah tampak adanya hubungan sebab akibat (causal verband) antara hak konstitusional yang dimilikinya dengan anggapan kerugian hak konstitusional tersebut dengan berlakunya norma undang-undang yang dimohonkan pengujian. Dengan demikian, terlepas dari terbukti atau tidaknya inkonstitusionalitas norma Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 UU 27/2022 yang dimohonkan pengujian, Mahkamah berpendapat Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo; [3.6] Menimbang bahwa oleh karena Mahkamah berwenang mengadili permohonan a quo dan Pemohon memiliki kedudukan hukum untuk bertindak sebagai Pemohon maka selanjutnya Mahkamah akan mempertimbangkan pokok permohonan. Pokok Permohonan [3.7] Menimbang bahwa Pemohon mendalilkan Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 UU 27/2022 bertentangan dengan Pasal 28D ayat (1) UUD 1945 dengan argumentasi sebagaimana selengkapnya telah dimuat dalam bagian Duduk Perkara yang apabila dirumuskan pada pokoknya sebagai berikut: 1. Bahwa menurut Pemohon dalam melakukan pengendalian data pribadi diperlukan seseorang yang ahli dibidangnya atau memerlukan jasa sebuah perusahaan yang dapat melakukan pengendalian/pemrosesan data pribadi, hal ini menjadi kebutuhan konstitusional yang dijamin oleh UUD 1945; 2. Bahwa menurut Pemohon, di masyarakat kerap terjadi permasalahan kebocoran data pribadi, hal ini menghantui masyarakat karena data pribadi itu bersifat sensitif dan rawan jika disalahgunakan oleh oknum. Bagi Pemohon yang memiliki keterbatasan dalam memahami mengenai permasalahan pengendalian data pribadi, hal ini menimbulkan kekhawatiran tersendiri apabila 111 sewaktu-waktu data pribadi Pemohon bocor maka dapat menimbulkan kerugian ekonomi termasuk Pemohon dapat saja kehilangan pekerjaan karena data pribadi milik pemohon hilang semua; 3. Bahwa menurut Pemohon, Pemohon menyayangkan tidak adanya keterlibatan dari badan hukum dalam melakukan pemrosesan data pribadi atau pengendali data pribadi sebagaimana dimuat dalam ketentuan Pasal 1 angka 4 dan Pasal 19 UU 27/2022, menurut Pemohon hal ini menandakan bahwa undang-undang ini belum secara efektif bermanfaat bagi masyarakat; 4. Bahwa menurut Pemohon, ketentuan yang diajukan pengujian tersebut dibandingkan dengan ketentuan yang tercantum dalam peraturan Uni Eropa (UE) 2016/679 Dewan Parlemen Eropa yang diberlakukan 27 April 2016 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum). Dalam ketentuan Pasal 4 angka 7 Peraturan (UE) 2016/679 yang pada intinya memungkinkan bagi badan hukum diberikan kewenangan untuk melakukan pengendali data pribadi, kewenangan ini tidak hanya menjadi milik badan hukum publik atau organisasi internasional sebagaimana tertuang di dalam Pasal 19 UU 27/2022; 5. Bahwa menurut Pemohon, karena tidak ada penjelasan mengenai apa maksud yang terkandung dalam ketentuan Pasal 2 ayat (2) UU 27/2022, hal ini telah melanggar ketentuan Bab I bagian E Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan yang pada intinya dalam sebuah undang-undang dan peraturan daerah diberi penjelasan. Dengan tidak adanya penjelasan terhadap makna yang terkandung dalam ketentuan Pasal 2 ayat (2) UU 27/2022, hal ini dikhawatirkan penegak hukum akan menafsirkan ketentuan ini dengan berbeda-beda; 6. Bahwa menurut Pemohon dengan berlakunya ketentuan Pasal 2 ayat (2) UU 27/2022 dapat menimbulkan beberapa kerugian yaitu: a. Tidak adanya perlindungan pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah, bahwa dengan maraknya bisnis e-commerce, maka banyak kegiatan bisnis yang dilakukan oleh pribadi atau rumah tangga serta kegiatan bisnis e-commerce ini tidak luput dari kerentanan kebocoran data yang dilakukan oleh peretas yang mengetahui ada 112 kelemahan dalam sistem untuk mengambil keuntungan yang sebesar- besarnya; b. Menurut Pemohon, berdasarkan data dari Tempo sejak Januari sampai dengan September 2022 telah terjadi tujuh kasus besar dengan dugaan kebocoran data pribadi, kerentanan atau kelemahan sistem menjadi faktor utama. Hal ini menunjukkan lemahnya perlindungan terhadap data pribadi orang perseorangan di dalam kegiatan pribadi atau rumah tangga. Dengan adanya kejadian ini ketentuan mengenai kepastian hukum sebagaimana tercantum dalam ketentuan Pasal 3 UU 27/2022 menjadi tidak berguna karena adanya ketentuan Pasal 2 ayat (2) UU 27/2022; 7. Bahwa menurut Pemohon, UU 27/2022 tidak memberikan perlindungan terhadap hak subjek data pribadi, adanya pembedaan perlakuan perlindungan dalam kegiatan pemrosesan data pribadi, ketentuan di dalam Pasal 2 ayat (2) UU 27/2022 tidak berlaku bagi perseorangan dalam kegiatan pribadi atau rumah tangga. Menurut Pemohon, tanpa disadari pembuat Undang-Undang hal ini belum memberikan payung hukum bagi pengguna data pribadi. Padahal dalam Penjelasan Umum UU 27/2022 telah mengakui pemanfaatan teknologi informasi mengakibatkan data pribadi seseorang sangat mudah untuk dikumpulkan dan dipindahkan dari satu pihak ke pihak lain tanpa sepengetahuan subjek data pribadi, sehingga mengancam hak konstitusional subjek data pribadi; 8. Bahwa menurut Pemohon, norma Pasal 2 ayat (2) UU 27/2022 tidak memberikan penjelasan mengenai kriteria kegiatan pribadi atau rumah tangga yang pemrosesan data pribadinya dikecualikan. Pemohon menemukan aturan serupa di dalam regulation (EU) 2016/679 of the european parliament and of the council tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, dan mencabut directive 95/46/ec (peraturan perlindungan data umum) Pasal 2 huruf c menyatakan “oleh orang perseorangan dalam rangka kegiatan pribadi atau rumah tangga semata-mata”. Sementara dalam ketentuan Pasal 18 regulation (EU) 2016/679 of the european parliament and of the council yang dapat disimpulkan bahwa tidak diberikan perlindungan terhadap pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah 113 tangga adalah disebabkan karena tidak ada hubungannya dengan kegiatan profesional atau komersial; 9. Bahwa menurut Pemohon, adanya pemberlakuan perlindungan pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga dalam Pasal 2 ayat (2) UU 27/2022 telah memberikan pembatasan perlindungan terhadap orang perseorangan di mana data pribadi mencakup semua informasi tentang individu yang dapat diidentifikasi, termasuk data pribadi yang sensitif; 10. Bahwa berdasarkan uraian dalil-dalil permohonan di atas, Pemohon memohon agar Mahkamah mengabulkan permohonan dengan menyatakan Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 UU 27/2022 bertentangan dengan UUD 1945 dan tidak mempunyai kekuatan hukum mengikat; [3.8] Menimbang bahwa untuk menguatkan dalilnya, Pemohon telah mengajukan alat bukti surat/tulisan yang diberi tanda bukti P-1 sampai dengan bukti P-3. Selain itu, Pemohon juga menyerahkan kesimpulan yang diterima Mahkamah melalui e-mail pada tanggal 28 Maret 2023 dan melalui Kepaniteraan pada tanggal 29 Maret 2023 (selengkapnya dimuat dalam bagian Duduk Perkara); [3.9] Menimbang bahwa Dewan Perwakilan Rakyat telah didengar keterangannya dalam persidangan pada tanggal 30 Januari 2023, dan menyampaikan keterangan tertulis yang diterima Mahkamah pada tanggal 23 Februari 2023 (selengkapnya dimuat dalam bagian Duduk Perkara); [3.10] Menimbang bahwa Presiden telah menyampaikan keterangan tertulis yang diterima Mahkamah pada tanggal 9 Februari 2023 dan didengar keterangannya dalam persidangan tanggal 13 Februari 2023, serta mengajukan alat bukti surat/tulisan yang diberi tanda bukti PK-1 sampai dengan bukti PK-2. Di samping itu, Presiden juga mengajukan ahli atas nama Prof. Dr. Ahmad M. Ramli, S.H., M.H., FCB.Arb dan Prof. Dr. Henri Subiakto, Drs. S.H., M.Si yang masing- masing telah menyerahkan keterangan tertulisnya pada tanggal 23 Februari 2023 dan masing-masing telah didengar keterangannya dalam persidangan pada tanggal 21 Maret 2023, serta Presiden telah pula menyampaikan kesimpulan yang diterima Mahkamah pada tanggal 31 Maret 2023. (selengkapnya dimuat dalam bagian Duduk Perkara); 114 [3.11] Menimbang bahwa setelah Mahkamah memeriksa dengan saksama permohonan Pemohon, keterangan DPR, keterangan Presiden, keterangan ahli Presiden, bukti-bukti surat/tulisan yang diajukan oleh Pemohon dan Presiden, serta kesimpulan tertulis Pemohon dan Presiden sebagaimana selengkapnya dimuat dalam bagian Duduk Perkara, Mahkamah selanjutnya mempertimbangkan dalil- dalil permohonan Pemohon. [3.12] Menimbang bahwa berkenaan dengan dalil yang dikemukakan Pemohon dalam permohonannya, terdapat dua hal pokok persoalan konstitusional yang harus dijawab oleh Mahkamah. Pertama, Pemohon mempersoalkan mengenai norma Pasal 1 angka 4 dan Pasal 19 UU 27/2022 di mana kedua norma a quo tidak mengatur mengenai keterlibatan badan hukum dalam melakukan pemrosesan data pribadi atau pengendali data pribadi. Kedua, Pemohon mempersoalkan mengenai norma Pasal 2 ayat (2) UU 27/2022 menurut Pemohon norma a quo mengecualikan perlindungan terhadap pemrosesan data pribadi oleh perseorangan dalam kegiatan pribadi atau rumah tangga. Lebih lanjut, menurut Pemohon, norma Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 UU 27/2022 bertentangan dengan hak atas pengakuan jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum sebagaimana dijamin dalam ketentuan Pasal 28D ayat (1) UUD 1945. Terhadap dua hal pokok persoalan konstitusional dalam dalil Pemohon a quo, Mahkamah mempertimbangkan selengkapnya sebagai berikut: [3.12.1] Bahwa norma Pasal 1 angka 4 dan Pasal 19 UU 27/2022 yang dimohonkan pengujian oleh Pemohon apabila dicermati oleh Mahkamah adalah mengatur hal yang sama, yaitu pengertian mengenai subjek hukum yang diklasifikasikan sebagai pengendali data pribadi dan prosesor data pribadi. Bahwa yang dimaksud dengan pengendali data pribadi dalam Pasal 1 angka 4 UU 27/2022 adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Lebih lanjut dijelaskan, norma Pasal 1 angka 4 UU 27/2022 merupakan norma yang termaktub dalam Bab I Ketentuan Umum, di mana hal-hal yang tercantum dalam ketentuan umum mengatur mengenai pengertian atau definisi, singkatan atau akronim yang dituangkan dalam batasan pengertian atau definisi dan/atau hal-hal lain yang bersifat umum yang akan diatur dalam pasal atau 115 beberapa pasal berikutnya antara lain ketentuan yang mencerminkan asas, maksud dan tujuan sebagaimana diatur dalam UU a quo. Demikian pula yang dimaksud dengan pengendali data pribadi dan prosesor data pribadi sebagaimana yang dimaksud dalam Pasal 19 UU 27/2022 adalah setiap orang, badan publik, dan organisasi internasional. Bahwa norma Pasal 19 UU 27/2022 ini merupakan norma yang terdapat dalam Bab VI yang mengatur mengenai kewajiban pengendali data pribadi dan prosesor data pribadi dalam pemrosesan data pribadi. Bahwa dalam Bab I Ketentuan Umum UU 27/2022 diatur mengenai definisi siapa saja yang dapat menjadi subjek hukum sebagaimana yang dimaksud dengan setiap orang, badan publik, dan organisasi internasional dengan uraian, sebagai berikut: bahwa yang dimaksud dengan setiap orang adalah orang perseorangan atau korporasi [vide Pasal 1 angka 7 UU 27/2022], dan yang dimaksud dengan korporasi adalah kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum [vide Pasal 1 angka 8 UU 27/2022]. Selanjutnya, yang dimaksud dengan badan publik adalah lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran, Pendapatan dan Belanja Daerah, sumbangan masyarakat, dan/atau luar negeri [vide Pasal 1 angka 9 UU 27/2022]. Sementara itu, yang dimaksud dengan Organisasi Internasional adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional [vide Pasal 1 angka 10 UU 27/2022]. Bahwa berdasarkan uraian fakta hukum di atas, maka selanjutnya apabila dikaitkan dengan dalil Pemohon yang menyatakan Pasal 1 angka 4 dan Pasal 19 UU 27/2022 tidak mengatur mengenai keterlibatan badan hukum dalam melakukan pemrosesan data pribadi atau pengendali data pribadi, menurut Mahkamah subjek hukum yang turut berperan dalam pengendali dan pemroses data pribadi yang berbentuk badan hukum seperti yang dimaksudkan oleh Pemohon sesungguhnya telah tercakup dalam definisi “Setiap Orang” pada Ketentuan Umum Pasal 1 angka 7 UU 27/2022. Di mana, dalam definisi “Setiap Orang” tersebut mencakup korporasi yang kemudian diatur lebih lanjut dalam Pasal 1 angka 8 UU 116 27/2022, bahwa dalam ketentuan tersebut telah ditegaskan, korporasi dapat berbentuk badan hukum. Oleh karena itu, berdasarkan ketentuan norma tersebut korporasi yang berbentuk badan hukum dapat ditunjuk sebagai Pengendali Data Pribadi atau Prosesor Data Pribadi. Bahwa lebih lanjut dijelaskan, Pengendali Data Pribadi dan Prosesor Data Pribadi memiliki kewajiban untuk bertanggung jawab atas pemrosesan data pribadi dan menunjukkan pertanggung jawaban dalam pemenuhan kewajiban pelaksanaan prinsip perlindungan pribadi dan dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, dan selanjutnya Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi. Dengan demikian, menurut Mahkamah, jika Pemohon memperhatikan secara saksama, UU 27/2022 ternyata telah memberikan kesempatan kepada badan hukum untuk dapat bertindak sebagai pengendali data pribadi. Terlebih, dalam ketentuan norma Pasal 48 UU 27/2022 diatur pula tentang mekanisme jika Pengendali Data Pribadi yang berbentuk badan hukum ketika sedang menangani pemrosesan data pribadi atas subjek data pribadi dengan melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum maka badan hukum tersebut memiliki kewajiban untuk menyampaikan pemberitahuan pengalihan Data Pribadi kepada Subjek Data Pribadi. Oleh karena itu, fakta hukum a quo membuktikan, UU 27/2022 telah melibatkan badan hukum sebagai salah satu subjek hukum yang dapat menjadi pengendali data pribadi, sehingga hal ini menegaskan bahwa berkaitan dengan dalil Pemohon tidak dilibatkannya badan hukum sebagai Pengendali data Pribadi dan hal tersebut melanggar hak konstitusional Pemohon untuk memperoleh pengakuan, jaminan, perlindungan dan kepastian hukum yang dilindungi dalam Pasal 28D ayat (1) UUD 1945 adalah dalil yang tidak dapat dibuktikan. Terlebih, apabila permohonan Pemohon agar Pasal 1 angka 4 UU 27/2022 dikabulkan dan dinyatakan bertentangan dengan UUD 1945 dan tidak mempunyai kekuatan hukum mengikat maka hal ini justru akan berpengaruh pada struktur UU 27/2022 secara keseluruhan. Dalam hal ini, publik akan kehilangan norma yang mengatur siapa saja yang dapat menjadi subjek hukum untuk bertindak sebagai Pengendali Data Pribadi, yang memiliki kewajiban untuk melindungi data pribadi dan tentu saja hal ini akan berdampak juga terhadap ketentuan Pasal 19 dan pasal lainnya yang ada dalam UU 27/2022. 117 Bahwa berdasarkan uraian pertimbangan hukum di atas, dalil Pemohon berkenaan dengan inkonstitusionalitas norma Pasal 1 angka 4 dan Pasal 19 UU 27/2022 adalah tidak beralasan menurut hukum. [3.12.2] Bahwa selanjutnya berkenaan dengan dalil Pemohon berkaitan dengan ketentuan norma Pasal 2 ayat (2) UU 27/2022 yang dimohonkan oleh Pemohon yang menyatakan, “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga”. Menurut Pemohon, Pasal 2 ayat (2) UU 27/2022 tidak memberikan perlindungan terhadap pemrosesan data pribadi dalam kegiatan bisnis yang dilakukan di rumah, khususnya dengan maraknya bisnis e-commerce sehingga banyak kegiatan bisnis yang dilakukan oleh pribadi atau rumah tangga serta tidak ada perlindungan atau lemahnya perlindungan terhadap data pribadi orang perseorangan di dalam kegiatan pribadi atau rumah tangga. Bahwa terhadap dalil Pemohon tersebut, Mahkamah mempertimbangkan, pelindungan data pribadi merupakan salah satu bentuk pelindungan terhadap hak asasi manusia, hal ini disebabkan dengan adanya perkembangan teknologi informasi dan komunikasi yang memungkinkan manusia saling terhubung tanpa mengenal batas wilayah negara. Pemanfaatan teknologi informasi tersebut mengakibatkan data pribadi seseorang dapat dengan mudah dikumpulkan dan dipindahkan dari satu pihak ke pihak yang lain tanpa sepengetahuan Subjek Data Pribadi yang bersangkutan, oleh karena itu hal yang demikian dapat mengancam hak konstitusional Subjek Data Pribadi yang bersangkutan. Hal tersebut relevan dengan alasan bahwa Pelindungan Data Pribadi diperlukan karena keprihatinan akan pelanggaran terhadap Data Pribadi yang dapat dialami oleh setiap orang dan/atau badan hukum yang bermuara pada terlanggarnya hak asasi. Dengan demikian, perumusan aturan tentang Pelindungan Data Pribadi sangat diperlukan, karena adanya kebutuhan untuk melindungi hak individu di dalam masyarakat sehubungan dengan pemrosesan Data Pribadi baik yang dilakukan secara elektronik dan nonelektronik menggunakan perangkat olah data. Sehingga, pelindungan yang memadai dan komprehensif atas Data Pribadi akan mampu memberikan kepercayaan dan pelindungan masyarakat, di samping mampu menyediakan dan memberikan Data Pribadi yang diperlukan untuk berbagai kepentingan masyarakat, tanpa disalahgunakan atau melanggar hak pribadi yang bersifat privat. 118 Bahwa berdasarkan salah satu pertimbangan ratio legis di atas lahirlah UU 27/2022 a quo, yang sejatinya Undang-Undang ini memuat ketentuan-ketentuan antara lain standar Pelindungan Data Pribadi secara umum, baik yang diproses sebagian atau keseluruhan dengan cara elektronik dan nonelektronik, di mana masing-masing sektor dapat menerapkan Pelindungan Data Pribadi sesuai karakteristik sektor masing-masing. Namun, secara universal Pengaturan Data Pribadi mempunyai tujuan yang sama, yaitu antara lain melindungi dan menjamin hak dasar warga negara terkait dengan pelindungan diri pribadi, menjamin masyarakat untuk mendapatkan pelayanan dari Korporasi, Badan Publik, Pemerintah, dan Organisasi Internasional mendorong pertumbuhan ekonomi digital dan industri teknologi informasi dan komunikasi, serta mendukung peningkatan daya saing industri dalam negeri [vide Penjelasan Umum UU 27/2022]. Bahwa berkaitan dengan dalil Pemohon yang juga mempersoalkan pengecualian yang terdapat dalam ketentuan norma Pasal 2 ayat (2) UU 27/2022 di mana ketentuan norma tersebut menegaskan, bahwa Undang-Undang a quo tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Terhadap hal tersebut, Mahkamah berpendapat, bahwa dalam memahami maksud dari norma tersebut harus dipahami terlebih dahulu maksud dari pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga. Menurut Mahkamah, pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga adalah suatu bentuk kegiatan pemrosesan Data Pribadi yang hanya dilakukan dalam kegiatan pribadi dengan kata lain kegiatan tersebut dikategorikan sebagai kegiatan dalam ranah privat yang tentu saja kegiatan pemrosesan data tersebut bersifat non-komersial. Oleh karena itu, tanpa bermaksud menilai kasus yang dialami oleh Pemohon jika hal tersebut benar ada, kegiatan pemrosesan data pribadi dilakukan seperti yang didalilkan oleh Pemohon yaitu kegiatan pemrosesan data pribadi terhadap kegiatan bisnis atau e-commerce walaupun kegiatan tersebut adalah kegiatan pribadi atau rumah tangga dan kegiatan tersebut dilakukan di rumah, namun terhadap kegiatan pemrosesan data pribadi seperti ini tidak dapat dikecualikan sebagaimana diatur norma Pasal 2 ayat (2) UU 27/2022, melainkan termasuk kegiatan yang sudah termaktub dalam ketentuan yang diatur dalam Pasal 2 ayat (1) UU 27/2022. Dengan demikian, kegiatan pemrosesan data pribadi tersebut harus memenuhi syarat-syarat 119 dan tunduk serta patuh pada semua ketentuan dan kewajiban yang diatur dalam UU 27/2022. Bahwa demikian halnya dengan argumentasi Pemohon, norma Pasal 2 ayat (2) UU 27/2022 menyebabkan hilangnya pelindungan terhadap data pribadi orang perseorangan dalam kegiatan pribadi atau rumah tangga. Terhadap hal tersebut, menurut Mahkamah, justru dengan keberadaan norma Pasal 2 ayat (2) UU 27/2022, memberikan pelindungan terhadap kegiatan-kegiatan yang hanya dilakukan dalam lingkup pribadi atau keluarga atau dengan kata lain merupakan ranah privat. Norma a quo memberikan pelindungan hak privasi sebagai orang perseorangan dalam menggunakan data pribadi untuk terbatas pada tujuan pribadi ataupun rumah tangga yang tidak perlu mengikuti ketentuan sebagaimana diatur dalam UU 27/2022, seperti ketentuan mengenai pemenuhan prinsip pemrosesan data pribadi, dasar hukum dalam pemrosesan data pribadi, beserta kewajiban dan hal-hal lain yang bersifat membebani kegiatan pribadi atau rumah tangga, kecuali jika kegiatan pribadi atau rumah tangga tersebut ternyata disalahgunakan untuk kegiatan profit oriented (e-commerce), maka harus dipenuhi syarat-syarat sebagaimana diatur dalam UU 27/2022. Oleh karenanya menurut Mahkamah, norma Pasal 2 ayat (2) UU 27/2022 telah memberikan pelindungan kepada pemrosesan data pribadi yang dilakukan oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga, dan menurut Mahkamah hal ini tidak melanggar hak konstitusional untuk memperoleh pengakuan, jaminan, pelindungan dan kepastian hukum yang dilindungi dalam Pasal 28D ayat (1) UUD 1945. Apabila permohonan Pemohon agar Pasal 2 ayat (2) UU 27/2022 dikabulkan dan dinyatakan bertentangan dengan UUD 1945 dan tidak mempunyai kekuatan hukum mengikat maka hal ini justru akan menghilangkan pelindungan terhadap Data Pribadi sebagai hak privasi yang dimiliki oleh pemilik data, di samping akan menghilangkan batasan atau terminologi tentang Pengendali Data beserta unsur-unsur subjek hukumnya. Dengan demikian, dalil Pemohon berkenaan dengan inkonstitusionalitas norma Pasal 2 ayat (2) UU 27/2022 adalah tidak beralasan menurut hukum. [3.13] Menimbang bahwa berdasarkan pertimbangan hukum sebagaimana diuraikan di atas, Mahkamah berpendapat ketentuan norma Pasal 1 angka 4, Pasal 2 ayat (2) dan Pasal 19 UU 27/2022 telah ternyata tidak menimbulkan hilangnya hak atas pengakuan jaminan, perlindungan, dan kepastian hukum yang 120 adil serta perlakuan yang sama di hadapan hukum yang dijamin dalam UUD 1945 sebagaimana didalilkan Pemohon. Oleh karena itu, dalil-dalil Pemohon adalah tidak beralasan menurut hukum untuk seluruhnya. [3.14] Menimbang bahwa berkenaan dengan hal-hal lain dalam permohonan Pemohon tidak dipertimbangkan karena tidak ada relevansinya. 4. KONKLUSI Berdasarkan penilaian atas fakta dan hukum sebagaimana diuraikan di atas, Mahkamah berkesimpulan: [4.1] Mahkamah berwenang mengadili permohonan a quo; [4.2] Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo; [4.3] Pokok permohonan Pemohon tidak beralasan menurut hukum untuk seluruhnya. Berdasarkan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554), dan Undang- Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076); 5. AMAR PUTUSAN Mengadili: Menolak permohonan Pemohon untuk seluruhnya. Demikian diputus dalam Rapat Permusyawaratan Hakim oleh sembilan Hakim Konstitusi yaitu Anwar Usman selaku Ketua merangkap Anggota, Saldi Isra, Suhartoyo, Daniel Yusmic P. Foekh, Arief Hidayat, Enny Nurbaningsih, Manahan M.P. Sitompul, M. Guntur Hamzah, dan Wahiduddin Adams, masing-masing 121 sebagai Anggota, pada hari Selasa, tanggal empat, bulan April, tahun dua ribu dua puluh tiga, yang diucapkan dalam Sidang Pleno Mahkamah Konstitusi terbuka untuk umum pada hari Jumat, tanggal empat belas, bulan April, tahun dua ribu dua puluh tiga, selesai diucapkan pukul 14.12 WIB, oleh sembilan Hakim Konstitusi yaitu Anwar Usman selaku Ketua merangkap Anggota, Saldi Isra, Suhartoyo, Daniel Yusmic P. Foekh, Arief Hidayat, Enny Nurbaningsih, Manahan M.P. Sitompul, M. Guntur Hamzah, dan Wahiduddin Adams, masing-masing sebagai Anggota, dengan dibantu oleh Ria Indriyani sebagai Panitera Pengganti, serta dihadiri oleh Dewan Perwakilan Rakyat atau yang mewakili, dan Presiden atau yang mewakili. Tanpa dihadiri oleh Pemohon. KETUA, ttd. Anwar Usman ANGGOTA-ANGGOTA, ttd. Saldi Isra ttd. Suhartoyo ttd. Daniel Yusmic P. Foekh ttd. Arief Hidayat ttd. Enny Nurbaningsih ttd. Manahan M.P. Sitompul 122 ttd. M. Guntur Hamzah ttd. Wahiduddin Adams PANITERA PENGGANTI, ttd. Ria Indriyani