137/PUU-XXIII/2025

PUTUSAN Nomor 137/PUU-XXIII/2025 DEMI KEADILAN BERDASARKAN KETUHANAN YANG MAHA ESA MAHKAMAH KONSTITUSI REPUBLIK INDONESIA, [1.1] Yang mengadili pengujian undang-undang pada tingkat pertama dan terakhir, menjatuhkan putusan dalam Permohonan Pengujian Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, yang diajukan oleh: Nama : Rega Felix Pekerjaan : Dosen dan Advokat Alamat : Pamulang Permai 1 Blok A 57/52, Kelurahan Pamulang Barat, Kecamatan Pamulang, Kota Tangerang Selatan. Selanjutnya disebut sebagai --------------------------------------------------------- Pemohon; [1.2] Membaca permohonan Pemohon; Mendengar keterangan Pemohon; Mendengar dan membaca keterangan Dewan Perwakilan Rakyat; Membaca dan mendengar keterangan Presiden; Membaca dan mendengar keterangan ahli Pemohon dan Presiden; Memeriksa bukti-bukti Pemohon dan Presiden; Membaca kesimpulan Pemohon dan Presiden. 2. DUDUK PERKARA [2.1] Menimbang bahwa Pemohon telah mengajukan permohonan bertanggal 29 Juli 2025 yang diterima Kepaniteraan Mahkamah Konstitusi pada tanggal 29 Juli 2025 berdasarkan Akta Pengajuan Permohonan Pemohon Nomor 135/PUU/ PAN.MK/AP3/07/2025 dan telah dicatat dalam Buku Registrasi Perkara Konstitusi Elektronik (e-BRPK) dengan Nomor 137/PUU-XXIII/2025 pada tanggal 5 Agustus 2 2025, yang telah diperbaiki dan diterima oleh Kepaniteraan Mahkamah pada tanggal 22 Agustus 2025, yang pada pokoknya menguraikan hal-hal sebagai berikut. 1. KEWENANGAN MAHKAMAH KONSTITUSI 1.1. Bahwa dalam perubahan kedua UUD 1945, Pasal 24 Ayat (2) UUD 1945 menyatakan: “Kekuasaan kehakiman dilakukan oleh sebuah Mahkamah Agung dan badan peradilan yang berada di bawahnya dalam lingkungan peradilan umum, lingkungan peradilan agama, lingkungan peradilan militer, lingkungan peradilan tata usaha negara, dan oleh sebuah Mahkamah Konstitusi”; 1.2. Bahwa selanjutnya dalam Pasal 24C Ayat (1) UUD 1945 menyatakan: “Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap Undang-Undang Dasar, memutus sengketa kewenangan lembaga negara yang kewenangannya diberikan oleh Undang-Undang Dasar, memutus pembubaran partai politik, dan memutus perselisihan tentang hasil pemilihan umum”; 1.3. Bahwa berdasarkan ketentuan di atas, maka Mahkamah Konstitusi (“MK”) berwenang melakukan pengujian undang-undang terhadap UUD 1945, hal mana juga didasarkan kepada Pasal 29 ayat (1) Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman yang menyatakan: “Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk: (a) menguji undang- undang terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945”; Dan juga telah dinyatakan dalam Pasal 10 ayat (1) Undang-Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah dengan Undang-Undang No. 8 Tahun 2011 tentang Perubahan Undang-Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi dan perubahan ketiga dengan Undang-Undang No. 7 Tahun 2020 tentang Perubahan Ketiga Undang- Undang No. 24 Tahun 2003 tentang Mahkamah Konstitusi (“UU MK”); 1.4. Bahwa selanjutnya kewenangan Mahkamah Konstitusi juga telah ditegaskan dalam Pasal 9 Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Kedua Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan (“UU PPP”) yang menyatakan: 3 “Dalam hal suatu Undang-Undang diduga bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, pengujiannya dilakukan oleh Mahkamah Konstitusi”; 1.5. Bahwa Mahkamah Konstitusi juga telah menegaskan kewenangan pengujian materiil undang-undang terhadap Undang-Undang Dasar Negara Republik Indonesia tahun 1945 sebagaimana telah diatur dalam Peraturan Mahkamah Konstitusi No. 02 Tahun 2021 tentang Pedoman Beracara Dalam Perkara Pengujian Undang-Undang (“PMK 2/2021”); 1.6. Bahwa permohonan Pemohon menguji Pasal 56 ayat (1) UU PDP, Pasal 56 ayat (2), Pasal 56 ayat (3), dan Pasal 56 ayat (4) UU PDP yang berbunyi: Pasal 56 ayat (1) UU PDP “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini.” Pasal 56 ayat (2) UU PDP “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang- Undang ini.” Pasal 56 ayat (3) UU PDP “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, dan bersifat mengikat.” Pasal 56 ayat (4) UU PDP “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetuiuan Subjek Data Pribadi.” terhadap UUD 1945: Pasal 1 ayat (2) UUD 1945 “Kedaulatan berada di tangan rakyat dan dilaksanakan menurut Undang- Undang Dasar.” Pasal 11 ayat (1) UUD 1945 “Presiden dengan persetujuan Dewan Perwakilan Rakyat menyatakan perang, membuat perdamaian dan perjanjian dengan negara lain.” 4 Pasal 11 ayat (2) UUD 1945 “Presiden dalam membuat perjanjian internasional lainnya yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang harus dengan persetujuan Dewan Perwakilan Rakyat.” Pasal 28G ayat (1) UUD 1945 “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang dibawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” 1.7. Bahwa berdasarkan hal-hal tersebut di atas, maka Mahkamah Konstitusi berwenang untuk memeriksa dan mengadili permohonan pengujian materiil undang-undang ini; 2. KEDUDUKAN HUKUM (LEGAL STANDING) PEMOHON 2.1. Bahwa berdasarkan Pasal 51 ayat (1) UU MK juncto Pasal 4 ayat (1) Peraturan Mahkamah Konstitusi No. 02 Tahun 2021 tentang Pedoman Beracara Dalam Perkara Pengujian Undang-Undang dinyatakan bahwa: “Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya dirugikan oleh berlakunya undang-undang yaitu: a. perorangan warga negara Indonesia; b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; d. lembaga negara.”; 2.2. Bahwa selanjutnya di dalam penjelasan Pasal 51 ayat (1) UU MK dinyatakan bahwa “Yang dimaksud dengan hak konstitusional adalah hak-hak yang diatur dalam UUD 1945”; 2.3. Bahwa dalam Pasal 4 ayat (2) Peraturan Mahkamah Konstitusi No. 02 Tahun 2021 tentang Pedoman Beracara Dalam Perkara Pengujian Undang-Undang ditentukan 5 syarat mengenai kerugian konstitusional, yakni sebagai berikut: “a. ada hak dan/atau kewenangan konstitutional Pemohon yang diberikan oleh UUD 1945; b. hak dan/atau kewenangan konstitusional tersebut dianggap telah dirugikan oleh berlakunya undang-undang atau Perppu yang dimohonkan pengujian; c. kerugian hak dan/atau kewenangan konstitusional tersebut bersifat spesifik (khusus) dan aktual, setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; 5 d. ada hubungan sebab akibat antara kerugian hak dan/atau kewenangan konstitusional dengan undang-undang atau Perppu yang dimohonkan pengujian; dan e. ada kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian hak dan/atau kewenangan konstitusional yang didalilkan tidak akan atau tidak lagi terjadi.”; Selanjutnya terhadap kerugian konstitusional Pemohon tersebut di atas, akan diuraikan sebagai berikut: Hak Konstitusional Pemohon Yang Diberikan Oleh UUD 1945 2.4. Bahwa setiap warga negara Indonesia adalah diri pribadi yang dilindungi Pasal 28G ayat (1) UUD 1945. Perlindungan diri pribadi sebagaimana di dalam Pasal 28G ayat (1) UUD 1945 adalah termasuk terhadap perlindungan Data Pribadi. Hal ini telah ditegaskan oleh Mahkamah Konstitusi: “… Masifnya penyebaran data karena kemudahan akses telekomunikasi dan komunikasi baik melalui interaksi dunia siber maupun dalam interaksi dunia nyata melahirkan isu mengenai pentingnya menjaga privasi individu yang merupakan hak atas perlindungan diri pribadi yang dilindungi oleh UUD NRI Tahun 1945. Dalam kaitan ini, perlindungan data pribadi menjadi hal yang krusial dan fundamental sebagai isu global yang dikhawatirkan oleh masyarakat luas. Oleh karenanya, kehadiran negara dalam mengatur perlindungan data pribadi menjadi sebuah keniscayaan untuk menjaga keamanan informasi sensitif individu dan mencegah penyalahgunaan data. Dalam era digital, data pribadi menjadi semakin rentan dengan tindakan pencurian, kebocoran, dan penyalahgunaan oleh pihak yang tidak bertanggung jawab sehingga untuk mewujudkan pelindungan data pribadi yang kuat dan dapat memastikan keamanan serta privasi individu dalam penggunaan teknologi digital, maka perlindungan data pribadi tidak dapat dilihat hanya sebagai isu dalam tataran teknis, namun juga mencakup pengaturan dalam ranah tertib hukum sebagai perwujudan perlindungan hak asasi manusia. Terlebih, berbagai sektor kehidupan telah memanfaatkan sistem teknologi informasi, seperti penyelenggaraan electronic commerce (e-commerce) dalam sektor perdagangan/bisnis, electronic education (education) dalam bidang pendidikan, electronic health (e-health) dalam bidang kesehatan, electronic government (e-govermnent) dalam bidang pemerintahan, serta teknologi informasi yang dimanfaatkan dalam bidang lainnya [vide Penjelasan Umum UU 27/2022]. Oleh karenanya, perlindungan data pribadi merupakan hak asasi manusia yang harus dijamin keamanannya oleh negara.” (vide Putusan MK No.151/PUU- XXII/2024 halaman 150-152) 2.5. Bahwa berdasarkan alasan hukum di atas, maka dapat dikatakan, Data Pribadi bersifat sangat vital dalam kehidupan warga negara, dengan demikian jika hendak dilakukan transfer Data Pribadi ke luar wilayah hukum negara Republik Indonesia harus berdasarkan landasan hukum yang tepat dengan 6 memperhatikan Pasal 11 ayat (1) dan ayat (2) UUD 1945 sebagai wujud dari kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945 yang semata-mata untuk melindungi hak asasi yang mendasar sebagaimana dalam Pasal 28G ayat (1) UUD 1945; Anggapan Kerugian Konstitusional Akibat Berlakunya Norma Pasal A quo 2.6. Bahwa Pemohon merupakan perseorangan warga negara Indonesia (Bukti P-3) yang merupakan Subjek Data Pribadi yang hak-nya diakui sebagaimana dalam UU PDP. Pemohon berprofesi sebagai dosen ilmu hukum sekaligus advokat yang memiliki kepedulian sangat tinggi terhadap aspek perlindungan Data Pribadi, sehingga Pemohon dapat dikatakan sekaligus sebagai praktisi perlindungan Data Pribadi. Hal ini juga dilatarbelakangi bahwa Pemohon adalah pendiri perusahaan TI (Bukti P-4) dan pernah menjadi tenaga ahli tata kelola TI (Bukti P-5); 2.7. Bahwa Pemohon juga pernah mengikuti pelatihan mengenai audit internal ISO 27001 (Bukti P-6), sehingga Pemohon memiliki kesadartahuan (awareness) mengenai pentingnya perlindungan Data Pribadi. Pemohon juga sedang meneliti mengenai Kecerdasan Buatan/Artificial Intelligence (AI) termasuk mempelajari deontic logic untuk memahami model norma hukum dan AI. Pemohon juga aktif mengedukasi masyarakat mengenai pentingnya pendekatan interdisipliner antara hukum, logika, dan AI (Bukti P-7). Sebagai advokat Pemohon juga aktif melakukan advokasi terhadap kebijakan yang terkait dengan perlindungan Data Pribadi (Bukti P-8). Pemohon melakukan penelitian dan edukasi atas inisiatif pribadi tanpa dukungan Pemerintah, dan Pemohon berharap Pemerintah peduli terhadap rakyat dan menghargai inisiatif rakyat secara khusus dosen yang senantiasa meneliti untuk kepentingan rakyat. Jangan sampai dosen berjuang untuk melindungi rakyat, Pemerintah justru "menggadaikan" Data Pribadi rakyat. Berdasarkan hal tersebut, UUD 1945 mengakui Mahkamah Konstitusi sebagai penyeimbang kekuasaan sekaligus pengingat bagi kekuasaan. Pemerintah perlu senantiasa diingatkan bahwa Data Pribadi Pemohon adalah milik Pemohon dan Data Pribadi rakyat adalah milik rakyat bukan milik Pemerintah. Pemohon menyadari banyak sekali Data Pribadi Pemohon yang dikuasai oleh negara bahkan negara dapat menguasai Data Pribadi Pemohon tanpa perlu persetujuan dari Pemohon. Berdasarkan bukti – bukti tersebut, maka dapat 7 dikatakan Pemohon memiliki concern yang sangat tinggi terhadap isu perlindungan Data Pribadi dan Pemohon sebagai Subjek Data Pribadi memiliki awareness dan kepentingan yang sangat tinggi dalam melindungi Data Pribadi Pemohon; 2.8. Bahwa Mahkamah Konstitusi pernah menyatakan pada pokoknya warga negara Indonesia yang aktivitas kesehariannya tidak terlepas dari penggunaan teknologi informasi yang terpaut dengan Data Pribadi baik dalam bentuk elektronik maupun non-elektronik yang dimiliki dan melekat pada dirinya dan Data Pribadi tersebut ternyata dikelola oleh pengendali data dan prosesor data dan juga memiliki Data Pribadi yang tentunya akan diproses oleh institusi negara baik untuk keperluan administrasi kependudukan maupun pelayanan publik memiliki kedudukan hukum untuk menguji UU PDP (vide Putusan MK No.151/PUU-XXII/2024 halaman 145-147). Berdasarkan alasan hukum tersebut, sudah seharusnya Pemohon sebagai warga negara Indonesia yang Data Pribadinya juga diproses oleh institusi negara juga memiliki kedudukan hukum yang sama; 2.9. Bahwa permasalahan yang terjadi didasari kepada kesepakatan Indonesia – Amerika yang di dalamnya termasuk berkaitan dengan permasalahan transfer Data Pribadi ke wilayah Amerika Serikat, sebagaimana dinyatakan: “Indonesia has committed to address barriers impacting digital trade, services, and investment. Indonesia will provide certainty regarding the ability to transfer personal data out of its territory to the United States” (sumber: https://www.whitehouse.gov/briefings-statements/2025/07/joint- statement-on-framework-for-united-states-indonesia-agreement-on- reciprocal-trade/ diakses pada 29 Juli 2025 pukul 11:53 WIB) (Bukti P-9) Kesepakatan tersebut menimbulkan kegaduhan luar biasa di masyarakat khususnya klausul “Indonesia will provide certainty regarding the ability to transfer personal data out of its territory to the United States” karena seolah Data Pribadi rakyat Indonesia sebagai objek eksploitasi untuk Amerika tanpa ada mekanisme persetujuan dari rakyat. Adanya kesepakatan tersebut menunjukan bahwa akan ada suatu bentuk perjanjian internasional yang melandasi dan akan menentukan nasib rakyat; 2.10. Bahwa persoalan perjanjian internasional pernah dinyatakan oleh Mahkamah Konstitusi dalam Putusan MK No.13/PUU-XVI/2018 bahwa di dalamnya juga 8 mencakup aspek hukum tata negara. Dengan demikian, karena Pemohon juga berlatarbelakang keilmuan hukum tata negara di tambah dengan latar belakang lainnya menyebabkan rasa tanggung jawab moral yang sangat tinggi untuk mengurai persoalan konstitusional dalam permasalahan ini yang semata – mata untuk melindungi rakyat Indonesia yang secara otomatis juga berarti melindungi Pemohon; 2.11. Bahwa akibat dari kesepakatan Indonesia – Amerika tersebut menyebabkan tafsir terhadap Pasal 56 UU PDP yang mengatur mengenai transfer Data Pribadi ke luar wilayah negara Republik Indonesia sebagaimana diatur dalam Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP menjadi sangat kritikal. Ketika norma pasal a quo ditafsirkan secara salah maka dapat berdampak sangat signifikan yaitu kerugian hak konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD 1945. Jika Data Pribadi sudah bocor maka meningkatkan resiko sangat tinggi kepada Subjek Data Pribadi. Data Pribadi adalah milik rakyat, jika Data Pribadi dikuasai negara lain akibat presiden memberikannya secara sepihak, maka hal tersebut bentuk dari pelanggaran kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945. Maka dari itu, seharusnya kesepakatan Indonesia – Amerika yang terkait dengan transfer Data Pribadi dikategorikan sebagai kesepakatan yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat sebagaimana dimaksud dalam Pasal 11 ayat (1) dan ayat (2) UUD 1945; Sifat Kerugian Konstitusional 2.12. Bahwa isu mengenai Data Pribadi, secara khusus di era AI, menjadi topik paling panas yang selalu diperdebatkan di tingkat global. Permasalahan Data Pribadi dan AI memiliki dampak yang luar biasa kepada umat manusia apabila kita salah dalam menyikapinya. Maka dari itu, wajar negara – negara lain sangat hati – hati terhadap isu ini. Persoalan antara AI dan Data Pribadi ini juga sudah diakui oleh Mahkamah Konstitusi sebagaimana dinyatakan: “Dari segi transfer data lintas batas seperti kecerdasan buatan, blockchain, dan jaringan berkecepatan tinggi berpotensi mengubah cara data ditransfer antar negara, serta meningkatkan kecepatan, keamanan, dan efisiensi. Selain itu, globalisasi ekonomi membuat teknologi menjadi faktor pendorong utama yang memungkinkan integrasi pasar yang lebih luas dan peningkatan perdagangan internasional. Perkembangan teknologi lintas batas tersebut menghadirkan tantangan baru seperti masalah privasi data, keamanan siber, dan 9 kebutuhan untuk harmonisasi regulasi antar negara.” (vide Putusan MK No.151/PUU-XXII/2024 halaman 150) Selain itu, di dalam regulasi internasional seperti European Union Artificial Intelligence Act 2024 (EU AI Act) isu mengenai Data Pribadi juga merupakan isu pokok terutama ketika berkaitan dengan High-Risk AI. Persoalan AI yang berimplikasi kepada bagaimana negara berdaulat terhadap data juga didasari kepada penelitian akademis yang berjudul “Digital Sovereignity + Artificial Intelligence” yang ditulis oleh Andrew Keanu Woods sebagai bab di buku berjudul : “Data Sovereignity : From The Digital Silk Road To The Return Of The State” editor Anupam Chander dan Haochen Sun terbitan Oxford University Press tahun 2023 (Bukti P-16) yang menyatakan: “AI will amplify several trends in how sovereigns assert control over the digital world.” (Anupam Chander dan Haochen Sun (ed), 2023: 130). Berdasarkan alasan tersebut, maka permasalahan Data Pribadi harus juga dilihat dalam perspektif perkembangan AI dan kedaulatan rakyat; 2.13. Bahwa di sisi lain, belakangan ini, Data Pribadi rakyat yang dikuasai Pemerintah seperti data kependudukan justru bocor, sebagaimana dalam berita yang berjudul “Kemendagri Investigasi Dugaan Kebocoran 337 Juta Data Dukcapil”: (sumber: https://www.kompas.id/artikel/337-juta-data-dukcapil-diduga-bocor diakses pada 12 Agustus 2025 pukul 21:14 WIB); Namun, sayangnya terkadang respon pejabat Pemerintah seolah Data Pribadi yang bocor tidak dianggap penting karena dianalogikan diri pribadi pejabat yang sudah terkenal yang data pribadinya mudah didapat di internet dan mencari pembenaran bahwa data yang bocor bukan rahasia. Padahal kasihan rakyat ketika data pribadinya bocor dapat disalahgunakan, misalkan di berita berjudul: “Buruh Jahit Lepas Ditagih Pajak atas Transaksi Rp2,9 Miliar, Ternyata NIK-nya Disalahgunakan”; (sumber: https://regional.kompas.com/read/2025/08/09/090132978/buruh- jahit-lepas-ditagih-pajak-atas-transaksi-rp-29-miliar-ternyata-nik?page=all diakses pada 12 Agustus 2025 pukul 21:22 WIB) (Bukti P-17); Berita ini sangat membingungkan, Pemerintah tidak bisa menjaga Data Pribadi rakyatnya, kemudian Pemerintah mencari pembenaran dan ketika terjadi penyalahgunaan, Pemerintah juga yang salah menggunakan data. Jika kita lihat berita lainnya memang Pemerintah sangat rentan diserang hacker, 10 misalkan Pusat Data Nasional yang jebol, sebagaimana dalam berita berjudul: “Fakta-fakta Kebocoran Data PDNS, Dalang hingga Jumlah Tebusan” (sumber: https://www.cnnindonesia.com/teknologi/20240624122531-185- 1113359/fakta-fakta-kebocoran-data-pdns-dalang-hingga-jumlah-tebusan diakses pada 12 Agustus 2025 pukul 21:32 WIB) (Bukti P-22); Sesungguhnya dari berita-berita yang ada dapat dikatakan Pemohon sudah mengalami kerugian karena mungkin saja satu dari ratusan juta data yang bocor termasuk Data Pribadi Pemohon yang dikuasai Pemerintah yang seharusnya dijaga. Logika sederhananya: Data Pribadi yang masih berada dalam pusat data yang berada di wilayah Indonesia saja Pemerintah tidak bisa menjaganya dengan baik, lalu bagaimana mendalilkan bahwa Pemerintah dapat menjaga Data Pribadi rakyatnya yang berada di luar negeri? Anehnya, setelah melihat berita seperti Pemerintah yang sering kebobolan dan seolah Pemerintah tidak memiliki awareness pentingnya Data Pribadi, Pemohon justru berfikir jangan-jangan Data Pribadi Pemohon lebih aman di perusahaan teknologi swasta dibandingkan Pemerintah; 2.14. Bahwa perlu diketahui semakin tinggi perkembangan teknologi menjadikan resiko terhadap keamanan Data Pribadi semakin tinggi, sehingga seharusnya awareness Pemerintah semakin tinggi dan menjadikan malu atau meminta maaf jika Data Pribadi rakyat bocor, bukan justru selalu beralasan mencari pembenaran. Justru akibat kelalaian Pemerintah selama ini yang membuat Pemohon khawatir. Melihat perkembangan AI yang seperti pedang bermata dua membuat rasa khawatir semakin tinggi. Jika dihubungkan dengan Bukti P-9 dan kenyataan bahwa Amerika adalah negara pengembang AI (Bukti P- 18), maka menjadikan adanya resiko tersendiri yang harus menjadi perhatian khusus. Untuk mengantisipasi resiko tersebut, maka pendekatan utama dalam permasalahan perlindungan Data Pribadi adalah pendekatan preventif karena jika sudah terjadi permasalahan, misalkan seperti Data Pribadi yang bocor atau penyalahgunaan, dapat memiliki dampak yang bersifat multiplier. Berdasarkan hal tersebut, untuk melihat sifat dari kerugian konstitusional terhadap Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP dikaitkan dengan sifat kerugian konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD 1945 tidak harus menunggu sampai terjadinya kerugian aktual. Pemohon sebagai Subjek Data Pribadi (Bukti P-3), secara notoire feiten 11 notorious, bahkan hanya dengan mengajukan permohonan ini, terbukti dengan sendirinya bahwa Data Pribadi Pemohon dikuasai oleh negara; 2.15. Bahwa Pasal 28G ayat (1) UUD 1945 mentautkan perlindungan diri pribadi dengan “ancaman ketakutan” dan kekhawatiran perasaan takut Pemohon bukan hanya berasal dari imajinasi Pemohon semata, tetapi berdasarkan fakta – fakta yang terjadi di Indonesia dan negara lain, serta kekhawatiran akan perkembangan teknologi yang dapat merugikan masyarakat yang kesemuanya didasari kepada penelitian – penelitian akademis. Dengan demikian, berdasarkan penalaran yang wajar, jika Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP salah ditafsirkan berpotensi menyebabkan kerugian konstitusional terhadap Pemohon; Hubungan Causa Verband Antara Norma Pasal A quo Terhadap Kerugian Hak Konstitusional 2.16. Bahwa hubungan causa verband antara norma pasal yang diuji dengan kerugian konstitusional Pemohon adalah ruang lingkup kesepakatan antara Indonesia – Amerika sangat bias. Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP yang mengatur kesepakatan tersebut juga bersifat sangat bias karena tidak jelas siapa yang berkewajiban memastikan kesetaraan negara tujuan dalam perlindungan Data Pribadi. Kemudian, tidak jelas siapa yang berwenang menentukan bahwa negara satu lebih tinggi atau lebih rendah dari negara lainnya. Lalu, persetujuan Subjek Data Pribadi adalah asas yang paling mendasar dalam perlindungan Data Pribadi, sehingga tidak akan bisa dilepaskan dari arti kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945. Kemudian, pertanyaan yang muncul: di mana manifestasi persetujuan Pemohon sebagai rakyat sekaligus sebagai Subjek Data Pribadi di tempatkan dalam kerja sama internasional yang melibatkan transfer Data Pribadi ke negara lain?; 2.17. Bahwa pertanyaan selanjutnya adalah apa jaminan terhadap rakyat bahwa Pemerintah sebagai penguasa utama Data Pribadi rakyat tidak akan membocorkan Data Pribadi rakyat kepada negara lain? Pasal 56 UU PDP sama sekali tidak menjawab hal tersebut dan tidak menempatkan kedaulatan rakyat sebagai pemilik kedaulatan Data Pribadi yang sejati. Seolah – olah persoalan transfer Data Pribadi hanya dianggap sebagai persoalan teknis atau aspek dagang yang tidak berdampak jauh pada kehidupan rakyat; 12 2.18. Bahwa hal ini menjadikan jika Pemerintah menafsirkan secara sepihak makna Pasal 56 UU PDP dapat berakibat kepada potensi kerugian konstitusional yang meluas dan mendasar terhadap rakyat Indonesia termasuk Pemohon berdasarkan Pasal 28G ayat (1) UUD 1945; Harapan Akan Hilangnya Kerugian Konstitusional Melalui Penafsiran Konstitusional 2.19. Bahwa harapan Pemohon adalah Pemerintah / Presiden konsisten terhadap pengakuan kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945. Dengan demikian, maka Pasal 11 ayat (1) dan Pasal 11 ayat (2) UUD 1945 harus diterapkan terhadap Pasal 56 UU PDP. Hal ini dikarenakan hal yang paling prinsipil dalam perlindungan Data Pribadi adalah persetujuan Subjek Data Pribadi, dengan demikian harus terdapat representasi dari persetujuan rakyat apabila Pemerintah hendak melakukan transfer Data Pribadi ke negara lain. Dengan adanya mekanisme tersebut, Pemohon berharap setidaknya ada perlindungan lebih terhadap hak konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD 1945 sesuai semangat dalam Putusan MK No.151/PUU-XXII/2024; 3. ALASAN PERMOHONAN Persetujuan Subjek Data Pribadi Dan Adequacy Decision 3.1. Bahwa untuk mengurai permohonan ini, pertama kita akan membuat dahulu permodelan normanya sehingga kita mendapatkan batasan definisi dan prinsip yang dibutuhkan sebagai acuan kerangka teoritis tentang transfer data lintas yurisdiksi untuk kemudian mengurai pertentangan konstitusionalnya sebagai norma abstrak. Definisi merujuk kepada fakta atomik atau proposisi yang dimungkinkan dalam kenyataan. Penentuan fakta atomik juga didasari pada UU PDP itu sendiri; 3.2. Bahwa karena norma yang diuji adalah Pasal 56 UU PDP, maka konsep yang akan digali adalah konsep “Persetujuan Subjek Data Pribadi” dan konsep “Adequacy Decision” atau keputusan kesetaraan perlindungan Data Pribadi. Konsep tersebut kemudian akan dipertautkan dengan konsep “Kedaulatan Rakyat” sehingga kita dapat memahami apa yang dimaksud dengan “Kedaulatan Data”. Sebelum memulai, kita harus memahami dulu bahwa pengertian “data” itu sendiri sesungguhnya sudah merujuk kepada suatu fakta atomik. Kemudian, karena melekat kepada “pribadi” maka Data Pribadi 13 merupakan fakta atomik yang merujuk kepada subjek hukum tertentu. Fakta yang didalamnya terdapat informasi tentang kucing yang sedang makan di pinggir sungai bukan merupakan Data Pribadi, sedangkan fakta yang didalamnya terdapat informasi tentang Rega Felix yang sedang merenung di pinggir sungai adalah Data Pribadi. Apabila seseorang hendak mendapatkan informasi tentang Rega Felix yang sedang merenung dipinggir sungai, maka terjadi proses perolehan Data Pribadi oleh selain Subjek Data Pribadi. Dalam konteks masyarakat yang telah mengenal hukum terdapat definisi bagaimana Data Pribadi dapat diperoleh, yang terdiri dari: Definisi (i): “terdapat Data Pribadi yang diperoleh berdasarkan persetujuan tertentu.”; Definisi (ii): “terdapat Data Pribadi yang diperoleh karena hukum.”; Contoh (i): sebuah bank meminta KTP, email, nomor handphone, dan biometric dari Pemohon memerlukan persetujuan dari Pemohon sebagai Subjek Data Pribadi; Contoh (ii): ketika Pemohon lahir di dunia Data Pribadi Pemohon dicatat oleh dinas kependudukan, atau data transaksi Pemohon dapat diminta oleh petugas pajak tanpa persetujuan dari Pemohon, atau bahkan negara dapat mencatat peristiwa tertentu yang terdapat Pemohon sebagai rigid designator adalah termasuk Data Pribadi Pemohon yang diperoleh tanpa persetujuan Pemohon namun demi kepentingan hukum. Umumnya Data Pribadi yang diperoleh karena hukum adalah data yang berkaitan dengan kepentingan publik atau yang pada prinsipnya adalah publik. Ketika Pemohon merenung di pinggir sungai yang bukan milik Pemohon (publik), maka tiada larangan secara hukum untuk mendapatkan informasi terhadap Pemohon. Pemohon sebagai objek adalah informasi milik publik dalam aprehensi subjek lainnya; 3.3. Bahwa timbul pertanyaan: apakah Data Pribadi yang diperoleh karena hukum pada hakikatnya adalah tanpa persetujuan? Pada prinsipnya adalah tetap dengan persetujuan karena harus tetap berdasarkan hukum. Misalkan petugas pajak mengambil Data Pribadi dalam rangka penegakan hukum pajak. Hal ini dapat dilakukan karena pada prinsipnya pajak adalah harus berdasarkan 14 persetujuan sesuai dengan prinsip “no taxation without representation”. Bahkan, pihak ketiga non-negara juga mungkin untuk meminta Data Pribadi tanpa persetujuan pemilik Data Pribadi sepanjang memiliki legitimate interest untuk hal tersebut. Namun, perlu diperhatikan bahwa legitimate interest harus dilakukan sesuai hukum (lawful basis), misalkan untuk kepentingan penegakan hukum, aktivitas jurnalisme, hingga penelitian sebagai fondasi dari masyarakat demokratis. Namun, meskipun didapat dari ruang publik, tidak diperbolehkan foto Pemohon sedang merenung di pinggir sungai digunakan untuk iklan obat batuk tanpa persetujuan dari Pemohon. Sebagai komparasi pengantar dapat lihat paragraf 47 pembukaan Regulation (Eu) 2016/679 Of The European Parliament and of The Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (“EU GDPR”) (Bukti P-10); 3.4. Bahwa berdasarkan norma tersebut, maka definisi (i) dan (ii) dapat dikatakan valid dalam kenyataan. Kemudian, dari cara perolehan Data Pribadi kita juga dapat kaitkan dengan kategorisasi Data Pribadi, termasuk memungkinkan terdapatnya special categories yang perlakuannya bersifat khusus. Bahwa dari kategori di atas, maka jika dikaitkan dengan makna persetujuan Subjek Data Pribadi dapat dikatakan persetujuan Subjek Data Pribadi terdiri dari: Definisi (iii): “terdapat persetujuan Subjek Data Pribadi secara umum (persetujuan umum/general consent).” Definisi (iv): “terdapat persetujuan Subjek Data Pribadi secara tertentu (persetujuan tertentu/particular consent).”; 3.5. Bahwa secara pengertian, general consent adalah persetujuan umum terhadap penggunaan Data Pribadi untuk kepentingan tertentu baik yang diperoleh berdasarkan persetujuan tertentu atau karena hukum. Timbul pertanyaan, mengapa Data Pribadi yang diperoleh berdasarkan persetujuan tertentu termasuk dalam persetujuan Subjek Data Pribadi secara umum (general consent)? Hal ini dikarenakan A untuk mendapatkan data pribadi B harus sah secara hukum meskipun telah mendapatkan persetujuan, dan untuk dapat dinyatakan sah secara hukum, maka suatu hukum yang berlaku harus terdapat kesepakatan secara umum (lawfulness). Sedangkan, particular consent adalah suatu persetujuan atas peristiwa pemberian Data Pribadi 15 secara konkrit. Contoh: A mendapatkan Data Pribadi dari B adalah berdasarkan particular consent; 3.6. Bahwa berdasarkan pengertian tersebut, maka dapat dikatakan terdapat: Prinsip 1: “di dalam persetujuan umum mencakup persetujuan tertentu.” Makna ini corollary dengan: Prinsip 2: “keberadaan persetujuan umum tidak menegasikan keberadaan persetujuan tertentu.”; 3.7. Bahwa untuk mempermudah ilustrasikan contoh berikut: untuk memperoleh Data Pribadi kependudukan, negara tidak perlu memperoleh persetujuan dari Subjek Data Pribadi karena bersumber dari kewajiban hukum. Namun, penggunaan data kependudukan bisa disalahgunakan oleh pihak lain (Bukti P-17), maka tetap harus dijaga. Misalkan KTP Pemohon diminta oleh sebuah bank, maka bank tetap harus menerima particular consent dari Pemohon. General consent adalah peraturan yang mewajibkan Pengendali Data Pribadi untuk melindungi Data Pribadi Pemohon (misal: UU PDP), kemudian norma tersebut dijewantahkan dengan sertifikasi ISO 27001 yang salah satu klausulnya mewajibkan meminta persetujuan dari Pemohon. Dinas kependudukan juga adalah Pengendali Data Pribadi Pemohon, maka juga diwajibkan untuk sertifikasi ISO 27001. Kemudian, dalam rangka menjalankan prinsip kehati-hatian, bank perlu melakukan verifikasi data KTP Pemohon kepada dinas kependudukan. Karena bank hendak mengakses Data Pribadi melalui dinas kependudukan untuk proses verifikasi, maka diterapkan prinsip kesetaraan (adequacy), sehingga hanya bank yang telah bersertifikat ISO 27001 yang dapat melakukan verifikasi kepada dinas kependudukan. Berdasarkan ilustrasi tersebut, maka meskipun telah ada general consent yang mewajibkan perlindungan Data Pribadi, tetapi jika bank hendak memperoleh KTP Pemohon tetap wajib memerlukan persetujuan Pemohon. Ketika bank sudah memiliki sertifikat ISO 27001 tidak menjadikan kewajibannya untuk meminta particular consent menjadi hilang; 3.8. Bahwa dari contoh tersebut kita dapat melihat hubungan antara general consent dan particular consent. Selain itu, sesungguhnya kita juga sudah mendapatkan gambaran tentang prinsip adequacy atau kesetaraan perlindungan Data Pribadi. Pengertian adequacy secara sederhana yaitu: “saya sudah menjaga data ini secara baik, sehingga jika anda ingin mendapatkan data ini, maka anda juga harus memperlakukannya secara baik”. 16 Prinsip ini merupakan general consent yang mewajibkan dua pihak yang mengendalikan/memproses data tersebut untuk melindungi Subjek Data Pribadi. Dengan adanya hal tersebut, Subjek Data Pribadi merasa aman karena dengan kesetaraan, penegakan hukum dapat dilakukan terhadap keduanya. Dari contoh sebelumnya, terlihat bahwa dinas kependudukan mendapatkan Data Pribadi Pemohon berdasarkan general consent berupa UU Administrasi Kependudukan, sedangkan bank mendapatkan Data Pribadi Pemohon berdasarkan particular consent. Kemudian, hubungan keduanya diatur berdasarkan general consent (UU PDP) yang mewajibkan kedua belah pihak untuk sama-sama menerapkan standar ISO 27001; 3.9. Bahwa contoh di atas dapat dibayangkan ketika terdapat satu regulasi dalam satu wilayah yurisdiksi. Sekarang kita akan masuk kepada Pasal 56 ayat (1) UU PDP yang memungkinkan terjadinya transfer data lebih dari 1 wilayah yurisdiksi. Sebagai contoh kita menggunakan aplikasi WhatsApp, Google Maps, ChatGPT, Xiaomi Health, Line, atau apapun itu, maka Data Pribadi kita kemungkinan besar berpindah dari satu yurisdiksi kepada yurisdiksi lainnya. Sehingga, mungkin saja persetujuan dilakukan di dalam wilayah yurisdiksi tertentu, sedangkan penggunaannya dilakukan di luar wilayah tertentu. Berdasarkan hal tersebut, maka melalui Pasal 56 ayat (1) UU PDP, persetujuan Subjek Data Pribadi secara tertentu (iv) dapat terbagi menjadi: Definisi (v): “terdapat persetujuan Subjek Data Pribadi yang terjadi dan digunakan di wilayah yurisdiksi negara tempat terjadinya persetujuan.” Definisi (vi): “terdapat persetujuan Subjek Data Pribadi yang terjadi dan digunakan di luar wilayah yurisdiksi negara tempat terjadinya persetujuan.” 3.10. Bahwa dari definisi (vi), apabila kita merujuk kepada Pasal 56 ayat (2), ayat (3), dan ayat (4) UU PDP, maka kemudian definisi (vi) dapat terbagi menjadi: Definisi (vii): “terdapat persetujuan Subjek Data Pribadi yang terjadi dan digunakan di luar wilayah yurisdiksi negara tempat terjadinya persetujuan yang memiliki kesetaraan pelindungan Data Pribadi.” Definisi (viii): “terdapat persetujuan Subjek Data Pribadi yang terjadi dan digunakan di luar wilayah yurisdiksi negara tempat terjadinya 17 persetujuan yang tidak memiliki kesetaraan pelindungan Data Pribadi.”; 3.11. Bahwa perlu diketahui, jika terdapat berita yang menyatakan selama ini Data Pribadi warga negara Indonesia juga telah “bocor” ke Amerika, misalkan melalui WhatsApp, Google, atau lain sebagainya, maka kita sedang membahas mengenai Data Pribadi dalam definisi (vi). Hal tersebut memang sudah dilaksanakan bahkan bukan hanya ke Amerika, mungkin saja ke negara lain seperti China. Sebagai contoh: Pemohon menggunakan Xiaomi Smartwatch untuk menghitung tingkat kesehatan Pemohon misalkan detak jantung selama olah raga treking. Maka, Data Pribadi berupa data kesehatan jantung mungkin akan terkirim ke China sebagai negara produsen Xiaomi, sedangkan jalur treking Pemohon karena terhubung kepada Google Maps, mungkin saja akan terkirim ke Amerika sebagai negara produsen Google Maps. Mengapa hal tersebut bisa terjadi? Karena Pemohon secara sadar mengunduh aplikasinya dan memberikan persetujuan penggunaan layanan (SCC), sehingga Pemohon menerima manfaat layanan dari aplikasi yang digunakan dengan trade-off Data Pribadi Pemohon dimiliki oleh mereka; 3.12. Bahwa sampai dengan saat ini, hal tersebut telah berjalan tanpa ada kesepakatan mengenai transfer data seperti yang saat ini dikhawatirkan masyarakat setelah kesepakatan Indonesia - Amerika, lalu apa yang menjadi isu? Isu yang terjadi adalah selama ini persetujuan penggunaan layanan dilakukan baik secara business to business (B2B) atau business to customer (B2C). Ketika saat ini yang menginisiasi adalah antar Pemerintah (G2G), maka isu semakin “liar”, karena timbul pertanyaan: apakah maksudnya adalah untuk memperkuat hubungan komersial yang selama ini sudah berjalan (B2B/B2C) atau justru ada agenda tertentu yang melampaui hubungan komersial? Misalkan adanya “invisible handshake” sebagaimana dinyatakan Michael Birnhack dan Niva Elkin-Koren: “Whether the Big Brother we distrust is government and its agencies, or multinational corporations, the emerging collaboration between the two in the online environment produces the ultimate threat” (Anupam Chander dan Haochen Sun (ed), 2023: 23) (Bukti P-16). Mengapa isu ini liar? Hipotesisnya adalah: 1) Data Pribadi tidak terbatas pada Data Pribadi yang diperoleh berdasarkan persetujuan tertentu saja (i), tetapi mencakup Data Pribadi yang diperoleh karena hukum (ii); dan: 2) selama ini 18 hubungan transfer data secara B2B/B2C juga sudah berjalan dan tetap tunduk kepada UU PDP baik terhadap Amerika, China, atau negara apapun; 3.13. Bahwa kekhawatiran kepada hipotesis 1) adalah jika Data Pribadi mencakup kepada definisi (ii), maka bagaimana keamanan mengenai data kependudukan, data perpajakan, data pertanahan, data transaksi, dan lain sebagainya yang di dalamnya melekat Data Pribadi sedangkan Pemerintah tidak pernah meminta persetujuan dari rakyat untuk memperolehnya? Sebagai contoh sekarang lagi berkembang isu transaksi payment ID terkait keamanan Data Pribadi. Pertanyaannya, apakah transfer Data Pribadi seperti definisi (ii) tidak pernah dilaksanakan? Menurut Pemohon tidak juga, karena adanya hubungan diplomasi antar negara yang memungkinkan pertukaran informasi. Misalkan terdapat DPO/buron dari Indonesia ke luar negeri, maka mungkin saja terdapat pertukaran informasi yang di dalamnya melekat Data Pribadi. Prosedur APU-PPT juga memungkinkan pertukaran informasi Data Pribadi dilakukan. Dalam konteks Amerika, pelaksanaan regulasi section 702 FISA sebagai dasar surveilans intelejen Amerika juga menjadi perdebatan yang sengit terhadap perlindungan Data Pribadi (Bukti P-19). Berdasarkan hal tersebut, kemudian sejauh apa dampak dari kesepakatan Amerika dan Indonesia terkait transfer Data Pribadi? Kemudian, kekhawatiran terhadap hipotesis 2) adalah misalkan selama ini WhatsApp, Google, dan lain sebagainya juga sudah mendapatkan Data Pribadi dari warga Indonesia berdasarkan persetujuan pengguna layanan, lalu apakah ternyata transfer data tersebut justru bermasalah sehingga diperlukan inisiasi pemerintah untuk membuka halangan Data Pribadi kepada Amerika? Selama ini hubungan B2B/B2C bersifat resiprokal secara langsung yaitu dalam bentuk penggunaan layanan. Sedangkan, dengan adanya inisiasi Pemerintah, memunculkan pertanyaan: apa dampak resiprokal tambahan yang akan diterima warga Indonesia? Kekhawatiran ini kemudian dapat memicu isu apakah inisiasi Pemerintah ini kemudian berdampak kepada keterbukaan akses Data Pribadi warga negara Indonesia untuk menjadi data sets bagi artificial intelligence (AI) dalam agenda AI-Race Amerika? Kemudian, pertanyaan lanjutannya, andai terjadi hal tersebut apakah ada jaminan keamanaan terhadap rakyat Indonesia? Bagaimana jika AI dapat menggunakan Data Pribadi untuk keperluan di luar kontrol Pemerintah (unforeseeable misuse)? Misalkan 19 melampaui batas operasi intelejensi konvensional. Penggunaan AI sebagai instrumen perang/intelejen bukan alat tabu lagi. Hal ini sebagaimana dalam penelitian Anthony King berjudul: “Digital Targeting: Artificial Intelligence, Data, and Military Intelligence” (Bukti P-11). Pertanyaan kepada Pemerintah adalah apakah Pemerintah Indonesia memiliki perangkat teknologi, kapasitas, dan parameter untuk mengukur bahwa Data Pribadi yang ditransfer dan digunakan masih dalam kategori “reasonably foreseeable misuse”? Permasalah ini juga dibahas serius di berbagai negara sebagaimana dalam penelitian akademis dalam Bukti P-16; 3.14. Bahwa perlu diketahui, setelah perang dunia ke-2, sifat dari perang berubah dari perang konvensional kepada perang deterensi melalui penguasaan ilmu pengetahuan. Perang dingin menciptakan space-race dan space-race masih terus berlangsung sampai sekarang. Era informasi menciptakan perlombaan baru yaitu artificial intelligence-race. AI membutuhkan data yang sangat besar, bahkan dianggap sebagai “new oil” (Anupam Chander dan Haochen Sun (ed), 2023: 264) (Bukti P-16). Penguasaan data sets sebagai bahan training AI akan sangat mempengaruhi pemenangan AI-race. Implikasi dari kepenguasaan data adalah sistem AI tersebut akan memiliki kemampuan yang unggul. Berdasarkan hal tersebut, maka data dominance sangat mempengaruhi bentuk dari perang modern. Hal ini dinyatakan dalam artikel yang ditulis oleh Claudia Gilbert berjudul: “Data Dominance in Modern Warfare the Crucial Role of AI and Data Analytics” sebagaimana dalam: (sumber: https://theforge.defence.gov.au/article/data-dominance-modern- warfare-crucial-role-ai-and-data-analytics diakses pada 27 Juli 2025 Pukul 17:55 WIB) (Bukti P-12) Penggunaan Data Pribadi dikaitkan dengan intelejensi suatu negara menjadi isu yang teramat sentral di dunia. Dalam konteks Amerika, isu ini berkaitan dengan kebijakan Amerika melalui Section 702 dari Foreign Intelligence Surveillance Act (FISA) yang mengatur mengenai prosedur untuk mentarget orang tertentu di luar Amerika Serikat. Isu ini menjadi sentral debat antara Uni Eropa dengan Amerika. Antara Uni Eropa dengan Amerika telah melakukan translantic data transfer di bawah suatu perjanjian internasional yang bernama EU – US Privacy Shield yang ditetapkan pada 2016 (Bukti P-13). EU – US Privacy Shield memang bersifat komersial untuk memperlancar arus data ke Amerika, namun Uni Eropa khawatir terhadap keamanan pribadi rakyatnya 20 khususnya akses Pemerintah AS terhadap Data Pribadi warganya. Kekhawatiran tersebut memuncak hingga EU – US Privacy Shield dibatalkan oleh European Union Court Of Justice pada 2020 melalui putusan Nomor C:311/18 (EU:C:311/18) atau sering disebut dengan Schrems II (Bukti P-19) yang menyatakan: “Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 pursuant to Directive 95/46/EC of the European Parliament and of the Council on the adequacy of the protection provided by the EU-US Privacy Shield is invalid.” 3.15. Bahwa salah satu temuan dari EU Court of Justice adalah permasalahan otoritas publik dalam mengakses dan menggunakan Data Pribadi, sebagaimana dinyatakan dalam pertimbangan hukumnya: Paragraf 185 EU:C:311/18 “In those circumstances, the limitations on the protection of personal data arising from the domestic law of the United States on the access and use by US public authorities of such data transferred from the European Union to the United States, which the Commission assessed in the Privacy Shield Decision, are not circumscribed in a way that satisfies requirements that are essentially equivalent to those required, under EU law, by the second sentence of Article 52(1) of the Charter” (Bukti P-19) Di mana salah satu regulasi yang dipermasalahkan adalah section 702 FISA, sebagaimana dinyatakan: Paragraf 181 EU:C:311/18 “According to the findings in the Privacy Shield Decision, the implementation of the surveillance programmes based on Section 702 of the FISA is, indeed, subject to the requirements of PPD-28. However, although the Commission stated, in recitals 69 and 77 of the Privacy Shield Decision, that such requirements are binding on the US intelligence authorities, the US Government has accepted, in reply to a question put by the Court, that PPD-28 does not grant data subjects actionable rights before the courts against the US authorities. Therefore, the Privacy Shield Decision cannot ensure a level of protection essentially equivalent to that arising from the Charter, contrary to the requirement in Article 45(2)(a) of the GDPR that a finding of equivalence depends, inter alia, on whether data subjects whose personal data are being transferred to the third country in question have effective and enforceable rights.” (Bukti P-19); 3.16. Bahwa Uni Eropa dan Amerika yang memiliki hubungan baik saja juga sangat hati-hati terhadap isu ini, bahkan sudah menjadi dokumen hukum yang tertuang dalam putusan pengadilan (Bukti P-19). Dengan demikian, putusan tersebut merupakan hard fact dan dapat menjadi referensi yuridis yang valid 21 untuk menilai fakta empirik/praktik yang terjadi terkait transfer Data Pribadi lintas batas negara. Selain itu, Amerika juga pernah menghadapi skandal bocornya data intelejen oleh Edward Snowden dan bocornya Data Pribadi secara masif dalam skandal Cambridge Analytica. Maka, wajar saja Uni Eropa juga khawatir dengan keamanan Data Pribadi warganya; 3.17. Bahwa perasaan saling curiga ini sangat biasa di antara negara maju. China juga pernah menghapus aplikasi Didi dari Chinese app store setelah melantai di bursa New York Exchange (Anupam Chander dan Haochen Sun (ed), 2023: 9) (Bukti P-16), di sisi lain Amerika juga pernah melarang TikTok di negaranya (Anupam Chander dan Haochen Sun (ed), 2023: 73) (Bukti P-16). India juga akhirnya mengambil posisi proteksionis terhadap Data Pribadi warganya (Bukti P-16). Permasalahan Data Pribadi adalah permasalahan yang sangat rumit, sehingga Pemohon berharap Indonesia meskipun negara berkembang bukan hanya sebagai pengguna saja, tetapi sadar bahwa persoalan ini adalah persoalan global yang serius; 3.18. Bahwa melalui permohonan ini Pemohon sekaligus mengajak agar kita merenungkan secara mendalam permasalahan tersebut. Pertanyaan yang perlu direnungkan: jika Indonesia dianggap sebagai negara yang “lebih rendah”, misal dalam pengembangan teknologi dan PDP, apakah adil Data Pribadi rakyatnya dieksploitasi hanya karena negara tujuan dianggap “lebih tinggi”? Apakah Data Pribadi orang Eropa lebih berharga dari Data Pribadi orang Indonesia sehingga bisa ada perlakuan yang berbeda? Apa bedanya Data Pribadi orang Indonesia, orang Eropa, orang China, orang Brazil, orang Malaysia sehingga bisa diperlakukan berbeda? Bukankah kita sama – sama manusia yang seharusnya memiliki kesadartahuan yang sama? Jika Eropa dapat menolak, lalu apakah negara berkembang tidak dapat menolak? Pemohon khawatir banyak yang “meremehkan” hal ini hanya sebatas seperti bermain media sosial atau berbelanja di marketplace atau business as usual saja atau hanya dianggap barang dagangan. Padahal, isu mengenai ini sangat meluas dan berdampak serius. Jangan hanya berdasarkan narasi asumsi populer saja, misal dengan argumen selama ini Data Pribadi juga sudah bocor jadi tidak ada permasalahan transfer Data Pribadi dilakukan. Argumentasi seperti itu harus dikesampingkan. Permasalahan ini harus benar – benar dikaji secara akademik dan strategis secara mendalam. Dapat diibaratkan sebaiknya 22 kita tidak terlalu tergesa – gesa karena Uni Eropa yang bahkan berani membatalkan EU – US Privacy Shield yang mengguncang industri teknologi Amerika tetap mendapatkan potongan tarif 15%. Dengan demikian, alangkah baiknya kita tidak menggadaikan kedaulatan data milik rakyat tanpa pertimbangan strategis yang tepat. Bangsa Indonesia adalah bangsa besar dengan pasar yang besar dan kekayaan alam berlimpah, sehingga tidak patut menjadi bangsa inferior; 3.19. Bahwa Indonesia tidak dapat dikatakan tidak memiliki data yang berharga termasuk Data Pribadi. Hanya saja berbeda dengan Uni Eropa dan Amerika yang sudah memiliki perjanjian internasional mengenai transfer data, sedangkan kita belum pernah melaksanakan Pasal 56 UU PDP secara sungguh – sungguh. Sehingga, dapat dikatakan kita memerlukan kerangka teoritis untuk mengurai model norma dalam definisi (vii) dan (viii) sebelum melangkah jauh. Contoh yang terjadi antara Uni Eropa dan Amerika dapat menjadi pembelajaran yang menarik untuk diperbandingkan. Selain itu, kita juga harus kaji terhadap perkembangan teknologi yang ada termasuk AI karena Uni Eropa telah memiliki regulasi mengenai AI. Salah satunya adalah adanya perlindungan terhadap hak asasi manusia yang bersifat mendasar sehingga terdapat fundamental rights impact assessment yang bahkan sebelumnya tidak ada dalam EU GDPR (vide Article 27 EU AI Act); 3.20. Bahwa prinsip adequacy decision sebagai dasar norma pelaksanaan EU – US Privacy Shield diatur di dalam Article 45 EU GDPR, seperti berikut (Bukti P- 10): 23 Setelah kita membaca, terlihat bahwa Pasal 56 ayat (2) UU PDP sesungguhnya adalah mengadopsi prinsip adequacy decision dari EU GDPR. Namun, perbedaannya di dalam EU GDPR yang berkewajiban memutus apakah suatu negara/yurisdiksi lain telah memenuhi kesetaraan (adequacy) adalah EU Commission, sedangkan di dalam UU PDP yang berkewajiban memastikan justru adalah Pengendali Data Pribadi/Prosesor Data Pribadi; 3.21. Bahwa jika kita lihat konstruksi norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP, subjek hukum yang dapat melakukan transfer Data Pribadi ke luar wilayah yurisdiksi Indonesia adalah Pengendali Data Pribadi/Prosesor Data Pribadi, namun sekaligus juga adalah subjek hukum yang diwajibkan untuk menilai kesetaraan. Dengan demikian, timbul pertanyaan mendasar: 1) Apakah subjek hukum tersebut memiliki kapasitas untuk menilai peringkat perlindungan Data Pribadi suatu negara?; 2) Apakah terdapat keseragaman interpretasi atas peringkat negara sebagaimana yang dinilai oleh subjek hukum tersebut?; 24 3) Siapa yang memiliki kewenangan untuk mengevaluasi peringkat tersebut?; Kita ambil contoh: misalkan sebuah perusahaan lokal hendak melakukan transfer data ke perusahaan di China, lalu bagaimana menilai perusahaan lokal tersebut dalam menilai kesetaraan perlindungan Data Pribadi kepada perusahaan di China?; 3.22. Bahwa permasalahan lain dapat muncul dari definisi (i) dan definisi (ii). Dari definisi tersebut, memungkinkan Data Pribadi diperoleh karena hukum tanpa persetujuan tertentu, misalkan data kependudukan, data perpajakan, data transaksi, data pertanahan yang dikuasai negara. Berdasarkan UU PDP, institusi negara juga adalah subjek hukum yang dapat menjadi Pengendali Data Pribadi/Prosesor Data Pribadi. Kemudian, Pemerintah juga mungkin melakukan pertukaran informasi dengan negara lain. Kemudian, yang menjadi pertanyaan: siapa yang menentukan persetujuan Subjek Data Pribadi terhadap tindakan Pemerintah tersebut?; 3.23. Bahwa bayangkan jika tidak diatur, maka mungkin saja presiden “mengobral” Data Pribadi kepada 100 negara secara asal – asalan. Bisa saja Data Pribadi tersebut diolah oleh AI, kemudian ketika situasi geopolitik tidak menentu, tiba- tiba rakyat diikuti oleh drone berbasis AI yang tidak diketahui asalnya. Bagaimana jika drone merupakan bagian dari spionase atau bahkan dapat bersifat lethal? Apakah hal tersebut mungkin? Di era saat ini hal tersebut bukan science-fiction (Bukti P-20). Sebagai contoh, perang modern banyak sekali penggunaan teknologi yang luar biasa, termasuk kasus peledakan pager hingga presisi target orang tertentu. Maka dari itu, wajar negara-negara di dunia khawatir, dan wajar Pemohon merasa dirugikan hak konstitusionalnya berdasarkan Pasal 28G ayat (1) UUD 1945 karena dari Data Pribadi Pemohon jika diobral dengan mudah dapat menimbulkan ancaman ketakutan yang luar biasa; 3.24. Bahwa isu ini dibahas secara serius oleh negara – negara dunia khususnya negara maju yang juga mengembangkan AI. Bagi Pemohon persoalan Data Pribadi adalah permasalahan yang “menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat” sebagaimana dimaksud Pasal 11 ayat (2) UUD 1945. Bahkan, dalam konteks tertentu, dapat dimaknai sebagai “perjanjian dengan negara lain” sebagaimana dimaksud Pasal 11 ayat (1) UUD 25 1945 yang memiliki tingkat strategis setara dengan perang meskipun bersifat non-perang. Melihat perkembangan teknologi yang sangat pesat dan kekhawatiran masyarakat dunia, tidak berlebihan mengkaitkan permasalahan Data Pribadi sebagai bagian dari kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945 3.25. Bahwa bahkan tidak berlebihan jika persoalan transfer Data Pribadi ke negara lain dikatakan sebagai suatu persoalan yang “menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara”. Pada tahun 2017, berdasarkan riset dikatakan bahwa Indonesia membutuhkan investasi sebesar US$65 miliar untuk meningkatkan keamanan siber. (sumber: https://bskdn.kemendagri.go.id/website/riset-cisco-indonesia-perlu- investasi-us-62-miliar-untuk-tangkal-serangan-siber/ diakses pada 27 Juli 2025 Pukul 19:32 WIB) (Bukti P-14); 3.26. Bahwa hal tersebut menunjukan investasi di bidang keamanan siber memang bernilai sangat fantastis karena merupakan teknologi tinggi. Terlebih jika dikaitkan dengan perkembangan AI hingga saat ini yang akan merubah secara signifikan nilai investasi tersebut. Berdasarkan “Global Cybersecurity Outlook 2025” yang diterbitkan World Economic Forum (Bukti P-15) terdapat perubahan yang perlu diantisipasi di masa depan di mana AI menempatkan posisi sangat tinggi: AI merupakan teknologi yang sudah di depan mata yang terus berkembang. Menurut laporan World Economic Forum salah satu teknologi yang harus diantisipasi adalah quantum computing. Dengan berkembangnya quantum computing, maka akan terjadi perubahan yang teramat sangat signifikan 26 terhadap keamanan siber. Dengan demikian, kita dapat berasumsi investasi keamanan siber di masa depan akan dapat sangat melonjak tinggi mengingat perubahan teknologi yang signifikan. Signifikansi tersebut akan mempengaruhi beban keuangan negara untuk menjamin keamanan dan keselamatan rakyatnya melalui keamanan Data Pribadi milik rakyat. Sebagai contoh: misalkan Pemerintah sudah melakukan transfer Data Pribadi kepada negara lain, lalu apakah Pemerintah memiliki perangkat bahwa Data Pribadi rakyat Indonesia digunakan oleh sistem AI dalam batas “reasonably foreseeable misuse”? Apakah Pemerintah memiliki tools untuk menilai sistem AI yang explainable dan auditable (XAI)? Apakah Pemerintah Indonesia benar – benar telah investasi di bidang pengembangan AI atau hanya sebagai pengguna AI? Atau, misalkan jika Data Pribadi tersebut berada dalam lalu lintas data tertentu, apakah Pemerintah memiliki sistem pertahanan enkripsi yang lebih tinggi jika quantum computing sudah digunakan? Seberapa besar Pemerintah investasi terhadap hal tersebut? Sebagai contoh kasus terjadi kebocoran Data Pribadi di sistem AI juga terjadi (Bukti P-21) dan kita ketahui sistem AI ada banyak, sehingga Pemerintah harus benar – benar memiliki jaminan keamanan yang memadai. Mari direnungkan pusat data nasional yang ada di dalam negeri saja sistem keamanannya jebol (Bukti P-22), lalu bagaimana Pemerintah menjamin keamanan Data Pribadi milik rakyat di negara lain?; 3.27. Bahwa oleh karena itu, sebaiknya kita tidak menjadikan AI hanya sebatas narasi politik atau gimik populer. Pemohon membaca laporan ternyata kita masih memiliki kapasitas lembaga pengawas AI yang terbatas yang ditandai oleh ketiadaan tenaga ahli seperti auditor yang mampu menilai bias, fairness, dan keamanan sistem; ketimpangan digital yang tinggi; literasi digital yang rendah; tata kelola keamanan data publik masih terfragmentasi; minimnya riset AI; pendanaan riset AI yang rendah; keterbatasan kualitas dan kurasi data riset AI; peneliti AI yang sangat terbatas hingga potensi brain drain talenta digital; apresiasi Pemerintah yang rendah terhadap talenta AI; hingga masih kurangnya pendanaan di bidang AI. Berbicara soal riset, mari kita buka data berapa gaji dosen yang merupakan ujung tombak riset Indonesia? AI bukan merupakan barang jadi yang langsung dapat dimakan, tetapi membutuhkan riset yang sangat intensif dan mendalam. Di negara maju penghormatan terhadap dosen sangat tinggi karena AI tidak dapat dilepaskan dari hasil riset 27 mereka. Berikan saja satu contoh negara maju yang mengembangkan AI dengan merendahkan martabat dosen. Sedangkan, yang Pemohon rasakan sebagai dosen di Indonesia hanya digaji ratusan ribu per bulan. Bahkan keringat kerja keras dosen tidak dihargai karena idenya kerap diambil oleh politisi untuk kepentingan politik. Sangat wajar jika ribuan orang Indonesia setiap tahunnya melepas kewarganegaraan Indonesia khususnya intelektual yang memiliki talenta. Bahkan, 700an dosen mengundurkan diri secara bersamaan. Kondisi ini membuat Pemohon khawatir kenapa guru dan dosen yang tidak dihargai di negeri ini. China dan India dulu berada pada posisi yang setara dengan Indonesia, lalu bandingkan pencapaian kedua negara tersebut dengan Indonesia. Jangan rakyat hanya diberikan angan - angan kosong. Terhadap dalil 3.26 dan 3.27 ini sebaiknya Pemerintah menyajikan data bukti apa adanya dan menunjukan kesiapan bukti bahwa memang Indonesia sudah siap bersaing dalam kontestasi teknologi tinggi di dunia; 3.28. Bahwa perlu diketahui, ketika kita sudah membuka secara luas akses Data Pribadi kepada yurisdiksi negara lain, kita tidak hanya sekedar membuka pintu tanpa pengawasan. Dalam sistem manajemen keamanan informasi diperlukan surveillance secara berkala yang membutuhkan biaya yang sangat besar. Indonesia perlu investasi infrastruktur teknologi hingga menciptakan mekanisme pengawasan terhadap negara penerima untuk memastikan bahwa negara penerima patuh terhadap perlindungan Data Pribadi dan tidak menyalahgunakan penggunaan Data Pribadi milik rakyat Indonesia. Untuk memenuhi itu semua memerlukan biaya yang membebani keuangan negara yang tidak sedikit. Paling tidak sesederhananya adalah Pemerintah harus menyiapkan lembaga Perlindungan Data Pribadi (PDP) sebagaimana yang diamanatkan UU PDP termasuk lingkup tugas dan kewenangannya jika transfer data lintas yurisdiksi ini diterapkan. Setelah membentuk lembaga PDP, kemudian Pemerintah harus memikirkan apakah ada talentanya? Kita renungkan kembali, memangnya Pemerintah menghargai dosen sehingga kita memiliki talenta yang baik? Dosen yang meneliti sekaligus mempersiapkan talenta terbaik. Kemudian pertanyaannya, berapa gaji dosen di Indonesia? Perlu diketahui, kita hidup di era kecerdasan buatan. Kita tidak mungkin bisa membuatnya jika kita sendiri tidak cerdas. Tugas negara adalah mencerdaskan kehidupan bangsa, lalu negara kemana selama ini? 28 Pertanyaan - pertanyaan ini penting dijawab agar AI bukan hanya narasi politik semata dan menyadari kenyataan di masyarakat serta agar Pemerintah tidak dengan mudahnya menggadaikan Data Pribadi rakyatnya di tengah ketidaktahuan masyarakat; 3.29. Bahwa selain itu strategi keamanan siber juga sangat dipengaruhi sensitivitas dari keadaan geopolitik. Hal ini sebagaimana dilaporkan World Economic Forum dalam Global Cybersecurity Outlook 2025 (Bukti P-15): Berdasarkan hal tersebut, maka dapat dikatakan nilai investasi keamanan siber juga sangat mungkin bersifat volatil mengingat konteks geopolitik yang tidak stabil; 3.30. Bahwa berdasarkan data tersebut, maka persoalan transfer Data Pribadi bukan merupakan persoalan sederhana, tetapi persoalan sangat kompleks. Bahkan, menurut Pemohon dapat dikatakan prinsip adequacy saja tidak cukup untuk menentukan sikap yang tepat dalam menilai persoalan transfer Data Pribadi lintas yurisdiksi. Pemohon mencoba memberikan makna semantik terhadap unsur apa saja yang harus diperhatikan dalam menilai permasalahan transfer Data Pribadi antar yurisdiksi, yaitu: 1) Adanya data pribadi (privacy), 2) Adanya peringkat perlindungan data pribadi (adequacy), 3) Adanya relasi antar negara (diplomacy), 4) Adanya nilai strategis negara (ideology); 3.31. Bahwa 4 unsur itu yang akan menentukan sikap kita terhadap persoalan transfer Data Pribadi lintas yurisdiksi. Adapun parameter valuasinya sebagai berikut: Parameter 1: “tidak ada permasalahan data pribadi secara umum ditransfer apabila dalam semua dunia kemungkinan terdapat 29 perlindungan yang setara dan memiliki ideologi yang tidak bertentangan dan memiliki hubungan diplomasi yang dapat diakses.” Parameter 2: “mungkin data pribadi secara umum dapat ditransfer apabila terdapat dunia kemungkinan di mana perlindungan tidak setara dan memiliki ideologi yang tidak bertentangan dan memiliki hubungan diplomasi yang dapat diakses.” Parameter 3: “tidak mungkin data pribadi secara umum dapat ditransfer apabila terdapat dunia kemungkinan di mana perlindungan tidak setara dan memiliki ideologi yang bertentangan dan memiliki hubungan diplomasi yang tidak dapat diakses.” 3.32. Bahwa berdasarkan Pasal 56 ayat (2) UU PDP sesungguhnya jika negara tujuan memiliki perlindungan Data Pribadi yang setara tetapi bisa saja ternyata tidak dilakukan transfer Data Pribadi karena alasan diplomasi atau ideologis. Sebagai contoh andaikan Israel memiliki pengaturan perlidungan Data Pribadi yang jauh lebih tinggi dibanding Indonesia (misal telah memenuhi adequacy level dengan EU GDPR), namun secara ideologis maupun diplomasi mungkin sulit dilakukan, karena jikapun dilakukan kerja sama transfer Data Pribadi tanpa adanya hubungan diplomasi, maka akan sama-sama tidak dapat menegakkan hukumnya masing-masing. Contoh lain misalkan China terhadap Amerika. Misal asumsikan Amerika memiliki perlindungan Data Pribadi yang lebih tinggi dibanding China, namun karena alasan ideologis mungkin berat bagi China untuk melakukan kerja sama transfer Data Pribadi kepada Amerika (vide Article 38 PIPL China). Bahkan, Amerika mengeluarkan kebijakan pembatasan transfer data kepada China karena China termasuk sebagai “countries of concern”. Namun, dalam konteks Indonesia, meskipun tidak terdapat keputusan kesetaraan, sesungguhnya Pasal 56 ayat (4) UU PDP memberikan ruang masih memungkinkan dilakukan transfer Data Pribadi sepanjang ada persetujuan Subjek Data Pribadi. Namun, umumnya dilakukan secara B2B atau B2C. Hanya saja yang menarik adalah kasus China - Amerika karena dua – duanya raksasa teknologi yang bersaing dalam data dominance, sehingga mempelajari dampak ideologi dan diplomasi dalam peta transfer data akan sangat menarik. Secara teoritis mengenai kedaulatan negara atas data juga menjadi perdebatan yang menarik termasuk mengenai penerapan 30 kebijakan “blanket” berupa lokasisasi data. Dari peta geopolitik global saat ini, kita dapat belajar bahwa pelaksanaan transfer data lintas yurisdiksi tidak sesederhana “mencocokan” satu kerangka regulasi dengan regulasi lainnya. Transfer Data Pribadi adalah pedang bermata dua. Kita akan dapat melihat bagaimana Tarik-menarik antara freeflow dan blanket terjadi di tiap negara dalam keunikannya masing-masing (Bukti P-16); 3.33. Bahwa tarik-menarik antara kedaulatan dan transfer data juga dipetakan dalam buku “Data Sovereignity” yang membagi menjadi beberapa bentuk, yaitu: Local copy requirements, Local processing requirements; Export allowed subject to conditions; Export prohibited; Extra-territorial assertion/application of local data privacy law; Local representation requirements (Anupam Chander dan Haochen Sun (ed), 2023: 297) (Bukti P-16). Berkaca dari komparasi empirik berbagai negara di dunia, meskipun Indonesia dapat dikatakan dalam konteks pengembangan teknologi tinggi masih dikatakan sebagai negara berkembang (global south) tetapi seharusnya Indonesia memiliki pendirian yang tegas akan seperti apa arah kebijakannya; 3.34. Bahwa praktik Uni Eropa dan Amerika mungkin menjadi contoh bahwa ketika tidak ada permasalahan dari segi ideologi maupun diplomasi serta pengaturan perlindungan Data Pribadi yang sama-sama tinggi, maka menjadikan translantic data transfer dapat dilakukan melalui EU-US Privacy Shield, meskipun kemudian dibatalkan setelah evaluasi mendalam oleh EU Court of Justice (Bukti P-19). Meskipun Uni Eropa cenderung tidak proteksionis, tetapi justru menaikan standar adequacy dan standar appropriate safeguards (vide EU:C:311/18). Berdasarkan hal ini, maka sesungguhnya permasalahan transfer Data Pribadi sangat kompleks bahkan hingga menyentuh ranah relasi antar negara dan nilai strategis negara dalam “grey area”. Berdasarkan hal tersebut, kemudian timbul pertanyaan ketatanegaraan: siapa yang berwenang untuk memutuskan keputusan tersebut?; 3.35. Bahwa untuk menjawab hal tersebut, maka penting untuk dipahami bahwa perlindungan Data Pribadi merupakan fundamental rights sebagaimana diatur dalam Pasal 28G ayat (1) UUD 1945 (berdasar konsep EU GDPR dan EU:C:311/18). Norma tersebut mentautkan dengan adanya “ancaman ketakutan”, dengan demikian jelas bahwa kesalahan dalam pengelolaan Data Pribadi dapat menyebabkan permasalahan yang mendasar bahkan mungkin 31 saja mengancam nyawa. Berdasarkan definisi (ii) terdapat Data Pribadi yang diperoleh secara hukum. Di sisi lain, persetujuan Subjek Data Pribadi adalah asas yang paling mendasar dalam perlindungan Data Pribadi. Sehingga, siapa yang memberikan persetujuan umum atas perlindungan Data Pribadi terhadap Data Pribadi yang diperoleh tanpa persetujuan tertentu dari Subjek Data Pribadi? Jika pengaturan terhadap hal tersebut tidak jelas, maka memberikan Data Pribadi kepada negara lain sama seperti menyerahkan nyawa rakyat kepada negara lain; 3.36. Bahwa untuk menjawab hal tersebut, maka kita harus menggunakan Prinsip 1 dan Prinsip 2 yaitu adanya general consent dan particular consent yang mana kedua hal tersebut wajib ada dalam suatu tindakan transfer Data Pribadi. Mengapa konsep persetujuan Subjek Data Pribadi seperti saat ini tidak cukup? Hal ini berdasarkan penelitian akademik dari Anne SY Cheung berjudul “From Data Subjects to Data Sovereigns” dalam bab buku Data Sovereignity (Bukti P-16). Cheung menyatakan persetujuan di hadapan perkembangan teknologi menjadi konsep yang lemah: “consent becomes a feeble concept in the face of technologies.” Dalam perkembangan AI, Cheung menyatakan: “facing a deluge of data enhanced with big data and artificial intelligence (AI) technologies, the ability of individuals to rule over their data has almost vanished. Individuals have been diminished into powerless objects when their identities can be easily discovered even through anonymized data, inferences about them can be drawn by AI technologies, and profiles can be built from their online and offline daily lives without their awareness. As a result, protection based on consent and control by individuals becomes illusory in the use of data-driven technologies”. Kemudian Cheung menyatakan: “protection based on the need to obtain consent under the terms of services gives only a false sense of control and security to the data subjects.”. Cheung menekankan pentingnya setiap individu menyadari kedaulatan atas Data Pribadinya sebagaimana dinyatakan: “the regulatory concept of sovereignty has the nation-states claiming absolute power over a domain or a realm of data at its focal point, Now, the same concern is shared by individuals.” (Anupam Chander dan Haochen Sun (ed), 2023: 90) (Bukti P-16); 3.37. Bahwa sebagai akibat dari "melemah-nya" makna persetujuan Subjek Data Pribadi, Cheung mengusulkan adanya bentuk baru dari persetujuan Subjek 32 Data Pribadi. Hal ini sebagaimana dinyatakan: “Current legal instruments on data privacy, which rely heavily on the concept of personal data and a notice and consent regime, have failed to deliver the promise of privacy and autonomy in the digital age. We have seen the “self” being left powerless in countering state requests and corporate intervention. In order to better safeguard our autonomy and rights, we need mechanisms in law and an infrastructure that can give effect to data subjects’ sovereignty. To empower the individuals, arguments have been advanced to implement the model of dynamic consent and to recognize collective data rights” dan kemudian dicontohkan: "Dynamic consent is an option commonly used in biobanks or medical health research databases. The term used to describe personalized, online consent on secure information technology-based platforms. Participants are allowed to engage in the interactive personalized interface as much or as little as they choose or to alter their consent choices in real time. Consent is seen as a process, as an ongoing interaction between researchers and participants. In this way, participants can have better control about the downstream use of their data, which is over both the input and output of their data. Consent becomes dynamic because it allows participants to interact with the researchers over time, to consent to new projects, and to alter their consent choices in light of any new circumstances" (Anupam Chander dan Haochen Sun (ed), 2023: 107) (Bukti P-16); 3.38. Bahwa Pemohon berpikir pemisahan general dan particular consent justru sesuai dengan konsep dynamic consent yang lebih menghormati penghormatan terhadap Subjek Data Pribadi sebagaimana yang digagas oleh Cheung. Model dalam permohonan ini tidak menegasikan hal tersebut dan justru memberikan tambahan permodelan formal untuk memahami bagaimana hal tersebut diterapkan dalam konteks transfer Data Pribadi lintas yurisdiksi; 3.39. Bahwa kompleksitas transfer Data Pribadi lintas yurisdiksi tidak mungkin disanggah baik secara yuridis maupun akademik. Kemudian, siapa yang dapat menentukan / memutus permasalahan yang begitu kompleks? Mungkin Pemerintah akan menjawab bahwa akan dibentuk lembaga PDP yang akan dituangkan dalam peraturan presiden (perpres) sebagai aturan pelaksana dari UU PDP yang mengamanatkan dibentuknya lembaga tersebut (vide Pasal 58 ayat (5) UU PDP). Lembaga PDP tersebut kemudian memiliki kewenangan 33 untuk menilai kesetaraan antara perlindungan Data Pribadi di satu negara dengan negara lainnya, sehingga Pengendali Data Pribadi/Prosesor Data Pribadi tidak kehilangan rujukan untuk memastikan. Hal ini sebagaimana dinyatakan dalam Pasal 60 huruf e dan f UU PDP: “Lembaga sebagaimana dimaksud dalam Pasal 58 ayat (2) berwenang: e. bekerja sama dengan lembaga Pelindungan Data Pribadi negara lain dalam rangka penyelesaian dugaan pelanggaran Pelindungan Data Pribadi lintas negara; f. melakukan penilaian terhadap pemenuhan persyaratan transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia;” 3.40. Bahwa pertanyaan selanjutnya: apakah lembaga PDP yang dibentuk dengan perpres cukup representatif untuk mewakili rakyat karena terminologi yang digunakan dalam UU PDP adalah “persetujuan”? Lalu, dalam kasus kesepakatan Indonesia - Amerika, apakah lembaga PDP memiliki kewenangan/kapasitas untuk memberikan penilaian strategis terhadap ideologi dan diplomasi antar negara? Kemudian, jika Data Pribadi termasuk dalam definisi (i) dan (ii), maka siapa yang menjamin bahwa kategori Data Pribadi yang diberikan tidak termasuk kategori definisi (ii) dan dalam bentuk apa jaminan tersebut dapat diketahui dan disetujui rakyat?; 3.41. Bahwa menurut Pemohon lembaga PDP adalah bukan lembaga tinggi negara. Hal ini sebagaimana diatur dalam Pasal 58 ayat (1) UU PDP yang menyatakan: “Pemerintah berperan dalam penyelenggaraan Pelindungan Data Pribadi sesuai dengan ketentuan Undang-Undang ini.” dan Pasal 58 ayat (2) UU PDP: “Penyelenggaraan Pelindungan Data Pribadi sebagaimana dimaksud pada ayat (1) dilaksanakan oleh lembaga.” dan Pasal 58 ayat (3) UU PDP: “Lembaga sebagaimana dimaksud pada ayat (2) ditetapkan oleh Presiden.” dan Pasal 58 ayat (4) UU PDP: “lembaga sebagaimana dimaksud pada ayat (2) bertanggung jawab kepada Presiden.” dan Pasal 58 ayat (5) UU PDP: “Ketentuan lebih lanjut mengenai lembaga sebagaimana dimaksud pada ayat (2) diatur dengan Peraturan Presiden.” Dari kedudukannya tersebut, maka dapat dikatakan kewenangan lembaga PDP bersifat teknis dan tidak dapat memutus keputusan strategis seperti 34 permasalahan diplomasi dan ideologis negara yang mempengaruhi nasib rakyat banyak. Dengan demikian, lembaga PDP tidak representatif untuk dapat dikatakan mewakili “persetujuan rakyat”. Jika memberikan kewenangan kepada lembaga PDP untuk meneliti dan menyusun daftar negara yang memiliki tingkat perlindungan Data Pribadi atau memberikan credentials terhadap pejabatnya untuk bernegosiasi dengan negara lain masih memungkinkan baik secara teknis maupun hukum. Tanpa memberikan kewenangan kepada lembaga PDP untuk memutus adequacy decision, transfer Data Pribadi juga tidak akan terganggu dan masih seperti business as usual karena transfer Data Pribadi masih dapat dilakukan berdasarkan persetujuan tertentu melalui perjanjian penggunaan layanan (SCC) baik secara B2B atau B2C (vide Pasal 56 ayat (3) dan ayat (4) UU PDP). Namun, bagaimana jika keputusan transfer data yang diberikan bersifat strategis sebagai bagian dari diplomasi antar negara hingga membutuhkan kerja sama antar negara seperti EU-US Privacy Shield?; 3.42. Bahwa menurut Pemohon jika konteksnya sudah G2G, maka bentuk yang ideal adalah perjanjian internasional, baik perjanjian antarnegara maupun perjanjian antara negara. Hal ini juga telah diatur dalam Pasal 62 UU PDP yang menyatakan: (1) “Kerja sama internasional dilakukan oleh Pemerintah dengan pemerintah negara lain atau Organisasi Internasional terkait dengan Pelindungan Data Pribadi. (2) Kerja sama internasional dalam rangka pelaksanaan Undang- Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional.” Meskipun UU PDP sudah memberikan ruang tersebut, tetapi kewenangan yang dapat memutus masih sangat bias, karena belum jelas apakah kerja sama tersebut cukup oleh lembaga PDP karena hanya merupakan hal teknis/perdagangan atau merupakan perjanjian internasional yang memerlukan persetujuan DPR? Bagi negara – negara Eropa, keputusan yang bersifat strategis yang mempengaruhi regional diputus oleh Uni Eropa. Oleh karena itu, dibentuk EU Commission, sehingga berdasarkan Article 45 EU GDPR yang memutuskan apakah suatu yurisdiksi lain telah memenuhi adequacy level atau tidak adalah EU Commission. Commission tersebutlah yang mewakili kepentingan anggota berupa negara-negara Eropa. EU GDPR kemudian menjadi acuan bersama negara Eropa yang diadopsi melalui 35 proses legislasi masing-masing negara. Meskipun demikian keputusan EU Commission tidak bersifat mutlak karena masih dapat diuji melalui EU Court of Justice. Hal ini sebagaimana dinyatakan dalam: Article 263 Treaty On the Functioning of the European Union (TFEU) “The Court of Justice of the European Union shall review the legality of legislative acts, of acts of the council, of the commission and of the European Central Bank, other than recommendations and opinions, and of acts of the European Parliament and of the European Council intended to produce legal effects vis avis third parties. It shall also review the legality of acts bodies, offices or agencies of the Union intended to produce legal effects vis avis third parties.” Article 267 (b) TFEU The Court of Justice of the European Union shall have jurisdiction to give preliminary rulings concerning: (b) the validity and interpretation of acts of the institutions, bodies, offices or agencies of the Union; (Bukti P-23) Berdasarkan hal norma tersebut, maka kemudian EU Court of Justice dapat membatalkan EU-US Privacy Shield melalui EU:C:311/18 (Bukti P-19). Uni Eropa menempatkan transfer Data Pribadi sebagai keputusan strategis yang diputus oleh lembaga yang tinggi bahkan dapat dikatakan “di atas” negara yang merepresentasikan negara – negara, namun tetap terdapat mekanisme check and balances. Jika dibandingkan Pasal 56 UU PDP, lembaga apa yang memiliki derajat setingkat EU Commission? Lembaga tersebut harus merepresentasikan makna dari “persetujuan”. Dalam konteks Indonesia, maka harus merepresentasikan “persetujuan rakyat” sebagai general consent; 3.43. Bahwa sebagai komparasi, selain adequacy decision, sesungguhnya EU GDPR juga mengatur apabila transfer Data Pribadi dilakukan di luar wilayah yang tidak memiliki adequacy decision. Hal ini sebagaimana diatur dalam article 46 EU GDPR yang menyatakan: 36 Bahkan, EU Court of Justice juga memiliki kewenangan dalam menafsirkan norma tersebut, sebagaimana dalam Putusan EU:C:311/18 yang menyatakan: “Article 46(1) and Article 46(2)(c) of Regulation 2016/679 must be interpreted as meaning that the appropriate safeguards, enforceable rights and effective legal remedies required by those provisions must ensure that data subjects whose personal data are transferred to a third country pursuant to standard data protection clauses are afforded a level of protection essentially equivalent to that guaranteed within the European Union by that regulation, read in the light of the Charter of Fundamental Rights of the European Union. To that end, the assessment of the level of protection afforded in the context of such a transfer must, in particular, take into consideration both the contractual clauses agreed between the controller or processor established in the European Union and the recipient of the transfer established in the third country concerned and, as regards any access by the public authorities of that third country to the personal data transferred, the relevant aspects of the legal system of that third country, in particular those set out, in a non-exhaustive manner, in Article 45(2) of that regulation.” (Bukti P-19); Kemudian EU GDPR juga membuka ruang apabila langkah adequacy decision dan appropriate safeguards tidak dapat dipenuhi, maka kemudian diatur dalam article 49 EU GDPR yang menyatakan: 3.44. Bahwa berdasarkan Article 45, Article 46, dan Article 49 EU GDPR, maka proses transfer Data Pribadi ke luar wilayah yurisdiksi (third country) dapat digambarkan secara sederhana seperti berikut: 37 Konstruksi tersebut sebenarnya serupa dengan Pasal 56 UU PDP. Hanya saja Pasal 56 UU PDP bersifat bias karena hanya mewajibkan Pengendali Data Pribadi/Prosesor Data Pribadi untuk memastikan kesetaraan tersebut. Kemudian, kepastian kesetaraan tersebut hanya berdasarkan pertimbangan teknis tanpa pertimbangan strategis. Permohonan ini meminta adanya kehadiran negara melalui lembaga negara yang representatif mewakili persetujuan rakyat sebagai amanat dari Pasal 1 ayat (2) UUD 1945 untuk menentukan adequacy decision secara lebih mendalam. Dalam konsep Uni Eropa mungkin dapat disetarakan dengan EU Commission – EU Court of Justice yang memiliki mekanisme check and balances, hanya saja ketika diadopsi ke Indonesia kemudian yang menjadi representasi rakyat harus disesuaikan dengan sistem ketatanegaraan Indonesia. Di sisi lain, selain lembaga yang representatif juga harus terdapat bentuk hukum yang jelas, misalkan seperti EU – US Privacy Shield yang bersifat contestable; 3.45. Bahwa dengan demikian model transfer Data Pribadi seperti dalam kerangka kerja sama Indonesia – Amerika seharusnya lebih tepat tertuang dalam perjanjian internasional berdasarkan Pasal 11 ayat (1) dan ayat (2) UUD 1945. Data Pribadi adalah urusan yang sangat vital, tidak cukup hanya mempertimbangkan aspek teknis adequacy, tetapi termasuk harus mempertimbangkan aspek diplomacy dan ideology. Jika hanya diserahkan kepada lembaga PDP yang dibentuk dengan perpres, maka dapat dikatakan 38 terlalu jauh menyerahkan urusan karena akan menjadi terlalu teknis untuk urusan yang sangat vital; 3.46. Bahwa tafsir Pasal 56 ayat (1) dan ayat (2) UU PDP sangat kritikal karena memberikan kewenangan yang sangat luas kepada lembaga PDP. Jika kita lihat pada alam pikiran yang berkembang, misalkan dalam rancangan peraturan pemerintah aturan pelaksana UU PDP menempatkan lembaga PDP sebagai lembaga yang sangat kuat karena dapat menilai dan menetapkan daftar negara dan/atau organisasi internasional yang memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi, lihat dalam Pasal 183 ayat (2), Pasal 184 ayat (2) dan ayat (4), dan Pasal 208 RPP PDP draft tertanggal 31 Agustus 2023, yang menyatakan: Pasal 183 ayat (2) RPP PDP “Penilaian tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi sebagaimana dimaksud pada ayat (1) dilakukan oleh Lembaga PDP.” Pasal 184 ayat (2) RPP PDP “Dalam melakukan penilaian tingkat Pelindungan Data Pribadi yang dianggap setara atau lebih tinggi sebagaimana dimaksud, Lembaga PDP dapat menetapkan daftar negara dan/atau organisasi internasional yang memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi.” Pasal 184 ayat (4) RPP PDP “Ketentuan mengenai tata cara penilaian tingkat Pelindungan Data Pribadi yang dianggap setara atau lebih tinggi sebagaimana dimaksud pada ayat (1) diatur lebih lanjut dalam Peraturan Lembaga PDP.” Pasal 208 RPP PDP “Lembaga PDP dapat melakukan kerja sama dengan lembaga Perlindungan Data Pribadi negara lain.” (sumber: https://pdp.id/bo/uploads/DRAF_RANCANGAN_PERATURAN_PEMERINT AH_TENTANG_PERATURAN_PELAKSANAAN_UU_NOMOR_27_TAHUN _2022_TENTANG_PELINDUNGAN_DATA_PRIBADI_4d298e3f39.pdf diakses pada 07 Agustus 2025 pukul 16:08 WIB) Atas ruang tafsir yang diberikan UU PDP, mari bayangkan konstruksi logika ketatanegaraannya: lembaga PDP dibentuk berdasarkan perpres, namun diberikan kewenangan untuk memberikan keputusan bahwa undang-undang PDP negara lain setara atau lebih tinggi dengan UU PDP Indonesia yang merupakan produk legislatif. Ilustrasikan: lembaga PDP menetapkan negara x memiliki perlindungan PDP yang setara sehingga menjadi dasar Data Pribadi 39 yang dikuasai negara untuk ditransfer. Bayangkan kemudian, ternyata ditemukan undang-undang PDP negara x sesungguhnya tidak setara dan ternyata Pemerintah telah memberikan data sensitif warga negara kepada negara x. Ketika Data Pribadi sudah terlanjur bocor, maka pemulihannya akan sangat sulit dilakukan. Jika terjadi hal tersebut, lalu siapa yang bertanggung jawab? Mari renungkan apakah dapat dibenarkan secara ketatanegaraan suatu lembaga yang dibentuk berdasarkan perpres memiliki kewenangan menilai UU dan memutuskan sesuatu yang memiliki akibat hukum meluas bagi warga negara? Hal ini adalah permasalahan konstitusional karena kerangka norma dalam UU membuka ruang tersebut, dan hal ini bukan permasalahan implementasi norma karena memberikan delegasi kewenangan kepada suatu lembaga untuk menilai UU bahkan menilai UU negara lain. Hal ini bukan sekedar permasalahan dalam melaksanakan UU; 3.47. Bahwa tanpa tafsir konstitusional terhadap Pasal 56 UU PDP menyebabkan kekacauan cara berpikir dalam merumuskan aturan implementasinya. Sebagai contoh: RPP PDP membedakan kondisi adequacy decision yang ditandai dengan adanya perjanjian antara negara (vide Pasal 184 ayat (1) RPP PDP), sedangkan appropriate safeguards ditandai dengan adanya perjanjian antarnegara (vide Pasal 185 ayat (2) RPP PDP), padahal dari aspek kekuatan mengikatnya tidak berbeda. Vienna Convention sudah mengakui adanya pacta sunt servanda dalam perjanjian antarnegara, sehingga tidak perlu dibuat berjenjang seolah jika perjanjian antara negara lebih tinggi dibanding perjanjian antarnegara. Dari perbedaan tersebut, kemudian dapat timbul pertanyaan jika adequacy decision ditentukan oleh adanya komitmen negara tersebut dalam suatu perjanjian antara negara, namun Indonesia tidak meratifikasi perjanjian antara negara tersebut, bukankah lebih kuat perjanjian antarnegara? Berdasarkan hal tersebut, maka Mahkamah Konstitusi perlu memberikan panduan agar regulator tidak salah dalam memutuskan. Justru makna perjanjian internasional dalam menafsirkan makna “persetujuan Subjek Data Pribadi” harus dimaknai dalam konteks hubungan ketatanegaraan dengan Subjek Data Pribadi bukan dalam konteks hubungan multilateral atau bilateral, sehingga yang diperlukan adalah tafsir konstitusional; 3.48. Bahwa maka dari itu Mahkamah Konstitusi perlu mengejewantahkan Pasal 1 ayat (2) UUD 1945 dan Pasal 11 ayat (1) dan ayat (2) UUD 1945 ke dalam 40 kesepakatan transfer Data Pribadi ke wilayah luar negeri untuk menentukan adequacy decision sehingga dapat dikaitkan kepada Pasal 10 Undang – Undang Nomor 24 Tahun 2000 tentang Perjanjian Internasional (UU Perjanjian Internasional). Dalam Pasal 10 UU Perjanjian Internasional menetapkan perjanjian internasional apa yang harus dengan persetujuan melalui undang- undang, yaitu apabila berkenaan dengan: a. masalah politik, perdamaian, pertahanan, dan keamanan negara; b. perubahan wilayah atau penetapan batas wilayah negara Republik Indonesia; c. kedaulatan atau hak berdaulat negara; d. hak asasi manusia dan lingkungan hidup; e. pembentukan kaidah hukum baru; f. pinjaman dan/atau hibah luar negeri. Permasalahan transfer Data Pribadi sudah memenuhi unsur masalah politik, perdamaian, pertahanan, dan keamanan negara, kedaulatan dan hak berdaulat negara, hak asasi manusia, dan pembentukan kaidah hukum baru. Hal ini didasarkan kepada bukti – bukti yang ada, contoh praktik di negara lain (Uni Eropa dan global), dan kajian – kajian terkini terhadap perkembangan teknologi khususnya AI. Hal ini juga ditegaskan dalam penelitian akademik oleh Chander dan Sun (Anupam Chander dan Haochen Sun (ed), 2023: 87) (Bukti P-16). Mahkamah Konstitusi juga telah menegaskan dalam Putusan MK No.151/PUU-XXII/2024 yang menyatakan “perlindungan data pribadi tidak dapat dilihat hanya sebagai isu dalam tataran teknis, namun juga mencakup pengaturan dalam ranah tertib hukum sebagai perwujudan perlindungan hak asasi manusia”. Bahkan, dunia saat ini masih memikirkan bagaimana kaidah hukum yang tepat untuk mengatur persoalan Data Pribadi dan AI, dengan demikian akan ada kaidah hukum baru untuk mengatur hal tersebut. Berdasarkan hal tersebut, dapat dikatakan seharusnya Pasal 10 UU Perjanjian Internasional kemudian menambahkan poin tersendiri yaitu terkait pengembangan teknologi strategis dan Data Pribadi untuk menyesuaikan zaman dari tahun 2000 yang sudah jauh berbeda dengan saat ini. Namun, andaipun tidak merubah Pasal 10 UU Perjanjian Internasional kita masih bisa menyisipkan secara kontekstual penambahan tersebut melalui UU sektoral; 41 3.49. Bahwa permohonan Pemohon ini sesungguhnya juga sesuai dengan putusan Mahkamah Konstitusi yang membuka ruang pengertian perjanjian internasional yang dapat memerlukan persetujuan DPR mencakup perjanjian antarnegara dan perjanjian antara negara, sebagaimana dinyatakan: “Mahkamah berpendapat, secara sistematis, Pasal 11 UUD 1945 haruslah ditafsirkan bahwa: pertama, dengan penegasan melalui frasa “perjanjian internasional lainnya” dalam Pasal 11 ayat (2) UUD 1945 berarti UUD 1945 menegaskan bahwa perjanjian antar negara atau “perjanjian dengan negara lain”, sebagaimana dimaksud dalam Pasal 11 ayat (1) UUD 1945 bukanlah berada di luar pengertian perjanjian internasional melainkan termasuk ke dalam pengertian perjanjian internasional. Penegasan dalam peristilahan demikian dibutuhkan mengingat, dalam lapangan hukum internasional, perjanjian internasional antarnegara dan perjanjian internasional antara negara dengan subjek hukum internasional lain yang bukan negara tunduk pada pengaturan yang berbeda. Perjanjian internasional antarnegara diatur oleh Konvensi Wina 1969, sedangkan perjanjian internasional lainnya, yaitu perjanjian internasional antara negara dengan subjek hukum internasional lainnya yang bukan negara (termasuk perjanjian internasional antar sesame subjek hukum internasional lainnya yang bukan negara) diatur dalam konvensi wina 1986; kedua, tidak semua perjanjian internasional yang dibuat Presiden mempersyaratkan adanya persetujuan DPR melainkan hanya perjanjian-perjanjian internasional yang memenuhi persyaratan umum yang ditentukan dalam Pasal 11 ayat (2) UUD 1945, yaitu perjanjian internasional yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang. Dengan demikian, secara a contrario, meskipun perjanjian yang dibuat itu adalah perjanjian antarnegara, jika tidak menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang, persetujuan DPR tidak dipersyaratkan; ketiga, perihal dalam hal apa atau dalam keadaan bagaimana suatu materi perjanjian internasional menimbulkan akibat yang luas dan mendasar yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang, hal itu tidak dapat ditentukan secara limitatif melainkan harus dinilai secara kasuistis berdasarkan pertimbangan dan perkembangan kebutuhan hukum secara nasional maupun internasional.” (vide Putusan MK No.13/PUU-XVI/2018 halaman 255); 3.50. Bahwa permasalahan di dalam Pasal 56 ayat (1) dan Pasal 56 ayat (2) UU PDP adalah tidak menegaskan secara eksplisit makna persetujuan rakyat yang memutuskan adequacy decision, akibatnya kerja sama internasional sebagaimana dimaksud Pasal 62 UU PDP dapat ditafsirkan secara limitatif menjadi kewenangan lembaga PDP (qq.Pemerintah) karena makna 42 Pemerintah dalam persoalan transfer Data Pribadi lintas negara kemudian ditafsirkan melalui Pasal 58 ayat (1) dan ayat (2) UU PDP, Pasal 59 huruf a hingga Pasal 60 huruf e dan f UU PDP hingga kemudian Pemerintah dan DPR merujuk kepada: Pasal 11 ayat (1) UU Perjanjian Internasional: “Pengesahan perjanjian internasional yang materinya tidak termasuk materi sebagaimana dimaksud Pasal 10, dilakukan dengan keputusan presiden.” Penjelasan Pasal 11 ayat (1) UU Perjanjian Internasional: “Pengesahan perjanjian melalui keputusan presiden dilakukan atas perjanjian yang mensyaratkan adanya pengesahan sebelum memulai berlakunya perjanjian, tetapi memiliki materi yang bersifat prosedural dan memerlukan penerapan dalam waktu singkat tanpa mempengaruhi peraturan perundang-undangan nasional. Jenis-jenis perjanjian yang termasuk dalam kategori ini, di antaranya adalah perjanjian induk yang menyangkut kerja sama di bidang ilmu pengetahuan dan teknologi, ekonomi, teknik, perdagangan, kebudayaan, pelayaran niaga, penghindaran pajak berganda dan kerja sama perlindungan penanaman modal, serta pengesahan yang bersifat teknis.” dan karena permasalahan transfer Data Pribadi dengan Amerika dapat hanya dianggap sebagai bagian dari kesepakatan dagang, maka dapat dianggap cukup dengan keputusan presiden; 3.51. Bahwa konstruksi norma tersebut menjadikan seolah-olah DPR melemparkan urusan sepenuhnya kepada presiden melalui lembaga PDP yang dibentuk dengan perpres. Dengan demikian, UU “mengunci” secara limitatif bahwa urusan tersebut sebagai sesuatu yang tidak memerlukan persetujuan DPR. Akibatnya, karena tidak adanya penegasan eksplisit dalam Pasal 56 ayat (1) dan Pasal 56 ayat (2) UU PDP, setelah Pemerintah berkonsultasi dengan DPR, kemudian Pemerintah dapat menyatakan bahwa urusan tersebut merupakan urusan teknis perdagangan yang telah didelegasikan DPR melalui Pasal 62, Pasal 58 ayat (1) dan ayat (2), Pasal 59 huruf a, dan Pasal 60 huruf e dan f UU PDP dan Pasal 11 ayat (1) UU Perjanjian Internasional dan DPR pada akhirnya dapat memutuskan bahwa persoalan tersebut tidak memerlukan persetujuan DPR; 3.52. Bahwa bayangkan jika Mahkamah Konstitusi menyatakan opsi tersebut kepada DPR dan kemudian ternyata DPR menyatakan tidak memerlukan persetujuan DPR. Apa akibatnya? Apakah mereduksi makna “kedaulatan 43 rakyat” sebagaimana dimaksud Pasal 1 ayat (2) UUD 1945 dan Pasal 11 ayat (1) dan ayat (2) UUD 1945 dan “persetujuan rakyat” sebagai asas utama dalam UU PDP untuk melindungi fundamental rights rakyat sebagai Subjek Data Pribadi? Perjanjian internasional yang disahkan melalui keputusan presiden dengan undang-undang memiliki akibat ketatanegaraan yang sangat jauh berbeda; 3.53. Bahwa keputusan presiden tersebut tidak bersifat konkrit - individual, sehingga sama sekali tidak ada mekanisme pengujian. Hal ini berakibat sama sekali tidak ada mekanisme check and balances seperti sebagaimana dalam EU GDPR dan TFEU. Titik simpang ketatanegaraan akan terlihat di sini, yaitu: 1) Jika disahkan melalui UU, maka terdapat landas konstitusional untuk mengevaluasi perjanjian. Hal ini dapat dilaksanakan melalui penafsiran Pasal 1 ayat (2) UUD 1945, Pasal 11 ayat (1) dan ayat (2) UUD 1945, Pasal 24C ayat (1) UUD 1945, Pasal 28G ayat (1) UUD 1945, Pasal 10 UU Perjanjian Internasional, Pasal 10 UU MK, Pasal 10 UU PPP dengan komparasi kepada Article 263 TFEU, Article 45 EU GDPR, yurisprudensi EU:C:311/18, serta dengan prinsip “solange doctrine” sebagaimana yang diterapkan peradilan konstitusi Jerman, rakyat memiliki ruang untuk membela hak asasi yang mendasar; 2) Jika disahkan melalui keppres, maka tidak terdapat landas konstitusional untuk mengevaluasi perjanjian. Hal ini dapat dilihat kepada penafsiran bahwa perjanjian internasional tersebut akan selalu sah melalui Pasal 62, Pasal 58 ayat (1) dan ayat (2), Pasal 59 huruf a, dan Pasal 60 huruf e dan f UU PDP dan Pasal 11 ayat (1) UU Perjanjian Internasional tanpa adanya mekanisme evaluasi yang seimbang bahkan tidak ada ruang bagi rakyat untuk membela hak asasi yang mendasar karena menggunakan instrumen keppres yang tidak konkrit-individual dan bukan peraturan perundang-undangan; 3.54. Bahwa andaikan dalam titik simpang tersebut dibuka ruang agar DPR tidak memberikan persetujuan, maka jika dikomparasikan terhadap praktik perlindungan Data Pribadi di Eropa sebagai berikut: Indonesia (UU PDP – UU Perjanjian Internasional) Uni Eropa (EU GDPR – TFEU) Presiden dalam menetapkan perjanjian internasional terkait transfer Data Pribadi EU Commission dalam menetapkan perjanjian internasional terkait transfer Data 44 bersifat absolut karena tidak ada mekanisme pengujian Keppres pengesahan perjanjian internasional. Dasar Hukum: Pasal 62, Pasal 58 ayat (1) dan ayat (2), Pasal 59 huruf a, dan Pasal 60 huruf e dan f UU PDP dan Pasal 11 ayat (1) UU Perjanjian Internasional Contoh Kasus: Belum dilaksanakan. Pribadi tidak bersifat absolut karena ada mekanisme pengujian perjanjian internasional. Dasar Hukum: Article 263, 267 TFEU dan Article 45 EU GDPR Contoh Kasus: Schrems II (EU:C:311/18) 3.55. Bahwa bagi Pemohon, Data Pribadi memiliki level yang sama seperti hak milik. Dalam negara demokrasi, ketika negara hendak mengambil hak milik rakyat melalui pajak harus melalui persetujuan umum atau undang – undang sesuai dengan adagium “no taxation without representation”. Dengan demikian, Presiden tidak dapat seenaknya mengambil Data Pribadi rakyat dan memberikannya kepada negara lain hanya dengan asumsi sepihak bahwa negara tersebut “aman”. Harus ada general consent yang mendasari bahwa negara tujuan tersebut benar – benar aman. Sehingga, wajar kita mengadopsi prinsip pajak ke dalam perlindungan Data Pribadi menjadi “no transfer without representation”. Hal ini juga berkesesuaian dengan prinsip 1 dan prinsip 2, sehingga secara kontekstual kita mendapatkan: Prinsip 3: “tidak ada transfer tanpa persetujuan umum” 3.56. Bahwa dihubungkan dengan prinsip 1 dan prinsip 2, makna “transfer” dapat dibayangkan seperti relasi. Dengan demikian, kita dapat bayangkan bagaimana ketiga prinsip tersebut bekerja dalam pikiran. Ilustrasikan terdapat perjanjian internasional yang menyetarakan (adequacy decision). Berdasarkan prinsip 2 adanya perjanjian internasional yang setara tidak menjadikan Pengendali Data Pribadi/Prosesor Data Pribadi bebas mengambil Data Pribadi milik Subjek Data Pribadi tanpa persetujuan tertentu. Hanya saja persetujuan tertentu hanya sah jika dan hanya jika terdapat persetujuan umum yang mendasarinya. Apakah hal ini berarti harus adanya perjanjian internasional yang setara agar persetujuan tertentu tersebut sah? Jawabannya adalah tidak, karena adanya Pasal 56 ayat (3) dan Pasal 56 ayat (4) UU PDP yang memungkinkan transfer Data Pribadi tanpa adanya adequacy decision. Apakah kondisi tersebut berarti tidak ada persetujuan umum? Jawabannnya adalah tidak, karena Pasal 56 ayat (3) UU PDP adalah persetujuan umum yang menjadikan syarat kondisi transfer Data Pribadi yang sah dalam hal tertentu 45 dan Pasal 56 ayat (4) UU PDP adalah persetujuan umum yang menjadikan syarat kondisi transfer Data Pribadi yang sah dalam hal tertentu melalui persetujuan tertentu; 3.57. Bahwa berdasarkan hal tersebut, maka jika ternyata suatu negara tidak memiliki perjanjian internasional yang menegaskan kesetaraan perlindungan Data Pribadi, maka berlaku ketentuan Pasal 56 ayat (3) UU PDP. Kita dapat sebut kondisi tersebut sebagai “non-adequacy with appropriate safeguards” (vide Article 46(1) EU GDPR). Rumusan frasa dalam Pasal 56 ayat (3) UU PDP pada pokoknya adalah mewajibkan Pengendali/Prosesor Data Pribadi untuk “memastikan terdapat Pelindungan Data Pribadi yang memadai, dan bersifat mengikat.”. Apa bukti bahwa di tempat penerima Data Pribadi terdapat perlindungan Data Pribadi yang memadai dan bersifat mengikat? Dalam EU GDPR adalah adanya binding corporate rules. Mungkin saja suatu negara sudah memiliki regulasi perlindungan PDP dan mewajibkan perusahaan untuk memiliki sertifikat ISO 27001 sebagai best practice, namun bisa saja ternyata negara tersebut belum konsisten dalam penegakan hukum perlindungan Data Pribadi. Misalkan karena regulasi yang terlalu bias, sehingga terkadang tidak konsisten dalam penegakannya; 3.58. Bahwa berdasarkan hal tersebut, maka makna “Pelindungan Data Pribadi yang memadai, dan bersifat mengikat.” masih bersifat bias karena mungkin dapat dikatakan mengikat, tetapi ketika individu hendak menegakan hukum terhadap pelanggaran Data Pribadinya, negara tersebut tidak memiliki mekanisme remediasi yang jelas. Oleh karena itu, maka wajar EU Court of Justice memberikan penafsiran dalam putusannya dengan menambahkan dalam Article 46(1) EU GDPR: “appropriate safeguards, enforceable rights and effective legal remedies required by those provisions must ensure that data subjects whose personal data are transferred to a third country pursuant to standard data protection clauses are afforded a level of protection essentially equivalent to that guaranteed within the European Union by that regulation, read in the light of the Charter of Fundamental Rights of the European Union.”. Konsep “essentially equivalent” ini meningkatkan derajat kepastian bahwa jika negara tersebut hendak dikatakan memiliki appropriate safeguards, maka harus menjamin kesetaraan dalam perlindungan Data Pribadi sebagai fundamental rights. Konsep ini kemudian juga mewajibkan negara tujuan 46 memiliki ombudsperson yang efektif dalam rangka proses remediasi (Bukti P- 19); 3.59. Bahwa dengan adanya EU:C:311/18, maka standar Uni Eropa akan semakin tinggi, sehingga jika Indonesia ingin mendapatkan kesetaraan (adequacy level) dengan EU GDPR maka mau tidak mau harus meningkatkan standar perlindungannya. Dengan demikian, dalam rangka meningkatkan perlindungan Data Pribadi sebagaimana telah dilindungi dalam Pasal 28G ayat (1) UUD 1945 maka tidaklah salah juga agar negara lain yang hendak mendapatkan kedudukan setara dengan Indonesia harus menjamin adanya jaminan perlindungan konstitusional terhadap Data Pribadi sebagai hak asasi yang mendasar sehingga ada jaminan terdapat mekanisme remediasi yang efektif terhadap Subjek Data Pribadi; 3.60. Bahwa berdasarkan alasan tersebut maka adalah beralasan hukum untuk menyatakan Pasal 56 ayat (3) UU PDP bertentangan dengan Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar.”; 3.61. Bahwa baik EU GDPR maupun UU PDP sesungguhnya tidak menutup ruang andaikan dalam kegiatan ekonomi benar – benar membutuhkan transfer Data Pribadi meskipun negara penerima belum memiliki kesetaraan. Dengan demikian, memberikan syarat persetujuan DPR dalam hal penetapan adequacy decision tidak menjadi menegasikan kebolehan transfer Data Pribadi tetap dilakukan. Baik EU GDPR maupun UU PDP memungkinkan ruang bagi transfer Data Pribadi tanpa adanya adequacy decision atau tanpa adanya appropriate safeguards yang memadai. Pemohon sama sekali tidak melampaui EU GDPR dan implementasinya. Oleh karena itu, Pemohon sama sekali tidak menegasikan “data freeflow with trust”. Bahkan, justru meningkatkan trust dalam data freeflow. Permohonan ini bukan menjadikan kebijakan transfer data Indonesia menjadi blanket sovereignity, hanya saja kita harus sadar bahwa keputusan menetapkan adequacy decision bukan 47 persoalan sederhana. Analogi sederhananya jika kita hendak membeli tanah dari ahli waris apakah kita lebih percaya dengan AJB notaris yang ditandatangani seluruh ahli waris atau tanpa AJB notaris dan hanya ditandatangani satu orang yang mengaku paling berhak? Orang berakal akan memilih transaksi yang lebih aman bagi dirinya. Satu orang mengaku – ngaku memang lebih cepat transaksinya, namun kita berbicara kepastian, keadilan, dan kemanfaatan hukum dalam negara demokratis. Tidak konstitusional jika kita hanya didikte oleh satu orang hanya agar orang tersebut cepat mendapatkan keuntungan. Kita cukup bersabar, jika orang tersebut tidak bersabar dan tidak ingin mengikuti aturan kesetaraan cukup berikan seadanya (bukan freeflow); 3.62. Bahwa secara normatif, jika kita perhatikan secara saksama pengaturan transfer Data Pribadi tanpa melalui adequacy decision dalam EU GDPR dibandingkan UU PDP saat ini terdapat perbedaan yang sangat signifikan. EU GDPR lebih berupaya melindungi Subjek Data Pribadi karena mewajibkan Pengendali/Prosesor Data Pribadi untuk menyampaikan resiko jika transfer Data Pribadi dilakukan. Menurut Pemohon standar EU GDPR tersebut memiliki tingkat yang lebih baik dibandingkan dengan UU PDP, dengan demikian jika kita hendak mencapai adequacy level dengan EU GDPR adalah beralasan hukum jika UU PDP sebaiknya juga mewajibkan Pengendali Data Pribadi/Prosesor Data Pribadi sebagai penerima persetujuan Subjek Data Pribadi hanya sah melakukan transfer Data Pribadi jika dan hanya jika telah memberikan informasi mengenai resiko jika transfer Data Pribadi dilaksanakan (informed consent). Konstruksi norma ini yang diterapkan oleh Article 49(1) EU GDPR yang merumuskan norma lebih rinci daripada Pasal 56 ayat (4) UU PDP. Konstruksi norma Pasal 56 ayat (4) UU PDP bersifat bias karena hanya menggunakan term “persetujuan Subjek Data Pribadi”, sehingga maknanya dapat sama dengan makna persetujuan Subjek Data Pribadi pada umumnya. Padahal esensi pokok dari transfer Data Pribadi kepada yurisdiksi yang tidak menyediakan perlindungan Data Pribadi secara memadai adalah resiko yang melekat atas perbuatan tersebut. Sehingga, secara psikologis, bagi Subjek Data Pribadi yang terpenting adalah mengetahui resiko yang melekat pada persetujuannya, bukan sekedar informasi mengenai status negaranya. Mengetahui paparan resiko secara langsung dapat menyadarkan masyarakat 48 tentang pentingnya Data Pribadi. Mengapa konsep ini penting? Hal ini didasarkan kepada penelitian akademik sebagaimana dinyatakan oleh Cheung: “scholars have pointed out that in the age of big data analytics, the conventional notice and consent paradigm gives only an illusion of control.” Berdasarkan hal tersebut edukasi kepada masyarakat mengenai pentingnya perlindungan Data Pribadi juga harus dinyatakan dalam persetujuannya. Subjek Data Pribadi harus benar – benar mengetahui hak-nya dan dampak dari apa yang dilakukannya. Hal ini sebagaimana dinyatakan Cheung : “In contemporary terms, this principle of empowering the data subjects is translated into the right to information; right to access; rights to rectify, block, and erasure; right to object; right to data portability; rights related to profiling; rights related to automated decision-making; right to an effective remedy; and right to compensation and liability under various international legal instruments” dan dinyatakan : “data self-sovereignty requires more than just data privacy protection. At one level, data self-sovereignty calls for empowerment of the self. Echoing literature on digital self-determination, it is concerned with restoring control to individuals, and empowering them with the actual ability to govern their data, and to define their identities online and offline.” (Anupam Chander dan Haochen Sun (ed), 2023: 96 (Bukti P-16); 3.63. Bahwa berdasarkan hal tersebut, maka dapat dikatakan norma Pasal 56 ayat (4) UU PDP mengabaikan Pasal 28G ayat (1) UU PDP karena menjadikan Subjek Data Pribadi tidak mengetahui “ancaman ketakutan” di balik tindakannya. Berdasarkan alasan tersebut, maka beralasan hukum untuk menyamakan rumusan Pasal 56 ayat (4) UU PDP dengan menyisipkan kewajiban informed consent sebagaimana yang diatur dalam article 49(1) EU GDPR; 3.64. Bahwa berdasarkan alasan tersebut, maka adalah beralasan hukum untuk menyatakan Pasal 56 ayat (4) UU PDP bertentangan dengan Pasal 28G ayat (1) Undang - Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.”; 49 3.65. Bahwa kembali kepada definisi (iii) dan (iv) serta prinsip 1 dan prinsip 2. Jika norma Pasal 56 ayat (3) dan Pasal 56 ayat (4) UU PDP dianggap sebagai persetujuan umum, lalu di mana letak perjanjian internasional yang menetapkan adequacy decision? Perlu diketahui, makna persetujuan umum tidak hanya dapat dimaknai hanya satu bentuk saja. Namun, sesuai prinsip 1 dan prinsip 3, dapat dikatakan dalam setiap relasi terdapat persetujuan umum. Dengan adanya dua yurisdiksi yang setara, maka akan terdapat dua sistem hukum yang beririsan, dengan demikian diperlukan suatu persetujuan yang menentukan bagaimana dua sistem hukum tersebut bekerja. Perjanjian internasional dapat diibaratkan seperti norma antara yang menjembatani dua norma yang berbeda; 3.66. Bahwa dengan kondisi tersebut, timbul pertanyaan: apakah ketika antara dua yurisdiksi sudah dikatakan setara, maka tidak memunculkan konflik norma antara dua sistem hukum tersebut? Apakah setara memiliki makna identik sama atau “is at least as ideal as” yang masih memungkinkan pertentangan? Pada tahap ini kita akan melakukan operasi deontik. Kita akan menerapkan: Prinsip 4: “apabila terdapat dua ketentuan yang bertentangan, ketentuan yang semakin memberatkan yang berlaku.” Makna memberatkan tidak berarti negatif, tetapi justru dalam maksud untuk menghormati prinsip perlindungan Subjek Data Pribadi yang tertinggi. Dapat dikatakan ketika dua negara sepakat untuk menyetarakan sistem hukumnya, maka harus terdapat kondisi “agreed on highest principles” (preferensi dyadik). Salah satu contoh pertentangan yang rumit adalah ketika menentukan kategori dan perlakuan dari tiap jenis Data Pribadi. Misalkan: memahami Pasal 17 huruf h dan Pasal 18 ayat (2) huruf b UU Nomor 14 Tahun 2008 tentang Keterbukaan Informasi Publik (UU KIP) dikaitkan dengan UU PDP. Kasus kompleks misalkan bagaimana menentukan perlindungan Data Pribadi dalam seleksi jabatan publik yang mensyaratkan keterbukaan informasi publik. Banyak permasalahan lain misalkan bagaimana menerapkan delik pidana PDP dikaitkan dengan aktivitas jurnalisme atau penelitian, kemudian bagaimana menerapkan UU PDP dalam konteks mempertahankan keamanan nasional. Merumuskan persoalan tersebut dalam satu yurisdiksi saja sangat sulit. Bayangkan misalkan harus memadankan dengan hukum negara lain, asumsikan dengan EU GDPR. Logika sederhana penerapan prinsip 4 dapat 50 dibayangkan dengan contoh misalkan di negara A informasi x merupakan Data Pribadi yang bersifat sangat rahasia, sedangkan di negara B informasi x merupakan Data Pribadi yang dapat dibuka. Jika Data Pribadi warga negara B telah ditransfer kepada negara A, maka negara A wajib memberlakukan ketentuan yang paling melindungi Data Pribadi yaitu memperlakukan sama Data Pribadi warga negara B di wilayahnya selayaknya Data Pribadi warga negara A. Begitu pula sebaliknya jika Data Pribadi warga negara A telah ditransfer kepada negara B, maka meskipun di negara B informasi x adalah terbuka, tetapi negara B harus memperlakukan Data Pribadi warga negara A seperti ketentuan di negara A; 3.67. Bahwa seolah merumuskan hal tersebut terlihat mudah, tetapi jika dihadapkan bagaimana implementasi terhadap normanya langsung akan sangat rumit. Sebagai contoh di dalam EU GDPR untuk mengatasi problem keterbukaan informasi dan rahasia Data Pribadi terdapat konsep “proportionate measure in a democratic society” (vide Article 6(4) dan Article 23 EU GDPR). Sesuai dengan valuasi semantik yang diberikan kita harus menilai aspek privacy, adequacy, diplomacy, dan ideology. Yang menjadi pertanyaan: bagaimana lembaga PDP mendefinisikan “democratic society” untuk menyetarakan dengan EU GDPR? Apakah hal tersebut merupakan kewenangan teknisnya? Dari kenyataan tersebut, sekarang kita memahami bahwa persoalan transfer Data Pribadi merupakan persoalan yang sangat kompleks. Bahkan, term dalam EU GDPR saja menggunakan term “democratic” yang merupakan term politik, maka adalah wajar untuk menyatakan memang benar persoalan transfer Data Pribadi memerlukan persetujuan DPR. Pada tahap ini kita berikan ruang bagi manusia yaitu rakyat sesuai sifat konteks-sensitifnya; 3.68. Bahwa perlu diketahui, Amerika pada Juli 2025 telah mengeluarkan “Winning The Race: America’s AI Action Plan” (Bukti P-18) yang menyatakan: “AI systems will play a profound role in how we educate our children, do our jobs, and consume media. It is essential that these systems be built from the ground up with freedom of speech and expression in mind, and that U.S. government policy does not interfere with that objective. We must ensure that free speech flourishes in the era of AI and that AI procured by the Federal government objectively reflects truth rather than social engineering agendas.” “High-quality data has become a national strategic asset as governments pursue AI innovation goals and capitalize on the technology’s economic benefits. Other countries, including our adversaries, have raced ahead 51 of us in amassing vast troves of scientific data. The United States must lead the creation of the world’s largest and highest quality AI-ready scientific datasets, while maintaining respect for individual rights and ensuring civil liberties, privacy, and confidentiality protections.”. Berdasarkan hal tersebut, jika Amerika berkomitmen pada nilai-nilai di atas, maka tidak akan ada permasalahan apabila Indonesia melaksanakan prosedur demokrasi untuk memutuskan kesepakatan transfer Data Pribadi antara Indonesia – Amerika. Hal ini dikarenakan kesepakatan ini bukan sebagai social engineering agendas. Perlu diketahui, Data Pribadi melekat pada manusia dan kita adalah manusia bukan barang dagangan. Tiada kemenangan tanpa penghormatan terhadap martabat luhur manusia (highest principles). Dengan demikian, seharusnya presiden bersepakat untuk meminta kesepakatan kepada rakyat terlebih dahulu. Amerika juga memiliki pengalaman yang sama dengan Uni Eropa, maka hal sama juga berlaku terhadap Indonesia. Amerika hanya tinggal menghargai dan menghormati bahwa ternyata kesadaran bangsa Indonesia setara dengan bangsa Eropa; 3.69. Bahwa menurut Pemohon menyatakan bahwa urusan transfer Data Pribadi hanya sebagai urusan teknis atau perdagangan semata sehingga dapat dilakukan tanpa memerlukan persetujuan DPR dan menghilangkan prinsip check and balances adalah kekacuan logika berpikir secara konstitusional. Kenyataan negara – negara di dunia tidak memandang sesempit itu. Perjanjian internasional terkait transfer Data Pribadi harus bersifat terbuka untuk selalu dievaluasi, bahkan EU-US Privacy Shield juga mengalami proses evaluatif hingga dibatalkan oleh lembaga pengadilan hanya dalam rentang waktu 2016 sampai 2020 (Bukti P-19). Bahkan, kasus tersebut terkenal dengan nama individu warga biasa bernama Schrems. Menurut Pemohon hal tersebut adalah wajar dan justru dapat dijadikan sebagai upaya perbaikan mengingat sifat perkembangan teknologi yang sangat agile. Konsep ini juga sejalan dengan apa yang disampaikan oleh Cheung dalam perkembangan teknologi saat ini memerlukan adanya dynamic consent dan collective data rights (Bukti P-16). Justru hal yang berbahaya adalah sama sekali menghilangkan mekanisme check and balances dan memusatkan kekuasaan secara absolut kepada satu rumpun kekuasaan. Lihat saja akibat putusan EU Court of Justice justru menyebabkan Amerika memperbaiki sistem perlindungan Data Pribadinya agar dapat kembali memperoleh kesetaraan kembali dengan Uni Eropa. 52 Dinyatakan dalam prosesnya sebagaimana dalam website: https://ec.europa.eu/commission/presscorner/detail/sv/qanda_22_6045 diakses pada 16 Agustus 2025 Pukul 17:40 WIB, bahwa : “European Parliament has a right of scrutiny over adequacy decisions” (vide Article 225 dan 230 TFEU). Berdasarkan hal tersebut, melalui Permohonan ini, Pemohon berupaya untuk mewujudkan kedaulatan rakyat di dalam kedaulatan data dan itu bukan sesuatu yang berlebihan dan bukan berarti tidak ada benchmark-nya; 3.70. Bahwa tanpa maksud untuk menyederhanakan konsep rumit tersebut, melalui permohonan ini, Pemohon berusaha merumuskan 8 definisi operasional, 4 prinsip, dan 3 parameter valuasi semantik. Tiga lapis permodelan ini juga sejalan dengan pembagian kedaulatan dalam dunia siber menurut Ke Xu yang terbagi menjadi physical layer, code layer, dan data layer. (Anupam Chander and Haochen Sun (ed), 2023: 5) (Bukti P-16). Sedangkan, model dalam kerangka konteks transfer data sebagaimana dalam permohonan ini dapat divisualisasikan sebagai berikut: 3.71. Bahwa makna digital-world adalah dunia biner dalam definisi boolean, normative-world adalah aturan bagi dunia digital yang menjembatani pada dunia manusia, dan real-world adalah dunia kehidupan manusia dalam keseharian. Permodelan formal dapat menggunakan logika deontik. Namun, perlu kehati - hatian karena dalam dunia kenyataan sehari - hari bahasa yang digunakan manusia lebih luwes. Perlu penelitian lanjutan untuk menangkap sifat konteks-sensitif atas dunia kita sehari - hari. Rumusan model ini juga 53 adalah hasil olah pikiran manusia secara intuitif, hanya saja Pemohon juga menggunakan alat bantu AI model GPT-5 untuk verifikasi logika formalnya. Hal tersebut mempercepat waktu dan membantu melihat potensi kekurangan dan aplikabilitas dari sistem yang digunakan (Bukti P-24). Namun, penggunaan AI hanya sebagai referensi penunjang bukan pembuktian yang baku. ChatGPT juga bukan merupakan sistem proof assistant, sehingga peran manusia tetap penting. Selain itu, permasalahan transfer data bersifat konteks-sensitif, terlebih ketika bicara ideologi dan kedaulatan negara, maka diperlukan model yang dinamis. Apakah upaya permodelan adalah dibenarkan secara akademis? permodelan formal terhadap model persetujuan dalam GDPR juga pernah dilakukan dalam penelitian akademik berjudul: “Model-Checking the Implementation of Consent” karya Raul Pardo dan Daniel Le Metayer (Bukti P-25). Dengan demikian, jika kita mau upayakan permodelan lebih lanjut bagaimana makna persetujuan dilaksanakan dalam konteks transfer data lintas yurisdiksi bukan sesuatu yang bersifat non-akademis. Oleh karena itu, wajar saja kita cari model yang tepat. Dalam konteks ketatanegaraan, persetujuan DPR menjadi penting sebagai wujud check and balances dan mencari model dynamic consent yang memungkinkan kita untuk meneliti dan mengkaji model yang tepat di tengah perkembangan teknologi yang agile. Mahkamah Konstitusi tidak memutuskan atau membuat model formal teknis mana yang tepat. Hal tersebut adalah domain lembaga PDP di tingkat teknis nanti. Mahkamah Konstitusi cukup menjadikan ini sebagai alat bantu untuk membayangkan dari hal abstrak sampai hal teknis, sehingga kemudian dapat membayangkan dampak putusan dalam seluruh dunia kemungkinan. Kemudian, Mahkamah Konstitusi dapat memutuskan permasalahan ini adalah permasalahan konstitusional serius yang perlu dibahas lebih lanjut oleh DPR. Dengan demikian, putusan ini juga tidak mengambil alih kewenangan DPR maupun lembaga PDP; 3.72. Bahwa setidaknya dengan rumusan dalam permohonan ini harapannya membantu kita untuk membangun kerangka berpikir awal memahami bagaimana permodelan norma hukum bekerja di dalam definisi (vii) dan definisi (viii). Dari model tersebut kita mendapatkan kerangka epistemik dalam memahami mengenai persetujuan subjek Data Pribadi dan kesetaraan perlindungan Data Pribadi hingga kita dapat simpulkan suatu konsep 54 mengenai “Kedaulatan Data”. Model ini juga berdasarkan kepada contoh yang terjadi di Uni Eropa dan Amerika sebagai use case yang dapat menjadi rujukan empirik untuk memahami permasalahan ini. Studi komparasi dengan berbagai negara juga telah ada rujukan empirik sebagaimana dalam buku “Data Sovereignity” yang telah dijadikan alat bukti (Bukti P-16); 3.73. Bahwa selain itu, Pemohon juga telah sedikit menjelaskan permasalahan teknikal dari perkembangan teknologi serta menguraikan struktur penafsiran konstitusionalnya. Pemohon juga memiliki ruh yang sama dengan Putusan MK No.151/PUU-XXII/2024 dalam menafsirkan Pasal 28G ayat (1) UUD 1945 dan rujukan dari Putusan MK No.13/PUU-XVI/2018 dalam menafsirkan Pasal 11 ayat (1) dan ayat (2) UUD 1945. Berdasarkan bahan-bahan yang tersedia, kita menyediakan model yang berakar dari sistem ketatanegaraan Indonesia, namun harapannya juga dapat digunakan negara lain. Permohonan Pemohon berupaya mengejewantahkan nilai – nilai kemanusiaan dalam perkembangan teknologi termasuk dapat berguna dalam pengembangan atau penyusunan peta jalan etika AI secara khusus dalam lalu lintas data. Dengan demikian, permohonan Pemohon juga telah memenuhi unsur materiil dalam pengujiannya. Sebagai akademisi, tentu Pemohon terbuka apabila seluruh definisi, prinsip, dan valuasi semantik, serta pembuktian tersebut diuji karena Mahkamah Konstitusi adalah forum pengujian berbasis argumentasi. Namun, karena Pemohon yang mengajukan permohonan, maka tugas Pemohon membuktikan argumentasi Pemohon untuk meyakinkan Mahkamah Konstitusi baik melalui bukti formal (Bukti P-24 dan Bukti P-25) maupun materiil (Bukti P-1 s.d. Bukti P-23). Tugas Mahkamah Konstitusi adalah memanggil Presiden dan DPR, mendengarkan keterangan Presiden dan DPR, memeriksa seluruh alat bukti secara saksama, serta memberikan pertimbangan hukum baik mengafirmasi ataupun menegasikan 106 dalil dan 25 alat bukti Pemohon sesuai Pasal 67 ayat (3) PMK 2/2021, hingga menuangkannya dalam bentuk putusan. Keyakinan akan kebenaran setiap dalil akan terbantahkan dengan bukti yang sebaliknya; 3.74. Bahwa di akhir permohonan, kita akan menegaskan kembali pernyataan pertentangan konstitusional dari permohonan ini, yaitu: konstruksi norma Pasal 56 UU PDP yang hanya membebankan kewajiban memastikan kesetaraan negara tujuan dilakukannya transfer Data Pribadi dalam perlindungan Data 55 Pribadi hanya kepada Pengendali Data Pribadi/Prosesor Data Pribadi menyebabkan ketidakpastian hukum apakah Data Pribadi Pemohon selaku Subjek Data Pribadi benar-benar sudah terlindungi atau belum terlindungi. Penilaian masing-masing Pengendali Data Pribadi/Prosesor Data Pribadi mungkin akan berbeda-beda sehingga berakibat kepada perbedaan perlakuan terhadap masing-masing Data Pribadi. Data Pribadi merupakan hak asasi yang mendasar sebagaimana dilindungi oleh Pasal 28G ayat (1) UUD 1945 sehingga sudah seharusnya negara turut hadir untuk memastikan kesetaraan perlindungan Data Pribadi di negara lain. Norma Pasal 56 UU PDP tidak memberikan penjelasan peran dan lembaga apa yang memastikan hal tersebut. Oleh karena itu, norma Pasal 56 ayat (1) dan Pasal 56 ayat (2) UU PDP perlu ditambahkan kehadiran negara yang merepresentasikan kedaulatan rakyat untuk menjamin perlindungan Data Pribadi rakyatnya melalui penambahan frasa “telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” dalam Pasal 56 ayat (1) UU PDP dan frasa “berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” dalam Pasal 56 ayat (2) UU PDP dalam menentukan kesetaraan perlindungan Data Pribadi. Adanya pelaksanaan transfer Data Pribadi yang berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat merupakan amanat dari Pasal 1 ayat (2) UUD 1945 dan Pasal 11 ayat (1) dan ayat (2) UUD 1945 yang telah diberikan penafsiran konstitusional oleh Mahkamah Konstitusi melalui Putusan MK No.13/PUU-XVI/2018 dan sesuai dengan Pasal 10 UU Perjanjian Internasional; 3.75. Bahwa berdasarkan alasan tersebut, adalah beralasan hukum untuk menyatakan Pasal 56 ayat (1) UU PDP bertentangan dengan Pasal 1 ayat (2), Pasal 11 ayat (1), dan Pasal 11 ayat (2), dan Pasal 28G ayat (1) UUD 1945 secara bersyarat sepanjang tidak dimaknai “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai dengan ketentuan yang diatur dalam Undang – Undang ini.” dan adalah beralasan hukum untuk menyatakan Pasal 56 ayat (2) UU PDP bertentangan 56 dengan Pasal 1 ayat (2), Pasal 11 ayat (1), dan Pasal 11 ayat (2), dan Pasal 28G ayat (1) UUD 1945 secara bersyarat sepanjang tidak dimaknai “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.”; 3.76. Bahwa dengan konstruksi norma yang baru, maka negara lebih berperan dalam menjamin keamanan Data Pribadi rakyatnya. Di sisi lain, norma Pasal 56 ayat (3) dan Pasal 56 ayat (4) UU PDP masih membuka ruang transfer Data Pribadi dilakukan terhadap negara tujuan yang belum memiliki kesetaraan dengan Indonesia. Konsekuensi logis dari terbukanya ruang di luar kehadiran negara, maka menjadikan bertambahnya kewajiban Pengendali Data Pribadi/Prosesor Data Pribadi untuk memastikan terdapat pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar dan/atau apabila tidak terpenuhi kondisi tersebut untuk memberitahu resiko transfer Data Pribadi kepada Subjek Data Pribadi. Berdasarkan alasan tersebut, maka apabila norma Pasal 56 ayat (3) dan Pasal 56 ayat (4) UU PDP tidak memuat rumusan tersebut dapat dikatakan bertentangan dengan Pasal 28G ayat (1) UU PDP; 3.77. Bahwa untuk mempermudah melihat perbandingan norma antara sebelum dan sesudah perubahan serta dikaitkan dengan komparasi kepada EU GDPR, maka berikut adalah tabel perubahan sebagaimana dalam petitum Pemohon: Pasal 56 UU PDP (sebelum perubahan) Pasal 56 UU PDP (setelah perubahan) EU GDPR Ayat (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini. Ayat (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai Article 45(1) transfer of personal data to a third country or an international organisation may take place where the Commission has decided that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection. Such a transfer 57 dengan ketentuan yang diatur dalam Undang – Undang ini. shall not require any specific authorisation. Article 45(3) The Commission, after assessing the adequacy of the level of protection, may decide, by means of implementing act, that a third country, a territory or one or more specified sectors within a third country, or an international organisation ensures an adequate level of protection within the meaning of paragraph 2 of this Article. The implementing act shall provide for a mechanism for a periodic review, at least every four years, which shall take into account all relevant developments in the third country or international organisation. The implementing act shall specify its territorial and sectoral application and, where applicable, identify the supervisory authority or authorities referred to in point (b) of paragraph 2 of this Article. The implementing act shall be adopted in accordance with the examination procedure referred to in Article 93(2). Ayat (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang- Undang ini. Ayat (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat. Ayat (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. Ayat (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar. Article 46(1) In the absence of a decision pursuant to Article 45(3), a controller or processor may transfer personal data to a third country or an international organisation only if the controller or processor has provided appropriate safeguards, and on condition that enforceable data subject rights and effective legal remedies for data subjects are available. EU:C:311/18 Article 46(1) and Article 46(2)(c) of Regulation 2016/679 must be interpreted as meaning that the appropriate safeguards, enforceable rights and effective legal remedies 58 required by those provisions must ensure that data subjects whose personal data are transferred to a third country pursuant to standard data protection clauses are afforded a level of protection essentially equivalent to that guaranteed within the European Union by that regulation, read in the light of the Charter of Fundamental Rights of the European Union. To that end, the assessment of the level of protection afforded in the context of such a transfer must, in particular, take into consideration both the contractual clauses agreed between the controller or processor established in the European Union and the recipient of the transfer established in the third country concerned and, as regards any access by the public authorities of that third country to the personal data transferred, the relevant aspects of the legal system of that third country, in particular those set out, in a non-exhaustive manner, in Article 45(2) of that regulation. Ayat (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetuiuan Subjek Data Pribadi. Ayat (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetuiuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan. Article 49(1)(a) In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to Article 46, including binding corporate rules, a transfer or a set of transfers of personal data to a third country or an international organisation shall take place only on one of the following conditions: ) the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks of such transfers for the data subject due to the absence of an adequacy 59 decision and appropriate safeguards; 3.78. Bahwa putusan MK tidak berarti membatalkan kesepakatan antar/antara negara. Putusan MK juga tidak menegasikan konsep EU GDPR. Putusan MK hanya mengadopsi prinsip mendasar yang ada pada EU GDPR bahkan justru menjadikan UU PDP menjadi setara dengan EU GDPR. Rumusan yang ditawarkan juga tidak sampai masuk kepada aspek teknis, melainkan tetap pada level konstitusional. Rumusan tersebut adalah materi muatan yang seharusnya ada pada tingkat UU karena langsung berkaitan dengan ruh kedaulatan rakyat (Pasal 1 ayat (2) dan Pasal 11 ayat (1) dan ayat (2) UUD 1945) dan hak asasi manusia (Pasal 28G ayat (1) UUD 1945). Rumusan tersebut juga sama sekali tidak mengurangi peran dan kewenangan lembaga PDP. Konsep evaluasi dengan mekanisme check and balances terhadap perjanjian antar/antara negara juga sudah dilakukan oleh Uni Eropa. Rujukan komparasi sebagaimana dalam EU GDPR dan implementasi kepada EU-US Privacy Shield hingga EU:C:311/18 sudah sangat jelas, sehingga Indonesia dapat menggunakan kerangka tersebut sebagai acuan dengan penyesuaian misalkan dengan membentuk “I-US Privacy Shield”. Pengalaman negara lain sebaiknya dapat dijadikan sebagai best practice bukan sebagai sesuatu yang harus dinegasikan. Hal tersebut bukan berarti kita harus meniru tanpa penyesuaian, rumusan yang ditawarkan justru adalah penyesuaian itu sendiri. Hal tersebut juga bukan berarti menghambat perkembangan teknologi atau ekonomi, tetapi justru pelaksanaan prinsip manajemen resiko dan kehati- hatian. Adapun setelah putusan MK, berikut adalah langkah-langkah yang diperlukan dalam rangka menindaklanjuti kesepakatan awal Indonesia – Amerika: 1) Segara undangkan aturan pelaksana UU PDP; 2) Segera bentuk lembaga PDP; 3) Tugaskan lembaga PDP untuk mengkaji konsep “I-US Privacy Shield”; 4) Pemerintah melakukan konsultasi konsep “I-US Privacy Shield” dengan DPR; 5) DPR mengkaji seluruh aspek dari “I-US Privacy Shield”; 6) Jika telah memenuhi seluruh persyaratan, maka berikan persetujuan melalui undang-undang; 60 7) Lembaga PDP ditugaskan untuk melaksanakan perjanjian internasional tersebut, termasuk melakukan pengawasan dan evaluasi; 8) Lembaga PDP membuat daftar list negara dengan kriteria: 1) perlindungan setara dengan perjanjian bilateral/multilateral (adequacy decision), 2) perlindungan memadai (non-adequacy with appropriate safeguards), 3) perlindungan tidak setara dan tidak memadai (non- adequacy without appropriate safeguards) yang menjadi rujukan Pengendali Data Pribadi/Prosesor Data Pribadi; 9) Lembaga PDP juga dapat membuat sistem kepatuhan terhadap regulasi PDP yang dapat digunakan Pengendali/Prosesor Data Pribadi; 10) Lembaga PDP melaporkan kepada DPR dalam rangka fungsi check and balances; 3.79. Bahwa putusan MK ini menutup ruang tafsir yang memberikan pilihan presiden tidak memerlukan persetujuan DPR untuk melakukan transfer Data Pribadi ke negara lain. Kemudian, karena putusan MK bersifat erga omnes, maka langkah yang sama juga akan dilakukan apabila Indonesia ingin bekerja sama dengan Uni Eropa, China, Rusia, Arab Saudi, Malaysia, Brazil, Inggris, Palestina, atau negara manapun. Atau, bahkan rumusan dalam putusan MK membuka ruang apabila menggunakan perjanjian antara negara seperti model Uni Eropa, misalkan negara-negara ASEAN menghendaki hal yang sama atau bahkan jika PBB membentuk konvensi tentang AI dan Data Pribadi yang di dalamnya mengatur protokol transfer data di kemudian hari. Biarkan manusia menentukan nasibnya, mereka manusia, rakyat, memiliki daulat. Berikan kesempatan Indonesia menentukan. Di era AI, kita akan menghadapi dunia yang benar-benar berbeda dari dunia yang sebelumnya kita ketahui. Hanya yang tidak mengetahui yang menyatakan tidak akan ada perubahan apa-apa, maka dari itu Pemohon memohon kepada Mahkamah Konstitusi berikan kesempatan kepada rakyat untuk mengkaji dan meneliti secara mendalam dengan memberikan ruang kepada DPR. Kita tidak menolak perkembangan teknologi, bahkan kita siap menghadapinya. Hanya saja jangan serahkan nasib rakyat begitu saja kepada presiden. Data Pribadi kita adalah nyawa kita. Kita tidak menolak Amerika, kita tidak membatalkan kesepakatan yang telah ada, kita hanya menyatakan kami bangsa beradab yang tidak dapat direndahkan. Kita juga menggunakan teknologi negara maju untuk mensejajarkan bahwa 61 negara kita memiliki etika untuk dunia. Pengembangan teknologi AI harus bersifat resiprokal tanpa memandang keadaan negara manapun. Rakyat berdaulat atas Data Pribadinya sebagaimana terhadap diri pribadinya. Putusan MK merupakan suatu yurisprudensi dunia yang menjadi diplomasi teknologi sebagai instrumen soft power untuk memperkuat posisi Indonesia dalam perumusan norma global AI; 3.80. Bahwa sebagai ilustrasi tambahan jika putusan MK dikabulkan, maka pelaksanaannya secara sederhana akan seperti: Adequacy Decision Non–Adequacy with Appropriate Safeguard Non–Adequacy without Appropriate Safeguard International best practice (ex.: ISO 27001, ISO 27701) 1. Ada perjanjian bilateral/multilateral yang menyatakan kesetaraan (adequacy decision); 2. Ada pengaturan PDP dengan substansi yang setara; 3. Ada pelaksanaan PDP yang konsisten; 4. Ada infrastruktur hukum yang memadai untuk penegakan hukum PDP; 5. Ada jaminan perlindungan konstitusional yang menjamin data pribadi sebagai hak asasi yang mendasar. 1. Ada pengaturan PDP, tetapi substansinya belum setara. 2. pelaksanaan PDP setidaknya setara (essentially equivalent). 3. ada infrastruktur hukum yang setidaknya setara (essentially equivalent). 4. Ada jaminan perlindungan konstitusional yang menjamin data pribadi sebagai hak asasi yang mendasar. 1. Tidak ada pengaturan PDP; 2. Tidak ada infrastruktur hukum untuk menegakan PDP. 3. Tidak ada jaminan perlindungan konstitusional yang menjamin data pribadi sebagai hak asasi yang mendasar. Kewajiban Hukum Lembaga PDP 1. Menyusun konsep perjanjian internasional kepada presiden untuk mendapatkan persetujuan DPR; 2. Melakukan evaluasi berkala 3. Melaporkan pelaksanaan kepada Presiden dan DPR. 4. Melakukan penegakan hukum terhadap Pengendali/Prosesor Data Pribadi yang tidak patuh; DPR 1. Melakukan kajian dan memberikan persetujuan; 2. Melakukan fungsi pengawasan; Pengendali/Prosesor Data Pribadi 1. Mematuhi pelaksanaan sesuai perjanjian Lembaga PDP 1. Memastikan bahwa negara tujuan memiliki regulasi PDP, jaminan konstitusional terhadap PDP, infrastruktur hukum yang memadai, dan penegakan hukum yang memadai; 2. Melakukan evaluasi berkala. 3. Melakukan penegakan hukum terhadap Pengendali/Prosesor Data Pribadi yang tidak patuh; Pengendali/Prosesor Data Pribadi 1. Memastikan bahwa negara penerima Data Pribadi terdaftar sebagai negara yang memiliki Lembaga PDP 1. Memastikan bahwa standar kontrak Pengendali/Prosesor Data Pribadi memuat informed consent; 2. Melakukan penegakan hukum terhadap Pengendali/Prosesor Data Pribadi yang tidak patuh; Pengendali/Prosesor Data Pribadi 1. Memastikan memiliki kontrak SCC yang memuat informed consent; 2. Memastikan selalu menerapkan best practice 62 internasional/hukum yang telah berlaku; 2. Memastikan selalu menerapkan best practice perlindungan yang memadai; 2. Memastikan penerima Data Pribadi memiliki binding corporate rules; 3. Memastikan selalu menerapkan best practice 4. PETITUM Berdasarkan alasan-alasan hukum dan konstitusional di atas, maka Pemohon dalam hal ini memohon kepada Majelis Hakim Mahkamah Konstitusi Republik Indonesia untuk dapat memutus hal-hal sebagai berikut: 1. Menyatakan mengabulkan permohonan Pemohon; 2. Menyatakan Pasal 56 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820) bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai dengan ketentuan yang diatur dalam Undang-Undang ini.”; 3. Menyatakan Pasal 56 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820) bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.”; 4. Menyatakan Pasal 56 ayat (3) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 63 196, Tambahan Lembaran Negara Nomor 6820) bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar.” 5. Menyatakan Pasal 56 ayat (4) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820) bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.”; 6. Memerintahkan pemuatan Putusan dalam Berita Negara Republik Indonesia; Atau apabila Majelis Hakim Mahkamah Konstitusi Republik Indonesia berpendapat lain mohon putusan yang seadil-adilnya (ex aequo et bono); [2.2] Menimbang bahwa untuk membuktikan dalil-dalilnya, Pemohon telah mengajukan alat bukti surat/tulisan yang diberi tanda Bukti P-1 sampai dengan Bukti P-25, yang telah disahkan dalam persidangan pada tanggal 26 Agustus 2025, sebagai berikut: 1. Bukti P-1 : Fotokopi Salinan Undang-Undang Nomor 27 Tahun 2022 Tentang Perlindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820); 2. Bukti P-2 : Fotokopi Salinan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945; 3. Bukti P-3 : Fotokopi Salinan Kartu Tanda Penduduk atas nama Pemohon; 64 4. Bukti P-4 : Fotokopi Salinan Keputusan Menteri Hukum dan HAM Republik Indonesia Nomor AHU-0046666.AH.01.01. Tahun 2019 tanggal 16 September 2019 serta salinan turunannya NIB Nomor 9120300932232 dan salinan SIUP; 5. Bukti P-5 : Fotokopi Salinan Surat Nomor 30/SK/PPK- PUSDATIN/II/2023 tertanggal 16 Februari 2023; 6. Bukti P-6 : Fotokopi Salinan Sertifikat Pelatihan Audit Internal ISO 27001: 2013 atas nama Pemohon; 7. Bukti P-7 : Fotokopi Tangkap Layar / Screenshot channel Youtube Pemohon dalam membahas mengenai deontic logic dan artificial intelligence; 8. Bukti P-8 : Fotokopi Salinan Bukti Akta Registrasi Perkara Nomor 132/PUU/PAN.MK/ARPK/09/2023 dan 80/PUU/PAN.MK/ ARPK/07/2024; 9. Bukti P-9 : Fotokopi Tangkap Layar/Screenshot website: https://www.whitehouse.gov/briefings- statements/2025/07/joint-statement-on-framework-for- united-states-indonesia-agreement-on-reciprocal-trade yang diakses pada 29 Juli 2025 Pukul 11:53 WIB; 10. Bukti P-10 : Fotokopi Salinan Regulation (EU) 2016/679 Of The European Parliament And Of The Council Of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (“EU GDPR”); 11. Bukti P-11 : Fotokopi Salinan Artikel berjudul : “Digital Targeting : Artificial Intelligence, Data, and Military Intelligence” karya Anthony King, Journal of Global Security Studies, 9(2), 2024; 12. Bukti P-12 : Fotokopi Tangkap Layar / Screenshot artikel: “Data Dominance in Modern Warfare The Crucial Role of AI and Data Analytics” karya Claudia Gilbert, diakses dari: https://theforge.defence.gov.au/article/data-dominance- modern-warfare-crucial-role-ai-and-data-analytics diakses pada 27 Juli 2025 Pukul 17:55 WIB; 65 13. Bukti P-13 : Fotokopi Salinan EU-U.S. Privacy Shield Framework Principles Issued By The U.S. Department Of Commerce; 14. Bukti P-14 : Fotokopi Tangkap Layar / Screenshot artikel berita: “Riset Cisco: Indonesia perlu investasi US$ 62 miliar untuk tangkal serangan siber” diakses dari: https://bskdn.kemendagri.go.id/website/riset-cisco- indonesia-perlu-investasi-us-62-miliar-untuk-tangkal- serangan-siber/ diakses pada 27 Juli 2025 Pukul 19:32 WIB; 15. Bukti P-15 : Fotokopi Salinan “Global Cybersecurity Outlook 2025” dari World Economic Forum; 16. Bukti P-16 : Fotokopi Salinan buku berjudul “Data Sovereignity : From The Digital Silk Road To The Return Of The State” editor Anupam Chander dan Haochen Sun terbitan Oxford University Press tahun 2023; 17. Bukti P-17 : Fotokopi Tangkap Layar/Screenshot artikel berita : “Buruh Jahit Lepas Ditagih Pajak atas Transaksi Rp 2,9 Miliar, Ternyata NIK-nya Disalahgunakan” https://regional.kompas.com/read/2025/08/09/090132978/b uruh-jahit-lepas-ditagih-pajak-atas-transaksi-rp-29-miliar- ternyata-nik?page=all diakses pada 12 Agustus 2025 pukul 21:22 WIB; 18. Bukti P-18 : Fotokopi Salinan dokumen “Winning The Race : America’s AI Action Plan” diunduh dari https://www.whitehouse.gov/wp- content/uploads/2025/07/Americas-AI-Action-Plan.pdf pada 18 Agustus 2025 pukul 17:08 WIB; 19. Bukti P-19 : Fotokopi Salinan Judgement European Union Court Of Justice Case Nomor C:311/18; 20. Bukti P-20 : Fotokopi Tangkap Layar / Screenshot artikel : “AI Drone That Could Hunt And Kill People Built In Just Hours By Scientist ‘For A Game’” https://www.livescience.com/technology/engineering/ai- drone-that-could-hunt-and-kill-people-built-in-just-hours-by- 66 scientist-for-a-game diakses pada 18 Agustus 2025 pukul 16:00 WIB; 21. Bukti P-21 : Fotokopi Tangkap Layar / Screenshot artikel berita : “Hati – Hati Chat Dengan ChatGPT, Obrolan Bisa Muncul Di Google” https://www.cnnindonesia.com/teknologi/20250804084931- 192-1258312/hati-hati-chat-dengan-chatgpt-obrolan-bisa- muncul-di-google diakses pada 18 Agustus 2025 pukul 16:00 WIB; 22. Bukti P-22 : Fotokopi Tangkap Layar/Screenshot artikel berita : “Fakta- fakta Kebocoran Data PDNS, Dalang hingga Jumlah Tebusan” https://www.cnnindonesia.com/teknologi/20240624122531- 185-1113359/fakta-fakta-kebocoran-data-pdns-dalang- hingga-jumlah-tebusan diakses pada 12 Agustus 2025 pukul 21:32 WIB; 23. Bukti P-23 : Fotokopi Salinan Consolidated Version Of The Treaty On The Functioning Of The European Union; 24. Bukti P-24 : Fotokopi Tangkap Layar / Screenshot kutipan chat Pemohon dengan ChatGPT model GPT-5; 25. Bukti P-25 : Fotokopi Salinan Artikel Penelitian berjudul : “Model- Checking the Implementation of Consent” karya Raúl Pardo dan Daniel Le Métayer diunduh dari https://arxiv.org/abs/2409.11803; Selain itu, Pemohon mengajukan seorang ahli yakni Dr. Indra Rahmatullah, S.H.I., M.H., yang keterangan tertulisnya diterima Mahkamah pada tanggal 20 Oktober 2025 dan telah menyampaikan keterangan lisan dalam persidangan Mahkamah pada tanggal 22 Oktober 2025, yang pada pokoknya sebagai berikut: Dalam kesempatan ini, Ahli menyampaikan beberapa penjelasan tentang konsep kedaulatan digital dan ketentuan transfer data pribadi ke luar negeri sebagaimana diatur dalam Pasal 56 Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi (yang selanjutnya disebut UU PDP). Menurut Ahli pembahasan tentang transfer data pribadi ke luar negeri merupakan bagian yang paling menantang dalam diskursus perlindungan data pribadi baik di level 67 internasional maupun nasional karena menyangkut konsep kedaulatan sebuah negara. Agar lebih sistematis dan komprehensif, keterangan ahli ini dibagi menjadi tiga bagian, yaitu Filosofis, Yuridis dan Sosiologis. Pada bagian Filosofis, Ahli menyampaikan bahwa transfer data pribadi ke luar negeri tidak bisa dilepaskan dari globalisasi sehingga tidak ada lagi batas-batas negara (borderless) yang jelas. Globalisasi juga dinamakan liberalisasi yaitu sebuah proses untuk mengubah pembatasan pemerintah terhadap pergerakan antar negara agar ekonomi dunia semakin terbuka dan tanpa batas, globalization refers to a process of removing government-imposed restrictions on movements between countries in order to create an open, borderless world economy. Bahkan dengan bantuan teknologi informasi, globalisasi merupakan proses sangat cepat dan efektif untuk mentransformasi masyarakat ke pasar global. Globalisasi juga merupakan internasionalisasi karena menyebabkan interdependensi antar negara yang saling bertukar modal ekonomi (saat ini termasuk pertukaran data dan informasi) sehingga tidak ada negara satupun di dunia yang hidup sendiri tanpa bantuan dari negara lain. Faktor- faktornya seperti jumlah penduduk, teknologi, ekonomi dan kebutuhan warga negaranya sehingga membagi dunia menjadi dua bagian, yaitu negara-negara maju dan berkembang yang berbeda kepentingannya. Apalagi dalam sistem ekonomi digital, data-data menjadi sumber daya utama dalam menggerakkan sistem ekonomi digital. Oleh karena itu, praktik-praktik pengumpulan data, monopoli data, penggunaan data dan pemindahan (transfer) data ke luar negeri menjadi sebuah keniscayaan. Dengan fenomena tersebut, ada beberapa tantangan bagi kita semua. Pertama, kapitalisme dan monopoli digital. Joseph Stiglitz sangat mengkhawatirkan globalisasi dikendalikan oleh kepentingan politik negara-negara maju sehingga globalisasi tidak menciptakan stabilitas ekonomi dan mengurangi kemiskinan. Begitu juga dengan Jacques Gelinas yang memandang globalisasi adalah kapitalisme dan liberalisme ekonomi karena menyebabkan kesengsaraan rakyat dan ketimpangan antara orang kaya dan miskin. Sedangkan Habermas mengatakan teknologi adalah alat legitimasi, justifikasi dan dominasi negara tertentu kepada negara lain. Contohnya banyak perusahaan-perusahaan digital melakukan monopoli, mengontrol pasar, entry barrier kepada pesaingnya karena mempunyai kekuatan pasar yang lebih besar. Mereka juga melakukan predatory pricing dan melakukan integrasi platform digital dengan tujuan mematikan pesaing lainnya. 68 Kedua, transfer data pribadi ke luar negeri menyebabkan biasnya batas- batas negara karena data-data dipindahkan dalam jumlah yang sangat banyak dan cepat11sehingga muncul konsep deteritorialisasi kedaulatan negara. Bahkan pelanggaran terhadap kedaulatan negara sudah tidak lagi dengan cara yang konvensional seperti agresi militer, invasi, dan pendudukan kepada suatu negara tetapi dilakukan melalui pengintaian. Akibatnya muncul gagasan untuk mengendalikan penggunaan infrastruktur arus data dan informasi di dunia maya dalam rangka memproteksi data pribadi warga negaranya masing-masing. Oleh karena itu, kedaulatan sebuah negara tidak lagi dibatasi dengan daratan saja. Tetapi sudah diperluas pada informasi dan komunikasi yang berada di area teritorial negara termasuk mail, telegraph, broadcasting, telephone, satellites dan data networks. Bahkan di banyak negara, kedaulatan terhadap informasi dan komunikasi dianggap sebagai monopoli negara atas alasan politik, keamanan dan ekonomi. Dari sinilah kedaulatan digital mulai berkembang. Kedaulatan digital dimaknai sebagai sebuah konsep bahwa negara harus mempunyai otoritas penuh atas teknologi internet untuk melindungi warganya dari berbagai macam tantangan yang ditimbulkan oleh transformasi digital dan infrastruktur internet dengan cara membuat aturan hukum. Menurut Piere Belangger kedaulatan digital adalah kontrol negara terhadap jaringan komputer dan teknologi, “digital soveregnity is a control of our present and destiny as manifested and guided by the use of technology and computer network. Ada juga yang menamakan kedaulatan teknologi (technological sovereignty) sebagaimana pendapat dari Couter dan Toupin bahwa kedaulatan teknologi adalah bentuk kendali kolektif terhadap perangkat konten digital, ”some form of collective control on digital content and/or infrastructure”. Definisi ini kemudian berkembang sebagai bentuk konsep kepemilikan, pengawasan dan akses data baik bagi individu maupun kelompok19 yang dibagi menjadi dua langkah yaitu: 1. Kemampuan pengumpulan oleh negara, komunitas, gerakan sosial dan lainnya dalam rangka meningkatkan inovasi dan mendorong perkembangan teknologi nasional melalui peningkatan software dan infrastruktur, dan 2. Keamanan dan privasi orang atau masyarakat yang berbentuk konsep kepemilikan dan kontrol data-data pribadi. Tantangan di atas dapat dijadikan pintu masuk untuk membangun konsep kedaulatan digital manakala dihadapkan pada praktik transfer data pribadi ke luar 69 negeri agar memberikan keamanan dan jaminan perlindungan kepada subjek data pribadi. Proteksi negara yang ketat baik ketentuan, syarat, otoritas penegakan hukum terhadap transfer data pribadi ke luar negeri merupakan implementasi dari kedaulatan digital di mana negara ingin mengamankan data-data warga negaranya untuk mewujudkan kedaulatan data. Pada Bagian Yuridis, Ahli berpendapat transfer data pribadi ke luar negeri merupakan tantangan bagi negara-negara di dunia. Paling tidak ada tiga hal, yaitu: 1. Di era digital saat ini, pertukaran data tidak dapat dihindari lagi sehingga bagaimana mendorong transformasi digital yang aman, bebas dan terbuka. 2. Bagaimana merekonsilisasi perbedaan pengaturan transfer data pribadi ke luar negeri. 3. Bagaimana mengisi gap atau jurang antara regulasi dengan inovasi-inovasi di era digital saat ini. Variasi Pengaturan Transfer Data Pribadi ke Luar Negeri Perkembangan signifikan perlindungan data terjadi ketika Uni Eropa melakukan unifikasi hukum melalui Peraturan Perlindungan Data Uni Eropa (EU GDPR—General Data Protection Regulation) pada 2016, dan mulai berlaku pada 25 Mei 2018 di 27 negara anggota dan negara yang masuk dalam Europe Economic Area (EEA). GDPR disebut-sebut sebagai ―The toughest data protection law in the 70 world‖ karena memiliki keketatan aturan dan sanksi yang besar bagi pelanggar. GDPR juga memiliki efek ekstrateritorial karena regulasi ini berlaku bagi semua pihak di manapun berada, termasuk yang berada di luar Uni Eropa, selama mereka melakukan kegiatan-kegiatan yang berkaitan dengan pemrosesan data pribadi.23 Setelah GDPR diterbitkan, sudah banyak negara- negara yang mengadopsi GDPR atau menjadikan GDPR sebagai inspirasi untuk membuat regulasi perlindungan data pribadi, di antaranya Amerika Serikat, Irlandia, Perancis, Portugal, Denmark, Inggris dan Belanda. Sedangkan di Kawasan Asia seperti Taiwan, Australia, Jepang, Philipina, Singapura, Malaysia dan Thailand. Menurut GDPR, transfer data pribadi ke luar wilayah Uni Eropa (UE) atau European Economic Area (EEA) hanya boleh dilakukan jika mekanisme perlindungannya menjamin tingkat perlindungan data yang setara dengan yang berlaku di dalam UE, (Pasal 44–50): 1) Adequacy Decision (Keputusan Kesetaraan) Pasal 45. Transfer data diperbolehkan tanpa izin khusus jika negara tujuan telah dinilai oleh Komisi Eropa yang memiliki tingkat perlindungan data yang setara dengan UE. 2) Appropriate Safeguards (Perlindungan yang Memadai) - Pasal 46. Jika negara tujuan belum memiliki keputusan kesetaraan, transfer masih dapat dilakukan dengan syarat adanya perlindungan tambahan, seperti: a. Standard Contractual Clauses (SCCs), perjanjian standar dari Komisi Eropa yang mengikat pengirim dan penerima data, b. Binding Corporate Rules (BCRs) yaitu kebijakan internal perusahaan multinasional yang menjamin perlindungan data lintas negara, c. Code of Conduct / Certification Mechanism, penerima data mengikuti kode etik atau sertifikasi yang diakui oleh otoritas perlindungan data UE dan d. Contractual Clauses yang Disetujui Otoritas Nasional. 3) Derogations for Specific Situations (Pengecualian Khusus) - Pasal 49. Jika tidak ada keputusan kesetaraan maupun perlindungan memadai, transfer masih bisa dilakukan secara terbatas dalam situasi tertentu sebagai opsi terakhir dengan syarat: a. Persetujuan eksplisit dari subjek data, b. pelaksanaan kontrak antara subjek data dan pengendali data, c. Alasan kepentingan publik yang penting, d. penegakan atau pembelaan klaim hukum dan e. melindungi kepentingan vital individu. 71 Sebelum berlakunya UU PDP di Indonesia, telah ada dua peraturan di bawah undang-undang yang mengatur hal tersebut, yaitu Peraturan Pemerintah No. 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik dalam Pasal 59 ayat (2) huruf (h), bahwa data pribadi tidak boleh dikirim ke negara atau wilayah lain di luar Indonesia kecuali jika negara atau wilayah tersebut oleh Menteri dinyatakan memiliki standar dan tingkat perlindungan yang sama dengan Indonesia. Sedangkan dalam Peraturan Bank Indonesia No. 23/6/PBI/2021 tentang Penyedia Jasa Pembayaran mengatur transfer data pribadi dalam Pasal 48 ayat (6) sampai ayat (8) yakni Pemrosesan transaksi pembayaran dimana akan melibatkan pengiriman data di luar wilayah Indonesia hanya dapat dilaksanakan atas persetujuan dari Bank Indonesia. Setelah berlakunya UU PDP, transfer data pribadi ke luar negeri diatur dalam Pasal 56 yaitu: 1. Negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi, 2. Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat, dan 3. Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. Ketentuan tersebut menurut Ahli masih belum cukup memadai untuk melindungi data warga negara karena belum ada kepastian hukum tentang bagaimana konsep ―perlindungan data pribadi yang setara dan memadai‖. Apalagi sampai dengan saat ini Peraturan Pemerintah dari UU PDP belum ada sehingga transfer data pribadi ke luar negeri menimbulkan ketidakpastian hukum dan perlindungan hukum bagi subjek data pribadi. Jika ditelusuri masalah tersebut, ternyata belum ada pembahasan komprehensif dan mendalam tentang mekanisme ―kesetaraan dan memadai‖ baik dalam Naskah Akademik RUU Perlindungan Data Pribadi yang berasal dari Pemerintah tahun 202031 maupun Daftar Inventaris Masalah (DIM) yang digunakan sebagai bahan diskusi rapat pembahasan RUU Pelindungan Data Pribadi di DPR. Situasi tersebut menjadikan ketentuan transfer data pribadi ke luar negeri di Indonesia cenderung agak longgar dibanding dengan beberapa negara di ASEAN. Sebagai contoh, di Malaysia menambahkan syarat ketat seperti mitigasi resiko atau Transfer Impact Assesment (TIA) yang dilakukan pengendali data pribadi (data controller), dinilai oleh Jabatan Perlindungan Data Pribadi dan Corporate Binding Rule (CBR) dengan ketentuan yang mengikat bagi negara-negara. Singapura 72 menambahkan Corporate Binding Rules (CBR), dan Philipina yang melarang data sensitif ditransfer ke luar negeri. Jika melihat praktik di dunia saat ini, pengaturan transfer data pribadi ke luar negeri sangat variatif tergantung kebijakan negara tertentu sebagaimana yang dicontohkan dalam taksonomi berikut: Keterangan:  Pendekatan 0: tidak ada data yang ditransfer dan tidak ada kemauan politik dari negara untuk mengatur.  Pendekatan 1: tidak ada larangan serta tidak ada ketentuan data yang ditransfer.  Pendekatan 2, 3, 4: masing-masing negara berhak menentukan regulasinya, membuat indicator adequacy masing-masing. Keterangan tersebut memberikan gambaran variatifnya pengaturan transfer data pribadi ke luar negeri. Masing-masing negara mempunyai agenda, rencana dan kebijakannya masing-masing sehingga pengaturan transfer data pribadi di Indonesia sangat terbuka untuk direview dengan menambah ketentuan penilaian kesetaraan dalam perjanjian internasional untuk menguatkan kedaulatan digital negara Indonesia dengan tetap menyeimbangkan kebutuhan kebutuhan transfer data pribadi ke luar negeri. Pada bagian Sosiologis, Ahli menyampaikan bahwa terdapat berbagai macam kebijakan negara- negara dalam mengatur syarat dan ketentuan transfer data pribadi ke luar negeri sehingga menjadi tantangan bagi Indonesia dalam menguatkan kedaulatan digital karena negara berkembang lebih rentan posisinya lemah dibanding dengan negara maju. Ada empat pendekatan bagi negara dalam mengatur transfer data pribadi, yaitu: 73 1. Encourage states to develop plans for the regulation and exchange of different types of data. Negara mengembangkan rencana regulasi dan pertukaran jenis data pribadi yang memiliki tingkat keamanan yang setara, mekanisme kontrol negara terhadap data demi keamanan nasional. Bagi negara berkembang fase ini membutuhkan dorongan dan bantuan teknis dari organisasi internasional seperti UNCTAD. 2. Give people greater voice and greater control over their data. Subjek data pribadi harus mampu mengontrol datanya. Pada fase ini, negara wajib melakukan pertemuan-pertemuan internasional dengan berbagai pihak untuk memberikan perlindungan dan akses negara dalam mengontrol data warga negara yang ditransfer ke luar negeri. Menurut Ahli, pertemuan internasional ini dilanjutkan dengan perjanjian internasional baik bilateral maupun multilateral khususnya dalam menyamakan persepsi kesetaraan antar negara yang mengikat satu sama lain. 3. Clarify the rules and exceptions to the rules so nations do not restrict cross border data flows more frequently or broadly than necessary, especially in the name of national security or cyber security. Perlu ada ketentuan agar negara- negara tidak membatasi transfer data pribadi ke luar negeri terlalu sering atas nama keamanan dan keamanan siber. Namun perlu ada juga ketentuan pengecualian yang bisa digunakan negara untuk menerobos perjanjian tersebut demi alasan kepentingan nasional dan keamanan negara. 4. Provide clarity on what types of practices should be banned because they are trade-distorting. Berikan penjelasan mengenai data apa saja yang dilarang dalam pertukaran ke luar negeri. Berdasarkan praktik saat ini, ada empat pendekatan yang lazim dipakai banyak negara untuk mengatur transfer data pribadi ke luar negeri, yaitu: Pertama, No Regulation. Transfer data pribadi tidak diatur. Biasanya pilihan ini pada negara- negara yang belum melakukan transformasi digital untuk membuat undang-undang perlindungan data pribadi seperi negara Chad, Mali, Suriah, Sudan, Brunei Darussalam, Timor Leste. Kedua, Ex-accountability. Tidak melarang transfer data dan tidak mensyaratkan khusus. Namun ketika ada pelanggaran, pengendali data dimintai pertanggungjawabannya. Ketiga, Flows conditional on safeguards. Otoritas publik atau swasta membuat syarat-syarat seperti regulasi perlindungan data yang seimbang, klausa kontrak, persetujuan dan aturan korporasi yang mengikat. Jenis 74 ini termasuk paling banyak dilakukan oleh negara termasuk di Indonesia, Malaysia, Singapura dan Australia. Keempat, Flow conditional on ad-hoc authorization. Tidak semua data pribadi yang dapat dipindahkan ke luar negeri. Hanya data- data tertentu saja yang diperbolehkan oleh otoritas negara. Model ini dipraktikkan di negara- negara yang membatasi jenis data pribadi tertentu (data sensitif) yang boleh ditransfer ke luar negeri seperti di India, China, Vietnam dan mensyaratkan lokalisasi data (localization) seperti di Australia, Brazil, Kanada, Denmark. Dari keempat model tersebut, telah mengisyaratkan komunitas internasional sudah mulai menaruh perhatian dalam mengatur transfer data pribadi ke luar negeri baik secara prosedur, syarat dan prinsipnya. Situasi tersebut wajar jika negara-negara berbeda-beda dalam merespon data pribadi yang ditransfer ke luar negeri karena beberapa alasan, yaitu keamanan nasional, penegakan hukum, melindungi pelaku usaha domestik dan kejahatan siber. Isu ini juga tidak bisa dilepaskan dengan konsep lokalisasi data (data localization) yaitu konsep di mana data ditempatkan dan disimpan. Bagi yang kontra berpandangan bahwa lokalisasi data bertentangan dengan liberalisasi perdagangan karena bertujuan untuk menghilangkan hambatan-hambatan dagang, berbiaya tinggi, menghambat perkembangan industri tertentu, memfasilitasi pengintaian negara, dan mengancam fungsi dari internet yaitu keterbukaan. Sedangkan yang pro berpendapat bahwa lokalisasi data sangat penting untuk melindungi kepentingan nasional yaitu memelihara keamanan nasional dan penegakan hukum. Lokalisasi data bertujuan untuk menjaga keamanan nasional dari potensi terjadinya pengintaian dan operasi intelijen asing yang memanfaatkan ruang siber. Oleh karena itu, ruang siber juga harus menjadi daerah operasi militer selain darat, laut dan udara. Sedangkan untuk penegakan hukum, lokalisasi data bertujuan untuk mempermudah penegak hukum dalam mengamankan barang bukti jika terjadi pelanggaran data pribadi di negaranya. Dengan data yang tersimpan di dalam negeri akan memudahkan proses penegakan hukum karena salinan atau data-data telah tersedia di dalam negeri. Dengan tantangan tersebut, transfer data pribadi diposisikan pada persoalan yang sangat penting dan kritis karena beririsan dengan kedaulatan sebuah negara. Berdasarkan landasan Filosofis, Yuridis dan Sosiologis di atas, ketentuan transfer data pribadi ke luar negeri dengan menambahkan penilaian kesetaraan dalam perjanjian internasional merupakan upaya memberikan proteksi yang lebih 75 aman dan jaminan perlindungan hukum kepada data pribadi warga negara Indonesia. Pertama, memasukkan penilaian kesetaraan dalam perjanjian internasional transfer data pribadi merupakan implementasi dalam memperkuat kedaulatan digital bangsa Indonesia baik secara internal maupun eksternal. Kedaulatan internal berarti negara berdaulat dengan memiliki kewenangan eksklusif untuk mengurusi wilayahnya sendiri, bebas intervensi dari pihak luar dapat membuat hukumnya sendiri, menundukkan negara lain, dan menyelesaikan masalah-masalah yang berada di dalam yurisdiksinya. Sedangkan kedaulatan eksternal berarti negara berhak menjalin hubungan dengan negara-negara lain dalam wilayah publik maupun wilayah privat, mempunyai hak yang setara (equality) dengan negara- negara lain dan patuh terhadap kebiasaan internasional dan perjanjian internasional atas dasar kehendak negara tersebut. Kedua, memposisikan bangsa Indonesia setara dengan negara lain ketika melakukan transfer data pribadi ke luar negeri sehingga tidak mudah ditekan, dan disetir karena posisi yang inferior atau lemah. Resolusi Majelis Umum PBB Nomor A/Res/25/2625 tentang Declaration on Principles of International Law concerning Friendly Relations and Cooperation among States in accordance with the Charter of the United Nations tahun 1970 memberikan dasar kesetaraan dengan prinsip States are judicially equal (persamaan kedaulatan yuridis), Each state enjoys the rights inherent in full sovereignty (setiap negara menikmati hak-hak yang melekat penuh pada kedaulatannya) dan Each state has duty to respect the personality of other state (setiap negara berkewajiban menghormati privasi negara lain). Dengan kesetaraan ini, transfer data pribadi ke luar negeri bisa resiprokal, tidak didikte, mengurangi resiko monopoli dan menghindari kolonialisme data oleh negara lain. Ketiga, subjek data pribadi tetap bisa mengontrol data pribadinya yang telah ditransfer ke luar negeri. Give people greater voice and greater control over their data (Subjek data pribadi harus mampu mengontrol datanya). Dengan demikian, transfer data pribadi ke luar negeri memenuhi syarat lawfullness (sah secara hukum), fairness (adil/sesuai tujuan pemrosesan) dan transparency (transparan). Praktik melalui perjanjian internasional dalam transfer data pribadi dimaksudkan agar ketentuan antar negara saling compatible, memiliki kekuatan hukum yang kuat serta mengikat (pacta sunt servanda), dan antisipasi jika di kemudian hari terjadi hal-hal seperti kejahatan siber, pajak, hak kekayaan 76 intelektual. Selain itu juga untuk memudahkan dalam menentukan yurisdiksi dan mekanisme penyelesaian sengketa ketika terjadi masalah. Sebagai contoh adanya perjanjian internasional seperti Mutual Legal Asistence Treaty (MLAT) atau Perjanjian Bantuan Hukum Timbal Balik yang memfasilitasi antar negara mendapatkan bukti elektronik ketika terjadi pelanggaran hukum di luar negara. Ada juga International Data-Sharing Agreement (Perjanjian Pertukaran Data Internasional) yaitu perjanjian internasional untuk menyediakan mekanisme bagi pemerintah untuk mengakses data yang disimpan di yurisdiksi lain. Perjanjian itu mengharuskan negara anggota memiliki standar privasi dan perlindungan hak asasi manusia yang serupa. Sebagai contoh, perjanjian internasional model tersebut dilakukan antara Amerika dan Inggris dalam rangka penegakan hukum untuk mengakses data warga negara Amerika yang berada di Inggris. Perjanjian tersebut mengizinkan perusahaan di Inggris memindahkan data warga negara Amerika kepada penegak hukum Amerika. Masalah di atas menjadi isu utama dan akan sangat kompleks untuk diselesaikan jika belum lengkap aturannya ditambah tidak adanya perjanjian internasional antar negara. Banyak negara-negara mulai inisiatif memperkuat perlindungan data pribadi lintas negara dengan menambah perjanjian internasional, di antaranya: Australia, Brunei, Canada, Chile, Japan, Malaysia, Mexico, New Zealand, Peru, Singapore, and Vietnam (CPTPP), Canada, Mexico and the United States (USMCA), Korea-US (FTA), Australia – Singapore, Chinese Taipei – Nicaragua, Canada – Peru, Hong Kong - New Zealand, Korea – Peru, Colombia - Costa Rica, Mexico – Panama, Canada – Korea, Japan – Mongolia, Korea – Vietnam, Chile – Uruguay, Argentina – Chile, Australia – Peru, Brazil – Chile kesemua negara tersebut menggunakan (FTA), Caribbean Forum (EC EPA), Pacific Alliance Additional Protocol (PAAP), Cameroon - EC Interim (EPA), EU- Mexico (Modernised Global Agreement), Indonesia - Australia (CEPA), Japan – US (Digital Trade Agreement), Digital Economy Partnership Agreement between Chile, New Zealand and Singapore (DEPA), Australia - Singapore Digital Economy Agreement. Jika melihat pada ketentuan Pasal 2 huruf c GDPR, membuka kemungkinan penilaian kesetaraan itu dimasukkan ke dalam perjanjian internasional karena salah satu aspeknya adalah ada atau tidaknya komitmen internasional, konvensi, atau instrumen hukum internasional lainnya baik regional maupun multilateral yang mengikat secara hukum khususnya tentang perlindungan data pribadi (Pasal 45 ayat 77 2 huruf c), the International commitments the third country or international organisation concerned has entered into, or other obligations arising from legally binding conventions or instruments as well as from its participation in multilateral or regional system, in particular in relation of personal data. Yang Mulia Majelis Hakim Konstitusi. Selain dengan pendekatan perjanjian internasional di atas, penilaian Adequacy Decision juga dapat dilakukan melalui Unilateral Instrument yaitu sebuah penilaian kesetaraan oleh sebuah lembaga otoritas (data protection authority/DPA) yang keputusannya diakui oleh negara- negara sehingga syarat-syarat transfer data pribadi ke luar negeri menemui titik yang sama. Sebagai contoh The Privacy Shield Framework antara Amerika dan Uni Eropa di mana ketentuan pelindungan data pribadi Amerika sesuai (compatible) dengan Uni Eropa sehingga data pribadi bisa ditransfer dari Amerika ke Eropa dan otoritas Amerika bisa mengakses data yang ditransfer dari Uni Eropa. Apabila penilaian Adequacy tersebut belum ada titik temu, masih ada alternatif cara lain agar data bisa ditransfer ke luar negeri yaitu dengan kontrak standar contractual clauses (SCCs) yang dibuat oleh lembaga otoritas (data protection authority/DPA) bagi perusahaan-perusahaan swasta dalam bentuk binding corporate rules (BCR). Jadi kedua pendekatan tersebut melibatkan lembaga otoritas data pribadi yang diakui secara internasional. Ahli Dr. Indra Rahmatullah, S.H.I., M.H., juga menambahkan keterangannya atas pertanyaan-pertanyaan yang diajukan dalam persidangan tanggal 22 Oktober 2025, sebagai berikut: Pertanyaan Pemohon Rega Felix: Saya dari perspektif sebagai Pemohon, warga negara itu kan punya hak untuk mengetahui data apa saja yang kira-kira akan ditransfer dan hak untuk mengetahui kalau ada pelanggaran harus ada mekanisme apa yang bisa saya tempuh. Sedangkan tadi ditegaskan ada asas resiprokal, ada pacta sunt servanda. Pertanyaan saya, apakah hak-hak Pemohon, hak untuk mengetahui data yang bisa saya ketahui apa yang akan ditransfer dan hak untuk mendapatkan mekanisme, kejelasan mekanisme itu sebenarnya lebih kuat dilindungi dengan mekanisme perjanjian internasional, itu yang pertama. Yang kedua masih menyambung, dalam satu perjanjian itu kan biasanya ada unsur esensial, ada substansi minimum suatu perjanjian, ini kan termasuk perjanjian internasional. Jika misalnya transfer data ini dikonstruksikan dalam 78 bentuk perjanjian internasional, maka kan berarti harus ada substansi minimumnya. Kira-kira substansi minimum apa yang harus ada dalam perjanjian internasional itu? Nah kemudian, dengan substansi minimum itu, maka bisa enggak kita tarik bahwa ya ini memang lebih baik dengan perjanjian internasional daripada tindakan administratif semata? Pertanyaan Kuasa Presiden dari Kementerian Hukum (May Lim Charity): Ahli tadi menyatakan bahwa Pasal 56 ini terutama rujukan frasa setara dan memadai. Pertanyaan kami, Saudara Ahli, 56 ayat (3) ini berdasarkan keterangan Presiden juga, sudah menyatakan ini harus dibaca secara holistik dengan ketentuan 56 ayat (1). Jadi frasa setara dan memadai itu di dalam rumusan pasal ini, ini memiliki mekanisme remediasi yang efektif dengan menempatkan data pribadi sebagai hak asasi yang mendasar. Bagaimana pendapat Ahli terkait rumusan norma secara keseluruhan Pasal 56? Pertanyaan Hakim Konstitusi Arsul Sani: Yang diminta oleh Pemohon itu intinya adalah lebih mengedepankan adanya persetujuan dari subjek data pribadi itu, yang dalam Permohonan seperti itu. Saya ingin bertanya karena pasal ini sebetulnya bukan hanya ketika katakanlah pemerintah mentransfer atau lembaga pemerintah mentransfer data pribadi ke luar negeri. Bagaimana jika kasusnya katakanlah seperti kita meng-apply kartu kredit, kartu kredit itu jelas operatornya ada di luar negeri, tentu apply-nya kepada bank di sini. Biasanya di form, ada klausula, dimana kita memberikan persetujuan bahwa bank itu jika dalam konteks Permohonannya Pemohon ini ya, apakah itu kemudian tidak lebih cukup? Terlebih ketika katakanlah tadi yang disampaikan atau disinggung oleh Kuasa Presiden, itu kan biasanya juga ke negara-negara yang perundang-undangannya itu level perlindungan data pribadinya itu ya, saya tidak ingin mengatakan lebih baik, tapi lebih komprehensiflah begitu kira-kira. Saya ingin pendapat Ahli, kira-kira kalau sudah ada seperti itu apakah kemudian perlu lagi ada perjanjian khusus, persetujuan khusus lagi ketika kemudian bank itu katakanlah, atau lembaga keuangan itu mentransfer data pribadinya? Terlebih pada bank-bank yang memang dia multinasional, ada di mana-mana, begitu Jawaban Ahli: Yang pertama dari Mas Rega (Pemohon), ada dua pertanyaan. Apakah perjanjian menghalangi hak subjek data pribadi? Dan yang kedua, yaitu syarat minimum perjanjian. Menurut saya, ini sekaligus ada tadi apakah Yang Mulia Pak 79 Arsul Sani mengatakan bahwa sekaligus menjawab, Dalam konteks data pribadi yang ditransfer ke luar negeri, ada sebuah diskusi yang dilaksanakan di UNCTAD. Jadi, terdapat gradasi, level, dari yang paling atas sampai dengan yang paling bawah yang semuanya memiliki konsekuensi hukumnya masing-masing. Jika misalnya adequacy decisions itu merupakan, kata UNCTAD, comprehensive protections. Semua data itu dapat ditransfer dengan perlindungan hukum yang paripurna, kira-kira yang sempurna, Pak. Karena dengan perjanjian internasional dengan mengikat, ada compatible, kemudian ada resiprokal tadi. Yang kedua adalah BCR (Binding Corporate Rules), kemudian di bawahnya lagi adalah consent, persetujuan. Consent ini memiliki kelebihan, namun juga memiliki kekurangan. Kelebihannya adalah jika kita menggunakan persetujuan tadi yang dikatakan oleh Yang Mulia Pak Arsul Sani, memang dapat sebagai legal basis transfer data pribadi ke luar negeri. Bisa, Yang Mulia. Tetapi di situ, di dalam UNCTAD, kemudian diberikan kelemahan bahwa not suitable for all transactions. Artinya adalah tidak semua kontrak yang tadi itu dapat diaplikasikan ke bidang- bidang tertentu, tidak bisa. Yang kedua, menyebutkan bahwa dalam diskusi itu berpendapat dalam diskusi itu adalah rentan terhadap posisi lemah. Karena kita tahu bahwa dalam perlindungan konsumen, hukum perlindungan konsumen, pasti konsumen kedudukannya di bawah dari produsen. Sehingga kata UNCTAD, kelemahan dari persetujuan pribadi tadi, itu akan gampang untuk disetir oleh si pengendali data pribadi. Bahkan jika kita berbicara di negara kita, bahkan orang main klik-klik saja, dia enggak baca klausula-klausula karena berbahasa Inggris. Itu yang dikatakan oleh UNCTAD. Yang ketiga, perlu dasar hukum yang lebih kuat. Jadi, kalau kita lihat gradasinya, begitu, ya, concern itu paling bawah, Yang Mulia, Yang paling atas adequacy decisions. Saya ingat betul Dalam diskusi di G20 Arab Saudi mengatakan, itu harus dengan perjanjian international adequacy decisions itu setara atau yang lebih tinggi, sehingga ada resiprokal di situ. Negara juga melindungi rakyatnya dengan resiprokal itu. Untuk menjawab, Yang Mulia. Kemudian, apakah syarat minimum perjanjian, Mas Rega, saya punya catatan, bahwa syarat perjanjian internasional yang saya baca beberapa contoh-contoh minimal satu harus ada asas-asas perlindungan data pribadi, sebagaimana jika kita berbicara di luar negeri ada general data protection, tadi Lee A. Bygrave juga pernah menyampaikan itu. Kemudian, juga 80 ada jaminan hak perlindungan data pribadi di luar negeri, mau diapain? Siapa yang bertanggung jawab di sana? Bagaimana mekanismenya kalau ada kebocoran data pribadi di luar negeri? Adakah hak komplain di situ? Minimal hal- hal tersebut sudah termaktub dalam perjanjian internasional. Bagaimana perjanjian yurisdiksi, Yang Mulia? Karena ini penting. Karena apa? Karena menurut diskusi-diskusi yang ada di beberapa meeting, begitu, ya, ada di UNCTAD, ada G20, ada di OECD yang setiap bulan mengeluarkan expert meeting bahwa perjanjian yurisdiksi ini yang paling kritikal dan paling challenging. Bahasanya challenging. Karena bagaimana bisa kalau ada data pribadi yang bocor di luar negeri, kita enggak punya perjanjian yurisdiksi, mau diapain penegakan hukumnya? Sehingga menurut saya, yes bahwa perjanjian internasional yang dimaksud adalah pasti melindungi hak substitusi dan syarat minimunnya harus ada. Kemudian yang ketiga, Yang Mulia, izin saya menjawab pertanyaan dari Perwakilan Presiden. Memang Pasal 56 ini, yang saya hormati Bapak, saya mencoba untuk melakukan penelusuran secara historis. Apa ada, bagaimana perdebatan? Karena dalam sebuah pasal itu tidak bisa dilepaskan dari perdebatan di situ. Jadi, pasal itu tidak hanya di ruang hampa, dia ada perdebatan, ada landasan filosofis, sosiologis, bahkan unsur poli itu ada klausula perjanjian internasional, tapi hilang di Pasal 56 ini. Adanya sih yang sekarang kita lihat. Saya tidak tahu apa perdebatannya karena waktu itu ada yang tertutup, ada yang terbuka pada waktu membahas Pasal 56 ini. Jadi menurut pendapat saya, Pasal 56 ini secara normatif yes memberikan kepastian hukum, tapi secara perlindungan hukum menurut saya, belum memberikan perlindungan hukum karena kata-kata setara atau lebih tinggi, what is setara, adequacy, tidak ada yang tahu. Jika kita baca GDPR, Bapak, terdapat indikator jika ingin melakukan assessment adequacy itu harus ada sehingga dapat dilihat apakah negara tersebut meregulasi tidak dengan baik. Yang kedua bagaimana otoritasnya, ada apa enggak? Itu yang dikatakan oleh GDPR. Di kita enggak pernah ada, sehingga tafsirnya begitu liar, tafsirnya tergantung kita, dan inilah dalam konteks ilmu perundang-undangan disebut ketidakpastian hukum. Dalam asas hukum tidak boleh ada ketidakpastian. Begitu juga layer yang ke bawah, yang nomor ayat (3). Kalau misalnya negara tempatnya tidak setara, belum menemui, maka turun ke bawah, turun yaitu 81 memadai, minimal memadai. Kata memadai juga belum pernah kita lihat indikatornya. Di GDPR itu sangat detail sekali apa yang dimaksud dengan appropriate safeguards mengatakan bahwa yang namanya memadai itu ada Standar Contractual Clause (SCC), yang kedua ada BCR, kemudian yang ketiga ada certifications. Kita tidak ada, sampai saat ini belum ada, dan kami menunggu juga rancangan peraturan pemerintahnya juga belum ada. Sehingga menurut kami, Pasal 56 ini belum memberikan kepastian hukum. Yang keempat, ayat (4)-nya, jika seandainya setara tidak ketemu, kemudian memadai juga tidak ketemu juga, yang paling bawah, yaitu minimal ada consent dari subjek data pribadi. Tapi Bapak, tadi yang saya sebutkan, consent itu levelnya paling bawah not suitable for all transaction, itu kata-kata UNCTAD. Jadi enggak semuanya orang bisa, apalagi negara kita. Yang kalau main klik, klik, klik, klik, itu juga kadang-kadang juga … jangan kan kalau ke luar negeri, di dalam negeri saja kadang-kadang kita sebagai konsumen enggak paham itu. Bagaimana privacy policy, kebijakan privacy kita main klik-klik, kita enggak tahu apalagi di luar negeri, sehingga UNCTAD memberikan level consent itu paling bawah. Jadi paling tinggi tadi adequacy, tentu dengan perjanjian tadi, perjanjian internasional agar lebih menguatkan. Tapi consent itu paling bawah, Pak. Paling bawah itu berarti kata UNCTAD dia harus dibarengi dengan perjanjian, agar memberikan hak-hak subjek data pribadi. Salah satu hak subjek data pribadi menurut Lee A. Bygrave, saya waktu itu pernah dari Yang Mulia Prof. Guntur Hamzah pada waktu kuliah dengan beliau, ada Lee A. Bygrave, prinsipnya adalah security. Kalau data kita mau ditransfer ke luar negeri, aman enggak? Apakah memenuhi unsur security atau enggak? Kalau consent saja, menurut saya kurang. Yang kedua, prinsipnya adalah orang dapat melakukan complain mechanisms. Bagaimana jika kita mau gugat? Ada enggak perjanjian? Kalau consent saja, menurut saya kurang. Jadi memang pasal itu harus dibaca dari ayat (1), ayat (2), ayat (3), ayat (4). Itulah GDPR memberikan gradasi, kalau bahasa GDPR itu yang pertama adalah adequacy decisions, yang kedua adalah appropriate safe growth, yang ketiga di bawahnya ada lagi. [2.3] Menimbang bahwa terhadap permohonan Pemohon, DPR menyampaikan keterangan lisan pada tanggal 23 September 2025 dan keterangan tertulis yang diterima Mahkamah pada tanggal 23 Oktober 2025, yang pada pokoknya menerangkan sebagai berikut: 82 I. KETERANGAN DPR RI A. Kedudukan Hukum (Legal Standing) Para Pemohon Terkait kedudukan hukum (legal standing) Para Pemohon dalam pengujian UU a quo secara materiil, DPR RI berpendapat Para Pemohon terlebih dahulu harus membuktikan kedudukan hukum Para Pemohon untuk mengajukan Permohonan Pengujian Undang-Undang ke MK dengan memperhatikan 5 (lima) batas kerugian konstitusional berdasarkan Putusan MK No. 006/PUU-III/2005 dan Putusan MK No. 011/PUU-V/2007 mengenai parameter kerugian konstitusional sebagai berikut: 1. Adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD NRI Tahun 1945; 2. Adanya hak dan/atau kewenangan konstitusional yang dianggap oleh Pemohon telah dirugikan oleh berlakunya suatu undang-undang; 3. Adanya kerugian hak dan/atau kewenangan konstitusional yang bersifat spesifik dan aktual, atau setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; 4. Adanya hubungan sebab akibat (causal verband) antara kerugian hak dan/atau kewenangan konstitusional dengan undang-undang yang dimohonkan pengujian; 5. Adanya kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian hak dan/atau kewenangan konstitusional yang didalilkan tidak akan atau tidak lagi terjadi. Terkait kedudukan hukum para Pemohon dalam perkara a quo DPR RI memberikan pandangan berdasarkan 5 (lima) parameter tersebut sebagai berikut: a. Bahwa lahirnya UU PDP merupakan perwujudan langsung dari amanat Pasal 28G ayat (1) UUD NRI Tahun 1945 yang menyatakan bahwa “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” Norma konstitusional tersebut mengandung makna bahwa negara wajib menyediakan instrumen hukum yang efektif untuk menjamin pelindungan hak atas privasi, rasa aman, dan martabat setiap warga negara. Dalam 83 konteks perkembangan teknologi informasi dan digitalisasi, persoalan pelindungan data pribadi menjadi isu yang krusial karena penyalahgunaan data pribadi dapat mengakibatkan kerugian, baik materiil berupa kerugian ekonomi maupun nonmateriil berupa gangguan psikologis, perusakan reputasi, bahkan diskriminasi. b. Bahwa dibentuknya UU PDP merupakan upaya pemenuhan hak dan/atau kewenangan konstitusional warga negara Indonesia atas pelindungan diri pribadi masyarakat khususnya dalam konteks data pribadi sebagaimana dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. Persoalan pelindungan data pribadi muncul karena keprihatinan akan pelanggaran terhadap data pribadi yang dapat dialami oleh setiap orang dan/atau badan hukum yang menimbulkan kerugian materiil dan non materiil. c. Bahwa Pemohon mendalilkan adanya kerugian hak dan/atau kewenangan konstitusional yang dijamin dalam Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2), dan Pasal 28G ayat (1) UUD NRI Tahun 1945, namun ketentuan Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1945 tidak mengatur mengenai hak dan/atau kewenangan konstitusional warga negara melainkan mengatur mengenai kedaulatan di tangan rakyat dan mengenai perlunya persetujuan DPR RI apabila Presiden menyatakan perang, menyatakan perdamaian dan membuat perjanjian dengan negara lain serta perjanjian internasional lainnya yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang. Dengan demikian, Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1945 tidak relevan untuk dijadikan dasar adanya kerugian hak dan/atau kewenangan konstitusional Pemohon atas berlakunya Pasal a quo. d. Pembentukan UU PDP justru bertujuan mengisi kekosongan hukum dan memberikan kepastian hukum yang sejalan dengan jaminan konstitusional Pasal 28G ayat (1) UUD NRI Tahun 1945, sehingga keberadaan Pasal a quo UU PDP tidak menimbulkan kerugian konstitusional, melainkan memperkuat perlindungan terhadap hak-hak Pemohon dan seluruh warga negara dengan memastikan bahwa dalam 84 hal dilakukan transfer data pribadi ke luar negeri, hak Subjek Data Pribadi tetap terlindungi melalui serangkaian mekanisme pengamanan berlapis. e. Bahwa Pemohon dalam positanya mempermasalahkan mengenai lembaga PDP yang diatur dalam Pasal 58 dan Pasal 62 UU PDP yang tidak dimohonkan pengujiannya dan RPP PDP yang merupakan draft peraturan pelaksanaan UU a quo yang bukan merupakan kewenangan Mahkamah Konstitusi untuk memeriksa. Dalam hal ini, DPR RI menilai adanya ketidakjelasan uraian posita Pemohon yang tidak relevan dengan petitum Pemohon yang dapat menjadikan permohonan a quo dapat dinyatakan obscuur. Selain itu, DPR RI mengapresiasi perhatian dan kepedulian Pemohon terhadap regulasi terkait data pribadi sehingga terkait dengan RPP PDP yang merupakan kewenangan pemerintah dalam penyusunannya dan hingga saat ini masih dalam proses pembahasan internal pemerintah, Pemohon dapat menyampaikan masukannya kepada pemerintah melalui kanal-kanal yang tersedia. Dengan demikian, produk hukum yang dihasilkan akan lebih baik dengan adanya berbagai masukan sebagai bahan pertimbangan. DPR RI juga menyampaikan apresiasi terhadap Pemohon dan anggota masyarakat lainnya yang telah berupaya menyampaikan dorongan terhadap pemerintah untuk melakukan percepatan pembentukan lembaga pelindungan data pribadi yang diamanatkan oleh Pasal 56 UU PDP yang juga menjadi pengingat bagi DPR untuk lebih mengawasi pemerintah dalam melaksanakan ketentuan dalam undang-undang. f. DPR RI perlu menanggapi bahwa permohonan Para Pemohon obscuur libels (tidak jelas/kabur). Para Pemohon tidak menguraikan apa dan bagaimana sesungguhnya hak dan/atau kewenangan konstitusional Para Pemohon diberikan oleh UUD NRI Tahun 1945 melalui batu uji yang digunakan tersebut. Para Pemohon juga tidak menguraikan secara sistematis dan argumentatif mengenai apa dan bagaimana hak dan/atau kewenangan konstitusional yang melekat padanya telah dilanggar akibat keberlakuan Pasal-Pasal a quo. Hal ini disebabkan karena Para Pemohon hanya menyebutkan kerugian konstitusional berdasarkan kekhawatiran Para Pemohon. Kemudian, Para Pemohon secara serta merta menjadikan Pasal a quo sebagai pertentangan dengan UUD NRI 85 Tahun 1945 tanpa mengkorelasikan kerugian spesifik yang Para Pemohon alami. Padahal penting untuk mendudukkan secara jelas bagaimana hak konstitusional tersebut diberikan khususnya dalam posisi Para Pemohon sebagai perorangan warga negara Indonesia yang berprofesi sebagai dosen/pengajar/ilustrator maupun sebagai badan hukum dalam ruang lingkup fungsi dan tugasnya. g. Bahwa karena tidak ada kerugian hak dan/atau kewenangan konstitusional baik yang bersifat spesifik (khusus) dan aktual atau setidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi dan tidak ada hubungan sebab akibat (causal verband) atas kerugian konstitusional dengan ketentuan Pasal-Pasal a quo maka sudah dapat dipastikan bahwa pengujian ketentuan Pasal- Pasal a quo tidak akan berdampak apapun pada Para Pemohon. h. Dengan demikian menjadi tidak relevan lagi bagi Mahkamah Konstitusi untuk memeriksa dan memutus Permohonan a quo karena Para Pemohon tidak memenuhi 5 batas kerugian konstitusional berdasarkan Putusan Mahkamah Konstitusi Perkara Nomor 006/PUU-III/2005 dan Putusan perkara Nomor 011/PUU-V/2007 mengenai parameter kerugian konstitusional yang harus dipenuhi secara kumulatif sehingga Para Pemohontidak memiliki kedudukan hukum (legal standing) dalam pengujian Pasal a quo. i. Bahwa terkait dengan kedudukan hukum (legal standing) para Pemohon, DPR RI juga memberikan pandangan selaras dengan Putusan Mahkamah Konstitusi Nomor 22/PUU-XIV/2016 yang diucapkan dalam Sidang Pleno Mahkamah Konstitusi pada tanggal 15 Juni 2016, yang pada pertimbangan hukum [3.5.2] Mahkamah Konstitusi menyatakan bahwa menurut Mahkamah: ...Dalam asas hukum dikenal ketentuan umum bahwa tiada kepentingan maka tiada gugatan yang dalam bahasa Perancis dikenal dengan point d’interest, point d’action dan dalam bahasa Belanda dikenal dengan zonder belang geen rechtsingang. Hal tersebut sama dengan prinsip yang terdapat dalam Reglement op de Rechtsvordering (Rv) khususnya Pasal 102 yang menganut ketentuan bahwa “tiada gugatan tanpa hubungan hukum “(no action without legal connection). 86 Bahwa sebagaimana berlakunya adagium hukum “tiada gugatan tanpa hubungan hukum” (no action without legal connnection), dalam konteks perkara pengujian undang-undang ke Mahkamah Konstitusi dapat dimaknai sebagai Permohonan, sehingga dapat dipersamakan bahwa suatu Permohonan harus mengandung hubungan hukum dengan ketentuan pasal/ayat undang-undang yang dimohonkan pengujian. Berdasarkan pada hal-hal yang telah disampaikan tersebut, DPR RI berpandangan bahwa para Pemohon tidak memiliki kedudukan hukum (legal standing) karena tidak memenuhi Pasal 51 ayat (1) dan Penjelasan Undang- Undang tentang Mahkamah Konstitusi, serta tidak memenuhi persyaratan kerugian konstitusional yang diputuskan dalam putusan Mahkamah Konstitusi terdahulu. Namun demikian, terhadap kedudukan hukum para Pemohon, DPR RI menyerahkan sepenuhnya kepada kebijaksanaan Yang Mulia Majelis Hakim Konstitusi untuk mempertimbangkan dan menilai apakah para Pemohon memiliki kedudukan hukum dalam pengajuan pengujian materiil UU PDP terhadap UUD NRI Tahun 1945. B. PANDANGAN UMUM DPR RI 1. Perkembangan teknologi informasi dan komunikasi yang melaju dengan pesat telah menimbulkan berbagai peluang dan tantangan. Teknologi informasi memungkinkan manusia untuk saling terhubung tanpa mengenal batas wilayah negara sehingga merupakan salah satu faktor pendorong globalisasi. Berbagai sektor kehidupan telah memanfaatkan sistem teknologi informasi, seperti penyelenggaraan electronic commerce (e-commerce) dalam sektor perdagangan/bisnis, electronic education (e- education) dalam bidang pendidikan, electronic health (e-health) dalam bidang kesehatan, electronic government (e-government) dalam bidang pemerintahan, serta teknologi informasi yang dimanfaatkan dalam bidang lainnya. Pemanfaatan teknologi informasi tersebut mengakibatkan Data Pribadi seseorang sangat mudah untuk dikumpulkan dan dipindahkan dari satu pihak ke pihak lain tanpa sepengetahuan Subjek Data Pribadi, sehingga mengancam hak konstitusional Subjek Data Pribadi. 2. Pelindungan Data Pribadi masuk dalam pelindungan hak asasi manusia. Dengan demikian, pengaturan menyangkut Data Pribadi merupakan manifestasi pengakuan dan pelindungan atas hak dasar manusia. 87 Keberadaan suatu Undang-Undang tentang Pelindungan Data Pribadi merupakan suatu keharusan yang tidak dapat ditunda lagi karena sangat mendesak bagi berbagai kepentingan nasional. Pergaulan internasional Indonesia turut menuntut adanya Pelindungan Data Pribadi. Pelindungan tersebut dapat memperlancar perdagangan, industri, dan investasi yang bersifat transnasional. 3. UU PDP merupakan amanat dari Pasal 28G ayat (1) UUD NRI Tahun 1945 yang menyatakan bahwa, "Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi". Persoalan Pelindungan Data Pribadi muncul karena keprihatinan akan pelanggaran terhadap Data Pribadi yang dapat dialami oleh orang dan/atau badan hukum. Pelanggaran tersebut dapat menimbulkan kerugian materiel dan nonmateriel. 4. Perumusan aturan tentang Pelindungan Data Pribadi dapat dipahami karena adanya kebutuhan untuk melindungi hak individu di dalam masyarakat sehubungan dengan pemrosesan Data Pribadi baik yang dilakukan secara elektronik dan nonelektronik menggunakan perangkat olah data. Pelindungan yang memadai atas Data Pribadi akan mampu memberikan kepercayaan masyarakat untuk menyediakan Data Pribadi guna berbagai kepentingan masyarakat yang lebih besar tanpa disalahgunakan atau melanggar hak pribadinya. Dengan demikian, pengaturan ini akan menciptakan keseimbangan antara hak individu dan masyarakat yang diwakili kepentingannya oleh negara. Pengaturan tentang Pelindungan Data Pribadi ini akan memberikan kontribusi yang besar terhadap terciptanya ketertiban dan kemajuan dalam masyarakat informasi. C. KETERANGAN DPR RI TERHADAP POKOK PERMOHONAN 1. Bahwa Indonesia telah menandatangani pedoman OECD pada tahun 2004, dan mengikuti pedoman untuk menegakkan penerapan privasi dan regulasi perlindungan data. Indonesia sebagai anggota APEC, juga telah mengikuti Kerangka Privasi APEC 2004 (APEC Privacy Framework), yang dengan jelas menyebutkan dalam kata pengantar: 88 Potensi perdagangan elektronik tidak dapat diwujudkan tanpa kerja sama pemerintah dan pelaku bisnis untuk mengembangkan dan menerapkan teknologi dan kebijakan yang membahas isu-isu termasuk privasi. Keanggotaan dalam APEC telah mendorong legislasi nasional untuk menyeimbangkan antara melindungi dengan mempromosikan kerja sama ekonomi khususnya dalam perdagangan elektronik antar anggota. 2. Bahwa salah satu bentuk pemrosesan data pribadi adalah transfer data pribadi, yaitu kegiatan pemindahan, pengiriman, dan/atau penggandaan data pribadi baik melalui sarana elektronik maupun non- elektronik dari pengendali data pribadi kepada pihak lain. Dalam pelaksanaannya, mekanisme transfer data pribadi wajib diselenggarakan dengan tetap menjunjung tinggi dan berpedoman pada prinsip-prinsip pelindungan data pribadi sebagaimana telah diatur dalam UU PDP. 3. Bahwa “kedaulatan data” (Data Sovereignty) adalah suatu konsep mengenai privasi data yang dilakukan oleh pemerintah untuk melindungi data yang disimpan. Hal ini dilakukan untuk menegakkan peraturan privasi dan mencegah data mengalami penyalahgunaan. Oleh karenanya, pemrosesan data pribadi berdasarkan ketentuan Pasal 16 ayat (2) UU PDP dilakukan dengan memenuhi prinsip-prinsip berikut: a. pengumpulan data pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; b. pemrosesan data pribadi dilakukan sesuai dengan tujuannya; c. pemrosesan data pribadi dilakukan dengan menjamin hak subjek data pribadi; d. pemrosesan data pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan ; e. pemrosesan data pribadi dilakukan dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan data pribadi; f. pemrosesan data pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan data pribadi; g. data pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan subjek data 89 pribadi, kecuali ditentukan lain oleh peraturan perundang- undangan; dan h. pemrosesan data pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. 4. Bahwa transfer data pribadi lintas negara merupakan bentuk pemrosesan data pribadi yang bersifat strategis dan kompleks karena melibatkan perbedaan sistem hukum, standar pelindungan, serta yurisdiksi antara negara asal dengan negara penerima. Transfer data pribadi adalah hal yang tidak dapat dihindarkan karena dianggap menjadi sumber kehidupan perekonomian di era digital yang akan terus meningkat. 5. Bahwa diundangkannya UU PDP bertujuan untuk memberikan kepastian hukum dan perlindungan terhadap data pribadi masyarakat Indonesia. Selain itu, UU PDP merupakan bentuk komitmen Indonesia dalam pelindungan data pribadi dalam sirkulasi data di dunia. Pengelolaan data tidak hanya dilakukan oleh perseorangan maupun badan usaha nasional tetapi juga dilakukan oleh warga negara lain maupun organisasi asing lainnya. Hal ini merupakan hal yang tidak terhindarkan dengan adanya perdagangan global dan kemudahan teknologi yang meleburkan batas negara. Pembentuk undang-undang memandang perlu untuk memperkuat basis perlindungan data di Indonesia yang sebelumnya diatur dalam berbagai undang-undang seperti Undang-Undang Perbankan, Undang-undang Telekomunikasi, Undang-Undang Kependudukan, Undang-Undang Administrasi Kependudukan, Undang-Undang Informasi Transaksi Elektronik (ITE), Undang-Undang Keterbukaan Informasi Publik, dan peraturan perundang-undangan lainnya. Pengaturan yang ada tersebut masih dirasa belum cukup untuk melindungi dan memberikan kepastian hukum atas data pribadi masyarakat Indonesia dan data pribadi yang tersirkulasi di Indonesia dan di luar Indonesia yang berdampak pada masyarakat Indonesia. 6. Bahwa UU PDP berlaku untuk Setiap Orang, Badan Publik, dan Organisasi Internasional yang melakukan perbuatan hukum di wilayah hukum Negara Republik Indonesia, dan di luar wilayah hukum Negara Republik Indonesia yang memiliki akibat hukum di wilayah hukum Negara Republik Indonesia dan/atau bagi Subjek Data Pribadi Warga 90 Negara Indonesia di luar wilayah hukum Negara Republik Indonesia (vide Pasal 2 ayat (1) dan Pasal 19 UU PDP). Dengan keberlakuan yang demikian, UU PDP mengatur Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi dan Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi. Selain itu, Organisasi Internasional yang dimaksud adalah organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional (vide Pasal 1 Angka 4, Angka 5, dan Angka 10 UU PDP). 7. Bahwa Pemohon mendalilkan dalam hal ruang lingkup kesepakatan antara Indonesia – Amerika, Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP sangat bias karena tidak jelas siapa yang berkewajiban memastikan kesetaraan negara tujuan dalam perlindungan Data Pribadi. Selain itu, Pasal 56 ayat (4) UU PDP telah mengabaikan Pasal 28G ayat (1) UUD NRI Tahun 1945 (vide perbaikan permohonan hlm 10 dan hlm 43). Terhadap dalil tersebut DPR RI menerangkan sebagai berikut: a. Bahwa di tengah derasnya arus digitalisasi, pertukaran data pribadi lintas negara telah menjadi bagian tak terelakkan dari kehidupan modern. Sejak munculnya globalisasi layanan digital dan perdagangan elektronik, data pribadi telah menjadi bagian dari arus informasi yang melintasi yurisdiksi negara secara masif. Perusahaan multinasional, platform digital, dan penyedia layanan berbasis cloud telah lama melakukan pertukaran data lintas wilayah sebagai bagian dari model bisnis global. Namun, dalam beberapa tahun terakhir, dunia mulai menyadari bahwa transfer data lintas batas bukan hanya persoalan teknologi atau efisiensi ekonomi. Data bukan hanya komoditas digital, tetapi menyangkut hak asasi manusia (HAM), kedaulatan negara, dan keamanan nasional. Negara-negara seperti Uni Eropa, Jepang, Brasil, hingga 91 Indonesia kini menerbitkan undang-undang khusus yang mengatur pelindungan data pribadi secara menyeluruh. Di Indonesia, UU PDP menempatkan pelindungan data sebagai bagian dari hak konstitusional warga negara dan memberi dasar hukum tertinggi untuk pengaturan transfer data lintas negara. b. Transfer data pribadi kini menjelma menjadi isu geopolitik yang sensitif, bukan sekadar persoalan teknis. Sengketa antara Uni Eropa dan AS (Schrems I dan II) menunjukkan pentingnya standar hukum yang kuat. Mahkamah Eropa membatalkan dua skema transfer data yaitu Safe Harbor (2015) dan Privacy Shield (2020) karena dinilai tidak cukup melindungi warga Uni Eropa dari pengawasan intelijen AS. Preseden tersebut menegaskan bahwa negara pengirim data pribadi berhak menolak transfer jika sistem hukum negara tujuan tidak memberikan perlindungan yang memadai. Bagi Indonesia, pelajaran pentingnya adalah bagaimana bisa menyeimbangkan antara kesepakatan perdagangan dan perlindungan atas data pribadi yang telah diatur dalam level undang-undang. c. Bahwa pengaturan Pasal 56 UU PDP ditujukan sebagai dasar transfer data pribadi ke luar wilayah Negara Republik Indonesia. Hal ini dipandang perlu untuk diatur dalam UU PDP mengingat posisi data yang penting dalam berbagai lini kehidupan. Selain itu, sirkulasi data tidak dapat dibatasi mengingat perkembangan teknologi di bidang komunikasi dan perdagangan. d. Bahwa dalam hal pertukaran data pribadi, pemerintah harus memastikan adanya perlindungan data pribadi yang mumpuni pada negara yang bekerja sama dalam hal pertukaran data tersebut. Hal ini telah menjadi perhatian pembentuk undang- undang dalam proses penyusunan UU a quo. Dalam catatan risalah pembahasan UU a quo kesetaraan pengaturan perlindungan data pribadi dibahas salah satunya dalam rapat yang diselenggarakan pada Selasa, 21 Juni 2022, sebagai berikut: KEJAKSAAN RI: Izin Bapak. 92 Menambah sekali lagi, kalau dibahas ini secara dalam memang kita sudah berbicara tentang pentingnya kesetaraan antara Undang-Undang Pelindungan Data Pribadi di negara kita dengan di negara lain. Pada akhirnya kita kalau mau bercermin misalnya jika kejaksaan tidak dibunyikan seperti ini, sedangkan kami harus berpraktek sampai ke luar negeri, nanti balik-balik lagi, sebenarnya apa injakan hukum yang dilakukan oleh kejaksaan ketika legal standingnya apa, ketika dia mau mendampingi negara, ketika harus berhadapan dengan suatu pelanggaran pelindungan data pribadi yang terjadi di luar negeri, itu salah satu pentingnya dicantumkan disini walaupun sebenarnya sudah ada undang-undang yang lebih pokok yaitu Undang-Undang Kejaksaan, lebih pada kesana, apalagi sebenarnya ini baru satu-satunya undang-undang yang membunyikan tentang pelindungan data pribadi, yang nantinya akan menjadi tolak ukur juga bagi negara-negara lain untuk melihat kapan suatu kewenangan dapat bekerja, termasuk dalam kewenangan kejaksaan dalam hal ini. Itu demi kepentingan umum dan/atau kepentingan nasional, jadi memang tidak sapu jagat, tetapi ada kata-kata demi kepentingan umum dan/atau kepentingan nasional. Demikian Pimpinan. KETUA RAPAT (DR. H. ABDUL KHARIS ALMASYHARI, SE., M.SI., CA./FPKS): Siapa duluan, oke urutan dari Pak Taufiq dulu, habis itu Pak TBH. F-PKB (DRS. H. TAUFIQ R. ABDULLAH): Siapa tahu jadi solusi, demi kepentingan umum, kepentingan hukum dan/atau kepentingan nasional, kejaksaan selaku pengacara negara berwenang bertindak untuk dan atas nama negara atau pemerintah dalam hal terjadi sengketa antara negara dengan, bukan dengan pengendali data pribadi. … F-PKB (DRS. H. TAUFIQ R. ABDULLAH): Kan kita keberatan, kita bertanya lalu apa fungsinya perundingan negara dalam data pribadi, kan itukan, karena itu dibatasi saja, misalnya kalau terjadi sengketa antara pengendali data publik, lembaga publik begitu ya, lembaga publik pengendali data. KETUA RAPAT (DR. H. ABDUL KHARIS ALMASYHARI, SE., M.SI., CA./FPKS): Pengendali data lembaga publik, dengan pengendali data. 93 F-PKB (DRS. H. TAUFIQ R. ABDULLAH): Lembaga swasta. KETUA RAPAT (DR. H. ABDUL KHARIS ALMASYHARI, SE., M.SI., CA./FPKS): Lembaga swasta. F-PKB (DRS. H. TAUFIQ R. ABDULLAH): Kalau dibatasi gitu, gimana?. DIREKTUR JENDERAL APLIKASI INFORMATIKA KEMENTERIAN KOMUNIKASI DAN INFORMATIKA RI (SEMUEL ABRIJANI PANGERAPAN, B.SC., M.M.): Makin membingungkan, saya Pak, saya makin bingung, jadi sebenarnya kalau kita bicara penyelesaian sengketa pelindungan data pribadi ya lembaga tadi Pak, lembaga ini Pak, lembaga inilah. Nah, apabila saya langsung ngomong prakteknya Pak, apabila terjadi lintas negara antara lembaga di negara satu bekerjasama dengan negara sana, bukan kepolisian atau bukan kejaksaan atau pengadilan, lembaga yang setara Pak. Makanya saya juga binggung apakah gimana itu kalau ada kesana, saya enggak lihat, kalau itu konteksnya. Karena undang-undang ini memang ekstra territorial, se ekstra teritorialnya kita palingpun kita bisa melakukan adalah ya tadi kita menutup si pengendali tidak bisa berakses, berbisnis di Indonesia, contohnya Undang-Undang ITE, kita enggak bisa ngejar jahatnya sana, luar Pak, beda negara Pak, enggak ada, kalau itu selama-lama itu ya dia bisa beroperasi ya gitu Pak, enggak mungkin kita menuntutnya, yang bisa nuntut perdatanya Pak, perdata itu bisa lintas negara Pak, kalau ada kerugian itu bisa lintas negara dan diakui tetapi kalau pidana, dilihat hukum pidananya disana, kalau pindah kesana berbeda Pak, kalau tadi larinya kesana Pak. Kalau keseteraan terkait pelanggaran, terkait undang-undang ini Pak, kesetaraan itu bagaimana undang-undang ini melindungi, setara enggak dengan negara yang lain, itu disetarakan. Jadi, bukan karena ada oh saya ini, saya ini, enggak, sama enggak pengaturannya, itu dinilainya. e. Bahwa pengaturan dalam Pasal 56 UU PDP sejalan dengan praktik hukum internasional yang berlaku. Uni Eropa melalui General Data Protection Regulation (GDPR) Article 45-49 yang pada intinya menerapkan skema lapis perlindungan yang serupa dengan Pasal a quo UU PDP, yaitu: (i) transfer data pribadi lintas 94 negara hanya diperbolehkan apabila negara penerima memiliki tingkat perlindungan yang dianggap memadai oleh European Commission sebagai pengaturan yang setara (adequacy decision); (ii) apabila tidak terdapat pengaturan yang setara (adequacy), transfer hanya dapat dilakukan dengan adanya perlindungan (safeguards) yang memadai seperti kontrak yang mengikat secara hukum; dan (iii) apabila kedua hal tersebut tidak terpenuhi, maka transfer data pribadi hanya dapat dilakukan atas dasar persetujuan dari Subjek Data. Oleh karena itu, norma Pasal 56 UU PDP telah mengadopsi praktik umum (best practices) internasional dalam mengatur transfer data pribadi lintas negara. Dengan model perlindungan berlapis (multi-layer protection) tersebut, Subjek Data Pribadi tetap berperan dalam memberikan persetujuan jika negara penerima tidak memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam UU PDP atau terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. f. Bahwa ketentuan Pasal 56 UU PDP secara tegas mengatur adanya perlindungan berlapis (multi-layer protection) terhadap mekanisme transfer data pribadi lintas negara yang menempatkan prinsip pelindungan data pribadi sebagai prasyarat utama sebelum dilakukannya transfer data pribadi. Mekanisme berlapis ini merupakan bentuk kehati-hatian yang dirancang pembentuk undang-undang untuk memastikan hak subjek data pribadi tetap terlindungi meskipun data berpindah ke yurisdiksi asing. Pasal 56 UU PDP tidak memberikan ruang bagi transfer data pribadi secara bebas dan tanpa kendali, melainkan mengatur dengan ketat melalui checks and balances yang berlapis. Hal ini menegaskan bahwa ketentuan Pasal a quo justru bertujuan melindungi hak konstitusional warga negara sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, kekhawatiran Pemohon bahwa data pribadi masyarakat akan menjadi objek eksploitasi pihak asing adalah berlebihan dan tidak sejalan dengan konstruksi hukum yang berlaku, karena setiap mekanisme transfer 95 tetap mensyaratkan adanya perlindungan maksimal bagi subjek data pribadi. g. Bahwa dalam konteks kekhawatiran Pemohon terkait rencana transfer data Indonesia–Amerika, ketentuan Pasal 59 dan Pasal 60 UU PDP secara tegas telah memberikan kewajiban bagi pemerintah untuk memastikan perlindungan data pribadi melalui lembaga yang berwenang. Lembaga tersebut tidak hanya berperan dalam merumuskan kebijakan dan melakukan pengawasan, tetapi juga memiliki kewenangan melakukan penilaian terhadap pemenuhan persyaratan transfer data ke luar negeri serta menjalin kerja sama dengan otoritas perlindungan data negara lain. Dengan demikian, mekanisme kelembagaan yang diatur UU PDP telah secara normatif menjawab siapa yang bertanggung jawab atas transfer data lintas negara. Oleh karena itu keberadaan Pasal 56 UU PDP merupakan sesuatu kebutuhan dengan memperhatikan kebutuhan hukum yang ada dan pemenuhan hak dan/atau kewenangan konstitusional warga negara. 8. Bahwa Pemohon mendalilkan kesepakatan Indonesia–Amerika menyebabkan tafsir terhadap Pasal 56 UU PDP yang mengatur mengenai transfer Data Pribadi ke luar wilayah negara Republik Indonesia dapat berdampak sangat signifikan yaitu kerugian hak konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD NRI Tahun 1945 (vide perbaikan permohonan hlm 7). Terhadap dalil tersebut, DPR RI menerangkan sebagai berikut: a. Bahwa berdasarkan pernyataan singkat (briefing statement) yang dikeluarkan oleh White House (Amerika Serikat), disampaikan beberapa hal penting sebagai berikut: Today, the United States of America (the United States) and the Republic of Indonesia (Indonesia) agreed to a Framework for negotiating an Agreement on Reciprocal Trade to strengthen our bilateral economic relationship, which will provide both countries’ exporters unprecedented access to each other’s markets. The Agreement on Reciprocal Trade will build upon our longstanding economic relationship, including the U.S.-Indonesia Trade and Investment Framework Agreement, signed on July 16, 1996. 96 Key terms of the Agreement on Reciprocal Trade between the United States and Indonesia will include:  …  Indonesia has committed to address barriers impacting digital trade, services, and investment. Indonesia will provide certainty regarding the ability to transfer personal data out of its territory to the United States. Indonesia has committed to eliminate existing HTS tariff lines on “intangible products” and suspend related requirements on import declarations; to support a permanent moratorium on customs duties on electronic transmissions at the WTO immediately and without conditions; and to take effective actions to implement the Joint Initiative on Services Domestic Regulation, including submitting its revised Specific Commitments for certification by the World Trade Organization (WTO).  … b. Bahwa dalam poin dalam pernyataan singkat tersebut disampaikan bahwa Indonesia telah menyatakan berkomitmen untuk mengatasi hambatan yang mempengaruhi perdagangan digital, jasa, dan investasi. Indonesia akan memberikan kepastian mengenai kemampuan untuk mentransfer data pribadi keluar dari wilayahnya ke Amerika Serikat. Indonesia telah berkomitmen untuk menghilangkan lini tarif HTS yang ada untuk "produk tidak berwujud" dan menangguhkan persyaratan terkait pada deklarasi impor; untuk mendukung moratorium permanen pada bea cukai untuk transmisi elektronik di WTO segera dan tanpa syarat; serta untuk mengambil tindakan efektif untuk menerapkan Inisiatif Bersama tentang Regulasi Domestik Jasa, termasuk menyerahkan Komitmen Spesifik yang telah direvisi untuk disertifikasi oleh Organisasi Perdagangan Dunia (WTO). c. Bahwa pernyataan singkat tersebut tentunya tidak dapat dimaknai secara kaku sebagai bentuk penyerahan data pribadi rakyat Indonesia kepada Amerika Serikat secara keseluruhan tanpa adanya persyaratan-persyaratan tertentu, tetapi harus dipandang sebagai dorongan untuk perbaikan regulasi terkait kemudahan berusaha dan perlindungan serta jaminan atas kemudahan berusaha tersebut bagi investor dari Amerika Serikat. Dipenuhinya kesepakatan tersebut tentunya tidak hanya akan berdampak pada investor dari Amerika Serikat saja, tetapi juga bagi investor dari 97 negara lain, termasuk investor dari dalam negeri. Dengan demikian, kesepakatan tersebut merupakan pijakan hukum yang sah, aman, dan terukur dalam tata kelola lalu lintas data pribadi lintas negara. d. Bahwa pelaksanaan kesepakatan tersebut tentunya tidak boleh mengabaikan peraturan perundang-undangan yang ada, in casu terkait dengan pelindungan data pribadi. Apabila pelaksanaan kesepakatan bilateral tersebut dilakukan dengan mengabaikan regulasi yang ada di Indonesia, hal ini justru akan memancing adanya ketidakpercayaan investor terhadap kepastian hukum atas regulasi yang ada dan perlindungan terhadap para pihak khususnya investor yang tidak hanya berasal dari Amerika Serikat. Dengan demikian, perlu adanya kebijaksanaan dalam pelaksanaan kesepakatan tersebut mengingat tugas utama pemerintah sebagaimana dinyatakan dalam pembukaan UUD NRI Tahun 1945 adalah melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang berdasarkan kemerdekaan, perdamaian abadi dan keadilan sosial. e. Bahwa dalam siaran pers Komdigi yang disampaikan pada 24 Juli 2025 melalui laman Komdigi, disampaikan beberapa hal sebagai berikut: … Kesepakatan yang dimaksud justru dapat menjadi dasar legal bagi perlindungan data pribadi warga negara Indonesia ketika menggunakan layanan digital yang disediakan oleh perusahaan berbasis di Amerika Serikat, seperti mesin pencari, media sosial, layanan cloud, dan e-commerce. Prinsip utama yang dijunjung adalah tata kelola data yang baik, pelindungan hak individu, dan kedaulatan hukum nasional. Mengutip pernyataan Gedung Putih bahwa hal ini dilakukan dengan kondisi ‘…adequate data protection under Indonesia’s law.’. Pemindahan data pribadi lintas negara diperbolehkan untuk kepentingan yang sah, terbatas, dan dapat dibenarkan secara hukum. Contoh konkret dari aktivitas pemindahan data yang sah antara lain: penggunaan mesin pencari seperti Google dan Bing, penyimpanan data melalui layanan cloud computing, komunikasi digital melalui platform media sosial seperti WhatsApp, Facebook, dan Instagram, pemrosesan transaksi melalui platform e-commerce, serta keperluan riset dan inovasi digital. 98 Pengaliran data antarnegara tetap dilakukan di bawah pengawasan ketat otoritas Indonesia, dengan prinsip kehati- hatian dan berdasarkan ketentuan hukum nasional. Landasan hukumnya merujuk pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi serta sebelumnya Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, yang secara eksplisit mengatur mekanisme dan prasyarat pengiriman data pribadi ke luar yurisdiksi Indonesia. Pemerintah memastikan bahwa transfer data ke Amerika Serikat tidak dilakukan sembarangan. Sebaliknya, seluruh proses dilakukan dalam kerangka secure and reliable data governance, tanpa mengorbankan hak-hak warga negara. Dengan tata kelola yang transparan dan akuntabel, Indonesia tidak tertinggal dalam dinamika ekonomi digital global, namun tetap menjaga kedaulatan penuh dalam pengawasan dan penegakan hukum atas data pribadi warganya. Sebagai tambahan, pengaliran data antarnegara merupakan praktik global yang lazim diterapkan, terutama dalam konteks tata kelola data digital. Negara-negara anggota G7 seperti Amerika Serikat, Kanada, Jepang, Jerman, Prancis, Italia, dan Britania Raya telah lama mengadopsi mekanisme transfer data lintas batas secara aman dan andal. Transfer data pribadi lintas negara pada prinsipnya kedepan adalah keniscayaan. Indonesia mengambil posisi sejajar dalam praktik tersebut, dengan tetap menempatkan pelindungan hukum nasional sebagai fondasi utama. Merujuk pada narasi siaran pers Komdigi tersebut, pemantapan regulasi pelindungan data pribadi Indonesia perlu dilakukan dengan segera dan dengan penuh kehati-hatian sebagai upaya penentuan posisi tawar (bargaining position) Indonesia dengan negara-negara lain. Penyusunan peraturan pelaksana dan penyesuaian pengelola data pribadi dengan ketentuan yang ada dalam UU PDP harus dilakukan dengan segera. Selain itu, berdasarkan Pasal 74 UU PDP, pengendali data pribadi, prosesor data pribadi, dan pihak lain yang terkait dengan pemrosesan data pribadi, wajib menyesuaikan dengan ketentuan pemrosesan data pribadi berdasarkan UU PDP paling lama 2 (dua) tahun sejak UU PDP diundangkan, yakni selambat-lambatnya 17 Oktober 2024. Pemenuhan ketentuan Pasal 74 UU a quo juga harus selalu dievaluasi untuk mengetahui sejauh mana capaiannya hingga saat ini sebagai bentuk ketaatan terhadap regulasi yang berlaku. 99 f. Bahwa Gedung Putih Amerika Serikat menyampaikan Indonesia akan memberikan kepastian terkait kemampuan pemindahan data pribadi dari wilayahnya ke Amerika Serikat melalui pengakuan Amerika Serikat sebagai negara atau yurisdiksi yang memberikan perlindungan data memadai berdasarkan hukum Indonesia. Dalam berbagai pemberitaan, pemerintah memastikan bahwa kesepakatan tersebut telah disetujui oleh kedua pihak dan dilakukan secara bertanggung jawab. Selain itu, pemerintah juga menyampaikan kesepakatan perdagangan antara Indonesia-AS bukanlah bentuk penyerahan data pribadi secara bebas, melainkan menjadi dasar hukum yang sah, aman, dan terukur dalam tata kelola lalu lintas data pribadi lintas negara. Terkait pelaksanaan kesepakatan pertukaran data pribadi rakyat Indonesia ke Amerika Serikat, DPR RI melalui Komisi I telah berulang kali menekankan kepada pemerintah agar pelaksanaan pertukaran data tersebut dilaksanakan dengan memperhatikan dan memenuhi ketentuan yang ada dalam UU PDP dan memenuhi hak konstitusional masyarakat sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. 9. Bahwa kerja sama internasional terkait data pribadi telah diatur dengan jelas dalam Pasal 62 UU PDP yang menyatakan: (1) Kerja sama internasional dilakukan oleh Pemerintah dengan pemerintah negara lain atau Organisasi Internasional terkait dengan Pelindungan Data Pribadi. (2) Kerja sama internasional dalam rangka pelaksanaan Undang- Undang ini dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dan prinsip hukum internasional. Ketentuan tersebut yang menjadi dasar adanya kesepakatan kerjasama antara Indonesia-Amerika. Dalam pelaksanaan ketentuan Pasal 62 UU PDP ini tentunya tidak lepas dari ketentuan yang ada dalam Undang-Undang Nomor 24 Tahun 2000 tentang Perjanjian Internasional. Terkait dengan perjanjian internasional dan keterlibatan DPR dalam perjanjian internasional tersebut, Mahkamah Konstitusi dalam pertimbangan hukum Putusan MK Nomor 13/PUU-XVI/2018 dinyatakan: … 100 Bahwa secara umum, perjanjian internasional yang dianggap penting adalah perjanjian-perjanjian yang memiliki dimensi politik yang bersangkut paut dengan kedaulatan negara, di antaranya perjanjian-perjanjian yang memengaruhi batas wilayah negara; yang memengaruhi hubungan federasi dengan negara bagian (di negara-negara yang berbentuk federal atau serikat); yang memengaruhi beban keuangan negara yang harus ditanggung oleh rakyat; yang memengaruhi perimbangan atau pembagian kekuasaan raja/atau ratu dengan parlemen (di negara-negara yang berbentuk kerajaan); yang memiliki dampak luas sehingga dibutuhkan pembentukan undang-undang baru. Contoh-contoh tersebut tentu dapat bertambah sesuai dengan kebutuhan atau pertimbangan masing-masing negara. Adapun untuk perjanjian internasional lainnya, lembaga perwakilan rakyat atau parlemen pada umumnya cukup dengan menerima pemberitahuan. Dengan demikian, bahkan untuk perjanjian antarnegara pun, menurut praktik yang umum berlaku hingga saat ini, tidak selalu dipersyaratkan adanya persetujuan lembaga perwakilan rakyat atau parlemen jika perjanjian demikian tidak dianggap penting menurut negara yang bersangkutan. Misalnya perjanjian internasional antar negara yang hanya bersifat teknis atau administratif atau perjanjian yang hanya merupakan pengaturan teknis-administratif lebih lanjut dari perjanjian (penting) yang dibuat sebelumnya sehingga tidak dianggap sebagai perjanjian tersendiri. Praktik sebagaimana diuraikan di atas dapat diterima oleh penalaran yang wajar sebab eksekutif sebagai pemegang dan sekaligus penanggung jawab kekuasaan pemerintahan di negara- negara modern membutuhkan keleluasaan bergerak yang cukup yang dalam konteks pembuatan perjanjian internasional dengan keleluasaan bergerak yang cukup itu memungkinkannya untuk melaksanakan pemerintahan secara efektif tanpa di satu pihak mengganggu atau menghambat negara yang diwakilinya dalam pergaulan internasional dan di pihak lain pada saat yang sama tanpa mengorbankan kedaulatan negara. Dalam konteks Indonesia, praktik demikian juga telah menjadi praktik yang diterima sejak sebelum lahirnya UU 24/2000, yaitu sejak praktik pembuatan perjanjian internasional masih berpedoman pada Surat Presiden Nomor 2826/HK/1960. Bahkan, secara esensial, lahirnya UU 24/2000 sesungguhnya merupakan penegasan dalam bentuk undang-undang terhadap praktik yang telah berlangsung lama dan diterima tersebut. Penegasan dalam bentuk undang-undang dibutuhkan sebab terlepas dari penerimaannya dalam praktik “bentuk hukum” yang bernama “Surat Presiden” itu menimbulkan persoalan dalam hierarki peraturan perundang-undangan, lebih- lebih apabila dihubungkan dengan ketentuan Pasal 11 ayat (3) UUD 1945 yang mengamanatkan pengaturan lebih lanjut mengenai (pembuatan) perjanjian internasional dalam undang-undang, meskipun ketentuan Pasal 11 ayat (3) UUD NRI Tahun 1945 baru lahir kemudian, yaitu setelah dilakukan perubahan UUD NRI Tahun 1945. 101 … Mahkamah berpendapat, secara sistematis, Pasal 11 UUD 1945 haruslah ditafsirkan bahwa: pertama, dengan penegasan melalui frasa “perjanjian internasional lainnya” dalam Pasal 11 ayat (2) UUD 1945 berarti UUD 1945 menegaskan bahwa perjanjian antarnegara atau “perjanjian dengan negara lain”, sebagaimana dimaksud dalam Pasal 11 ayat (1) UUD 1945, bukanlah berada di luar pengertian perjanjian internasional melainkan termasuk ke dalam pengertian perjanjian internasional. Penegasan dalam peristilahan demikian dibutuhkan mengingat, dalam lapangan hukum internasional, perjanjian internasional antarnegara dan perjanjian internasional antara negara dengan subjek hukum internasional lain yang bukan negara tunduk pada pengaturan yang berbeda. Perjanjian internasional antarnegara diatur oleh Konvensi Wina 1969, sedangkan perjanjian internasional lainnya, yaitu perjanjian internasional antara negara dengan subjek hukum internasional lainnya yang bukan negara (termasuk perjanjian internasional antarsesama subjek hukum internasional lainnya yang bukan negara) diatur dalam Konvensi Wina 1986; kedua, tidak semua perjanjian internasional yang dibuat oleh Presiden mempersyaratkan adanya persetujuan DPR melainkan hanya perjanjian-perjanjian internasional yang memenuhi persyaratan umum yang ditentukan dalam Pasal 11 ayat (2) UUD 1945, yaitu perjanjian internasional yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang. Dengan demikian, secara a contrario, meskipun perjanjian yang dibuat itu adalah perjanjian antarnegara, jika tidak menimbulkan akibat yang luas dan mendasar yang terkait dengan beban keuangan negara dan/atau mengharuskan perubahan atau pembentukan undang-undang, persetujuan DPR tidak dipersyaratkan; ketiga, perihal dalam hal apa atau dalam keadaan bagaimana suatu materi perjanjian internasional menimbulkan akibat yang luas dan mendasar yang terkait dengan beban keuangan negara dan/atau mengharuskan perubahan atau pembentukan undang-undang, hal itu tidak dapat ditentukan secara limitatif melainkan harus dinilai secara kasuistis berdasarkan pertimbangan dan perkembangan kebutuhan hukum secara nasional maupun internasional. … pada tahapan mana persetujuan DPR tersebut harus diberikan, Mahkamah mempertimbangkan beberapa hal. Pertama, harus dibedakan, di satu pihak, antara persetujuan DPR dengan persetujuan untuk terikat dalam suatu perjanjian internasional (consent to be bound by a treaty) dan, di lain pihak, antara persetujuan untuk terikat dengan pengesahan perjanjian internasional. Kedua, “tahapan” yang dimaksud dalam hal ini adalah tahapan pembuatan perjanjian internasional dalam konteks hukum nasional, bukan dalam konteks hukum internasional. Ketiga, harus dibedakan antara pengesahan perjanjian internasional menurut hukum internasional dan pengesahan perjanjian internasional 102 menurut hukum nasional. (vide Putusan MK Nomor 13/PUU- XVI/2018). Berdasarkan pertimbangan hukum Mahkamah tersebut bahwa tidak semua perjanjian internasional memerlukan persetujuan DPR RI. Hanya perjanjian yang menimbulkan akibat luas dan mendasar bagi kehidupan rakyat, terkait dengan beban keuangan negara, dan/atau yang mengharuskan perubahan atau pembentukan undang-undang yang memerlukan persetujuan DPR RI sebagaimana dimaksud dalam Pasal 11 ayat (2) UUD NRI Tahun 1945. Dengan demikian, kerja sama Indonesia–Amerika yang berkaitan dengan transfer data pribadi tidak serta merta harus dikualifikasikan sebagai perjanjian internasional yang membutuhkan persetujuan DPR. Kesepakatan tersebut, sepanjang bersifat teknis dan administratif serta tidak menimbulkan akibat yang luas dan mendasar, merupakan kewenangan eksekutif sebagai representasi negara dalam hubungan internasional. Oleh karenanya, dalil Pemohon yang menilai kesepakatan tersebut melanggar kedaulatan rakyat dan bertentangan dengan Pasal 1 ayat (2) serta Pasal 11 ayat (1) dan (2) UUD NRI Tahun 1945 adalah tidak berdasar secara hukum dan keliru dalam menafsirkan pengaturan perjanjian internasional dalam kerangka konstitusi dan praktik ketatanegaraan Indonesia. 10. Bahwa terkait dengan kesepakatan kerja sama antara Indonesia dengan Amerika Serikat tersebut hingga saat ini masih dalam tahap pembahasan antara pemerintah Indonesia dengan pemerintah Amerika Serikat. Tentunya masih banyak hal yang harus disiapkan oleh pemerintah terkait dengan detail-detail implementasi dari kesepakatan kerja sama tersebut sehingga DPR RI pun masih menunggu konsep akhir Perjanjian Pelaksanaan (implementation agreement) dari pemerintah. Merupakan tugas dari DPR RI untuk melakukan pengawasan kinerja dari pemerintah tersebut, hal ini demi memastikan pemenuhan hak dan/atau kewenangan warga negara atas pelindungan diri, dan pemenuhan terhadap pengaturan yang diatur dalam UU PDP. 103 II. PETITUM DPR RI Demikian keterangan DPR RI disampaikan untuk menjadi bahan pertimbangan bagi Yang Mulia Majelis Hakim Mahkamah Konstitusi untuk memeriksa, memutus, dan mengadili Perkara a quo dan dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Para Pemohon tidak mempunyai kedudukan hukum (Legal Standing) sehingga permohonan a quo harus dinyatakan tidak dapat diterima (niet ontvankelijk verklaard); 2. Menolak permohonan Para Pemohon untuk seluruhnya; 3. Menerima Keterangan DPR RI secara keseluruhan; 4. Menyatakan Pasal 56 ayat (1), ayat (2), ayat (3) dan ayat (4), Pasal 65 ayat (2), dan Pasal 67 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820) tidak bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap memiliki kekuatan hukum mengikat; 5. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Apabila Yang Mulia Hakim Majelis Mahkamah Konstitusi berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). [2.4] Menimbang bahwa terhadap permohonan Pemohon tersebut, Presiden telah menyampaikan keterangan tertulis yang diterima Mahkamah pada tanggal 19 September 2025 yang kemudian menyampaikan keterangannya dalam persidangan Mahkamah pada tanggal 23 September 2025 serta menyampaikan keterangan tertulis tambahan yang diterima Mahkamah pada tanggal 30 Oktober 2025, yang pada pokoknya menerangkan sebagai berikut: I. POKOK PERMOHONAN PEMOHON a. Pasal 56 ayat (1) dan ayat (2) UU PDP dilihat dari konsep persetujuan Subjek Data Pribadi dan adequacy decision dikaitkan dengan konsep ”kedaulatan rakyat” adalah inkonstitusional karena tidak secara eksplisit mewajibkan persetujuan Dewan Perwakilan Rakyat (DPR) untuk perjanjian internasional terkait transfer data ke luar wilayah hukum Negara Republik 104 Indonesia dan tidak bisa hanya didelegasikan kepada Lembaga Perlindungan Data Pribadi yang dibentuk berdasarkan Peraturan Presiden. b. Pasal 56 ayat (3) UU PDP inkonstitusional karena frasa "pelindungan Data Pribadi yang memadai, dan bersifat mengikat" masih bersifat bias, sehingga Pemohon Perkara 137 mengusulkan agar Pasal a quo dimaknai secara bersyarat, dengan menambahkan frasa "dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar”. Pasal 56 ayat (4) UU PDP memungkinkan transfer data pribadi dilakukan dengan mendapatkan "persetujuan Subjek Data Pribadi" jika ketentuan pada ayat (2) dan ayat (3) tidak terpenuhi, sehingga mengusulkan agar Pasal a quo dimaknai secara bersyarat Pengendali Data Pribadi wajib menginformasikan risiko transfer data kepada Subjek Data Pribadi (informed consent) sebagaimana praktik yang diatur dalam Pasal 49 ayat (1) European Union General Data Protection Regulation (EU GDPR) II. KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON Dalam perkara a quo ini, Menurut Pemerintah, tidak dalam posisi dirugikan, dikurangi, atau setidak-tidaknya dihalang-halangi hak konstitusionalnya akibat keberlakuan ketentuan pasal-pasal yang dimohonkan dengan alasan sebagai berikut: A. Ketentuan-ketentuan mengenai Kedudukan Hukum (Legal Standing) Bahwa sesuai dengan ketentuan Pasal 51 ayat (1) Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah beberapa kali diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi selanjutnya disebut UU MK jelas mengatur Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya telah dirugikan dengan berlakunya undang-undang, yang meliputi: a. Perorangan Warga Negara Indonesia; b. Kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. Badan hukum publik atau privat; atau 105 d. Lembaga Negara. Bahwa berdasarkan ketentuan peraturan perundang-undangan di atas, sehubungan dengan kedudukan hukum (legal standing) Pemohon, maka harus dibuktikan bahwa: a. Pemohon memenuhi kualifikasi untuk mengajukan permohonan sesuai dengan ketentuan Pasal 51 ayat (1) UU MK; dan b. hak dan/atau kewenangan konstitusional Pemohon dirugikan akibat berlakunya undang-undang yang diuji. Bahwa sesuai dengan putusan Mahkamah Konstitusi Nomor: 006/PUU- III/2005 dan Nomor: 010/PUU-III/2005 yang pada pokoknya menyatakan, dikutip: “Bahwa, kerugian konstitusional yang timbul karena berlakunya suatu undang-undang menurut ketentuan Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: 1. adanya hak konstitusional Pemohon yang diberikan oleh UUD NRI 1945; 2. adanya hak konstitusional Pemohon tersebut dianggap oleh Pemohon telah dirugikan oleh suatu undang-undang yang diuji; 3. kerugian konstitusional Pemohon yang dimaksud bersifat spesifik (khusus) dan aktual atau setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; 4. adanya hubungan sebab akibat (causal verband) antara kerugian dan berlakunya undang-undang yang dimohonkan untuk diuji; 5. adanya kemungkinan bahwa dengan dikabulkannya permohonan maka kerugian konstitusional yang didalilkan tidak akan atau tidak lagi terjadi.” B. Tanggapan Pemerintah atas Uraian Kedudukan Hukum (Legal Standing) Para Pemohon Bahwa Pemohon dalam Permohonannya telah mendalilkan kerugian konstitusional akibat keberlakuan ketentuan a quo yang pada pokoknya mendalilkan kerugian konstitusionalnya muncul pada saat terjadinya kesepakatan Indonesia – Amerika Serikat yang di dalamnya termasuk berkaitan dengan transfer data pribadi, bahwa kesepakatan Amerika Serikat-Indonesia yang terkait dengan transfer data pribadi memerlukan peranan negara dengan merepresentasikan kedaulatan rakyat sebagaimana dimaksud dalam Pasal 11 ayat (1) dan ayat (2) UUD NRI 1945. Terhadap dalil Pemohon tersebut, menurut Pemerintah, Pemohon dalam hal ini tidak dalam posisi dirugikan, dikurangi, atau setidak- 106 tidaknya dihalang-halangi hak konstitusionalnya dengan keberlakuan ketentuan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP karena justru UU PDP memberikan panduan tata kelola mengenai bagaimana data pribadi harus dilindungi. sBahwa mencermati ketentuan Pasal 56 UU PDP, transfer data pribadi dapat dilakukan oleh Pengendali Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar Wilayah Hukum Negara Republik Indonesia, dalam hal: 1) Pengendali Data Pribadi wajib memastikan, negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang. menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam UU PDP; 2) Dalam hal tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer data pribadi tidak memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam UU PDP, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat; 3) Dalam hal angka 1 dan angka 2 di atas tidak terpenuhi, maka Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. Oleh karena itu, pengajuan permohonan oleh Pemohon dalam perkara a quo terkait Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP bersifat prematur dan spekulatif. Dengan perkataan lain, Pemohon saat mengajukan permohonannya tidak memiliki legal standing untuk mengajukan permohonan 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP. Berdasarkan hal tersebut di atas, Pemerintah berpendapat, Pemohon tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU Mahkamah Konstitusi sebagaimana telah diubah dengan Undang- Undang Nomor 8 Tahun 2011, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi 107 Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007). Dengan demikian, Pemerintah berpendapat tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU MK, maupun berdasarkan putusan- putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor: 11/PUU- V/2007). Oleh karena itu, menurut Pemerintah adalah tepat dan sangat beralasan hukum dan sudah sepatutnya jika Yang Mulia Ketua dan Majelis Hakim Konstitusi secara bijaksana menyatakan permohonan tidak dapat diterima (niet ontvankelijk verklaard). Namun, Pemerintah menyerahkan sepenuhnya kepada Yang Mulia Ketua dan Majelis Hakim Konstitusi untuk mempertimbangkan dan menilai apakah Pemohon memiliki kedudukan hukum (legal standing) atau tidak, sebagaimana yang ditentukan oleh Pasal 51 ayat (1) UU Mahkamah Konstitusi, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu. III. KETERANGAN PEMERINTAH ATAS MATERI PERMOHONAN YANG DIMOHONKAN UNTUK DIUJI A. Latar Belakang UU PDP 1. Salah satu pertimbangan filosofis konstitusional dalam penyusunan UU PDP didasarkan pada tanggung jawab Pemerintah Negara Indonesia dalam melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang berdasarkan kemerdekaan, perdamaian abadi dan keadilan sosial. 2. Wujud dari pelindungan segenap bangsa Indonesia dan seluruh tumpah darah Indonesia adalah pengakuan hak-hak asasi manusia yang diatur dalam UUD NRI 1945 sebagai Konstitusional Indonesia, yaitu dalam Bab XA tentang Hak Asasi Manusia, mulai dari Pasal 28A s.d. Pasal 28J UUD NRI 1945. 3. Dalam UUD NRI 1945 hak atas pelindungan data pribadi tidak diatur secara tegas dan spesifik. Oleh karena itu, dalam bagian menimbang dan Penjelasan Umum UU PDP ditegaskan bahwa pelindungan data pribadi 108 merupakan bagian dari hak konstitusional yang lahir dari Pasal 28G ayat (1) UUD NRI 1945, yaitu hak atas perlindungan diri, pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. 4. Kemudian, dalam Pasal 28I ayat (4) UUD NRI 1945 diatur dengan tegas bahwa pelindungan, pemajuan, penegakan, dan pemenuhan hak asasi manusia adalah tanggung jawab negara, terutama pemerintah. Oleh karena itu, penyusunan regulasi dan kebijakan dalam mengatur dalam rangka memenuhi hak atas pelindungan data pribadi merupakan tanggung jawab Pemerintah. 5. Perlindungan konstitusional dalam data pribadi sangat penting dalam menghadapi atau menyikapi perkembangan teknologi. Artificial Intelligence, Big Data, Internet of Things, Blockchain, Cloud Computing, dan augmented reality adalah beberapa contoh teknologi yang berkembang sangat cepat dalam satu dekade belakangan ini. Teknologi- teknologi tersebut terhubung dengan berbagai perangkat yang digunakan oleh masyarakat dan memproses data pribadi dalam volume besar. 6. Mengingat keterhubungan berbagai sistem elektronik di dalam maupun di luar wilayah satu negara, jaminan hak atas pelindungan data pribadi sebagai hak konstitusional warga negara Indonesia terhadap data pribadi yang dimiliki merupakan prioritas bagi Pemerintah. 7. Indonesia telah memiliki berbagai peraturan perundang-undangan terkait pemrosesan data pribadi yang tersebar di berbagai sektor. Pengaturan yang sifatnya sektoral tersebut mengakibatkan beragamnya pola penegakan pelindungan data pribadi dan terjadi tumpang tindih pengaturan. Di sisi lain, regulasi sektoral tersebut belum mengatur secara tegas, antara lain, prinsip-prinsip apa yang wajib diterapkan oleh Pengendali Data Pribadi, dasar hukum (legal basis) apa saja yang dapat digunakan oleh pengendali atau Prosesor Data Pribadi dalam pemrosesan data pribadi, dan perlindungan data pribadi warga negara Indonesia yang ditransfer ke luar yurisdiksi Indonesia. Selain itu, regulasi sektoral yang ada juga belum mengatur dengan tegas hak-hak Subjek Data Pribadi, sanksi-sanksi administratif dan pidana yang mampu 109 memberikan efek jera sehingga penegakan hukum terhadap kasus-kasus kebocoran data pribadi yang terjadi di Indonesia belum dapat dilakukan dengan maksimal. 8. Oleh karena itu, dalam menghadapi permasalahan pelindungan data pribadi yang semakin kompleks yang didorong oleh: a. perkembangan teknologi disruptif yang memungkinkan pemrosesan data pribadi dalam volume besar dan dengan tingkat intrusi terhadap privasi yang tinggi sehingga dapat mengancam hak-hak konstitusional warga negara; b. kebutuhan untuk menjamin transfer data pribadi lintas batas tetap memberikan perlindungan konstitusional bagi warga negara; c. peraturan perundang-undangan yang sifatnya sektoral yang mengakibatkan adanya tumpang tindih atau kekosongan hukum; Indonesia membutuhkan konsep regulasi yang komprehensif. B. Maksud dan Tujuan Berdasarkan latar belakang di atas, maksud dari pengundangan UU PDP adalah untuk membentuk satu sistem hukum pelindungan data pribadi yang komprehensif, yang meliputi substansi, struktur, dan kultur. Maksud untuk membangun sistem hukum yang komprehensif tersebut setidaknya terlihat dari: 1. Definisi Data Pribadi a. UU PDP mendefinisikan “Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non- elektronik.” (Vide Pasal 1 angka 1 UU PDP) Berdasarkan definisi tersebut, jangkauan pengaturan UU PDP mencakup tidak hanya informasi atau dokumen elektronik yang memuat atau mengandung data pribadi tetapi juga dokumen atau surat dalam bentuk kertas. b. Dari definisi tersebut, UU PDP mengklasifikasikan data pribadi ke dalam dua kategori, yaitu 1) data pribadi yang bersifat spesifik, antara lain: data biometrik, data genetika dan data anak (vide Pasal 4 ayat (2) UU PDP); 110 2) data pribadi yang bersifat umum, antara lain: nama lengkap, alamat email, dan nomor telepon (vide Pasal 4 ayat (3) UU PDP). 2. Konsep pelindungan data pribadi Berdasarkan Pasal 1 angka 2 UU PDP, pelindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional Subjek Data Pribadi. Dengan perkataan lain pelindungan data pribadi merupakan konsep yang holistik. Pelindungan data pribadi diterapkan dalam keseluruhan pemrosesan data pribadi. Dalam UU PDP diatur bahwa pemrosesan data pribadi meliputi pemerolehan dan pengumpulan, pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, penghapusan atau pemusnahan. (Pasal 16 ayat (1) UU PDP). Tujuan UU PDP adalah untuk memberikan perlindungan, memajukan, menegakkan, memenuhi, dan menjamin hak konstitusional warga negara Indonesia, khususnya hak atas perlindungan data pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI 1945, baik terhadap pemrosesan data pribadi yang dilakukan di dalam teritori Indonesia maupun di luar teritori Indonesia. Tujuan ini terlihat setidaknya dari ketentuan-ketentuan berikut: a. Asas pelindungan data pribadi (Pasal 3 UU PDP); b. Pengaturan prinsip pemrosesan data pribadi (Pasal 16 UU PDP); c. Hak Subjek Data Pribadi beserta pengecualiannya (Pasal 5 s.d. Pasal 15 UU PDP); d. Kewajiban adanya dasar pemrosesan data pribadi yang dikenal sebagai legal basis (Pasal 20 UU PDP); dan e. Kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi beserta pengecualiannya (Pasal 20 s.d. Pasal 54 UU PDP). Berdasarkan Pasal 28J ayat (2) UUD NRI 1945, hak atas perlindungan data pribadi bukanlah hak absolut, tetapi hak yang dapat dibatasi untuk kepentingan atau tujuan yang sah yang diatur dalam undang-undang. UU PDP memungkinkan adanya pembatasan terhadap hak-hak Subjek Data Pribadi dan pengecualian terhadap kewajiban pengendali atau Prosesor 111 Data Pribadi untuk kepentingan, antara lain pertahanan dan keamanan nasional, proses penegakan hukum, dan kepentingan umum dalam rangka penyelenggaraan negara. C. Arah Pengaturan Arah pengaturan dalam UU PDP ialah pembentukan satu sistem hukum pelindungan data pribadi yang komprehensif, dengan mengatur, antara lain: 1. Definisi dan ruang lingkup pelindungan data pribadi; 2. Asas pelindungan data pribadi; 3. Jenis data pribadi; 4. Hak Subjek Data Pribadi; 5. Pemrosesan data pribadi; 6. Prinsip dan dasar pemrosesan data pribadi; 7. Pengendali gabungan; 8. Kewajiban pengendali dan Prosesor Data Pribadi; 9. Transfer data pribadi; 10. Sanksi administratif; 11. Kelembagaan; 12. Kerjasama Internasional; 13. Partisipasi masyarakat; 14. Penyelesaian sengketa dan hukum acara; 15. Larangan dalam penggunaan data pribadi; 16. Ketentuan pidana. Dalam membangun dan mengembangkan substansi, struktur, dan kultur pelindungan data pribadi yang komprehensif, UU PDP merupakan tonggak utama yang dipancangkan ke dalam sistem hukum Indonesia. Dari UU PDP akan lahir aturan-aturan pelaksanaannya, termasuk lembaga pelindungan data pribadi. UU PDP juga akan mendorong harmonisasi hukum dan Peraturan perundang-undangan sektoral, serta perubahan praktik pemrosesan data pribadi di Indonesia. Saat ini Pemerintah sedang menyiapkan rancangan Peraturan Presiden mengenai lembaga pelindungan data pribadi, dan rancangan Peraturan Pemerintah tentang penyelenggaraan pelindungan data pribadi, yang merupakan amanat dari UU PDP. 112 D. Dasar Pemrosesan Data Pribadi (Legal Basis) Para Pemohon Perkara 135 mempermasalahkan ketentuan pidana dalam UU PDP, khususnya terkait unsur “melawan hukum”. Oleh karena itu, pada bagian ini, Pemerintah menjelaskan relevansi antara unsur “melawan hukum” dan dasar pemrosesan data pribadi. Dasar pemrosesan data pribadi (legal basis) adalah satu bagian pengaturan utama yang dibangun dalam UU PDP. Pengaturan dasar pemrosesan didasarkan pada rasionalisasi dan filosofi bahwa pelindungan data pribadi merupakan hak konstitusional setiap warga negara. Oleh karena itu, Pengendali Data Pribadi atau Prosesor Data Pribadi yang memproses data pribadi seseorang harus memiliki dasar hukum untuk memproses data tersebut. Legal basis merupakan wujud penerapan asas legalitas, akuntabilitas, dan transparansi dalam pemrosesan data pribadi. Pasal 20 ayat (2) UU PDP telah mengatur enam legal basis dalam pemrosesan data pribadi. Keenam legal basis tersebut telah ada dan diakui dalam sistem hukum Indonesia dan sesuai dengan berbagai peraturan di negara-negara lain yang mengatur pemrosesan data pribadi, antara lain: 1) persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; 2) pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; 3) pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; 4) pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; 5) pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau 6) pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. Pada prinsipnya, setiap dasar pemrosesan tersebut memiliki nilai yang setara. Setiap Pengendali Data Pribadi atau Prosesor Data Pribadi harus 113 memiliki paling tidak satu dasar pemrosesan untuk setiap jenis atau bentuk pemrosesan data pribadi. Di lain sisi, UU PDP juga memberikan kebebasan bagi Pengendali Data Pribadi untuk memilih dasar pemrosesan yang paling relevan dengan tujuan pemrosesan data pribadi. Dengan demikian, setiap pemrosesan data pribadi dapat dipertanggung jawabkan legalitas dan akuntabilitasnya terhadap Subjek Data Pribadi dan dihadapan hukum. Legal basis yang diatur dalam Pasal 20 ayat (2) UU PDP dapat terkait dengan peraturan perundang-undangan lain. Sebagai contoh yang paling jelas ialah dasar pemrosesan “pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan”, dan dasar hukum pemrosesan “pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan”. Dalam kedua contoh pemrosesan tersebut, peraturan perundang-undangan yang dimaksud ialah peraturan perundang-undangan yang menjadi dasar bagi pengendali atau Prosesor Data Pribadi yang: 1) memberi atau membebani kewajiban hukum bagi pengendali atau Prosesor Data Pribadi; 2) memberi tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan atau hak Pengendali Data Pribadi; Perlu ditegaskan bahwa apabila Pengendali Data Pribadi tidak mendapat persetujuan dari Subjek Data Pribadi untuk memproses data pribadinya, ketiadaan persetujuan tidak serta merta membuat pemrosesan data pribadi tidak dapat dilakukan. Dalam hal pengendali memiliki kewajiban hukum atau memiliki hak atau kewenangan sebagaimana diatur dalam peraturan perundang-undangan untuk memproses data pribadi, tanpa persetujuan subjek hukum, pemrosesan tetap dapat dilakukan. Keterangan Pemerintah Terkait dengan Pokok Permohonan Pemohon Perkara 137/PUU-XXIII/2025 Pasal yang Diuji Batu Uji Pemohon Pasal 56 UU PDP 1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini. Pasal 11 UUD NRI Tahun 1945 Presiden dengan persetujuan Dewan Perwakilan Rakyat menyatakan perang, membuat perdamaian dan perjanjian dengan negara lain Pasal 28C ayat (1) UUD NRI 1945 Setiap orang berhak mengembangkan diri melalui pemenuhan kebutuhan dasarnya, 114 2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki Tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini. 3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. 4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. 5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah Pasal 11 UUD NRI 1945 berhak mendapat pendidikan dan memperoleh manfaat dari ilmu pengetahuan dan teknologi, seni dan budaya, demi meningkatkan kualitas hidupnya dan demi kesejahteraan umat manusia. Pasal 28D ayat (1) UUD NRI 1945 Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum. Pasal 28F UUD NRI 1945 Setiap orang berhak untuk berkomunikasi dan memperoleh informasi untuk mengembangkan pribadi dan lingkungan sosialnya, serta berhak untuk mencari, memperoleh, memiliki, menyimpan, mengolah, dan menyampaikan informasi dengan menggunakan segala jenis saluran yang tersedia. Pasal 28G ayat (1) UUD NRI 1945 Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang berada di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. 1. Terhadap pokok Permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (1) dan ayat (2) UU PDP dilihat dari konsep persetujuan Subjek Data Pribadi dan adequacy decision dikaitkan dengan konsep ”kedaulatan rakyat” adalah inkonstitusional karena tidak secara eksplisit mewajibkan persetujuan Dewan Perwakilan Rakyat (DPR) untuk perjanjian internasional terkait transfer data ke luar wilayah hukum Negara Republik Indonesia dan tidak bisa hanya didelegasikan kepada Lembaga Perlindungan Data Pribadi yang dibentuk berdasarkan Peraturan Presiden, Pemerintah memberikan keterangan sebagai berikut: a. Pasal 56 ayat (1) UU PDP rumusannya telah jelas yaitu tranfer data pribadi ke luar wilayah Indonesia baru dapat dilakukan Pengendali Data Pribadi apabila sesuai dengan ketentuan yang diatur dalam UU PDP. Ketentuan dalam UU PDP antara lain dalam Pasal 5 (Hak Subjek Data Pribadi), Pasal 15 (Pengecualian Hak Subjek Data Pribadi), Pasal 16 (Prinsip Pemrosesan Data Pribadi), dan Pasal 20 (Kewajiban Pengendali Data Pribadi memiliki Dasar Pemrosesan 115 Data Pribadi) telah mengatur hal-hal yang perlu dipenuhi oleh Pengendali Data Pribadi. Hal yang diminta Pemohon mengenai perlunya persetujuan dan perjanjian yang disahkan DPR dalam trasnfer data pribadi ke luar wilayah hukum Negara Republik Indoensia sebagaimana petitum Pemohon terhadap Pasal 56 ayat (1) UU PDP, justru malah bersifat membatasi Pasal 56 ayat (1) UU PDP yang telah mengatur perlunya mematuhi seluruh ketetutan dalam UU PDP. b. Pasal 56 ayat (2) UU PDP justru memberikan pelindungan bagi Subjek Data Pribadi di Indonesia dengan mewajibkan Pengendali Data Pribadi melakukan penilaian kesetaraan tingkat pelindungan data pribadi yang juga tunduk pada keseluruhan UU PDP sebagaimana dimaksud dalam Pasal 56 ayat (1) UU PDP. c. Dalil Pemohon yang menyatakan bahwa mekanisme transfer data lintas batas, khususnya yang didasarkan pada penilaian kesetaraan tingkat pelindungan data pribadi (adequacy decision) merupakan suatu bentuk perjanjian internasional yang dikaitkan dengan Pasal 11 ayat (2) UUD NRI 1945 "menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara” serta menyangkut "kedaulatan negara" dan "hak asasi manusia" jelas merupakan suatu kekeliruan dalam mengklasifikasikan sifat hukum dari sebuah adequacy decision. d. Penilaian kesetaraan bukanlah suatu perjanjian internasional baru, yang menciptakan hak dan kewajiban baru antarnegara. Sebaliknya merupakan sebuah tindakan administratif eksekutif yang bersifat teknis untuk mengimplementasikan amanat UU PDP. Esensinya adalah sebuah proses verifikasi oleh organ eksekutif (dalam hal ini Lembaga Pelindungan Data Pribadi yang diamanatkan UU PDP) untuk menilai apakah sistem hukum di negara lain telah memenuhi standar pelindungan yang telah ditetapkan oleh legislasi nasional Indonesia. Ini bukanlah sebuah proses negosiasi untuk menciptakan norma hukum baru, melainkan sebuah proses evaluasi untuk memverifikasi pemenuhan terhadap norma yang 116 sudah ada, yaitu UU PDP itu sendiri. Menyamakan tindakan administratif ini dengan perjanjian politik tingkat tinggi adalah sebuah kekeliruan kategorisasi hukum. e. Selain itu kekeliruan Pemohon juga menjadi semakin nyata apabila memperhatikan Undang-Undang Nomor 24 Tahun 2000 tentang Perjanjian Internasional (selanjutnya disebut UU Perjanjian Internasional). Undang-undang tersebut secara jelas membedakan dua kategori utama perjanjian. Pasal 10 UU Perjanjian Internasional mengatur perjanjian yang substansinya bersifat fundamental dan politis, seperti masalah politik, perdamaian, pertahanan, kedaulatan, perubahan wilayah, pembentukan kaidah hukum baru, dan pinjaman luar negeri. Perjanjian-perjanjian inilah yang memerlukan pengesahan melalui Undang-Undang karena berpotensi mengubah lanskap hukum dan politik nasional secara mendasar. Di sisi lain, Pasal 11 UU Perjanjian Internasional mengatur perjanjian yang materinya tidak termasuk dalam kategori Pasal 10 UU Perjanjian Internasional, yang pengesahannya cukup dilakukan dengan Keputusan Presiden. Penjelasan Pasal 11 ayat (1) UU Perjanjian Internasional secara eksplisit menyebutkan bahwa kategori ini mencakup perjanjian yang "memiliki materi yang bersifat prosedural dan memerlukan penerapan dalam waktu singkat," termasuk di dalamnya adalah kerja sama di bidang ilmu pengetahuan dan teknologi, ekonomi, dan perdagangan internasional. Penilaian kesetaraan pelindungan data pribadi, yang bertujuan memfasilitasi arus data untuk mendukung perdagangan digital dan kerja sama teknologi dengan tetap memberikan kesetaraan perlindungan terhadap data pribadi subjek hukum Indonesia ketika diproses ke atau di luar Yurisdiksi Indonesia, secara jelas masuk ke dalam lingkup kewenangan eksekutif sebagaimana diatur dalam Pasal 11 UU Perjanjian Internasional. f. Pembagian jenis pengesahan perjanjian internasional tersebut telah dirumuskan dengan jelas oleh undang-undang yang disepakati antara Pemerintah dengan DPR, dan bukan berarti transfer data 117 pribadi cross-border menjadi melanggar hak konstitusional warga negara Indonesia tanpa mekanisme reviu, karena dengan keputusan administratif pun masih dapat diajukan keberatan, perubahan, pencabutan, atau gugatan di pengadilan terkait tergantung dari segi administratif pemerintahannya atau perdata apabila bersegi perdata. g. Pemerintah dan DPR melalui Pasal 56 UU PDP sebenarnya telah memberikan landasan hukum yang kuat bahwa pemrosesan terhadap data pribadi warga negara Indonesia akan mendapatkan perlindungan yang setara di luar wilayah Negara Republik Indonesia. h. Argumentasi Pemerintah ini juga selaras dengan Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 dimana Mahkamah secara bijaksana menyatakan bahwa penentuan apakah suatu perjanjian "menimbulkan akibat yang luas dan mendasar" harus dinilai secara kasuistis dan tidak dapat ditentukan secara limitatif. Memaksakan agar setiap penilaian kesetaraan pelindungan data harus melalui proses legislasi di DPR, tanpa memandang konteks dan substansinya, justru akan menciptakan rigiditas birokrasi yang bertentangan dengan semangat putusan tersebut. Hal ini akan melumpuhkan kemampuan Pemerintah untuk beradaptasi dengan dinamika teknologi dan ekonomi digital yang bergerak sangat cepat. Menuntut persetujuan DPR untuk setiap penetapan negara tujuan transfer data sama tidak rasionalnya dengan menuntut persetujuan DPR untuk setiap pengakuan standar teknis internasional atau sertifikasi produk dari negara lain yang diakui di Indonesia. Tindakan-tindakan tersebut merupakan bagian dari pelaksanaan Undang-Undang oleh eksekutif, bukan pembentukan Undang- Undang baru. Dengan demikian, dalil Pemohon terkait pelanggaran Pasal 11 UUD NRI 1945 haruslah ditolak karena didasarkan pada pemahaman yang keliru terhadap sistem pembagian kekuasaan dan hukum perjanjian internasional di Indonesia. i. Perlu dipahami bahwa praktik internasional menunjukkan hal yang sama. Di Uni Eropa, misalnya, adequacy decision adalah sebuah 118 keputusan administratif yang diambil secara sepihak oleh Komisi Eropa setelah melakukan penilaian teknis mendalam terhadap standar perlindungan data di negara lain. Keputusan ini tidak memerlukan persetujuan dari Parlemen Eropa atau Dewan Uni Eropa. Contohnya, Komisi Eropa telah mengeluarkan adequacy decision untuk negara-negara seperti Jepang, Inggris, dan Amerika Serikat, yang memungkinkan aliran data bebas dari Uni Eropa ke negara-negara tersebut tanpa perlu adanya pelindungan tambahan. Dengan demikian, penetapan tingkat pelindungan yang memadai melalui keputusan administratif ini merupakan praktik yang lazim di tingkat global dan bukan merupakan ranah perjanjian internasional. j. Pemohon juga mengajukan dalil bahwa Pasal 56 ayat (2) UU PDP secara inkonstitusional mendelegasikan kewenangan negara untuk menilai sistem hukum negara lain kepada subjek hukum privat yaitu Pengendali Data Pribadi. Menurut argumen Pemohon, berimplikasi pada terciptanya ketidakpastian hukum karena setiap Pengendali Data dapat memiliki penilaian yang berbeda-beda. Lebih lanjut, Pemohon meragukan kapasitas dan legitimasi konstitusional Lembaga PDP yang akan dibentuk melalui Peraturan Presiden (Perpres). Pemerintah menegaskan bahwa seluruh rangkaian argumen ini dibangun di atas pemahaman yang keliru terhadap doktrin pendelegasian wewenang dan pembacaan yang tidak utuh terhadap UU PDP. k. Melalui mekanisme ini, negara (melalui Lembaga PDP) secara proaktif memverifikasi dan menetapkan bahwa negara tujuan memiliki kerangka hukum dan penegakan hukum pelindungan data yang setara atau bahkan lebih tinggi dari Indonesia berdasarkan penilaian secara komprehensif. l. Kewajiban "memastikan" yang dibebankan kepada Pengendali Data Pribadi dalam Pasal 56 UU PDP bukanlah bentuk pendelegasian kedaulatan (delegation of sovereignty). Ini adalah perwujudan dari prinsip pertanggungjawaban atau akuntabilitas (accountability principle) Pengendali Data Pribadi sebagai pihak yang melakukan pemrosesan data pribadi. Prinsip pertanggungjawaban atau 119 akuntabilitas (accountability principle) merupakan pilar fundamental dalam setiap rezim pelindungan data modern di dunia. m. Prinsip ini menyatakan bahwa entitas yang memproses data dan mendapatkan manfaat darinya harus bertanggung jawab untuk memastikan kepatuhan terhadap hukum. Namun, ini tidak berarti mereka menjadi penafsir akhir atau pengganti negara. UU PDP telah secara eksplisit memberikan norma yang menjadi pedoman bagi Pengendali Data Pribadi yang akan melakukan assessment untuk memastikan bahwa negara tempat kedudukan Pengendali Data Pribadi yang menerima transfer data pribadi memiliki tingkat perlindungan data pribadi yang setara atau yang lebih tinggi. Norma yang menjadi pegangan tersebut meliputi dasar pemrosesan data pribadi, prinsip pemrosesan data pribadi, hak Subjek Data Pribadi, dan kewajiban Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. n. Dalam penilaian tersebut, Pengendali Data Pribadi dapat memeriksa, misalnya, apakah negara tujuan transfer data pribadi mengakui adanya hak-hak Subjek Data Pribadi seperti yang diatur dalam UU PDP. Contoh lain, Pengendali Data Pribadi juga menilai, apakah negara tempat tujuan transfer data pribadi memiliki pengaturan mengenai prinsip pemrosesan data pribadi yang setara atau bahkan lebih tinggi yang diatur dalam UU PDP. Norma-norma tersebut merupakan pilar dalam UU PDP yang telah disepakati antara Pemerintah dan DPR, dan memiliki nilai instrumental dan praktikal yang dapat digunakan oleh Pengendali Data Pribadi. o. UU PDP telah memberikan kewenangan bagi lembaga PDP untuk merumuskan dan menetapkan kebijakan dan strategi yang menjadi panduan bagi Pengendali Data Pribadi dan Prosesor Data Pribadi. Panduan tersebut termasuk pelaksanaan prinsip pelindungan data pribadi, penerapan dasar pemrosesan (legal basis), pelaksanaan Hak Subjek Data Pribadi, dan pelaksanaan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi dalam kaitannya dengan transfer data pribadi keluar yurisdiksi Indonesia. Oleh karena itu, Pengendali Data Pribadi akan melaksanakan Pasal 56 ayat (2) UU 120 PDP tidak hanya berdasarkan norma yang diatur dalam UU PDP tetapi juga norma yang diatur dalam peraturan perundang- undangan pelaksanaannya termasuk panduan sebagaimana dimaksud dalam Pasal 59 huruf a UU PDP. p. Bahkan Pasal 60 huruf f UU PDP secara spesifik memberikan kewenangan kepada lembaga ini untuk "melakukan penilaian terhadap pemenuhan persyaratan transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia". Dengan perkataan lain, UU PDP telah meletakkan konsep checks and balances, yaitu Pengendali Data Pribadi melakukan peran dan tanggung jawabnya untuk memastikan kesetaraan perlindungan di negara tujuan transfer dengan UU PDP dan Lembaga PDP melakukan penilaian persyaratan transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia. Dengan demikian, kewenangan final, otoritatif, dan mengikat untuk menerbitkan daftar negara yang setara (adequacy list), memberikan panduan, dan melakukan penegakan hukum berada di tangan negara melalui Lembaga PDP. Pengendali Data Pribadi akan bertindak berdasarkan panduan dan daftar yang dikeluarkan oleh lembaga ini. Oleh karena itu, tidak ada pendelegasian kedaulatan, dan tidak ada ketidakpastian hukum. Negara tetap menjadi pusat kewenangan, dan Pengendali Data Pribadi adalah subjek yang diatur dan diawasi. q. Mengenai konstitusionalitas pembentukan Lembaga PDP melalui Peraturan Presiden, hal ini merupakan praktik yang lazim, sah, dan konstitusional dalam sistem pemerintahan presidensial yang dianut Indonesia. Pasal 5 ayat (2) UUD NRI 1945 memberikan kewenangan kepada Presiden untuk menetapkan Peraturan Pemerintah (dan dalam Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan beserta perubahannya serta secara doktriner, peraturan pelaksana lainnya seperti Peraturan Presiden) untuk menjalankan undang-undang sebagaimana mestinya. 121 r. Pembentukan lembaga teknis pelaksana undang-undang melalui peraturan di tingkat eksekutif adalah manifestasi dari kewenangan Presiden sebagai kepala pemerintahan. Meragukan legitimasi sebuah lembaga hanya karena ia dibentuk melalui Peraturan Presiden adalah sama dengan meragukan seluruh arsitektur administrasi pemerintahan di Indonesia. Lembaga PDP, meskipun dibentuk dengan Peraturan Presiden, akan tetap bertanggung jawab kepada Presiden dan kinerjanya tetap berada di bawah pengawasan DPR melalui mekanisme yang tersedia. Dengan demikian, dalil Pemohon mengenai pendelegasian wewenang yang inkonstitusional dan ketidakpastian hukum harus ditolak. s. Pemohon berulang kali merujuk pada putusan Pengadilan Kehakiman Uni Eropa (CJEU) dalam kasus C-311/18, yang dikenal sebagai Schrems II, sebagai argumen untuk menunjukkan risiko inheren transfer data ke negara seperti Amerika Serikat (karena adanya Undang-Undang surveilans seperti FISA Section 702) dan oleh karena itu, perlunya mekanisme persetujuan DPR yang sangat ketat. Pemerintah berpendapat bahwa penggunaan putusan ini oleh Pemohon tidak tepat sasaran. t. Putusan Schrems II sangat spesifik pada konteks hukum supranasional Uni Eropa yang unik. Dalam kasus tersebut, CJEU menguji legalitas sebuah tindakan yang dikeluarkan oleh Komisi Eropa (sebuah lembaga eksekutif supranasional) terhadap Piagam Hak Fundamental Uni Eropa (sebuah instrumen hukum dasar supranasional). Sistem hukum berlapis ini, di mana sebuah lembaga peradilan supranasional dapat membatalkan tindakan lembaga eksekutif supranasional, tidak memiliki padanan langsung dalam sistem ketatanegaraan Indonesia yang menganut konsep negara kesatuan dan sistem presidensial. Mencoba mentransplantasikan putusan tersebut secara mentah-mentah ke dalam sistem hukum Indonesia adalah sebuah lompatan logika yang tidak tepat secara yuridis. u. Pemohon keliru menafsirkan dampak dari putusan Schrems II. Putusan tersebut tidak melarang semua transfer data ke Amerika 122 Serikat. Hal yang dilakukan CJEU adalah menginvalidasi kerangka EU-US Privacy Shield karena dianggap tidak memberikan mekanisme pemulihan hukum yang efektif bagi warga Uni Eropa. Namun, putusan tersebut secara eksplisit membiarkan mekanisme, seperti Standard Contractual Clauses (SCCs), tetap berlaku, dengan syarat tambahan bahwa Pengendali Data harus melakukan penilaian kasus per kasus (case-by-case assessment) terhadap tingkat pelindungan di negara tujuan. Kewajiban untuk melakukan penilaian risiko inilah yang justru sejalan dengan prinsip akuntabilitas yang dianut oleh UU PDP. v. Isu mengenai akses pemerintah terhadap data untuk tujuan keamanan nasional dan intelijen bukanlah isu yang unik bagi Amerika Serikat. Semua negara berdaulat, termasuk Indonesia, memiliki kerangka hukum yang memungkinkan negara untuk mengakses data dalam kondisi tertentu demi menjaga keamanan nasional. Menjadikan keberadaan hukum semacam ini sebagai dasar untuk membatalkan seluruh mekanisme transfer data dalam UU PDP adalah sebuah tindakan yang tidak proporsional dan naif. w. Jika logika Pemohon diikuti, Indonesia akan menghadapi kesulitan besar dalam melakukan transfer keluar wilayah Indonesia yang akan berdampak negatif dalam mengembangkan perekonomian termasuk ekonomi digital Indonesia. Dengan perkataan lain usulan Pemohon tersebut merupakan bentuk pengisolasian negara dalam pengembangan ekonomi digital global. Secara hakiki, UU PDP mengakui bahwa pemrosesan data pribadi lintas batas negara dalam perdagangan internasional merupakan suatu keniscayaan dan tidak dapat terelakkan dalam banyak hal akan tetapi UU PDP juga sudah meletakkan dasar bahwa perlindungan data pribadi merupakan hak asasi, dengan perkataan lain UU PDP memberikan mekanisme dan pengaturan untuk menyeimbangkan dua kepentingan tersebut sehingga perdagangan internasional tetap dapat berjalan dengan efektif dan efisien tanpa mengabaikan perlindungan pemrosesan data pribadi sebagai hak asasi manusia. 123 Upaya untuk menjaga keseimbangan tersebut juga sejalan dengan pendekatan yang rasional dan diadopsi secara global yaitu bukan membatasi secara total pemrosesan data pribadi lintas batas negara melainkan dengan membangun manajemen risiko melalui kerangka hukum yang jelas, pengawasan yang ketat, dan kerja sama internasional antar otoritas pelindungan data semua elemen yang telah diatur dalam UU PDP. 2. Terhadap pokok permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (3) UU PDP inkonstitusional karena frasa "pelindungan Data Pribadi yang memadai, dan bersifat mengikat" masih bersifat bias, sehingga Pemohon mengusulkan agar Pasal a quo dimaknai secara bersyarat, dengan menambahkan frasa "dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar, Pemerintah memberikan keterangan sebagai berikut: a. Bahwa Pasal 56 ayat (3) UU PDP mengenai pelindungan memadai dan mengikat (Appropriate Safeguards), berfungsi sebagai mekanisme transfer data pribadi lintas batas negara (cross-border data transfer) yang kedua ketika mekanisme adequacy decision tidak dapat terpenuhi. b. Disini pelindungan data pribadi warga negara Indonesia tidak berkurang apalagi hilang tidak hilang karena terhadap mekanisme yang diatur Pasal 56 ayat (3) UU PDP harus tunduk pada Pasal 56 ayat (1) UU PDP yaitu transfer data pribadi keluar wilayah hukum Indonesia harus sesuai dengan ketentuan UU PDP, termasuk pemenuhan terhadap hak Subjek Data Pribadi dan prinsip Pelindungan Data Pribadi serta pelaksanaan kewajiban Pengendali Data Pribadi dan pemrosesan data pribadi berdasarkan dasar pemrosesan data pribadi yang diatur dalam UU PDP. Mekanisme transfer data pribadi yang diatur dalam Pasal 56 ayat (3) UU PDP merupakan mekanisme yang dapat ditegakkan (legally enforceable). c. Jadi sebenarnya usulan Pemohon agar “memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai 124 hak asasi yang mendasar” karena pada prinsipnya syarat itu sudah termasuk bagian dari unsur “memadai dan bersifat mengikat”, sudah terakomodir dalam Pasal 56 ayat (1) UU PDP yang harus dibaca secara holistik dengan ketentuan pemenuhan terhadap hak Subjek Data Pribadi dan prinsip Pelindungan Data Pribadi serta pelaksanaan kewajiban Pengendali Data Pribadi dan pemrosesan data pribadi berdasarkan dasar pemrosesan data pribadi yang diatur dalam UU PDP. d. Pasal 56 ayat (3) UU PDP juga sejalan dengan Article 46 GDPR yang mengatur mengenai altenatif apabila tidak dipenuhinya keputusan komisi Uni Eropa atas tingkat kesetaraan pelindungan data pribadi. Nantinya, pengaturan lebih lanjut atas hal tersebut akan diatur dalam Peraturan Pemerintah sebagaimana dinyatakan dalam Pasal 56 ayat (5) UU PDP. 3. Terhadap pokok permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (4) UU PDP memungkinkan transfer data pribadi dilakukan dengan mendapatkan "persetujuan Subjek Data Pribadi" jika ketentuan Pasal 56 ayat (2) dan ayat (3) UU PDP tidak terpenuhi, sehingga mengusulkan agar Pasal a quo dimaknai secara bersyarat Pengendali Data Pribadi wajib menginformasikan risiko transfer data kepada Subjek Data Pribadi (informed consent) sebagaimana praktik yang diatur dalam Pasal 49 ayat (1) EU GDPR, Pemerintah memberikan keterangan sebagai berikut: a. Bahwa Pasal 56 ayat (4) UU PDP mengenai persetujuan Subjek Data Pribadi, berfungsi sebagai mekanisme transfer data pribadi lintas batas negara (cross-border data transfer) yang ketiga ketika mekanisme adequacy decision dalam Pasal 56 ayat (2) UU PDP dan perlindungan yang memadai yang bersifat mengikat sebagaimana dalam Pasal 56 ayat (3) UU PDP tidak dapat terpenuhi. b. Prinsip “persetujuan” dalam konteks hukum pelindungan data, termasuk dalam UU PDP, secara universal ditafsirkan sebagai informed consent—persetujuan yang sah hanya dapat diberikan setelah individu menerima informasi yang jelas dan memadai 125 mengenai tujuan dan potensi risiko dari pemrosesan datanya. Dalil Pemohon yang menuntut penambahan frasa eksplisit mengenai “informasi risiko” sudah terpenuhi dalam prinsip pemrosesan data pribadi dalam Pasal 20 ayat (2) huruf a UU PDP yaitu persetujuan yang sah secara eksplisit dari data pribadi untuk satu atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi. c. Disini pelindungan data pribadi warga negara Indonesia tidak berkurang apalagi hilang tidak hilang karena terhadap mekanisme yang diatur Pasal 56 ayat (4) UU PDP harus tunduk pada Pasal 56 ayat (1) UU PDP yaitu transfer data pribadi keluar wilayah hukum Indonesia harus sesuai dengan ketentuan UU PDP, termasuk pemenuhan terhadap Hak Subjek Data Pribadi dan prinsip Pelindungan Data Pribadi serta pelaksanaan kewajiban Pengendali Data Pribadi dan pemrosesan data pribadi berdasarkan dasar pemrosesan data pribadi yang diatur dalam UU PDP. Mekanisme transfer data pribadi yang diatur dalam Pasal 56 ayat (4) UU PDP merupakan mekanisme yang dapat ditegakkan (legally enforceable). 4. Dalil Pemohon yang menyatakan Pasal 56 UU PDP gagal memberikan jaminan pelindungan yang memadai dan justru menciptakan ketidakpastian hukum, yang pada akhirnya menimbulkan "ancaman ketakutan" dan melanggar hak konstitusional atas pelindungan diri pribadi sebagaimana dijamin oleh Pasal 28G ayat (1) UUD NRI 1945 merupakan pandangan yang tidak hanya keliru, tetapi juga memutarbalikkan esensi dari Pasal 56 UU PDP. Pasal tersebut, alih-alih lemah, justru membangun sebuah arsitektur pelindungan yang berlapis dan adaptif. Mekanisme transfer data pribadi lintas batas negara sebagaimana Pasal 56 UU PDP dirancang secara hirarkis (tiered approach) tanpa mengurangi perlindungan terhadap subjek hukum Indonesia. Pendekatan ini telah dipraktikkan oleh banyak negara di dunia. 126 Ini adalah manifestasi dari pendekatan berbasis risiko (risk-based approach), sebuah prinsip tata kelola modern yang memastikan bahwa tingkat kontrol regulasi sepadan dengan tingkat potensi kerugian. 5. Dengan demikian, dalil Pemohon mengenai "ancaman ketakutan" menjadi tidak berdasar. UU PDP, dengan kerangka berlapis dalam Pasal 56 UU PDP, justru merupakan instrumen negara untuk memitigasi dan mengelola "ancaman ketakutan" tersebut. UU PDP memberikan dasar hukum yang kokoh bagi Subjek Data Pribadi untuk menuntut haknya, serta memberikan kewenangan yang jelas bagi negara untuk melakukan pengawasan dan penegakan hukum. Insiden-insiden kebocoran data yang dikutip oleh Pemohon justru menggarisbawahi urgensi dan relevansi UU PDP, karena sebagian besar terjadi dalam kondisi kekosongan hukum yang kini telah diisi oleh undang-undang tersebut. Berdasarkan hal-hal yang Pemerintah telah berikan tanggapan atas Permohonan, maka permohonan tidak beralasan menurut hukum untuk seluruhnya. IV. PETITUM Berdasarkan penjelasan dan argumentasi tersebut di atas, Pemerintah memohon kepada Yang Mulia Ketua/Majelis Hakim Konstitusi Republik Indonesia yang memeriksa, mengadili dan memutus permohonan pengujian (constitusional review) Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4), serta Pasal 65 ayat (2) dan Pasal 67 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Pemohon tidak mempunyai kedudukan hukum (legal standing); 2. Menolak permohonan pengujian Pemohon untuk seluruhnya atau setidak- tidaknya menyatakan permohonan pengujian Pemohon tidak dapat diterima (niet onvankelijk verklaard); 3. Menerima Keterangan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4), serta Pasal 65 ayat (2) dan Pasal 67 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan dengan 127 ketentuan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap mempunyai kekuatan hukum mengikat, Atau dalam hal Yang Mulia Majelis Hakim Konstitusi di Mahkamah Konstitusi berpendapat lain, mohon putusan yang bijaksana dan yang seadil-adilnya (ex aequo et bono). KETERANGAN TAMBAHAN PRESIDEN I. Pertanyaan dari Yang Mulia Hakim Konstitusi Dr. H. Arsul Sani, S.H., M.Si., Pr.M. 1. Dalam Putusan MK ini Nomor 13/2018 itu, Mahkamah memberikan pemaknaan terhadap Pasal 10 Undang-Undang Nomor 24 Tahun 2000 ya, tentang Perjanjian Internasional yang nanti silakan bisa dibaca sendiri. Nah, kalau kita baca juga dari Permohonan yang Nomor 137, ini kan meskipun Mahkamah tentu tidak mengadili kasus konkretnya, 1 ini kan terkait dengan concern Pemohon sebagai warga negara ya, atas adanya pengumuman ya, yang ada, pemerintah Amerika Serikat terkait dengan kesepakatan antara Amerika Serikat dengan Indonesia ya, untuk melakukan transfer data pribadi. Nah, kalau bisa ini, Kuasa Presiden, agak diulas, ditambahkan, apa sih, yang menjadi substansi ... walaupun sekali lagi Mahkamah tidak mengadili kasus konkretnya itu, ya. Tapi agar kami bisa mendapatkan gambaran di dalam menilai Permohonan Pemohon 137 itu dengan lebih baik. Kasus konkretnya itu seperti apa? Apakah … apa … selain dengan katakanlah Indonesia- Amerika Serikat, ada enggak, perjanjian atau kesepakatan dengan negara lainnya? Kira-kira substansinya, ya. 2. Yang kedua juga, barangkali perlu dijelaskan juga, kalau memang perjanjian itu kemudian sudah ditindaklanjuti Pasal 2 dari Undang Undang Nomor 24 Tahun 2000 itu ya, yang artinya kalau kita rujuk Pasal 11-nya memang memungkinkan adanya perjanjian yang tidak perlu ratifikasinya dengan undang-undang, tetapi dengan keputusan Presiden. Tapi di Pasal 2 itu menentukan bahwa menteri, dalam hal ini Menteri Luar Negeri, itu tetap perlu berkonsultasi dengan Dewan Perwakilan Rakyat. Nah, terkait dengan konteks itu kira-kira dalam … katakanlah kalau kita ambil kasus konkretnya ya, kesepakatan antara pemerintah Amerika Serikat dengan pemerintah Indonesia, kalau ini benar memang ada. Karena kan yang disebut oleh 128 Pemohon sendiri itu kan, basisnya adalah pengumuman pemerintah Amerika Serikat, ya. Secara detail saya tidak tahu persis ya, tapi yang saya ikuti kok sepertinya belum ya, tindak lanjut antara … apa … kesepakatan itu kalau memang ada kesepakatan itu. Nah, ini penting, Pak Dirjen, bagi Mahkamah, supaya kami bisa punya bayangannya, gitu ya. Apakah kemudian ya, artinya seperti yang Petitum Pak Dirjen sampaikan, kemudian pasal-pasal yang dimohonkan ini perlu dimaknai apa tidak sih, gitu lho? Itu kan paling enak kita melihatnya juga mempertimbangkannya dengan melihat kasus konkret, termasuk tentu substansi perjanjian yang ada diatur dalam kesepakatan itu. Terhadap pertanyaan Yang Mulia Hakim Konstitusi dimaksud, Pemerintah memberikan penjelasan sebagai berikut: 1. Terhadap pertanyaan poin Nomor 1 Yang Mulia Hakim Konstitusi Dr. H. Arsul Sani, S.H., M.Si., Pr.M. yang pada intinya mempertanyakan substansi kesepakatan antara Indonesia-Amerika Serikat, Pemerintah memberikan penjelasan sebagai berikut: a. Kekhwatiran Pemohon terkait pemrosesan data pribadi yang mengaitkan dengan kesepakatan antara Pemerintah Indonesia dengan Pemerintah Amerika Serikat tidak beralasan karena pada saat permohonan a quo diajukan, hingga pada saat Keterangan Tambahan Presiden ini diserahkan, negosiasi antara Indonesia dan Amerika Serikat terkait tarif ekspor-impor masih berlangsung. b. Pemerintah dapat menginformasikan saat ini belum ada perjanjian antara Pemerintah Indonesia dengan Pemerintah Amerika Serikat terkait transfer data pribadi. Saat ini negosiasi masih berlangsung, namun ada beberapa konsep dasar yang menjadi pedoman Pemerintah Indonesia. Pertama, pada dasarnya, perjanjian tersebut tidak boleh bertentangan dengan ketentuan peraturan perundang-undangan dan mengutamakan kepentingan nasional serta melindungi kepentingan Indonesia. Kedua, dalam negosiasi para pihak tentu saja mengharapkan kesepakatan yang saling menguntungkan, didasarkan pada itikad baik para pihak dan tanpa ada intervensi, serta telah melalui pertimbangan yang cermat dan menyeluruh. (vide HM.02.04/242/SET.M.EKON.3/07/2025 Koordinator Bidang Perekonomian 1). 129 c. Selain itu, Pemohon salah memahami konteks pernyataan Pemerintah Amerika Serikat (AS) dalam situs web www.whitehouse.gov dengan judul "Fact Sheet: The United States and Indonesia Reach Historic Trade Deal", khususnya berkenaan dengan transfer data pribadi lintas batas negara (cross-border transfer) antara Indonesia dan Amerika Serikat, yang dalam Bagian “Removing Barriers for Digital Trade” tertulis pernyataan sebagai berikut: “Indonesia will provide certainty regarding the ability to move personal data out of its territory to the United States as a country or the jurisdiction that provides adequate data protection under Indonesia’s law...” Dalam pernyataan Pemerintah Amerika Serikat di website www.whitehouse.gov tersebut, sama sekali tidak berbicara mengenai data pribadi masyarakat Indonesia yang menjadi komoditi yang dapat ditarik ke Amerika Serikat begitu saja, namun yang dibutuhkan oleh Pemerintah Amerika Serikat adalah lebih pada pemberian kepastian dari Pemerintah Indonesia atas adanya suatu mekanisme yang memungkinkan dilakukannya transfer data pribadi dari Indonesia ke Amerika Serikat sebagai sebuah negara atau yurisdiksi yang memberikan perlindungan data yang memadai (adequate) berdasarkan hukum Indonesia. Dalam hal ini, bertitik fokus pada pemenuhan persyaratan kesetaraan pelindungan dengan hukum Indonesia. d. Kebutuhan Amerika Serikat tersebut didasarkan pada pertimbangan bahwa Amerika Serikat memerlukan kepastian hukum terhadap Perusahaan Amerika Serikat yang mengelola data pribadi masyarakat dapat dikelola melalui cloud network global dan tentunya akan menghormati ketentuan yang diatur dalam sistem perundang-undangan Indonesia. Dengan 2https://www.whitehouse.gov/fact- sheets/2025/07/fact-sheet-the-united-states-and indonesia-reach- historic-trade-deal/, terakhir diakses 21 Oktober 2025 demikian, Perusahaan Amerika serikat dapat berbisnis di Indonesia dan memproses data pribadi Indonesia dengan tetap memenuhi hukum di Indonesia. e. Pernyataan tersebut harus diletakkan dalam konteks perkembangan hukum pelindungan data pribadi di Indonesia. Indonesia telah memiliki 130 UU PDP yang melindungi data pribadi masyarakat Indonesia baik di dalam maupun di luar yurisdiksi Indonesia. Pemerintah telah menyusun peraturan pemerintah amanat UU PDP yang telah selesai harmonisasi. Selain itu, Pemerintah juga sedang menyusun peraturan presiden yang mengatur lembaga yang akan melakukan pengawasan terhadap penyelenggaraan pelindungan data pribadi, termasuk pemenuhan syarat transfer lintas batas negara. Mengingat hingga saat ini peraturan pemerintah turunan UU PDP belum diundangkan, maka pernyataan Pemerintah Amerika Serikat di website www.whitehouse.gov tersebut dapat dimaknai dalam konteks Pemerintah Amerika Serikat membutuhkan adanya kepastian hukum bagi perusahaan Amerika Serikat mengenai mekanisme transfer data pribadi lintas batas negara. f. Transfer data lintas batas merupakan praktik normal dalam era digital. Selain dengan Amerika Serikat, Pemerintah Indonesia juga tengah menjajaki kesepakatan serupa dengan Uni Eropa, Jepang, Kanada, dan Korea Selatan sebagai mitra dagang utama yang memerlukan pengaturan kerangka cross-border data flow, sehingga sesungguhnya kebijakan yang akan didiskusikan dengan Pemerintah Amerika Serikat akan berlaku juga terhadap negara lain berdasarkan UU PDP. g. Pernyataan Pemerintah Amerika Serikat di website www.whitehouse.gov tersebut harus diletakkan dalam konteks perkembangan hukum pelindungan data pribadi di Indonesia. Indonesia telah memiliki UU PDP yang melindungi data pribadi masyarakat Indonesia baik di dalam maupun di luar yurisdiksi Indonesia. Pemerintah telah menyusun peraturan pemerintah amanat UU PDP yang baru selesai harmonisasi pada akhir September 2025. Selain itu, Pemerintah juga sedang menyusun peraturan presiden yang mengatur lembaga yang akan melakukan pengawasan terhadap penyelenggaraan pelindungan data pribadi, termasuk pemenuhan syarat transfer lintas batas negara. Mengingat hingga saat ini peraturan pemerintah turunan UU PDP belum diundangkan, maka pernyataan di website www.whitehouse.gov menunjukkan dalam konteks kebutuhan akan adanya kepastian hukum bagi perusahaan Amerika Serikat mengenai mekanisme transfer data pribadi lintas batas negara. 131 h. Pernyataan dari Pemerintah Amerika Serikat sebagaimana di website www.whitehouse.gov dalam hal ini bersifat non-binding framework yang dimaksudkan untuk memfasilitasi kerja sama ekonomi digital, khususnya dalam konteks investasi, layanan digital, dan pelindungan data pribadi. Hingga saat ini, belum terdapat binding treaty antara Indonesia dan Amerika Serikat terkait transfer data pribadi yang diumumkan oleh otoritas Pemerintah Amerika Serikat mengenai inisiatif kerja sama digital. Dengan demikian, berdasarkan uraian di atas tidak ada pengurangan kewenangan DPR dalam hal perjanjian internasional. Pasal 56 UU PDP tetap konsisten dengan Putusan MK No. 13/2018 karena membedakan antara tindakan administratif dalam adequacy decision dan perjanjian internasional formal. 2. Terhadap pertanyaan poin Nomor 2 Yang Mulia Hakim Konstitusi Konstitusi Dr. H. Arsul Sani, S.H., M.Si., Pr.M. yang pada intinya meminta penjelasan mengenai relevansi Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 dan pelaksanaan mekanisme konsultasi dengan DPR, Pemerintah memberikan penjelasan sebagai berikut: a. Dalam Putusan MK Nomor 13/PUU-XVI/2018, Mahkamah Konstitusi telah memberikan pertimbangan strategis sebagai berikut. Pertama, persetujuan DPR tidak dibutuhkan untuk setiap dan semua perjanjian internasional, in casu perjanjian yang bersifat teknis atau administratif. Kedua, Pemerintah Indonesia sebagai eksekutif membutuhkan fleksibilitas dalam menjalankan pemerintahan pada konteks hubungan antar negara, termasuk hubungan antar negara yang membutuhkan atau didasarkan pada perjanjian. Kebutuhan akan fleksibilitas tersebut tidak mengorbankan kepentingan nasional. Ketiga, hal atau keadaan bagaimana suatu materi perjanjian internasional menimbulkan akibat yang luas dan mendasar yang terkait beban keuangan negara dan/atau mengharuskan perubahan atau pembentukan undang-undang, harus dinilai secara kasuistis berdasarkan pertimbangan dan perkembangan kebutuhan hukum secara nasional maupun internasional. "Apakah terhadap setiap perjanjian internasional, baik perjanjian internasional antarnegara maupun perjanjian internasional lainnya yang melibatkan Indonesia sebagai negara pihak (state party), senantiasa membutuhkan persetujuan Dewan Perwakilan Rakyat 132 mempertimbangkan (DPR), bahwa ... Mahkamah keterlibatan parlemen ... dalam bentuk pemberian persetujuan dalam proses pembuatan perjanjian internasional pada umumnya tidaklah berlaku terhadap semua perjanjian internasional melainkan hanya terhadap perjanjian internasional yang dianggap penting saja. Sedangkan untuk perjanjian internasional lainnya, misalnya perjanjian- perjanjian yang bersifat teknik atau administrative ... persetujuan parlemen ... tidak dibutuhkan. Adapun perihal mana perjanjian internasional yang dianggap penting, ... di negara negara yang menganut konstitusi tertulis hal itu ditentukan dalam konstitusinya dan/atau dalam pengaturan lebih lanjut dalam hukum positifnya. (hal. 253-254) Selain itu Mahkamah menekankan "... eksekutif sebagai pemegang dan sekaligus penanggung jawab kekuasaan pemerintahan di negara-negara modern membutuhkan keleluasaan bergerak yang cukup yang dalam konteks pembuatan perjanjian internasional dengan keleluasaan bergerak yang cukup itu memungkinkan untuk melaksanakan pemerintahan secara efektif tanpa di satu pihak mengganggu atau menghambat negara yang diwakilinya dalam pergaulan internasional dan di pihak lain pada saat yang sama tanpa mengorbankan kedaulatan negara. (hal.255) Kemudian Mahkamah juga mempertimbangkan "perihal dalam hal apa atau dalam keadaan bagaimana suatu materi perjanjian internasional menimbulkan akibat yang luas dan mendasar yang terkait beban keuangan negara dan/atau mengharuskan perubahan atau pembentukan undang-undang, hal itu tidak dapat ditentukan secara limitative melainkan harus dinilai secara kasuistis berdasarkan pertimbangan dan perkembangan kebutuhan hukum secara nasional maupun internasional (hal.256) b. Dalam UU PDP, Pemerintah dan DPR telah memahami bahwa hak atas pelindungan data pribadi merupakan bagian dari hak konstitusional warga negara. Oleh karena itu, Pemerintah Indonesia dan DPR menyepakati bagaimana agar transfer data pribadi lintas batas negara tersebut dapat dilakukan dengan tetap melindungi hak konstitusional yang dimaksud dengan mengatur prinsip dasar bahwa pelindungan yang diberikan oleh pengendali atau prosesor data pribadi di luar wilayah hukum Indonesia setara atau lebih tinggi dengan pengaturan dalam negeri. c. Prinsip kesetaraan pelindungan ini diwujudkan dengan pengaturan kewajiban bagi pengendali data pribadi baik yang mentransfer dari Indonesia maupun pengendali data pribadi yang menerima transfer data pribadi untuk memenuhi hukum Indonesia. Itu sebabnya, dalam Pasal 160 Rancangan Peraturan Pemerintah tentang Peraturan Pelaksana Undang Undang Nomor 27 Tahun 2022 tentang Pelindungan Data 133 Pribadi yang telah selesai diharmonisasi di Kementerian Hukum (RPP PDP Hasil Harmonisasi) mengatur bahwa transfer data pribadi lintas batas negara harus sesuai dengan hukum Indonesia, in casu UU PDP beserta peraturan turunannya: Pasal 160 (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan Undang-Undang mengenai Pelindungan Data Pribadi. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1) Pengendali Data Pribadi yang melakukan transfer Data Pribadi dan yang menerima transfer Data Pribadi wajib melakukan Pelindungan Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan di bidang Pelindungan Data Pribadi. d. Dengan perkataan lain ketiga mekanisme atau jalur yang diatur secara berjenjang dalam Pasal 56 UU PDP untuk melakukan transfer data pribadi lintas batas negara harus didasarkan pada pemenuhan ketentuan pelindungan data pribadi yang diatur dalam peraturan perundang- undangan. e. Ketentuan teknis mengenai ketiga mekanisme tersebut telah diatur secara detail dalam RPP PDP Hasil Harmonisasi, Bab V tentang Transfer Data Pribadi ke Luar Wilayah Hukum Negara Republik Indonesia. Mekanisme yang dimaksud ialah: 1) mekanisme pemastian bahwa negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini (Mekanisme Kesetaraan – diatur lebih lanjut dalam Pasal 167 dan Pasal 168 RPP PDP Hasil Harmonisasi); 2) dalam hal mekanisme tersebut tidak dapat dipenuhi, mekanisme pemastian adanya Pelindungan Data Pribadi yang memadai dan bersifat mengikat (Mekanisme Perlindungan yang Memadai – diatur lebih lanjut dalam Pasal 169 s.d. Pasal 172 RPP PDP Hasil Harmonisasi); atau 3) dalam hal mekanisme tersebut tidak dapat dipenuhi, perolehan persetujuan subjek data pribadi (Mekanisme Persetujuan Subjek 134 Data Pribadi – diatur lebih lanjut dalam Pasal 173 dan Pasal 174 RPP PDP Hasil Harmonisasi). f. Mengingat Pengendali Data Pribadi adalah pihak yang memproses atau mengontrol pemrosesan data pribadi, UU PDP telah mengatur prinsip akuntabilitas yang harus dipenuhi oleh Pengendali. Dalam menentukan dan menerapkan ketiga mekanisme transfer data pribadi tersebut, Pasal 162 RPP PDP Hasil Harmonisasi mengatur keharusan Pengendali Data Pribadi untuk menilai dan mempertimbangkan beberapa aspek sebagai berikut: 1) dasar regulasi yang digunakan; 2) tujuan transfer dan pemrosesan Data Pribadi; 3) pihak yang terlibat dalam pemrosesan Data Pribadi; 4) lingkup sektor transfer Data Pribadi; 5) kategori Data Pribadi yang ditransfer; 6) pilihan mekanisme transfer Data Pribadi yang digunakan; 7) tempat penyimpanan Data Pribadi dan akses terhadap Data Pribadi; 8) format Data Pribadi yang akan ditransfer; 9) kemungkinan Data Pribadi dapat ditransfer lebih lanjut dari negara penerima ke negara lainnya; 10) tindakan penilaian terhadap risiko atau dampak terhadap hak-hak Subjek Data Pribadi akibat transfer Data Pribadi; 11) Data Pribadi yang ditransfer cukup, relevan, dan terbatas pada yang diperlukan untuk tujuan transfer Data Pribadi; dan 12) langkah prosedural dan evaluasi terhadap pelaksanaan transfer Data Pribadi. Selain itu, dalam menerapkan prinsip akuntabilitas pengendali sebagai pihak yang bertanggung jawab atas pemrosesan data pribadi, Pasal 163 RPP PDP Hasil Harmonisasi juga telah mengatur bahwa Pengendali Data Pribadi harus melakukan penilaian atas kebutuhan transfer Data Pribadi dan dampak transfer Data Pribadi terhadap hak Subjek Data Pribadi melalui penilaian atas risiko transfer Data Pribadi. Tidak hanya itu saja, Pengendali Data Pribadi juga harus menyampaikan informasi kepada subjek data pribadi mengenai transfer data pribadi (termasuk 135 instrument hukum dan mekanisme transfer) sebelum transfer data pribadi dilakukan (vide Pasal 164 RPP PDP Hasil Harmonisasi). g. Mekanisme Kesetaraan menekankan pada kedaulatan penuh pemerintah untuk menilai dan menentukan apakah hukum dan praktik pemrosesan data pribadi di satu negara telah sejalan, sesuai, atau memenuhi peraturan perundang undangan di bidang pelindungan data pribadi di Indonesia. Dalam mekanisme ini, persetujuan DPR tidak diperlukan mengingat penilaian yang dimaksud merupakan tindakan administratif eksekutif. Penilaian tersebut dilakukan oleh Lembaga (Pasal 167 RPP PDP Hasil Harmonisasi) dan dilakukan tidak hanya terhadap hukum negara tersebut tetapi juga praktik pemrosesan data pribadi yang dilakukan negara itu. Dalam melakukan penilaian, Lembaga telah memiliki pedoman yang diatur dalam Pasal 168 ayat (1) RPP PDP Hasil Harmonisasi untuk digunakan, yaitu: 1) tersedianya peraturan perundang-undangan yang secara khusus mengatur pelindungan data pribadi; 2) hadirnya Lembaga atau otoritas pengawas pelindungan data pribadi; dan 3) termanifestasinya komitmen internasional negara tersebut dalam pelindungan data pribadi dan partisipasi negara tersebut dalam lingkup multilateral dan regional dalam pelindungan data pribadi. Berdasarkan hasil penilaian tersebut, Lembaga menetapkan daftar negara yang memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi (Pasal 168 ayat (2) RPP PDP Hasil Harmonisasi). Sebagai bentuk akuntabilitas dan keterbukaan informasi publik, daftar negara yang ditetapkan tersebut akan dipublikasikan sehingga warga negara Indonesia dapat memiliki pegangan hukum bahwa negara ke mana data pribadinya akan ditransfer akan memberikan pelindungan yang paling tidak setara dengan pelindungan yang diberikan sistem hukum Indonesia. Bahkan Pasal 168 ayat (3) RPP PDP Hasil Harmonisasi mengatur dalam hal transfer data pribadi dilakukan ke negara yang termasuk ke dalam daftar tersebut, pengendali data pribadi tetap memiliki tanggung jawab 136 untuk memastikan pelaksanaannya sesuai dengan ketentuan peraturan perundang-undangan. h. Mekanisme Pelindungan yang memadai dapat digunakan dalam hal mekanisme kesetaraan tidak terpenuhi. Mekanisme ini menekankan pada tersedianya instrumen hukum yang dimiliki oleh Pengendali Data Pribadi yang berada di luar wilayah Indonesia untuk melindungi data pribadi warga negara Indonesia yang ditransfer kepadanya. Instrumen tersebut diatur dalam Pasal 169 RPP PDP Hasil Harmonisasi yang meliputi: 1) instrumen yang mengikat secara hukum dan dapat dipaksakan baik bagi instansi atau otoritas berdasarkan kewenangan sesuai dengan ketentuan peraturan perundang-undangan, termasuk pengaturan administratif antara otoritas yang antara lain berisi pengaturan mengenai pemenuhan prinsip Pelindungan Data Pribadi, hak Subjek Data Pribadi, dan kewajiban Pengendali Data Pribadi sesuai dengan ketentuan Undang-Undang mengenai Pelindungan Data Pribadi. Dalam hal ini, pengaturan administratif tersebut dapat berupa perjanjian yang sifatnya teknis dan administratif yang tidak membutuhkan persetujuan DPR; 2) standar klausul kontrak Pelindungan Data Pribadi yang ditetapkan oleh Lembaga dan tidak bisa diubah atau disimpangi oleh Pengendali Data Pribadi. Klausul kontrak tersebut dapat ditambah sepanjang tidak bertentangan dengan peraturan perundang-undangan di bidang pelindungan data pribadi (Pasal 170 RPP PDP Hasil Harmonisasi); 3) peraturan perusahaan yang mengikat untuk suatu grup perusahaan dan peraturan perusahaan tersebut harus sesuai dengan peraturan perundang-undangan di bidang pelindungan data pribadi di Indonesia. Peraturan perusahaan tersebut harus mendapatkan persetujuan dari Lembaga dan transfer dapat dilakukan setelah peraturan perusahaan tersebut disetujui (Pasal 171 RPP PDP Hasil Harmonisasi); dan/atau 4) instrumen Pelindungan Data Pribadi yang memadai dan mengikat lain yang diakui oleh Lembaga. 137 i. Mekanisme Persetujuan Subjek Data Pribadi dapat dilakukan apabila mekanisme kesetaraan dan mekanisme pelindungan yang memadai tidak terpenuhi. Mekanisme ini dapat digunakan hanya dalam hal: 1) transfer Data Pribadi tidak berulang; 2) transfer Data Pribadi melibatkan Subjek Data Pribadi dengan jumlah terbatas; 3) transfer Data Pribadi diperlukan untuk tujuan memenuhi ketentuan yang tidak mengesampingkan kepentingan atau hak dan kebebasan Subjek Data Pribadi; 4) Pengendali Data Pribadi telah menilai risiko dan menerapkan langkah Pelindungan Data Pribadi yang sesuai; dan 5) Pengendali Data Pribadi telah menginformasikan kepada Lembaga dan Subjek Data Pribadi tentang kegiatan transfer Data Pribadi dan kepentingan sah yang mendesak yang dipenuhi dengan transfer Data Pribadi tersebut. II. Pertanyaan dari Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H. 1. Terkait dengan adequacy decision, di sini memang tadi Pemerintah sudah menjelaskan kenapa dan itu pola dilakukan, ini bukan pola internasional gitu kan, ada contoh-contoh diberikan di beberapa negara. Tetapi pertanyaan saya, ini kan undang-undang ini, Undang Undang PDP ini ibarat janji negara terhadap warganya, kan gitu. Ibaratnya kalau kita mengatakan, “Hai, warga negara, saya menjanjikan kalau … apa namanya … terkait dengan perlindungan data pribadi ini, saya memastikan bahwa kalau itu pun ditransfer ke luar, luar negeri, itu saya janjikan pasti di sana itu memiliki tingkat perlindungan yang setara atau yang lebih tinggi.” Kan begitu. Ini kan ibarat janji. Tetapi, bagaimana warga masyarakat ini yang memiliki data pribadi ini bisa mengetahui bahwa itu yang di sana, di luar negeri itu, memiliki tingkat perlindungan data pribadi yang setara atau lebih tinggi? Nah, ini perlu penjelasan dari Pemerintah. Mekanismenya bagaimana? Nah, dalam bayangan saya, apakah Pemerintah bisa misalnya membuat daftar sekarang ini kan berdasarkan kajian … berdasarkan kajian dari pemerintah, ini lho, daftar-daftar negara yang memiliki tingkat perlindungan data pribadi yang setara, bahkan kalau ini misalnya lebih tinggi. 138 2. Di dalam undang-undang ini di … apa namanya …disebutkan … apa … bahwa … jadi, pengendali data pribadi wajib memastikan terdapat perlindungan data pribadi yang memadai. Nah, ini kan janji lagi, nih. Bahwa kami janjikan bahwa perlindungan data pribadi publik, warga negara itu pasti terlindungi secara memadai. Nah, ini kan kata memadai ini, tentu ini lagi administrative adjustment lagi yang Saudara ingin sampaikan sebagai Pemerintah, kan. Pastinya kan ini ya, tindakan administratif saja ini. Nah, tetapi jangan selesai pada memberikan janji bahwa itu memadai, tapi bagaimana supaya masyarakat, publik, bisa memahami bahwa, “Oh, ya, benar, ini memang … apa namanya … perlindungan yang diberikan itu adalah yang memadai.” Nah, sehingga keinginan Pemohon ini perlu ada yang namanya mekanisme remediasi, kan ini Pemohon mintanya begitu tuh, supaya kata tidak khawatir dengan hanya janji memadai itu, maka kalau terjadi kerugian maka diberikan mekanisme, ada mekanisme remediasi (pemulihan), kan gitu. Nah, pertanyaan saya dalam kaitan ini supaya publik bisa merasakan betul, sehingga dia tidak worry dengan janji bahwa ini akan diberikan perlindungan yang memadai, maka tentu Pemerintah juga akan memberikan ya, penjelasan, ini lho, kriterianya, ini lho, dia punya … apa namanya … syarat-syaratnya sehingga publik itu tidak khawatir dengan frasa yang menyatakan bahwa terdapat perlindungan data pribadi yang memadai itu. Terhadap pertanyaan Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H., Pemerintah memberikan penjelasan sebagai berikut: 1. Terhadap pertanyaan poin Nomor 1 Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H., yang pada intinya mempertanyakan bagaimana masyarakat dapat mengetahui dan meyakini janji negara bahwa negara tujuan transfer data memiliki tingkat pelindungan yang setara atau lebih tinggi, serta mengusulkan adanya daftar negara yang dipublikasikan, Pemerintah memberikan penjelasan sebagai berikut: a. Pemerintah memahami bahwa kepercayaan publik adalah bagian penting dalam membangun rezim pelindungan data pribadi. Oleh karena itu, komitmen negara untuk melindungi data warganya harus diwujudkan melalui penerapan mekanisme yang transparan dan akuntabel. Amanat untuk mewujudkan hal ini secara kelembagaan telah diatur dalam UU 139 PDP melalui pembentukan Lembaga Pelindungan Data Pribadi (Lembaga PDP). Lembaga inilah yang akan menjadi pengawas dalam memastikan akuntabilitas proses transfer data lintas batas. Penilaian tingkat pelindungan data pribadi yang setara atau lebih tinggi dilakukan oleh Lembaga (Pasal 167 RPP PDP Hasil Harmonisasi). b. Penilaian tersebut dilakukan terhadap ketentuan dan praktik pemrosesan dan pelindungan data pribadi, yang mencakup: 1) ketersediaan peraturan perundang-undangan yang mengatur pelindungan data pribadi, yang tentunya mencakup ketentuan yang diatur dalam UU PDP, antara lain: a) hak subjek data pribadi; b) kewajiban pengendali dan prosesor data pribadi; c) dasar pemrosesan (legal basis) data pribadi; dan d) prinsip pelindungan data pribadi. 2) kehadiran Lembaga PDP atau otoritas pengawas pelindungan data pribadi; dan 3) manifestasi komitmen internasional negara tersebut dalam pelindungan data pribadi dan partisipasi negara tersebut dalam lingkup multilateral dan regional terkait pelindungan data pribadi. (Pasal 168 ayat (1) UU PDP Hasil Harmonisasi). c. Berdasarkan hasil penilaian tersebut, Lembaga harus menetapkan daftar negara atau organisasi internasional yang memiliki tingkat pelindungan atas pribadi yang setara atau lebih tinggi. (Pasal 168 ayat (2) RPP PDP Hasil Harmonisasi). Tepat seperti penilaian Hakim Prof. Dr. M. Guntur Hamzah, S.H., M.H., penetapan ini dimaksudkan untuk dipublikasi agar diketahui masyarakat. Penetapan dan publikasi tersebut merupakan salah satu bagian dari pelaksanaan keterbukaan informasi publik, bahkan meskipun telah ada daftar negara yang dimaksud, pengendali data pribadi tetap memiliki tanggung jawab untuk memastikan pelaksanaan transfer data pribadi sesuai dengan ketentuan peraturan perundang undangan Indonesia. d. Lembaga PDP, yang saat ini peraturan pembentukannya sedang dalam proses, akan diberi mandat untuk merumuskan dan menerapkan metodologi penilaian kesetaraan yang formal, objektif, dan komprehensif. 140 2. Terhadap pertanyaan poin Nomor 2 Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H., yang pada intinya penjelasan mengenai makna frasa "pelindungan data pribadi yang memadai" dan bagaimana Pemerintah memastikan adanya mekanisme remediasi (pemulihan) yang efektif, Pemerintah memberikan penjelasan sebagai berikut: a. Frasa "perlindungan data pribadi yang memadai" dalam Pasal 56 ayat (3) UU PDP bukanlah sebuah standar yang ambigu atau dapat ditafsirkan secara bebas. Frasa ini merujuk pada instrumen pelindungan yang meskipun negara tujuan tidak memiliki adequacy decision formal, tetap mampu memberikan tingkat pelindungan yang secara substansial setara dengan yang atur oleh UU PDP. Instrumen tersebut dinilai memadai dalam hal ruang lingkup dari instrumen yang dimaksud mencakup pengaturan mengenai, antara lain: 1) dasar pemrosesan data pribadi (legal basis); 2) prinsip pemrosesan data pribadi; 3) hak subjek data pribadi; dan 4) kewajiban pengendali data pribadi. yang sejalan atau setara dengan UU PDP. Dengan perkataan lain, ketentuan dalam UU PDP merupakan standar penilaian memadai atau tidaknya instrumen yang digunakan oleh pengendali data pribadi ketika pengendali tersebut mentransfer ke luar Indonesia dan ketika pengendali yang berada di luar Indonesia menerima data tersebut. b. Pasal 169 RPP PDP Hasil Harmonisasi mengatur instrumen yang dimaksud sebagai berikut: 1) instrumen yang mengikat secara hukum dan dapat dipaksakan baik bagi instansi atau otoritas berdasarkan kewenangan sesuai dengan ketentuan peraturan perundang-undangan, termasuk pengaturan administratif antara otoritas yang antara lain berisi pengaturan mengenai pemenuhan prinsip Pelindungan Data Pribadi, hak Subjek Data Pribadi, dan kewajiban Pengendali Data Pribadi sesuai dengan ketentuan Undang-Undang tentang Pelindungan Data Pribadi; 2) standar klausul kontrak Pelindungan Data Pribadi yang ditetapkan oleh Lembaga PDP (Pasal 170 ayat (1) RPP PDP Hasil Harmonisasi). Dalam penerapan instrumen ini, Lembaga PDP akan menetapkan 141 klausul-klausul dari perjanjian yang sesuai dengan norma atau ruh UU PDP dan turunannya. Klausul yang telah ditetapkan tersebut akan menjadi templat bagi pengendali data pribadi dan prosesor data pribadi. Templat tersebut juga dapat diakses oleh publik agar masyarakat dapat mengetahui dan mendapatkan jaminan bahwa data pribadi mereka diproses atau ditransfer kepada pengendali di luar negeri didasarkan pada format atau templat yang sesuai dengan UU PDP; 3) peraturan perusahaan yang mengikat untuk suatu grup perusahaan yang dapat digunakan setelah mendapatkan persetujuan dari Lembaga PDP (Pasal 171 ayat (3) RPP PDP Hasil Harmonisasi). Dalam penerapan instrumen ini, perusahaan yang mentransfer data pribadi dari Indonesia kepada perusahaan yang berada di luar negeri merupakan satu grup sehingga apa yang berlaku di satu perusahaan juga berlaku di perusahaan lain, dan keduanya harus memenuhi ketentuan UU PDP; 4) instrumen Pelindungan Data Pribadi yang memadai dan mengikat lain yang diakui oleh Lembaga. c. Pemerintah menegaskan bahwa mekanisme remediasi atau pemulihan merupakan komponen yang tidak terpisahkan dalam memahami pelindungan data pribadi yang memadai. Pasal 12 UU PDP mengatur bahwa subjek data pribadi memiliki hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. Oleh karena itu, instrumen yang digunakan untuk mentransfer data pribadi ke luar Indonesia dinilai memadai yang salah satunya, menghargai dan mengatur hak subjek data pribadi untuk menggugat dan menerima ganti rugi sebagaimana diatur dalam Pasal 12 UU PDP. d. Oleh karena itu, dalil Pemohon yang meminta penambahan frasa "dan memiliki mekanisme remediasi yang efektif" pada dasarnya bersifat redundan, karena konsep tersebut sudah melekat secara inheren dalam standar "memadai". 142 III. Pertanyaan dari Yang Mulia Hakim Konstitusi Prof. Dr. Enny Nurbaningsih, S.H., M.Hum. Ini kan tadi Pemerintah telah menyampaikan Keterangannya bahwa ini ada kerangka yang memang disiapkan untuk berlapis, untuk bisa melakukan itu. Tolong bisa ditambahkan nanti dari Pemerintah, yang dimaksud berlapis-lapisnya itu lapisan seperti apa? Ini tahapannya itu seperti apa? Kemudian, untuk bisa kemudian dilakukan transfer data pribadi itu ke luar wilayah Republik Indonesia. Karena kalau saya tangkap di sini kan, ini me-refer-nya kepada Pasal 5, Pasal 15, Pasal 16, dan Pasal 20, begitu. Apakah cukup kemudian dengan ketentuan atau norma yang ada dalam empat pasal itu memberikan perlindungan kepada individu yang kemudian dilakukan transfer data pribadinya, supaya asas-asas yang memang melingkupi ketentuan Undang-Undang 27/2022 ini tetap dia sesuatu yang bisa diimplementasikan. Itu satu, ya. Itu mohon keterangan tambahannya. Kenapa? Karena di dalam ayat (2) dari Pasal 56 itu, itu kan memang ditentukan di situ bahwa wajib memastikan negara tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer tersebut memiliki tingkat perlindungan yang setara atau lebih tinggi. Itu juga standarnya seperti apa? Ukurannya seperti apa? Supaya kemudian data yang kemudian di transfer itu, kita yakin betul data ini dia masih sejalan dengan asas, salah satunya kerahasiaan yang harus dijaga di situ. Itu mohon nanti bisa dijelaskan. Di ayat (3) ... itu kan tadi ayat (2) yang saya sebutkan tadi. Dalam hal ketentuan di ayat (2) itu tidak terpenuhi, ini tidak terpenuhi itu, berarti kan ada sesuatu yang bermasalah di situ. Pengendali data pribadi wajib memastikan terdapat perlindungan data pribadi yang memadai dan bersifat mengikat. Kapan itu dilakukan? Apakah transfer datanya sudah terjadi, baru menyadari bahwa ada sesuatu yang tidak memadai? Karena ini ada rentetannya ke ayat (4) berikutnya. Di ayat (4) kemudian dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3)-nya juga tidak terpenuhi tadi ya, kemudian pengendali data pribadi wajib mendapatkan persetujuan subjek data pribadi. Lah, itu seperti apa mekanisme untuk melakukan itu? Kalau data sudah tertransfer itu kan, kita membayangkan agak sulit kemudian, baru dimintakan persetujuan. Lah, kapan itu persetujuan dilakukan? Supaya step-stepnya ini bisa kita rasakan, ada mekanisme yang bisa menunjukkan bahwa asas-asas yang melingkupi keseluruhan norma, yang di sini kalau saya baca itu, ini normanya memang dia 143 harus ada perlindungannya, kemudian pertanggungjawaban, kerahasian, serta kehatian-kehatian itu tetap terjaga. Itu mohon bisa dijelaskan, bagaimana langkah-langkah yang sebetulnya ... pengaman tadi yang berlapis-lapis. Terhadap pertanyaan Yang Mulia Hakim Konstitusi Prof. Dr. Enny Nurbaningsih, S.H., M.Hum. Pemerintah memberikan penjelasan sebagai berikut: 1. Penilaian kesetaraan bukanlah perbandingan abstrak, melainkan evaluasi konkret terhadap sistem hukum negara lain, baik aturan maupun praktik, dengan menggunakan UU PDP sebagai standar. Lembaga PDP akan melakukan penilaian komprehensif yang mencakup pilar-pilar fundamental, sebagai berikut: a. asas dan prinsip pemrosesan data pribadi (Pasal 3 dan Pasal 16 UU PDP), apakah sistem hukum negara tujuan secara efektif menerapkan prinsip- prinsip inti seperti pelindungan, kepastian hukum, kepentingan umum, kemanfaatan, keterbukaan/transparansi, kesepadanan, akurasi, dan kerahasiaan? b. hak-hak subjek data pribadi (Pasal 5 s.d. Pasal 15 UU PDP), apakah hukum di negara tujuan memberikan hak-hak yang dapat ditegakkan (enforceable rights) yang secara substansial setara dengan hak-hak yang dijamin UU PDP, seperti hak untuk mendapatkan informasi, hak untuk mengakses, hak untuk memperbaiki, hak untuk menghapus (right to erasure), dan hak untuk menolak pemrosesan? c. kewajiban pengendali dan prosesor data pribadi (Pasal 20 s.d. Pasal 54 UU PDP), apakah terdapat kewajiban yang jelas bagi entitas yang memproses data, termasuk kewajiban untuk memiliki dasar pemrosesan (legal basis), kewajiban keamanan data, kewajiban notifikasi pelanggaran data, dan prinsip akuntabilitas? d. keberadaan pengawasan independen dan akses terhadap keadilan, sebagaimana praktik internasional, penilaian juga akan mencakup apakah negara tujuan memiliki lembaga pengawas pelindungan data yang independen dan berwenang, serta apakah warga negara Indonesia memiliki akses yang efektif terhadap mekanisme penyelesaian sengketa dan upaya hukum (baik administratif maupun yudisial) jika hak-hak mereka dilanggar? 144 e. Mekanisme pertama (Pasal 56 ayat (2) UU PDP) merupakan penilaian kesetaraan (adequacy decision) yang menjadi mekanisme prioritas utama. Mengapa? Dalam hal satu negara sudah ditetapkan sebagai negara yang memiliki tingkat pelindungan data pribadi yang setara, maka transfer data pribadi lintas batas memiliki pelindungan sama seperti transfer data pribadi di dalam wilayah Indonesia. Dengan adanya penetapan satu negara memiliki pelindungan yang setara dengan Indonesia, transfer data menjadi lebih mudah dan efisien. Mekanisme kesetaraan sebelum melakukan transfer, Pengendali Data Pribadi wajib terlebih dahulu memeriksa apakah negara tujuan, teritori, atau sektor spesifik di negara tujuan tersebut tercantum dalam daftar resmi negara yang memiliki tingkat pelindungan data pribadi yang "setara atau lebih tinggi" dari UU PDP. Daftar ini, sebagaimana dijelaskan sebelumnya, akan diterbitkan dan dipelihara oleh Lembaga PDP. Jika negara tujuan ada dalam daftar tersebut, transfer data dapat dilakukan tanpa memerlukan instrumen pelindungan tambahan. Mekanisme ini dapat dianggap sebagai gold standard karena negara telah melakukan verifikasi terlebih dahulu. 2. Lapisan kedua (Pasal 56 ayat 3 UU PDP) merupakan pelindungan yang memadai dan mengikat (appropriate safeguards) yang dilalui hanya jika dan hanya apabila kondisi pada ayat (2) UU PDP tidak terpenuhi (yaitu, negara tujuan tidak ada dalam daftar adequacy). Dalam hal ini, Pengendali Data Pribadi harus beralih ke mekanisme kedua. Pada tahap ini, Pengendali Data Pribadi wajib memastikan adanya "pelindungan data pribadi yang memadai dan bersifat mengikat" sebelum data ditransfer. Ini bukan tindakan yang dilakukan setelah transfer terjadi, tetapi sebelum transfer dilakukan. Kewajiban ini dipenuhi dengan mengimplementasikan instrumen hukum yang mengikat secara kontraktual, seperti Standard Contractual Clauses (SCCs) atau Binding Corporate Rules (BCRs), yang secara efektif "mengekspor" standar pelindungan UU PDP kepada penerima data di luar negeri. 3. Lapisan ketiga (Pasal 56 ayat (4) UU PDP) merupakan persetujuan eksplisit subjek data (explicit consent) yang menjadi mekanisme terakhir dan bersifat pengecualian (derogasi). Mekanisme ini hanya dapat digunakan apabila kondisi pada ayat (2) dan ayat (3) UU PDP tidak dapat dipenuhi. Dalam situasi yang terbatas ini, Pengendali Data Pribadi wajib mendapatkan persetujuan 145 yang sah dan eksplisit dari Subjek Data Pribadi untuk transfer data yang spesifik tersebut. Penting untuk digarisbawahi, persetujuan ini harus bersifat informed consent, artinya Pengendali Data Pribadi wajib menginformasikan secara jelas kepada Subjek Data Pribadi mengenai risiko-risiko yang timbul akibat transfer data ke negara yang tidak memiliki pelindungan yang setara atau memadai. Permintaan persetujuan ini harus dilakukan sebelum transfer data dilaksanakan. IV. Pertanyaan dari Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H. 1. Ini kan ketika Pemerintah kita setuju untuk melakukan transfer data pribadi ke... apa ... ke Amerika Serikat, di tempat lain, Uni Eropa itu menolak atau membatalkan rencana itu, alasannya keset ... kesetaraan perlindungan data pribadi antara Uni Eropa dengan Amerika itu tidak satu level. Jadi, dikatakan belum ada Undang Undang Federal Amerika yang memberikan perlindungan data seperti perlindungan data pribadi di Uni Eropa. Nah, kalau memakai asumsi ini, apakah kesepakatan kita melakukan transfer data dengan Amerika Serikat itu menggunakan anggapan yang sama atau tidak? Apakah Indonesia menganggap bahwa perlindungan data pribadi di Amerika Serikat itu ... ini contoh kasus saja, supaya kami bisa memahami secara utuh norma ini, itu punya level kesetaraan perlindungan atau tidak? Nah, tolong kami di … diberi gambaran, karena ini akan berkelindan dengan norma norma yang dimohonkan pengujian. 2. Bagaimana kalau Pemerintah juga memberikan tambahan kepada kami, bagaimana dengan proses transfer data pribadi di tingkat nasional? Atau di dalam negerilah, begitu. Apakah sama dasarnya atau tidak? Karena begini kan, masing-masing kita pribadi ini pasti punya pengalaman, tiba-tiba handphone kita itu sudah menerima pemberitahuan jajak pendapat dari … apa namanya … BPS. Padahal saya misalnya enggak pernah mengasihkan nomor saya ke Badan Pusat Statistik itu. Nah, tolong ini diperbandingkan, apa yang membedakan di internal dengan … dengan negara luar itu? 3. Lalu data pribadi kita itu bocor di luar negeri, mekanisme apa yang bisa digunakan oleh pemilik data untuk mempersoalkan ini? Terhadap pertanyaan Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H., Pemerintah memberikan penjelasan sebagai berikut: 146 1. Terhadap pertanyaan poin Nomor 1 Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H., yang pada intinya membandingkan sikap Uni Eropa yang menolak kerangka transfer data Amerika Serikat dalam putusan Schrems II dengan langkah Indonesia yang tampaknya menyepakati kerangka serupa, serta mempertanyakan dasar penilaian Indonesia mengenai tingkat kesetaraan pelindungan di Amerika Serikat, Pemerintah Indonesia memberikan penjelasan sebagai berikut: a. Bahwa UU PDP telah mengatur mekanisme transfer data pribadi ke luar negeri sebagaimana tercantum dalam Pasal 56. Ketentuan dimaksud mengatur bahwa transfer data pribadi ke luar negeri hanya dapat dilakukan apabila: 1) negara tujuan memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dibandingkan dengan ketentuan dalam UU PDP; 2) dalam hal kriteria tersebut tidak terpenuhi, pengendali data wajib memastikan adanya pelindungan data pribadi yang memadai dan mengikat; atau 3) apabila kedua kondisi tersebut tidak dapat dipenuhi, maka pengendali data hanya dapat melakukan transfer data dengan memperoleh persetujuan eksplisit dari subjek data pribadi. b. Bahwa berbeda dengan Uni Eropa yang dalam perkara Schrems II menilai bahwa sistem hukum di Amerika Serikat belum menyediakan pelindungan yang “essentially equivalent” dengan prinsip-prinsip yang diatur dalam General Data Protection Regulation (GDPR), Pemerintah Indonesia menempatkan mekanisme penilaian kesetaraan pelindungan data dalam kerangka norma Pasal 56 UU PDP tersebut. Dengan demikian, setiap bentuk pengakuan atas negara lain sebagai mitra transfer data pribadi akan didasarkan pada penilaian objektif mengenai terpenuhinya prinsip- prinsip pelindungan data pribadi yang sepadan dengan standar Indonesia. c. Bahwa terhadap kerja sama antara Indonesia dan Amerika Serikat dalam konteks pengakuan tingkat kesetaraan pelindungan data, langkah Pemerintah didasarkan pada prinsip timbal balik dan kepastian hukum bagi kegiatan ekonomi digital lintas batas. Penilaian yang dilakukan oleh Pemerintah diarahkan untuk memastikan bahwa pihak penerima di Amerika Serikat telah menyediakan jaminan perlindungan yang memadai, 147 antara lain melalui penerapan pengamanan kontraktual (binding safeguards), penerapan hak subjek data, dan mekanisme pengaduan serta penyelesaian sengketa yang dapat diakses oleh warga negara Indonesia. d. Bahwa Pemerintah menyadari adanya perbedaan pendekatan antara Indonesia dan Uni Eropa, yang secara historis dipengaruhi oleh sistem hukum dan struktur kelembagaan yang berbeda. Adapun kebijakan Indonesia berorientasi pada keseimbangan antara pelindungan hak subjek data pribadi dan fasilitasi arus data lintas batas yang aman, dengan tetap menjunjung tinggi prinsip kedaulatan data dan pelindungan hak asasi manusia sebagaimana diatur dalam Pasal 28G UUD NRI 1945. e. Bahwa dalam waktu dekat, Pemerintah akan menetapkan peraturan pelaksana UU PDP yang secara lebih rinci mengatur metodologi penilaian kesetaraan pelindungan data, daftar yurisdiksi atau negara yang memenuhi kriteria “setara atau lebih tinggi”, serta tata cara penerapan instrumen pengamanan tambahan dalam transfer data lintas batas. 2. Terhadap pertanyaan poin Nomor 2 Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H., yang pada intinya meminta perbandingan antara aturan transfer data di dalam negeri dengan transfer data ke luar negeri, Pemerintah memberikan penjelasan sebagai berikut: a. Bahwa UU PDP membedakan pengaturan mengenai transfer data pribadi dalam wilayah Indonesia (Pasal 55) dengan transfer data ke luar wilayah Indonesia (Pasal 56). b. Bahwa transfer data pribadi di dalam negeri dapat dilakukan antar- pengendali atau antar-pemroses data pribadi sepanjang seluruh pihak tunduk pada ketentuan pelindungan data pribadi sebagaimana diatur dalam UU PDP, termasuk kewajiban keamanan data, akuntabilitas, dan pemenuhan hak subjek data. c. Bahwa transfer data ke luar negeri, sebaliknya, memerlukan pemenuhan syarat tambahan berupa adanya penilaian kesetaraan tingkat pelindungan, penerapan pengamanan yang mengikat, atau persetujuan eksplisit dari subjek data, sebagaimana diatur dalam Pasal 56 UU PDP. d. Bahwa dengan demikian, transfer data di dalam negeri bersifat lebih sederhana karena masih berada dalam yurisdiksi hukum nasional, 148 sedangkan transfer data ke luar negeri memerlukan penilaian lintas- yurisdiksi dan pengaturan yang lebih ketat untuk memastikan pelindungan hak subjek data pribadi tetap terjamin di negara tujuan. e. Bahwa Pemerintah melalui peraturan pelaksana UU PDP akan menetapkan lebih lanjut tata cara pelaporan, evaluasi, dan pengawasan terhadap kegiatan transfer data baik di dalam negeri maupun ke luar negeri, guna menjamin konsistensi pelindungan data pribadi di seluruh wilayah hukum Indonesia. 3. Terhadap pertanyaan poin Nomor 3 Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H., yang pada intinya mempertanyakan mekanisme hukum apa yang dapat digunakan oleh warga negara jika data pribadinya bocor di luar negeri setelah ditransfer secara sah, Pemerintah memberikan penjelasan sebagai berikut: a. Bahwa UU PDP telah memberikan seperangkat hak yang komprehensif bagi subjek data pribadi, antara lain hak atas akses, hak untuk memperbaiki, menghapus, membatasi, menarik persetujuan, dan memperoleh ganti rugi atas pelanggaran pelindungan data pribadi. b. Bahwa pengendali dan pemroses data pribadi tetap yang mentransfer data pribadi ke luar wilayah Indonesia tetap dapat dimintai pertanggungjawaban hukum terhadap pemrosesan data pribadi yang dilakukannya. c. Bahwa dalam hal terjadi kebocoran atau pelanggaran di negara tujuan transfer, subjek data pribadi tetap berhak mengajukan pengaduan kepada lembaga pengawas pelindungan data pribadi di Indonesia, yang selanjutnya dapat menindaklanjuti laporan tersebut melalui mekanisme dan tindakan pengawasan yang diatur dalam UU PDP dan peraturan pelaksanaannya, maupun melalui koordinasi antar negara sesuai dengan perjanjian kerja sama atau instrumen hukum lainnya yang relevan. d. Bahwa Pemerintah sedang menyiapkan mekanisme kerja sama internasional dengan otoritas pelindungan data pribadi di negara-negara mitra untuk memastikan efektivitas penegakan hukum lintas batas, termasuk dalam hal pemulihan hak dan pemberian ganti rugi bagi warga negara Indonesia yang dirugikan akibat pelanggaran di yurisdiksi asing. e. Bahwa dengan demikian, sekalipun data pribadi warga negara Indonesia telah ditransfer ke luar negeri secara sah, tanggung jawab pengendali data 149 pribadi tetap ada, dan pelindungan hukum terhadap subjek data beserta hak-hak nya pribadi tetap dijamin oleh UU PDP melalui mekanisme pengawasan, penyelesaian sengketa, dan pengenaan sanksi sebagaimana diatur dalam peraturan perundang-undangan. [2.5] Menimbang bahwa untuk mendukung keterangannya, Presiden telah mengajukan alat bukti surat/tulisan yang diberi tanda Bukti PK-1 dan Bukti PK-2, yang telah disahkan dalam persidangan pada tanggal 3 November 2025, sebagai berikut: 1. Bukti PK-1 : Print out Naskah Akademik Rancangan Undang-Undang Perlindungan Data Pribadi. 2. Bukti PK-2 : Kode Etik Jurnalistik, Kode Etik Filantropi Mediamassa, dan Kode Etik Dewan Pers. Selain itu, Presiden mengajukan seorang ahli yakni Yu Un Oppusunggu, S.H., LL.M., PhD., yang keterangan tertulisnya diterima Mahkamah pada tanggal 30 Oktober 2025 dan telah menyampaikan keterangan lisan dalam persidangan Mahkamah pada tanggal 3 November 2025, yang pada pokoknya sebagai berikut: I. Keterangan Ahli A. Keterangan Ahli tentang Rumusan Pasal 56 ayat (1) - (4) UU PDP 15. Penulisan frasa-frasa seperti “Data Pribadi”, “Subjek Data Pribadi” dengan huruf kapital merujuk kepada definisi yang diberikan oleh UU PDP. (i) Tafsir dan Penafsiran 16. Saya harus menyatakan dengan tegas di awal bahwa isu utama dalam permohonan pengujian undang-undang adalah tafsir atau penafsiran. 17. Tafsir atau penafsiran, dalam ilmu hukum, bersifat tertib-sekuensial demi terwujudnya kepastian hukum dalam negara hukum Indonesia. Dengan kata lain, penafsiran harus berurutan. Ketika tafsiran atas rumusan suatu pasal atau ayat sudah jelas, maka kita dapat memahami norma hukum tersebut dan penafsiran harus berhenti. 18. Secara keilmuan, penafsiran pertama adalah gramatikal. Penafsiran ini tunduk pada aturan tata bahasa, dan makna suatu kata sebagaimana terdefinisi dalam Kamus Besar Bahasa Indonesia. Pengecualian terhadap bagian yang terakhir terjadi jika suatu peraturan perundang-undangan memberikan definisi sendiri untuk kata atau frasa tertentu, seperti yang 150 dilakukan oleh Pasal 1 UU PDP. Penjelasan umum dan penjelasan pasal demi pasal dari peraturan perundang-undangan termasuk ke dalam penafsiran ini. 19. Penafsiran kedua adalah sistematis. Suatu pasal atau ayat harus dipahami sebagai bagian integral dari peraturan perundang-undangan tersebut. Mengingat peraturan perundang-undangan tersebut merupakan bagian dari hukum positif, maka penafsiran ini juga mengharuskan penafsiran suatu pasal atau ayat dalam konteks sistem hukum yang ada. 20. Sebagaimana akan jelas dalam pemaparan saya di bawah, saya berhenti menafsirkan Pasal 56 ayat (1) - (4) UU PDP, karena penafsiran gramatikal dan sistematis sudah memberikan pemahaman yang jelas. (ii) Pelindungan Bukan Perlindungan 21. Sebelum melanjutkan pemaparan, saya harus mendudukkan permasalahan secara objektif dan benar. 22. Nama UU PDP menggunakan “pelindungan”, bukan “perlindungan”. Pencarian pintasan papan kunci “Ctrl+F” menunjukkan “pelindungan” digunakan sebanyak 77 (tujuh puluh tujuh) kali, dan “perlindungan” 1 (satu) kali, yakni ketika merujuk kepada Pasal 28G ayat (1) UUD NRI Tahun 1945. 23. Meski sama-sama berasal dari kata dasar “lindung”, kedua kata tersebut berbeda secara konseptual. Berdasarkan Kamus Besar Bahasa Indonesia, “pelindungan” antara lain adalah 1. n “proses, cara, perbuatan melindungi”, dan “melindungi” dapat berarti 2. v “menjaga; merawat; memelihara” dan 3. v “menyelamatkan (memberi pertolongan dan sebagainya) supaya terhindar dari mara bahaya”. Sementara “perlindungan” adalah 1. n “tempat berlindung”, 2. n “hal (perbuatan dan sebagainya) memperlindungi”, dan “memperlindungi” berarti v “menjadikan atau menyebabkan berlindung”. 24. Perbedaan konseptual di antara keduanya saya gambarkan sebagai berikut: 151 25. Meski secara makna keduanya mempunyai kesamaan, namun “pelindungan” lebih luas, lengkap, dan komprehensif ketimbang “perlindungan”, yang sempit, terbatas dan spesifik. Oleh karena itu, “perlindungan” tidak selalu dapat menjadi sinonim “pelindungan”. 26. Kita dapat menerjemahkan “pelindungan” ke dalam bahasa Inggris sebagai “safeguard”, dan “perlindungan” sebagai “protection”. 27. Mengingat UU PDP menggunakan kata “pelindungan” dan Pasal 28G ayat (1) UUD NRI Tahun 1945 menggunakan kata “perlindungan”, maka secara konseptual UU PDP mengatur tentang kehadiran dan peran Negara Republik Indonesia dalam “melindungi segenap bangsa Indonesia” terkait dengan Data Pribadi secara lebih luas, lengkap dan komprehensif. 28. Oleh karena itu, saya harus menyatakan bahwa telah terjadi kesalahkaprahan ketika kata “perlindungan” digunakan dalam (i) memahami, (ii) mengajukan permohonan pengujian, dan/atau (iii) memberikan keterangan saksi dan ahli terkait dengan UU PDP. 29. Sebagai konsekuensi selanjutnya, penafsiran Pasal 56 ayat (1) - (4) UU PDP yang berdasarkan kesalahkaprahan, baik secara hukum positif, gramatikal, maupun akademis, tidaklah dapat dibenarkan dan oleh karena itu harus ditolak. (iii) Pasal 56 Ayat (1) - (4) UU PDP Tidak Bertentangan dengan UUD NRI Tahun 1945 Pelindungan Perlindungan 152 30. Selanjutnya saya cantumkan rumusan Pasal 56 UU PDP secara verbatim: (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang-Undang ini. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini. (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah. 31. Penjelasan untuk keseluruhan Pasal 56 adalah “cukup jelas”. (a) Pasal 56 ayat (1) UU PDP 32. Pasal 1 angka 4 UU PDP mendefinisikan Pengendali Data Pribadi sebagai “setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.” 33. Sementara Pasal 1 angka 5 UU PDP mendefinisikan Prosesor Data Pribadi sebagai “setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri- sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi.” 34. Pasal 1 angka 7 UU PDP mengatur bahwa Setiap Orang adalah “orang perseorangan atau korporasi.” 35. Sedangkan Pasal 1 angka 6 UU PDP dengan tegas menyatakan bahwa “orang perseorangan yang pada dirinya melekat Data Pribadi” adalah Subjek Data Pribadi. 153 36. Pasal 1 angka 8 UU PDP mendefinisikan Korporasi sebagai “kumpulan orang dan/atau kekayaan yang terorganisasi baik yang berbadan hukum maupun tidak berbadan hukum.” 37. Pasal 1 angka 9 UU PDP secara tegas mengatur bahwa Badan Publik adalah “lembaga eksekutif, legislatif, yudikatif, dan badan lain yang fungsi dan tugas pokoknya berkaitan dengan penyelenggaraan negara, yang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, atau organisasi nonpemerintah sepanjang sebagian atau seluruh dananya bersumber dari Anggaran Pendapatan dan Belanja Negara dan/atau Anggaran Pendapatan dan Belanja Daerah, sumbangan masyarakat, dan/atau luar negeri. 38. Sementara Pasal 1 angka 10 UU PDP mendefinisikan Organisasi Internasional sebagai organisasi yang diakui sebagai subjek hukum internasional dan mempunyai kapasitas untuk membuat perjanjian internasional. 39. Berdasarkan definisi-definisi di atas, maka Pengendali Data Pribadi maupun Prosesor Data Pribadi dapat terdiri dari (i) individu warga negara, atau penduduk Indonesia, yakni Subjek Data Pribadi (ii) perusahaan nasional atau asing, (iii) Pemerintah Republik Indonesia, (iv) pemerintah negara asing, atau (v) organisasi internasional. Identifikasi ini penting untuk memahami spektrum pengaturan Pasal 56 ayat (1) UU PDP. 40. Oleh karena Pasal 56 ayat (1) UU PDP menggunakan kata “dapat”, maka transfer Data Pribadi terjadi berdasarkan kebutuhan (i) Pengendali Data Pribadi, (ii) Prosesor Data Pribadi, dan/atau (iii) Subjek Data Pribadi, yang dapat dibedakan dari (i) dan (ii). Pasal 16 ayat (2) huruf b UU PDP menyebut pentransferan sebagai “sesuai dengan tujuannya” 41. Tujuan tersebut menjadi dasar pentransferan Data Pribadi, yang harus memperhatikan, a.l. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi, pemenuhan kewajiban hukum terhadap Subjek Data Pribadi, atau pelindungan kepentingan vital Subjek Data Pribadi. Demikian penjabaran yang diberikan oleh Pasal 20 ayat (2) UU PDP. 42. UU PDP, baik Pasal 55 yang mengatur tentang transfer Data Pribadi dalam wilayah hukum Negara Republik Indonesia, Pasal 56 maupun pasal lainnya, 154 tidak mengatur secara eksplisit tentang jenis atau alasan pentransferan Data Pribadi. 43. Namun Pasal 55 dan Pasal 56 UU PDP sama-sama mengatur bahwa baik pentransferan Data Pribadi dalam maupun di luar wilayah hukum Negara Indonesia sama-sama harus mengikuti ketentuan UU PDP. Dengan kata lain, UU PDP berlaku secara teritorial maupun ekstra-teritorial. 44. Keberlakuan UU PDP secara teritorial dan ekstra-teritorial dalam Pasal 56 ayat (1) ini merupakan pernyataan ulang norma hukum dari Pasal 2 UU PDP. 45. Sebagaimana rumusan, dengan penggunaan kata depan “di”, Pasal 56 ayat (1) UU PDP mengatur tentang pentransferan Data Pribadi yang terjadi dari luar wilayah hukum Negara Republik Indonesia ke luar wilayah hukum Negara Republik Indonesia, dan tapi secara prima facie tidak mengatur tentang pentransferan Data Pribadi dari dalam wilayah hukum Negara Republik Indonesia ke luar wilayah hukum Negara Republik Indonesia. 46. Dengan memperhatikan bahwa Bab VII UU PDP berjudul “Transfer Data Pribadi”, dan Bagian II-nya “Transfer Data Pribadi ke Luar Wilayah Hukum Negara Republik Indonesia”,1 saya harus menyimpulkan bahwa dalam proses perancangan Pasal 56 ayat (1) semata kesalahan ketik yang dapat diabaikan. 47. Berdasarkan pemaparan di atas, saya menarik kesimpulan bahwa norma hukum Pasal 56 ayat (1) UU PDP mengatur tentang transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia sebagai suatu pemrosesan yang berdasarkan kebutuhan (i) Pengendali Data Pribadi, (ii) Prosesor Data Pribadi, dan/atau (iii) Subjek Data Pribadi, yang terhadapnya tetap berlaku hukum positif Indonesia. (b) Pasal 56 ayat (2) UU PDP 48. Pasal 56 ayat (2) UU PDP mengelaborasi satu isu penting terkait pentransferan Data Pribadi dari dalam wilayah hukum Negera Republik Indonesia ke luar wilayah hukum Negara Republik Indonesia, yakni standar. Secara implisit Pasal 56 ayat (2) UU PDP mengatur 2 (dua) jenis standar – (i) normatif, dan (ii) teknologi. 49. Ayat ini hanya mensyaratkan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer memiliki 155 tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari Republik Indonesia. 50. Standar normatif yang dituntut adalah pelindungan Data Pribadi sebagaimana diatur oleh: (a) keseluruhan UU PDP, seperti hak Subjek Data Pribadi, dasar pemrosesan Data Pribadi, kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi, serta sanksi administratif; dan (b) hukum positif lain yang relevan, seperti (i) siapakah yang memenuhi kualifikasi pengurus, pemegang kendali, pemberi perintah, atau pemilik manfaat menurut Undang-Undang Cipta Kerja jo. Undang- Undang Perseroan Terbatas jika Pengendali Data Pribadi atau Prosesor Data Pribadi adalah Korporasi, (ii) keberlakuan hukum Indonesia terhadap Kontrak Elektronik internasional yang menggunakan klausula baku sebagaimana diatur dalam UU ITE, atau (iii) Kitab Undang-Undang Hukum Perdata terkait dengan perbuatan melawan hukum. 51. Standar teknologi nyata dalam pemrosesan Data Pribadi yang harus memperhatikan potensi risiko tinggi sebagaimana diatur oleh Pasal 34 UU PDP. Selain menyebutkan penggunaan “teknologi baru”, di Pasal 34 ayat (2) huruf f, UU PDP tidak mengatur secara spesifik jenis atau kecanggihan teknologi yang digunakan. Hal tersebut merupakan perumusan yang tepat, karena teknologi tidak homogen dan perkembangannya sangat pesat. Perumusan yang demikian membuat UU PDP fleksibel terhadap pemutakhiran teknologi di bidang data pribadi. 52. Pasal 56 ayat (2) UU PDP menggunakan asumsi bahwa standar normatif dan standar teknologi yang ada dalam wilayah hukum Negara Republik Indonesia adalah patut dan/atau cukup tapi akan terus berkembang, dan standar tersebut harus terpenuhi oleh Pengendali Data Pribadi di luar negeri yang menerima transfer Data Pribadi. 53. Standar normatif dan/atau standar teknologi “yang lebih tinggi dari yang diatur dalam” UU PDP menunjukkan perumusan yang visioner dan adaptif terhadap keanekaragaman pemilihan dan perkembangan teknologi di negara-negara lain. 156 54. Selanjutnya, timbul 2 (dua) pertanyaan: (a) Bagaimanakah cara memastikan terpenuhinya syarat “tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi” dari UU PDP di negara penerima transfer Data Pribadi? (b) Siapakah yang memastikan terpenuhinya syarat “tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi” dari UU PDP di negara penerima transfer Data Pribadi. 55. Jawaban atas pertanyaan (a) membutuhkan transparansi dari negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi. 56. Jawaban atas pertanyaan (b) adalah beragam – (i) Pemerintah Republik Indonesia, (ii) Pengendali Data Pribadi yang melakukan transfer Data Pribadi, (iii) Pengendali Data Pribadi yang menerima transfer Data Pribadi, dan/atau (iv) Prosesor Data Pribadi yang menerima transfer Data Pribadi. 57. Jika tidak terdapat transparansi dari negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi tidak transparan, pemeriksaan terhadap syarat yang ditentukan oleh Pasal 56 ayat (2) UU PDP dapat dilakukan oleh (i) Pengendali Data Pribadi yang melakukan transfer Data Pribadi, (ii) Pengendali Data Pribadi yang menerima transfer Data Pribadi, dan/atau (iii) Prosesor Data Pribadi yang menerima transfer Data Pribadi. Secara alamiah pemeriksaan terhadap pemenuhan syarat tersebut sudah, atau akan, terbentuk berdasarkan praktik terbaik (best practices) dalam industri terkait. 58. Jika ternyata syarat dari Pasal 56 ayat (2) UU PDP tidak terpenuhi, maka terdapat solusi alternatif yang diatur oleh Pasal 56 ayat (3) UU PDP. 59. Berdasarkan pemaparan di atas, saya menarik kesimpulan bahwa standar normatif dan standar teknologi Pelindungan Data Pribadi sebagaimana diatur oleh Pasal 56 ayat (2) UU PDP tidak berubah secara konseptual maupun praktik ketika terjadi transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia. (c) Pasal 56 ayat (3) UU PDP 60. Pasal 56 ayat 3 UU PDP merupakan solusi alternatif atau pengecualian yang bertanggung jawab terhadap kondisi atau fakta bahwa negara asing 157 tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia. 61. Jika tingkat Pelindungan Data Pribadi di negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia, maka “Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat”. 62. Kewajiban yang dibebankan oleh ayat ini harus dipahami secara objektif- proporsional, paling tidak berdasarkan 2 (dua) pertimbangan. Pertama, apakah yang menjadi kebutuhan pentransferan Data Pribadi. Kedua, apakah jenis Data Pribadi yang menjadi objek pentransferan Data Pribadi (Pasal 4 UU PDP jo. Pasal 35 huruf b UU PDP). 63. Jika secara objektif-proporsional transfer Data Pribadi ke negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia tidak merugikan Subjek Data Pribadi atau mengakibatkan penyalahgunaan Data Pribadi (a.l. Pasal 36 UU PDP), maka transfer Data Pribadi ke negara tersebut dapat terjadi. 64. Dalam pelaksanaannya, praktik terbaik (best practices) dari industri terkait akan menciptakan standar, mekanisme, dan/atau perilaku bisnis (business conducts) yang dianggap patut sebagai pelengkap dari standar normatif dan/atau standar teknologi berlaku. 65. Sebaliknya, jika secara objektif-proporsional transfer Data Pribadi ke negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia dapat merugikan Subjek Data Pribadi atau mengakibatkan penyalahgunaan Data Pribadi, maka transfer Data Pribadi ke negara tersebut tidak bisa terjadi. 66. Jika ternyata transfer Data Pribadi tersebut tetap terjadi, baik secara sengaja maupun tidak sengaja, Pengendali Data Pribadi tersebut terancam 158 sanksi administratif sebagaimana diatur dalam Pasal 57 ayat (2) dan ayat (3) UU PDP. 67. Berdasarkan pemaparan di atas, saya menarik kesimpulan bahwa Pasal 56 ayat (3) UU PDP mengatur tentang solusi alternatif objektif-proporsional, sehingga Pelindungan Data Pribadi tetap dapat maksimal. (d) Pasal 56 ayat (4) UU PDP 68. Pasal 56 ayat 4 UU PDP merupakan solusi alternatif lebih lanjut terhadap kondisi atau fakta bahwa secara objektif-proporsional tingkat Pelindungan Data Pribadi di negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai tingkat Pelindungan Data Pribadi tidak memadai dan tidak bersifat mengikat. 69. Kondisi atau fakta tingkat Pelindungan Data Pribadi yang tidak memadai dan tidak bersifat mengikat tersebut dapat dikesampingkan jika Pengendali Data Pribadi mendapatkan persetujuan Subjek Data Pribadi untuk transfer Data Pribadinya ke luar wilayah hukum Negara Republik Indonesia. 70. Persetujuan Subjek Data Pribadi menunjukkan bukan hanya menunjukkan pemenuhan hak Subjek Data Pribadi (Pasal 5 UU PDP), di satu sisi, dan pemenuhan kewajiban Pengendali Data Pribadi, (a.l. Pasal 20 UU PDP), tapi juga sifat Data Pribadi sebagai hak milik (Pasal 1 angka 1 UU PDP). 71. Oleh karena itu, kewajiban Pengendali Data Pribadi untuk mendapatkan persetujuan Subjek Data Pribadi merupakan pelindungan terhadap hak konstitusional Subjek Data Pribadi. 72. Transfer Data Pribadi tanpa persetujuan Subjek Data Pribadi merupakan perbuatan melawan hukum yang dapat menjadi dasar gugatan Subjek Data Pribadi terhadap Pengendali Data Pribadi atau pengenaan sanksi pidana oleh pengadilan. 73. Berdasarkan pemaparan di atas, saya menarik kesimpulan bahwa Pasal 56 ayat (4) UU PDP mengatur tentang solusi alternatif lebih lanjut, sehingga Pelindungan Data Pribadi tetap dapat maksimal. (e) Pasal 56 ayat (5) UU PDP 74. Pasal 56 ayat (5) UU PDP mengamanatkan peraturan pelaksanaan yang lebih detail dan teknis mengatur tentang transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia. 159 75. Sepanjang pengetahuan dan pengalaman saya dalam menyusun rancangan undang- undang, pengaturan hal-hal yang bersifat detail dan teknis dilakukan oleh peraturan pelaksana seperti peraturan pemerintah. Hal tersebut bukan hanya karena untuk menghindari undang-undang, yang membutuhkan persetujuan bersama Dewan Perwakilan Rakyat dan Presiden, menjadi terlalu panjang, tapi juga untuk menjaga keseuaian jenis, hierarki, dan materi muatan peraturan perundang-undangan (Pasal 5 UU Pembentukan Peraturan Perundang-undangan). (f) Kesimpulan 76. Berdasarkan pemaparan di atas, maka keseluruhan Pasal 56 UU PDP: (a) mengatur secara umum bahwa transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia tetap tunduk pada norma-norma hukum yang termuat di pelbagai pasal lain a.l. dengan menegaskan hak Subjek Data Pribadi, dan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi; dan (b) mengatur secara khusus bahwa transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia adalah: (i) berdasarkan kebutuhan Subjek Data Pribadi, dan (ii) pemrosesannya mengikuti standar normatif dan standar teknologi dengan: a. mempertimbangkan solusi alternatif objektif- proporsional demi Pelindungan Data Pribadi Subjek Data Pribadi, b. memberikan sifat fleksibilitas terhadap penggunaan dan perkembangan teknologi, di dalam negeri dan di luar negeri, dan c. memberikan ruang partisipasi aktif berdasarkan praktik terbaik (best practices) kepada industri terkait Pelindungan Data Pribadi. (g) Pasal 56 UU PDP Merupakan Aturan Hukum Memaksa 77. Dengan (i) kesimpulan tentang penafsiran ketentuan Pasal 56 ayat (1) - (5) UU PDP di atas, dan (ii) memperhatikan pertimbangan bahwa: 160 (a) “pelindungan data pribadi merupakan salah satu hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi” (huruf a Bagian Menimbang), dan (b) “pelindungan data pribadi ditujukan untuk menjamin hak warga negara atas pelindungan diri pribadi dan menumbuhkan kesadaran masyarakat serta menjadi pengakuan dan penghormatan atas pentingnya pelindungan data pribadi” (huruf b Bagian Menimbang), maka saya menyimpulkan bahwa secara isi, sifat dan/atau tujuannya Pasal 56 UU PDP adalah aturan hukum memaksa. 78. Dalam Rancangan Undang-Undang Hukum Perdata Internasional (2024), aturan hukum memaksa adalah “aturan Hukum Intern (baca: hukum nasional) yang karena isi, sifat, dan/atau tujuannya, tidak dapat dikesampingkan atau disimpangi melalui kesepakatan di antara para pihak dalam suatu hubungan hukum perdata.” 79. Ilmu hukum perdata internasional mengidentifikasi kebutuhan akan aturan hukum memaksa agar tujuan dari suatu peraturan perundang-undangan nasional tercapai. Oleh karena itu, jika para pihak melakukan pilihan hukum dan memilih hukum asing sebagai hukum yang berlaku atas kontrak mereka, pemilihan hukum tersebut tidak bisa mengesampingkan keberlakuan ketentuan hukum nasional para pihak yang berkualifikasi sebagai aturan hukum memaksa. 80. Dengan mengombinasikan (i) penafsiran atas ketentuan Pasal 56 UU PDP, dan (ii) ilmu hukum perdata internasional, saya menyimpulkan bahwa sebagaimana rumusan Pasal 56 UU PDP keberlakuan hukum Indonesia menunjukkan kehadiran Negara Republik Indonesia dalam menjamin hak warga negara Indonesia atas pelindungan diri pribadi berupa Pelindungan Data Pribadi. B. Keterangan Ahli tentang Kesesuaian Rumusan Pasal 56 ayat (1) - (4) UU PDP terhadap UUD NRI Tahun 1945 81. Penafsiran atas Pasal 56 UU PDP di atas saya gunakan dalam memeriksa kesesuaian terhadap UUD NRI Tahun 1945. 82. Ketentuan dalam Batang Tubuh UUD NRI Tahun 1945 merupakan penjabaran dari Pembukaan UUD NRI Tahun 1945, dalam kaitannya dengan Pelindungan Data Pribadi, yakni Alinea Keempat, khususnya “suatu 161 Pemerintah Negara Indonesia yang melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum”. 83. Oleh karena itu, pasal-pasal UUD NRI Tahun 1945 yang dirujuk oleh Pemohon, yakni Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2), dan Pasal 28G ayat (1), harus dipahami sesuai dengan konteks Alinea Keempat tersebut. (i) Pasal 56 ayat (1) - (4) UU PDP vis-à -vis Pasal 1 ayat (2) UUD NRI Tahun 1945 84. Pasal 1 ayat (2) UUD NRI Tahun 1945 berbunyi, “Kedaulatan berada di tangan rakyat dan dilaksanakan menurut Undang-Undang Dasar.”***) 85. Berdasarkan rumusan dan penafsiran terhadap Pasal 56 ayat (1) UU PDP di atas, saya tidak dapat menemukan isu yang relevan, dan karena itu saya berpendapat tidak ada pertentangan, dengan kedaulatan rakyat. (ii) Pasal 56 ayat (1) - (4) UU PDP vis-à -vis Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1645 86. Pasal 11 ayat (1) UUD NRI Tahun 1945 berbunyi, “Presiden dengan persetujuan Dewan Perwakilan Rakyat menyatakan perang, membuat perdamaian dan perjanjian dengan negara lain.” 87. Pasal 11 ayat (2) UUD NRI Tahun 1945 berbunyi, “Presiden dalam membuat perjanjian internasional lainnya yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang harus dengan persetujuan Dewan Perwakilan Rakyat.” 88. Berdasarkan rumusan dan penafsiran terhadap Pasal 56 ayat (1)-(4) UU PDP di atas, saya berpendapat bahwa UU Perjanjian Internasional merupakan undang-undang utama yang mengatur tentang perjanjian internasional, dan norma Pasal 62 ayat (1) dan ayat (2) UU PDP tentang Kerja Sama Internasional berlaku juga dalam penafsiran Pasal 56 ayat (1)- (4) UU PDP. 89. Selanjutnya, saya berpendapat bahwa rumusan Pasal 56 ayat (1) - (4) tidak bertentangan dengan Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1945. (iii) Pasal 56 ayat (1) - (4) UU PDP vis-à -vis Pasal 28G ayat (1) UUD NRI Tahun 1945. 162 90. Pasal 28G ayat (1) UUD NRI Tahun 1945 berbunyi, “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, dan martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” 91. Berdasarkan rumusan, penafsiran terhadap Pasal 56 ayat (1) - (4) UU PDP di atas, dan pemaparan saya lebih lanjut di bawah, saya berpendapat bahwa rumusan Pasal 56 ayat (1) - (4) UU PDP merupakan penjabaran yang konsekuen dengan hak konstitusional atau hak asasi yang dinyatakan oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. (iv) Kesimpulan 92. Rumusan Pasal 56 ayat (1) - (4) UU PDP adalah TIDAK BERTENTANGAN dengan Pasal 1 ayat (2), Pasal 11 ayat (1), Pasal 11 ayat (2), dan/atau Pasal 28G ayat (1) UUD NRI Tahun 1945. C. Keterangan Ahli tentang Petitum Pemohon (i) Tanggapan atas Usulan Pemaknaan dari Pemohon terhadap Pasal 56 ayat (1) UU PDP 93. Penafsiran terhadap Pasal 56 ayat (1) UU PDP sebagaimana saya paparkan di atas tetap adanya. 94. Terhadap Pasal 56 ayat (1) UU PDP, Pemohon memohon agar Mahkamah Konstitusi memberikan pemaknaan sebagai berikut: “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai dengan ketentuan yang diatur dalam Undang-Undang ini.” (Cetak tebal adalah usulan Pemohon.) 95. Usulan Pemohon mengubah dasar pemrosesan Data Pribadi dari yang diatur oleh Pasal 20 ayat (2) UU PDP, yakni (a) persetujuan yang sah secara eksplisit dari Subjek Data Pribadi, (b) pemenuhan kewajiban perjanjian, (c) pemenuhan kewajiban hukum dari Pengendali Data Pribadi, (d) pemenuhan pelindungan kepentingan vital Subjek Data Pribadi, (e) pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi, dan/atau (f) pemenuhan kepentingan sah lainnya dengan memperhatikan 163 keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi, menjadi juga berdasarkan perjanjian internasional. 96. Oleh karena Pemohon tidak menyinggung atau menganalisis transfer Data Pribadi dalam wilayah hukum Negara Republik Indonesia, maka kita dapat menyimpulkan bahwa Pemohon setuju dengan Pasal 55 UU PDP dan menurutnya tidak ada permasalahan konstitusional dalam rumusannya. Meskipun tidak dinyatakan secara eksplisit, kita harus menyimpulkan bahwa transfer Data Pribadi dalam wilayah hukum Negara Republik Indonesia harus dilakukan sesuai dengan ketentuan yang diatur dalam UU PDP. 97. Dengan demikian, sepanjang terkait dengan frasa “persetujuan Subjek Data Pribadi”, baik Pasal 55 ayat (1) dan Pasal 56 ayat (1) UU PDP, sama- sama merujuk kepada dasar permrosesan Data Pribadi yang diatur oleh Pasal 20 ayat (2) huruf a UU PDP, yakni “persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi”. Oleh karena itu, penambahan frasa “apabila telah mendapatkan persetujuan Subjek Data Pribadi” sesungguhnya tidak diperlukan, jika kita membaca dan memahami keberlakuan dan pelaksanaan UU PDP secara keseluruhan. 98. Selanjutnya penambahan frasa “berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” sesungguhnya juga tidak diperlukan, karena sudah termasuk dalam kategori dasar pemrosesan dari Pasal 20 ayat (2) huruf e UU PDP, yakni “pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang- undangan”. 99. Namun saya perlu menyatakan bahwa usulan pemaknaan dari Pemohon potensial menimbulkan kebingungan dalam pelaksanaan UU PDP, bahkan dapat mengubah pengaturan tentang pemrosesan Data Pribadi. Usulan pemaknaan dari Pemohon justru membuat Pasal 56 ayat (1) UU PDP berkonflik dengan Pasal 20 ayat (2) UU PDP. Sebagaimana adanya, pemrosesan Data Pribadi adalah dengan terpenuhinya 1 (satu) atau lebih dasar pemrosesan dari 6 (enam) dasar yang diatur oleh Pasal 20 ayat (2) 164 UU PDP. Usulan pemaknaan dari Pemohon menjadikan dasar permrosesan Data Pribadi menjadi tinggal 2 (dua), yakni (i) persetujuan Subjek Data Pribadi atau (ii) perjanjian internasional. Padahal salah satu dasar pemrosesan Data Pribadi adalah “pemenuhan pelindungan kepentingan vital Subjek Data Pribadi” (Pasal 20 ayat (2) huruf d UU PDP). 100. Penggunaan kata penghubung “atau” menegaskan perubahan pemrosesan Data Pribadi yang akan terjadi jika usulan pemaksanaan dari Pemohon dikabulkan oleh Mahkamah Konstitusi. Oleh karena “atau” memberikan kesetaraan antara pilihan yang menjadi dasar pemrosesan Data Pribadi, maka sesungguhnya “persetujuan Subjek Data Pribadi” tidak harus didapatkan atau dapat diabaikan jika “berdasarkan perjanjian internasional” Pengendali Data Pribadi dapat melakukan transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia. 101. Dengan kata lain, usulan pemaknaan dari Pemohon potensial menimbulkan konflik, jika bukan menegasikan, dengan pengaturan tentang hak-hak Subjek Data Pribadi (Pasal 5-15 UU PDP), karena Data Pribadi dapat tetap diproses jika terdapat perjanjian internasional. 102. Meskipun dalam usulannya Pemohon menyertakan sifat perjanjian internasional “yang disetujui Dewan Perwakilan Rakyat”, namun baik secara konsep demokrasi maupun praktik ketatanegaraan, persetujuan Dewan Perwakilan Rakyat tidak bisa dan tidak akan pernah bisa menunjukkan sikap setuju segenap bangsa Indonesia secara absolut. 103. Jika seorang Subjek Data Pribadi tidak setuju, dan karena itu menolak memberikan persetujuannya untuk transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia, maka penolakan Subjek Data Pribadi tersebut menjadi tidak berkekuatan hukum. Hal ini menjadi suatu ironi hukum, karena Data Pribadi adalah hak milik Subjek Data Pribadi. 104. Oleh karena usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (1) UU PDP selain sesungguhnya sudah diatur oleh pasal-pasal lain dari UU PDP, usulan pemaknaan tersebut justru mengurangi Pelindungan Data Pribadi terhadap segenap bangsa Indonesia, maka 165 saya berpendapat Mahkamah Konstitusi HARUS menolak usulan pemaknaan dari Pemohon karena memasung hak konstitusional warga negara Indonesia. 105. Berdasarkan pemaparan di atas, saya menyimpulkan bahwa mekanisme Pelindungan Data Pribadi yang diusulkan oleh Pemohon sesungguhnya sudah diatur oleh pasal-pasal lain dari UU PDP, tapi ironisnya usulan pemaknaan dari Pemohon justru akan mengurangi Pelindungan Data Pribadi terhadap segenap bangsa Indonesia. 106. Oleh karena itu saya berpendapat Mahkamah Konstitusi HARUS MENOLAK usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (1) UU PDP karena memasung hak konstitusional warga negara Indonesia. (ii) Tanggapan atas Usulan Pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP 107. Penafsiran terhadap Pasal 56 ayat (2) UU PDP sebagaimana saya paparkan di atas tetap adanya. Demikian juga dengan tanggapan saya atas usulan pemaknaan dari Pemohon untuk Pasal 56 ayat (1) UU PDP di atas. 108. Terhadap Pasal 56 ayat (2) UU PDP, Pemohon memohon agar Mahkamah Konstitusi memberikan pemaknaan sebagai berikut: “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.” (Cetak tebal adalah usulan Pemohon.) 109. Frasa “berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” adalah konsisten dengan usulan pemaknaan dari Pemohon untuk Pasal 56 ayat (1) UU PDP. “Perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” adalah perjanjian internasional yang pengesahannya dalam bentuk undang-undang, sesuai dengan Pasal 10 UU Perjanjian Internasional, sebagaimana harus ditafsirkan dengan Putusan Mahkamah Konstitusi No. 13/PUU-XVI/2018, karena a.l. berkenaan dengan: a. masalah politik, perdamaian, pertahanan, dan keamanan negara; 166 b. perubahan wilayah atau penetapan batas wilayah negara Republik Indonesia; c. kedaulatan atau hak berdaulat negara; d. hak asasi manusia dan lingkungan hidup; e. pembentukan kaidah hukum baru; atau f. pinjaman dan/atau hibah luar negeri. 110. Berdasarkan Putusan Mahkamah Konstitusi No.13/PUU-XVI/2018, “apakah suatu perjanjian internasional tergolong ke dalam perjanjian yang membutuhkan persetujuan DPR atau tidak baru dapat diketahui dalam mekanisme konsultasi dengan DPR” (hlm. 263). 111. UU Perjanjian Internasional mengatur tentang pembuatan, termasuk penetapan posisi Pemerintah Republik Indonesia dalam pedoman delegasi Republik Indonesia, pengesahan, pemberlakuan, penyimpanan, dan pengakhiran perjanjian internasional. 112. Yang harus diingat, dalam konteks Pasal 56 ayat (2) UU PDP, perjanjian internasional adalah kesepakatan antara Negara Republik Indonesia dan negara asing tentang tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi. Jika Negara Republik Indonesia menilai standar normatif dan/atau standar teknologi tingkat pelindungan data pribadi negara lain tidak setara atau lebih tinggi, maka tidak akan ada perjanjian internasional. Demikian juga sebaliknya. 113. Oleh karena itu, usulan pemaknaan dari Pemohon untuk Pasal 56 ayat (2) UU PDP tentang perjanjian internasional: i. membutuhkan proses dan waktu yang relatif panjang dan lama; dan/atau ii. potensial tidak dapat terwujud, jika Negara Republik Indonesia menilai negara asing tidak berpendapat standar normatif dan/atau standar teknologi Pelindungan Data Pribadi di Indonesia. 114. Selanjutnya, jika Mahkamah Konstitusi mengabulkan usulan pemaknaan dari Pemohon tentang Pasal 56 ayat (2) UU PDP, maka secara status quo: (a) jika Mahkamah Konstitusi juga mengabulkan usulan pemaknaan dari Pemohon terkait Pasal 56 ayat (1) PDP, maka transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia praktis hanya berdasarkan persetujuan Subjek Data Pribadi, atau 167 (b) jika ketentuan Pasal 56 ayat (1) PDP tetap adanya, transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia praktis mengabaikan praktik terbaik (best practices), dan menegasikan partisipasi masyarakat dalam Pelindungan Data Pribadi (Pasal 63 UU PDP). 115. Oleh karena usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP (i) membutuhkan proses dan waktu yang relatif panjang dan lama, dan (ii) tidak ada jaminan semua perjanjian internasional dengan negara- negara terkait dapat disepakati, maka usulan tersebut akan membuat UU PDP tidak dapat memberikan Pelindungan Data Pribadi yang sama dengan status quo, dan UU PDP menjadi tidak dapat dilaksanakan secara praktis. 116. Berdasarkan pemaparan di atas, saya menyimpulkan bahwa usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP justru mengurangi jaminan pelindungan terhadap hak-hak konstitusional warga negara Indonesia. 117. Oleh karena itu saya berpendapat Mahkamah Konstitusi HARUS MENOLAK usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP karena mengurangi jaminan terhadap hak konstitusional warga negara Indonesia. (iii) Tanggapan atas Usulan Pemaknaan dari Pemohon terhadap Pasal 56 ayat (3) UU PDP 118. Penafsiran terhadap Pasal 56 ayat (3) UU PDP sebagaimana saya paparkan di atas tetap adanya. 119. Terhadap Pasal 56 ayat (3) UU PDP, Pemohon memohon agar Mahkamah Konstitusi memberikan pemaknaan sebagai berikut: “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar.” (Cetak tebal adalah usulan Pemohon.) 120. “Mekanisme remediasi yang efektif” yang dimaksud oleh Pemohon tidak mungkin terbatas pada sanksi administratif dan ketentuan pidana yang diatur oleh UU PDP, melainkan mencakup juga aturan hukum acara dan hukum materiel dalam pelbagai peraturan perundang-undangan yang relevan. 168 121. Penyebutan secara eksplisit “yang efektif” menimbulkan pertanyaan, “Bagaimanakah mengukur efektivitas?” Jawaban atas pertanyaan ini tidak mungkin dijawab oleh UU PDP, tapi oleh peraturan perundang- undangan lainnya berdasarkan parameter objektif, dan persepsi subjektif dari Subjek Data Pribadi yang bersangkutan tentang remediasi dan keadilan. 122. Oleh karena itu, saya berpendapat usulan penambahan “yang efektif” potensial menimbulkan permasalahan penafsiran yang sesungguhnya dapat kita hindari, karena ranah pengaturannya tidak eksklusif oleh UU PDP. 123. Jika penyelesaian sengketa terjadi di pengadilan asing, dan putusan pengadilan asing tersebut harus dilaksanakan di Indonesia, maka berdasarkan hukum positif yang ada, putusan pengadilan asing yang bersifat condemnatoir tidak dapat dilaksanakan di Indonesia. Oleh karena itu, kita tidak dapat menyimpulkan bahwa akan tercapai remediasi yang efektif. 124. Frasa “dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar” sebenarnya tidak diperlukan, karena: (a) huruf a dan b Bagian Menimbang UU PDP sudah menyatakan bahwa pelindungan data pribadi adalah hak asasi manusia; (b) Pasal 1 angka 2 UU PDP mendefinisikan “Pelindungan Data Pribadi” sebagai keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjadi hak konstitusional subjek Data Pribadi”; dan (c) alinea ketiga Penjelasan Umum UU PDP secara eksplisit menyatakan bahwa UU PDP “merupakan amanat dari Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 yang menyatakan bahwa ‘Setiap orang berhak atas perlindungan diri, pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” 125. Berdasarkan pemaparan di atas, saya menyimpulkan bahwa jika kita membaca UU PDP secara keseluruhan dan sebagai bagian integral dari 169 hukum positif Indonesia, maka penambahan frasa “dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar” tidaklah diperlukan. 126. Selain itu, saya perlu menyatakan bahwa frasa “hak asasi yang mendasar” adalah contradictio in terminis, karena arti “asasi” adalah bersifat mendasar. Dengan menyatakan “hak asasi yang mendasar”, maka terdapat hak asasi yang tidak mendasar. Hal mana sulit untuk kita terima baik secara konseptual maupun gramatikal. (iv) Tanggapan atas Usulan Pemaknaan dari Pemohon terhadap Pasal 56 ayat (4) UU PDP 127. Penafsiran terhadap Pasal 56 ayat (4) UU PDP sebagaimana saya paparkan di atas tetap adanya. 128. Terhadap Pasal 56 ayat (4) UU PDP, Pemohon memohon agar Mahkamah Konstitusi memberikan pemaknaan sebagai berikut: “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.” (Cetak tebal adalah usulan Pemohon.) 129. Usulan penambahan frasa “setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan” tidak mengubah fungsi Pasal 56 ayat (4) UU PDP sebagai solusi alternatif lebih lanjut dari tidak terpenuhinya syarat yang diatur dalam Pasal 56 ayat (2) dan ayat (4) UU PDP. 130. Namun usulan penambahan “setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan “dapat menjadi tidak logis jika Pengendali Data Pribadi yang relevan untuk ayat ini adalah Subjek Data Pribadi sendiri (Pasal 1 angka 4 jo. Pasal 1 angka 6 UU PDP). (v) Kesimpulan 131. Berdasarkan pemaparan di atas, terhadap usulan pemaknaan dari Pemohon saya berpendapat dan menyarankan agar Mahkamah Konstitusi HARUS MENOLAK usulan pemaknaan Pasal 56 ayat (1) - (4) UU PDP oleh Pemohon. II. PENUTUP 132. Sebagai penutup, saya menegaskan bawah ketentuan Pasal 56 UU PDP, sebagaimana status quo, yang menyatakan keberlakuan hukum Indonesia 170 secara ekstrateritorial jika terjadi transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia menunjukkan kehadiran Negara Republik Indonesia dalam menjamin hak asasi atau hak konstitusional warga negara Indonesia atas Pelindungan Data Pribadi. Ahli Presiden Yu Un Oppusunggu, S.H., LL.M., PhD, juga menyampaikan keterangan tambahan atas pertanyaan dari Presiden, sebagai berikut: Pertanyaan dari Kuasa Presiden: Ahli, mohon penjelasannya lebih lanjut, ya, keterkaitan antara Permohonan Pemohon yang menginginkan dalam Petitumnya pemaknaan terhadap Pasal 56 dengan keterkaitannya dengan pasalpasal lain dalam Undang-Undang PDP. Apakah dengan adanya pemaknaan tersebut akan membuat kerancuan atau ketidakharmonisan antarpasal dalam Undang-Undang PDP tersebut, hubungannya dengan Pasal 20, Pasal 55, dan sebagainya? Pertanyaan dari Pemohon Rega Felix: Saya ingin bertanya terkait dengan di dalam hukum antartata hukum itu kan selalu ada dua sistem hukum atau lebih yang dijadikan … yang bertemu, ada titik tautnya. Nah, yang jadi pertanyaan, dalam transfer data itu kan pasti ada dua sistem hukum atau lebih yang bersatu. Tadi kan dinyatakan bahwa Pasal 56 ini penafsirannya sudah jelas. Tapi pemaknaan tentang kesetaraan, lalu perlindungan memadai, sebenarnya masih belum jelas apa maknanya. Pertama begini, ketika ada dua sistem hukum yang berbeda dan dia dipertautkan, instrumen apa yang menyatakan itu sebagai bertemu, sebagai setara, apakah dia tindakan administratif atau perjanjian internasional. Itu kan sifatnya sangat berbeda. Nah, terusnya di Petitum Pemohon itu kan ingin ada pembedaan, ada pembedaan sifat antara kesetaraan yang karena itu levelnya paripurna, maka berlaku pacta sunt servanda dengan perjanjian internasional. Tapi di bawah itu, dengan perlindungan memadai, yaitu tidak perlu perjanjian internasional. Nah, apakah konsep seperti itu diperbolehkan dalam hukum antar-tata hukum? Itu yang pertama. Yang kedua, terkait dengan substansi transfer data pribadi. Secara substansial kalau kita melihat kepada Undang-Undang Perjanjian Internasional itu kan di Pasal 10 kalau dia berkaitan dengan isu HAM, Pasal 10 Undang-Undang Perjanjian Internasional, ya. Berkaitan dengan HAM, kedaulatan dan hak berdaulat negara, lalu dengan pembentukan kaidah hukum baru, maka itu wajib dengan 171 undang-undang atau dengan persetujuan DPR. Nah, menurut Ahli apakah substansi transfer data pribadi tidak berkaitan dengan HAM? Tidak berkaitan dengan kedaulatan? Dan tidak berkaitan dengan pembentukan kaidah hukum baru? Sehingga saya mendapatkan keyakinan memang tidak memerlukan perjanjian internasional yang memerlukan persetujuan DPR. Jadi, ketika kita ada pembedaan, kesetaraan, dan perlindungan memadai, dan saya menafsirkan perlindungan yang memadai bisa tanpa perjanjian internasional. Tapi kalau sudah kesetaraan, dia harus perjanjian internasional karena ada pacta sunt servanda dan antara dua sistem hukum, dia jembatan. Itu kurang-lebih. Jawaban Ahli: Izinkan saya terlebih dahulu menjawab pertanyaan dari Kuasa Hukum Presiden. Bahwa Saudara Pemohon mengusulkan pemaknaan ayat (1), (2), (3), (4) dengan menambahkan sejumlah frasa yang saya tidak bacakan ulang karena sudah menjadi jelas bagi semua. Tapi, izinkan saya untuk menjawab satu per satu ayat yang diusulkan oleh Pemohon dan kenapa itu bisa menjadi permasalahan. Di ayat (1), Pemohon menganjurkan penambahan frasa di antara kata Indonesia dengan sesuai yang berbunyi, “Apabila telah mendapatkan persetujuan subjek data pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.” Izinkan saya untuk memecah frasa ini bagi kita agar menjadi jelas. Frasa yang diawali dengan kata apabila telah mendapatkan persetujuan subjek data pribadi sesungguhnya sudah diatur sebagai salah satu dasar pemrosesan data pribadi oleh Pasal 20 ayat (2) Undang-Undang Pelindungan Data Pribadi. Pasal tersebut memberikan enam dasar pemrosesan dengan yang pertama, persetujuan secara eksplisit dari subjek data pribadi. Oleh karena itu, frasa ini sebagaimana adanya bilamana ditambahkan sebetulnya terkesan memberikan penegasan terhadap apa yang sudah diatur oleh Pasal 20 ayat (2). Tetapi, hendaknya kita mengingat bahwa Pasal 55 yang mengatur tentang dasar … yang mengatur tentang transfer data di dalam wilayah hukum Republik Indonesia tidak mempunyai frasa tambahan. Artinya, di dalam Pasal 55 berlakulah keseluruhan Pasal 20 ayat (2) Undang-Undang PDP tentang dasar pemrosesan data pribadi. Oleh karena itu, bilamana di Pasal 56 ayat (1) ditambahkan frasa persetujuan subjek data pribadi, maka kita mempunyai potensi masalah antara rumusan Pasal 55 dengan Pasal 56 karena di Pasal 56 seolah-olah 5 dasar 172 pemrosesan lainnya yang diatur oleh Pasal 20 ayat (2), yakni huruf b sampai huruf f menjadi tidak relevan. Lalu, dengan menggunakan kata sambung atau, maka terdapatlah kesetaraan dasar pemrosesan untuk Pasal 56 ayat (1). Yakni transfer data pribadi bisa terjadi karena persetujuan subjek data pribadi dengan mengesampingkan lima dasar lainnya yang diatur oleh Pasal 20 ayat (2), atau berdasarkan perjanjian internasional. Bilamana suatu hari nanti terdapat perjanjian internasional yang mengikat Republik Indonesia dengan negara asing manapun dan kita maknai Pasal 56 ayat (1) sebagaimana diusulkan oleh Pemohon, maka transfer data pribadi bisa terjadi karena dua dasar. Satu, persetujuan subjek data pribadi atau perjanjian internasional. Karena kata sambung yang digunakan atau, maka bisa saja transfer data pribadi tanpa persetujuan subjek data pribadi bilamana sudah ada perjanjian internasional. Oleh karena itu sebagaimana diusulkan, maka hak subjek data pribadi menjadi terpasung. Sebab dengan adanya perjanjian internasional yang menjadi dasar untuk pemrosesan data pribadi, maka subjek data pribadi seolah-olah … ini dapat diperdebatkan, tidak bisa menarik persetujuannya sebagaimana dia mempunyai hak diatur dalam undang-undang ini. Oleh karena itu, saya berpendapat usulan untuk pemaknaan Pasal 56 ayat (1) menjadi bermasalah. Terhadap ayat (2), diusulkan untuk ditambahkan frasa antara kata tinggi dengan kata sesuai, yakni berdasarkan perjanjian internasional yang disetujui oleh Dewan Perwakilan Rakyat. Apa yang saya sampaikan untuk permasalahan di ayat (1) tetap relevan, yakni bahwa perjanjian internasional yang disetujui oleh Dewan Perwakilan Rakyat bentuknya adalah undang-undang, sebagaimana diatur oleh Undang-Undang Perjanjian Internasional. Tetapi dengan mensyaratkan adanya perjanjian internasional, maka bisa timbul permasalahan dalam praktik. Yakni jika tidak ada perjanjian internasional yang disetujui oleh Dewan Perwakilan Rakyat, maka pemrosesan data pribadi ke luar wilayah Indonesia menjadi dapat melanggar hukum. Dan oleh karena itu, maka hak konstitusional warga negara dapat dirugikan. Karena pemrosesan data pribadi sebagaimana diatur oleh Undang-Undang Data Pribadi adalah atas nama subjek data pribadi. Sehingga bilamana dipersyaratkan harus ada perjanjian internasional, maka hak konstitusional dari warga negara menjadi tidak terfasilitasi. Terhadap ayat ketiga, diusulkan untuk ditambahkan frasa dan memiliki mekanisme remediasi yang efektif dengan menempatkan data pribadi sebagai hak 173 asasi yang mendasar. Mekanisme remediasi diatur antara lain oleh undang-undang perlindungan data pribadi plus pelbagai peraturan perundang-undangan lainnya. Oleh karena itu, menambahkan frasa ini sendiri tidak terlalu menjadi satu hal yang dibutuhkan. Tetapi, saya memohon perhatian Majelis untuk kata efektif bahwa akan timbul masalah bagaimana mengukur efektivitas mekanisme remediasi, sebagaimana diatur oleh hukum positif Indonesia hari ini. Jika remediasi berbentuk penyelesaian sengketa di muka pengadilan di luar negeri, maka putusan pengadilan asing tersebut tidak dapat diakui dan dilaksanakan di wilayah Republik Indonesia. Oleh karena itu, penambahan kata efektif ini akan menimbulkan masalah. Terkait dengan ayat ke-(4), diusulkan untuk ditambahkan setelah kata pribadi, frasa yang berbunyi, “Yang diberikan secara sadar setelah memperoleh informasi yang lengkap mengenai risiko transfer data pribadi (informed consent).” Jika kita membaca Undang-Undang PDP secara keseluruhan, maka penambahan frasa ini sesungguhnya tidak dibutuhkan Oleh karena itu, saya berharap, jawaban saya sudah memberikan kejelasan terhadap pertanyaan dari Kuasa Hukum Pemerintah. Mohon dikoreksi kalau saya salah menangkap pertanyaan dari Pemohon. Yang ditanyakan adalah terkait dengan kesetaraan dan perlindungan yang memadai, yang belum jelas dari perspektif ilmu hukum antartata hukum. Instrumen apakah yang menentukan, apakah konsep yang ada sekarang diperbolehkan? Apakah saya boleh meminta konfirmasi yang saya tangkap benar atau tidak? Kesetaraan dan tingkat ... maaf, tingkat perlindungan yang setara atau lebih tinggi, itu harus kita pahami dari dua kacamata atau standar, Yang Mulia. Pertama, standar yuridis, yakni apa yang diatur oleh hukum positif Republik Indonesia dan negara asing tersebut. Dan kedua, standar teknologi. Apa yang dapat diperbuat oleh pembuat undang-undang adalah memberikan satu kesempatan bahwa teknologi itu bisa berkembang sambil berusaha untuk netral teknologi. Dalam pengertian, perbedaan teknologi tidak seharusnya menjadi penghambat secara yuridis. Oleh karena itu, penyusunan rumusan yang visioner dan adaptif menjadi diperlukan. Frasa tingkat yang setara atau lebih tinggi adalah yang terbaik, yang bisa dirumuskan untuk ini. Dikaitkan bahwa perlu adanya perjanjian internasional untuk adanya kesetaraan dan tingkat perlindungan yang sama. Saya meminta perhatian dari Majelis Hakim serta Pemohon bahwa hakikat dari perjanjian, termasuk perjanjian internasional adalah kesepakatan tentang objek. Dalam konteks ini, 174 kesepakatan tersebut adalah terkait dengan tingkat perlindungan data pribadi. Artinya, kalau negara Republik Indonesia tidak berpendapat pelindungan yang diberikan oleh negara asing setara, maka tidak akan ada perjanjian. Sebaliknya demikian, jika negara asing menganggap tingkat pelindungan di Republik Indonesia tidak setara atau lebih rendah, maka tidak akan ada perjanjian dengan Negara Republik Indonesia. Artinya, untuk ada perjanjian internasional dibutuhkan kesetaraan tingkat pelindungan. Bagaimanakah kondisi hari ini? Saya tidak bisa menjawab. Tetapi ketika kita mensyaratkan harus berdasarkan perjanjian internasional dan jika ternyata tidak bisa ada kesetaraan, maka perjanjian internasional itu sendiri tidak akan ada. Demikian jawaban saya, kecuali ada yang terlupakan di dalam jawaban tersebut. [2.6] Menimbang bahwa Pemohon dan Presiden menyampaikan Kesimpulan yang diterima Mahkamah masing-masing pada tanggal 10 November 2025 dan 11 November 2025, yang masing-masing pada pokoknya menyimpulkan sebagai berikut: Kesimpulan Pemohon Penjelasan Kembali Makna “Persetujuan Subjek Data Pribadi” 1. Bahwa Pemohon akan menguraikan perdebatan mengenai makna “persetujuan subjek data pribadi” karena masih banyaknya tafsir yang berkembang, sehingga Pemohon perlu memperjelas penafsirannya pada konteks permohonan Pemohon. Makna tersebut akan berguna dalam memahami maksud penambahan frasa “apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” dalam petitum Pemohon karena terdapat penafsiran bahwa penggunaan kata “atau” dimaknai sebagai justru mengurangi hak konstitusional subjek data pribadi; 2. Bahwa Pemohon tetap kepada kerangka teoritis Rega Felix yaitu membagi persetujuan menjadi general consent dan particular consent dengan prinsip “di dalam general consent mencakup particular consent” dan “keberadaan general consent tidak menegasikan keberadaan particular consent” untuk memahami makna “persetujuan subjek data pribadi” yang mencakup seluruh pelindungan subjek data pribadi meskipun menggunakan frasa disjungtif dalam klausa 175 kondisional melalui persetujuan subjek data pribadi atau perjanjian internasional yang disetujui Dewan Perwakilan Rakyat; 3. Bahwa kata “atau” dalam dunia preskriptif tidak serta – merta harus selalu dimaknai disjungsi eksklusif. Makna disjungsi inklusif berlaku dalam proposisi yang memuat maksud preskriptif, sebagai contoh: “pergilah ke kelas atau perpustakaan!”. Kalimat preskriptif tersebut tidak menjadikan apabila seseorang pergi ke kelas dan perpustakaan menjadi salah. Jika seseorang hanya pergi ke salah satu tempat juga tidak dapat dipersalahkan, namun jika keduanya dilaksanakan juga tidaklah salah. Kata “atau” dalam proposisi preskriptif bermasalah jika kedua proposisinya saling menegasikan, sebagai contoh adalah paradoks terkenal yaitu “mail or burn the letter!”; 4. Bahwa jika dikatakan akibat dari adanya transfer data pribadi berdasarkan perjanjian internasional menyebabkan tereduksinya hak konstitusional warga negara karena tidak adanya persetujuan subjek data pribadi, maka kita dapat uji secara kontekstual dengan fakta. Faktanya dalam konteks G2G, dimungkinkan adanya proses transfer data pribadi tanpa persetujuan eksplisit dari subjek data pribadi yang diatur dalam Pasal 20 ayat (2) huruf a UU PDP seperti dalam pelaksanaan prosedur APU-PPT. Asumsikan pemerintah suatu negara memberikan informasi data pribadi ke negara tertentu bahwa ada pendanaan yang diduga untuk membiayai kegiatan terorisme. Jika pemerintah tersebut harus terlebih dahulu menerima persetujuan eksplisit dari subjek data pribadi, maka pencegahan kegiatan pendanaan terorisme harus terlebih dahulu mendapatkan persetujuan dari teroris; 5. Bahwa dalam kegiatan penegakan hukum lintas negara juga telah menjadi hal yang umum diketahui adanya pertukaran / transfer data pribadi. Sebagai contoh: kegiatan ekstradisi memerlukan perjanjian internasional yang disetujui oleh DPR karena adanya prinsip double criminality (kesetaraan delik pidana). Jika dalam kegiatan proses penanganan penegakan hukum pidana harus selalu mendapatkan persetujuan eksplisit dari pelaku tindak pidana, maka tiada proses penegakan hukum pidana; 6. Bahwa apakah kegiatan transfer data pribadi tanpa persetujuan eksplisit subjek data pribadi merupakan bukan persetujuan subjek data pribadi? Perlu diketahui apa yang diatur dalam Pasal 20 ayat (2) UU PDP merupakan legal basis dalam melakukan pemrosesan data pribadi. Pasal 20 ayat (2) huruf a UU PDP yang 176 berupa persetujuan eksplisit dengan tujuan tertentu dari subjek data pribadi hanya salah satu bentuk dari makna persetujuan subjek data pribadi. Selain daripada Pasal 20 ayat (2) huruf a UU PDP yang dapat menjadi legal basis juga adalah persetujuan subjek data pribadi. Mengapa tanpa persetujuan eksplisit dapat dikategorikan sebagai persetujuan subjek data pribadi? Hal ini dikarenakan untuk melakukan proses ataupun mengurangi hak subjek data pribadi tanpa persetujuan eksplisit subjek data pribadi harus melalui undang – undang (vide Pasal 15 ayat (2) UU PDP). Dengan demikian, misalkan pihak ketiga memproses data pribadi dari pengendali data pribadi berdasarkan Pasal 20 ayat (2) huruf f UU PDP (legitimate interest), maka tanpa persetujuan eksplisit dari subjek data pribadi dianggap telah mendapatkan persetujuan subjek data pribadi karena subjek data pribadi tunduk pada konsensus kontrak sosial melalui undang-undang; 7. Bahwa dengan kondisi faktual tersebut, maka kita dapat memahami mengapa Rega Felix membagi persetujuan menjadi general consent dan particular consent. Namun, perlu dipahami juga, bahwa jika terdapat general consent maka menjadikan selalu particular consent tidak diperlukan adalah pernyataan yang salah. Pemohon telah menjelaskan prinsip “keberadaan general consent tidak menegasikan keberadaan particular consent.”, dengan demikian frasa “apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” bersifat inklusif dan tidak saling menegasikan; 8. Bahwa berdasarkan pengertian tersebut, maka makna “persetujuan subjek data pribadi” sesungguhnya mencakup terhadap makna berikut: 1)“persetujuan subjek data pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan”; 2) “persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi”; 3)“persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan termasuk mengenai informasi resiko atas transfer Data Pribadi oleh Pengendali Data Pribadi kepada Subjek Data Pribadi”; 4) “persetujuan subjek data pribadi kepada pengendali data pribadi untuk pemenuhan kewajiban hukum berdasarkan peraturan perundang – undangan yang berlaku.”, dan 5) dunia kemungkinan lainnya dalam UU PDP; 177 9. Bahwa berdasarkan argumentasi tersebut, maka penambahan frasa “apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat” dalam Pasal 56 ayat (1) UU PDP telah berbunyi dan lengkap dalam mencakup solusi atas seluruh kekhawatiran yang muncul. Dengan adanya prinsip “tiada transfer tanpa persetujuan umum” menjadikan makna Pasal 56 ayat (1) UU PDP juga mencakup proses transfer data pribadi berdasarkan mekanisme appropriate safeguards sebagaimana dimaksud Pasal 56 ayat (3) UU PDP maupun mekanisme derogation for specific purpose sebagaimana dimaksud Pasal 56 ayat (4) UU PDP baik melalui mekanisme informed consent, SCC, atau BCR. Penambahan frasa tersebut dalam Pasal 56 ayat (1) UU PDP sama sekali tidak mengurangi hak konstitusional warga negara dan mekanisme transfer data pribadi yang bersifat multi-layered. Penambahan frasa tersebut justru semakin menegaskan pelindungan terhadap hak konstitusional warga negara; Mekanisme Konstitusional Dalam Transfer Data Pribadi 10. Bahwa Presiden memberikan keterangan pada pokoknya keputusan kesetaraan antara Uni Eropa dengan Amerika bukan merupakan perjanjian internasional karena diputuskan oleh EU Commission sehingga menyatakan keputusan kesetaraan seharusnya cukup tindakan administrative eksekutif. Perlu diketahui bahwa EU Commission bukan merupakan lembaga eksekutif suatu negara melainkan bentukan dari perjanjian internasional yaitu Treaty on The Functioning of the European Union (TFEU) (Bukti P-23). Keputusan kesetaraan yang diputuskan EU Commission juga didasari kepada perjanjian internasional yaitu EU GDPR (Bukti P-10). EU GDPR juga tidak menjadikan syarat legislative measure sebagai syarat mutlak terhadap berlakunya EU GDPR, namun EU GDPR juga tidak menegasikan masing-masing negara jika memiliki mekanisme konstitusional tersendiri, sebagaimana dinyatakan: “Where this Regulation refers to a legal basis or a legislative measure, this does not necessarily require a legislative act adopted by a parliament, without prejudice to requirements pursuant to the constitutional order of the Member State concerned. However, such a legal basis or legislative measure should be clear and precise and its application should be foreseeable to person subject to it, in accordance with the case-law of the Court of Justice of the European Union (the ‘Court of Justice’) and the European Court of Human Rights.” (Bukti P-10) 178 11. Bahwa berdasarkan hal tersebut, lalu apa yang menjadi masalah jika Indonesia juga memiliki mekanisme konstitusional tersendiri? Konsep perjanjian internasional justru sejalan dengan perkembangan global terhadap isu transfer data pribadi yang mensyaratkan asas resiprokalitas (vide Keterangan Ahli Dr. Indra Rahmatullah, S.H.I., M.H.). Berdasarkan hal tersebut, akan menjadi sangat aneh jika Indonesia sebagai negara berkembang justru melawan arah dari perkembangan global yang semakin melindungi data pribadi; 12. Bahwa mengenai substansi transfer data pribadi apakah berkaitan dengan hak asasi manusia (HAM) telah dengan jelas dan tegas dinyatakan dalam Putusan Court of Justice Uni Eropa yang menyatakan permasalahan data pribadi merupakan fundamental rights (Bukti P-19). Dengan demikian, substansi pelindungan data pribadi adalah persoalan HAM yang mendasar. Indonesia juga tidak kehilangan dasar yuridis yang menegaskan bahwa pelindungan data pribadi merupakan pelindungan terhadap HAM sebagaimana dalan Putusan MK No.151/PUU-XXII/2024 yang menyatakan: “perlindungan data pribadi tidak dapat dilihat hanya sebagai isu dalam tataran teknis, namun juga mencakup pengaturan dalam ranah tertib hukum sebagai perwujudan perlindungan hak asasi manusia.” 13. Bahwa putusan CJEU maupun MK bukan berarti tanpa dasar karena berbagai penelitian akademis juga telah menegaskan bahwa persoalan data pribadi adalah persoalan fundamental rights. Hal ini sebagaimana dalam penelitian berjudul: “Digital Constitutionalism: A New Systematic Theorisation” karya Edoardo Celeste yang menyusun kerangkan teoritis tentang digital constitutionalism seperti berikut: 179 Dari konsep yang disampaikan Celeste, terlihat jelas bahwa makna digital constitutionalism adalah mencakup pelindungan fundamental rights dalam dunia digital. Selain itu, dalam buku “Data Sovereignty” (Bukti P-16) juga telah dengan tegas menyatakan bahwa pelindungan data pribadi merupakan fundamental rights bahkan ditingkatkan menjadi semacam kedaulatan yang harus dilindungi oleh negara; 14. Bahwa hampir seluruh dunia saat ini membicarakan persoalan data pribadi sebagai fundamental rights dan kaitannya dengan kedaulatan. Dunia juga sedang memikirkan bagaimana pengaturan terhadap transfer data pribadi dilakukan, sehingga tidak mungkin dapat dilepaskan dari adanya pembentukan kaidah hukum baru. Tidak ada alasan yang rasional dan masuk akal untuk menyangkal bahwa persoalan transfer data pribadi tidak ada kaitannya dengan HAM, kedaulatan, dan pembentukan kaidah hukum baru. Sebagai analogi persoalan ekstradisi juga memerlukan perjanjian internasional yang disetujui DPR yang didalamnya mencakup penilaian terhadap "kesetaraan" hukum pidana masing - masing negara (asas double criminality). Sedangkan, substansi transfer data pribadi juga berkaitan dengan aspek kesetaraan dan penegakan hukum. Bahkan, sampai adanya delik pidana yang melekat. Melihat kompleksitas substansinya, maka menempatkan transfer data pribadi sebagai isu "rendahan" sangat sulit dicerna oleh akal sehat kita; 15. Bahwa fakta kita menghadapi era digital merupakan notoire feiten. Kita tidak berada pada abad pertengahan yang belum memiliki foto sebagai wujud citra diri. Mudahnya foto kita tersebar ke seluruh dunia dalam waktu singkat adalah fakta yang tidak mungkin dibantah saat ini. Mempelajari kembali apakah isu transfer data pribadi berkaitan dengan HAM, kedaulatan, dan pembentukan kaidah hukum baru untuk menentukan apakah DPR perlu "turun tangan" untuk menilai hal tersebut adalah kemunduran cara berpikir kita ke 1.000 tahun ke belakang; 16. Bahwa Pemohon meminjam prinsip dari logika deontik yang menyatakan jika syarat dari suatu kewajiban bersyarat adalah benar secara universal, maka kewajiban tersebut terpecah menjadi kewajiban tanpa syarat. Berdasarkan prinsip tersebut, dengan kita mengetahui fakta saat ini, maka kewajiban untuk melaksanakan Pasal 10 UU Perjanjian Internasional adalah unconditional; 180 17. Bahwa dalil yang menyatakan Pasal 62 UU PDP dianggap sudah cukup adalah cukup menyesatkan. Hal ini dikarenakan melalui Pasal 58 dan Pasal 60 UU PDP permasalahan transfer data pribadi cukup dimaknai sebagai kewenangan Presiden. Pada akhirnya terdapat pilihan di antara dua jalur Pasal 10 UU Perjanjian Internasional atau Pasal 11 UU Perjanjian Internasional. Jika ternyata dipilih jalur Pasal 11 UU Perjanjian Internasional, maka tidak ada pilihan untuk menyalahkan. Hal ini terbukti dari RPP PDP yang tersedia tidak jelas konsep yang digunakan karena tidak ada panduan konstitusional sama sekali. Selain itu, bukti yang terang - benderang permasalahan dalam penafsiran Pasal 56 UU PDP adalah keterangan Presiden yang menyatakan keputusan kesetaraan cukup sebagai tindakan administratif eksekutif semata; 18. Bahwa padahal kita mengetahui dunia saat ini justru mengarahkan pada konsepsi perjanjian internasional dalam transfer data pribadi. Menyangkal sesuatu yang secara umum dan global sudah diketahui merupakan suatu kemunduran. Cara berpikir Presiden dengan menempatkan Presiden sebagai pusat kekuasaan dengan kewenangan penuh di tangan eksekutif (administratif) merupakan cara berpikir yang mundur ke belakang. Terlebih terbukti Presiden tidak mampu melindungi data pribadi yang dikuasai oleh negara yang ditempatkan di pusat data lokal yang dikuasai negara (Bukti P-22), maka belum ada bukti kelayakan keterangannya untuk dipercaya. Berdasarkan hal tersebut, lebih baik mencegah daripada memberikan kepercayaan kepada satu otoritas tunggal. Putusan MK ini bersifat antisipatif sebagai bentuk pencegahan terjadinya permasalahan konstitusional yang serius (prevention on constitutional harms); 19. Bahwa berkaca dari pendapat Celeste yang menempatkan peradilan konstitusi sebagai state-centric instrument, maka Putusan MK ini menjadi tonggak sejarah digital constitutionalism. Indonesia menjadi rujukan bagaimana negara global south menuntut resiprokalitas yang adil atas bangsanya. Putusan MK menancapkan tonggak martabat bangsa dalam perkembangan teknologi dunia. Sekarang waktunya kita menatap dunia dengan kepala yang tegak; Kesimpulan 20. Berdasarkan alasan hukum dan konstitusional sebagaimana dalam permohonan Pemohon dan seluruh jalannya persidangan serta kesimpulan ini, 181 maka sangat beralasan kuat untuk mengabulkan permohonan Pemohon untuk seluruhnya; KESIMPULAN PRESIDEN I. TENTANG KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON Bahwa Pemerintah tetap pada pendiriannya menyatakan Para Pemohon tidak memiliki kedudukan hukum (legal standing). Pemohon tidak memiliki kerugian konstitusional akibat keberlakuan norma-norma a quo yang dimohonkan dimaksud, dengan alasan sebagai berikut: B. Tanggapan terhadap Legal Standing Pemohon dengan uraian sebagai berikut: Menurut Pemerintah, Pemohon dalam hal ini tidak dalam posisi dirugikan, dikurangi, atau setidak-tidaknya dihalang-halangi hak konstitusionalnya dengan keberlakuan ketentuan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP karena justru UU PDP memberikan panduan tata kelola mengenai bagaimana data pribadi harus dilindungi. Pengajuan permohonan oleh Pemohon dalam perkara a quo terkait Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP bersifat prematur dan spekulatif. Dengan perkataan lain, Pemohon saat mengajukan permohonannya tidak memiliki legal standing untuk mengajukan permohonan 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP. Berdasarkan hal tersebut di atas, Pemerintah berpendapat, Pemohon tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU Mahkamah Konstitusi sebagaimana telah diubah dengan Undang- Undang Nomor 8 Tahun 2011, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007). Berdasarkan hal tersebut di atas, Pemerintah berpendapat tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU Mahkamah Konstitusi sebagaimana telah diubah dengan Undang- Undang Nomor 8 Tahun 2011, maupun berdasarkan putusan-putusan 182 Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007). Sehingga sudah sepatutnya jika Yang Mulia Ketua dan Majelis Hakim Konstitusi secara bijaksana menyatakan permohonan Pemohon tidak dapat diterima (niet ontvankelijk verklaard). II. KETERANGAN PEMERINTAH ATAS MATERI PERMOHONAN YANG DIMOHONKAN UNTUK DIUJI A. LATAR BELAKANG UU PDP 1. Salah satu pertimbangan filosofis konstitusional dalam penyusunan UU PDP didasarkan pada tanggung jawab Pemerintah Negara Indonesia dalam melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang berdasarkan kemerdekaan, perdamaian abadi dan keadilan sosial. (vide Bab I Pendahuluan Naskah Akademik RUU PDP, Bukti PK-1). 2. Dalam UUD NRI 1945 hak atas perlindungan data pribadi tidak diatur secara tegas dan spesifik. Oleh karena itu, dalam bagian menimbang huruf a dan Penjelasan Umum UU PDP ditegaskan bahwa pelindungan data pribadi merupakan bagian dari hak konstitusional yang lahir dari Pasal 28G ayat (1) UUD NRI 1945. 3. Kemudian, dalam Pasal 28I ayat (4) UUD NRI 1945 diatur dengan tegas bahwa pelindungan, pemajuan, penegakan, dan pemenuhan hak asasi manusia adalah tanggung jawab negara, terutama pemerintah. Oleh karena itu, penyusunan regulasi dan kebijakan dalam mengatur pemrosesan data pribadi dalam rangka memenuhi hak atas pelindungan data pribadi merupakan tanggung jawab Pemerintah. 4. Indonesia telah memiliki berbagai peraturan perundang-undangan terkait pemrosesan data pribadi yang tersebar di berbagai sektor. Namum regulasi sektoral tersebut belum mengatur secara tegas, antara lain, prinsip-prinsip apa yang wajib diterapkan oleh Pengendali Data Pribadi, dasar hukum (legal basis) dalam pemrosesan data pribadi, dan perlindungan data pribadi warga negara Indonesia yang 183 ditransfer ke luar yurisdiksi Indonesia, serta hak-hak Subjek Data Pribadi, sanksi-sanksi administratif dan pidana. B. MAKSUD DAN TUJUAN Berdasarkan latar belakang di atas, maksud dari pengundangan UU PDP adalah untuk membentuk satu sistem hukum pelindungan data pribadi yang komprehensif, yang meliputi substansi, struktur, dan kultur. Maksud untuk membangun sistem hukum yang komprehensif tersebut setidaknya terlihat dari: 1. Definisi Data Pribadi a. UU PDP mendefinisikan “Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non-elektronik.” (vide Pasal 1 angka 1 UU PDP); b. Dari definisi tersebut, UU PDP mengklasifikasikan data pribadi ke dalam dua kategori, yaitu: 1) data pribadi yang bersifat spesifik, (vide Pasal 4 ayat (2) UU PDP); 2) data pribadi yang bersifat umum, (vide Pasal 4 ayat (3) UU PDP). 2. Konsep pelindungan data pribadi Berdasarkan Pasal 1 angka 2 UU PDP, pelindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi. Dengan perkataan lain pelindungan data pribadi merupakan konsep yang holistik. Pelindungan data pribadi diterapkan dalam keseluruhan pemrosesan data pribadi. Dalam UU PDP diatur bahwa pemrosesan data pribadi meliputi pemerolehan dan pengumpulan, pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, penghapusan atau pemusnahan (vide Pasal 16 ayat (1) UU PDP). Tujuan UU PDP adalah untuk memberikan perlindungan, 184 memajukan, menegakkan, memenuhi, dan menjamin hak konstitusional warga negara Indonesia, khususnya hak atas perlindungan data pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI 1945, baik terhadap pemrosesan data pribadi yang dilakukan di dalam wilayah hukum Indonesia maupun di luar wilayah hukum Indonesia. Tujuan ini terlihat setidaknya dari ketentuan-ketentuan sebagai berikut: a. Hak subjek data pribadi (vide Pasal 5 s.d. Pasal 14 UU PDP); b. Kewajiban pengendali data pribadi dan prosesor data pribadi (vide Pasal 20 s.d. Pasal 54 UU PDP); c. Pengaturan prinsip pemrosesan data pribadi (vide Pasal 16 UU PDP); d. Kewajiban adanya dasar hukum untuk memproses data pribadi (vide Pasal 20 UU PDP). Berdasarkan Pasal 28J ayat (2) UUD NRI 1945, hak atas perlindungan data pribadi bukanlah hak absolut, tetapi hak yang dapat dibatasi untuk kepentingan atau tujuan yang sah yang diatur dalam undang-undang. UU PDP memungkinkan adanya pembatasan terhadap hak-hak subjek data pribadi dan pengecualian terhadap kewajiban pengendali atau prosesor data pribadi untuk kepentingan, antara lain pertahanan dan keamanan nasional, proses penegakan hukum, dan kepentingan umum dalam rangka penyelenggaraan negara. C. ARAH PENGATURAN Arah pengaturan dalam UU PDP ialah pembentukan satu sistem hukum pelindungan data pribadi yang komprehensif, Dalam membangun dan mengembangkan substansi, struktur, dan kultur pelindungan data pribadi yang komprehensif, UU PDP merupakan tonggak utama yang dipancangkan ke dalam sistem hukum Indonesia. Dari UU PDP akan lahir aturan-aturan pelaksanaannya, termasuk lembaga pelindungan data pribadi. UU PDP juga akan mendorong harmonisasi hukum dan Peraturan perundang-undangan sektoral, serta perubahan praktik pemrosesan data pribadi di Indonesia. D. DASAR PEMROSESAN DATA PRIBADI (LEGAL BASIS) 185 Dasar pemrosesan data pribadi (legal basis) adalah satu bagian pengaturan utama yang dibangun dalam UU PDP. Pengaturan dasar pemrosesan didasarkan pada rasionalisasi dan filosofi bahwa pelindungan data pribadi merupakan hak konstitusional setiap warga negara. Oleh karena itu, Pengendali Data Pribadi atau Prosesor Data Pribadi yang memproses data pribadi seseorang harus memiliki dasar hukum untuk memproses data tersebut. Legal basis merupakan wujud penerapan asas legalitas, akuntabilitas, dan transparansi dalam pemrosesan data pribadi. Dalam ketentuan Pasal 20 ayat (2) UU PDP telah mengatur enam legal basis dalam pemrosesan data pribadi. Keenam legal basis tersebut telah ada dan diakui dalam sistem hukum Indonesia dan sesuai dengan berbagai peraturan di negara-negara lain yang mengatur pemrosesan data pribadi, antara lain: 1) persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; 2) pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; 3) pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; 4) pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; 5) pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau 6) pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. F. KETERANGAN PEMERINTAH TERKAIT DENGAN POKOK PERMOHONAN PEMOHON PERKARA 137/PUU-XXIII/2025 Pasal yang Diuji Batu Uji Pemohon Pasal 56 UU PDP (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi Pasal 11 UUD NRI 1945 Presiden dengan persetujuan Dewan Perwakilan Rakyat menyatakan perang, 186 Pasal yang Diuji Batu Uji Pemohon dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini. (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (l), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki Tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini. (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat. (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah membuat perdamaian dan perjanjian dengan negara lain. Pasal 28C ayat (1) UUD NRI 1945 Setiap orang berhak mengembangkan diri melalui pemenuhan kebutuhan dasarnya, berhak mendapat pendidikan dan memperoleh manfaat dari ilmu pengetahuan dan teknologi, seni dan budaya, demi meningkatkan kualitas hidupnya dan demi kesejahteraan umat manusia. Pasal 28D ayat (1) UUD NRI 1945 Setiap orang berhak atas pengakuan, jaminan, perlindungan, dan kepastian hukum yang adil serta perlakuan yang sama di hadapan hukum. Pasal 28F UUD NRI 1945 Setiap orang berhak untuk berkomunikasi dan memperoleh informasi untuk mengembangkan pribadi dan lingkungan sosialnya, serta berhak untuk mencari, memperoleh, memiliki, menyimpan, mengolah, dan menyampaikan informasi dengan menggunakan segala jenis saluran yang tersedia. Pasal 28G ayat (1) UUD NRI 1945 Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang berada di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. 1. Terhadap pokok Permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (1) dan ayat (2) UU PDP dilihat dari konsep persetujuan Subjek Data Pribadi dan adequacy decision dikaitkan dengan konsep ”kedaulatan rakyat” adalah inkonstitusional karena tidak secara eksplisit mewajibkan persetujuan Dewan Perwakilan Rakyat (DPR) untuk perjanjian internasional terkait transfer data ke luar wilayah hukum Negara Republik Indonesia dan tidak bisa hanya didelegasikan kepada Lembaga Perlindungan Data Pribadi yang dibentuk berdasarkan Peraturan Presiden, Pemerintah memberikan keterangan sebagai berikut: a. Pasal 56 ayat (1) UU PDP memiliki rumusan yang jelas bahwa transfer data pribadi ke luar wilayah Indonesia baru dapat dilakukan Pengendali Data Pribadi apabila sesuai dengan ketentuan yang diatur dalam UU PDP, termasuk pemenuhan hak subjek, pemenuhan prinsip pemrosesan, pemenuhan dasar pemrosesan, 187 dan pemenuhan kewajiban pengendali atau prosesor data pribadi. Ketentuan-ketentuan tersebut sudah disepakati antara Pemerintah dan DPR. Melalui Pasal 56 UU PDP, Pemerintah dan DPR telah memberikan landasan hukum yang kuat bahwa data pribadi warga negara Indonesia tetap memperoleh perlindungan setara di luar negeri. b. Hal yang diminta Pemohon mengenai perlunya persetujuan dan perjanjian yang disahkan DPR dalam transfer data pribadi ke luar wilayah hukum Negara Republik Indonesia justru malah bersifat membatasi Pasal 56 ayat (1) UU PDP yang telah mengatur perlunya mematuhi seluruh ketentuan dalam UU PDP. c. Selain itu, berdasarkan pendapat Ahli Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang dihadirkan pada persidangan tanggal 3 November 2025, pada pokoknya menyatakan: i. usulan pemaknaan dari Pemohon potensial menimbulkan kebingungan dalam pelaksanaan UU PDP, bahkan dapat mengubah pengaturan tentang pemrosesan Data Pribadi. Usulan pemaknaan dari Pemohon justru membuat Pasal 56 ayat (1) UU PDP berkonflik dengan Pasal 20 ayat (2) UU PDP. Sebagaimana adanya, pemrosesan Data Pribadi adalah dengan terpenuhinya 1 (satu) atau lebih dasar pemrosesan dari 6 (enam) dasar yang diatur oleh Pasal 20 ayat (2) UU PDP; ii. Usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (1) UU PDP selain sesungguhnya sudah diatur oleh pasal-pasal lain dari UU PDP, usulan pemaknaan tersebut justru mengurangi Pelindungan Data Pribadi. d. Argumentasi Pemohon terkait mekanisme transfer data lintas batas, khususnya yang didasarkan pada penilaian kesetaraan tingkat pelindungan data pribadi (adequacy decision) merupakan suatu bentuk perjanjian internasional yang dikaitkan dengan Pasal 11 ayat (2) UUD NRI 1945 "menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara” serta menyangkut "kedaulatan negara" dan "hak asasi manusia" jelas merupakan 188 suatu kekeliruan dalam mengklasifikasikan sifat hukum dari sebuah adequacy decision. e. Penilaian kesetaraan bukanlah perjanjian internasional, melainkan tindakan administratif eksekutif untuk mengimplementasikan UU PDP. Esensinya adalah verifikasi oleh Lembaga Pelindungan Data Pribadi terhadap sistem hukum negara lain agar sesuai standar nasional. Ini bukan negosiasi norma baru, melainkan evaluasi kepatuhan pada UU PDP. f. Selain itu kekeliruan Pemohon juga menjadi semakin nyata apabila memperhatikan Undang-Undang Nomor 24 Tahun 2000 tentang Perjanjian Internasional (selanjutnya disebut “UU Perjanjian Internasional”). Penilaian kesetaraan pelindungan data pribadi, yang bertujuan memfasilitasi arus data untuk mendukung perdagangan digital dan kerja sama teknologi dengan tetap memberikan kesetaraan perlindungan terhadap data pribadi subjek hukum Indonesia ketika diproses ke atau di luar wilayah hukum Indonesia, secara jelas masuk ke dalam lingkup kewenangan eksekutif sebagaimana diatur dalam Pasal 11 UU Perjanjian Internasional. g. Argumentasi Pemerintah ini juga selaras dengan Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 di mana Mahkamah secara bijaksana menyatakan bahwa penentuan apakah suatu perjanjian "menimbulkan akibat yang luas dan mendasar" harus dinilai secara kasuistik dan tidak dapat ditentukan secara limitatif. Memaksakan agar setiap penilaian kesetaraan pelindungan data harus melalui proses legislasi di DPR, tanpa memandang konteks dan substansinya, justru akan menciptakan rigiditas birokrasi yang bertentangan dengan semangat putusan tersebut. h. Praktik internasional juga menunjukkan hal serupa, di Uni Eropa, adequacy decision merupakan keputusan administratif Komisi Eropa berdasarkan penilaian teknis terhadap standar perlindungan data negara lain, tanpa memerlukan persetujuan Parlemen maupun Dewan Uni Eropa. 189 i. Pemohon juga mengajukan dalil bahwa Pasal 56 ayat (2) UU PDP secara inkonstitusional mendelegasikan kewenangan negara untuk menilai sistem hukum negara lain kepada subjek hukum privat yaitu Pengendali Data Pribadi Pemerintah menegaskan bahwa seluruh rangkaian argumen ini dibangun di atas pemahaman yang keliru terhadap doktrin pendelegasian wewenang dan pembacaan yang tidak utuh terhadap UU PDP. j. Kewajiban "memastikan" bagi Pengendali Data Pribadi dalam Pasal 56 UU PDP bukanlah pendelegasian kedaulatan, melainkan perwujudan prinsip akuntabilitas (accountability principle) Pengendali sebagai pihak yang memproses data. Prinsip akuntabilitas ini merupakan pilar fundamental dalam setiap rezim perlindungan data modern. k. Bahkan Pasal 60 huruf f UU PDP memberi kewenangan kepada Lembaga PDP untuk menilai pemenuhan syarat transfer data pribadi ke luar negeri. Artinya, UU PDP telah menempatkan mekanisme checks and balances: Pengendali Data memastikan kesetaraan perlindungan di negara tujuan, sementara Lembaga PDP menilai dan menetapkan persyaratan transfer. Dengan demikian, kewenangan utama untuk menetapkan adequacy list, memberi panduan, dan menegakkan hukum tetap berada pada negara melalui Lembaga PDP. Pengendali bertindak berdasarkan panduan tersebut, sehingga tidak ada pendelegasian kedaulatan maupun ketidakpastian hukum. l. Mengenai konstitusionalitas pembentukan Lembaga PDP melalui Peraturan Presiden, hal ini merupakan praktik yang lazim, sah, dan konstitusional dalam sistem pemerintahan presidensial yang dianut Indonesia. Pasal 5 ayat (2) UUD NRI 1945 memberikan kewenangan kepada Presiden untuk menetapkan Peraturan Pemerintah (dan dalam Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan beserta perubahannya serta secara doktrin, peraturan pelaksana lainnya seperti Peraturan Presiden) Dengan demikian, dalil Pemohon 190 mengenai pendelegasian wewenang yang inkonstitusional dan ketidakpastian hukum harus ditolak. m. Berdasarkan pendapat Ahli Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang dihadirkan pada persidangan tanggal 3 November 2025, pada pokoknya menyatakan bahwa usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP (i) membutuhkan proses dan waktu yang relatif panjang dan lama, dan (ii) tidak ada jaminan semua perjanjian internasional dengan negara-negara terkait dapat disepakati, maka usulan tersebut akan membuat UU PDP tidak dapat memberikan Pelindungan Data Pribadi yang sama dengan status quo, dan UU PDP menjadi tidak dapat dilaksanakan secara praktis. 2. Terhadap pokok permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (3) UU PDP inkonstitusional karena frasa "pelindungan Data Pribadi yang memadai, dan bersifat mengikat" masih bersifat bias, sehingga Pemohon mengusulkan agar Pasal a quo dimaknai secara bersyarat, dengan menambahkan frasa "dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar, Pemerintah memberikan keterangan sebagai berikut: a. Bahwa Pasal 56 ayat (3) UU PDP mengenai pelindungan memadai dan mengikat (Appropriate Safeguards), berfungsi sebagai mekanisme transfer data pribadi lintas batas negara (cross-border data transfer) yang kedua ketika mekanisme adequacy decision tidak dapat terpenuhi. b. Pasal 56 ayat (3) UU PDP juga sejalan dengan Article 46 EU GDPR yang mengatur mengenai alternatif apabila tidak dipenuhinya keputusan komisi Uni Eropa atas tingkat kesetaraan pelindungan data pribadi. Nantinya, pengaturan lebih lanjut atas hal tersebut akan diatur dalam Peraturan Pemerintah sebagaimana dinyatakan dalam Pasal 56 ayat (5) UU PDP. c. Berdasarkan pendapat Ahli Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang dihadirkan pada persidangan tanggal 3 November 2025, pada pokoknya menyatakan: 191 i. Mekanisme remediasi “yang efektif” yang dimaksud oleh Pemohon tidak mungkin terbatas pada sanksi administratif dan ketentuan pidana yang diatur oleh UU PDP, melainkan mencakup juga aturan hukum acara dan hukum materiel dalam pelbagai peraturan perundang-undangan yang relevan; ii. penambahan “yang efektif” potensial menimbulkan permasalahan penafsiran yang sesungguhnya dapat kita hindari, karena ranah pengaturannya tidak eksklusif oleh UU PDP; iii. bahwa jika kita membaca UU PDP secara keseluruhan dan sebagai bagian integral dari hukum positif Indonesia, maka penambahan frasa “dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar” tidaklah diperlukan. 3. Terhadap pokok permohonan Pemohon yang pada intinya mendalilkan Pasal 56 ayat (4) UU PDP memungkinkan transfer data pribadi dilakukan dengan mendapatkan "persetujuan Subjek Data Pribadi" jika ketentuan Pasal 56 ayat (2) dan ayat (3) UU PDP tidak terpenuhi, sehingga mengusulkan agar Pasal a quo dimaknai secara bersyarat Pengendali Data Pribadi wajib menginformasikan risiko transfer data kepada Subjek Data Pribadi (informed consent) sebagaimana praktik yang diatur dalam Pasal 49 ayat (1) EU GDPR, Pemerintah memberikan keterangan sebagai berikut: a. Bahwa Pasal 56 ayat (4) UU PDP mengenai persetujuan Subjek Data Pribadi, berfungsi sebagai mekanisme transfer data pribadi lintas batas negara (cross-border data transfer) yang ketiga ketika mekanisme adequacy decision dalam Pasal 56 ayat (2) UU PDP dan perlindungan yang memadai yang bersifat mengikat sebagaimana dalam Pasal 56 ayat (3) UU PDP tidak dapat terpenuhi. b. Tuntutan Pemohon untuk menambahkan frasa eksplisit tentang “informasi risiko” sudah tercakup dalam Pasal 20 ayat (2) huruf a UU PDP yang mewajibkan persetujuan sah dan eksplisit untuk tujuan tertentu yang disampaikan pengendali kepada subjek data; 192 c. Pelindungan data pribadi warga negara Indonesia tetap terjamin karena mekanisme Pasal 56 ayat (4) UU PDP tunduk pada Pasal 56 ayat (1) UU PDP, yang mensyaratkan transfer data pribadi ke luar negeri sesuai dengan ketentuan UU PDP. d. Berdasarkan pendapat Ahli Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang dihadirkan pada persidangan tanggal 3 November 2025, pada pokoknya menyatakan usulan penambahan “setelah menginformasikan risiko transfer Data Pribadi yang akan dilakukan” dapat menjadi tidak logis jika Pengendali Data Pribadi yang relevan untuk ayat ini adalah Subjek Data Pribadi sendiri. 4. Dalil Pemohon yang menyatakan Pasal 56 UU PDP gagal memberikan jaminan pelindungan yang memadai dan justru menciptakan ketidakpastian hukum, yang pada akhirnya menimbulkan "ancaman ketakutan" dan melanggar hak konstitusional atas pelindungan diri pribadi sebagaimana dijamin oleh Pasal 28G ayat (1) UUD NRI 1945 merupakan pandangan yang keliru, karena Pasal 56 UU PDP yang mengatur perlindungan transfer data pribadi lintas batas negara secara berlapis dan ketentuan tersebut merupakan instrumen negara untuk memitigasi dan mengelola "ancaman ketakutan" yang disampaikan pemohon. Mekanisme transfer data pribadi lintas batas negara sebagaimana Pasal 56 UU PDP dirancang secara hierarkis (tiered approach) tanpa mengurangi perlindungan terhadap subjek hukum Indonesia. Pendekatan ini telah dipraktikkan oleh banyak negara di dunia. Ini adalah manifestasi dari pendekatan berbasis risiko (risk-based approach), sebuah prinsip tata kelola modern yang memastikan bahwa tingkat kontrol regulasi sepadan dengan tingkat potensi kerugian. Berdasarkan hal-hal yang Pemerintah telah berikan tanggapan atas Permohonan, maka permohonan tidak beralasan menurut hukum untuk seluruhnya. G. KETERANGAN TAMBAHAN PEMERINTAH ATAS PERTANYAAN MAJELIS HAKIM MAHKAMAH KONSTITUSI DALAM PERSIDANGAN TANGGAL 23 SEPTEMBER 2025 Bahwa untuk memenuhi permintaan Majelis Hakim Konsitusi Dr. H. Arsul 193 Sani, S.H., M.Si., Pr.M., Prof. Dr. M. Guntur Hamzah, S.H., M.H., Prof. Dr. Enny Nurbaningsih, S.H., M.Hum., dan Prof. Dr. Saldi Isra, S.H. pada persidangan 23 September 2025, bersama ini kiranya dapat Pemerintah sampaikan hal sebagai berikut: 1. Terkait Substansi dugaan kesepakatan Indonesia–AS a. Pemerintah menegaskan belum ada perjanjian binding (mengikat) antara Indonesia dan AS terkait transfer data pribadi. b. Pernyataan di situs whitehouse.gov hanyalah non-binding framework untuk kerja sama digital dan perdagangan yang menekankan prinsip adequate data protection sesuai hukum Indonesia. c. Negosiasi kedua negara masih sebatas pembahasan perdagangan (tarif ekspor–impor) dan kerja sama ekonomi digital. d. Indonesia juga menjajaki kesepakatan serupa dengan Uni Eropa, Jepang, Kanada, dan Korea Selatan. 2. Hubungan dengan UU 24/2000 dan Putusan MK No. 13/PUU-XVI/2018 a. Berdasarkan Putusan MK 13/2018, tidak semua perjanjian internasional memerlukan persetujuan DPR, hanya yang bersifat penting dan berdampak luas. b. Kesepakatan teknis atau administratif seperti mekanisme kesetaraan pelindungan data cukup diatur dengan keputusan presiden atau pengaturan administratif. c. Oleh karena itu, tidak ada pengurangan kewenangan DPR. 3. Konteks pelaksanaan UU PDP a. Pasal 56 UU PDP mengatur tiga mekanisme transfer lintas batas: 1) Kesetaraan pelindungan (adequacy decision); 2) Pelindungan yang memadai dan bersifat mengikat (appropriate safeguards); 3) Persetujuan eksplisit subjek data pribadi (explicit consent). b. Mekanisme ini diatur rinci dalam Rancangan PP PDP Hasil Harmonisasi, termasuk kewajiban pengendali data untuk menilai risiko, memastikan hukum negara tujuan, dan menyampaikan informasi kepada subjek data pribadi. 4. Terkait konteks publik mengetahui janji negara bahwa pelindungan di 194 luar negeri setara a. Lembaga Pelindungan Data Pribadi (Lembaga PDP) akan menilai dan menerbitkan daftar negara yang memiliki pelindungan data pribadi setara/lebih tinggi. b. Daftar ini akan dipublikasikan agar masyarakat mengetahui negara tujuan transfer yang aman. c. Lembaga PDP akan mengadopsi metodologi penilaian objektif dan transparan. 5. Terkait Makna “pelindungan yang memadai” dan mekanisme remediasi a. “Pelindungan yang memadai” berarti adanya instrumen hukum yang menjamin standar pelindungan setara dengan UU PDP, meliputi: 1) Klausul kontrak pelindungan data standar (Standard Contractual Clauses), 2) Peraturan internal korporasi yang disetujui lembaga (BCR), 3) Perjanjian administratif antarotoritas. b. Mekanisme remediasi sudah melekat dalam konsep “memadai”, karena Pasal 12 UU PDP memberi hak bagi subjek data untuk menggugat dan menerima ganti rugi jika terjadi pelanggaran. 6. Terkait Lapisan pelindungan data (multi-layered protection) a. Terdapat tiga lapisan mekanisme berjenjang: 1) Kesetaraan (Pasal 56 ayat 2) → negara tujuan sudah memiliki perlindungan setara. 2) Pelindungan memadai dan mengikat (ayat 3) → menggunakan instrumen hukum (SCC/BCR). 3) Persetujuan subjek data (ayat 4) → mekanisme terakhir bila dua sebelumnya tidak terpenuhi. b. Persetujuan harus eksplisit dan dilakukan sebelum transfer. c. Setiap lapisan menjamin asas kehati-hatian, akuntabilitas, dan kerahasiaan data tetap dijaga. 7. Terkait Perbandingan dengan Uni Eropa dan kasus Schrems II a. Berbeda dengan Uni Eropa yang menolak mekanisme AS karena belum “equivalent”, Indonesia menilai kesetaraan berdasarkan UU PDP, bukan standar Eropa. 195 b. Pendekatan Indonesia menyeimbangkan pelindungan hak warga dan kepentingan ekonomi digital, tanpa mengorbankan kedaulatan data. 8. Terkait Perbandingan transfer data di dalam negeri dan lintas batas a. Transfer dalam negeri (Pasal 55): antar entitas di wilayah Indonesia, cukup tunduk pada ketentuan UU PDP. b. Transfer lintas batas (Pasal 56): memerlukan penilaian kesetaraan, pengamanan tambahan, atau persetujuan subjek data. c. Transfer ke luar negeri lebih ketat karena menyangkut yurisdiksi hukum asing. 9. Terkait isu jika terjadi kebocoran data di luar negeri a. Pengendali data di Indonesia tetap bertanggung jawab hukum. b. Subjek data dapat mengadu ke Lembaga PDP, yang berwenang menjatuhkan sanksi atau berkoordinasi dengan otoritas luar negeri. c. Pemerintah menyiapkan kerja sama internasional antarotoritas untuk penegakan hukum lintas batas dan pemulihan hak korban. B. TANGGAPAN TERHADAP AHLI PEMOHON i. Tanggapan atas Ahli Pemohon Dr. Indra Rahmatullah, SH.I., M.H. a. Pasal 56 tidak dapat ditafsirkan secara terpisah, tetapi harus dibaca secara sistemik bersama Pasal 3, Pasal 4, Pasal 20 ayat (2), Pasal 25, dan Pasal 55 UU PDP. Norma tersebut membentuk satu kesatuan sistem perlindungan data pribadi yang berlapis, yang meliputi dasar hukum pemrosesan data pribadi, hak subjek untuk memberikan dan menarik persetujuan, serta mekanisme transfer data lintas batas. Sebagaimana dijelaskan oleh Ahli Pemerintah, Yu Un Oppusunggu, S.H., LL.M., Ph.D. struktur Pasal 56 mencakup tiga lapis perlindungan hukum yang lengkap, yakni: 1. Transfer data pribadi hanya dapat dilakukan apabila negara tujuan memiliki tingkat perlindungan setara atau lebih tinggi; 2. Jika tidak setara, maka wajib terdapat pelindungan yang memadai dan bersifat mengikat; dan 3. Jika kedua kondisi tersebut belum terpenuhi, maka pengendali data wajib memperoleh persetujuan eksplisit (informed consent) dari subjek data pribadi. 196 b. Naskah akademik bukan merupakan norma hukum yang mengikat, melainkan dokumen penjelas mengenai landasan filosofis, sosiologis, dan yuridis suatu RUU sebagaimana diatur dalam Pasal 43 Undang-Undang Nomor 12 Tahun 2011. c. Pendekatan yang Ahli Pemohon gunakan adalah penafsiran historikal dengan didasarkan pada naskah akademik UU PDP, yang mana menurut pendapat Ahli Pemerintah yaitu Yu Un Opusunggu, S.H., LL.M., Ph.D., yang pada pokoknya menerangkan “dengan penafsiran gramatikal dan sistematis maka Pasal 56 ayat (1) - (4) UU PDP, sudah memberikan pemahaman yang jelas”. d. Bahwa pandangan Ahli yang menyarankan agar transfer data pribadi lintas batas negara dilakukan melalui perjanjian internasional (government-to-government) tidak sejalan dengan karakter hukum Pasal 56 UU PDP. Sebagaimana diterangkan oleh Ahli Pemerintah Yu Un Oppusunggu, S.H., LL.M., Ph. D transfer data pribadi lintas batas bukanlah hubungan antarnegara (state-to- state), melainkan mekanisme hukum privat lintas yurisdiksi (private international law) di bawah pengawasan negara. Dengan demikian, tidak menimbulkan akibat hukum publik yang memerlukan persetujuan DPR sebagaimana dimaksud Pasal 11 UUD 1945. Selain itu, apabila setiap transfer data pribadi lintas negara diwajibkan melalui perjanjian internasional, akan timbul hambatan terhadap efisiensi ekonomi digital, riset global, dan kolaborasi inovasi lintas yurisdiksi. Oleh karena itu, model pengaturan berbasis kesetaraan tingkat pelindungan (adequacy) yang diatur dalam Pasal 56 adalah pilihan hukum yang tepat, proporsional, dan konstitusional. C. KETERANGAN AHLI PEMERINTAH DALAM PERSIDANGAN TANGGAL 3 NOVEMBER 2025 Bahwa Pemerintah telah mengajukan 1 (satu) Ahli yaitu Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang dihadirkan pada persidangan tanggal 3 November 2025, yang pada pokoknya menerangkan hal-hal 197 sebagai berikut: a. bahwa isu utama dalam permohonan pengujian undang-undang adalah tafsir atau penafsiran. Tafsir atau penafsiran dalam ilmu hukum bersifat tertib sekuensial demi terwujudnya kepastian hukum dalam negara hukum Indonesia. Dengan kata lain, penafsiran harus berurutan. Ketika tafsiran atau satu norma hukum sudah jelas, maka kita dapat memahami norma hukum tersebut dan penafsiran harus berhenti. b. Secara keilmuan, penafsiran pertama adalah gramatikal. Penafsiran kedua adalah sistematis. Satu pasal atau ayat harus dipahami sebagai bagian integral dari peraturan perundang-undangan. c. Ahli berhenti menafsirkan Pasal 56 ayat (1) sampai ayat (4) karena penafsiran gramatikal dan sistematis sudah memberikan pemahaman yang jelas. d. Pasal 55 ayat (1) dan Pasal 56 ayat (1) UU PDP, sama-sama merujuk kepada dasar pemrosesan Data Pribadi yang diatur oleh Pasal 20 ayat (2) huruf a UU PDP, yakni “persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi”. Oleh karena itu, penambahan frasa “apabila telah mendapatkan persetujuan Subjek Data Pribadi” sesungguhnya tidak diperlukan, jika kita membaca dan memahami keberlakuan dan pelaksanaan UU PDP secara keseluruhan. e. Usulan pemaknaan dari Pemohon potensial menimbulkan kebingungan dalam pelaksanaan UU PDP, bahkan dapat mengubah pengaturan tentang pemrosesan Data Pribadi. Usulan pemaknaan dari Pemohon justru membuat Pasal 56 ayat (1) UU PDP berkonflik dengan Pasal 20 ayat (2) UU PDP. Sebagaimana adanya, pemrosesan Data Pribadi adalah dengan terpenuhinya 1 (satu) atau lebih dasar pemrosesan dari 6 (enam) dasar yang diatur oleh Pasal 20 ayat (2) UU PDP. f. usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (1) UU PDP selain sesungguhnya sudah diatur oleh pasal-pasal lain dari UU PDP, usulan pemaknaan tersebut justru mengurangi Pelindungan Data Pribadi. g. usulan pemaknaan dari Pemohon terhadap Pasal 56 ayat (2) UU PDP 198 (i) membutuhkan proses dan waktu yang relatif panjang dan lama, dan (ii) tidak ada jaminan semua perjanjian internasional dengan negara- negara terkait dapat disepakati, maka usulan tersebut akan membuat UU PDP tidak dapat memberikan Pelindungan Data Pribadi yang sama dengan status quo, dan UU PDP menjadi tidak dapat dilaksanakan secara praktis. h. usulan penambahan “yang efektif” potensial menimbulkan permasalahan penafsiran yang sesungguhnya dapat kita hindari, karena ranah pengaturannya tidak eksklusif oleh UU PDP, i. frasa “hak asasi yang mendasar” adalah contradictio in terminis, karena arti “asasi” adalah bersifat mendasar. Dengan menyatakan “hak asasi yang mendasar”, maka terdapat hak asasi yang tidak mendasar. Hal mana sulit untuk kita terima baik secara konseptual maupun gramatikal. j. Usulan penambahan frasa “setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan” tidak mengubah fungsi Pasal 56 ayat (4) UU PDP sebagai solusi alternatif lebih lanjut dari tidak terpenuhinya syarat yang diatur dalam Pasal 56 ayat (3). III. PETITUM Berdasarkan penjelasan dan argumentasi tersebut di atas, Pemerintah memohon kepada Yang Mulia Ketua/Majelis Hakim Konstitusi Republik Indonesia yang memeriksa, mengadili dan memutus permohonan pengujian (constitusional review) Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4), serta Pasal 65 ayat (2) dan Pasal 67 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Pemohon tidak mempunyai kedudukan hukum (legal standing); 2. Menolak permohonan pengujian Pemohon untuk seluruhnya atau setidak- tidaknya menyatakan permohonan pengujian tidak dapat diterima (niet onvankelijk verklaard); 3. Menerima Keterangan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4), serta Pasal 65 ayat (2) dan Pasal 67 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan 199 dengan ketentuan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap mempunyai kekuatan hukum mengikat, Atau dalam hal Yang Mulia Majelis Hakim Konstitusi di Mahkamah Konstitusi berpendapat lain, mohon putusan yang bijaksana dan yang seadil-adilnya (ex aequo et bono). [2.7] Menimbang bahwa untuk mempersingkat uraian dalam putusan ini, segala sesuatu yang terjadi di persidangan merujuk Berita Acara Persidangan, yang merupakan satu kesatuan yang tidak terpisahkan dengan putusan ini. 3. PERTIMBANGAN HUKUM Kewenangan Mahkamah [3.1] Menimbang bahwa berdasarkan Pasal 24C ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 (selanjutnya disebut UUD NRI Tahun 1945), Pasal 10 ayat (1) huruf a Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554, selanjutnya disebut UU MK), dan Pasal 29 ayat (1) huruf a Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076, selanjutnya disebut UU 48/2009), Mahkamah berwenang, antara lain, mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap UUD NRI Tahun 1945; [3.2] Menimbang bahwa oleh karena permohonan a quo adalah pengujian konstitusionalitas undang-undang, in casu pengujian norma Pasal 56 ayat (1), ayat (2), ayat (3) dan ayat (4) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Nomor 6820, selanjutnya disebut UU 27/2022), terhadap UUD NRI Tahun 1945, oleh karena itu Mahkamah berwenang mengadili permohonan a quo. 200 Kedudukan Hukum Pemohon [3.3] Menimbang bahwa berdasarkan Pasal 51 ayat (1) UU MK beserta Penjelasannya, yang dapat mengajukan permohonan pengujian undang-undang terhadap UUD NRI Tahun 1945 adalah mereka yang menganggap hak dan/atau kewenangan konstitusionalnya yang diberikan oleh UUD NRI Tahun 1945 dirugikan oleh berlakunya suatu undang-undang, yaitu: a. perorangan warga negara Indonesia (termasuk kelompok orang yang mempunyai kepentingan sama); b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; atau d. lembaga negara; Dengan demikian, Pemohon dalam pengujian undang-undang terhadap UUD NRI Tahun 1945 harus menjelaskan terlebih dahulu: a. kedudukannya sebagai Pemohon sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK; b. ada tidaknya kerugian hak dan/atau kewenangan konstitusional yang diberikan oleh UUD NRI Tahun 1945 yang diakibatkan oleh berlakunya undang-undang yang dimohonkan pengujian dalam kedudukan sebagaimana dimaksud pada huruf a. [3.4] Menimbang bahwa Mahkamah sejak Putusan Mahkamah Konstitusi Nomor 006/PUU-III/2005, yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 31 Mei 2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU- V/2007, yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 20 September 2007, serta putusan-putusan selanjutnya berpendirian bahwa kerugian hak dan/atau kewenangan konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK harus memenuhi lima syarat, yaitu: a. adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD NRI Tahun 1945; b. hak dan/atau kewenangan konstitusional tersebut oleh Pemohon dianggap dirugikan oleh berlakunya undang-undang yang dimohonkan pengujian; 201 c. kerugian konstitusional tersebut harus bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. adanya hubungan sebab-akibat antara kerugian dimaksud dengan berlakunya undang-undang yang dimohonkan pengujian; e. adanya kemungkinan bahwa dengan dikabulkannya permohonan maka kerugian konstitusional seperti yang didalilkan tidak akan atau tidak lagi terjadi. [3.5] Menimbang bahwa berdasarkan uraian ketentuan Pasal 51 ayat (1) UU MK dan syarat-syarat kerugian hak dan/atau kewenangan konstitusional sebagaimana diuraikan pada Paragraf [3.3] dan Paragraf [3.4] di atas, selanjutnya Mahkamah akan mempertimbangkan kedudukan hukum Pemohon, sebagai berikut. 1. Bahwa Pemohon mengajukan pengujian norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 yang selengkapnya menyatakan sebagai berikut: Pasal 56 ayat (1) UU 27/2022 “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang-Undang ini.” Pasal 56 ayat (2) UU 27/2022 “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini.” Pasal 56 ayat (3) UU 27/2022 “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, dan bersifat mengikat.” Pasal 56 ayat (4) UU 27/2022 “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetuiuan Subjek Data Pribadi.” 2. Bahwa Pemohon mendalilkan memiliki hak konstitusional sebagaimana diatur dalam Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2) serta Pasal 28G ayat (1) UUD NRI Tahun 1945. 202 3. Bahwa Pemohon merupakan perseorangan warga negara Indonesia [vide Bukti P-3] yang merupakan Subjek Data Pribadi yang hak-nya diakui sebagaimana dalam UU 27/2022. Pemohon berprofesi sebagai dosen ilmu hukum sekaligus advokat yang memiliki kepedulian sangat tinggi terhadap aspek perlindungan data pribadi, sehingga Pemohon dapat dikatakan sekaligus sebagai praktisi perlindungan data pribadi. Selain itu, Pemohon juga pendiri perusahaan TI [vide Bukti P-4] dan pernah menjadi tenaga ahli tata kelola TI [vide Bukti P-5]; 4. Bahwa Pemohon juga pernah mengikuti pelatihan mengenai audit internal ISO 27001 [vide Bukti P-6], sehingga Pemohon memiliki kesadaran mengenai pentingnya perlindungan data pribadi. Pemohon juga sedang meneliti mengenai kecerdasan buatan/artificial intelligence (AI) termasuk mempelajari deontic logic untuk memahami model norma hukum dan AI. Pemohon juga aktif mengedukasi masyarakat mengenai pentingnya pendekatan interdisipliner antara hukum, logika, dan AI [vide Bukti P-7]. Sebagai advokat Pemohon juga aktif melakukan advokasi terhadap kebijakan yang terkait dengan perlindungan data pribadi [vide Bukti P-8]. 5. Bahwa setiap warga negara Indonesia adalah pribadi yang dilindungi Pasal 28G ayat (1) UUD NRI Tahun 1945, termasuk di dalamnya perlindungan terhadap data pribadi. Hal ini sebagaimana ditegaskan dalam Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024 (hlm. 150-152). Oleh karena itu, Data Pribadi bersifat sangat vital dalam kehidupan warga negara, dengan demikian jika hendak dilakukan transfer data pribadi ke luar wilayah hukum negara Republik Indonesia harus berdasarkan landasan hukum yang tepat dengan memperhatikan Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1945 yang semata-mata untuk melindungi hak asasi yang mendasar sebagaimana ketentuan Pasal 28G ayat (1) UUD NRI Tahun 1945. Permasalahan terjadi karena didasari oleh adanya kesepakatan Indonesia–Amerika yang di dalamnya termasuk berkaitan dengan permasalahan transfer data pribadi ke wilayah Amerika Serikat [vide Bukti P-9]. 6. Bahwa persoalan perjanjian internasional pernah dinyatakan oleh Mahkamah dalam Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 bahwa di dalamnya juga mencakup aspek hukum tata negara. Dengan demikian, karena Pemohon juga berlatarbelakang keilmuan hukum tata negara di tambah dengan latar belakang lainnya menyebabkan rasa tanggung jawab moral yang sangat 203 tinggi untuk mengurai persoalan konstitusional dalam permasalahan ini yang semata-mata untuk melindungi rakyat Indonesia yang secara otomatis juga berarti melindungi Pemohon; 7. Bahwa akibat dari kesepakatan Indonesia–Amerika menyebabkan adanya tafsir terhadap norma Pasal 56 UU 27/2022 yang mengatur mengenai transfer Data Pribadi ke luar wilayah negara Republik Indonesia sebagaimana diatur dalam Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 menjadi sangat kritikal. Data Pribadi adalah milik rakyat, jika Data Pribadi dikuasai negara lain akibat presiden memberikannya secara sepihak, maka hal tersebut merupakan bentuk pelanggaran kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD NRI Tahun 1945. 8. Bahwa selain itu, di dalam regulasi internasional seperti European Union Artificial Intelligence Act 2024 (EU AI Act) isu mengenai Data Pribadi juga merupakan isu pokok terutama ketika berkaitan dengan High-Risk AI. 9. Bahwa persoalan AI berimplikasi pada kedaulatan negara terhadap data juga didasari pada penelitian akademis yang berjudul “Digital Sovereignity + Artificial Intelligence” yang ditulis oleh Andrew Keanu Woods sebagai bagian bab di buku berjudul: “Data Sovereignity: From The Digital Silk Road to The Return of the State” editor Anupam Chander dan Haochen Sun terbitan Oxford University Press tahun 2023 [vide Bukti P-16]. 10. Bahwa belakangan ini, Data Pribadi rakyat yang dikuasai Pemerintah seperti data kependudukan justru bocor, sebagaimana berita yang berjudul “Kemendagri Investigasi Dugaan Kebocoran 337 Juta Data Dukcapil” [vide Bukti P-17]. Namun, respon pejabat Pemerintah terhadap Data Pribadi yang bocor tersebut dianggap tidak penting karena dianalogikan sebagai diri pribadi pejabat yang sudah terkenal yang data pribadinya mudah didapat di internet sehingga membenarkan data yang bocor yang dianggap bukan rahasia. 11. Bahwa Pasal 28G ayat (1) UUD NRI Tahun 1945 mentautkan perlindungan diri pribadi dengan “ancaman ketakutan” dan kekhawatiran Pemohon yang bukan hanya berasal dari imajinasi Pemohon semata, tetapi berdasarkan fakta–fakta yang terjadi di Indonesia dan negara lain, serta kekhawatiran akan perkembangan teknologi yang dapat merugikan masyarakat yang kesemuanya didasarkan pada penelitian akademis. Dengan demikian, berdasarkan penalaran yang wajar, jika Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 204 27/2022 disalah-tafsirkan berpotensi menyebabkan kerugian hak konstitusional terhadap Pemohon. 12. Bahwa hubungan causa verband antara norma pasal yang diuji dengan kerugian konstitusional Pemohon adalah ruang lingkup kesepakatan antara Indonesia – Amerika yang sangat bias. Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 yang mengatur kesepakatan tersebut juga bersifat sangat bias karena tidak jelas siapa yang berkewajiban memastikan kesetaraan negara tujuan dalam perlindungan Data Pribadi. Kemudian, tidak jelas siapa yang berwenang menentukan bahwa negara satu lebih tinggi atau lebih rendah dari negara lainnya. Lalu, persetujuan subjek data pribadi adalah asas yang paling mendasar dalam perlindungan data pribadi, sehingga tidak akan bisa dilepaskan dari arti kedaulatan rakyat sebagaimana dimaksud dalam Pasal 1 ayat (2) UUD NRI Tahun 1945. Pertanyaannya, di mana manifestasi persetujuan Pemohon sebagai rakyat sekaligus sebagai subjek data pribadi ditempatkan dalam kerja sama internasional yang melibatkan transfer data pribadi ke negara lain. 13. Bahwa pertanyaan selanjutnya adalah apa jaminan terhadap rakyat bahwa Pemerintah sebagai penguasa utama data pribadi rakyat tidak akan membocorkan data pribadi rakyat kepada negara lain. Pasal 56 UU 27/2022 sama sekali tidak menjawab hal tersebut dan tidak menempatkan kedaulatan rakyat sebagai pemilik kedaulatan data pribadi yang sejati. Seolah-olah persoalan transfer data pribadi hanya dianggap sebagai persoalan teknis atau aspek dagang yang tidak berdampak jauh pada kehidupan rakyat. 14. Bahwa dengan Pemerintah menafsirkan secara sepihak makna Pasal 56 UU 27/2022 dapat berakibat kepada potensi kerugian konstitusional yang meluas dan mendasar terhadap rakyat Indonesia termasuk Pemohon berdasarkan Pasal 28G ayat (1) UUD NRI Tahun 1945. Berdasarkan uraian dalam menjelaskan kedudukan hukum tersebut di atas, Pemohon telah dapat menguraikan atau menjelaskan anggapan kerugian hak konstitusional yang potensial dirugikan oleh berlakunya norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 karena transfer data pribadi yang dikuasai oleh negara di luar wilayah hukum Indonesia oleh pemerintah tanpa ada persetujuan pemilik data. Padahal, menurut Pemohon perlu ada jaminan dan pelindungan terhadap data pribadi melalui pengendali data pribadi dan persetujuan Dewan Perwakilan Rakyat terhadap perjanjian internasional. Uraian anggapan kerugian hak 205 konstitusional dimaksud, menurut Mahkamah bersifat spesifik dan potensial yang mempunyai hubungan sebab akibat (causal verband) dengan norma undang- undang yang dimohonkan pengujian. Oleh karena itu, jika permohonan Pemohon dikabulkan, maka kerugian yang bersifat potensial yang dalam batas penalaran yang wajar tidak akan terjadi. Dengan demikian, terlepas dari terbukti atau tidak inkonstitusionalitas norma yang dimohonkan pengujian, Mahkamah berpendapat Pemohon memiliki kedudukan hukum untuk bertindak sebagai Pemohon dalam permohonan a quo. [3.7] Menimbang oleh karena Mahkamah berwenang untuk mengadili permohonan a quo dan Pemohon memiliki kedudukan hukum untuk bertindak sebagai Pemohon dalam permohonan a quo, maka selanjutnya Mahkamah akan mempertimbangkan pokok Permohonan Pemohon. Pokok Permohonan [3.8] Menimbang bahwa Pemohon mendalilkan norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 bertentangan dengan Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2), dan Pasal 28G ayat (1) UUD NRI Tahun 1945 dengan dalil- dalil permohonan (selengkapnya dimuat pada bagian Duduk Perkara) yang apabila dipahami dan dirumuskan Mahkamah pada pokoknnya sebagai berikut. 1. Bahwa menurut Pemohon, akibat dari kesepakatan Indonesia–Amerika menyebabkan tafsir terhadap Pasal 56 UU 27/2022 yang mengatur mengenai transfer Data Pribadi ke luar wilayah negara Republik Indonesia sebagaimana diatur dalam Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 menjadi sangat kritikal. Sebab, data Pribadi adalah milik rakyat, jika Data Pribadi dikuasai negara lain akibat presiden memberikannya secara sepihak, maka hal tersebut merupakan bentuk dari pelanggaran kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD NRI Tahun 1945. 2. Bahwa menurut Pemohon, isu mengenai Data Pribadi, secara khusus di era AI, menjadi topik paling panas yang selalu diperdebatkan di tingkat global. Belakangan ini, Data Pribadi rakyat yang dikuasai Pemerintah seperti data kependudukan justru bocor, sebagaimana dalam berita yang berjudul “Kemendagri Investigasi Dugaan Kebocoran 337 Juta Data Dukcapil”. Namun, pejabat Pemerintah tidak memberi respon karena seolah-olah Data Pribadi 206 yang bocor tersebut tidak dianggap penting yang dianalogikan dengan diri pribadi pejabat yang sudah terkenal sehingga data pribadinya mudah didapat di internet sebagai data yang bukan bersifat rahasia. 3. Bahwa menurut Pemohon, oleh karena norma yang diuji adalah Pasal 56 UU 27/2022, maka konsep yang akan digali adalah “Persetujuan Subjek Data Pribadi” dan konsep “Adequacy Decision” atau keputusan kesetaraan perlindungan Data Pribadi. Konsep tersebut kemudian akan dipertautkan dengan konsep “Kedaulatan Rakyat” sehingga dapat dipahami apa yang dimaksud dengan “Kedaulatan Data”. 4. Bahwa menurut Pemohon, subjek hukum yang dapat melakukan transfer Data Pribadi ke luar wilayah yurisdiksi Indonesia dalam konstruksi norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 adalah Pengendali Data Pribadi/Prosesor Data Pribadi, namun sekaligus juga adalah subjek hukum yang diwajibkan untuk menilai kesetaraan. 5. Bahwa menurut Pemohon, Pasal 56 ayat (2) UU 27/2022 sesungguhnya mengadopsi prinsip adequacy decision dari EU GDPR. Namun, perbedaannya dalam EU GDPR yang berkewajiban memutus apakah suatu negara/yurisdiksi lain telah memenuhi kesetaraan (adequacy) adalah EU Commission, sedangkan dalam UU 27/2022 yang berkewajiban memastikan justru Pengendali Data Pribadi/Prosesor Data Pribadi. 6. Berdasarkan UU 27/2022, institusi negara juga adalah subjek hukum yang dapat menjadi Pengendali Data Pribadi/Prosesor Data Pribadi. Kemudian, Pemerintah juga mungkin melakukan pertukaran informasi dengan negara lain. persoalannya, siapa yang menentukan persetujuan Subjek Data Pribadi terhadap tindakan Pemerintah tersebut? 7. Bahwa menurut Pemohon, kompleksitas transfer Data Pribadi lintas yurisdiksi tidak mungkin disanggah baik secara yuridis maupun akademik. Namun pertanyaannya, siapa yang dapat menentukan/memutus permasalahan yang begitu kompleks. Mungkin Pemerintah akan menjawab bahwa akan dibentuk lembaga PDP yang akan dituangkan dalam peraturan presiden (perpres) sebagai aturan pelaksana dari UU 27/2022 yang mengamanatkan dibentuknya lembaga tersebut (vide Pasal 58 ayat (5) UU 27/2022). Namun, apakah lembaga PDP yang dibentuk dengan perpres cukup representatif untuk 207 mewakili rakyat karena terminology yang digunakan dalam UU 27/2022 adalah “persetujuan”. 8. Bahwa menurut Pemohon, lembaga PDP bukan merupakan lembaga tinggi negara, maka dapat dikatakan kewenangan lembaga PDP bersifat teknis dan tidak dapat memutus keputusan strategis seperti permasalahan diplomasi dan ideologis negara yang mempengaruhi nasib rakyat banyak. Dengan demikian, lembaga PDP tidak representatif untuk dapat dikatakan mewakili “persetujuan rakyat”. Bahwa berdasarkan dalil-dalil permohonan di atas, Petitum Permohonan a quo pada pokoknya memohon kepada Mahkamah, yang pada pokoknya sebagai berikut: 1. Menyatakan Pasal 56 ayat (1) UU 27/2022 bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai dengan ketentuan yang diatur dalam Undang-Undang ini.” 2. Menyatakan Pasal 56 ayat (2) UU 27/2022 bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.” 3. Menyatakan Pasal 56 ayat (3) UU 27/2022 bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar.” 208 4. Menyatakan Pasal 56 ayat (4) UU 27/2022 bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.” [3.9] Menimbang bahwa untuk membuktikan dalil-dalil permohonannya, Pemohon telah mengajukan alat bukti surat/tulisan yang diberi tanda Bukti P-1 sampai dengan Bukti P-25, yang telah disahkan dalam persidangan pada tanggal 26 Agustus 2025, dan seorang Ahli bernama Dr. Indra Rahmatullah, S.H.I., M.H., yang keterangan tertulisnya diterima Mahkamah pada tanggal 20 Oktober 2025 dan telah menyampaikan keterangan lisan dalam persidangan Mahkamah pada tanggal 22 Oktober 2025, dan kesimpulan yang diterima Mahkamah pada tanggal 10 November 2025 (selengkapnya dimuat pada bagian Duduk Perkara). [3.10] Menimbang bahwa Dewan Perwakilan Rakyat telah menyampaikan keterangan lisan dalam persidangan Mahkamah tanggal pada tanggal 23 September 2025 dan keterangan tertulis yang diterima Mahkamah pada tanggal 23 Oktober 2025 (selengkapnya dimuat pada bagian Duduk Perkara). [3.11] Menimbang bahwa Presiden telah menyampaikan keterangan tertulis yang diterima Mahkamah pada tanggal 19 September 2025 dan menyampaikan keterangan lisan dalam persidangan Mahkamah tanggal 23 September 2025 serta keterangan tambahan secara tertulis yang diterima Mahkamah pada tanggal 30 Oktober 2025. Selain itu, Presiden mengajukan seorang ahli bernama Yu Un Oppusunggu, S.H., LL.M., Ph.D., yang menyampaikan keterangan lisan di bawah sumpah/janji dan dilengkapi dengan keterangan tertulis yang diterima oleh Mahkamah pada tanggal 30 Oktober 2025. Lebih lanjut, Presiden juga menyampaikan kesimpulan yang diterima Mahkamah pada tanggal 11 November 2025 (selengkapnya dimuat pada bagian Duduk Perkara). [3.12] Menimbang bahwa setelah Mahkamah memeriksa dan membaca secara saksama permohonan Pemohon beserta alat-alat bukti surat/tulisan, ahli serta kesimpulan yang diajukan, persoalan konstitusionalitas norma yang harus dijawab 209 oleh Mahkamah adalah apakah norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 tidak memberikan pelindungan data pribadi yang memadai, bersifat mengikat dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi dalam melakukan transfer data pribadi dengan persetujuan subjek data pribadi, persetujuan DPR melalui perjanjian internasional dan syarat adequacy level berdasarkan perjanjian internasional yang disetujui oleh DPR yang belum terpenuhi sehingga norma pasal-pasal a quo bertentangan dengan Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2), dan Pasal 28G ayat (1) UUD NRI Tahun 1945. [3.13] Menimbang bahwa sebelum Mahkamah mempertimbangkan dalil permohonan Pemohon, Mahkamah perlu menguraikan terlebih dahulu hal-hal sebagai berikut. Bahwa pelindungan data lahir dari adanya kekhawatiran terhadap potensi penyalahgunaan informasi personal sebagai akibat dari perkembangan teknologi. Dalam kehidupan modern saat ini, pertukaran informasi berupa data pribadi menjadi hal yang wajar dikarenakan adanya layanan berbasis digital yang memfasilitasi pertukaran data lintas yurisdiksi, antara lain platform media sosial (Facebook, Instagram, Tiktok, X/Twitter), layanan komunikasi dan kolaborasi (zoom, WhatsApp, Google Meet, Microsoft Teams), E-commerce Platforms internasional (Shopee, Amazon, Alibaba), layanan pembayaran internasional (Paypal, Visa/Mastercard), layanan streaming dan digital entertainment (Netflix, Spotify, Youtube), aplikasi berbasis lokasi (Grab, Gojek, Google Maps, Waze). Bahkan, penggunaan e-mail yang kelihatannya sederhana, namun menjadi salah satu saluran terbesar terjadinya cross-border data flows. Pertukaran atau transfer data pribadi melalui layanan digital tersebut bukan sekadar pertukaran sekumpulan informasi, tetapi merupakan representasi dari identitas diri manusia secara digital, karena terdapat informasi seperti nama, biometrik, rekam medis, informasi finansial, dan preferensi perilaku yang membentuk profil individu sehingga sama pentingnya dengan identitas fisik. Identitas personal tersebut merupakan identitas individu yang melekat pada setiap manusia, sehingga jika data pribadi tersebut diproses, diberikan, dibagikan atau bahkan diperjualbelikan, sesungguhnya citra diri, kehormatan dan jejak hidup seseorang sedang ditransaksikan. Pelanggaran terhadap data pribadi tersebut tidak hanya menyebabkan kerugian secara ekonomi, tetapi juga kerugian lain yang 210 bersifat imateriil yang melekat pada seseorang karena karakter bawaan ketika menggunakan infrastruktur digital yang dengan mudah terjadinya transfer data lintas yurisdiksi. Berkenaan dengan fenomena tersebut, oleh karena data pribadi mengandung unsur kedaulatan data (data sovereignty), maka negara wajib memberikan perlindungan dan memastikan bahwa segala aktivitas yang berkaitan dengan pengelolaan serta transfer data pribadi, sebagaimana amanat Pasal 28G ayat (1) UUD NRI Tahun 1945 yang menyatakan bahwa, “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi”. Berlakunya UU 27/2022 tidak hanya dimaksudkan untuk memberikan kepastian dan perlindungan hukum atas data pribadi masyarakat, tetapi juga menegaskan komitmen negara dalam membangun perlindungan data yang lebih kokoh. UU 27/2022 menyatukan dan memperkuat prinsip-prinsip perlindungan data yang pengaturannya tersebar di berbagai undang-undang, seperti UU Perbankan, UU Telekomunikasi, UU Kependudukan, UU Administrasi Kependudukan, UU Keterbukaan Informasi Publik, serta UU Informasi dan Transaksi Elektronik, yang belum menyediakan standar perlindungan yang memadai terutama terkait dengan hak subjek data pribadi dan mekanisme pengawasan terhadap data pribadi. Oleh karena itu, UU 27/2022 diberlakukan dengan maksud agar menjadi fondasi penting bagi transformasi digital nasional untuk dapat meningkatkan kepercayaan publik sekaligus memperkuat tata kelola informasi di sektor publik dan privat dalam rangka membangun ekosistem digital yang aman, transparan dan akuntabel, di mana esensinya sesuai dengan asas-asas atau prinsip yang dianut dalam perlindungan data pribadi [vide Penjelasan Umum dan Pasal 3 UU 27/2022]. [3.14] Menimbang bahwa setelah menguraikan hal tersebut di atas, selanjutnya Mahkamah akan mempertimbangkan dalil Pemohon yang pada pokoknya mempersoalkan konstitusionalitas norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 yang menurut Pemohon tidak memberikan pelindungan data pribadi yang memadai, bersifat mengikat dan memiliki mekanisme remediasi yang efektif dengan menempatkan data pribadi sebagai hak asasi yang mendasar sehingga dalam melakukan transfer data pribadi syarat persetujuan subjek data pribadi, syarat persetujuan DPR melalui perjanjian internasional dan syarat 211 adequacy level berdasarkan perjanjian internasional yang disetujui oleh DPR seharusnya dipenuhi. Oleh karenanya, norma pasal-pasal a quo menurut Pemohon bertentangan dengan Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2) serta Pasal 28G ayat (1) UUD NRI Tahun 1945. Terhadap dalil Pemohon tersebut, Mahkamah mempertimbangkan sebagai berikut. [3.14.1] Bahwa Pasal 56 ayat (1), ayat (2), ayat (3) dan ayat (4) UU 27/2022 yang dipersoalkan konstitusionalitasnya oleh Pemohon merupakan bagian dari pengaturan transfer data pribadi ke luar wilayah hukum negara Republik Indonesia [vide Bab VII Transfer Data Pribadi, Bagian Kedua UU 27/2022]. Persoalan yang didalilkan tersebut bermuara pada kekhawatiran Pemohon terhadap pemrosesan data pribadi yang dikaitkan dengan dugaan adanya kesepakatan antara Pemerintah Amerika Serikat dengan Pemerintah Indonesia berkenaan dengan tarif ekspor impor. Terhadap hal tersebut, berdasarkan fakta persidangan, telah ternyata sampai saat ini belum terdapat perjanjian antara Pemerintah Indonesia dengan Pemerintah Amerika Serikat berkenaan dengan aktivitas transfer data pribadi [vide Risalah Sidang, tanggal 23 September 2025 hlm. 20 dan Keterangan Tambahan Presiden yang diterima Mahkamah tanggal 30 Oktober 2025, hlm. 3-6]. Namun demikian, berkenaan dengan transfer data pribadi ke luar wilayah hukum Indonesia, Mahkamah penting menegaskan bahwa hal tersebut harus tetap dilakukan dengan berlandaskan pada asas atau prinsip kehati-hatian yakni harus memperhatikan seluruh aspek yang berpotensi mendatangkan kerugian [vide Penjelasan Pasal 3 huruf e UU 27/2022]. Oleh karena itu, perjanjian transfer data yang dibuat pun tidak boleh bertentangan dengan ketentuan peraturan perundang-undangan dan harus mengutamakan kepentingan nasional dengan tetap melindungi kepentingan Indonesia, termasuk di dalamnya kepentingan umum. Dalam kaitan dengan kepentingan umum dimaksud telah ditegaskan sebagai asas atau prinsip yang menghendaki keharusan memperhatikan kepentingan masyarakat secara luas, antara lain kepentingan penyelenggaraan negara dan pertahanan dan keamanan nasional [vide Penjelasan Pasal 3 huruf c UU 27/2022]. Hal ini penting Mahkamah tegaskan demi menjaga eksistensi Indonesia sebagai negara yang berdaulat, sehingga untuk dapat melakukan transfer data pribadi ke luar wilayah hukum Indonesia harus pula didasari dengan negosiasi yang dilakukan dengan iktikad baik 212 dari para pihak, tanpa ada intervensi dengan mempertimbangkan secara cermat dan menyeluruh aspek terkait sebagaimana pertimbangan di atas. Pentingnya pelindungan data pribadi karena hal tersebut merupakan bagian dari hak, yakni hak privasi yang dimiliki oleh warga negara. Jika mencermati konstruksi norma dalam Pasal 56 ayat (1) UU a quo, pada pokoknya mengatur transfer data pribadi ke luar wilayah hukum Indonesia yang hanya boleh dilakukan oleh pengendali data pribadi ke pengendali data pribadi/prosesor data pribadi lainnya. Pengendali data pribadi dimaksud adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data [vide Pasal 1 angka 4 UU 27/2022]. Sedangkan, prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi [vide Pasal 1 angka 5 UU 27/2022]. Kewajiban negara mengontrol perpindahan atau transfer data pribadi sebagai bagian dari data sovereignty, dengan tujuan untuk melindungi hak privasi subjek data pribadi, memajukan dan menjamin hak atas perlindungan data pribadi di seluruh yurisdiksi termasuk di luar negeri. Upaya negara melindungi data pribadi harus dilakukan secara holistik sebagaimana ketentuan mengenai prinsip pemrosesan data pribadi [vide Pasal 16 UU 27/2022], klasifikasi data pribadi dan hak subjek data pribadi beserta pengecualiannya [vide Pasal 5 s.d. Pasal 15 UU 27/2022], serta adanya legal basis atau dasar hukum untuk melakukan pemrosesan data pribadi [vide Pasal 20 UU 27/2022], dan adanya ketentuan yang mengatur mengenai kewajiban data pribadi dan prosesor data pribadi [vide Pasal 20 sampai dengan Pasal 54 UU 27/2022]. Hal demikian merupakan bagian dari perlindungan dan jaminan hak konstitusional warga negara atas pelindungan data pribadi. Berdasarkan ketentuan tersebut di atas, berkenaan dengan dalil Pemohon yang menginginkan adanya persetujuan subjek data pribadi dalam aktivitas transfer data pribadi, dengan sendirinya telah terjawab sebagaimana norma dalam Pasal 20 ayat (2) huruf a UU 27/2022, yang menyatakan, “Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi”. Apabila pemrosesan data pribadi berdasarkan persetujuan tersebut maka 213 pengendali data pribadi wajib menyampaikan informasi mengenai: a) legalitas dari pemrosesan data pribadi; b) tujuan pemrosesan data pribadi; c) jenis dan relevansi data pribadi yang akan diproses; d) jangka waktu retensi dokumen yang memuat data pribadi; e) rincian mengenai informasi yang dikumpulkan; f) jangka waktu pemrosesan data pribadi; dan g) hak subjek data pribadi [vide Pasal 21 UU 27/2022]. Apabila terdapat perubahan informasi, pengendali data pribadi wajib memberitahukan kepada subjek data pribadi sebelum terjadi perubahan informasi dimaksud. Artinya, berdasarkan norma pasal-pasal a quo, telah jelas ditentukan bahwa UU 27/2022 tidak hanya mengatur mengenai syarat persetujuan dari subjek data pribadi sebelum melakukan transfer data, tetapi juga mengatur mengenai informasi yang wajib disampaikan oleh pengendali data pribadi dalam pemrosesan data pribadi berdasarkan persetujuan. Masih dalam kaitan dengan persetujuan pemrosesan data pribadi, UU 27/2022 juga menentukan, antara lain jenis persetujuan pemrosesan data pribadi dan mekanisme penyampaian data pribadi serta persetujuan yang tidak memenuhi ketentuan sehingga batal demi hukum. Ihwal pembatalan ini, mekanismenya ditentukan secara lengkap dalam Pasal 22 UU 27/2022, yang menyatakan: (1) Persetujuan pemrosesan Data Pribadi dilakukan melalui persetujuan tertulis atau terekam. (2) Persetuiuan sebagaimana dimaksud pada ayat (1) dapat disampaikan secara elektronik atau nonelektronik. (3) Persetujuan sebagaimana dimaksud pada ayat (1) mempunyai kekuatan hukum yang sama. (4) Dalam hal persetujuan sebagaimana dimaksud pada ayat (1) memuat tujuan lain, permintaan persetujuan harus memenuhi ketentuan: a. dapat dibedakan secara jelas dengan hal lainnya; b. dibuat dengan format yang dapat dipahami dan mudah diakses; dan c. menggunalan bahasa yang sederhana dan jelas. (5) Persetujuan yang tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (4) dinyatakan batal demi hukum. Dalam kaitan dengan persetujuan yang sah juga ditegaskan dalam norma Pasal 23 UU 27/2022 yang menyatakan, “Klausul perjanjian yang di dalamnya terdapat permintaan pemrosesan Data Pribadi yang tidak memuat persetujuan yang sah secara eksplisit dari Subjek Data Pribadi dinyatakan batal demi hukum.” Artinya, berdasarkan ketentuan norma a quo semakin menjelaskan bahwa negara tidak hanya mengatur transfer data pribadi ke pengendali data pribadi/prosesor data pribadi serta hal yang berkaitan dengan mekanisme transfer data pribadi, melainkan negara memastikan bahwa hak subjek data pribadi menyetujui terlebih dahulu data 214 pribadi yang akan diproses dan ditransfer oleh pengendali data pribadi/prosesor data pribadi. Sebab, jika tidak terdapat persetujuan yang sah dari subjek data pribadi dalam klausul perjanjian permintaan pemrosesan data pribadi, maka berakibat persetujuan batal demi hukum. Berkenaan dengan dalil Pemohon yang mempersoalkan syarat transfer data pribadi yang dilakukan berdasarkan perjanjian internasional yang memerlukan persetujuan DPR sebagai bagian dari adequacy decision, Mahkamah dalam Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 22 November 2018, telah mempertimbangkan pada pokoknya sebagai berikut: [3.11] … Mahkamah mempertimbangkan bahwa dengan mengingat semangat Pembukaan UUD 1945 serta hakikat kekuasaan eksekutif yang berada di tangan Presiden serta pada saat yang sama memerhatikan pula secara saksama praktik negara-negara berdaulat yang ada dan berlaku hinggasaat ini, baik yang menganut konstitusi tertulis maupun yang menganut konstitusi tidak tertulis, keterlibatan parlemen atau lembaga perwakilan rakyat dalam bentuk pemberian persetujuan dalam proses pembuatan perjanjian internasional pada umumnya tidaklahberlaku terhadap semua perjanjian internasional melainkan hanya terhadap perjanjian internasional yang dianggap penting saja. Sedangkan untuk perjanjian internasional lainnya, misalnya perjanjian-perjanjian yang bersifat teknik atau administratif (sekadar untuk menyebut contoh), persetujuan parlemen atau lembaga perwakilan rakyat tidak dibutuhkan. Adapun perihal mana perjanjian internsional yang dianggap penting, di negara-negara yang menganut konstitusi tidak tertulis hal itu ditentukan dalam konstitusionya dan/atau dalam pengaturan lebih lanjut dalam hukum positifnya. Secara umum, perjanjian internasional yang dianggap penting adalah perjanjian-perjanjian yang memiliki dimensi politik yang bersangkut paut dengan kedaulatan negara, di antaranya perjanjian-perjanjian yang memengaruhi batas wilayah negara; yang memengarhi hubungan federasi dengan negara bagian (di negara-negara yang berbentuk federal atau serikat); yang memengaruhi beban keuangan engara yang harus ditanggung oleh rakyat; yang memengaruhi perimbangan atau pembagian kekuasaan raja/atau ratu dengan parlemen (di negara-negara yang berbentuk kerajaan); yang memiliki dampak luas sehingga dibutuhkan pembentukan undang- undang yang baru. Contoh-contoh tersebut tentu dapat bertambah sesuai dengan kebutuhan atau pertimbangan masing-masing negara. Adapun untuk perjanjian internasional lainnya, lembaga perwakilan rakyat atau parlemen pada umumnya cukup dengan menerima pemberitahuan. Dengan demikian, bahkan untuk perjanjian antarnegara pun, menurut praktik yang umum berlaku hingga saat ini, tidak selalu dipersyaratkan adanya persetujuan lembaga perwakilan rakyat atau parlemen jika perjanjian demikian tidak dianggap penting menurut negara yang bersangkutan. Misalnya perjanjian internasional antar negara yang hanya bersifat teknis atau administratif atau perjanjian yang hanya merupakan pengaturan teknis- 215 administratif lebih lanjut dari perjanjian penting (penting) yang dibuat sebelumnya sehingga tidak dianggap sebagai perjanjian tersendiri. …tidak semua perjanjian internasional yang dibuat oleh Presiden mempersyaratkan adanya persetujuan DPR melainkan hanya perjanjian- perjanjian internasional yang memenuhi persyaratan umum yang ditentukan dalam pasal 11 ayat (2) UUD 1945, yaitu perjanjian internasional yang menimbulkan akibat yang luas dan mendasar bagi kehidupan rakyat yang terkait dengan beban keuangan negara, dan/atau mengharuskan perubahan atau pembentukan undang-undang. Dengan demikian, secara a contrario, meskipun perjanjian yang dibuat itu adalah perjanjian antarnegara, jika tidak menimbulkan akibat yang luas dan mendasar yang terkait dengan beban keuangan negara dan/atau mengharuskan perubahan atau pembentukan undang-undang, persetujuan DPR tidak dipersyaratkan; Berdasarkan uraian kutipan pertimbangan Putusan Mahkamah Konstitusi Nomor 13/PUU-XVI/2018 tersebut, menegaskan bahwa perjanjian internasional yang sifatnya teknis atau administratif atau perjanjian yang merupakan pengaturan teknis-administratif tidak selalu dipersyaratkan adanya persetujuan dari lembaga perwakilan rakyat, dalam hal ini DPR. Dalam kaitan dengan perjanjian internasional tersebut, Pasal 11 ayat (1) Undang-Undang 24 Tahun 2000 tentang Perjanjian Internasional menyatakan, “Pengesahan perjanjian internasional yang materinya tidak termasuk materi sebagaimana dimaksud Pasal 10, dilakukan dengan Keputusan Presiden.” Presiden selaku kepala Pemerintahan memiliki kewenangan untuk menjalankan tugas pemerintahan termasuk di dalamnya kebijakan teknis luar negeri. Adequacy dalam aktivitas transfer data pribadi tersebut merupakan tindakan administratif eksekutif dalam hubungan internasional. Hal ini terlihat dari mandat yang diberikan UU 27/2022 kepada pengendali data pribadi, yakni memastikan kedudukan pengendali data pribadi/prosesor data pribadi yang menerima transfer data pribadi yang setara atau lebih tinggi. Penilaian kesetaraan pelindungan data pribadi tersebut merupakan suatu tindakan teknis-administratif yang dilakukan oleh eksekutif. Dalam hal ini, pengendali data pribadi melakukan tindakan teknis administratif berupa verifikasi untuk menilai apakah negara penerima transfer data pribadi secara hukum telah memenuhi standar pelindungan yang telah ditetapkan dalam UU 27/2022. Setelah mencermati secara saksama, ketentuan UU 27/2022 yang dimaktubkan dalam Pasal 56 ayat (2) UU a quo, telah menentukan adequacy yang dimaksud Pemohon, sehingga menurut Mahkamah dalam konteks aktivitas transfer data pribadi tidak memerlukan persetujuan DPR. Terlebih, Pasal 56 ayat (2) UU 216 27/2022 tidak mengamanatkan persetujuan DPR dalam melakukan transfer data pribadi, sehingga tidak ada kewajiban bagi Presiden untuk meminta persetujuan DPR. Meskipun demikian, berkenaan dengan aktivitas transfer data, bahkan yang melibatkan pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities), mekanisme pengaturan yang ada sebenarnya telah menjawab kekhawatiran Pemohon, karena yang tetap menjadi prioritas utama adalah pelindungan dan jaminan atas hak-hak konstitusional subjek data, sebagaimana Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024, yang diucapkan dalam sidang pleno terbuka untuk umum pada tanggal 30 Juli 2025, hlm. 157 yang antara lain mempertimbangkan sebagai berikut: “Hal demikian sesungguhnya telah menjawab kekhawatiran subjek data dikarenakan adanya aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) sehingga pelindungan dan jaminan terhadap hak-hak konstitusional subjek data benar-benar terlindungi sedemikian rupa karena pelindungan data pribadi merupakan bagian yang tidak terpisahkan dari hak atas perlindungan diri pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, data pribadi sebagai hak bagi setiap warga negara wajib untuk dilindungi secara maksimal sehingga tidak dapat dijadikan sebagai objek yang merugikan sehingga bertentangan dengan asas perlindungan, asas kehati- hatian, dan asas kerahasiaan demi menjaga eksklusifitas kerahasiaan data pribadi.” Dengan demikian, dalam konteks aktivitas transfer data pribadi, sekalipun tidak terdapat persetujuan DPR dalam melakukan transfer data pribadi yang melibatkan high-risk data processing activities, negara tetap melindungi dan tidak dapat menjadikannya sebagai objek transfer data yang merugikan warga negara seperti dijamin dalam Pasal 28G UUD NRI Tahun 1945. Untuk menilai adequacy negara lain sebagai penerima transfer Data Pribadi, tidak hanya didasarkan pada ketentuan norma dalam Pasal 56 ayat (2) UU 27/2022 tetapi juga wajib mendasarkan pada norma Pasal 59 dan Pasal 60 UU 27/2022. Hal ini dikarenakan dalam melakukan transfer Data Pribadi tidak hanya bertumpu pada Pengendali Data Pribadi untuk memastikan kesetaraan perlindungan di negara tujuan sebagai penerima transfer Data Pribadi, tetapi juga memerlukan keberadaan dan fungsi dari Lembaga Pelindungan Data Pribadi (selanjutnya disebut LPDP) sebagai otoritas pengawas yang melakukan tindakan evaluasi, pengawasan dan kebijakan teknis dalam penilaian kesetaraan perlindungan. Dengan demikian, berkenaan dengan kewenangan final, otoritatif, dan mengikat untuk menentukan daftar negara yang dianggap setara, kewenangan memberikan panduan dan 217 kewenangan untuk melaksanakan fungsi penegakan hukum, berada di tangan negara melalui LPDP. Pengendali data pribadi akan melaksanakan kewajibannya berdasarkan pedoman dan daftar yang ditetapkan oleh LPDP, sehingga mekanisme penilaian kesetaraan tidak memerlukan persetujuan DPR melalui perjanjian internasional. LPDP akan tetap bertanggung jawab kepada Presiden dan berkenaan dengan pengawasan terhadap kinerja lembaga tersebut DPR tetap memiliki kewenangan untuk melakukan pengawasan sesuai dengan fungsinya. Dalam kaitan dengan dalil Pemohon yang memohon agar menyertakan perjanjian internasional yang disetujui oleh DPR sebagai syarat dilakukannya transfer data pribadi merupakan hal yang tidak tepat. Sebab, apabila mendasarkan pada konsep demokrasi dan praktik ketatanegaraan, persetujuan DPR dimaksud tidak dapat dibenarkan bahwa seluruh rakyat Indonesia setuju secara mutlak, karena data pribadi adalah hak milik subjek data pribadi. Di samping itu, jika aktivitas transfer data pribadi didasarkan pada perjanjian internasional yang disetujui oleh DPR mengakibatkan pengakuan terhadap subjek data pribadi dapat disimpangi atau dapat diabaikan karena didasarkan pada perjanjian internasional yang disetujui oleh DPR. Hal demikian justru potensial menimbulkan konflik dan jika terdapat penolakan dari subjek data pribadi terhadap aktivitas transfer data pribadi menjadi tidak berkekuatan mengikat dan mengurangi pelindungan terhadap data pribadi seluruh rakyat Indonesia. Padahal, tujuan diciptakannya UU 27/2022 adalah untuk menjamin hak warga negara atas pelindungan diri pribadi dan menumbuhkan kesadaran masyarakat serta menjamin pengakuan dan penghormatan atas pentingnya pelindungan data pribadi. Berdasarkan uraian pertimbangan hukum tersebut di atas, menurut Mahkamah dalil Pemohon yang mempersoalkan norma Pasal 56 ayat (1) dan ayat (2) UU 27/2022 bertentangan dengan Pasal 1 ayat (2), Pasal 11 ayat (1) dan ayat (2) serta Pasal 28G ayat (1) UUD NRI Tahun 1945 karena tidak menentukan syarat persetujuan subjek data pribadi dan persetujuan DPR dalam kaitan dengan adequacy decision dalam hal melakukan transfer data pribadi dalam perjanjian internasional adalah dalil yang tidak berdasar sehingga harus dinyatakan tidak beralasan menurut hukum. [3.14.2] Bahwa selanjutnya berkenaan dengan isu konstitusionalitas norma Pasal 56 ayat (3) UU 27/2022 yang didalilkan Pemohon tidak memenuhi adequacy level sehingga pelindungan terhadap data pribadi perlu memiliki mekanisme remediasi 218 yang efektif dengan menempatkan data pribadi sebagai hak asasi yang mendasar. Terhadap dalil Pemohon tersebut, menurut Mahkamah norma Pasal 56 ayat (3) UU 27/2022 merupakan jawaban atau solusi atas peran negara dalam menjalankan kewajiban konstitusional untuk melindungi data pribadi warga negara ketika terjadi aktifitas transfer data yang di proses di negara asing atau di luar yurisdiksi wilayah NKRI, di mana tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi, tidak setara atau lebih rendah dari ketentuan yang berlaku di Republik Indonesia. Dalam hal ini, negara hendak menegaskan bahwa meskipun negara tidak berdaulat secara teritorial atas tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi, namun negara berkewajiban dan tetap hadir untuk melindungi hak konstitusional atas data pribadi dari warga negara Indonesia. Dalam hal ini, aktivitas transfer data pribadi ke negara asing tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi memiliki standar normatif atau standar teknologi yang tidak setara atau lebih rendah dari ketentuan yang berlaku, tetap dapat terjadi, sepanjang tidak merugikan subjek data pribadi atau tidak menyebabkan terjadinya penyalahgunaan data pribadi. Sehubungan dengan hal demikian, negara tetap melindungi hak data pribadi warga negara dengan menjadikan pengendali data pribadi sebagai perpanjangan tangan negara untuk memastikan terlindunginya hak data pribadi warga negara [vide antara lain dalam Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 UU 27/2022]. Lebih lanjut, sebagai pelengkap dari standar normatif dan/atau standar teknologi yang berlaku, industri terkait akan menciptakan standar, mekanisme dan/atau perilaku bisnis yang dianggap patut dalam melaksanakan aktivitas transfer data pribadi tersebut, yang didasarkan pada best practices. Dalam hal ternyata transfer data pribadi ke negara asing tempat kedudukan pengendali data pribadi dan/atau prosesor data pribadi yang menerima transfer data pribadi memiliki standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia, dapat merugikan subjek data pribadi atau mengakibatkan terjadinya penyalahgunaan data pribadi, tetap terjadi baik secara sengaja maupun tidak sengaja, maka pengendali data pribadi terancam sanksi administratif sebagaimana diatur dalam Pasal 57 ayat (2) dan ayat (3) UU 27/2022. Aktivitas transfer data pribadi tetap dimungkinkan, namun hanya dapat dilakukan jika terdapat perlindungan yang setara dan memadai. Dengan demikian, norma Pasal 56 ayat (3) 219 UU 27/2022 merupakan instrumen konstitusional ruang digital, karena Pasal a quo memastikan bahwa negara berkewajiban untuk melindungi hak atas data pribadi dalam aktivitas transfer data pribadi, sehingga aktivitas transfer data pribadi tetap harus memperhatikan pelindungan data pribadi dan kepentingan konstitusional warga negara. Berkenaan dengan keinginan Pemohon untuk menambah frasa “mekanisme remediasi yang efektif”, menurut Mahkamah keinginan tersebut justru sudah terakomodasi dengan prinsip pelindungan data pribadi sebagaimana ketentuan dalam Pasal 56 ayat (2) UU 27/2022 sebagaimana telah dipertimbangkan di atas, yaitu transfer data pribadi hanya dapat dilakukan dengan negara yang mempunyai tingkat pelindungan data pribadi yang setara atau lebih tinggi atau ketat dibandingkan dengan Indonesia. Selanjutnya, mengenai keinginan Pemohon untuk menambahkan frasa “hak asasi yang mendasar” hal tersebut sudah termaktub dalam Pasal 56 ayat (3) UU 27/2022, sehingga hal tersebut telah sejalan dengan Pasal 28G ayat (1) UUD NRI Tahun 1945. Berdasarkan uraian pertimbangan hukum tersebut di atas, menurut Mahkamah dalil Pemohon berkenaan dengan tidak terpenuhinya adequacy level sehingga pelindungan terhadap data pribadi perlu memiliki mekanisme remediasi yang efektif dengan menempatkan data pribadi sebagai hak asasi yang mendasar adalah dalil yang tidak mendasar sehingga harus dinyatakan tidak beralasan menurut hukum. [3.14.3] Bahwa Pemohon juga mempersoalkan konstitusionalitas norma Pasal 56 ayat (4) UU 27/2022 yang menurut Pemohon tidak memenuhi adequacy level dan pelindungan data pribadi sehingga perlu ada persetujuan subjek data pribadi sebagai syarat wajib untuk melakukan transfer data oleh pengendali data pribadi, dengan menginformasikan terlebih dahulu risiko transfer data pribadi yang akan dilakukan. Oleh karena itu dalam petitum, Pemohon memohon pemaknaan, “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.” Terhadap dalil Pemohon a quo, menurut Mahkamah, apabila rumusan Pasal 56 ayat (4) UU 27/2022 dimaknai sebagaimana yang dimohonkan Pemohon, maka jika diuraikan terdiri dari unsur-unsur sebagai berikut: (i) Pasal 56 ayat (4) UU a quo berlaku jika adequacy level tidak terpenuhi dan pelindungan data pribadi tidak 220 terpenuhi; (ii) Dalam kondisi tersebut maka persetujuan subjek data pribadi dianggap sebagai syarat wajib untuk melakukan aktifitas transfer data pribadi lintas yurisdiksi; (iii) Persetujuan subjek data pribadi dianggap sah secara hukum apabila pengendali data pribadi menginformasikan terlebih dahulu risiko transfer data pribadi kepada subjek data pribadi. Pemaknaan terhadap keinginan Pemohon untuk menambahkan frasa sebagaimana termaktub dalam petitum Pemohon menjadikan ketiga hal tersebut menjadi satu kesatuan yang tidak dapat dipisahkan, yang seolah-olah dengan memberitahu risiko transfer data pribadi sudah melindungi hak subjek data pribadi. Padahal, hak konstitusional warga negara atas data pribadi seharusnya memberikan perlindungan, bukan hanya sekadar kesadaran terhadap risiko transfer data pribadi tanpa adanya penegakan hak. Selanjutnya, jika pun terhadap ketentuan norma Pasal 56 ayat (4) UU 27/2022 ditambahkan frasa “setelah menginformasikan resiko transfer Data Pribadi yang dilakukan”, menurut Mahkamah tidak akan mengubah fungsi Pasal 56 ayat (4) UU 27/2022 sebagai solusi atau jawaban dari tidak terpenuhinya syarat untuk melakukan transfer data pribadi sebagaimana diatur dalam Pasal 56 ayat (2) dan ayat (4) UU 27/2022. Dengan demikian, penambahan frasa “setelah menginformasikan resiko transfer Data Pribadi yang dilakukan” sebagaimana yang diinginkan Pemohon maka hal tersebut menjadi tidak relevan karena akan menyebabkan ketidaksesuaian norma a quo jika dikaitkan dengan norma Pasal 1 angka 4 dan Pasal 1 angka 6 UU 27/2022. Berdasarkan uraian pertimbangan hukum tersebut di atas, menurut Mahkamah dalil Pemohon berkenaan dengan tidak terpenuhinya adequacy level dan tidak terpenuhinya pelindungan data pribadi, sehingga perlu persetujuan subjek data pribadi sebagai syarat wajib untuk melakukan transfer data oleh pengendali data pribadi, dengan menginformasikan terlebih dahulu risiko transfer data pribadi yang akan dilakukan adalah dalil yang tidak berdasar sehingga harus dinyatakan tidak beralasan menurut hukum. [3.15] Menimbang bahwa berdasarkan seluruh uraian pertimbangan hukum tersebut di atas, telah ternyata norma Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU 27/2022 tidak bertentangan dengan kedaulatan rakyat dalam Pasal 1 ayat (2) UUD NRI Tahun 1945, syarat perjanjian internasional dengan persetujuan DPR dalam Pasal 11 ayat (1) dan ayat (2) UUD NRI Tahun 1945, hak atas perlindungan 221 diri pribadi, keluarga, kehormatan, martabat, dan harta benda serta hak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu dalam Pasal 28G ayat (1) UUD NRI Tahun 1945, bukan sebagaimana yang didalilkan oleh Pemohon. Dengan demikian, dalil Pemohon adalah tidak beralasan menurut hukum untuk seluruhnya. [3.16] Menimbang bahwa terhadap hal-hal selain dan selebihnya tidak dipertimbangkan lebih lanjut karena dinilai tidak ada relevansinya. 4. KONKLUSI Berdasarkan penilaian atas fakta dan hukum sebagaimana diuraikan di atas, Mahkamah berkesimpulan: [4.1] Mahkamah berwenang mengadili permohonan a quo; [4.2] Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo; [4.3] Permohonan Pemohon tidak beralasan menurut hukum untuk seluruhnya. Berdasarkan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554), dan Undang- Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076); 5. AMAR PUTUSAN Mengadili: Menolak permohonan Pemohon untuk seluruhnya. Demikian diputus dalam Rapat Permusyawaratan Hakim oleh delapan Hakim Konstitusi yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Enny 222 Nurbaningsih, Arief Hidayat, Daniel Yusmic P. Foekh, M. Guntur Hamzah, Ridwan Mansyur, dan Arsul Sani, masing-masing sebagai Anggota, pada hari Rabu, tanggal sembilan belas, bulan November, tahun dua ribu dua puluh lima, yang diucapkan dalam Sidang Pleno Mahkamah Konstitusi terbuka untuk umum pada hari Senin, tanggal sembilan belas, bulan Januari, tahun dua ribu dua puluh enam, selesai diucapkan pukul 11.23 WIB oleh delapan Hakim Konstitusi yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Enny Nurbaningsih, Anwar Usman, Daniel Yusmic P. Foekh, M. Guntur Hamzah, Ridwan Mansyur, dan Arsul Sani, masing-masing sebagai Anggota, dengan dibantu oleh Siska Yosephin Sirait sebagai Panitera Pengganti, serta dihadiri oleh Pemohon, Dewan Perwakilan Rakyat atau yang mewakili, dan Presiden atau yang mewakili. KETUA, ttd. Suhartoyo ANGGOTA-ANGGOTA, ttd. Saldi Isra ttd. Enny Nurbaningsih ttd. Anwar Usman ttd. Daniel Yusmic P. Foekh ttd. M. Guntur Hamzah ttd. Ridwan Mansyur ttd. Arsul Sani 223 PANITERA PENGGANTI, ttd. Siska Yosephin Sirait