133/PUU-XXIV/2026

PUTUSAN NOMOR 133/PUU-XXIV/2026 DEMI KEADILAN BERDASARKAN KETUHANAN YANG MAHA ESA MAHKAMAH KONSTITUSI REPUBLIK INDONESIA, [1.1] Yang mengadili pengujian undang-undang pada tingkat pertama dan terakhir, menjatuhkan putusan dalam Permohonan Pengujian Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia, yang diajukan oleh: 1. Nama : Fairuz Najwa Sahara Tanjung Pekerjaan : Mahasiswa Alamat : Dusun Kujang RT/RW 003/002, Desa Kujang, Kecamatan Cikoneng, Kabupaten Ciamis, Jawa Barat Selanjutnya disebut sebagai -------------------------------------------------Pemohon I; 2. Nama : Muhammad Fakhri Hadisyah Putra Pekerjaan : Mahasiswa Alamat : Pesona Atlantis Blok L 07/17, RT/RW 013/002, Kelurahan Cikupa, Kecamatan Cikupa, Kabupaten Tangerang, Banten Selanjutnya disebut sebagai ------------------------------------------------Pemohon II; 3. Nama : Dela Puspita Ainnur Fadillah Pekerjaan : Mahasiswa Alamat : Cidodol RT/RW 003/006, Kelurahan Grogol Selatan, Kecamatan Kebayoran Lama, Jakarta Selatan, DKI Jakarta Selanjutnya disebut sebagai ------------------------------------------------Pemohon III; 4. Nama : Muhammad Rizky Fadhillah Pekerjaan : Mahasiswa Alamat : Babakan Borondong, RT/RW 003/004, Kelurahan Adiarsa Timur, Kecamatan Karawang Timur, Kabupaten Karawang, Jawa Barat 2 Selanjutnya disebut sebagai -----------------------------------------------Pemohon IV; Selanjutnya Pemohon I sampai dengan Pemohon IV disebut sebagai ---------------------- -------------------------------------------------------------------------------------------- para Pemohon; [1.2] Membaca permohonan para Pemohon; Mendengar keterangan para Pemohon; Memeriksa bukti-bukti para Pemohon; 2. DUDUK PERKARA [2.1] Menimbang bahwa para Pemohon telah mengajukan permohonan bertanggal 5 April 2026 yang diterima Kepaniteraan Mahkamah Konstitusi pada tanggal 8 April 2026 berdasarkan Akta Pengajuan Permohonan Pemohon Nomor 131/PUU/PAN.MK/AP3/04/2026 dan dicatat dalam Buku Registrasi Perkara Konstitusi Elektronik (e-BRPK) dengan Nomor 133/PUU-XXIV/2026 pada tanggal 9 April 2026, yang telah diperbaiki dengan permohonan bertanggal 25 April 2026 dan diterima Mahkamah pada tanggal 5 Mei 2026, pada pokoknya menguraikan hal-hal sebagai berikut. A. KEWENANGAN MAHKAMAH 1. Bahwa berdasarkan ketentuan yang termaktub dalam Pasal 24 ayat (2) UUD NRI 1945 yang menyatakan, "Kekuasaan kehakiman dilakukan oleh sebuah Mahkamah Agung dan badan peradilan yang berada di bawahnya dalam lingkungan peradilan umum, lingkungan peradilan agama, lingkungan peradilan militer, lingkungan peradilan tata usaha negara, dan oleh sebuah Mahkamah Konstitusi". 2. Bahwa selanjutnya ketentuan Pasal 24C ayat (1) UUD NRI 1945 yang menyatakan, "Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji Undang-Undang terhadap Undang-Undang Dasar, memutus sengketa kewenangan Lembaga negara yang kewenangannya diberikan oleh Undang-Undang Dasar, memutus pembubaran partai politik dan memutus perselisihan tentang Pemilihan Umum". 3 3. Bahwa Pasal 29 ayat (1) Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076) menyatakan, “Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk: a. menguji undang undang terhadap Undang-Undang Dasar Republik Indonesia Tahun 1945”. Dan juga telah dinyatakan dalam Pasal 10 ayat (1) Undang-Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah dengan Undang- Undang No. 8 Tahun 2011 tentang Perubahan Undang-Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi dan perubahan ketiga dengan Undang- Undang No. 7 Tahun 2020 tentang Perubahan Ketiga Undang-Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi (UU MK); 4. Bahwa berdasarkan ketentuan Pasal 9 ayat (1) Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 143, Tambahan Lembaran Negara Republik Indonesia Nomor 6801) menyatakan, "Dalam hal suatu Undang-Undang diduga bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, pengujiannya dilakukan oleh Mahkamah Konstitusi". 5. Bahwa Mahkamah Konstitusi juga menegaskan kewenangan pengujian materiil undang-undang terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 sebagaimana diatur dalam Pasal 2 ayat (1) Peraturan Mahkamah Konstitusi Nomor 07 Tahun 2025 tentang Tata Beracara dalam Perkara Pengujian Undang-Undang ("PMK 7/2025") yang menyatakan, "Objek Permohonan PUU adalah undang-undang dan Perppu". 6. Bahwa berdasarkan ketentuan yang telah dijabarkan, maka hal ini semakin mempertegas kewenangan Mahkamah Konstitusi sebagai satu-satunya lembaga yang berwenang untuk menguji konstitusionalitas suatu Undang- Undang terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945. 4 7. Bahwa permohonan a quo menguji Pasal 62 ayat (2) Undang-Undang No 27 tahun 2022 tentang Perlindungan Data Pribadi. Oleh karena itu Mahkamah Konstitusi memeriksa, mengadili, dan memutuskan Permohonan a quo. Pasal 62 Ayat (2) “Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional..” Bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945, yang selengkapnya berbunyi sebagai berikut: Pasal 28G Ayat (1) UUD 1945 “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang dibawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi..” B. KEDUDUKAN HUKUM (LEGAL STANDING) PEMOHON 1. Bahwa berdasarkan ketentuan Pasal 51 ayat (1) UU MK jo. Pasal 4 ayat (1) PMK 7/2025 dinyatakan bahwa: Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya dirugikan oleh berlakunya undang-undang yaitu: a. perorangan warga negara Indonesia atau kelompok orang yang mempunyai kepentingan sama; b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; d. lembaga negara. 2. Bahwa selanjutnya di dalam penjelasan Pasal 51 ayat (1) UU MK dinyatakan bahwa “Yang dimaksud dengan hak konstitusional adalah hak-hak yang diatur dalam UUD 1945”; 3. Bahwa dalam Pasal 4 ayat (2) Peraturan Mahkamah Konstitusi No. 07 Tahun 2025 tentang Pedoman Beracara Dalam Perkara Pengujian Undang-Undang ditentukan 5 syarat mengenai kerugian konstitusional, yakni sebagai berikut: 5 a) ada hak dan/atau kewenangan konstitutional Pemohon yang diberikan oleh UUD 1945; b) hak dan/atau kewenangan konstitusional tersebut dianggap telah dirugikan oleh berlakunya undang-undang atau Perppu yang dimohonkan pengujian; c) kerugian hak dan/atau kewenangan konstitusional tersebut bersifat spesifik (khusus) dan aktual, setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d) Ada hubungan sebab akibat antara kerugian hak dan/atau kewenangan konstitusional dengan undang-undang atau Perppu yang dimohonkan pengujian e) ada kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian konstitusional yang didalilkan tidak lagi atau tidak akan terjadi. 4. Bahwa setiap warga negara Indonesia adalah diri pribadi yang dilindungi Pasal 28G ayat (1) UUD 1945. Perlindungan diri pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD 1945 mencakup pula perlindungan data pribadi, karena data pribadi melekat langsung pada identitas, privasi, kehormatan, martabat, rasa aman, dan otonomi pribadi seseorang. 5. Bahwa Mahkamah Konstitusi dalam Putusan MK Nomor 151/PUU-XXII/2024 telah menegaskan bahwa perlindungan Data Pribadi merupakan bagian dari hak asasi manusia yang harus dijamin keamanannya oleh negara. Oleh karena itu, perlindungan Data Pribadi tidak dapat dilihat hanya sebagai isu teknis, administratif, ekonomi, atau perdagangan, melainkan sebagai bagian dari perlindungan hak konstitusional warga negara. 6. Bahwa berdasarkan alasan hukum di atas, kerja sama internasional yang berkaitan dengan pelindungan data pribadi harus ditempatkan dalam kerangka perlindungan hak asasi manusia sebagaimana dijamin dalam Pasal 28G ayat (1) UUD 1945. 7. Bahwa untuk menjelaskan adanya hak dan/atau kewenangan konstitusional Para Pemohon yang diberikan oleh UUD 1945 sebagaimana dimaksud dalam Pasal 4 ayat (2) PMK 7/2025, Para Pemohon merupakan perseorangan warga negara Indonesia (Bukti P-3) sekaligus Subjek Data Pribadi sebagaimana dimaksud dalam UU PDP. Dalam kehidupan sehari-hari, Data Pribadi Para 6 Pemohon telah berada dalam sistem administrasi negara, badan hukum publik, badan usaha milik negara, dan/atau institusi yang memiliki keterkaitan erat dengan negara. 8. Bahwa identitas kependudukan Para Pemohon yang termuat dalam Kartu Tanda Penduduk merupakan bagian dari Data Pribadi karena memuat informasi mendasar seperti Nomor Induk Kependudukan, nama lengkap, alamat, tempat dan tanggal lahir, serta data identitas lain yang menjadi dasar akses terhadap berbagai layanan publik maupun privat, termasuk layanan keuangan, kesehatan, keimigrasian, dan pemerintahan. 9. Bahwa identitas pribadi Para Pemohon yang berada dalam sistem negara atau institusi yang berkaitan erat dengan negara tidak hanya terdapat pada Kartu Tanda Penduduk, melainkan juga mencakup data lain sebagaimana diuraikan berikut: ● Pemohon I 1. Bahwa Pemohon I merupakan nasabah perbankan pada Bank Tabungan Negara (BTN) (Bukti P-4) yang secara langsung berada dalam lingkup subjek hukum yang dilindungi oleh rezim pelindungan data pribadi, sehingga secara rasional dan konstitusional memiliki keterkaitan sebab- akibat (causal verband) dengan berlakunya Pasal 62 ayat (2) Undang- Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terlebih dengan adanya informasi publik mengenai dugaan kebocoran data sekitar 370 ribu nasabah BTN (https://www.cnbcindonesia.com/ market/20240703105948-17-551355/data-370-ribu-nasabah-btn-bocor- ini-tanggapan-manajemen). Meskipun telah ditanggapi secara normatif oleh manajemen, tetap menunjukkan adanya kerentanan sistemik dalam tata kelola transfer dan pemrosesan data pribadi, termasuk potensi pengalihan data ke pihak lain atau yurisdiksi asing tanpa jaminan perlindungan yang setara. 2. Bahwa dalam konteks ini, Pemohon I secara potensial mengalami kerugian hak konstitusional sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI 1945, khususnya hak atas rasa aman dan perlindungan terhadap data pribadi, karena norma a quo membuka celah legitimasi bagi 7 pengendali data untuk melakukan transfer data lintas negara tanpa mekanisme pengawasan yang ketat dan akuntabel. ● Pemohon II 1. Bahwa Pemohon II merupakan pemegang paspor negara Republik Indonesia (Bukti P-5). Paspor merupakan dokumen negara yang memuat identitas pribadi, status kewarganegaraan, dan informasi keimigrasian yang digunakan dalam lalu lintas orang antar negara. Dengan demikian, Data Pribadi Pemohon II memiliki relevansi langsung dengan sistem administrasi keimigrasian, verifikasi identitas, pertukaran informasi, dan pemrosesan data lintas yurisdiksi. 2. Bahwa dalam hal ini Pemohon II secara potensial mengalami kerugian berkaitan dengan data paspor dan identitas keimigrasian. Apabila data tersebut diproses dalam kerja sama lintas negara tanpa standar perlindungan yang tegas, maka Pemohon II berpotensi mengalami kerugian berupa hilangnya kendali atas data identitas kewarganegaraan, data mobilitas, dan informasi keimigrasian yang melekat pada dirinya. ● Pemohon III 1. Bahwa Pemohon III merupakan pengguna layanan fasilitas kesehatan yang diselenggarakan oleh BPJS Kesehatan (Bukti P-6), yaitu badan hukum publik yang dibentuk berdasarkan peraturan perundang-undangan. Kedudukan BPJS Kesehatan sebagai badan hukum publik menempatkan pengelolaan Data Pribadi Pemohon III dalam ruang tanggung jawab negara. 2. Bahwa apabila data kesehatan diproses dalam skema kerja sama lintas negara tanpa batasan yang jelas, maka Pemohon III berpotensi mengalami kerugian berupa terbukanya informasi medis yang bersifat privat, profiling kesehatan, diskriminasi, atau penggunaan data medis untuk tujuan lain di luar pelayanan kesehatan. Kerentanan tersebut menunjukkan bahwa data kesehatan memerlukan standar perlindungan yang lebih ketat, terutama apabila ditempatkan dalam skema kerja sama internasional yang berada di luar yurisdiksi penuh Indonesia. Contoh konkret kerentanan sistem perlindungan data pribadi dalam layanan 8 kesehatan adalah terjadinya kebocoran data di BPJS kesehatan(https://www.menpan.go.id/site/berita-terkini/data-bpjs- kesehatan-diduga-bocor-menteri-tjahjo-dukung-kemkominfo-usut-tuntas), (https://www.tempo.co/arsip/data-penduduk-di-bpjs-kesehatan-bocor- bukti-lemahnya-perlindungan-data-pribadi-510693). ● Pemohon IV 1. Bahwa Pemohon IV merupakan nasabah pada Bank Syariah Indonesia (Bukti P-7) yang terdampak gangguan layanan akibat insiden serangan siber pada tahun 2023, yang menyebabkan akses terhadap layanan perbankan tidak dapat digunakan secara normal (Bukti P-8). Meskipun pihak BSI menyatakan bahwa data nasabah tetap aman, namun tidak terdapat jaminan transparansi dan kepastian mengenai perlindungan data pribadi Pemohon, sehingga menimbulkan ketidakpastian dan kerentanan terhadap keamanan data tersebut. Kondisi ini menimbulkan kerugian konstitusional bagi Pemohon, berupa terganggunya hak atas rasa aman serta adanya risiko penyalahgunaan data pribadi yang berada di luar kendali Pemohon. 2. Bahwa kerugian tersebut menjadi semakin serius dengan berlakunya Pasal 62 ayat (2) Undang-Undang Pelindungan Data Pribadi, yang membuka kemungkinan transfer data pribadi ke luar negeri tanpa jaminan perlindungan yang setara, sehingga berpotensi memperbesar risiko pelanggaran dan melemahkan perlindungan hukum terhadap data pribadi Pemohon. Dengan demikian, hak konstitusional Pemohon atas rasa aman dan perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD 1945 berpotensi dilanggar secara nyata dan berkelanjutan. 10. Bahwa dari seluruh uraian tersebut, dapat disimpulkan bahwa Para Pemohon bukan hanya warga negara secara umum, melainkan warga negara yang secara konkret Data Pribadinya telah berada dalam sistem negara, badan hukum publik, badan usaha milik negara, dan/atau institusi yang memiliki keterkaitan erat dengan negara. Keadaan tersebut menempatkan Para Pemohon sebagai pihak yang memiliki hubungan langsung dengan norma yang dimohonkan pengujian. 9 11. Bahwa negara, badan hukum publik, badan usaha milik negara, dan/atau institusi yang berkaitan erat dengan negara memiliki posisi yang dominan dalam menguasai, mengelola, memproses, dan/atau menentukan arah penggunaan Data Pribadi Para Pemohon. Sebaliknya, Para Pemohon sebagai Subjek Data Pribadi tidak selalu memiliki kemampuan yang memadai untuk mengetahui, mengawasi, menyetujui, menolak, atau membatasi pemrosesan Data Pribadi tersebut. 12. Bahwa Mahkamah Konstitusi pernah menyatakan pada pokoknya bahwa warga negara Indonesia yang aktivitas kesehariannya tidak terlepas dari penggunaan teknologi informasi yang terpaut dengan Data Pribadi, baik dalam bentuk elektronik maupun non-elektronik, serta Data Pribadi tersebut dikelola oleh pengendali data, prosesor data, maupun institusi negara untuk keperluan administrasi kependudukan dan pelayanan publik, memiliki kedudukan hukum untuk menguji UU PDP sebagaimana termuat dalam Putusan MK Nomor 151/PUU-XXII/2024 halaman 145-147. 13. Bahwa berdasarkan alasan hukum tersebut, Para Pemohon sebagai warga negara Indonesia yang Data Pribadinya juga diproses oleh institusi negara, badan hukum publik, badan usaha milik negara, dan/atau institusi yang memiliki keterkaitan erat dengan negara, memiliki kedudukan hukum yang sama untuk mengajukan permohonan a quo. 14. Bahwa Data Pribadi pada hakikatnya merupakan bagian yang tidak terpisahkan dari hak atas privasi yang bersifat fundamental dan memiliki dimensi perlindungan terhadap kehormatan, martabat, harta benda, serta rasa aman individu. Oleh karena itu, Data Pribadi harus dipandang sebagai hak konstitusional yang dijamin dalam Pasal 28G ayat (1) UUD 1945. 15. Bahwa di samping kedudukan Para Pemohon sebagai Subjek Data Pribadi, Para Pemohon juga memiliki perhatian hukum yang nyata dan beralasan terhadap isu perlindungan Data Pribadi, khususnya terkait kemungkinan dilakukannya transfer Data Pribadi lintas negara oleh negara. Perhatian tersebut telah diwujudkan dalam bentuk partisipasi aktif melalui penyampaian gagasan dan kritik terhadap kebijakan hukum yang berlaku. 10 16. Bahwa untuk menunjukkan adanya perhatian nyata tersebut, Pemohon I dan Pemohon II telah menulis dan menerbitkan artikel opini melalui kanal media daring Kumparan dengan judul “Adequacy Decision: Antara Kepentingan Geopolitik dan Jaminan Hak Konstitusional” (https://kumparan.com/adeaquacy- decision-antara-kepentingan-geopolitik-dan-jaminan-hak-konstitusional) serta “Data Pribadi Lintas Negara: Apa yang Sebenarnya Terjadi?” (https://kumparan.com/muhammad-fahri1741673310560542374/data-pribadi- lintas-negara-apa-yang-sebenarnya terjadi). Kedua artikel tersebut secara substansial mengkaji dan mengkritisi fenomena transfer Data Pribadi lintas negara sebagai konsekuensi dari globalisasi digital yang belum sepenuhnya diimbangi dengan kerangka hukum nasional yang komprehensif dan berorientasi pada perlindungan hak konstitusional warga negara. 17. Bahwa untuk menjelaskan adanya kerugian hak konstitusional sebagaimana dimaksud dalam Pasal 4 ayat (2) huruf b PMK 7/2025, Para Pemohon menegaskan bahwa kerugian tersebut timbul akibat berlakunya Pasal 62 ayat (2) UU PDP yang mengatur kerja sama internasional dalam rangka pelaksanaan UU PDP, namun tidak memberikan batasan yang jelas dan tegas dalam hal kerja sama internasional tersebut berkaitan dengan Data Pribadi warga negara. 18. Bahwa Pasal 62 ayat (2) UU PDP menyatakan: “Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional.” Norma tersebut terlalu umum karena hanya merujuk pada ketentuan peraturan perundang-undangan dan prinsip hukum internasional, tetapi tidak memberikan batasan yang jelas mengenai ruang lingkup kerja sama internasional, jenis Data Pribadi yang dapat diproses atau ditransfer, standar kesetaraan perlindungan negara penerima, persetujuan atau pemberitahuan kepada Subjek Data Pribadi, mekanisme pengawasan, akuntabilitas, serta mekanisme pemulihan apabila terjadi pelanggaran. 19. Bahwa ketiadaan batasan tersebut menimbulkan persoalan konstitusional karena kerja sama internasional yang berkaitan dengan Data Pribadi tidak boleh diperlakukan sebagai urusan administratif, teknis, atau perdagangan semata. Data Pribadi merupakan bagian dari hak atas perlindungan diri pribadi, sehingga 11 setiap kerja sama internasional yang menyangkut Data Pribadi warga negara harus ditempatkan dalam kerangka perlindungan hak asasi manusia sebagaimana dijamin oleh Pasal 28G ayat (1) UUD 1945. 20. Bahwa kerugian konstitusional Para Pemohon dalam perkara a quo tidak terletak pada telah terjadinya penyalahgunaan Data Pribadi secara faktual, melainkan pada terbukanya risiko konstitusional yang nyata, spesifik, dan dapat diperkirakan secara wajar akibat berlakunya Pasal 62 ayat (2) UU PDP yang belum memberikan batasan tegas terhadap kerja sama internasional yang berkaitan dengan Data Pribadi. 21. Bahwa Para Pemohon memiliki jenis Data Pribadi yang konkret dan berbeda- beda, yaitu data perbankan, data paspor, data kesehatan, dan data finansial. Seluruh data tersebut memiliki hubungan langsung dengan perlindungan diri pribadi, rasa aman, kehormatan, martabat, dan harta benda sebagaimana dijamin oleh Pasal 28G ayat (1) UUD 1945. 22. Bahwa kerugian tersebut bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi karena terdapat tiga keadaan yang saling berkaitan. Pertama, Data Pribadi Para Pemohon telah berada dalam sistem negara, badan hukum publik, badan usaha milik negara, dan/atau institusi yang memiliki keterkaitan erat dengan negara. Kedua, Pasal 62 ayat (2) UU PDP memberikan dasar umum bagi Pemerintah untuk melakukan kerja sama internasional dalam pelaksanaan UU PDP. Ketiga, telah terdapat kerja sama internasional yang memuat klausul mengenai pemindahan Data Pribadi keluar wilayah Indonesia. 23. Bahwa dengan adanya tiga keadaan tersebut, potensi kerugian Para Pemohon bukan merupakan spekulasi atau kekhawatiran abstrak semata, melainkan risiko yang lahir dari hubungan antara posisi Data Pribadi Para Pemohon, berlakunya norma Pasal 62 ayat (2) UU PDP, dan kebijakan konkret negara dalam kerja sama internasional yang berkaitan dengan data pribadi. 24. Bahwa potensi kerugian Para Pemohon menjadi semakin konkret dengan adanya Agreement Between the United States of America and the Republic of Indonesia on Reciprocal Trade, yang pada pokoknya memuat klausul mengenai kepastian kemampuan untuk memindahkan Data Pribadi keluar dari wilayah 12 Indonesia ke Amerika Serikat melalui pengakuan bahwa Amerika Serikat memberikan perlindungan Data Pribadi yang memadai menurut hukum Indonesia (Bukti P-9). 25. Bahwa keberadaan klausul tersebut menunjukkan bahwa isu pemindahan Data Pribadi lintas negara bukan lagi persoalan yang jauh, abstrak, atau hipotetis, melainkan telah menjadi bagian dari kebijakan konkret negara yang dapat berdampak terhadap Data Pribadi warga negara, termasuk Data Pribadi Para Pemohon. 26. Bahwa hubungan antara Data Pribadi Para Pemohon dengan kerja sama internasional tersebut terletak pada posisi negara sebagai pihak yang menguasai, mengelola, atau memiliki akses terhadap Data Pribadi Para Pemohon. Ketika negara melakukan kerja sama internasional dalam pelaksanaan UU PDP, maka Data Pribadi yang berada dalam sistem negara, badan hukum publik, badan usaha milik negara, dan/atau institusi terkait negara berpotensi menjadi objek pemrosesan, pertukaran, akses, atau transfer lintas negara. 27. Bahwa karena Pasal 62 ayat (2) UU PDP tidak memberikan kepastian hukum mengenai batasan yang tegas, jenis data, tujuan pemrosesan, standar perlindungan negara penerima, persetujuan Subjek Data Pribadi, pengawasan, dan mekanisme pemulihan, Para Pemohon kehilangan kepastian konstitusional mengenai bagaimana Data Pribadi mereka dilindungi apabila masuk dalam skema kerja sama internasional. 28. Bahwa hilangnya kepastian hukum tersebut merupakan bentuk kerugian konstitusional para pemohon terhadap hak atas perlindungan diri pribadi. Para Pemohon tidak dapat mengetahui secara pasti apakah Data Pribadinya dapat menjadi bagian dari kerja sama internasional, kepada pihak mana data tersebut dapat diberikan, untuk tujuan apa data tersebut digunakan, berapa lama data tersebut disimpan, bagaimana data tersebut dilindungi, dan mekanisme apa yang tersedia apabila terjadi penyalahgunaan. 29. Bahwa kerugian konstitusional Para Pemohon juga berupa hilangnya atau berkurangnya kendali atas Data Pribadi. Sejatinya, kendali atas Data Pribadi merupakan unsur penting dari perlindungan diri pribadi, karena tanpa kendali 13 tersebut seseorang tidak lagi memiliki kemampuan yang memadai untuk menentukan, membatasi, atau mengawasi penggunaan informasi yang melekat pada dirinya. 30. Bahwa kerugian konstitusional Para Pemohon juga berupa berkurangnya rasa aman. Apabila Data Pribadi Para Pemohon diproses, diakses, atau ditransfer ke luar yurisdiksi Indonesia tanpa standar perlindungan yang jelas, maka Para Pemohon berada dalam keadaan tidak aman karena data tersebut tidak sepenuhnya berada dalam jangkauan pengawasan hukum nasional Indonesia. 31. Bahwa dengan demikian, hubungan sebab akibat antara Pasal 62 ayat (2) UU PDP dan kerugian konstitusional Para Pemohon adalah jelas. Norma a quo yang terlalu general membuka ruang diskresi yang luas bagi Pemerintah dalam melakukan kerja sama internasional terkait Data Pribadi, sedangkan Data Pribadi Para Pemohon secara konkret telah berada dalam sistem yang dikelola atau berkaitan erat dengan negara dan berpotensi terdampak oleh kerja sama internasional tersebut. 32. Bahwa Para Pemohon tidak mendalilkan bahwa seluruh Data Pribadi Para Pemohon telah disalahgunakan secara faktual. Namun, dalam perkara yang berkaitan dengan Data Pribadi, perlindungan konstitusional tidak boleh menunggu sampai kebocoran, penyalahgunaan, atau transfer tanpa kendali benar-benar terjadi. Hal ini dikarenakan apabila Data Pribadi telah bocor, berpindah, diakses, atau disalahgunakan, maka pemulihannya sangat sulit dilakukan secara sempurna. 33. Bahwa dengan demikian, kerugian konstitusional Para Pemohon harus dipahami sebagai kerugian preventif-konstitusional, yaitu kerugian yang timbul karena negara membuka ruang pemrosesan atau transfer Data Pribadi lintas negara tanpa batas perlindungan hak asasi manusia yang tegas, padahal Data Pribadi tersebut melekat pada hak atas perlindungan diri pribadi dan rasa aman Para Pemohon. 34. Bahwa saat ini, dunia baru saja dikejutkan dengan kasus penculikan Presiden Venezuela yaitu Nicolas Maduro oleh pasukan Amerika Serikat dalam waktu singkat. Hal ini menunjukkan Amerika memang memiliki kemampuan intelijen di luar wilayah yurisdiksinya sehingga tidak peduli dengan kedaulatan suatu 14 bangsa (Bukti P-10). Untuk melancarkan operasi tersebut, patut diduga Amerika memiliki akses Data Pribadi dari Venezuela sehingga dapat melakukan profiling dan operasi yang presisi dengan alasan dalam rangka proses penegakan hukum; 35. Bahwa pada Desember 2025, peradilan yang membawahi persoalan konstitusional di Kenya telah memberikan putusan sela untuk menunda pelaksanaan perjanjian antara Amerika dan Kenya terkait transfer Data Pribadi terkait kesehatan (Bukti P-11). Amerika saat ini juga secara agresif menyerang negara lain bahkan sampai melakukan penculikan terhadap warga negara lain seperti di Venezuela. Hal ini merupakan bukti baru (novum) bahwa kekhawatiran global terhadap penyalahgunaan Data Pribadi oleh Pemerintah Amerika adalah tidak main-main. Peradilan Kenya saja “berani” untuk menunda perjanjian kerja sama antara Kenya dan Amerika. Uni Eropa berani membatalkan EU-US Privacy Shield. Maka, sudah seharusnya Indonesia melakukan hal yang sama; 36. Bahwa apabila permohonan a quo dikabulkan, maka kerugian konstitusional Para Pemohon tidak akan terjadi atau setidak-tidaknya dapat dicegah, karena Pasal 62 ayat (2) UU PDP akan memperoleh pemaknaan konstitusional bahwa kerja sama internasional dalam pelaksanaan UU PDP harus dilaksanakan dengan menempatkan perlindungan Data Pribadi sebagai bagian dari hak asasi manusia. Dengan pemaknaan tersebut, Pemerintah tidak dapat lagi memperlakukan kerja sama internasional terkait Data Pribadi sebagai persoalan administratif, teknis, atau perdagangan semata, melainkan wajib menundukkannya pada standar perlindungan hak konstitusional warga negara, termasuk perlindungan terhadap diri pribadi, rasa aman, kehormatan, martabat, harta benda, pengawasan, akuntabilitas, dan mekanisme pemulihan yang efektif. 37. Bahwa berdasarkan seluruh uraian tersebut, Para Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo karena Para Pemohon adalah perorangan warga negara Indonesia yang memiliki hak konstitusional berdasarkan Pasal 28G ayat (1) UUD 1945; hak tersebut dirugikan secara potensial oleh berlakunya Pasal 62 ayat (2) UU PDP; kerugian tersebut bersifat spesifik dan menurut penalaran yang wajar dapat dipastikan akan terjadi; 15 terdapat hubungan sebab akibat antara kerugian Para Pemohon dan norma yang diuji; serta apabila permohonan dikabulkan, kerugian konstitusional tersebut tidak lagi atau setidak-tidaknya tidak akan terjadi. C. ALASAN - ALASAN PERMOHONAN (POSITA) Dalam Permohonan 1. Bahwa perkara a quo pada dasarnya tidak sekadar menyangkut persoalan teknis administratif dalam kerja sama internasional, melainkan menyentuh secara langsung dimensi fundamental pelindungan hak konstitusional warga negara, khususnya yang berkaitan dengan pelindungan diri pribadi dan privasi dalam era digital. Dalam konteks ini, norma Pasal 62 ayat (2) Undang-Undang Pelindungan Data Pribadi justru menghadirkan persoalan mendasar, karena tidak memberikan batasan yang tegas mengenai bagaimana negara menempatkan dan melindungi data pribadi warga negara dalam skema kerja sama lintas negara. 2. Bahwa ketiadaan penegasan tersebut telah membuka ruang bagi negara untuk memperlakukan data pribadi sebagai objek kebijakan yang dapat dipindahkan dan dimanfaatkan dalam hubungan internasional tanpa kerangka perlindungan yang memadai. Akibatnya, data pribadi yang seharusnya melekat pada martabat dan otonomi individu berpotensi direduksi menjadi sekadar instrumen dalam lalu lintas kepentingan global, termasuk dalam rezim perdagangan digital dan perkembangan teknologi 3. Bahwa persoalan ini menjadi semakin serius ketika praktik penyelenggaraan negara justru menempatkan kerja sama internasional terkait data pribadi sebagai urusan administratif-eksekutif yang bersifat teknis semata. Penafsiran demikian tidak hanya menyempitkan makna pelindungan data pribadi, tetapi juga mengabaikan dimensi hak asasi manusia yang seharusnya menjadi landasan utama dalam setiap kebijakan yang berkaitan dengan data warga negara. 4. Bahwa oleh karena itu, pengujian terhadap norma a quo tidak dapat dilepaskan dari kerangka pelindungan hak asasi manusia, karena pada titik inilah letak problem konstitusional yang sesungguhnya, yaitu ketika negara diberikan ruang yang terlalu luas tanpa batasan yang jelas dalam mengelola dan mentransfer data pribadi warga negara. Dalam konteks demikian, penting untuk menegaskan 16 terlebih dahulu kedudukan pelindungan data pribadi dalam perspektif hak asasi manusia sebagai dasar pijakan dalam menilai konstitusionalitas norma a quo. 5. Bahwa pelindungan data pribadi dalam perspektif hukum hak asasi manusia merupakan bagian yang tidak terpisahkan dari hak atas privasi (right to privacy) yang telah diakui sebagai hak fundamental dalam hukum Internasional. Dalam hal ini, Pasal 17 International Covenant on Civil and Political Rights (ICCPR) menegaskan bahwa tidak seorang pun boleh menjadi objek intervensi sewenang- wenang atau tidak sah terhadap privasi, keluarga, maupun korespondensinya. Adapun isi pasal 17 ICCPR tersebut sebagai berikut: (1) No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honour and reputation. Artinya: Tidak seorang pun boleh menjadi sasaran campur tangan sewenang-wenang atau melanggar hukum terhadap privasi, keluarga, rumah, atau korespondensinya, maupun serangan yang melanggar hukum terhadap kehormatan dan reputasinya. (2) Everyone has the right to the protection of the law against such interference or attacks. Artinya: Setiap orang berhak atas perlindungan hukum terhadap campur tangan atau serangan semacam itu. ( Office of the High Commissioner for Human Rights (OHCHR), “International Covenant on Civil and Political Rights” (https://www.ohchr.org/en/instrumentsmechanisms/instruments/i nternationalcovenant-civil-and-political-rights). Dengan demikian, ketidakjelasan norma dalam Pasal 62 ayat (2) a quo berimplikasi pada terbukanya peluang terjadinya intervensi yang bersifat sewenang-wenang terhadap data pribadi seseorang, yang pada gilirannya bertentangan dengan prinsip non-arbitrary interference sebagaimana dijamin dalam Pasal 17 ICCPR. Selain itu, ketiadaan mekanisme perlindungan yang memadai dalam norma tersebut juga mengakibatkan tidak terpenuhinya hak setiap orang untuk memperoleh perlindungan hukum yang efektif atas data pribadinya. 6. Bahwa secara doktrinal, konsep privasi sebagaimana dikemukakan oleh Alan F. Westin menegaskan bahwa privasi adalah hak individu untuk menentukan 17 kapan, bagaimana, dan sejauh mana informasi mengenai dirinya dikomunikasikan kepada pihak lain. (Alan F. Westin, Privacy and Freedom: 1967). Doktrin ini menempatkan kontrol subjek data sebagai inti dari pelindungan privasi, sehingga setiap pemrosesan data pribadi, terlebih dalam konteks transfer lintas negara, wajib menjamin adanya persetujuan, transparansi, serta kendali yang efektif dari pemilik data. Bahwa dalam perspektif tersebut, negara berkewajiban untuk membentuk norma hukum yang secara tegas mengatur batasan, prosedur, dan mekanisme pengawasan terhadap setiap bentuk pemrosesan dan transfer data pribadi, agar tidak terjadi penyalahgunaan yang merugikan subjek data. Namun demikian, ketentuan Pasal 62 ayat (2) Undang- Undang Perlindungan Data Pribadi justru tidak memberikan kejelasan mengenai parameter kerja sama Internasional, baik terkait standar perlindungan negara penerima, mekanisme persetujuan subjek data, maupun jaminan pengawasan dan akuntabilitas 7. Bahwa ketiadaan pengaturan yang tegas dalam norma a quo telah menimbulkan ambiguitas yang berimplikasi pada hilangnya kontrol efektif dari subjek data atas informasi pribadinya, khususnya dalam situasi transfer data lintas batas negara. Kondisi demikian secara nyata bertentangan dengan doktrin privasi yang menempatkan kontrol individu sebagai elemen fundamental, serta membuka ruang bagi pemrosesan data yang tidak transparan dan berpotensi disalahgunakan. 8. Bahwa dalam kerangka prinsip negara hukum (rechtstaat), setiap pembentukan norma hukum wajib tunduk pada asas-asas fundamental, antara lain asas kepastian hukum (lex certa), kejelasan rumusan (clarity of norms), serta larangan multitafsir yang berpotensi menimbulkan kesewenang-wenangan dalam penerapannya. Prinsip ini merupakan elemen esensial dari negara hukum yang menuntut agar setiap norma dirumuskan secara tegas, jelas, dan dapat diprediksi (predictable), sehingga mampu memberikan perlindungan yang efektif terhadap hak-hak warga negara. Senada dengan hal tersebut, bahwa menurut Jimly Asshiddiqie dalam bukunya yang berjudul Konstitusi dan Konstitusionalisme Indonesia, prinsip negara hukum (rechtstaat) menuntut agar kekuasaan negara dibatasi dan dijalankan berdasarkan norma hukum yang 18 jelas, tegas, dan dapat diprediksi, guna mencegah tindakan sewenang-wenang serta menjamin perlindungan hak-hak warga negara (Jimly Asshiddiqie:2005). 9. Bahwa oleh karena itu, setiap norma undang-undang yang kabur, tidak lengkap, atau membuka ruang penafsiran yang terlalu luas, pada hakikatnya bertentangan dengan prinsip due process of law dan berpotensi mereduksi hak konstitusional warga negara. Ketentuan Pasal 62 ayat (2) Undang-Undang Perlindungan Data Pribadi tidak memberikan kejelasan yang memadai mengenai ruang lingkup, batasan, serta mekanisme kerja sama Internasional dalam pelindungan data pribadi, khususnya terkait syarat, prosedur, dan standar perlindungan dalam transfer data lintas negara, sehingga tidak menetapkan parameter yang tegas untuk menentukan keabsahan kerja sama maupun mekanisme pengawasan dan akuntabilitasnya. Implikasinya, norma a quo membuka ruang penafsiran yang luas (open legal policy) tanpa batasan yang terukur bagi pemerintah, yang berpotensi menimbulkan tindakan sewenangwenang dalam pengelolaan dan transfer data pribadi, padahal dalam perspektif negara hukum keleluasaan tersebut seharusnya tetap tunduk pada prinsip kepastian hukum dan tidak mengaburkan batasan norma yang menyangkut hak asasi manusia. Sehingga ambiguitas ini bertentangan dengan asas lex certa, menimbulkan multitafsir yang merugikan subjek data 10. Bahwa dalam doktrin pembatasan hak asasi manusia, sebagaimana dikemukakan oleh Aharon Barak dalam bukunya yang berjudul Proportionality: Constitutional Rights and Their Limitations dikenal adanya prinsip proporsionalitas (principle of proportionality) yang mensyaratkan bahwa setiap pembatasan terhadap hak harus memenuhi unsur tujuan yang sah (legitimate aim), kebutuhan (necessity), dan keseimbangan (proportionality) (Aharon Barak:2012). Dengan demikian, prinsip proporsionalitas berfungsi untuk memastikan bahwa setiap pembatasan hak tidak dilakukan secara sewenang- wenang, melainkan harus dapat dibenarkan secara rasional, diperlukan, dan seimbang, sehingga tetap menjamin perlindungan hak asasi manusia secara optimal. Dalam kaitannya dengan norma a quo, Pasal 62 ayat (2) UU Perlindungan Data Pribadi tidak memberikan jaminan bahwa kerja sama Internasional dalam transfer data pribadi dilakukan dengan memenuhi prinsip- 19 prinsip tersebut, sehingga berpotensi menimbulkan pelanggaran hak atas privasi secara tidak proporsional. 11. Bahwa berdasarkan seluruh uraian teoritis dan doktrinal tersebut di atas, menjadi jelas bahwa pelindungan data pribadi, termasuk dalam konteks kerja sama Internasional, harus ditempatkan sebagai bagian dari pelindungan hak asasi manusia dan kedaulatan negara. Oleh karena itu, ketentuan Pasal 62 ayat (2) UU Perlindungan Data Pribadi yang tidak secara eksplisit menegaskan dimensi hak asasi manusia dalam kerja sama Internasional telah menimbulkan ketidakpastian hukum serta membuka ruang bagi pelanggaran hak konstitusional warga negara, khususnya hak atas pelindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI 1945. 12. Bahwa norma Pasal 62 ayat (2) Undang-Undang Pelindungan Data Pribadi memberikan ruang bagi dilakukannya transfer data pribadi ke luar wilayah yurisdiksi Indonesia, namun tanpa disertai dengan batasan yang tegas mengenai standar perlindungan, mekanisme pengawasan, serta jaminan keamanan data di negara penerima. Ketiadaan pengaturan tersebut menyebabkan norma a quo bersifat terbuka dan tidak terkendali, sehingga berpotensi menimbulkan kerentanan serius terhadap perlindungan data pribadi warga negara. 13. Bahwa dalam praktik perlindungan data di dalam negeri sendiri, masih menunjukkan kelemahan perlindungan data yang nyata. Berbagai kasus kebocoran data, termasuk yang melibatkan data peserta BPJS, menunjukkan bahwa mekanisme pengamanan dan pengawasan data di Indonesia belum sepenuhnya efektif. Dalam kondisi demikian, pemberian ruang untuk mentransfer data pribadi ke luar negeri justru memperluas risiko, karena data yang telah keluar dari yurisdiksi nasional berada di luar jangkauan kontrol hukum negara. Dengan kata lain, negara belum mampu menjamin perlindungan data di dalam wilayahnya sendiri, namun melalui norma a quo justru membuka kemungkinan bagi data tersebut untuk dipindahkan ke luar yurisdiksi, yang secara faktual melemahkan posisi negara dalam menjalankan kewajiban perlindungan terhadap warga negara. 20 14. Bahwa di era Artificial Intelligence (“AI”) permasalahan data pribadi menjadi isu yang sangat serius dibahas. Amerika juga telah dengan tegas menjadi negara yang berada dalam perlombaan teknologi AI. Amerika juga telah memiliki agenda “Winning The Race: America’s AI Action Plan” (Bukti P-12). Di satu sisi, AI yang dikembangkan oleh Amerika melindungi hak individual sebagaimana dinyatakan: “AI systems will play a profound role in how we educate our children, do our jobs, and consume media. It is essential that these systems be built from the ground up with freedom of speech and expression in mind, and that U.S. government policy does not interfere with that objective. We must ensure that free speech flourishes in the era of AI and that AI procured by the Federal government objectively reflects truth rather than social engineering agendas.” “High-quality data has become a national strategic asset as governments pursue AI innovation goals and capitalize on the technology’s economic benefits. Other countries, including our adversaries, have raced ahead of us in amassing vast troves of scientific data. The United States must lead the creation of the world’s largest and highest quality AI-ready scientific datasets, while maintaining respect for individual rights and ensuring civil liberties, privacy, and confidentiality protections.” 15. Bahwa dalam konteks tersebut, norma Pasal 62 ayat (2) UU PDP justru menjadi krusial untuk diuji, karena norma a quo merupakan norma yang sangat umum dan terbuka, yang tidak membedakan secara tegas antara kerja sama internasional yang bersifat administratif biasa dengan kerja sama internasional yang berimplikasi langsung pada transfer, akses, penggunaan, atau pemrosesan data pribadi lintas negara, padahal perkembangan teknologi digital dan AI justru memperbesar risiko penggunaan data pribadi secara lintas yurisdiksi 16. Bahwa akan tetapi, praktik pelaksanaannya justru Amerika menjadi semakin agresif kepada negara lain melalui perang yang bahkan menggunakan teknologi AI dalam menjalankan operasinya. Mustahil AI bisa bekerja dengan baik dalam perang tanpa mengolah data pribadi, sehingga apa yang terjadi saat ini dan apa yang dilakukan oleh Amerika merupakan suatu paradoks yang nyata 21 17. Bahwa oleh karena itu, data pribadi tidak dapat dipandang sekadar sebagai objek administratif ataupun komoditas dalam lalu lintas perdagangan digital, melainkan sesuatu yang melekat pada pribadi seseorang dan karena itu merupakan bagian dari pelindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI 1945, sehingga segala bentuk kerja sama internasional yang membuka kemungkinan transfer data pribadi lintas negara harus dibaca dalam perspektif hak asasi manusia dan bukan semata dalam perspektif teknis perdagangan 18. Bahwa di tengah kondisi tersebut, ternyata Presiden Prabowo Subianto dengan mudahnya mengakui Amerika memiliki pelindungan data pribadi yang setara (adequacy) di saat Indonesia belum memiliki pelindungan data pribadi yang memadai. Pemerintah memandang persoalan transfer data pribadi ke negara lain bukan merupakan persoalan HAM atau kedaulatan, melainkan hanya merupakan persoalan administratif eksekutif yang bersifat teknis seperti perdagangan. Oleh karena itu, persoalan transfer data pribadi hanya dianggap sebagai bentuk “digital trade” dalam perjanjian dagang (Bukti P-9). Padahal substansi data pribadi adalah permasalahan HAM sebagaimana dimaksud Pasal 28G ayat (1) UUD NRI 1945, bahkan secara teoritis juga merupakan permasalahan kedaulatan bukan hanya persoalan trade atau objek dagang belaka 19. Bahwa Mahkamah Konstitusi telah menegaskan bahwa pelindungan data pribadi merupakan perwujudan hak privasi dan bagian dari hak asasi manusia, sehingga pengaturan mengenai transfer data pribadi lintas negara tidak dapat direduksi hanya sebagai urusan teknis, prosedural, atau dagang semata, sehingga penafsiran Pemerintah yang menempatkan persoalan tersebut semata dalam kerangka administratif-eksekutif merupakan bentuk penyempitan makna konstitusional terhadap pelindungan data pribadi itu sendiri 20. Bahwa jika Indonesia tidak mengakui pelindungan data pribadi rakyatnya sebagai HAM dan tidak memiliki kedaulatan dalam dunia digital, maka jika terjadi kondisi geopolitik yang tegang, misalkan terjadi perang, Indonesia dapat dengan mudah diserang melalui permainan intelejensi Amerika terhadap seluruh rakyat Indonesia melalui pengolahan data pribadi 22 21. Bahwa kekhawatiran tersebut menjadi semakin beralasan karena Pasal 62 ayat (2) UU PDP sama sekali tidak menetapkan kriteria yang jelas mengenai bentuk kerja sama internasional yang diperbolehkan, standar pelindungan minimum di negara tujuan, jaminan pemulihan hukum bagi subjek data pribadi, maupun mekanisme pengawasan yang harus ditempuh, sehingga ketidakjelasan norma a quo membuka ruang penafsiran yang terlalu luas bagi Pemerintah untuk bertindak tanpa pagar konstitusional yang cukup 22. Bahwa berdasarkan hal tersebut, maka persoalan transfer data pribadi tidak dapat dikategorikan sebagai persoalan “remeh” yang tidak berkaitan dengan HAM dan kedaulatan 23. Bahwa bahkan menurut perkembangan rezim pelindungan data modern, penilaian mengenai kecukupan pelindungan data di negara lain bukanlah formalitas administratif belaka, melainkan harus terkait dengan adanya tingkat pelindungan yang memadai, hak yang dapat ditegakkan, dan upaya pemulihan hukum yang efektif bagi subjek data pribadi, sehingga isu adequacy pada hakikatnya adalah persoalan hak dan bukan sekadar persoalan administratif 24. Bahwa faktanya, Uni Eropa telah terlebih dahulu tidak mengakui Amerika memiliki pelindungan data pribadi yang setara (adequacy) melalui pembatalan EU-US Privacy Shield yang diputuskan oleh pengadilan Uni Eropa. Menyusul langkah Eropa, saat ini Kenya sedang dalam proses yang sama yang mempertanyakan apakah perjanjian kerja sama antara Kenya dan Amerika yang melibatkan transfer data pribadi memerlukan persetujuan parlemen atau tidak, sebagaimana dinyatakan: “It is Mr. Omtatah’s case that there ought to be Parliamentary approval of the treaty with public participation which was not the case; that there is the question of data privacy and protection since medical data is a private right which can only be shared with the affected person’s permission. In the circumstances of the Framework, he argues, personal sensitive data will be affected in violation of the Constitution and the Data Protection Act.” (halaman 7) “In this application, the court is called upon to assess and determine whether there is real danger so that by the time the petition is determined, some of the issues raised will have been rendered superfluous by the impugned Framework. The 23 petitioner has argued that the Framework threatens to violate the Constitution in many respects. These include, Parliamentary oversight through the Treaty Making and Ratification Act, public participation and consultation; public finance and management principles, devolution and the right to privacy, among others. The petitioner postulates that these threatened violations will have crystalized should the court finally find the Framework unconstitutional and unlawful.” (halaman 16) hingga kemudian peradilan Kenya memberikan putusan sela sebagai berikut: 1. a conservatory order is hereby granted restraining the respondents on behalf of the government of Kenya from implementing, operationalizing and or executing the Cooperation Framework Between the Government of the Republic of Kenya and the Government of the United States of America on Health signed on 4th December 2025, in its entirety, pending the hearing and determination of the petition. 2. Given the urgency of this matter, this petition be processed and heard on priority basis. (Bukti P-10) 25. Bahwa pengalaman hukum perbandingan tersebut tidak dimaksudkan untuk memindahkan hukum asing ke dalam hukum Indonesia, melainkan untuk menegaskan bahwa persoalan transfer data pribadi lintas negara pada hakikatnya diperlakukan sebagai persoalan hak fundamental, privasi, dan pelindungan konstitusional yang serius, bukan sekadar isu dagang, sehingga menjadi semakin tidak beralasan apabila Pemerintah di Indonesia justru memperlakukannya hanya sebagai kebijakan teknis perdagangan 26. Bahwa fakta - fakta tersebut membuktikan mulai dari Uni Eropa hingga negara global south tidak menelan mentah - mentah setiap proposal dari Amerika. Berbeda dengan Indonesia yang senantiasa menerima begitu saja apa yang disampaikan Amerika, sehingga seperti negara yang tidak berdaulat. Bahkan, Indonesia mendegradasi permasalahan transfer data pribadi sebatas persoalan teknis administratif eksekutif saja. Tidak berdaulatnya Indonesia dipertegas dalam Article 3.3 RTA yang menyatakan: 24 “Indonesia shall communicate with the United States before entering into a new digital trade agreement with another country that jeopardizes essential U.S. interests.” 27. Bahwa dalam konteks tersebut, Pasal 62 ayat (2) UU PDP justru dapat dipergunakan atau setidak-tidaknya dijadikan landasan normatif bagi tindakan negara yang berdampak langsung terhadap hak privasi warga negara, tanpa terlebih dahulu diberi batasan yang tegas oleh pembentuk undang-undang, sehingga norma a quo berpotensi membuka ruang bagi lahirnya tindakan negara yang memperlakukan data pribadi warga negara sebagai objek lalu lintas data lintas negara tanpa jaminan konstitusional yang memadai 28. Bahwa berdasarkan hal tersebut, maka Indonesia akan berada di bawah Kenya dan Uni Eropa. Indonesia akan kesulitan mendapatkan kedudukan yang setara (adequacy) dengan Uni Eropa dan Kenya, sehingga data pribadi rakyat Indonesia hanya menjadi objek eksploitasi yaitu hanya sebagai objek benda perdagangan atas nama digital trade 29. Bahwa kondisi demikian menunjukkan bahwa problem konstitusional dalam perkara a quo bukan terletak pada adanya kerja sama internasional itu sendiri, melainkan pada tidak adanya penegasan dalam Pasal 62 ayat (2) UU PDP bahwa kerja sama internasional di bidang pelindungan data pribadi wajib ditempatkan dalam kerangka pelindungan hak asasi manusia dan pelindungan diri pribadi warga negara, sehingga negara dapat dengan mudah mereduksi data pribadi menjadi sekadar objek perdagangan digital 30. Bahwa kondisi tersebut sangat merugikan hak konstitusional Pemohon dikarenakan data pribadi Pemohon hanya dianggap sebagai objek perdagangan oleh Pemerintah. Padahal, objek tersebut bukan milik Pemerintah, sehingga sudah sepatutnya menempatkan persoalan transfer data pribadi sebagai permasalahan HAM 31. Bahwa keadaan demikian sangat merugikan Pemohon sebagai subjek data pribadi, karena Pemohon tidak memperoleh kepastian bahwa data pribadinya hanya akan ditransfer atau dibuka aksesnya ke negara lain apabila benar-benar terdapat jaminan pelindungan yang layak, pembatasan yang sah, akuntabilitas yang jelas, dan pelindungan yang tidak merugikan hak konstitusional Pemohon, 25 sementara dalam kehidupan sehari-hari data pribadi Pemohon diproses baik oleh institusi negara maupun oleh ekosistem digital yang terhubung lintas negara 32. Bahwa permasalahan tersebut terjadi karena Pasal 62 ayat (2) UU PDP yang menjadi landasan hukum atas lahirnya RTA Amerika – Indonesia tidak menegaskan kerja sama internasional yang berkaitan dengan pelindungan data pribadi berkenaan dengan hak asasi manusia. Akibatnya, Pemerintah mengesampingkan Pasal 11 UUD NRI 1945 juncto Pasal 10 UU Perjanjian Internasional yang menyatakan: “Pengesahan perjanjian internasional dilakukan dengan undang-undang apabila berkenaan dengan: a. masalah politik, perdamaian, pertahanan, dan keamanan negara; b. perubahan wilayah atau penetapan batas wilayah negara Republik Indonesia; c. kedaulatan atau hak berdaulat negara; d. hak asasi manusia dan lingkungan hidup; e. pembentukan kaidah hukum baru; f. pinjaman dan/atau hibah luar negeri.” 33. Bahwa dalam konteks hubungan internasional, Indonesia juga terlibat dalam berbagai perjanjian perdagangan, termasuk Regional Trade Agreements (RTA), yang mendorong arus data lintas negara. Namun demikian, norma Pasal 62 ayat (2) tidak mensyaratkan adanya jaminan bahwa negara penerima memiliki tingkat perlindungan data yang setara (adequate level of protection). Akibatnya, terdapat kemungkinan bahwa data pribadi warga negara Indonesia diproses di negara dengan standar perlindungan yang lebih rendah, tanpa adanya mekanisme pengawasan yang efektif dari negara. Kondisi ini menimbulkan risiko hilangnya kendali negara atas data pribadi warga negaranya, serta membuka potensi pelanggaran yang tidak dapat dipulihkan secara efektif. 34. Oleh karena itu, norma a quo tidak hanya menciptakan ketidakpastian hukum, tetapi juga gagal memberikan jaminan perlindungan yang memadai terhadap hak atas rasa aman dan perlindungan diri pribadi, sebagaimana dijamin dalam Pasal 28G ayat (1) UUD 1945. 35. Bahwa oleh karena Pasal 62 ayat (2) UU PDP tidak menempatkan secara tegas kerja sama internasional terkait pelindungan data pribadi dalam kerangka hak asasi manusia, maka Pemerintah memperoleh ruang untuk menganggap perjanjian yang berdampak langsung pada data pribadi rakyat cukup diletakkan dalam ranah administratif-eksekutif biasa, padahal substansinya menyentuh hak 26 konstitusional warga negara dan seharusnya tunduk pada standar pengawasan yang lebih ketat 36. Bahwa Pemerintah kemudian menafsirkan persoalan transfer data pribadi hanya sebagai urusan administratif eksekutif, sehingga melandasi kepada Pasal 11 UU Perjanjian Internasional yang tidak memerlukan persetujuan dari DPR melalui UU sebagaimana dinyatakan: Pasal 11 UU Perjanjian Internasional “Pengesahan perjanjian internasional yang materinya tidak termasuk materi sebagaimana dimaksud Pasal 10, dilakukan dengan keputusan presiden.” Penjelasan Pasal 11 UU Perjanjian Internasional “Pengesahan perjanjian melalui keputusan presiden dilakukan atas perjanjian yang mensyaratkan adanya pengesahan sebelum memulai berlakunya perjanjian, tetapi memiliki materi yang bersifat prosedural dan memerlukan penerapan dalam waktu singkat tanpa mempengaruhi peraturan perundang-undangan nasional. Jenis-jenis perjanjian yang termasuk dalam kategori ini, di antaranya adalah perjanjian induk yang menyangkut kerja sama di bidang ilmu pengetahuan dan teknologi, ekonomi, teknik, perdagangan, kebudayaan, pelayaran niaga, penghindaran pajak berganda dan kerja sama perlindungan penanaman modal, serta pengesahan yang bersifat teknis” 37. Bahwa penafsiran demikian jelas mereduksi persoalan pelindungan data pribadi menjadi urusan teknis biasa, padahal Mahkamah Konstitusi telah menegaskan bahwa pelindungan data pribadi tidak dapat dilihat hanya sebagai isu teknis, melainkan juga sebagai bagian dari tertib hukum yang mewujudkan pelindungan hak asasi manusia, sehingga konstruksi Pemerintah yang menempatkan transfer data pribadi lintas negara hanya sebagai urusan administratif-eksekutif pada hakikatnya bertentangan dengan makna konstitusional Pasal 28G ayat (1) UUD NRI 1945 38. Bahwa karena RTA dianggap hanya sebagai urusan administratif eksekutif, maka pada akhirnya pengesahannya hanya cukup melalui Keputusan Presiden (“Keppres”). Akan tetapi, karena Keppres tersebut tidak bersifat konkrit- individual, maka pada akhirnya Pemohon kesulitan untuk mengajukan gugatan kepada PTUN dikarenakan Pasal 1 angka 9 Undang – Undang Nomor 51 Tahun 2009 tentang Perubahan Kedua Atas Undang-Undang Nomor 5 Tahun 1986 27 Tentang Peradilan Tata Usaha Negara (“UU PTUN”) sudah membatasi ruang lingkup dari KTUN sebagaimana dinyatakan: “Keputusan Tata Usaha Negara adalah suatu penetapan tertulis yang dikeluarkan oleh badan atau pejabat tata usaha negara yang berisi tindakan hukum tata usaha negara yang berdasarkan peraturan perundangundangan yang berlaku, yang bersifat konkret, individual, dan final, yang menimbulkan akibat hukum bagi seseorang atau badan hukum perdata.” 39. Bahwa keadaan tersebut semakin memperlihatkan bahwa kekaburan Pasal 62 ayat (2) UU PDP bukan hanya menimbulkan problem teoritis, melainkan juga problem praktis dalam pelindungan hak konstitusional warga negara, karena ketika persoalan transfer data pribadi lintas negara ditarik ke wilayah administratif-eksekutif semata, rakyat kehilangan ruang pengawasan demokratis sekaligus menghadapi kesulitan memperoleh upaya hukum yang memadai 40. Bahwa hal tersebut jelas bertentangan dengan Pasal 11 UUD NRI 1945, sehingga merugikan hak konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD NRI 1945. Bahkan, dalam pemberitaan, DPR telah menyatakan: “Kita belum mengetahui perjanjian detail secara teknis, kerja sama data sama Amerika Serikat. Itu kan satu sisi kita sebagai DPR, tugasnya hanya mengawasi dan menyetujui,” kata Abdullah sebagaimana keterangan tertulis di Jakarta, Selasa (23/9), seperti dilansir Antara.” (https://www.hukumonline.com/berita/a/soaltransfer-data-pribadi-ke-as--dpr- klaim-hanya-mengawasi-dan-menyetujuilt68d39c22681eb/) 41. Bahwa keadaan tersebut memperlihatkan secara nyata bagaimana DPR sebagai lembaga perwakilan rakyat justru tersisih dari proses pengawasan dan persetujuan terhadap kerja sama internasional yang berdampak luas terhadap hak warga negara, padahal persoalan transfer data pribadi lintas negara secara langsung menyentuh pelindungan diri pribadi dan rasa aman warga negara, sehingga secara konstitusional tidak layak dipandang sebagai urusan teknis biasa 42. Bahwa faktanya RTA Amerika-Indonesia ditandatangani tanpa ada mekanisme persetujuan DPR. Bahkan, sama sekali tidak ada konsultasi kepada DPR sebagaimana yang diwajibkan dalam Pasal 2 UU Perjanjian Internasional yang menyatakan: “Menteri memberikan pertimbangan politis dan mengambil 28 langkah-langkah yang diperlukan dalam pembuatan dan pengesahan perjanjian internasional, dengan berkonsultasi dengan Dewan Perwakilan Rakyat dalam hal yang menyakut kepentingan publik.” Fakta adanya RTA menjadi bukti bahwa fungsi check and balances tidak terjadi. Fungsi pengawasan DPR telah “mati suri”, sehingga secara implisit / diam-diam memberikan persetujuan tanpa adanya mekanisme formal yang ditempuh. Pada akhirnya rakyat yang dirugikan karena tidak mengetahui data pribadi apa yang ditransfer dan bagaimana pelindungan yang diberikan. Sedangkan, RTA sudah menggunakan frasa wajib (“Indonesia shall”), sehingga Indonesia terikat kepada kewajiban untuk mengakui Amerika dalam kondisi apapun 43. Bahwa dengan demikian, ketidakjelasan Pasal 62 ayat (2) UU PDP bukan hanya telah mendorong reduksi makna pelindungan data pribadi menjadi persoalan teknis administratif, tetapi juga telah berdampak pada tergesernya prinsip checks and balances dalam pengambilan keputusan yang menyentuh hak konstitusional rakyat, sehingga norma a quo nyata-nyata membuka ruang tindakan negara yang berpotensi merugikan Pemohon dan warga negara Indonesia pada umumnya 44. Bahwa Pasal 62 ayat (2) UU PDP yang tidak menempatkan kerja sama internasional terkait pelindungan data pribadi sebagai persoalan HAM telah jelas bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945 karena telah nyata RTA sangat merugikan rakyat Indonesia. Permasalahan ini juga tidak dapat dilepaskan dari adanya penafsiran hukum yang menyatakan transfer data pribadi adalah persoalan administratif eksekutif yang menjadi dasar Pemerintah tanpa ketentuan yang jelas melangkahi DPR 45. Bahwa penafsiran yang mereduksi persoalan transfer data pribadi sebagai persoalan administratif-eksekutif semata juga bertentangan dengan Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 yang telah menegaskan bahwa pelindungan data pribadi tidak dapat dilihat hanya sebagai isu teknis, melainkan juga sebagai bagian dari tertib hukum yang mewujudkan pelindungan hak asasi manusia, sehingga semakin menegaskan bahwa Pasal 62 ayat (2) UU PDP harus dibaca dalam kerangka hak asasi manusia dan bukan hanya dalam kerangka kerja sama administratif biasa 29 46. Bahwa padahal Mahkamah Konstitusi telah dengan jelas dan tegas menyatakan dalam Putusan MK No.151/PUU-XXII/2024: “Dalam era digital, data pribadi menjadi semakin rentan dengan tindakan pencurian, kebocoran, dan penyalahgunaan oleh pihak yang tidak bertanggung jawab sehingga untuk mewujudkan pelindungan data pribadi yang kuat dan dapat memastikan keamanan serta privasi individu dalam penggunaan teknologi digital, maka perlindungan data pribadi tidak dapat dilihat hanya sebagai isu dalam tataran teknis, namun juga mencakup pengaturan dalam ranah tertib hukum sebagai perwujudan perlindungan hak asasi manusia. Terlebih, berbagai sektor kehidupan telah memanfaatkan sistem teknologi informasi, seperti penyelenggaraan electronic commerce (e- commerce) dalam sektor perdagangan/bisnis, electronic education (education) dalam bidang pendidikan, electronic health (e-health) dalam bidang kesehatan, electronic government (egovernment) dalam bidang pemerintahan, serta teknologi informasi yang dimanfaatkan dalam bidang lainnya [vide Penjelasan Umum UU 27/2022]. Oleh karenanya, perlindungan data pribadi merupakan hak asasi manusia yang harus dijamin keamanannya oleh negara.” Dengan demikian, mustahil menempatkan kerja sama internasional terkait transfer data pribadi bukan sebagai persoalan HAM. Tidak beralasan hukum Pemerintah tidak mengindahkan Pasal 2 dan Pasal 10 UU Perjanjian Internasional 47. Bahwa konstruksi konstitusional tersebut juga menegaskan bahwa perlindungan terhadap data pribadi warga negara tidak boleh dilemahkan oleh kekaburan norma ataupun oleh penafsiran Pemerintah yang terlalu sempit, sebab ketika data pribadi telah diposisikan sebagai bagian dari hak asasi manusia, maka setiap tindakan negara yang membuka kemungkinan pemindahan, akses, penggunaan, atau pemrosesan data pribadi lintas negara harus tunduk pada pembacaan yang menjamin perlindungan diri pribadi warga negara secara maksimal 48. Bahwa konstruksi tersebut juga diperkuat oleh pandangan hakim konstitusi yang mulia Guntur Hamzah yang menyatakan: “Hakim Guntur menegaskan perlunya menempatkan konstitusi sebagai landasan utama seluruh kebijakan digital bahwa Transformasi digital tidak boleh mengurangi hak konstitusional warga negara. Konstitusi harus menjadi kompas dalam tata kelola digital. Guntur juga menyoroti pentingnya perlindungan hak privasi, akuntabilitas algoritmik, kebebasan berekspresi di ruang digital, serta peran negara sebagai regulator dan fasilitator ekosistem digital yang demokratis.” 30 https://www.mkri.id/berita/konstitusionalisme-digital-dan-dinamika-sistem- pemilu-jadiisu-konferensi-nasional-aphtn-han-iv-24224 49. Bahwa oleh karena itu, seluruh rangkaian keadaan tersebut menunjukkan bahwa Pasal 62 ayat (2) UU PDP telah membuka ruang penafsiran yang terlalu luas, menurunkan derajat pelindungan data pribadi dari persoalan hak asasi manusia menjadi urusan teknis administratif, menggeser pengawasan demokratis DPR, serta merugikan hak konstitusional Pemohon atas pelindungan diri pribadi dan rasa aman, sehingga norma a quo harus dinyatakan bertentangan dengan UUD NRI 1945 sepanjang tidak dimaknai secara konstitusional 50. Bahwa dengan adanya fakta telah ditandatangani RTA serta berdasarkan alasan hukum dan konstitusional tersebut di atas, maka adalah beralasan hukum untuk menyatakan Pasal 62 ayat (2) UU PDP bertentangan dengan Undang- Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional serta dengan menempatkan Pelindungan Data Pribadi berkenaan dengan hak asasi manusia.” Perbandingan Dengan Negara Lain 51. Bahwa dalam perkembangan hukum kontemporer, pelindungan data pribadi juga berkaitan erat dengan konsep kedaulatan digital (digital sovereignty), yang menempatkan data pribadi sebagai bagian dari kedaulatan negara yang wajib dilindungi. Dalam konteks ini, data pribadi tidak dapat diposisikan semata-mata sebagai objek ekonomi atau komoditas perdagangan, melainkan sebagai bagian dari hak dasar warga negara yang memiliki dimensi strategis bagi keamanan nasional. Oleh karena itu, kerja sama Internasional yang berkaitan dengan transfer data pribadi harus ditempatkan dalam kerangka pelindungan hak asasi manusia dan kedaulatan negara. Sebagaimana tercantum dalam kebijakan resmi European Commission dalam European Strategy for Data, data tidak semata-mata diposisikan sebagai komoditas ekonomi, melainkan sebagai 31 bagian dari kedaulatan strategis (data sovereignty) yang harus tetap berada dalam kontrol individu dan negara. Bahkan dalam konteks transfer lintas negara, pertukaran data hanya dapat dilakukan sepanjang memenuhi prinsip keadilan, keamanan, serta kesesuaian dengan nilai dan kepentingan negara. 52. Bahwa dalam praktik hukum Internasional, pelindungan data pribadi telah diatur secara ketat, salah satunya melalui General Data Protection Regulation (GDPR) pasal 45 ayat (1) yang mensyaratkan bahwa transfer data pribadi ke luar yurisdiksi hanya dapat dilakukan apabila negara penerima memiliki tingkat pelindungan yang setara (adequate level of protection). Adapun isi pasal 45 ayat (1) GDPR tersebut sebagai berikut: “A transfer of personal data to a third country or an international organisation may take place where the Commission has decided that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection. Such a transfer shall not require any specific authorisation.” Artinya: “Pengalihan data pribadi ke negara ketiga atau organisasi Internasional dapatdilakukan jika Komisi telah memutuskan bahwa negara ketiga, wilayah, atau satu atau lebih sektor tertentu di dalam negara ketiga tersebut, atau organisasi Internasional yang bersangkutan menjamin tingkat perlindungan yang memadai. Pengalihan tersebut tidak memerlukan otorisasi khusus. (https://gdpr-info.eu/chapter-11/) 53. Bahwa dalam praktik hukum Internasional, khususnya sebagaimana tercermin dalam General Data Protection Regulation (GDPR) Uni Eropa, dikenal prinsip “adequate level of protection”, yang di mana transfer data pribadi ke negara lain hanya dapat dilakukan apabila negara penerima menjamin tingkat perlindungan data yang pada pokoknya setara dengan standar perlindungan di negara asal. Prinsip ini dimaksudkan untuk mencegah terjadinya penurunan tingkat perlindungan (downgrading of protection) terhadap data pribadi subjek data akibat perbedaan rezim hukum antar negara. Bahwa sekalipun GDPR bukan merupakan hukum positif yang berlaku di Indonesia, prinsip “adequate level of protection” tersebut mencerminkan perkembangan hukum global (global best practices) dalam rezim pelindungan data pribadi yang menekankan pentingnya 32 perlindungan yang efektif dan berkelanjutan terhadap data pribadi, termasuk dalam konteks transfer lintas batas negara. Bahwa dengan tidak ditegaskannya persyaratan adanya tingkat perlindungan yang setara di negara tujuan transfer data, ketentuan Pasal 62 ayat (2) Undang-Undang Perlindungan Data Pribadi berpotensi menimbulkan ketidakpastian hukum serta membuka ruang terjadinya pelanggaran terhadap hak konstitusional warga negara atas perlindungan data pribadi, khususnya apabila data tersebut dialihkan ke negara yang tidak memiliki standar perlindungan yang memadai. Oleh karena itu, norma a quo patut dipandang tidak memberikan jaminan perlindungan yang optimal terhadap hak atas privasi sebagai bagian dari hak asasi manusia, sehingga bertentangan dengan prinsip negara hukum yang menjunjung tinggi perlindungan hak asasi manusia sebagaimana dijamin dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945. 54. Bahwa sebagai acuan negara yang menganut sistem hukum civil law, Belanda yang dalam hal ini sudah terintegrasi dengan GDPR dimana menerapkan prosedur yang ketat pada transfer data ke luar negeri dan hanya diizinkan jika negara tujuan telah mendapatkan Adequacy Decision atau keputusan kesetaraan dari komisi Eropa 55. Bahwa otoritas perlindungan data Belada secara aktif mengawasi transfer data tidak boleh dilakukan jika terdapat resiko akses massal oleh otoritas keamanan di negara tujuan tanpa pengawasan yudisial, sebagaimana prinsip dalam Article 45 GDPR: “A transfer of personal data to a third country or an international organisation may take place where the commission has decided that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection. Such a transfer shall not require any specific authorisation” Artinya: “Transfer data pribadi ke negara ketiga atau organisasi internasional dapat dilakukan jika Komisi telah memutuskan bahwa negara ketiga tersebut, suatu wilayah atau satu atau lebih sektor tertentu di dalam negara ketiga tersebut, atau organisasi internasional yang bersangkutan menjamin tingkat 33 perlindungan yang memadai. Transfer tersebut tidak memerlukan otorisasi khusus lainnya.” 56. Bahwa ketatnya prosedur transfer data di Belanda tersebut menjadi sangat relevan ketika disandingkann dengan ancaman degradasi perlindungan data dalam Pasal 62 ayat 2 UU Nomor 27 Tahun 2022 yang mengecualikan hak-hak subjek data demi kepentingan pertahanan dan keamanan nasional tanpa parameter yang terukur 57. Bahwa dengan perbandingan ini menunjukkan bahwa sistem di Belanda meletakkan beban pembuktian aman atau setidaknya sebuah negara di tangan pengendalian data dan otoritas, sementara UU PDP Indonesia cenderung meletakkan risiko kerugian data di tangan subjek (warga negara) karena ketiadaan mekanisme uji kesetaraan yang rigid dan partisipatif 58. Bahwa perbandingan ini menunjukkan adanya kontradiksi hukum yang dimana Belanda memastikan bahwa perlindungan ada untuk data bahkan dalam isu keamanan, sementara Pasal 62 ayat 2 UU PDP justru berpotensi memutus rantai perlindungan tersebut atas nama kedaulatan yang tidak ada ukurannya 59. Bahwa dengan tidak adanya standar yang setara dengan model Belanda dalam UU PDP dapat mengakibatkan perlindungan diri pribadi warga negara Indonesia sebagaimana dijamin pasal 28G ayat 1 UUD 1945 menjadi bersifat ilusif saat data tersebut keluar dari wilayah kedaulatan digital Indonesia 60. Bahwa oleh karena itu, Pemohon berpendapat bahwa tanpa adanya batasan yang jelas mengenai apa yang dimaksud Pasal 62 ayat 2, maka mekanisme transfer data Internasional di Indonesia tidak melakukan cara yang terjamin keamanannya dengan akhirnya melanggar hak atas perlindungan diri pribadi Pemohon sebagaimana dijamin Pasal 28G ayat 1 UUD 1945 61. Bahwa sebagai perbandingan sesama negara berkembang, Brazil melalui Lei Geral de Proteção de Dados (LGPD) juga menetapkan standar yang lebih tinggi di kawasannya yakni Amerika Latin yang dalam hal ini juga memberikan sebuah pelajaran konstistusional, sebagaimana negara Brazil tidak semata-mata keamanan nasional sebagai sebuah alasan yang bisa membuat celah untuk penguasa melanggar privasi bagi warga negaranya. Hal ini dijelaskan secara eksplisit dalam Article 4 Paragraph (1) LGDP, yang berbunyi: 34 “§ 1º O tratamento de dados pessoais previsto no inciso III [segurança pública, defesa nacional, segurança do Estado] será regido por legislação específica, que deverá prever medidas proporcionais dan necessárias para a salvaguarda do interesse público e dos direitos e liberdades fundamentais.” Artinya: “Ayat (1) Pemrosesan data pribadi untuk tujuan (keamanan publik, pertahanan nasional, keamanan negara) wajib diatur oleh perundang-undangan khusus, yang harus menetapkan langkah-langkah yang proporsional dan diperlukan untuk melindungi kepentingan publik serta hak-hak dan kebebasan dasar.” 62. Bahwa melalui ketentuan tersebut, Brazil secara tegas mengatur bahwa pengecualian demi keamanan nasional tidak bersifat otomatis menjadikan alasan untuk memberikan data pribadi secara kepentingan yang tepat, namun dalam kondisi ini harus memiliki landasan hukum yang khusus untuk wajib memuat jaminan perlindungan hak-hak dasar warga negaranya 63. Bahwa hal demikian sangat kontras jika bersanding dengan Pasal 62 ayat 2 UU Nomor 27 Tahun 2022 di Indonesia yang secara instan mengecualikan kewajiban Pengendalian data prribadi hanya dengan menyebutkan diksi “kepentingan pertahanan dan keamanan nasional” tanpa adanya mandat untuk ada undangundang khusus yang menjamin hak warga negara sebagai subjek data dalam situasi tersebut; 64. Bahwa diperkuat juga dalam Article 33 LGPD (Brazil), transfer data internasional hanya diperbolehkan dalam kondisi tertentu yang sangat spesifik, di antaranya: “I - to countries or international organizations that provide a level of protection of personal data identical to that provided for in this Law;” Terjemah: “I - ke negara atau organisasi internasional yang memberikan tingkat perlindungan data pribadi yang identik dengan yang diatur dalam Undang- Undang ini 65. Bahwa keberhasilan Brazil dalam mengimplementasikan LGPD tidak terlepas dari peran Autoridade Nacional de Proteção de Dados (ANPD) sebagai otoritas pengawas yang memiliki independensi teknis dan administratif untuk mengawasi kepatuhan, termasuk oleh lembaga pemerintah 35 66. Bahwa dalam Article 55-A LGPD, ANPD didirikan dengan status sebagai badan administrasi publik federal yang memiliki otonomi teknis, di mana salah satu tugas utamanya adalah mengawasi pemrosesan data yang dilakukan oleh otoritas publik: “Art. 55-A. Fica criada, sem aumento de despesa, a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública federal, dotada de autonomia técnica e decisória, com jurisdição em todo o território nacional dan sede no Distrito Federal.” Artinya: “Pasal 55-A. Telah dibentuk, tanpa adanya penambahan pengeluaran, Otoritas Pelindungan Data Nasional (Autoridade Nacional de Proteção de Dados - ANPD), sebuah organ administrasi publik federal, yang diberkati dengan otonomi teknis dan pengambilan keputusan, dengan yurisdiksi di seluruh wilayah nasional dan berkedudukan di Distrik Federal.” 67. Bahwa peran krusial ANPD dalam konteks keamanan nasional diatur dalam Article 55-J section IV, yang memberikan kewenangan kepada ANPD untuk memberikan pendapat teknis dan mengawasi pemrosesan data, bahkan yang dilakukan oleh negara, guna memastikan kepatuhan terhadap hak-hak subjek data: “IV - zelar pela observância dos segredos comercial e industrial, bem como pela proteção de dados pessoais e do sigilo das informações quando previsto em lei;” Artinya: “IV - menjaga kepatuhan terhadap rahasia dagang dan industri, serta pelindungan data pribadi dan kerahasiaan informasi sebagaimana yang diatur dalam undang-undang;” 68. Bahwa di Brazil, ANPD berfungsi sebagai gerbang yang memastikan bahwa pengecualian demi keamanan nasional dalam Pasal 4 LGPD tidak disalahgunakan, sementara dalam struktur UU PDP Indonesia, lembaga otoritas pelindungan data masih berada di bawah kendali eksekutif (pemerintah) yang berpotensi menimbulkan konflik kepentingan 69. Bahwa ketiadaan otoritas yang independen dan otonom di Indonesia sebagaimana model ANPD di Brazil mengakibatkan pengecualian dalam Pasal 62 ayat (2) UU PDP menjadi tidak terkendali, karena pihak yang menetapkan 36 pengecualian (Pemerintah) adalah pihak yang sama yang melakukan pemrosesan data demi “keamanan nasional”; 70. Bahwa ketiadaan aturan khusus mengenai Undang-undang khusus yang protektif dalam Pasal 62 ayat 2 UU PDP dapat mengakibatkan adanya kekosongan hukum dan multitafsir terkait bagaimana hak warga negara dilindungi saat negara mengakses datanya yang mana hal tersebut sangat riskan mengancam hak atas rasa perlindungan pribadi warga negara yang diatur dalam Pasal 28G ayat (1) UUD 1945 71. Bahwa dengan hal ini Pemohon berpendapat bahwa rumusan dari Pasal 62 ayat (2) UU PDP saat ini sangat rentan disalahgunakan sebagai “tameng” bagi otoritas untuk melakukan pemrosesan data secara sewenang-wenang tanpa adanya parameter yang proporsional sebagaimana yang telah diwajibkan pada hukum negara Brazil yang juga memiliki tantangan keamanan kompleks mampu menjamin adanya perlindungan dalam legislasi khusus untuk keamanan nasional dan seharusnya secara konstitusional indonesia tidak boleh memberikan standar yang rendah dan mengabaikan hak asasi setiap warganya 72. Bahwa keberadaan Pasal 62 ayat (2) UU PDP bersifat adanya pengecualian yang menyeluruh tanpa hadirnya pengawasan independen dan mandat jaminan hak dalam undang-undang khusus, hal ini telah menciptakan ketidakpastian hukum yang merugikan kepentingan konstitusional Pemohon 73. Bahwa dalam memperkuat permohonan ini, Pemohon menyajikan perbandingan hukum dengan negara Belanda dan Brazil untuk menjadikan acuan bahwa standar perlindungan data dalam UU PDP Indonesia saat ini tertinggal dari konsensus hukum global yang menjamin hak asasi manusia 74. Bahwa perbedaan fundamental ini menunjukkan bahwa di Belanda dan Brazil penetapan negara yang aman dilakukan oleh lembaga yang mengawasi dengan memiliki independensi teknis, namun dalam Pasal 62 ayat 2 UU PDP Indonesia yang dimaksud dengan “kepentingan pertahanan dan keamanan nasional” ini justru belum terselenggarakan dengan jelas yang mana hal ini mengancam hak atas perlindungan diri Pemohon sesuai Pasal 28G ayat (1) UUD 1945 75. Bahwa berdasarkan perbandingan dengan negara Belanda dan Brazil, Pemohon memohon kepada Mahkamah Konstitusi untuk menyatakan bahwa 37 Pasal 62 ayat (2) UU PDP adalah inkonstitusional sepanjang tidak dimaknai dengan standar pengawasan peradilan yang independen dan tingkat perlindungan yang dijamin dalam konstitusi. PETITUM Berdasarkan alasan-alasan hukum dan konstitusional di atas, maka para Pemohon dalam hal ini memohon kepada Majelis Hakim Mahkamah Konstitusi Republik Indonesia untuk dapat memutus hal-hal sebagai berikut: 1. Menyatakan mengabulkan permohonan Para Pemohon untuk seluruhnya; 2. Menyatakan Pasal 62 ayat (2) Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820) bertentangan dengan Undang- Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Kerja sama Internasional dalam pelindungan Data Pribadi hanya dapat dilakukan sepanjang menjamin tingkat pelindungan yang setara atau lebih tinggi dari standar pelindungan Data Pribadi di Indonesia, dilakukan dengan persetujuan Subjek Data Pribadi, serta dalam hal tertentu tunduk pada mekanisme pengawasan sesuai dengan prinsip pelindungan hak asasi manusia.” 3. Memerintahkan pemuatan Putusan dalam Berita Negara Republik Indonesia; Atau apabila Majelis Hakim Mahkamah Konstitusi Republik Indonesia berpendapat lain mohon putusan yang seadil-adilnya (ex aequo et bono). [2.2] Menimbang bahwa untuk membuktikan dalilnya, para Pemohon mengajukan alat bukti yang diberi tanda Bukti P-1 sampai dengan Bukti P-12, sebagai berikut: 1. Bukti P-1 : Fotokopi Undang-Undang Nomor 27 Tahun 2022 Tentang Perlindungan Data Pribadi; 2. Bukti P-2 : Fotokopi Undang-Undang Dasar Negara Republik Indonesia Tahun 1945; 3. Bukti P-3 : Fotokopi Kartu Tanda Penduduk (KTP) atas nama para Pemohon; 4. Bukti P-4 : Fotokopi Rekening BTN atas nama Pemohon I; 38 5. Bukti P-5 : Fotokopi Paspor atas nama Pemohon II; 6. Bukti P-6 : Fotokopi BPJS atas nama Pemohon III; 7. Bukti P-7 : Fotokopi Buku Rekening BSI atas nama Pemohon IV; 8. Bukti P-8 : Fotokopi Press Release Pemulihan Layanan BSI; 9. Bukti P-9 : Fotokopi Agreement Between The United States Of America And The Republic Of Indonesia On Reciprocal Trade (“RTA”); 10. Bukti P-10 : Fotokopi Berita Penculikan Presiden Venezuela; 11. Bukti P-11 : Fotokopi Putusan Sela Kenya; 12. Bukti P-12 : Fotokopi Winning The Race: America’s AI Action Plan. [2.3] Menimbang bahwa untuk mempersingkat uraian dalam putusan ini, segala sesuatu yang terjadi di persidangan merujuk Berita Acara Persidangan yang merupakan satu kesatuan yang tidak terpisahkan dengan putusan ini. 3. PERTIMBANGAN HUKUM Kewenangan Mahkamah [3.1] Menimbang bahwa berdasarkan Pasal 24C ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 (selanjutnya disebut UUD NRI Tahun 1945), Pasal 10 ayat (1) huruf a Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir kali dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554, selanjutnya disebut UU MK), dan Pasal 29 ayat (1) huruf a Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076), Mahkamah berwenang, antara lain, mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap UUD NRI Tahun 1945. [3.2] Menimbang bahwa oleh karena permohonan para Pemohon adalah permohonan pengujian konstitusionalitas undang-undang, in casu norma Pasal 62 ayat 39 (2) Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820, selanjutnya disebut UU 27/2022) terhadap UUD NRI Tahun 1945, maka Mahkamah berwenang mengadili permohonan a quo. Kedudukan Hukum Pemohon [3.3] Menimbang bahwa berdasarkan Pasal 51 ayat (1) UU MK beserta Penjelasannya, yang dapat mengajukan permohonan pengujian undang-undang terhadap UUD NRI Tahun 1945 adalah mereka yang menganggap hak dan/atau kewenangan konstitusionalnya yang diberikan oleh UUD NRI Tahun 1945 dirugikan oleh berlakunya suatu undang-undang, yaitu: a. perorangan warga negara Indonesia (termasuk kelompok orang yang mempunyai kepentingan sama); b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; atau d. lembaga negara; Dengan demikian, Pemohon dalam pengujian undang-undang terhadap UUD NRI Tahun 1945 harus menjelaskan terlebih dahulu: a. kedudukannya sebagai Pemohon sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK; b. ada tidaknya kerugian hak dan/atau kewenangan konstitusional yang diberikan oleh UUD NRI Tahun 1945 yang diakibatkan oleh berlakunya undang-undang yang dimohonkan pengujian dalam kedudukan sebagaimana dimaksud pada huruf a. [3.4] Menimbang bahwa sejak Putusan Mahkamah Konstitusi Nomor 006/PUU- III/2005 yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 31 Mei 2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007 yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 20 September 2007 serta putusan- putusan selanjutnya, Mahkamah telah berpendirian bahwa kerugian hak dan/atau 40 kewenangan konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: a. adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD NRI Tahun 1945; b. hak dan/atau kewenangan konstitusional tersebut oleh Pemohon dianggap dirugikan oleh berlakunya undang-undang yang dimohonkan pengujian; c. kerugian konstitusional tersebut harus bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. adanya hubungan sebab-akibat antara kerugian dimaksud dan berlakunya undang- undang yang dimohonkan pengujian; e. adanya kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian konstitusional seperti yang didalilkan tidak akan atau tidak lagi terjadi. [3.5] Menimbang bahwa berdasarkan uraian ketentuan Pasal 51 ayat (1) UU MK dan syarat-syarat kerugian hak dan/atau kewenangan konstitusional sebagaimana diuraikan pada Paragraf [3.3] dan Paragraf [3.4] di atas, selanjutnya Mahkamah akan mempertimbangkan kedudukan hukum Pemohon yang pada pokoknya sebagai berikut: 1. Bahwa Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV mengajukan pengujian norma Pasal 62 ayat (2) UU 27/2022 yang menyatakan sebagai berikut: “Kerja sama internasional dalam rangka pelaksanaan Undang-Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional.” 2. Bahwa Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV menjelaskan memiliki hak konstitusional antara lain sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. 3. Bahwa Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV adalah perseorangan warga negara Indonesia yang dibuktikan dengan kepemilikan Kartu Tanda Penduduk (KTP) [vide Bukti P-3] dengan data pribadi yang dikelola oleh negara. Dalam hal ini, Pemohon I adalah nasabah pada Bank Tabungan Negara [vide Bukti P-4], Pemohon II adalah pemegang paspor negara Republik Indonesia [vide Bukti P-5], Pemohon III adalah pengguna layanan fasilitas kesehatan yang 41 diselenggarakan oleh BPJS Kesehatan [vide Bukti P-6], sedangkan Pemohon IV adalah nasabah pada Bank Syariah Indonesia [vide Bukti P-7]. 4. Bahwa Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV menjelaskan anggapan kerugian hak konstitusional akibat berlakunya norma Pasal 62 ayat (2) UU 27/2022 sebagai berikut: a. Bahwa Pemohon I sebagai nasabah Bank Tabungan Negara mengetahui adanya informasi publik mengenai dugaan kebocoran data sekitar 370 ribu nasabah Bank Tabungan Negara. Hal ini menunjukkan adanya kerentanan sistemik dalam tata kelola transfer dan pemrosesan data pribadi, termasuk potensi pengalihan data ke bank lain atau yurisdiksi asing tanpa jaminan perlindungan yang setara. Oleh karena itu, norma Pasal 62 ayat (2) UU 27/2022 merugikan hak konstitusional Pemohon I secara potensial karena norma pasal tersebut membuka celah legitimasi bagi pengendali data untuk melakukan transfer data lintas negara tanpa mekanisme pengawasan yang ketat dan akuntabel; b. Bahwa Pemohon II sebagai pemegang paspor negara Republik Indonesia mengalami kerugian hak konstitusional secara potensial karena data paspor dan identitas keimigrasian Pemohon II diproses dalam kerja sama lintas negara tanpa standar perlindungan yang tegas, sehingga menyebabkan hilangnya kendali atas data identitas kewarganegaraan, data mobilitas, dan informasi keimigrasian yang melekat pada diri Pemohon II; c. Bahwa Pemohon III sebagai pengguna layanan fasilitas kesehatan yang diselenggarakan oleh BPJS Kesehatan berpotensi mengalami kerugian berupa terbukanya informasi medis yang bersifat privat, profiling kesehatan, diskriminasi, atau penggunaan data medis untuk tujuan lain di luar pelayanan kesehatan. Kerentanan tersebut menunjukkan bahwa data kesehatan memerlukan standar perlindungan yang lebih ketat, terutama apabila ditempatkan dalam skema kerja sama internasional yang berada di luar yurisdiksi Indonesia; d. Bahwa Pemohon IV sebagai nasabah Bank Syariah Indonesia terkena dampak gangguan layanan akibat insiden serangan siber pada tahun 2023 yang menyebabkan akses terhadap layanan perbankan tidak dapat digunakan 42 secara optimal [vide Bukti P-8]. Hal ini menimbulkan ketidakpastian dan kerentanan terhadap keamanan data, sehingga menimbulkan kerugian hak konstitusional Pemohon IV berupa terganggunya hak atas rasa aman serta adanya risiko penyalahgunaan data pribadi yang berada di luar kendali Pemohon IV. e. Bahwa menurut Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV, berlakunya Pasal 62 ayat (2) UU 27/2022 membuka kemungkinan transfer data pribadi ke luar negeri tanpa jaminan perlindungan yang setara, sehingga berpotensi memperbesar risiko pelanggaran dan melemahkan perlindungan hukum terhadap data pribadi Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV. Terlebih, berlakunya norma pasal dimaksud yang mengatur kerja sama internasional dalam rangka pelaksanaan UU 27/2022 tidak memberikan batasan yang jelas dan tegas mengenai kerja sama internasional yang berkaitan dengan data pribadi warga negara, karena norma tersebut hanya merujuk pada ketentuan peraturan perundang-undangan dan prinsip hukum internasional tanpa memberikan batasan yang jelas mengenai ruang lingkup kerja sama internasional, jenis data pribadi yang dapat diproses atau ditransfer, standar kesetaraan perlindungan negara penerima, persetujuan atau pemberitahuan kepada subjek data pribadi, mekanisme pengawasan, akuntabilitas, serta mekanisme pemulihan apabila terjadi pelanggaran. f. Bahwa menurut Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV, kerugian hak konstitusional tersebut bukan terletak pada telah terjadinya penyalahgunaan data pribadi secara faktual, namun kerugian dimaksud bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi karena data tersebut, berupa data perbankan, data paspor, data kesehatan, dan data finansial berada dalam sistem negara. Di sisi lain, norma Pasal 62 ayat (2) UU 27/2022 memberikan dasar kepada pemerintah untuk melaksanakan kerja sama internasional dalam pelaksanaan UU 27/2022. Dalam konteks ini, potensi kerugian hak konstitusional Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV menjadi semakin konkret dengan adanya Agreement between the United States of America and the Republic of Indonesia on Reciprocal Trade, yang pada pokoknya memuat klausul 43 mengenai kepastian kemampuan untuk memindahkan data pribadi dari wilayah Indonesia ke Amerika Serikat melalui pengakuan bahwa Amerika Serikat memberikan perlindungan data pribadi yang memadai menurut hukum Indonesia. Hal tersebut menimbulkan keadaan yang tidak aman karena tidak diketahui secara pasti apakah data pribadi Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV dapat menjadi bagian kerja sama internasional, kepada pihak mana data tersebut dapat diberikan, untuk tujuan apa data tersebut digunakan, berapa lama data tersebut disimpan, bagaimana data tersebut dilindungi, dan mekanisme apa yang tersedia apabila terjadi penyalahgunaan. Oleh karena itu, menurut Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV, kerugian hak konstitusional dimaksud tidak akan terjadi apabila norma Pasal 62 ayat (2) UU 27/2022 dimaknai sebagaimana petitumnya. Berdasarkan seluruh uraian yang dikemukakan dalam menjelaskan kedudukan hukum di atas, menurut Mahkamah, Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV telah dapat menguraikan kualifikasinya sebagai perseorangan warga negara Indonesia. Dalam hal ini, Pemohon I dan Pemohon IV sebagai nasabah perbankan, Pemohon II sebagai pemegang paspor Republik Indonesia, dan Pemohon III sebagai peserta BPJS Kesehatan, yang memiliki hak konstitusional atas perlindungan diri pribadi dan hak untuk memperoleh rasa aman yang dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Hak dimaksud secara potensial dapat dirugikan karena berlakunya norma Pasal 62 ayat (2) UU 27/2022 yang dapat menyebabkan transfer data pribadi Pemohon I, Pemohon II, Pemohon III, dan Pemohon IV, berupa data finansial perbankan, data kesehatan, dan data paspor di luar wilayah hukum Negara Republik Indonesia ketika negara melakukan kerja sama internasional, tanpa diketahui oleh Pemohon I sampai dengan Pemohon IV, sejauh apa data pribadi tersebut digunakan dan bagaimana jaminan perlindungannya. Oleh sebab itu, Pemohon I sampai dengan Pemohon IV, telah dapat membuktikan adanya hubungan sebab-akibat (causal verband) berkaitan dengan anggapan kerugian hak konstitusional yang potensial akan terjadi akibat berlakunya norma Pasal 62 ayat (2) UU 27/2022 yang dimohonkan pengujian. Oleh karena itu, apabila permohonan a quo dikabulkan oleh Mahkamah maka anggapan kerugian hak konstitusional dimaksud tidak akan terjadi. Dengan demikian, terlepas dari terbukti atau tidaknya persoalan 44 konstitusionalitas norma yang dimohonkan pengujian, menurut Mahkamah, Pemohon I sampai dengan Pemohon IV (selanjutnya disebut para Pemohon) memiliki kedudukan hukum untuk bertindak sebagai Pemohon dalam permohonan a quo. [3.6] Menimbang bahwa oleh karena Mahkamah berwenang mengadili permohonan a quo dan para Pemohon memiliki kedudukan hukum untuk bertindak sebagai pemohon dalam permohonan a quo maka selanjutnya Mahkamah akan mempertimbangkan pokok permohonan. Pokok Permohonan [3.7] Menimbang bahwa para Pemohon mendalilkan norma Pasal 62 ayat (2) UU 27/2022 bertentangan dengan Pasal 28G ayat (1) UUD NRI Tahun 1945 dengan dalil- dalil (selengkapnya dimuat dalam bagian Duduk Perkara) yang apabila dipahami dan dirumuskan oleh Mahkamah pada pokoknya sebagai berikut: 1. Bahwa menurut para Pemohon, norma Pasal 62 ayat (2) UU 27/2022 tidak memberikan perlindungan data pribadi yang memadai karena berimplikasi pada hilangnya kontrol efektif dari subjek data atas informasi pribadinya, khususnya dalam situasi transfer data lintas batas negara. Berkenaan dengan konteks tersebut, norma Pasal 62 ayat (2) UU 27/2022 tidak menjelaskan secara memadai mengenai ruang lingkup, batasan, serta mekanisme kerja sama internasional dalam hal perlindungan data pribadi, khususnya berkaitan dengan syarat, prosedur, dan standar perlindungan transfer data lintas negara, tanpa menetapkan parameter yang tegas untuk menentukan keabsahan kerja sama, mekanisme pengawasan, dan akuntabilitasnya. Oleh karena itu, norma Pasal 62 ayat (2) UU 27/2022 telah menimbulkan ketidakpastian hukum dan melanggar hak atas perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945; 2. Bahwa menurut para Pemohon, norma Pasal 62 ayat (2) UU 27/2022 bertentangan dengan prinsip non-arbitrary interference sebagaimana dijamin dalam Pasal 17 International Covenant on Civil and Political Rights (ICCPR) yang menegaskan bahwa tidak seorang pun menjadi objek intervensi sewenang-wenang atau tidak sah terhadap privasi, keluarga, maupun korespondensinya. Bahkan, norma pasal dimaksud menjadi landasan hukum Regional Trade Agreements (RTA) antara 45 Indonesia dan Amerika tanpa menegaskan kerja sama internasional yang berkaitan dengan perlindungan data pribadi dalam kerangka hak asasi manusia. 3. Bahwa menurut para Pemohon, dalam pengujian norma Pasal 62 ayat (2) UU 27/2022, yang diperbandingkan dengan prinsip "adequate level of protection" sebagaimana tercermin dalam General Data Protection (GDPR) Uni Eropa, menegaskan bahwa transfer data pribadi ke negara lain hanya dapat dilakukan apabila negara penerima menjamin tingkat perlindungan data yang pada pokoknya setara dengan standar perlindungan di negara asal. Salah satu negara civil law yang terintegrasi dengan GDPR adalah negara Belanda yang menerapkan prosedur ketat transfer data ke luar negeri. Selain itu, para Pemohon juga melakukan perbandingan dengan salah satu negara berkembang, yakni Brazil yang dianggap menerapkan standar yang lebih tinggi dalam konteks pemrosesan data pribadi untuk tujuan keamanan publik, pertahanan nasional, dan keamanan negara yang wajib diatur oleh peraturan perundang-undangan khusus. Hal ini berbeda dengan UU 27/2022 yang dianggap cenderung meletakkan risiko kerugian data pada warga negara karena ketiadaan mekanisme uji kesetaraan yang rigid dan partisipatif. Berdasarkan dalil-dalil sebagaimana tersebut di atas, para Pemohon dalam petitum pada pokoknya memohon kepada Mahkamah agar menyatakan, Pasal 62 ayat (2) UU 27/2022 bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Kerja sama Internasional dalam pelindungan Data Pribadi hanya dapat dilakukan sepanjang menjamin tingkat pelindungan yang setara atau lebih tinggi dari standar pelindungan Data Pribadi di Indonesia, dilakukan dengan persetujuan Subjek Data Pribadi, serta dalam hal tertentu tunduk pada mekanisme pengawasan sesuai dengan prinsip perlindungan hak asasi manusia.” [3.8] Menimbang bahwa untuk membuktikan dalil-dalilnya, para Pemohon mengajukan alat bukti yang diberi tanda Bukti P-1 sampai dengan Bukti P-12 yang telah disahkan dalam persidangan Mahkamah pada tanggal 5 Mei 2026 (selengkapnya dimuat dalam bagian Duduk Perkara). 46 [3.9] Menimbang bahwa oleh karena permohonan a quo telah jelas, Mahkamah berpendapat tidak terdapat urgensi dan relevansinya untuk mendengar keterangan pihak-pihak sebagaimana dimaksud dalam Pasal 54 UU MK. [3.10] Menimbang bahwa sebelum Mahkamah mempertimbangkan dalil permohonan para Pemohon, penting bagi Mahkamah menguraikan hal-hal sebagai berikut. Bahwa seiring pesatnya perkembangan teknologi di era digital menyebabkan data pribadi mudah untuk diakses, namun demilkian, kemudahan akses data pribadi tersebut dilakukan secara terbatas sejalan dengan asas-asas dalam pelindungan data pribadi yang telah ditegaskan dalam Pasal 3 UU 27/2022, agar menjamin hak konstitusional subjek data pribadi. Pentingnya pelindungan data dimaksud karena data pribadi, misalnya data perbankan, data kesehatan, dan data paspor memuat informasi data pribadi yang sensitif, sehingga perlu dijamin kerahasiaannya guna menjaga privasi, kepercayaan, dan keamanan. Hal ini sejalan dengan maksud dibentuknya UU 27/2022 untuk mengejawantahkan esensi Pasal 28G ayat (1) UUD NRI Tahun 1945 yang menyatakan bahwa “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi”. Persoalan pelindungan data pribadi muncul karena adanya kekhawatiran akan pelanggaran terhadap data pribadi yang dapat dialami oleh orang dan/atau badan hukum. Pelanggaran tersebut dapat menimbulkan kerugian materiil dan nonmateriil [vide Penjelasan Umum UU 27/2022]. Oleh karena itu, pelindungan data pribadi, terutama di era digital sangat krusial untuk mencegah penyalahgunaan informasi oleh pihak yang tidak bertanggung jawab, menghindari kerugian finansial akibat pencurian identitas, kejahatan siber, serta menjaga privasi dan keamanan diri. Dalam hal ini, data tersebut merupakan jenis data pribadi yang dilindungi berdasarkan Pasal 4 UU 27/2022. Sebagai bagian dari hak asasi manusia pengaturan pelindungan data pribadi bertujuan antara lain melindungi dan menjamin hak dasar warga negara terkait dengan pelindungan diri pribadi, menjamin masyarakat untuk mendapatkan pelayanan dari korporasi, badan publik, organisasi internasional, dan pemerintah, mendorong 47 pertumbuhan ekonomi digital dan industri teknologi informasi dan komunikasi, serta mendukung peningkatan daya saing industri dalam negeri [vide Penjelasan Umum UU 27/2022]. Seiring dengan pesatnya perkembangan digital berdampak pula pada hubungan global antar negara. Perkembangan digital di era global memungkinkan setiap negara untuk saling melengkapi kebutuhan, memperluas pasar ekonomi, dan bersama-sama menyelesaikan berbagai tantangan lintas batas negara yang kompleks. Sebab, pada dasarnya tidak ada negara yang mampu mandiri sepenuhnya tanpa ketergantungan dengan negara lain, sehingga adanya kerja sama internasional antarnegara memungkinkan untuk menutup kekurangan yang ada di dalam negeri, meminimalisasi hambatan perdagangan, dan mempermudah investasi melalui perjanjian bilateral maupun multilateral. Dengan demikian, kerja sama internasional merupakan wujud untuk memberikan solusi mengatasi masalah global, seperti kejahatan siber dan krisis ekonomi yang tidak dapat diselesaikan oleh satu negara saja. Dalam menghadapi tantangan demikian, salah satunya dibutuhkan pertukaran informasi antarnegara. Walakin, kerja sama internasional yang dilakukan tetap harus dapat mencegah penyalahgunaan informasi tanpa mengorbankan keamanan subjek data. [3.11] Menimbang bahwa setelah menguraikan hal-hal tersebut di atas, selanjutnya Mahkamah akan menjawab dalil-dalil yang mempersoalkan norma Pasal 62 ayat (2) UU 27/2022 yang menurut para Pemohon tidak memberikan perlindungan data pribadi yang memadai, sehingga bertentangan dengan Pasal 28G ayat (1) UUD NRI Tahun 1945. Terhadap dalil para Pemohon a quo, Mahkamah mempertimbangkan sebagai berikut. [3.11.1] Bahwa setelah mencermati secara saksama dalil para Pemohon a quo, menurut Mahkamah, pokok persoalan konstitusionalitas norma Pasal 62 ayat (2) UU 27/2022 yang berkaitan dengan substansi menyatakan kerja sama internasional yang dilakukan oleh pemerintah dengan pemerintah negara lain atau organisasi internasional terkait dengan pelindungan data pribadi dalam rangka pelaksanaan UU 48 27/2022 dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional. Pengejawantahan substansi dimaksud pada prinsipnya tidak dapat dipahami secara parsial, namun harus dikaitkan dengan norma lain dalam UU 27/2022. Dengan kata lain, Pasal 62 ayat (2) UU 27/2022, harus dipahami secara utuh atau komprehensif. Dalam hal ini, norma Pasal 62 ayat (2) UU 27/2022 memiliki keterkaitan dengan norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 yang telah diputus dalam Putusan Mahkamah Konstitusi Nomor 137/PUU-XXIII/2025 yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 19 Januari 2026. Dalam putusan tersebut, Mahkamah menyatakan tidak terdapat persoalan konstitusionalitas norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022. Namun demikian, untuk memahami keterkaitan antara Pasal 62 ayat (2) UU 27/2022 dan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022, penting bagi Mahkamah mengutip terlebih dahulu bunyi norma Pasal 56 UU 27/2022 yang selengkapnya menyatakan: (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang- Undang ini. (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah. Dengan demikian, substansi kerjasama internasional sebagaimana diatur dalam Pasal 62 ayat (2) UU 27/2022 yang menjadi satu kesatuan utuh dengan esensi Pasal 62 ayat (1) UU 27/2022 [vide Bab X mengenai Kerja Sama Internasional] sangat berkaitan dengan ketentuan Pasal 56 UU 27/2022 yang mengatur mengenai transfer data pribadi ke luar wilayah hukum Indonesia [vide Bab VII Transfer Data Pribadi, 49 Bagian Kedua UU 27/2022]. Dengan mencermati konstruksi norma Pasal 56 ayat (1) UU 27/2022, transfer data pribadi ke luar wilayah hukum Indonesia hanya boleh dilakukan oleh pengendali data pribadi ke pengendali data pribadi/prosesor data pribadi lainnya. Pengendali data pribadi dimaksud adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data [vide Pasal 1 angka 4 UU 27/2022]. Sedangkan, prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi [vide Pasal 1 angka 5 UU 27/2022]. Dalam hal ini, kewajiban negara mengontrol perpindahan atau transfer data pribadi sebagai bagian dari data sovereignty, dengan tujuan untuk melindungi hak privasi subjek data pribadi, memajukan dan menjamin hak atas perlindungan data pribadi di seluruh yurisdiksi, termasuk di luar negeri. Selain itu, upaya negara melindungi data pribadi harus dilakukan secara holistik sebagaimana ketentuan mengenai prinsip pemrosesan data pribadi [vide Pasal 16 UU 27/2022], klasifikasi data pribadi dan hak subjek data pribadi beserta pengecualiannya [vide Pasal 5 sampai dengan Pasal 15 UU 27/2022], serta adanya dasar hukum untuk melakukan pemrosesan data pribadi [vide Pasal 20 UU 27/2022], dan adanya ketentuan yang mengatur mengenai kewajiban data pribadi dan prosesor data pribadi [vide Pasal 20 sampai dengan Pasal 54 UU 27/2022]. Cakupan pengaturan demikian merupakan bagian dari perlindungan dan jaminan hak konstitusional warga negara atas perlindungan data pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945 yang harus diwujudkan sesuai dengan ketentuan UU 27/2022. [3.11.2] Bahwa lebih lanjut berkaitan dengan konstruksi norma Pasal 56 ayat (2) UU 27/2022 dalam kaitan dengan pemahaman terhadap Pasal 62 ayat (2) UU 27/2022 yang menjadi satu kesatuan tak terpisahkan dengan Pasal 62 ayat (1) UU 27/2022, menurut Mahkamah, aktivitas transfer data, bahkan yang melibatkan pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities), prioritas utama ditujukan untuk melindungi dan menjamin hak-hak konstitusional warga negara sebagai subjek data, sebagaimana telah ditegaskan dalam Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 30 Juli 2025, yang mempertimbangkan antara lain sebagai berikut: 50 “Hal demikian sesungguhnya telah menjawab kekhawatiran subjek data dikarenakan adanya aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) sehingga pelindungan dan jaminan terhadap hak-hak konstitusional subjek data benar-benar terlindungi sedemikian rupa karena pelindungan data pribadi merupakan bagian yang tidak terpisahkan dari hak atas perlindungan diri pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, data pribadi sebagai hak bagi setiap warga negara wajib untuk dilindungi secara maksimal sehingga tidak dapat dijadikan sebagai objek yang merugikan sehingga bertentangan dengan asas perlindungan, asas kehati- hatian, dan asas kerahasiaan demi menjaga eksklusifitas kerahasiaan data pribadi.” [vide Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024, hlm. 157] Bahwa selanjutnya dalam Putusan Mahkamah Konstitusi Nomor 137/PUU- XXIII/2025, Mahkamah tidak hanya mendasarkan pada ketentuan norma Pasal 56 ayat (2) UU 27/2022 untuk menilai adequacy negara lain sebagai penerima transfer data pribadi, tetapi juga Mahkamah mendasarkan pada norma Pasal 59 dan Pasal 60 UU 27/2022. Dalam konteks ini, transfer data pribadi tidak hanya bertumpu pada pengendali data pribadi untuk memastikan kesetaraan pelindungan di negara tujuan sebagai penerima transfer data pribadi, tetapi juga memerlukan keberadaan dan fungsi dari Lembaga Pelindungan Data Pribadi (LPDP) sebagai otoritas pengawas yang melakukan tindakan evaluasi, pengawasan dan kebijakan teknis dalam penilaian kesetaraan pelindungan. Dengan demikian, berkenaan dengan kewenangan final, otoritatif, dan mengikat untuk menentukan daftar negara yang dianggap setara, kewenangan memberikan panduan dan kewenangan untuk melaksanakan fungsi penegakan hukum, berada di tangan negara melalui LPDP. [3.11.3] Bahwa berkenaan dengan konstruksi norma Pasal 56 ayat (3) UU 27/2022 yang memiliki keterkaitan dalam memahami Pasal 62 ayat (2) UU 27/2022 yang menjadi satu kesatuan tak terpisahkan dengan Pasal 62 ayat (1) UU 27/2022, dalam Putusan Mahkamah Konstitusi Nomor 137/PUU-XXIII/2025, Mahkamah juga berpendapat sebagai berikut: “Norma Pasal 56 ayat (3) UU 27/2022 merupakan jawaban atau solusi atas peran negara dalam menjalankan kewajiban konstitusional untuk melindungi data pribadi warga negara ketika terjadi aktifitas transfer data yang di proses di negara asing atau di luar yurisdiksi wilayah NKRI, di mana tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi, tidak setara atau lebih rendah dari ketentuan yang berlaku di Republik Indonesia. Dalam hal ini, negara hendak menegaskan bahwa 51 meskipun negara tidak berdaulat secara teritorial atas tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi, namun negara berkewajiban dan tetap hadir untuk melindungi hak konstitusional atas data pribadi dari warga negara Indonesia. Dalam hal ini, aktivitas transfer data pribadi ke negara asing tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi memiliki standar normatif atau standar teknologi yang tidak setara atau lebih rendah dari ketentuan yang berlaku, tetap dapat terjadi, sepanjang tidak merugikan subjek data pribadi atau tidak menyebabkan terjadinya penyalahgunaan data pribadi. Sehubungan dengan hal demikian, negara tetap melindungi hak data pribadi warga negara dengan menjadikan pengendali data pribadi sebagai perpanjangan tangan negara untuk memastikan terlindunginya hak data pribadi warga negara [vide antara lain dalam Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 UU 27/2022]. Lebih lanjut, sebagai pelengkap dari standar normatif dan/atau standar teknologi yang berlaku, industri terkait akan menciptakan standar, mekanisme dan/atau perilaku bisnis yang dianggap patut dalam melaksanakan aktivitas transfer data pribadi tersebut, yang didasarkan pada best practices. Dalam hal ternyata transfer data pribadi ke negara asing tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi memiliki standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia, dapat merugikan subjek data pribadi atau mengakibatkan terjadinya penyalahgunaan data pribadi, tetap terjadi baik secara sengaja maupun tidak sengaja, maka pengendali data pribadi terancam sanksi administratif sebagaimana diatur dalam Pasal 57 ayat (2) dan ayat (3) UU 27/2022. Aktivitas transfer data pribadi tetap dimungkinkan, namun hanya dapat dilakukan jika terdapat perlindungan yang setara dan memadai.” [vide Putusan Mahkamah Konstitusi Nomor 137/PUU-XXIII/2025, hlm. 218] Selain itu, berkenaan dengan norma Pasal 56 ayat (4) UU 27/2022, dalam Putusan Mahkamah Konstitusi Nomor 137/PUU-XXIII/2025, Mahkamah juga telah mempertimbangkan antara lain sebagai berikut: “… apabila rumusan Pasal 56 ayat (4) UU 27/2022 dimaknai sebagaimana yang dimohonkan Pemohon, maka jika diuraikan terdiri dari unsur-unsur sebagai berikut: (i) Pasal 56 ayat (4) UU a quo berlaku jika adequacy level tidak terpenuhi dan pelindungan data pribadi tidak terpenuhi; (ii) Dalam kondisi tersebut maka persetujuan subjek data pribadi dianggap sebagai syarat wajib untuk melakukan aktifitas transfer data pribadi lintas yurisdiksi; (iii) Persetujuan subjek data pribadi dianggap sah secara hukum apabila pengendali data pribadi menginformasikan terlebih dahulu risiko transfer data pribadi kepada subjek data pribadi. Pemaknaan terhadap keinginan Pemohon untuk menambahkan frasa sebagaimana termaktub dalam petitum Pemohon menjadikan ketiga hal tersebut menjadi satu kesatuan yang tidak dapat dipisahkan, yang seolah-olah dengan memberitahu risiko transfer data pribadi sudah melindungi hak subjek data pribadi. Padahal, hak konstitusional warga negara atas data pribadi 52 seharusnya memberikan perlindungan, bukan hanya sekadar kesadaran terhadap risiko transfer data pribadi tanpa adanya penegakan hak. Selanjutnya, jika pun terhadap ketentuan norma Pasal 56 ayat (4) UU 27/2022 ditambahkan frasa “setelah menginformasikan risiko transfer Data Pribadi yang dilakukan”, menurut Mahkamah tidak akan mengubah fungsi Pasal 56 ayat (4) UU 27/2022 sebagai solusi atau jawaban dari tidak terpenuhinya syarat untuk melakukan transfer data pribadi sebagaimana diatur dalam Pasal 56 ayat (2) dan ayat (4) UU 27/2022. Dengan demikian, penambahan frasa “setelah menginformasikan risiko transfer Data Pribadi yang dilakukan” sebagaimana yang diinginkan Pemohon maka hal tersebut menjadi tidak relevan karena akan menyebabkan ketidaksesuaian norma a quo jika dikaitkan dengan norma Pasal 1 angka 4 dan Pasal 1 angka 6 UU 27/2022.” [vide Putusan Mahkamah Konstitusi Nomor 137/PUU-XXIII/2025, hlm. 219-220] Berdasarkan kutipan uraian pertimbangan hukum di atas, menurut Mahkamah, berlakunya norma Pasal 56 ayat (3) dan ayat (4) UU 27/2022 merupakan bentuk pelindungan ketika negara penerima tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi memiliki standar normatif atau standar teknologi yang tidak setara atau lebih rendah dari ketentuan yang berlaku di Indonesia. Demikian pula halnya dengan norma Pasal 56 ayat (4) UU 27/2022 menegaskan perlindungan dimaksud apabila tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi tidak memberikan perlindungan data pribadi yang setara atau lebih tinggi dibandingkan UU 27/2022. Oleh karena itu, persetujuan subjek data pribadi diperlukan, termasuk pula pelindungan aktivitas transfer data pribadi dalam konteks kerja sama internasional. Dengan demikian, norma Pasal 56 ayat (3) ayat (4) UU 27/2022 merupakan instrumen konstitusional ruang digital bagi negara dalam menjamin pelindungan data pribadi warga negara, termasuk pula pelindungan terhadap aktivitas transfer data pribadi dalam konteks kerja sama internasional sebagaimana dimaksud dalam norma Pasal 62 ayat (2) UU 27/2022 yang menjadi satu kesatuan utuh dengan substansi norma Pasal 62 ayat (1) UU 27/2022. [3.12] Menimbang bahwa terkait dengan norma Pasal 62 ayat (2) UU 27/2022 yang dipersoalkan para Pemohon bermuara pada kekhawatiran para Pemohon terhadap perjanjian internasional antara Pemerintah Amerika Serikat dan Pemerintah Indonesia yang dituangkan dalam Agreement between the United States of America and the Republic of Indonesia on Reciprocal Trade (Perjanjian antara Amerika Serikat dan 53 Republik Indonesia tentang Perdagangan Timbal Balik). Sehingga, para Pemohon memohon kepada Mahkamah agar Pasal 62 ayat (2) UU 27/2022 dimaknai “Kerja sama Internasional dalam pelindungan data pribadi hanya dapat dilakukan sepanjang menjamin tingkat pelindungan yang setara atau lebih tinggi dari standar pelindungan data pribadi di Indonesia, dilakukan dengan persetujuan subjek data pribadi, serta dalam hal tertentu tunduk pada mekanisme pengawasan sesuai dengan prinsip perlindungan hak asasi manusia”. Dalam hal ini, keinginan para Pemohon tersebut sesungguhnya telah terjawab dengan berlakunya norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 sebagaimana telah dipertimbangkan di atas. Dalam kaitan ini, setelah Mahkamah mencermati keterkaitan antara Pasal 62 ayat (2) UU 27/2022 dan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 sesungguhnya telah menjamin prinsip perlindungan hak asasi manusia. Kerja sama internasional sebagaimana dimaksud dalam Pasal 62 ayat (2) UU 27/2022 sejalan dengan prinsip hukum internasional sebagaimana termaktub dalam Article 12 Universal Declaration of Human Rights (Deklarasi Universal Hak Asasi Manusia) yang menentukan “No one shall be subjected to arbitrary interference with his privacy, family, home or correspondence, nor to attacks upon his honour and reputation. Everyone has the right to the protection of the law against such interference or attacks”, serta Article 17 International Covenant on Civil and Political Rights (Konvensi Internasional tentang Hak-hak Sipil dan Politik) yang menentukan: “1. No one shall be subjected to arbitrary or unlawful interference with his privacy, family, home or correspondence, nor to unlawful attacks on his honour and reputation; 2. Everyone has the right to the protection of the law against such interference or attacks”. Artinya, kerja sama internasional dalam rangka pelaksanaan UU 27/2022 tetap tidak boleh dilakukan secara sewenang-wenang terhadap data pribadi warga negara karena negara harus hadir untuk menjamin pelindungan hak privasi dan keamanan data individu dalam arus global. Dengan demikian, yang dimohonkan oleh para Pemohon pada dasarnya telah diatur dalam UU 27/2022. [3.13] Menimbang bahwa berdasarkan seluruh uraian pertimbangan hukum tersebut di atas, telah ternyata norma Pasal 62 ayat (2) UU 27/2022 tidak bertentangan dengan hak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta 54 benda serta hak atas rasa aman sebagaimana dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945, bukan sebagaimana didalilkan oleh para Pemohon. Dengan demikian, dalil para Pemohon adalah tidak beralasan menurut hukum untuk seluruhnya. [3.14] Menimbang bahwa terhadap hal-hal selain dan selebihnya tidak dipertimbangkan lebih lanjut karena dinilai tidak ada relevansinya. 4. KONKLUSI Berdasarkan penilaian atas fakta dan hukum sebagaimana diuraikan di atas, Mahkamah berkesimpulan: [4.1] Mahkamah berwenang mengadili permohonan a quo; [4.2] Para Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo; [4.3] Permohonan para Pemohon tidak beralasan menurut hukum untuk seluruhnya. Berdasarkan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554), dan Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076); 5. AMAR PUTUSAN Mengadili: Menolak permohonan para Pemohon untuk seluruhnya. 55 Demikian diputus dalam Rapat Permusyawaratan Hakim oleh sembilan Hakim Konstitusi, yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Enny Nurbaningsih, Adies Kadir, Liliek Prisbawono Adi, Daniel Yusmic P. Foekh, M. Guntur Hamzah, Ridwan Mansyur, dan Arsul Sani, masing-masing sebagai Anggota, pada hari Selasa, tanggal dua belas, bulan Mei, tahun dua ribu dua puluh enam yang diucapkan dalam Sidang Pleno Mahkamah Konstitusi terbuka untuk umum pada hari Senin, tanggal dua puluh lima, bulan Mei, tahun dua ribu dua puluh enam, selesai diucapkan pukul 15.11 WIB oleh sembilan Hakim Konstitusi, yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Enny Nurbaningsih, Adies Kadir, Liliek Prisbawono Adi, Daniel Yusmic P. Foekh, M. Guntur Hamzah, Ridwan Mansyur, dan Arsul Sani, masing-masing sebagai Anggota dengan dibantu oleh Dewi Nurul Savitri sebagai Panitera Pengganti, serta dihadiri oleh para Pemohon, Dewan Perwakilan Rakyat atau yang mewakili, dan Presiden atau yang mewakili. KETUA, ttd. Suhartoyo ANGGOTA-ANGGOTA, ttd. Saldi Isra ttd. Enny Nurbaningsih ttd. Adies Kadir ttd. Liliek Prisbawono Adi ttd. Daniel Yusmic P. Foekh ttd. M. Guntur Hamzah 56 ttd. Ridwan Mansyur ttd. Arsul Sani PANITERA PENGGANTI, ttd. Dewi Nurul Savitri