151/PUU-XXII/2024

PUTUSAN Nomor 151/PUU-XXII/2024 DEMI KEADILAN BERDASARKAN KETUHANAN YANG MAHA ESA MAHKAMAH KONSTITUSI REPUBLIK INDONESIA, [1.1] Yang mengadili perkara konstitusi pada tingkat pertama dan terakhir, menjatuhkan putusan dalam perkara Pengujian Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, yang diajukan oleh: 1. Nama : Eric Cihanes Pekerjaan : Belum/Tidak Bekerja Alamat : Plamo Garden Blok L Nomor 21, RT 002/RW 001, Kelurahan Baloi Permai, Kecamatan Batam Kota, Kota Batam, Kepulauan Riau Selanjutnya disebut sebagai ------------------------------------------- Pemohon I; 2. Nama Garin Arian Reswara Pekerjaan Mahasiswa Alamat Jalan Utama 1, Kavling 7, Nomor 95, Pondok Karya, Kecamatan Pondok Aren, Kota Tangerang Selatan, Banten Selanjutnya disebut sebagai ------------------------------------------ Pemohon II; Selanjutnya Pemohon I dan Pemohon II disebut sebagai ------------ para Pemohon; [1.2] Membaca permohonan para Pemohon; Mendengar keterangan para Pemohon; Mendengar dan membaca keterangan Dewan Perwakilan Rakyat; Membaca dan mendengar keterangan Presiden; Membaca keterangan Ahli Presiden; Memeriksa bukti-bukti para Pemohon dan Presiden; Membaca kesimpulan para Pemohon dan Presiden; 2 2. DUDUK PERKARA [2.1] Menimbang bahwa para Pemohon telah mengajukan permohonan bertanggal 20 September 2024 yang diterima di Kepaniteraan Mahkamah Konstitusi (selanjutnya disebut Kepaniteraan Mahkamah) pada tanggal 20 September 2024 berdasarkan Akta Pengajuan Permohonan Pemohon Nomor 139/PUU/PAN.MK/AP3/09/2024, dan telah dicatat dalam Buku Registrasi Perkara Konstitusi Elektronik (e-BRPK) dengan Nomor 151/PUU-XXII/2024 pada tanggal 17 Oktober 2024, yang telah diperbaiki dan diterima Kepaniteraan Mahkamah pada tanggal 11 November 2024, pada pokoknya sebagai berikut: I. KEWENANGAN MAHKAMAH KONSTITUSI 1. Bahwa Pasal 24 ayat (2) UUD NRI 1945 perubahan ketiga menyatakan bahwa: Kekuasaan kehakiman dilakukan oleh sebuah Mahkamah Agung dan badan peradilan yang berada di bawahnya dalam lingkungan peradilan umum, lingkungan peradilan agama, lingkungan peradilan militer, lingkungan peradilan tata usaha negara, dan oleh sebuah Mahkamah Konstitusi”. 2. Bahwa selanjutnya Pasal 24C ayat (1) UUD NRI 1945 perubahan keempat menyatakan bahwa: Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap Undang-Undang Dasar, memutus sengketa kewenangan lembaga negara yang kewenangannya diberikan oleh Undang-Undang Dasar, memutus pembubaran partai politik, dan memutus perselisihan tentang hasil pemilihan umum”. 3. Bahwa berdasarkan Pasal 29 ayat (1) huruf a Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076) (untuk selanjutnya disebut “UU Kekuasaan Kehakiman”) menyatakan bahwa: Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk; (a) menguji undang-undang (UU) terhadap UUD Tahun 1945”. 4. Bahwa berdasarkan ketentuan Pasal 10 ayat (1) huruf a Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2003 Nomor 98, Tambahan Lembaran Negara 3 Republik Indonesia Nomor 4316) sebagaimana terakhir diubah dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554) (untuk selanjutnya disebut “UU MK”), menyatakan bahwa: Mahkamah Konstitusi berwenang mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk; (a) menguji undang-undang (UU) terhadap UUD Tahun 1945”. 5. Bahwa berdasarkan Pasal 7 ayat (1) UU No. 12 Tahun 2011 sebagaimana telah diubah oleh UU No. 13 Tahun 2022 tentang Pembentukan Peraturan Perundang-Undangan (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 143, Tambahan Lembaran Negara Republik Indonesia Nomor 6801) (untuk selanjutnya disebut “UU PPP”), mengatur bahwa hierarki atau kedudukan UUD NRI 1945 lebih tinggi daripada Undang-Undang. Oleh karena itu, berdasarkan ketentuan Pasal 7 ayat (2) beserta penjelasan Pasal 7 ayat (2) UU PPP, setiap ketentuan di dalam Undang-Undang tidak boleh bertentangan dengan UUD NRI 1945. 6. Bahwa berdasarkan ketentuan Pasal 9 ayat (1) UU PPP, menyatakan bahwa: Dalam hal suatu Undang-Undang diduga bertentangan dengan Undang Undang Dasar Negara Republik Indonesia Tahun 1945, pengujiannya dilakukan oleh Mahkamah Konstitusi”. 7. Bahwa Mahkamah Konstitusi dibentuk memiliki fungsi antara lain sebagai lembaga pengawal konstitusi (the guardian of the constitution), lembaga demokrasi pengimbang dan pengarah sistem demokrasi, lembaga penafsir tertinggi atas ketentuan konstitusi (the sole and the highest interpreter of the constitution) dan lembaga penjaga hak-hak konstitusional warga negara (the protector of constitutional rights of the citizens). Maka apabila dalam proses pembentukan undang-undang terdapat hal-hal yang bertentangan dengan konstitusi apalagi sampai melanggar hak konstitusional warga negara Indonesia, maka Mahkamah Konstitusi dapat membatalkan secara menyeluruh ataupun bersyarat Pasal dari undang-undang yang diuji sebagaimana ditetapkan dalam Pasal 57 ayat (1) dan (2) UU MK, yang menyatakan: 4 (1) Putusan Mahkamah Konstitusi yang amar putusannya menyatakan bahwa materi muatan ayat, pasal, dan/atau bagian undang-undang bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, materi muatan ayat, pasal, dan/atau bagian undang-undang tersebut tidak mempunyai kekuatan hukum mengikat. (2) Putusan Mahkamah Konstitusi yang amar putusannya menyatakan bahwa pembentukan undang-undang dimaksud tidak memenuhi ketentuan pembentukan undang-undang berdasarkan Undang- Undang Dasar Negara Republik Indonesia Tahun 1945, undang- undang tersebut tidak mempunyai kekuatan hukum mengikat” 8. Bahwa berdasarkan Pasal 2 ayat (1) Peraturan Mahkamah Konstitusi Nomor 2 Tahun 2021 tentang Tata Beracara Dalam Perkara Pengujian Undang- Undang (untuk selanjutnya disebut “PMK 2/2021”), menyatakan bahwa: (1) Objek Permohonan PUU adalah undang-undang dan Perppu. a. Bahwa objek pengujian a quo yang dimohonkan oleh Para Pemohon merupakan undang-undang yang masih masuk dalam ruang lingkup kewenangan Mahkamah Konstitusi sebagaimana diatur dalam yang masuk dalam Pasal 24C ayat (1) UUD 1945, Pasal 29 ayat (1) UU Kekuasaan Kehakiman, Pasal 10 ayat (1) huruf a dan Pasal 51A ayat (3) UU MK serta Pasal 9 ayat (1) UU PPP. 9. Bahwa berdasarkan seluruh uraian tersebut di atas, permohonan para Pemohon adalah permohonan pengujian konstitusionalitas kata “dan” pada akhir kalimat butir “b” dalam Pasal 53 ayat (1) Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, yang lengkapnya berbunyi sebagai berikut: (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: (a) pemrosesan Data Pribadi untuk kepentingan pelayanan publik; (b) kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan (c) kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana”. Pengujian pasal a quo akan dilakukan terhadap Pasal 28G ayat (1) UUD NRI 1945 yang berbunyi: Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, 5 serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat yang merupakan hak asasi. 10. Bahwa selanjutnya, berdasarkan uraian di atas, dalam hal para Pemohon memohon untuk melakukan Pengujian Undang-Undang terhadap UUD NRI 1945, maka Mahkamah Konstitusi memiliki kewenangan untuk memeriksa, mengadili, dan memutus permohonan a quo. II. KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON 1. Bahwa berdasarkan Pasal 51 ayat (1) UU MK mengatur bahwa: “Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya dirugikan oleh berlakunya undang-undang, yaitu: a. Perorangan warga negara Indonesia; b. Kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. Badan hukum publik atau privat; atau d. Lembaga negara” 2. Bahwa selanjutnya dalam Penjelasan Pasal 51 ayat (1) UU MK menyatakan bahwa: “Yang dimaksud dengan hak konstitusional adalah hak-hak yang diatur dalam Undang-Undang Dasar Negara Republik Indonesia Tahun 1945;” 3. Bahwa selanjutnya untuk memenuhi syarat kedudukan hukum sebagaimana dimaksud Pasal 51 ayat (1) UU MK tersebut di atas, perlu dijelaskan mengenai kualifikasi dan kerugian konstitusional dari masing-masing Pemohon. A. Kualifikasi 4. Kualifikasi Pemohon I sebagai perorangan ● Bahwa Pemohon I adalah Perseorangan Warga Negara Indonesia yang dibuktikan dengan kepemilikan Kartu Tanda Penduduk (KTP) dengan nomor kependudukan 1207280110010003; (vide bukti P-1) ● Bahwa Pemohon I merupakan Warga Negara Indonesia yang data pribadi daripada Pemohon berupa informasi kependudukan dan/atau informasi administratif kewarganegaraan-nya diproses oleh Organisasi Pemerintahan; ● Bahwa Pemohon I juga dalam kegiatan sehari-harinya mengakses dunia digital lewat beberapa platform digital yang tentunya terdapat data pribadi 6 daripada Pemohon yang diproses oleh berbagai perusahaan penyelenggara sistem elektronik tersebut; ● Bahwa Pemohon I merasa dirugikan dengan penggunaan kata “dan” pada akhir kalimat butir b dalam Pasal 53 ayat (1) UU PDP, karena Pemohon melihat kurang dijaminnya pelindungan data pribadi Pemohon, yang akan dijelaskan lebih lanjut; ● Bahwa berdasarkan fakta-fakta di atas, dapat disimpulkan bahwa Pemohon I merupakan subjek hukum orang-perorangan yang telah sesuai dengan Pasal 51 ayat (1) huruf a UU MK. 5. Kualifikasi Pemohon II sebagai perorangan ● Bahwa Pemohon II adalah Perseorangan Warga Negara Indonesia yang dibuktikan dengan kepemilikan Kartu Tanda Penduduk (KTP) dengan nomor kependudukan 3674031405030010; (vide bukti P-2) ● Bahwa Pemohon II merupakan Warga Negara Indonesia yang data pribadi daripada Pemohon berupa informasi kependudukan dan/atau informasi administratif kewarganegaraan-nya diproses oleh Organisasi Pemerintahan; ● Bahwa Pemohon II juga dalam kegiatan sehari-harinya mengakses dunia digital lewat beberapa platform digital yang tentunya terdapat data pribadi daripada Pemohon yang diproses oleh berbagai perusahaan penyelenggara sistem elektronik tersebut; ● Bahwa Pemohon II merasa dirugikan dengan adanya penggunaan kata “dan” pada akhir kalimat butir b dalam Pasal 53 ayat (1) UU PDP, karena Pemohon melihat kurang dijaminnya pelindungan data pribadi Pemohon, yang akan dijelaskan lebih lanjut; ● Bahwa berdasarkan fakta-fakta di atas, dapat disimpulkan bahwa Pemohon II merupakan subjek hukum orang-perorangan yang telah sesuai dengan Pasal 51 ayat (1) huruf a UU MK. B. Kerugian Konstitusional 6. Kemudian berdasarkan Putusan Mahkamah Konstitusi Nomor 006/PUU- III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007, dan berdasarkan Pasal 4 ayat (2) PMK 2/2021 2021, Mahkamah Konstitusi telah menetapkan 5 (lima) syarat agar dapat dianggap bahwa adanya kerugian 7 konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK, antara lain: a. ada hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD 1945; b. hak dan/atau kewenangan konstitusional Pemohon dirugikan oleh berlakunya undang-undang atau Perppu yang dimohonkan pengujian c. kerugian konstitusional dimaksud bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. ada hubungan sebab-akibat antara kerugian konstitusional dan berlakunya undang-undang atau Perppu yang dimohonkan pengujian; dan e. ada kemungkinan bahwa dengan dikabulkannya Permohonan, kerugian konstitusional seperti yang didalilkan tidak lagi atau tidak akan terjadi. 7. Bahwa untuk memenuhi kualifikasi sebagai para Pemohon yang memiliki hak konstitusional untuk mengajukan pengujian undang-undang terhadap UUD NRI 1945 sebagaimana dijelaskan pada dalil sebelumnya, maka perlu diuraikan kerugian konstitusional para Pemohon, sebagai berikut: 1) Para Pemohon memiliki hak konstitusional yang diberikan dan dijamin oleh UUD NRI 1945, yaitu hak atas perlindungan diri pribadi, yang mana berkaitan dengan hak atas pelindungan data pribadi, sebagaimana yang tertuang dalam Pasal 28G ayat (1) yang selengkapnya berbunyi sebagai berikut: “setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi.” 2) Hak/kewenangan konstitusional para Pemohon dirugikan oleh berlakunya Pasal 53 ayat (1) UU PDP  Pasal 53 ayat (1) UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang 8 bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.”  Pengaturan dalam Pasal 53 ayat (1) UU PDP merupakan bentuk pengaturan yang memberikan beban kewajiban bagi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk Pejabat atau Petugas yang melaksanakan fungsi Pelindungan Data Pribadi, serta kriteria yang harus dipenuhi terlebih dahulu oleh Pengendali Data Pribadi dan Prosesor Data Pribadi agar menimbulkan kewajiban untuk menunjuk Pejabat atau Petugas yang melaksanakan fungsi Pelindungan Data Pribadi (untuk selanjutnya disebut “PPDP”). ● Berdasarkan Pasal 1 angka 4 UU PDP, Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi (untuk selanjutnya disebut sebagai “Pengendali Data”). Kemudian, berdasarkan Pasal 1 angka 5 UU PDP, Prosesor Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi (untuk selanjutnya disebut sebagai “Prosesor Data”). ● Namun kriteria penunjukan PPDP tersebut dirumuskan secara kumulatif dengan penggunaan kata “dan” pada akhir kalimat butir “b” Pasal 53 ayat (1) UU PDP. Dimana, jika mengacu pada Butir 88 Bab I tentang Kerangka Peraturan Perundang-undangan Huruf C tentang Batang Tubuh dalam Lampiran II Undang-Undang Nomor 12 Tahun 2011 Tentang Pembentukan Peraturan Perundang-Undangan (vide bukti P-5), dinyatakan bahwa “Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakan di belakang rincian kedua dari rincian terakhir”. Hal ini berarti kriteria penunjukan PPDP yang dirumuskan dengan penggunaan kata “dan” merupakan kriteria yang bersifat kumulatif, yang artinya Pengendali Data dan Prosesor Data baru diwajibkan untuk menunjuk PPDP apabila memenuhi seluruh atau ketiga kriteria pada butir a, b, 9 dan c pada Pasal 53 ayat (1) UU PDP tersebut secara bersamaan atau keseluruhan. ● Konstruksi Pasal 53 ayat (1) UU PDP yang dirumuskan secara kumulatif tersebut telah mempersempit cakupan dari organisasi Pengendali Data dan Prosesor Data yang diwajibkan untuk melakukan penunjukan PPDP. Dalam hal ini, organisasi Pengendali Data dan Prosesor Data yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat dalam Pasal 53 ayat (1) UU PDP menjadi tidak diwajibkan untuk menunjuk PPDP. ● Padahal, masing-masing kriteria dalam butir a, b, dan c pada Pasal 53 ayat (1) UU PDP merupakan kriteria aktivitas pemrosesan Data Pribadi yang dikategorikan sebagai pemrosesan Data Pribadi yang memiliki potensi risiko tinggi terhadap Subjek Data Pribadi (high-risk data processing activities), yang juga ditegaskan juga dalam Pasal 34 ayat (2) UU PDP, yaitu: “Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi.” ● Sehingga, organisasi-organisasi Pengendali Data dan Prosesor Data yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) kriteria persyaratan dalam pasal 53 ayat (1) UU PDP sejatinya merupakan organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas pemrosesan Data Pribadi yang memiliki risiko tinggi (high-risk data processing activities). 10 ● Suatu aktivitas pemrosesan Data Pribadi dikategorikan sebagai aktivitas pemrosesan Data Pribadi yang berisiko tinggi terhadap Subjek Data Pribadi (high-risk data processing activities) apabila aktivitas pemrosesannya menimbulkan risiko yang tinggi untuk terancamnya perlindungan terhadap hak dari Subjek Data Pribadi, khususnya, aktivitas pemrosesan tersebut membuat Subjek Data Pribadi lebih sulit untuk melaksanakan/menggunakan Hak Subjek Data Pribadi. (vide bukti P-6) ● Pelindungan terhadap Hak Subjek Data Pribadi termasuk jaminan dalam melaksanakan Hak tersebut diwujudkan melalui pelaksanaan pemrosesan data pribadi yang sesuai dengan Prinsip Pelindungan Data Pribadi sebagaimana yang dimaksud dalam Pasal 16 ayat (2) UU PDP beserta kepatuhan Pengendali Data dan Prosesor Data terhadap kewajibannya dalam UU PDP dan peraturan lain yang berkaitan dengan pelindungan data pribadi. ● Sebagai konsekuensi dari melakukan aktivitas pemrosesan Data Pribadi berisiko tinggi terhadap Subjek Data Pribadi, seyogyanya Pengendali Data dan Prosesor Data tersebut justru memperoleh pengawasan yang lebih dalam hal kepatuhan terhadap UU PDP dan peraturan lain yang berkaitan dengan pelindungan data pribadi (terkhusus kepatuhan terhadap prinsip pelindungan data pribadi dan kewajiban Pengendali Data dan Prosesor Data) dalam pelaksanaan pemrosesan data pribadi yang berisiko tinggi tersebut lewat kehadiran peran PPDP di dalam organisasi Pengendali Data dan Prosesor Data. ● Penggunaan kata “dan” dalam rumusan Pasal 53 ayat (1) UU PDP membuat Para Pemohon yang juga merupakan Subjek Data Pribadi merasa Data Pribadi miliknya tidak terlindungi dengan baik apabila Data Pribadi miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities), namun tidak diawasi secara lebih dalam hal kepatuhan terhadap UU PDP dan peraturan lain yang berkaitan 11 terhadap pelindungan data pribadi, terutama mengenai kewajiban- kewajiban dari Pengendali Data dan Prosesor Data. ● Bahwa kondisi tersebut berpotensi merugikan para Pemohon untuk mendapatkan jaminan pelindungan terhadap Data Pribadinya yang merupakan salah satu bentuk jaminan perlindungan dari hak untuk mendapatkan perlindungan diri pribadi sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI 1945. 3) Kerugian konstitusional para Pemohon bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi. ● Mengingat para Pemohon merupakan warga negara yang kesehariannya tidak terlepas dalam menggunakan teknologi dan tidak terlepas pula dengan Data-data Pribadi baik dalam bentuk elektronik maupun non-elektronik yang dimiliki dan melekat pada diri Para Pemohon yang digunakan untuk kepentingan pribadi dalam berbagai kegiatan. Dimana, Data Pribadi Para Pemohon juga secara nyata telah dikelola oleh organisasi Pengendali Data dan Prosesor Data termasuk Pengendali Data dan/atau Prosesor Data yang aktivitas pemrosesan data pribadinya memiliki risiko yang tinggi (dengan memenuhi baik salah satu atau lebih di antara butir a, b, dan/atau c dalam Pasal 53 ayat (1) UU PDP). ● Kemudian, selain dari Pengendali Data dan Prosesor Data dalam bentuk Organisasi Privat, Para Pemohon yang merupakan Warga Negara Indonesia tentunya Data Pribadi daripada Para Pemohon akan diproses oleh Institusi Negara untuk keperluan administratif kependudukan atau pelayanan publik. Institusi Negara yang memproses Data Pribadi seluruh masyarakat Indonesia untuk kepentingan pelayanan publik dalam skala yang besar juga telah melakukan aktivitas pemrosesan Data Pribadi yang berisiko tinggi. ● Sehingga, kepatuhan Pengendali Data dan Prosesor Data yang aktivitas pemrosesan Data Pribadi-nya memiliki risiko yang tinggi terhadap prinsip pelindungan data pribadi dan seluruh kewajibannya dalam UU PDP dan peraturan lain yang berkaitan dengan Pelindungan 12 Data Pribadi merupakan hal esensial untuk menjamin Pelindungan terhadap Data Pribadi milik para Pemohon dalam kapasitas sebagai Subjek Data Pribadi yang diproses oleh Pengendali Data dan Prosesor Data yang aktivitas pemrosesan Data Pribadi-nya memiliki risiko yang tinggi ● Dengan dipersempitnya cakupan Pengendali Data dan Prosesor Data yang diwajibkan untuk melakukan penunjukan PPDP di dalam organisasinya, penggunaan kata “dan” dalam Pasal 53 ayat (1) UU PDP dengan demikian berpotensi meniadakan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap kewajiban dari organisasi Pengendali Data dan Prosesor Data yang dikategorikan melakukan aktivitas pemrosesan Data Pribadi-nya memiliki risiko yang tinggi dengan memenuhi salah satu atau salah dua dari kriteria dalam Pasal 53 ayat (1) UU PDP. ● Pengaturan Pasal 53 ayat (1) UU PDP tersebut, berpotensi membuat organisasi Pengendali Data dan Prosesor Data yang aktivitas pemrosesan data pribadinya berisiko tinggi menjadi tidak patuh terhadap kewajibannya sebagaimana yang diatur di dalam UU PDP dan peraturan lain yang berkaitan dengan pelindungan data pribadi. ● Dengan demikian, bagi para Pemohon yang Data Pribadinya secara nyata di proses oleh Pengendali Data dan Prosesor Data yang aktivitas pemrosesan Data Pribadi memiliki risiko yang tinggi terhadap Hak Subjek Data. Maka, hal ini berpotensi menimbulkan ancaman terhadap keamanan dan jaminan pelindungan dari Data Pribadi para Pemohon sebagai Subjek Data Pribadi yang dikelola oleh Pengendali Data dan Prosesor Data yang tidak patuh terhadap kewajibannya. ● Hal tersebut jelas menimbulkan potensi yang menurut penalaran yang wajar dapat dipastikan akan terjadi merugikan hak konstitusional para Pemohon yaitu jaminan terhadap pelindungan Data Pribadinya yang merupakan bentuk dari Hak perlindungan diri pribadi sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI 1945. 13 4) Berdasarkan penjelasan atau uraian-uraian kerugian konstitusional para Pemohon tersebut di atas, secara jelas dan nyata terdapat hubungan sebab akibat (causal verband) antara kerugian konstitusional yang sifatnya potensial akan diderita oleh para Pemohon dengan berlakunya pasal yang diuji konstitusionalitasnya itu. ● Bahwa materi muatan dalam Pasal 53 ayat (1) UU PDP yang syarat kriterianya diatur secara kumulatif dengan menggunakan kata “dan” pada akhir kalimat butir “b” telah mempersempit cakupan dari organisasi Pengendali Data dan Prosesor Data yang diwajibkan untuk melakukan penunjukan PPDP. Dimana organisasi Pengendali Data dan Prosesor Data yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat dalam Pasal 53 ayat (1) UU PDP menjadi tidak diwajibkan untuk menunjuk PPDP. ● Padahal, organisasi-organisasi yang hanya memenuhi salah 1 (satu) kriteria persyaratan dalam pasal 53 ayat (1) UU PDP sejatinya memiliki aktivitas pemrosesan data pribadi yang memiliki risiko tinggi (high-risk data processing activities), sehingga membutuhkan pengawasan lebih dalam hal kepatuhan terhadap pemenuhan kewajibannya. ● Hal tersebut telah memunculkan potensi tidak adanya pengawasan melalui seorang PPDP dalam organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas pemrosesan data pribadi yang memiliki risiko tinggi. Dengan demikian, semakin rendah pengawasan dalam aktivitas pemrosesan data yang memiliki resiko tinggi berpotensi menyebabkan meningkatnya resiko buruk yang dapat terjadi pada Data Pribadi dari Subjek Data Pribadi termasuk Para Pemohon. ● Dengan begitu, setidak-tidaknya dalam penalaran yang wajar bahwa Pasal 53 (1) UU PDP yang syarat kriterianya dikonstruksikan secara kumulatif dengan menggunakan kata “dan” pada akhir kalimat butir “b” sangat berpotensi menimbulkan kerugian konstitusional bagi Pelindungan Data Pribadi milik Para Pemohon yang merupakan salah satu bentuk perwujudan dari Hak Perlindungan Diri Pribadi Para 14 Pemohon sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI 1945. 5) Jika Mahkamah mengabulkan permohonan ini, maka dalam penalaran yang wajar, kerugian hak konstitusional para Pemohon akan potensi terancamnya keamanan Data Pribadi para Pemohon yang termasuk kedalam bentuk hak atas perlindungan diri sendiri sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI 1945 tidak akan terjadi. III. ALASAN-ALASAN PARA PEMOHON A. Data Pribadi sebagai bagian dari Hak Asasi Manusia 1. Pada dasarnya data pribadi adalah data atau informasi yang berhubungan dengan seseorang, sehingga dapat digunakan secara langsung atau tidak langsung untuk mengidentifikasi seseorang yang padanya melekat data atau informasi pribadi tersebut. (vide bukti P-7) 2. Data pribadi pada prinsipnya berhubungan erat dengan privasi seperti yang dikemukakan oleh Alan Westin (1967:7) yang untuk pertama kali mendefinisikan privasi sebagai hak individu, grup atau lembaga untuk menentukan apakah informasi tentang mereka akan dikomunikasikan atau tidak kepada pihak lain. Sehingga definisi yang dikemukakan oleh Westin disebut dengan information privacy karena menyangkut informasi pribadi. (vide bukti P-8) 3. Kemudian, sebagaimana yang dipaparkan oleh Warren dan Brandeis (1890:1) yang menulis sebuah artikel di dalam Jurnal Ilmiah, Fakultas Hukum, Universitas Harvard yang berjudul “The Right to Privacy”, menyatakan bahwa privasi perlu dan penting untuk dilindungi karena: a. Dalam membina hubungan dengan orang lain, seseorang harus menutupi sebagian kehidupan pribadinya sehingga dia dapat mempertahankan posisinya pada tingkat tertentu; b. Seseorang di dalam kehidupannya memerlukan waktu untuk dapat menyendiri (solitude) sehingga privasi sangat diperlukan oleh seseorang; 15 c. Privasi adalah hak yang berdiri sendiri dan tidak bergantung kepada hak lain akan tetapi hak ini akan hilang apabila orang tersebut mempublikasikan hal-hal yang bersifat pribadi kepada umum; d. Privasi juga termasuk hak seseorang untuk melakukan hubungan domestik termasuk bagaimana seseorang membina perkawinan, membina keluarganya dan orang lain tidak boleh mengetahui hubungan pribadi tersebut sehingga kemudian Warren menyebutnya sebagai the right against the word; e. Dalam pelanggaran privasi terdapat kerugian yang diderita sulit untuk dinilai. Kerugiannya dirasakan jauh lebih besar dibandingkan dengan kerugian fisik, karena telah mengganggu kehidupan pribadinya, sehingga bila terdapat kerugian yang diderita maka pihak korban wajib mendapatkan kompensasi. 4. Mengingat Data pribadi sebagai salah satu bentuk dari hak terhadap privasi yaitu information privacy. Maka, pelanggaran, penyalahgunaan, dan pengungkapan secara melawan hukum terhadap suatu data atau informasi pribadi dapat mengakibatkan pelanggaran terhadap hak privasi yang merupakan pelanggaran terhadap keutuhan pribadi individu dan juga berakibat pada terlanggarnya hak-hak lain dari individu. Selain itu, karena data pribadi melekat pada perorangan, maka perlindungan terhadap data pribadi merupakan perwujudan dari pelindungan terhadap Hak Privasi seseorang yang merupakan salah satu bagian dari Hak Asasi Manusia yang wajib dijamin dan dilindungi oleh negara. 5. Konsep Data Pribadi yang merupakan bentuk dari Hak terhadap Privasi semakin menjadi relevan terlebih dalam era digital saat ini, dimana adanya aktivitas pertukaran dan pengelolaan data pribadi semakin meningkat lewat media elektronik dan internet yang bahkan memungkinkan aktivitas pertukaran dan pengelolaan data pribadi tersebut dilakukan secara lintas batas antar negara maupun antar masyarakat, maka hal tersebut telah menjadikan data pribadi yang merupakan salah satu bentuk dari Hak Privasi, sebagai Hak Asasi Manusia yang bersifat universal. Hal ini dapat dilihat dari berbagai negara maupun organisasi internasional, yang telah membentuk kerangka hukum (framework) 16 bersama terkait Pelindungan Data Pribadi, seperti Uni-Eropa dengan membentuk General Data Protection Regulation, maupun ASEAN dengan membentuk ASEAN Personal Data Protection Framework. 6. Dengan demikian, dapat dipahami bahwa dalam era perkembangan digital, pemahaman pelaksanaan Hak Asasi Manusia yang selama ini terbagi menjadi 2 kutub, antara universalisme dan partikularisme, telah runtuh. Hal ini sejalan dengan yang dikemukakan oleh Yudi Latif (2011:224), yang menyatakan bahwa munculnya revolusi teknologi komunikasi telah menimbulkan globalisasi kehidupan ekonomi, politik, dan sosial, dan telah membuat HAM jadi “di universalkan”. Bahkan HAM telah menjadi sebuah budaya baru dalam masyarakat global, tak terkecuali bagi negara-negara timur yang selama ini memiliki kecenderungan melaksanakan HAM secara partikular. 7. Terkhusus pada negara Indonesia, walaupun pelaksanaan HAM tetap disesuaikan dengan ideologi Pancasila, namun mengacu pada pembukaan Alinea ke-4, UUD NRI Tahun 1945, yang secara tegas menyatakan bahwa pembentukan Pemerintah Negara Indonesia, memiliki tujuan untuk melindungi segenap bangsa Indonesia, maka, pelindungan terhadap Hak Privasi masyarakat, yang salah satunya adalah dengan menjamin pelindungan data pribadi, justru merupakan perwujudan pemerintah Indonesia untuk mencapai tujuan negara Indonesia. 8. Selain itu, perkembangan teknologi digital juga telah menjadikan swasta atau perusahaan-perusahaan pemilik kekuasaan digital serta aplikasi- aplikasi yang telah menjadi bagian dari kehidupan seluruh warga dunia, menjadi institusi atau organ tersendiri yang memiliki kekuasaan sebagaimana organ negara lainnya. Dan oleh karenanya aktor kekuasaan non-negara tersebut pada lingkungan digital, berperan sebagai aktor dominan baru, yang berpotensi menjadi penjamin sekaligus pelanggar hak-hak fundamental (Celeste, 2019). Hal tersebut telah mendorong pembentukan pemahaman yang lebih modern terkait prinsip-prinsip konstitusionalisme dalam era digital, yang dinamakan oleh Celeste sebagai Konstitusionalisme Digital. Pada prinsipnya, proyek konstitusionalisme digital adalah ‘memikirkan kembali bagaimana 17 pelaksanaan kekuasaan harus dibatasi (dibuat sah) di era digital. Dengan demikian, konstitusionalisme digital, memiliki 2 fungsi utama, yakni untuk memastikan perlindungan hak-hak dasar dan untuk membatasi munculnya kekuasaan di luar kontrol konstitusional. 9. Oleh karena itu, konstitusionalisme digital mengungkapkan nilai-nilai yang sangat penting bagi era digital, dimana hak-hak dasar warga negara menjadi lebih rentan dilanggar dengan hadirnya aktor kekuasaan non- negara yang baru dan dominan dalam era digital, dan oleh karenanya harus ditegaskan kembali prinsip-prinsip konstitusionalisme dalam era digital. Mengingat bahwa negara Indonesia selaku negara yang menganut prinsip-prinsip Konstitusionalisme dalam UUD NRI Tahun 1945, maka dalam rangka menghadapi perkembangan teknologi digital, perlu juga untuk mengembangkan prinsip-prinsip Konstitusionalisme Digital, terutama dalam rangka perlindungan data pribadi sebagai salah satu wujud perlindungan terhadap hak mendasar warga negara. 10. Terkait pengakuan Data Pribadi sebagai Hak Asasi Manusia di Indonesia, walaupun tidak secara eksplisit dinyatakan dalam UUD NRI Tahun 1945, namun terkait Hak atas Privasi yang merupakan dasar dari Hak atas Pelindungan Data Pribadi merupakan amanat dari Pasal 28G ayat (1), yang menyebutkan bahwa setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi manusia. Hak atas Privasi juga termaktub dalam Pasal 29 ayat (1) dan Pasal 30 Undang-Undang Nomor 39 tahun 1999 tentang Hak Asasi Manusia (vide bukti P-9). Hak atas Privasi sebagai Hak Asasi Manusia juga telah diakui oleh Mahkamah Konstitusi melalui Putusan Mahkamah Konstitusi Nomor 5/PUU-VIII/2010, yang dalam pertimbangan hukumnya secara tegas menyatakan bahwa “Rights of privacy merupakan bagian dari hak asasi manusia yang dapat dibatasi (derogable rights)” (vide bukti P-10) yang artinya Mahkamah Konstitusi telah mengakui Hak atas Privasi termasuk Hak atas Pelindungan Data Pribadi juga merupakan bagian dari Hak Asasi Manusia. 18 11. Berdasarkan hal demikian, Negara Indonesia telah membentuk UU PDP yang merupakan bentuk pelaksanaan dari penjaminan terhadap Hak Pelindungan Data Pribadi sebagaimana diakui dalam Naskah Akademik serta Penjelasan Umum UU PDP, yang menyatakan bahwa Undang- Undang tentang Pelindungan Data Pribadi merupakan amanat dari Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945. 12. Selain itu, sebagaimana yang dinyatakan dalam konsiderans UU PDP, sebagai politik hukum dibentuknya UU PDP, yang menyatakan bahwa pelindungan data pribadi merupakan salah satu hak asasi manusia yang merupakan bagian dari pelindungan diri pribadi, perlu diberikan landasan hukum untuk memberikan keamanan atas data pribadi berdasarkan UUD NRI 1945. Kemudian, dalam konsiderans UU PDP, juga disebutkan bahwa pelindungan data pribadi ditujukan untuk menjamin hak warga negara atas pelindungan diri pribadi dan menumbuhkan kesadaran masyarakat serta menjamin pengakuan dan penghormatan atas pentingnya pelindungan data pribadi. 13. Mengacu pada Pasal 1 Angka 2 UU PDP, yang menyatakan bahwa “Pelindungan Data Pribadi adalah keseluruhan upaya untuk melindungi Data Pribadi dalam rangkaian pemrosesan Data Pribadi guna menjamin hak konstitusional subjek Data Pribadi.”, maka dapat disimpulkan bahwa tujuan dari lahirnya UU PDP adalah bertujuan untuk menjamin pelaksanaan hak konstitusional subjek Data Pribadi, yakni hak atas perlindungan diri pribadi dalam bentuk pelindungan terhadap data pribadi, yang merupakan manifestasi dari perlindungan diri pribadi dalam Pasal 28G ayat (1) UUD NRI 1945. B. Pelaksanaan Peran Dan Fungsi Masing-Masing Pihak dalam UU PDP Berkaitan Dengan Tercapainya Tujuan Dari UU PDP 14. Dalam UU PDP terdapat 5 (lima) pihak yang dikenal dan diatur, yaitu: a. Pemilik data atau dalam UU PDP disebut sebagai Subjek Data Pribadi yang merupakan orang perseorangan yang pada dirinya melekat Data Pribadi (untuk selanjutnya disebut sebagai “Subjek Data”); 19 b. Pengendali Data Pribadi yang merupakan setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi (untuk selanjutnya disebut sebagai “Pengendali Data”); c. Prosesor Data Pribadi merupakan setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama- sama dalam melakukan pemrosesan Data Pribadi atas nama Pengendali Data Pribadi (untuk selanjutnya disebut sebagai “Prosesor Data”); d. Lembaga penyelenggara pelindungan data pribadi; dan e. Pejabat atau Petugas yang melaksanakan fungsi pelindungan data pribadi yang merupakan pejabat atau petugas yang bertanggung jawab untuk memastikan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi (untuk selanjutnya disebut sebagai “PPDP”). 15. Kehadiran masing-masing pihak di atas berhubungan erat tercapainya tujuan dari UU PDP yaitu untuk melindungi hak konstitusional dari Subjek Data dalam aktivitas pemrosesan data pribadi. Untuk menjamin tercapainya tujuan pelindungan yaitu jaminan terhadap hak dari Subjek Data diwujudkan lewat peran dan fungsi dari masing-masing pihak, Pengaturan tentang Kewajiban yang dibebankan kepada Pengendali Data dan Prosesor Data, Pengaturan Kewenangan dari Lembaga, dan juga Tugas dari PPDP. 16. Pengendali Data merupakan pihak yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi, Pengendali Data dapat melakukan pemrosesan data pribadi secara sendiri, bersama-sama dengan Pengendali Data lain atau dapat menunjuk Prosesor Data yang merupakan pihak yang melakukan pemrosesan data pribadi atas nama Pengendali Data. Pengendali Data dan Prosesor Data sendiri dapat dilakukan oleh Orang perseorangan, Korporasi (Berbadan Hukum atau tidak Berbadan Hukum), Badan Publik, dan juga Organisasi Internasional. 20 17. Dalam pelaksanaannya, Pengendali Data dan Prosesor Data sering kita kenal dalam bentuk perusahaan-perusahaan yang merupakan Penyelenggara Sistem Elektronik dalam lingkup privat dalam sektor perdagangan seperti (e-commerce), sektor kesehatan (e-health), sektor Teknologi Informasi dan Komunikasi, sektor keuangan (e-finance), maupun Penyelenggara Sistem Elektronik dalam lingkup publik seperti e- government. 18. Para Penyelenggara Sistem Elektronik tersebut sebagai Pengendali Data dan Prosesor Data melakukan kegiatan mengumpulkan dan memproses Data Pribadi dari konsumennya, atau Penyelenggara Sistem Elektronik lingkup Publik seperti lembaga negara yang mengumpulkan Data Pribadi dari masyarakat untuk kepentingan tertentu. 19. Aktivitas Pemrosesan Data Pribadi yang dilakukan oleh Pengendali Data dan Prosesor Data mulai dari pemerolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, dan/atau penghapusan atau pemusnahan. 20. Dalam melakukan aktivitas pemrosesan data pribadi tersebut Pengendali Data dan Prosesor Data bertanggung jawab untuk melaksanakan pemrosesan data pribadi sesuai dengan Prinsip-prinsip Pelindungan Data Pribadi dalam pasal 16 ayat (2) UU PDP, yaitu: a. Pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan; b. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya; c. pemrosesan Data Pribadi dilakukan dengan menjamin hak Subjek Data Pribadi; d. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan; e. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan Data Pribadi; 21 f. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan Pelindungan Data Pribadi; g. Data Pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan Subjek Data Pribadi, kecuali ditentukan lain oleh peraturan perundang undangan; dan h. pemrosesan Data Pribadi dilakukan secara bertanggung jawab dan dapat dibuktikan secara jelas. 21. Untuk menjamin tanggung jawab dalam melakukan pemrosesan data yang berdasarkan prinsip pelindungan data pribadi, Pengendali Data dan Prosesor Data dibebankan untuk memenuhi kewajiban-kewajiban dalam pelaksanaannya sebagaimana yang diatur di dalam Pasal 20 hingga Pasal 50 UU PDP yang merupakan kewajiban dari Pengendali Data dan Pasal 51 hingga Pasal 52 UU PDP yang merupakan kewajiban dari Prosesor Data. 22. Adapun kewajiban-kewajiban dari Pengendali Data Pribadi adalah sebagai berikut: ● Pasal 20 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi. (2) Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; b. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; c. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau f. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan 22 kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. ● Pasal 21 UU PDP yang selengkapnya berbunyi: (1) Dalam hal pemrosesan Data Pribadi berdasarkan persetujuan sebagaimana dimaksud dalam Pasal 20 ayat (2) huruf a, Pengendali Data Pribadi wajib menyampaikan Informasi mengenai: a. legalitas dari pemrosesan Data Pribadi; b. tujuan pemrosesan Data Pribadi; c. jenis dan relevansi Data Pribadi yang akan diproses; d. jangka waktu retensi dokumen yang memuat Data Pribadi; e. rincian mengenai Informasi yang dikumpulkan; f. jangka waktu pemrosesan Data Pribadi; dan g. hak Subjek Data Pribadi. (2) Dalam hal terdapat perubahan Informasi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memberitahukan kepada Subjek Data Pribadi sebelum terjadi perubahan Informasi. ● Pasal 22 UU PDP yang selengkapnya berbunyi: (1) Persetujuan pemrosesan Data Pribadi dilakukan melalui persetujuan tertulis atau terekam. (2) Persetujuan sebagaimana dimaksud pada ayat (1) dapat disampaikan secara elektronik atau nonelektronik. (3) Persetujuan sebagaimana dimaksud pada ayat (1) mempunyai kekuatan hukum yang sama. (4) Dalam hal persetujuan sebagaimana dimaksud pada ayat (1) memuat tujuan lain, permintaan persetujuan harus memenuhi ketentuan: a. dapat dibedakan secara jelas dengan hal lainnya; b. dibuat dengan format yang dapat dipahami dan mudah diakses; dan c. menggunakan bahasa yang sederhana dan jelas. (5) Persetujuan yang tidak memenuhi ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (4) dinyatakan batal demi hukum. ● Pasal 23 UU PDP yang selengkapnya berbunyi: Klausul perjanjian yang di dalamnya terdapat permintaan pemrosesan Data Pribadi yang tidak memuat persetujuan yang sah secara eksplisit dari Subjek Data Pribadi dinyatakan batal demi hukum. ● Pasal 24 UU PDP yang selengkapnya berbunyi: Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh Subjek Data Pribadi. 23 ● Pasal 25 UU PDP yang selengkapnya berbunyi: (1) Pemrosesan Data Pribadi anak diselenggarakan secara khusus. (2) Pemrosesan Data Pribadi anak sebagaimana dimaksud pada ayat (1) wajib mendapat persetujuan dari orang tua anak dan/atau wali anak sesuai dengan ketentuan peraturan perundang-undangan. ● Pasal 26 UU PDP yang selengkapnya berbunyi: (1) Pemrosesan Data Pribadi penyandang disabilitas diselenggarakan secara khusus. (2) Pemrosesan Data Pribadi penyandang disabilitas sebagaimana dimaksud pada ayat (1) melalui komunikasi dengan menggunakan cara tertentu sesuai dengan ketentuan perundang-undangan. (3) Pemrosesan Data Pribadi penyandang disabilitas sebagaimana dimaksud pada ayat (2) wajib mendapat persetujuan dari penyandang disabilitas dan/atau wali penyandang disabilitas sesuai dengan ketentuan peraturan perundang-undangan. ● Pasal 27 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi secara terbatas dan spesifik, sah secara hukum, dan transparan. ● Pasal 28 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melakukan pemrosesan Data Pribadi sesuai dengan tujuan pemrosesan Data Pribadi. ● Pasal 29 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan. (2) Dalam memastikan akurasi, kelengkapan, dan konsistensi Data Pribadi sebagaimana dimaksud pada ayat (l) Pengendali Data Pribadi wajib melakukan verifikasi. ● Pasal 30 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib memperbarui dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan pembaruan dan/atau perbaikan Data Pribadi. (2) Pengendali Data Pribadi wajib memberitahukan hasil pembaruan dan/atau perbaikan Data Pribadi kepada Subjek Data Pribadi. ● Pasal 31 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan Data Pribadi. 24 ● Pasal 32 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib memberikan akses kepada Subjek Data Pribadi terhadap Data Pribadi yang diproses beserta rekam jejak pemrosesan Data Pribadi sesuai dengan jangka waktu penyimpanan Data Pribadi. (2) Akses sebagaimana dimaksud pada ayat (1) diberikan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan akses. ● Pasal 33 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib menolak memberikan akses perubahan terhadap Data Pribadi kepada Subjek Data Pribadi dalam hal: a. membahayakan keamanan, kesehatan fisik, atau kesehatan mental Subjek Data Pribadi dan/atau orang lain; b. berdampak pada pengungkapan Data Pribadi milik orang lain; dan/atau c. bertentangan dengan kepentingan pertahanan dan keamanan nasional. ● Pasal 34 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi. (2) Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi. (3) Ketentuan lebih lanjut mengenai penilaian dampak Pelindungan Data Pribadi diatur dalam Peraturan Pemerintah. ● Pasal 35 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan: a. penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi 25 yang bertentangan dengan ketentuan peraturan perundang- undangan; dan b. penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi. ● Pasal 36 UU PDP yang selengkapnya berbunyi: Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menjaga kerahasiaan Data Pribadi. ● Pasal 37 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melakukan pengawasan terhadap setiap pihak yang terlibat dalam pemrosesan Data Pribadi di bawah kendali Pengendali Data Pribadi. ● Pasal 38 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib melindungi Data Pribadi dari pemrosesan yang tidak sah. ● Pasal 39 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah. (2) Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan menggunakan sistem keamanan terhadap Data Pribadi yang diproses dan/atau memproses Data Pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab. (3) Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. ● Pasal 40 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib menghentikan pemrosesan Data Pribadi dalam hal Subjek Data Pribadi menarik kembali persetujuan pemrosesan Data Pribadi. (2) Penghentian pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penarikan kembali persetujuan pemrosesan Data Pribadi. ● Pasal 41 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib melakukan penundaan dan pembatasan pemrosesan Data Pribadi baik sebagian maupun seluruhnya paling lambat 3 x 24 (tiga kali dua puluh empat) jam terhitung sejak Pengendali Data Pribadi menerima permintaan penundaan dan pembatasan pemrosesan Data Pribadi. 26 (2) Penundaan dan pembatasan pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal: a. terdapat ketentuan peraturan perundang-undangan yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi; b. dapat membahayakan keselamatan pihak lain; dan/atau c. Subjek Data Pribadi terikat perjanjian tertulis dengan Pengendali Data Pribadi yang tidak memungkinkan dilakukan penundaan dan pembatasan pemrosesan Data Pribadi. (3) Pengendali Data Pribadi wajib memberitahukan telah dilaksanakan penundaan dan pembatasan pemrosesan Data Pribadi kepada Subjek Data Pribadi. ● Pasal 42 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib mengakhiri pemrosesan Data Pribadi dalam hal: a. telah mencapai masa retensi; b. tujuan pemrosesan Data Pribadi telah tercapai; atau c. terdapat permintaan dari Subjek Data Pribadi. (2) Pengakhiran pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang-undangan. ● Pasal 43 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib menghapus Data Pribadi dalam hal: a. Data Pribadi tidak lagi diperlukan untuk pencapaian tujuan pemrosesan Data Pribadi; b. Subjek Data Pribadi telah melakukan penarikan kembali persetujuan pemrosesan Data Pribadi; c. terdapat permintaan dari Subjek Data Pribadi; atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Penghapusan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang- undangan. ● Pasal 44 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi wajib memusnahkan Data Pribadi dalam hal: a. telah habis masa retensinya dan berketerangan dimusnahkan berdasarkan jadwal retensi arsip; b. terdapat permintaan dari Subjek Data Pribadi; c. tidak berkaitan dengan penyelesaian proses hukum suatu perkara; dan/atau d. Data Pribadi diperoleh dan/atau diproses dengan cara melawan hukum. (2) Pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sesuai dengan ketentuan peraturan perundang- undangan. 27 ● Pasal 45 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib memberitahukan penghapusan dan/atau pemusnahan Data Pribadi kepada Subjek Data Pribadi. ● Pasal 46 UU PDP yang selengkapnya berbunyi: (1) Dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada: a. Subjek Data Pribadi; dan b. lembaga. (2) Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) minimal memuat: a. Data Pribadi yang terungkap; b. kapan dan bagaimana Data Pribadi terungkap; dan c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh Pengendali Data Pribadi. (3) Dalam hal tertentu, Pengendali Data Pribadi wajib memberitahukan kepada masyarakat mengenai kegagalan Pelindungan Data Pribadi. ● Pasal 47 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi wajib bertanggung jawab atas pemrosesan Data Pribadi dan menunjukkan pertanggungjawaban dalam pemenuhan kewajiban pelaksanaan prinsip Pelindungan Data Pribadi. ● Pasal 48 UU PDP yang selengkapnya berbunyi: (1) Pengendali Data Pribadi berbentuk badan hukum yang melakukan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum wajib menyampaikan pemberitahuan pengalihan Data Pribadi kepada Subjek Data Pribadi. (2) Pemberitahuan pengalihan Data Pribadi sebagaimana dimaksud pada ayat (1) dilakukan sebelum dan sesudah penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum. (3) Dalam hal Pengendali Data Pribadi berbentuk badan hukum melakukan pembubaran atau dibubarkan, penyimpanan, pentransferan, penghapusan, atau pemusnahan Data Pribadi dilaksanakan sesuai dengan ketentuan peraturan perundang- undangan. (4) Penyimpanan, pentransferan, penghapusan, atau pemusnahan Data Pribadi sebagaimana dimaksud pada ayat (3) diberitahukan kepada Subjek Data Pribadi. (5) Ketentuan lebih lanjut mengenai tata cara pemberitahuan sebagaimana dimaksud pada ayat (1), ayat (2), dan ayat (4) diatur dalam Peraturan Pemerintah. 28 ● Pasal 49 UU PDP yang selengkapnya berbunyi: Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib melaksanakan perintah lembaga dalam rangka penyelenggaraan Pelindungan Data Pribadi sesuai dengan undang-undang ini. ● Pasal 50 UU PDP yang selengkapnya berbunyi: (1) Kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 30, Pasal 32, Pasal 36, Pasal 42, Pasal 43 ayat (1) huruf a sampai dengan huruf c, Pasal 44 ayat (1) huruf b, Pasal 45, dan Pasal 46 ayat (1) huruf a, dikecualikan untuk: a. kepentingan pertahanan dan keamanan nasional; b. kepentingan proses penegakan hukum; c. kepentingan umum dalam rangka negara; atau d. kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara. (2) Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang. 23. Adapun kewajiban-kewajiban dari Prosesor Data Pribadi adalah sebagai berikut: ● Pasal 51 UU PDP yang selengkapnya berbunyi: (1) Dalam hal Pengendali Data Pribadi menunjuk Prosesor Data Pribadi, Prosesor Data Pribadi wajib melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi. (2) Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1), dilaksanakan sesuai ketentuan yang diatur dalam Undang-Undang ini. (3) Pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) termasuk dalam tanggung jawab Pengendali Data Pribadi. (4) Prosesor Data Pribadi dapat melibatkan Prosesor Data Pribadi lain dalam melakukan pemrosesan Data Pribadi. (5) Prosesor Data Pribadi wajib mendapatkan persetujuan tertulis dari Pengendali Data Pribadi sebelum melibatkan Prosesor Data Pribadi lain sebagaimana dimaksud pada ayat (4). (6) Dalam hal Prosesor Data Pribadi melakukan pemrosesan Data Pribadi di luar perintah dan tujuan yang ditetapkan Pengendali Data Pribadi, pemrosesan Data Pribadi menjadi tanggung jawab Prosesor Data Pribadi. ● Pasal 52 UU PDP yang selengkapnya berbunyi: Ketentuan mengenai kewajiban Pengendali Data Pribadi sebagaimana dimaksud dalam Pasal 29, Pasal 31, Pasal 35, Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 berlaku juga terhadap Prosesor Data Pribadi. 29 24. Dari penjelasan di atas dapat dilihat bahwa pembebanan kewajiban Pengendali Data dan Prosesor Data dimaksudkan untuk menciptakan pemrosesan data pribadi yang berdasarkan prinsip pelindungan data pribadi yang pada akhirnya bertujuan untuk menjamin hak-hak daripada Subjek Data. Oleh karena itu, kepatuhan Pengendali Data dan Prosesor Data dalam menjalankan kewajibannya berbanding lurus dengan terjaminnya hak-hak dari Subjek Data itu sendiri dan juga tercapainya tujuan dari UU PDP yaitu menjamin hak konstitusional dari subjek data pribadi yaitu hak atas perlindungan diri sebagaimana yang dijamin dalam Pasal 28G ayat (1) UUD NRI 1945. 25. Proses penyesuaian oleh Pengendali Data dan Prosesor Data untuk mematuhi ketentuan pada UU PDP serta mengawasi guna memastikan kepatuhan tersebut secara terus menerus bukan merupakan hal yang mudah untuk dilakukan. Selain dari jangka waktu 2 (dua) tahun yang diberikan oleh UU PDP kepada para Pengendali Data dan Prosesor Data untuk melakukan penyesuaian terhadap UU PDP, untuk menjamin kepatuhan dari para Pengendali Data dan Prosesor Data, UU PDP juga memberikan suatu mekanisme untuk mengawasi kepatuhan para Pengendali Data dan Prosesor Data terhadap UU PDP yaitu dengan mengatur mengenai fungsi dari Peran PPDP sebagaimana yang diatur dalam Pasal 53 dan Pasal 54 UU PDP. 26. Berdasarkan Penjelasan Pasal 53 ayat (1) UU PDP, pada dasarnya PPDP merupakan merupakan pejabat atau petugas yang melakukan fungsi pelindungan data pribadi (PPDP) yang bertanggung jawab untuk memastikan pemenuhan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. 27. Berdasarkan Pasal 54 UU PDP, PPDP memiliki tugas, antara lain: menginformasikan dan memberikan saran kepada Pengendali Data Pribadi atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang ini; memantau dan memastikan kepatuhan terhadap Undang-Undang ini dan kebijakan Pengendali Data Pribadi atau Prosesor Data Pribadi; memberikan saran mengenai penilaian dampak Pelindungan Data Pribadi dan memantau kinerja Pengendali Data Pribadi 30 dan Prosesor Data Pribadi; dan berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi. 28. Berdasarkan Pasal 53 ayat (2) UU PDP, PPDP ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, pengetahuan praktik Pelindungan Data Pribadi dan kemampuan memenuhi tugasnya dan dapat berasal dari dalam dan/atau luar dari Pengendali Data atau Prosesor Data. 29. Fungsi PPDP pada intinya adalah untuk memastikan kepatuhan terhadap ketentuan di dalam UU PDP dan peraturan lain yang berkaitan dengan Pelindungan Data Pribadi di Indonesia. 30. Kehadiran PPDP memegang peran yang sangat esensial dalam menjamin terlaksananya pelindungan data pribadi, dimana PPDP hadir melakukan pengawasan terhadap kepatuhan sebuah organisasi Pengendali Data dan/atau Prosesor Data sepanjang berkaitan dengan pelindungan data pribadi berdasarkan UU PDP terutama dalam hal kepatuhan terhadap kewajibannya. Bahkan menurut Lembaga Pengawas Pelindungan Data Pribadi Uni Eropa yaitu 29 Working Party on the Protection of Individuals atau sekarang bernama European Data Protection Board, PPDP disebut sebagai “compliance orchestrator” atau orkestrator/pengatur kepatuhan dari para Pengendali Data dan Prosesor Data (European Commission, Core Issues Plenary, 2015). 31. Lebih lanjut, terkait pelaksanaan tugas dari PPDP dalam suatu organisasi, telah diatur Dasar Kompetensi apa yang dibutuhkan seorang PPDP dan Kriteria Kerja yang harus diimplementasikan oleh seorang PPDP dalam Keputusan Menteri Ketenagakerjaan Republik Indonesia Nomor 103 Tahun 2023 tentang Penetapan Standar Kompetensi Kerja Nasional Indonesia (SKKNI) Kategori Informasi dan Komunikasi Golongan Pokok Aktivitas Pemrograman, Konsultasi Komputer dan Kegiatan Yang Berhubungan Dengan Itu (YBDI) Bidang Keahlian Pelindungan Data Pribadi (selanjutnya disebut “SKKNI PPDP”), yang meliputi; 1) Menentukan Landasan Program Kerja Pelindungan Data Pribadi; 2) Menentukan Kebutuhan Struktur Tim Pelindungan Data Pribadi; 3) Menentukan Kerangka Kerja Pelindungan Data Pribadi; 31 4) Mengidentifikasi Peraturan Perundang-Undangan Terkait Pelindungan Data Pribadi; 5) Menentukan Strategi Pelindungan Data Pribadi; 6) Menyusun Kriteria Matriks Risiko Pelindungan Data Pribadi; 7) Melakukan Penilaian Dampak Pelindungan Data Pribadi; 8) Menguji Efektivitas Program Kerja Pelindungan Data Pribadi; 9) Menyusun Tata Kelola Pelindungan Data Pribadi; 10) Menyusun Manajemen Pelindungan Data Pribadi Pada Domainnya; 11) Menerapkan Program Kerja Pelindungan Data Pribadi; 12) Melakukan Pemantauan Program Kerja Pelindungan Data Pribadi Sesuai Kepatuhan Terhadap Regulasi; 13) Merumuskan Saran Kepada Manajemen Terkait; 14) Mengelola Audit Berkaitan dengan Program Kerja Pelindungan Data Pribadi; 15) Memastikan Tindak Lanjut Terhadap Hasil Audit Pelindungan Data Pribadi Dilakukan oleh Unit Terkait; 16) Merumuskan Proses Perolehan Persetujuan Pemrosesan Data Pribadi; 17) Memberikan Respons Terhadap Permintaan Informasi Data Pribadi Sesuai Ketentuan; 18) Memastikan Pelindungan Data Pribadi Telah Terintegrasi Dalam Manajemen Respons Insiden; dan 19) Memastikan Berjalannya Manajemen Respons Insiden Terkait Kegagalan Pelindungan Data Pribadi. 32. Pada umumnya, PPDP dikenal memiliki 2 fungsi utama yaitu menjamin kepatuhan terhadap regulasi (fungsi kepatuhan), serta memberikan rekomendasi kepada Pengendali Data dan Prosesor Data (fungsi pengawasan). Fungsi-fungsi tersebut diatur juga pada poin 12 SKKNI PPDP di atas. yaitu fungsi PPDP dalam Melakukan Pemantauan Program Kerja Pelindungan Data Sesuai Kepatuhan Terhadap Regulasi. dan poin 13 SKKNI PPDP yaitu Merumuskan Saran Kepada Manajemen Terkait. Dalam menjalankan tugas tersebut, PPDP harus mempersiapkan dan melakukan kegiatan kendali pemantauan (control monitoring) program 32 kerja PDP. Kemudian, dalam mempersiapkan kegiatan kendali pemantauan (control monitoring) program kerja PDP, memiliki kriteria unjuk kerja berupa Tools penilaian yakni asesmen mandiri untuk melihat kepatuhan sesuai dengan prinsip PDP pada regulasi PDP, yang ditentukan sesuai lingkup pemrosesan dan kriteria PDP. Dalam melakukan fungsi pengawasan, PPDP setidak-tidaknya memberikan saran antara lain: terhadap kepatuhan ketentuan PDP, penilaian dampak PDP, dan kinerja manajemen terkait baik sebagai Pengendali Data dan/atau Prosesor Data. 33. Selain dari melakukan pengawasan dan juga menjamin kepatuhan, PPDP juga memegang peran yang sangat besar dalam mencegah terjadinya suatu insiden data pribadi atau kegagalan data pribadi yang tentunya akan membawa kerugian bagi Subjek Data. 34. Salah satu peran dari PPDP yang ingin Para Pemohon garis bawahi adalah mengenai fungsi dan tugas pada angka 10 SKKNI PPDP, yaitu Menyusun Manajemen Pelindungan Data Pribadi Pada Domainnya, dalam menjalankan fungsi ini, PPDP menyusun dan mengambil langkah dalam penyusunan aspek manajerial kebijakan dan prosedur (managerial measures) dalam pelaksanaan pemrosesan data pribadi yang sesuai dengan regulasi PDP dan juga prinsip Pelindungan Data Pribadi. 35. Selain daripada itu, PPDP juga melakukan penilaian terhadap penggunaan teknologi dalam pemrosesan data pribadi (technological measures) yang menjadi salah satu aspek esensial dalam mencegah terjadinya insiden kegagalan pelindungan data pribadi seperti data breach. Dalam menjalankan tugas ini, PPDP bertugas untuk memastikan bahwa dalam pelaksanaan pemrosesan data pribadi, harus menggunakan Teknologi peningkatan PDP atau dikenal sebagai Privacy Enhancing Technologies (PETs) adalah teknologi yang mewujudkan dasar prinsip perlindungan data dengan meminimalkan pemrosesan Data Pribadi, memaksimalkan keamanan data, dan memberdayakan individu namun tanpa kehilangan fungsionalitas dari sistem informasi. 36. Kehadiran Peran PPDP untuk melakukan penilaian terhadap aspek teknologi dan manajerial pelindungan data pribadi (technological and 33 managerial measures) menggambarkan signifikansi kehadiran PPDP dalam mencegah adanya kegagalan Pelindungan Data Pribadi yang dapat menimbulkan kerugian baik dalam bentuk material maupun immaterial terhadap Subjek Data. 37. Kemudian untuk memperlihatkan signifikansi dari peran PPDP tersebut dalam sebuah organisasi Pengendali Data dan Prosesor Data, Para Pemohon juga mencermati Putusan Pengadilan Distrik Seoul Timur pada 6 Januari 2020 yang menyatakan bahwa Kim Jin-Hwan, seorang privacy officer (PPDP) dari agen travel Korea Selatan, Hana Tour Service Inc, bersalah atas kelalaiannya karena gagal mencegah pelanggaran data pada tahun 2017 yang memengaruhi lebih dari 465.000 pelanggan agen tersebut dan 29.000 karyawan Hana Tour. Pengadilan menjatuhi denda sebesar 10 Juta Won Korea Selatan (sekitar 114 Juta Rupiah) dikarenakan privacy officer (PPDP) tersebut melanggar Undang-Undang Perlindungan Informasi Pribadi Korea Selatan dan Undang-Undang Jaringan Korea Selatan yang mengharuskan seorang PPDP untuk mengambil “langkah penilaian teknologi dan manajerial/technological and managerial measures” yang diperlukan untuk mencegah adanya insiden kegagalan Pelindugan Data Pribadi. 38. Dari uraian diatas, dapat dinilai bahwa kehadiran PPDP bersifat esensial. Sebab, selain dari memastikan kepatuhan Pengendali Data dan Prosesor Data, PPDP juga melakukan tindakan atau langkah pencegahan terjadinya insiden kegagalan Pelindungan Data Pribadi yang dimana, terlaksananya hal tersebut berbanding lurus dengan tercapainya tujuan untuk melindungi Data Pribadi seluruh masyarakat termasuk Para Pemohon. Sebaliknya, ketidakhadiran PPDP akan dapat dipastikan Pelindungan Data Pribadi akan menjadi lemah, yang akan beresiko mengancam terpenuhinya tujuan untuk melindungi Data Pribadi. 39. Dalam UU PDP, penunjukan PPDP dapat dilakukan secara sukarela oleh Pengendali Data dan Prosesor Data yang tidak diwajibkan untuk melakukan penunjukan PPDP, dan penunjukan PPDP diwajibkan untuk Pengendali Data dan Prosesor Data tertentu yang memenuhi kriteria yang disyaratkan pada Pasal 53 ayat (1) UU PDP, yaitu: 34 (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. 40. Kaidah kewajiban tersebut tentunya diikuti dengan pengaturan sanksi yang dapat dikenakan kepada pihak yang tidak melaksanakan kewajiban tersebut, instrumen sanksi yang dalam hal ini digunakan untuk mendorong kepatuhan terhadap kewajiban penunjukan PPDP dalam Pasal 53 ayat (1) UU PDP, yaitu sebagaimana yang diatur pada Pasal 57 UU PDP sebagai berikut: (1) Pelanggaran terhadap ketentuan Pasal 20 ayat (1), Pasal 21, Pasal 24, Pasal 25 ayat (2), Pasal 26 ayat (3), Pasal 27, Pasal 28, Pasal 29, Pasal 30, Pasal 31, Pasal 32 ayat (1), Pasal 33, Pasal 34 ayat (1), Pasal 35, Pasal 36, Pasal 37, Pasal 38, Pasal 39 ayat (1), Pasal 40 ayat (1), Pasal 41 ayat (1) dan ayat (3), Pasal 42 ayat (1), Pasal 43 ayat (1), Pasal 44 ayat (1), Pasal 45, Pasal 46 ayat (1) dan ayat (3), Pasal 47, Pasal 48 ayat (1), Pasal 49, Pasal 51 ayat (1) dan ayat (5), Pasal 52, Pasal 53 ayat (1), Pasal 55 ayat (2), dan Pasal 56 ayat (2) sampai dengan ayat (4) dikenai sanksi administratif. (2) Sanksi administratif sebagaimana dimaksud pada ayat (1) berupa: a. peringatan tertulis; b. penghentian sementara kegiatan pemrosesan Data Pribadi; c. penghapusan atau pemusnahan Data Pribadi; dan/atau d. denda administratif. (3) Sanksi administratif berupa denda administratif sebagaimana dimaksud pada ayat (2) huruf d paling tinggi 2 (dua) persen dari 35 pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. (4) Penjatuhan sanksi administratif sebagaimana dimaksud pada ayat (2) diberikan oleh lembaga. (5) Ketentuan lebih lanjut mengenai tata cara pengenaan sanksi administratif sebagaimana dimaksud pada ayat (3) diatur dalam Peraturan Pemerintah. 41. Berdasarkan ketentuan Pasal 57 UU PDP, pelanggaran terhadap kewajiban penunjukan PPDP yang dimaksud di dalam Pasal 53 ayat (1) dapat dikenakan sanksi administratif. Perumusan instrumen sanksi ini dimaksudkan untuk meningkatkan kepatuhan dari para Pengendali Data dan Prosesor Data yang diwajibkan untuk menunjuk PPDP untuk melakukan penunjukan PPDP. 42. Kepatuhan Pengendali Data dan Prosesor Data tertentu yang diwajibkan untuk melakukan penunjukan PPDP sangat diharapkan, karena tentunya pengaturan kewajiban penunjukan dalam Pasal 53 ayat (1) dimaksudkan untuk mewajibkan adanya kehadiran PPDP guna memberikan pengawasan yang lebih terhadap Pengendali Data dan Prosesor Data yang dianggap perlu diawasi secara lebih dalam hal kepatuhan terhadap kewajibannya dalam pelaksanaan pemrosesan data pribadi yang sesuai dengan UU PDP. 43. Sebab, Pengendali Data dan Prosesor Data yang melakukan pemrosesan Data Pribadi sebagaimana yang dimaksud di dalam butir a, b, dan c dalam Pasal 53 ayat (1) UU PDP merupakan Pengendali Data dan Prosesor Data tersebut melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) a. Pemrosesan Data untuk kepentingan pelayanan publik. UU PDP sendiri tidak menjelaskan lebih lanjut mengenai apa yang dimaksud dengan kepentingan pelayanan publik. Namun, jika makna pelayanan publik ditafsirkan secara sistematis terhadap makna pelayanan publik pada Undang-undang Nomor 25 Tahun 2009 tentang Pelayanan Publik (“UU Pelayanan Publik”) (vide bukti P-11), pelayanan publik dimaknai sebagai “kegiatan atau rangkaian kegiatan dalam rangka 36 pemenuhan kebutuhan pelayanan sesuai dengan peraturan perundang-undangan bagi setiap warga negara dan penduduk atas barang, jasa, dan/atau pelayanan administratif yang disediakan oleh penyelenggara pelayanan publik yang dilakukan oleh setiap institusi penyelenggara negara, korporasi, lembaga independen yang dibentuk berdasarkan undang-undang untuk kegiatan pelayanan publik, dan badan hukum lain yang dibentuk semata-mata untuk kegiatan pelayanan publik”. Dalam UU Pelayanan Publik, penyelenggaraan pelayanan publik utamanya dilakukan oleh badan atau instansi negara dalam melakukan tugas dan fungsinya. Namun, penyelenggaraan pelayanan publik juga dapat dilakukan oleh Badan Usaha Milik Negara dan Badan Usaha Milik Daerah yang mendapatkan pelimpahan tugas untuk menyelenggarakan pelayanan publik (public service obligation) dan juga oleh badan hukum lain yang melaksanakan aktivitas pelayanan publik berdasarkan penetapan dari Undang-Undang. Dengan demikian, pemrosesan data untuk kepentingan publik adalah pemrosesan data yang dilakukan oleh lembaga negara dan/atau korporasi untuk menyediakan kebutuhan yang berkenaan dengan kepentingan dan manfaat orang banyak bagi warga negara seperti menyelenggarakan pelayanan dalam bidang pendidikan, pengajaran, pekerjaan dan usaha, tempat tinggal, komunikasi dan informasi, lingkungan hidup, kesehatan, jaminan sosial, energi, perbankan, perhubungan, sumber daya alam, pariwisata, dan sektor lain yang terkait. Dalam konteks pemrosesan data untuk pelayanan publik baik yang dilakukan oleh badan atau instansi negara, maupun korporasi atau badan hukum lain memiliki sifat yang sama yaitu pemrosesan data dilakukan dengan jumlah yang masif dan warga negara sebagai Subjek Data sering kali hanya memiliki sedikit atau bahkan tidak memiliki pilihan mengenai kapan Data Pribadi mereka dikumpulkan, untuk tujuan pemrosesan apa saja dan bagaimana data pribadi mereka digunakan dan diproses. Subjek Data lazimnya tidak dapat 37 melakukan penolakan terhadap pengumpulan dan pemrosesan data di saat berkaitan dengan pemrosesan Data Pribadi untuk kepentingan pelayanan publik, sebab, sifat pengumpulan dan pemrosesannya bersifat memaksa (mandatory) dikarenakan merupakan perintah yang diatur oleh peraturan perundang-undangan. Sehingga, jelas bahwa pemrosesan data pribadi dalam jumlah banyak yang dilakukan oleh pihak yang memiliki otoritas untuk mengumpulkan data pribadi atas dasar hukum merupakan kegiatan pemrosesan data yang memiliki risiko tinggi (high-risk data processing activities) sehingga membutuhkan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap kewajiban-kewajiban daripada Pengendali Data dan Prosesor Data dengan menghadirkan peran PPDP di dalam organisasi tersebut, guna memitigasi risiko yang lebih besar. b. Kegiatan Inti Pengendali Data memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar. Pemrosesan data secara teratur artinya dilakukan secara berulang pada waktu yang tetap, berlangsung secara konstan/terus menerus atau berkala pada interval waktu atau periode tertentu, kemudian sistematis memiliki arti pemrosesan data yang dilakukan menurut sistem yang telah diatur sebelumnya secara terorganisir dan dilakukan sebagai rencana untuk melakukan pengumpulan data yang merupakan bagian dari strategi dari organisasi Pengendali Data dan/atau Prosesor Data. Dengan demikian, pemrosesan data secara teratur dan sistematis artinya kegiatan pemrosesan data pribadi yang dilakukan secara konsisten atau terus-menerus, dan terstruktur guna untuk mencapai tujuan yang telah ditetapkan oleh organisasi Pengendali Data dan Prosesor Data. Sebagai ilustrasi dari kegiatan pemrosesan seperti ini adalah pemrosesan data pribadi dengan metoda pelacakan lokasi (geolocation tracking system) dimana organisasi Pengendali Data dan Prosesor Data yang menyediakan layanan aplikasi ride-hailing melakukan pemrosesan data setiap kali pengguna aplikasi (Subjek 38 Data) menggunakan aplikasi, data lokasi mereka dilacak secara real- time untuk mengarahkan driver ke lokasi penjemputan dan tujuan. Data ini dikumpulkan secara terus menerus dan berkala selama perjalanan berlangsung. Sistem pelacakan lokasi ini terintegrasi dalam aplikasi dan diatur untuk memantau pergerakan pengguna dengan akurasi tinggi sebagai bagian dari layanan yang diberikan. Kemudian, ilustrasi lain adalah pemrosesan data dalam kegiatan pengiklanan berbasis pada kebiasaan pengguna (behavioral advertising) yang lazim dilakukan oleh organisasi Pengendali Data dan Prosesor Data yang menyediakan layanan e-commerce yang melakukan pemrosesan data pribadi setiap kali pengguna layanan yaitu konsumen (sebagai Subjek Data) menjelajahi, mencari produk, atau melakukan pembelian, data perilaku mereka dicatat, termasuk produk yang dilihat, waktu yang dihabiskan, dan riwayat pembelian. Data ini diproses secara teratur setiap kali pengguna berinteraksi dengan platform layanan tersebut. Sistem analitik kemudian menggunakan data ini untuk menampilkan iklan yang disesuaikan dengan preferensi dan perilaku pengguna. Pengumpulan dan analisis data dilakukan secara sistematis untuk meningkatkan pengalaman pengguna dan efektivitas iklan. Sedangkan, skala besar dilihat dari jumlah data yang diproses, jenis data, durasi pemrosesan, dan lingkup geografis dari kegiatan pemrosesan data tersebut. Sehingga, dalam hal pemrosesan data pribadi yang dilakukan secara berkala dan terus menerus dan juga sistematis memiliki tingkat risiko yang tinggi (high-risk data processing activities) Sebab, pemrosesan tersebut meningkatkan jumlah data yang dikumpulkan dari Subjek Data dan membuat pengumpulan data lebih ekstensif dan terfokus, yang memungkinkan profil yang lebih mendetail dari seorang individu yang merupakan Subjek Data. Dalam model pengumpulan seperti ini memperbesar kemungkinan adanya informasi yang dapat diungkapkan dan digunakan secara berlebihan. Sehingga, apabila pemrosesan data pribadi yang sifatnya ekstensif dan juga terfokus 39 dalam jumlah yang besar tentunya meningkatkan risiko adanya kebocoran, peretasan dan penyalahgunaan data pribadi, dan apabila terjadi kebocoran atau peretasan terhadapnya dapat menimbulkan kerugian yang lebih masif dan serius. Sehingga, kegiatan pemrosesan data seperti ini membutuhkan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap kewajiban-kewajiban Pengendali Data dan Prosesor Data dengan menghadirkan peran PPDP di dalam organisasi tersebut, guna memitigasi risiko yang lebih besar. c. Kegiatan inti Pengendali Data yang melakukan pemrosesan Data Spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana dalam skala yang besar. Dalam Penjelasan Pasal 4 ayat (1) huruf a UU PDP, data pribadi yang bersifat spesifik dijelaskan sebagai data pribadi yang yang dalam pemrosesannya dapat mengakibatkan dampak lebih besar kepada Subjek Data Pribadi, antara lain berupa tindakan diskriminasi dan/atau kerugian yang lebih besar bagi Subjek Data. Selanjutnya dalam Pasal 4 ayat (2) UU PDP menjelaskan yang dimaksud dengan data pribadi yang bersifat spesifik yaitu berupa data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi, dan/atau data lain yang sesuai dengan ketentuan peraturan perundang-undangan ditetapkan sebagai data pribadi yang bersifat spesifik. Pemrosesan data pribadi yang bersifat spesifik dalam skala yang besar memiliki risiko yang sangat tinggi (high-risk data processing activities). Sebab, selain dari karakteristik Data Pribadi yang bersifat spesifik memiliki dampak yang lebih besar, pemrosesan data pribadi bersifat spesifik dalam skala yang besar tentunya meningkatkan tingkat potensi risiko dalam pemrosesannya pemrosesannya. Dimana, apabila terdapat kebocoran atau penyalahgunaan data pribadi yang bersifat spesifik dari Subjek Data maka kerugian yang ditimbulkan akan berkali-kali lipat terhadap Subjek Data, sehingga pemrosesan data seperti ini membutuhkan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap kewajiban-kewajiban Pengendali Data dan 40 Prosesor Data dengan menghadirkan peran PPDP di dalam organisasi tersebut, guna memitigasi risiko yang lebih besar. 44. Kemudian, Pasal 34 ayat (2) UU PDP juga menjabarkan aktivitas pemrosesan Data Pribadi yang disebut sebagai pemrosesan Data Pribadi yang berisiko tinggi terhadap Subjek Data (high-risk data processing activities), yaitu: “Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang. signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi.” 45. Dimana karakteristik aktivitas pemrosesan data pribadi pada kriteria butir a, b, dan c Pasal 53 ayat (1) UU PDP memiliki ciri pemrosesan Data Pribadi yang memiliki risiko tinggi sebagaimana yang disebutkan dalam Pasal 34 ayat (2) UU PDP, yaitu sebagai berikut: a. Pada butir “a” Pasal 53 ayat (1) UU PDP memiliki ciri pemrosesan Data Pribadi dalam skala besar dan pemrosesan Data Pribadi yang membatasi pelaksanaan hak dari Subjek Data Pribadi; b. Pada butir “b” Pasal 53 ayat (1) UU PDP memiliki ciri adanya pemrosesan Data Pribadi dengan adanya pemantauan yang bersifat sistematis dan dilakukan dalam skala yang besar. c. Pada butir “c” Pasal 53 ayat (1) UU PDP memiliki ciri pemrosesan Data Pribadi yang bersifat Spesifik dalam skala yang besar. 41 46. Dari penjabaran masing-masing kriteria di atas, memperlihatkan bahwa masing-masing kriteria aktivitas pemrosesan Data Pribadi dalam butir a, b, atau c Pasal 53 ayat (1) UU PDP merupakan aktivitas pemrosesan data pribadi yang memiliki risiko yang tinggi (high-risk data processing activities). Sehingga dalam pelaksanaanya membutuhkan pengawasan yang lebih dalam hal pemenuhan kewajiban Pengendali Data dan Prosesor Data dalam UU PDP dan peraturan-peraturan lain yang berkaitan dengan pelindungan data pribadi dalam melaksanakan pemrosesan Data Pribadi guna melindungi hak-hak konstitusional daripada Subjek Data sebagaimana yang merupakan amanat dari Pasal 28G ayat (1) UUD NRI 1945. 47. Oleh karena itu, UU PDP memberikan beban kewajiban yang disertai dengan sanksi administratif kepada organisasi Pengendali Data dan Prosesor Data yang kegiatan pemrosesan datanya memiliki sifat, ruang lingkup pemrosesan data pribadinya memenuhi kriteria pada Pasal 53 ayat (1) UU PDP di atas untuk melakukan penunjukan PPDP guna memberikan pengawasan yang lebih terhadap Pengendali Data dan Prosesor Data dalam mematuhi kewajibannya. C. Penggunaan kata “dan” Dalam Rincian Kriteria Persyaratan Pada Pasal 53 ayat (1) UU PDP Berpotensi Mencederai Hak Konstitusional Warga Negara yang sekaligus Merupakan Subjek Data Pribadi 48. Dari uraian diatas dapat dilihat bahwa sebenarnya masing-masing kriteria pada butir a, b, atau c dalam Pasal 53 ayat (1) UU PDP secara sendiri-sendiri merupakan kriteria pemrosesan Data Pribadi yang berdasarkan sifat dan ruang lingkup pemrosesan data pribadinya merupakan pemrosesan Data Pribadi dengan tingkat resiko yang tinggi, sehingga membutuhkan pengawasan yang sifatnya lebih lewat kehadiran PPDP. 49. Instrumen kewajiban dalam Pasal 53 ayat (1) UU PDP serta sanksi yang dimuat di dalam Pasal 57 UU PDP seharusnya dapat digunakan untuk menjamin kepatuhan dari Pengendali Data dan Prosesor Data yang kegiatan pemrosesan data pribadinya memenuhi salah satu dari kriteria tersebut untuk menunjuk seorang PPDP. 42 50. Tetapi, rumusan kriteria persyaratan pada Pasal 53 ayat (1) UU PDP justru dirumuskan menggunakan kata “dan” pada akhir kalimat butir “b”, yang sebagai berikut: (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. 51. Mengacu pada Butir 88 Bab I tentang Kerangka Peraturan Perundang- undangan Huruf C tentang Batang Tubuh dalam Lampiran II Undang- Undang Nomor 12 Tahun 2011 Tentang Pembentukan Peraturan Perundang-Undangan, dinyatakan bahwa “Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakan di belakang rincian kedua dari rincian terakhir”. Maka, rumusan kriteria persyaratan pada Pasal 53 ayat (1) UU PDP dimaknai sebagai kriteria yang bersifat kumulatif, yang artinya semua rincian dalam butir a, b, dan c harus dipenuhi secara bersamaan untuk mengaktifkan kewajiban penunjukan PPDP dalam Pasal 53 ayat (1) UU PDP. Sehingga, suatu organisasi hanya diwajibkan menunjuk PPDP jika organisasi Pengendali Data dan Prosesor Data memenuhi seluruh atau ketiga- tiganya (butir a, b, dan c) rincian syarat dalam pasal 53 ayat (1) UU PDP. 52. Padahal, sebagaimana yang dijelaskan di atas, masing-masing kriteria yang disyaratkan dalam rincian butir a, b, atau c pada Pasal 53 ayat (1) UU PDP secara sendiri-sendiri merupakan kriteria pemrosesan Data Pribadi yang berdasarkan sifat dan ruang lingkup pemrosesan data pribadinya merupakan pemrosesan Data Pribadi dengan tingkat resiko yang tinggi. Dengan demikian, setiap Pengendali Data Pribadi dan Prosesor Data Pribadi, baik yang memenuhi salah 1 (satu), salah 2 (dua), 43 maupun keseluruhan kriteria sebagaimana disebutkan dalam Pasal 53 ayat (1) UU PDP harus dimaknai memiliki tingkat risiko yang tinggi dalam pelaksanaan pemrosesan data pribadinya atau (high-risk data processing activities). Sehingga, jika memenuhi salah 1 (satu) maupun salah 2 (dua) kriteria saja seharusnya diwajibkan untuk melakukan penunjukan PPDP untuk memberikan pengawasan yang lebih dalam hal kepatuhan melaksanakan kewajibannya. 53. Dengan demikian, penggunaan kata “dan” dalam Pasal 53 ayat (1) UU PDP mempersempit kriteria kewajiban penunjukan PPDP. Sehingga hal ini mengakibatkan Pengendali Data dan Prosesor Data yang telah memenuhi salah 1 (satu) atau salah 2 (dua) kriteria dalam Pasal 53 ayat (1) UU PDP karena melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi yang perlu melakukan penunjukan PPDP untuk memberikan pengawasan yang lebih dalam hal kepatuhan dalam melaksanakan kewajibannya, justru menjadi tidak diwajibkan untuk melakukan penunjukan PPDP. 54. Dengan kata lain, apabila organisasi Pengendali Data dan Prosesor Data yang hanya memenuhi 1 (satu) atau 2 (dua) dari tiga kriteria syarat, tidak cukup untuk memicu ketentuan kewajiban. Dengan demikian banyak organisasi yang seharusnya perlu untuk melakukan penunjukan PPDP dikarenakan melihat tingkat risiko dan skala pemrosesan data yang mereka lakukan, tetapi menjadi tidak diwajibkan karena mereka tidak memenuhi semua syarat dalam Pasal 53 ayat (1) UU PDP secara kumulatif. 55. Untuk memperjelas maksud para Pemohon, berikut beberapa ilustrasi skenario Organisasi Pengendali Data dan/atau Prosesor Data yang seharusnya melakukan penunjukan PPDP menjadi tidak wajib karena rincian syarat pada Pasal 53 ayat (1) UU PDP dikonstruksikan secara kumulatif, sebagai berikut: No. Memenuhi Kriteria Contoh Organisasi Pengendali Data dan/atau Prosesor Data Penjelasan Aktivitas Penjelasan Tidak Memenuhi Kriteria Lain 44 1. Pelayanan Publik (hanya memenuhi kriteria syarat butir “a” Pasal 53 ayat (1) UU PDP) Dinas Kependudukan dan Pencatatan Sipil (Disdukcapil) Disdukcapil memberikan layanan administrasi kependudukan kepada masyarakat, termasuk pembuatan KTP, KK, dan akta kelahiran. Data yang diproses adalah data pribadi penduduk untuk kepentingan pelayanan publik. Disdukcapil dalam kegiatan pemrosesan datanya tidak melakukan pengumpulan data secara konstan atau terus menerus dalam waktu tertentu atas data dalam skala besar, serta tidak memproses data pribadi yang bersifat spesifik seperti data kesehatan atau data kriminal dalam skala besar. 2. Pemantauan Sistematis dalam Skala Besar (hanya memenuhi kriteria syarat butir “b” Pasal 53 ayat (1) UU PDP) Platform Media Sosial (misalnya, Facebook dan Instagram) Facebook melakukan pemantauan aktivitas pengguna secara teratur dan sistematis dalam skala besar untuk analitik dan iklan yang ditargetkan. Tidak memberikan pelayanan publik dan tidak selalu memproses data yang dikategorikan sebagai sangat pribadi yang bersifat spesifik (kesehatan atau data kriminal) dalam skala besar. 3. Pemrosesan Data Pribadi yang bersifat Spesifik dalam Skala Besar Saja (hanya memenuhi kriteria syarat butir “c” Pasal 53 ayat (1) UU PDP) Laboratorium Klinik (misalnya, Prodia) Prodia memproses data kesehatan pasien dalam skala besar yang merupakan data pribadi yang bersifat spesifik untuk tujuan medis. Tidak melakukan pemantauan teratur dan sistematis atas data dalam skala besar untuk analitik atau iklan, serta tidak memberikan pelayanan publik. 4. Pelayanan Publik dan Pemantauan Sistematis dalam Skala Besar saja (hanya memenuhi kriteria syarat butir “a dan b” Pasal 53 ayat Perusahaan Transportasi Publik (misalnya, TransJakarta) TransJakarta memproses data penumpang untuk pelayanan publik dan melakukan pemantauan teratur dan sistematis atas Tidak memproses data pribadi yang bersifat spesifik (seperti data kesehatan atau kriminal) dalam skala besar. 45 (1) UU PDP) penggunaan kartu transportasi dalam skala besar untuk efisiensi operasional. 5. Pelayanan Publik dan Pemrosesan Data Pribadi yang bersifat Spesifik dalam Skala Besar saja (hanya memenuhi kriteria syarat butir “a dan c” Pasal 53 ayat (1) UU PDP) Rumah Sakit Swasta (misalnya, Rumah Sakit Siloam) Rumah Sakit Swasta seperti Rumah Sakit Siloam memproses data untuk kepentingan publik karena mereka menyediakan layanan kesehatan yang merupakan salah satu bentuk dari pelayanan publik bagi orang banyak. Selain itu, mereka memproses data pribadi yang bersifat spesifik, seperti informasi medis pasien, yang sangat penting untuk diagnosis, pengobatan, dan pemantauan kesehatan. Data ini harus dilindungi dengan ketat untuk memastikan privasi dan keamanan pasien. Tidak melakukan pemantauan teratur dan sistematis atas data dalam skala besar untuk tujuan analitik atau iklan. 6. Pemantauan Sistematis dalam Skala Besar dan Pemrosesan Data yang bersifat Spesifik dalam Skala Besar saja (hanya memenuhi kriteria syarat butir “b dan c” Pasal 53 ayat (1) UU PDP) Platform E-Commerce (misalnya, Tokopedia, Shopee): Tokopedia dan Shopee dalam hal ini melakukan pemantauan aktivitas pengguna secara teratur setiap kali pengguna aplikasi mencari barang yang akan dibeli atau melakukan transaksi dan dilakukan sistematis dengan tujuan analitik kebiasaan dari pengguna aplikasi untuk tujuan pengiklanan yang disesuaikan dengan preferensi dan perilaku pengguna. Serta, memproses data transaksi keuangan yang Tidak secara langsung termasuk dalam penyelenggara pelayanan publik yang diatur oleh UU Pelayanan Publik karena tidak menjalankan misi negara untuk pelayanan dasar masyarakat. 46 merupakan data pribadi yang bersifat spesifik dalam skala besar untuk keperluan komersial dan keamanan transaksi. 56. Berdasarkan penjelasan dan ilustrasi di atas, menunjukan bahwa Pengendali Data dan Prosesor Data yang hanya memenuhi salah 1 (satu) atau 2 (dua) dari ketiga kriteria dalam Pasal 53 ayat (1) UU PDP membuat mereka tidak menjadi subjek yang diwajibkan untuk melakukan penunjukan PPDP. 57. Dengan demikian sanksi administratif pada Pasal 57 UU PDP yang dimaksudkan untuk menjamin kepatuhan dari Para Pengendali Data dan/atau Prosesor Data untuk melakukan penunjukan PPDP menjadi turut tidak berlaku bagi Pengendali Data dan Prosesor Data yang memenuhi salah 1 (satu) atau 2 (dua) dari kriteria pada Pasal 53 ayat (1) UU PDP. 58. Padahal pembebanan norma kewajiban dalam Pasal 53 ayat (1) UU PDP berserta sanksi administratif dalam Pasal 57 UU PDP ditujukan untuk memberikan pengawasan yang sifatnya lebih terhadap Pengendali Data dan/atau Prosesor Data yang aktivitas pemrosesan Data Pribadinya memiliki risiko tinggi. 59. Penggunaan kata “dan” dalam merumuskan rincian syarat dalam Pasal 53 ayat (1) UU PDP telah mempersempit cakupan subjek yang diwajibkan, sehingga menurunkan kedayagunaan dari Pasal tersebut yang diikuti dengan sanksi administratif dalam Pasal 57 UU PDP ditujukan untuk memberikan pengawasan yang sifatnya lebih terhadap Pengendali Data dan/atau Prosesor Data yang aktivitas pemrosesan Data Pribadinya memiliki risiko tinggi. 47 60. Rumusan semacam ini menghilangkan esensi kehadiran PPDP untuk memberikan pengawasan yang sifatnya lebih guna memastikan hak-hak konstitusional dari Subjek Data terlindungi dan terpenuhi dengan mengawasi dan menjamin kepatuhan dari Pengendali Data dan Prosesor Data terhadap kewajibannya baik yang diatur di dalam UU PDP maupun peraturan lain yang berkaitan dengan pelindungan data pribadi. 61. Justru, jika rincian syarat dalam pasal 53 ayat (1) UU PDP, dirumuskan dengan menggunakan kata “dan/atau” pada akhir kriteria butir “b”, yang artinya rumusan kriteria disyaratkan secara kumulatif dan alternatif maka pembebanan norma kewajiban penunjukan PPDP akan ditujukan kepada setiap organisasi Pengendali Data dan Prosesor Data yang telah memenuhi salah 1 (satu), salah 2 (dua) atau seluruh kriteria persyaratan dalam butir a, b, dan/atau c Pasal 53 ayat (1) UU PDP. 62. Rumusan demikian, akan menjawab kekhawatiran dari Para Pemohon mengenai tidak adanya pengawasan yang sifatnya lebih lewat kehadiran PPDP pada organisasi yang melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) atau yaitu organisasi Pengendali Data dan Prosesor Data yang memenuhi salah 1 (satu) atau salah 2 (dua) dari kriteria dalam Pasal 53 ayat (1) UU PDP. 63. Dengan demikian, maka peran PPDP akan hadir untuk menjamin kepatuhan dari Pengendali Data dan/atau Prosesor Data tersebut akan kewajiban-kewajibannya, sehingga akan meningkatkan tingkat pelindungan dan jaminan terhadap hak-hak konstitusional dari Subjek Data. 64. Kemudian, para Pemohon juga mencermati bahwa rumusan Pasal 34 UU PDP yang mengatur mengenai kewajiban Pengendali Data untuk melakukan Penilaian Dampak Pelindungan Data Pribadi (Data Protection Impact Assessment) apabila melakukan pemrosesan Data Pribadi yang memiliki potensi risiko tinggi (high-risk data processing activities). Dalam Pasal 34 ayat (2) UU PDP dijelaskan 7 kriteria suatu pemrosesan Data Pribadi yang memiliki potensi risiko tinggi. Untuk lebih jelas, Para Pemohon mengutip Pasal 34 UU PDP, sebagai berikut: 48 a. “Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi. b. Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi: a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi; b. pemrosesan atas Data Pribadi yang bersifat spesifik; c. pemrosesan Data Pribadi dalam skala besar; d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi; e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f. penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi.” 65. Rumusan kriteria dalam Pasal 34 ayat (2) UU PDP dirumuskan menggunakan kata “dan/atau” yang artinya berlaku secara kumulatif dan alternatif. Sehingga apabila terdapat Pengendali Data yang melakukan aktivitas pemrosesan Data Pribadi yang memenuhi salah 1 (satu) kriteria dalam Pasal 34 ayat (2) UU PDP sudah diwajibkan untuk melakukan Penilaian Dampak Pelindungan Data Pribadi. 66. Oleh karena itu, rumusan kriteria secara kumulatif dan alternatif dalam Pasal 34 ayat (2) UU PDP lebih menjamin adanya pelindungan yang sifatnya lebih terhadap hak-hak dari Subjek Data. 67. Para Pemohon menilai bahwa kewajiban untuk melakukan penunjukan PPDP dalam Pasal 53 ayat (1) UU PDP dan kewajiban untuk melakukan Penilaian Dampak Pelindungan Data Pribadi dalam Pasal 34 ayat UU PDP pada dasarnya memiliki tingkat urgensi kepentingan yang sama yaitu untuk menjamin adanya pelindungan yang sifatnya lebih terhadap hak- hak daripada Subjek Data dalam suatu aktivitas pemrosesan Data Pribadi yang memiliki risiko tinggi (high-risk data processing activities). 49 68. Sehingga, mengingat bahwa, pada dasarnya kriteria persyaratan penunjukkan PPDP dalam pasal 53 ayat (1) UU PDP juga ditujukan terhadap aktivitas pemrosesan Data Pribadi yang memiliki risiko tinggi (high-risk data processing activities), maka seharusnya, kriteria persyaratan penunjukkan PPDP yang diatur pada pasal 53 ayat (1) UU PDP, juga dirumuskan secara kumulatif dan alternatif, dengan penggunaan kata “dan/atau”, sebagaimana yang digunakan pada pasal 34 ayat (2) UU PDP. 69. Kemudian, para Pemohon juga melakukan komparasi mengenai pengaturan kewajiban penunjukan PPDP atau dikenal dengan Mandatory Appointment of Data Protection Officer (DPO) di beberapa negara lain, sebagai berikut: a. Singapore: Dalam Section 11 Singapore Personal Data Protection Act of 2012 (No. 26 0f 2012) dan diamandemen lewat Personal Data Protection (amendment) Act of 2020 (No. 40 of 2020), diatur mengenai kewajiban setiap Organisasi untuk melakukan penunjukan DPO (PPDP) yang memastikan kepatuhan terhadap Regulasi PDP-nya; b. Thailand: Dalam Section 41 Personal Data Protection Act B.E.2562 (2019) of Thailand yang diundangkan pada tahun 2019, diatur mengenai ketentuan kewajiban bagi Pengendali Data dan Prosesor Data untuk melakukan penunjukan DPO (PPDP) jika memenuhi beberapa syarat kriteria aktivitas pemrosesan data yang memiliki risiko tinggi. Kriteria syarat dalam Section 41 tersebut dirumuskan menggunakan kata “or” yang artinya “atau” sehingga kriteria syarat penunjukan PPDP di PDP Act Thailand dirumuskan secara alternatif; c. Malaysia: Dalam Section 12a Personal Data Protection (Amendment) Act 2024 an Act to amend the Personal Data Protection Act 2010 (Act 709), diatur bahwa setiap Pengendali Data wajib melakukan penunjukan Data Protection Officer untuk menjamin kepatuhan dari Pengendali Data terhadap Peraturan PDP. d. Korea: Dalam Article 31 Personal Information Protection Act (Act No. 19234), diatur bahwa setiap Pengendali Data wajib untuk menunjuk Privacy Officer (PPDP). 50 70. Selain dari negara-negara di atas, para Pemohon juga melakukan perbandingan ke negara-negara Uni Eropa yang tunduk pada Regulation (EU) 2016/679 of The European Parliament and of The Council of 27 April 2016 (General Data Protection Regulation) atau selanjutnya akan disebut “GDPR”. Sejak diundangkan pada Tahun 2016, GDPR telah menjadi gold standar dalam pengaturan PDP di banyak negara lain selain negara anggota Uni Eropa, termasuk Indonesia. Hal ini dapat dilihat bahwa banyak Pasal di dalam UU PDP Indonesia yang memiliki tingkat kemiripan dengan GDPR, termasuk Pasal 53 ayat (1) UU PDP yang sedang di uji konstitusionalitasnya dalam permohonan a quo. 71. Namun pengaturan mengenai kewajiban untuk melakukan penunjukan DPO (PPDP) dalam GDPR diatur menggunakan kata “or” yang artinya “atau” sehingga kriteria syarat penunjukan DPO (PPDP) GDPR juga dirumuskan secara alternatif. 72. Dapat dilihat bahwa pengaturan mengenai kewajiban di negara-negara lain ataupun di dalam GDPR yang merupakan models law dari UU PDP Indonesia sendiri mengatur kriteria penunjukan PPDP secara lebih luas, baik lewat pengaturan kriteria penunjukan yang bersifat alternatif atau bahkan mewajibkan semua Pengendali Data dan/atau Prosesor Data untuk melakukan penunjukan PPDP dalam organisasinya. 73. Meskipun di dalam pengaturan negara-negara lain tidak ada yang menggunakan “and/or”/“dan/atau” melainkan menggunakan “or”/“atau”. Namun perlu diingat bahwa kriteria syarat dalam Pasal 53 ayat (1) UU PDP dapat dipenuhi secara alternatif maupun secara kumulatif, oleh karena itu Para Pemohon memohon untuk merubah kata “dan” menjadi “dan/atau”. 74. Ditambah dengan fakta sebagaimana ilustrasi di atas, bahwa organisasi- organisasi Pengendali Data dan Prosesor Data yang sebetulnya perlu diawasi oleh PPDP namun menjadi tidak wajib untuk melakukan penunjukan PPDP merupakan organisasi besar seperti perusahaan perdagangan, kesehatan, komunikasi elektronik dan Instansi Negara yang layanannya banyak dan sering digunakan oleh masyarakat sehingga 51 banyak Data Pribadi milik masyarakat yang diproses karena menggunakan layanan tersebut. 75. Dilansir dari Lanskap Keamanan Siber Indonesia Tahun 2023, yang diterbitkan oleh Badan Siber dan Sandi Negara Republik Indonesia (BSSN) (vide bukti P-12), tercatat bahwa BSSN berhasil melakukan deteksi terhadap 103 dugaan insiden kebocoran data (data breach), yang mana sektor Administrasi Pemerintahan memiliki jumlah insiden terbanyak dengan total 71 kasus diikuti dengan sektor Keuangan dan sektor lainnya, yang masing-masing memiliki 12 insiden. Analisis lebih lanjut mengungkapkan bahwa sektor pemerintahan memiliki persentase tertinggi dari total data exposure di Indonesia, yakni sebesar 39,78% diikuti oleh sektor Keuangan dengan 9,86%. 76. Dalam Lanskap Keamanan Siber Indonesia Tahun 2023 juga tercatat hasil pemantauan Cyber Threat Intelligence pada tahun 2023, dimana ditemukan sebanyak 347 dugaan insiden siber, yang termasuk insiden kebocoran data (data breach). 186 dugaan insiden tersebut terdapat pada Sektor Administrasi Pemerintah. 77. Kemudian, tentunya masih segar di dalam ingatan kita insiden pada bulan Juni 2024, dimana Pusat Data Nasional Sementara (PDNS) mengalami serangan ransomware yang menyebabkan gangguan besar pada sistem dan data yang tersimpan di dalamnya. PDNS dalam peristiwa ini hanya mampu memulihkan 2% data dari data-data yang dimiliki oleh 282 lembaga dan instansi pemerintahan yang tersimpan dalam PDNS, termasuk Data Pribadi masyarakat Indonesia. Hacker meminta tebusan Rp. 131 Miliar untuk memulihkan data yang dienkripsi. Serangan ini menunjukan kerentanan sistem keamanan PDN dan resiko yang tinggi terhadap kebocoran dan kehilangan data pribadi milik warga negara. 78. Berdasarkan data-data empiris tersebut, Para Pemohon melihat bahwa selain dari ancaman terhadap Hak-hak dari Para Pemohon sebagai Subjek Data, namun juga kerugiaan terhadap negara, dimana kita dapat melihat bahwa sektor administrasi pemerintahan merupakan sektor yang paling rentan untuk mendapatkan serang siber sehingga berisiko paling tinggi untuk terjadinya kebocoran dan kehilangan Data Pribadi milik warga 52 negara. Dari kasus PDNS dimana layanan imigrasi tidak dapat beroperasi hingga berhari-hari. Kita dapat melihat bahwa selain dari potensi kerugian finansial untuk membayar ganti rugi akibat serangan siber, namun juga terhambatnya hingga berhentinya jalan administratif layanan negara. 79. Berdasarkan uraian-uraian diatas, maka setidak-tidaknya memperkuat kekhawatiran Para Pemohon bahwa dengan hilangnya pengawasan yang sifatnya lebih lewat kehadiran PPDP pada organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas pemrosesan Data Pribadi yang berisiko tinggi akan meningkatkan ancaman terhadap Hak-Hak Dari Para Pemohon sebagai Subjek Data baik dalam bentuk kerugian kebocoran data pribadi atau hilangnya Data Pribadi milik Subjek Data yang timbul akibat adanya serangan siber semakin nyata dan kuat adanya terutama dalam era digitalisasi saat ini. 80. Berdasarkan uraian alasan-alasan Para Pemohon di atas, maka jelas bahwa rumusan kriteria persyaratan Pasal 53 ayat (1) UU PDP yang menggunakan kata “dan” pada akhir kalimat butir “b” bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945 dikarenakan berpotensi menimbulkan kerugian konstitusional bagi para Subjek Data termasuk Para Pemohon dalam Permohonan a quo yang merupakan warga negara yang menjadi bagian dari Subjek Data yang Data Pribadinya diproses oleh Pengendali Data dan Prosesor Data yang melakukan pemrosesan Data Pribadi yang berisiko tinggi. 81. Oleh karena itu, para Pemohon meminta kepada Mahkamah Konstitusi lewat permohonan a quo untuk mengganti kata “dan” menjadi “dan/atau” dalam rumusan kriteria pada Pasal 53 ayat (1) UU PDP untuk memperluas cakupan organisasi Pengendali Data dan Prosesor Data yang wajib untuk menunjuk PPDP. Kehadiran PPDP yang semakin luas terutama terhadap Pengendali Data dan Prosesor Data yang melakukan pemrosesan Data Pribadi yang berisiko tinggi tentunya berbanding lurus dengan tingkat kepatuhan Pengendali Data dan Prosesor Data tersebut terhadap kewajibannya yang pada akhirnya akan meningkatkan tingkat pelindungan dan jaminan terhadap hak-hak konstitusional dari Subjek Data. 53 IV. PETITUM Berdasarkan seluruh dalil-dalil para Pemohon yang telah diuraikan secara lengkap dalam alasan-alasan Para Pemohon di atas, maka para Pemohon memohonkan kepada yang Mulia Majelis Hakim Konstitusi yang memeriksa, mengadili, dan menguji Permohonan Para Pemohon untuk memberikan putusan sebagai berikut: Dalam Pokok Permohonan 1. Mengabulkan permohonan Para Pemohon untuk seluruhnya; 2. Menyatakan Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) yang menyatakan “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana” bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat, sepanjang tidak dimaknai “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana” 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. 54 Apabila Majelis Hakim Mahkamah mempunyai pendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). [2.2] Menimbang bahwa untuk menguatkan dalilnya, para Pemohon telah mengajukan alat bukti yang diberi tanda Bukti P-1 sampai dengan Bukti P-12 yaitu sebagai berikut: 1. Bukti P-1 : Fotokopi Kartu Tanda Penduduk Pemohon I; 2. Bukti P-2 : Fotokopi Kartu Tanda Penduduk Pemohon II; 3. Bukti P-3 : Fotokopi Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi; 4. Bukti P-4 : Fotokopi Undang Undang Dasar Negara Republik Indonesia Tahun 1945; 5. Bukti P-5 : Fotokopi Lampiran II Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan; 6. Bukti P-6 : Fotokopi Recital 91 General Data Protection Regulation; 7. Bukti P-7 : Fotokopi Handbook on European Data Protection Law; 8. Bukti P-8 : Fotokopi Privacy and Freedom, Allan F. Westin; 9. Bukti P-9 : Fotokopi Salinan Undang-Undang Nomor 39 Tahun 1999 tentang Hak Asasi Manusia; 10. Bukti P-10 : Fotokopi Salinan Putusan Mahkamah Konstitusi Nomor 5/PUU-VIII/2010; 11. Bukti P-11 : Fotokopi Salinan Undang-Undang Nomor 25 Tahun 2009 Pelayanan Publik; 12. Bukti P-12 : Fotokopi Lanskap Keamanan Siber Indonesia Tahun 2023. [2.3] Menimbang bahwa terhadap permohonan para Pemohon, Dewan Perwakilan Rakyat memberikan keterangan yang didengarkan dalam persidangan pada tanggal 7 Mei 2025, kemudian dokumen fisiknya diterima Mahkamah pada tanggal 20 Juni 2025, pada pokoknya mengemukakan hal-hal sebagai berikut: A. KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON Terkait kedudukan hukum (legal standing) Para Pemohon dalam pengujian UU a quo secara materiil, DPR RI memberikan pandangan berdasarkan 5 (lima) batasan kerugian konstitusional berdasarkan Pasal 4 ayat 55 (2) Peraturan Mahkamah Konstitusi Nomor 2 Tahun 2021 tentang Tata Beracara Dalam Perkara Pengujian Undang-Undang yang sejalan dengan Putusan Mahkamah Konstitusi (MK) Nomor 006/PUU-III/2005 dan Putusan MK Nomor 001/PUU-V/2007 mengenai parameter kerugian konstitusional sebagai berikut: a. adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD NRI Tahun 1945 b. adanya hak dan/atau kewenangan konstitusional yang dianggap oleh Pemohon telah dirugikan oleh berlakunya suatu undang-undang c. adanya kerugian hak dan/atau kewenangan konstitusional yang bersifat spesifik dan aktual, atau setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi d. adanya hubungan sebab akibat (causal verband) antara kerugian hak dan/atau kewenangan konstitusional dengan undang-undang yang dimohonkan pengujian e. adanya kemungkinan bahwa dengan dikabulkannya permohonan, maka kerugian hak dan/atau kewenangan konstitusional yang didalilkan tidak akan atau tidak lagi terjadi Terhadap kedudukan hukum Para Pemohon dalam perkara a quo DPR RI memberikan pandangan sebagai berikut: 1) Bahwa Pasal a quo mengatur mengenai kewajiban bagi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi tertentu, sedangkan Para Pemohon bukanlah Pengendali Data Pribadi dan Prosesor Data Pribadi. Para Pemohon telah jelas tidak memiliki pertautan dengan ketentuan pasal a quo karena Para pemohon yang merupakan subjek data pribadi tidak diatur dalam pasal a quo. Dan Para Pemohon bukan sebagai addressat norm dari ketentuan Pasal a quo. 2) Bahwa sebagaimana tercantum dalam konsideran mengingat dan penjelasan umum UU a quo, adanya UU a quo merupakan bentuk perlindungan atas hak dan/atau kewenangan konstitusional warga negara yang dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. Di samping itu, upaya pelindungan data pribadi harus dilakukan oleh semua pengendali data pribadi dan prosesor data pribadi. Dengan adanya perhatian pembentuk undang-undang atas 56 pentingnya data pribadi dan ancaman yang berpotensi merugikan warga negara atas penyalahgunaan data pribadi, pembentuk undang-undang telah mengatur mekanisme pelindungan data pribadi yang sedemikian rupa. Tingginya ancaman pencurian data dan penggunaan data tanpa ijin subjek data pribadi menuntut semua prosesor data pribadi untuk terus meningkatkan keamanan sistemnya dan tentunya pemenuhannya terhadap ketentuan peraturan perundang-undangan yang berlaku. Selain itu, pelindungan data tidak hanya menjadi kewajiban prosesor data pribadi, adanya concern Para Pemohon selaku subjek data pribadi juga menjadi hal yang penting mengingat dengan adanya ijin dari subjek data pribadi, prosesor data pribadi memiliki kewenangan untuk memproses data pribadi dan berkewajiban untuk melindungi data pribadi yang diproses tersebut. 3) Bahwa dengan tidak adanya pertautan Para Pemohon dengan pasal a quo UU PDP, maka telah jelas tidak ada kerugian hak dan/atau kewenangan konstitusional Para Pemohon atas berlakunya Pasal a quo, baik secara faktual maupun secara potensial. Bahwa terkait dengan kedudukan hukum Para Pemohon dalam pengujian materiil ini, DPR RI memberikan pandangan selaras dengan Putusan Mahkamah Konstitusi Nomor 22/PUU-XIV/2016 yang diucapkan dalam Sidang Pleno Konstitusi terbuka untuk umum pada hari tanggal 15 Juni 2016, yang pada pertimbangan hukum [3.5.2] Mahkamah Konstitusi menyatakan bahwa menurut Mahkamah Konstitusi: ...Dalam asas hukum dikenal ketentuan umum bahwa tiada kepentingan maka tiada gugatan yang dalam bahasa Perancis dikenal dengan point d’interest, point d’action dan dalam bahasa Belanda dikenal dengan zonder belang geen rechtsingang. Hal tersebut sama dengan prinsip yang terdapat dalam Reglement op de Rechtsvordering (Rv) khususnya Pasal 102 yang menganut ketentuan bahwa “tiada gugatan tanpa hubungan hukum“ (no action without legal connection). Berdasarkan pada hal-hal yang telah disampaikan tersebut DPR RI berpandangan bahwa Para Pemohon secara keseluruhan tidak memiliki kedudukan hukum (legal standing) karena tidak memenuhi ketentuan Pasal 51 ayat (1) dan Penjelasan Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstiusi sebagaimana diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga atas Undang-Undang Nomor 24 57 Tahun 2003 tentang Mahkamah Konstitusi (UU MK), serta tidak memenuhi persyaratan kerugian konstitusional yang diputuskan dalam putusan Mahkamah Konstitusi terdahulu secara kumulatif. Meskipun demikian DPR RI menyerahkan sepenuhnya kepada Yang Mulia Ketua dan Majelis Hakim Konstitusi untuk mempertimbangkan dan menilai apakah Pemohon memiliki kedudukan hukum (legal standing) sebagaimana yang diatur dalam Pasal 51 ayat (1) UU MK dan Putusan Mahkamah Konstitusi Perkara Nomor 006/PUU-III/2005 dan Putusan Perkara Nomor 011/PUU-V/2007 mengenai parameter kerugian konstitusional. B. PANDANGAN UMUM 1. Bahwa dalam alinea ke-4 Pembukaan UUD NRI 1945, menyebutkan Pemerintah Negara Indonesia mempunyai kewajiban konstitusional melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang berdasarkan kemerdekaan, perdamaian abadi, dan keadilan social. Selanjutnya, dalam batang tubuh UUD NRI 1945 pemerintah negara Indonesia mempunyai kewajiban konstitusional menjamin perlindungan diri pribadi setiap orang yang merupakan hak asasi. Pelindungan data pribadi masuk dalam pelindungan hak asasi manusia. Dengan demikian, pengaturan menyangkut data pribadi merupakan manifestasi pengakuan dan pelindungan atas hak dasar manusia. 2. Bahwa perkembangan teknologi informasi dan komunikasi yang melaju dengan pesat telah menimbulkan berbagai peluang dan tantangan. Teknologi informasi memungkinkan manusia untuk saling terhubung tanpa mengenal batas wilayah negara sehingga merupakan salah satu faktor pendorong globalisasi. Berbagai sektor kehidupan telah memanfaatkan sistem teknologi informasi, seperti penyelenggaraan electronic commerce (e-commerce) dalam sektor perdagangan/bisnis, electronic education (e-education) dalam bidang pendidikan, electronic health (e-health) dalam bidang kesehatan, electronic government (e-govermnent) dalam bidang pemerintahan, serta teknologi informasi yang dimanfaatkan dalam bidang lainnya. Pemanfaatan teknologi informasi tersebut mengakibatkan data pribadi seseorang sangat mudah untuk dikumpulkan dan dipindahkan dari satu pihak ke pihak lain 58 tanpa sepengetahuan subjek data pribadi, sehingga mengancam hak konstitusional subjek data pribadi. 3. Bahwa isu mengenai pentingnya pelindungan data pribadi mulai menguat seiring dengan meningkatnya jumlah pengguna telepon seluler dan internet. Sejumlah kasus yang mencuat, terutama yang memiliki keterkaitan dengan kebocoran data pribadi seseorang dan bermuara kepada aksi penipuan atau tindak kriminal pornografi, menguatkan wacana pentingnya pembuatan aturan hukum untuk melindungi data pribadi. Pelindungan data pribadi berhubungan dengan konsep privasi. Konsep privasi sendiri adalah gagasan untuk menjaga integritas dan martabat pribadi. Hak privasi juga merupakan kemampuan individu untuk menentukan siapa yang memegang informasi tentang mereka dan bagaimana informasi tersebut digunakan. 4. Bahwa berjalannya perkembangan teknologi informasi dan komunikasi telah membuat data pribadi dapat dikumpulkan, disimpan atau dianalisa dengan lebih mudah. Oleh karena itu pembentukan UU a quo dilakukan dengan salah satu pertimbangan yakni untuk menjamin hak warga negara atas pelindungan data pribadi sebagai bagian dari penjaminan atas pelindungan diri pribadi, sehingga pasal demi pasal yang disusun dalam UU a quo semata-mata untuk memberikan jaminan pelindungan data pribadi tersebut. 5. Bahwa sebelum UU a quo dibentuk, pengaturan mengenai data pribadi masih tersebar dalam beberapa peraturan perundang-undangan yang dibuat sesuai dengan kebutuhan masing-masing sektor peraturan, seperti pelindungan data pasien dalam Undang-Undang Nomor 36 Tahun 2009 tentang Kesehatan, pelindungan pengguna jasa telekomunikasi dalam Undang- Undang Nomor 36 Tahun 1999 tentang Telekomunikasi atau pelindungan informasi yang bersifat rahasia dalam Undang-Undang Nomor 21 Tahun 2011 tentang Otoritas Jasa Keuangan. UU a quo dibentuk untuk menghadirkan pengaturan nasional yang memuat prinsip-prinsip umum pelindungan data pribadi dan penyeragaman istilah dalam pelindungan dan pemrosesan data pribadi. 6. Bahwa dengan memperhatikan pengaturan dalam Pasal 2 ayat (1) UU a quo, ruang lingkup UU PDP tidak hanya mengikat bagi setiap orang, badan publik, dan organisasi internasional yang berada dalam wilayah hukum Negara Kesatuan Republik Indonesia, tetapi juga mengikat keluar wilayah hukum 59 Negara Kesatuan Republik Indonesia sepanjang pengelolaan data pribadi yang dilakukan berakibat hukum di wilayah Indonesia dan/atau bagi subjek data pribadi warga negara Indonesia di luar wilayah hukum Negara Kesatuan Republik Indonesia. Dengan demikian, hal ini menunjukkan adanya perhatian pembentuk undang-undang atas kepentingan pengelolaan data pribadi di dalam negeri dan di luar negeri yang dapat merugikan kepentingan perseorangan warga negara Indonesia maupun kepentingan nasional. C. KETERANGAN DPR RI TERHADAP POKOK PERMOHONAN 1. Bahwa Para Pemohon mendalilkan konstruksi Pasal 53 ayat (1) UU PDP yang dirumuskan secara kumulatif telah mempersempit cakupan organisasi Pengendali Data dan Prosesor Data yang diwajibkan melakukan penunjukan PPDP (vide Perbaikan Permohonan hlm 8, 10, dan 36). Terhadap dalil Para Pemohon tersebut, DPR RI menerangkan sebagai berikut: a. Bahwa pelindungan data pribadi berdasarkan UU PDP merupakan hal yang harus dilakukan tidak hanya oleh pengendali data pribadi dan prosesor data pribadi, melainkan wajib juga dilakukan oleh subjek data pribadi. b. Bahwa pengaturan tentang data pribadi sangat diperlukan karena mengatur mengenai pengumpulan, penggunaan, pengungkapan, pengiriman dan keamanan data pribadi. Secara umum pengaturan data pribadi adalah untuk mencari keseimbangan antara kebutuhan akan pelindungan data pribadi individu dengan kebutuhan pemerintah dan pelaku bisnis untuk memperoleh dan memproses data pribadi untuk keperluan yang wajar dan sah. Sebagai salah satu anggota masyarakat internasional, Indonesia harus menyesuaikan dengan perkembangan masyarakat internasional yang telah mengatur masalah mengenai hak privasi atas data pribadi. Dengan demikian perlu dilakukan harmonisasi pengaturan mengenai hak privasi atas data pribadi yang diatur dalam hukum nasional dengan pengaturan di negara lain, agar tercipta suatu kepastian hukum bagi pengguna yang akan mendorong perkembangan dan kemajuan berbagai bidang Indonesia. c. Bahwa pengaturan dalam UU PDP membedakan antara pengendali data pribadi dan prosesor data pribadi. Berdasarkan ketentuan Pasal 1 angka 60 4 dan angka 5 UU PDP, pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi, sedangkan prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri- sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi. Hal ini sejalan dengan ketentuan Pasal 51 ayat (1) UU PDP yang menyatakan dalam hal pengendali data pribadi menunjuk prosesor data pribadi, prosesor data pribadi wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi. Dengan demikian, pengendali data pribadi merupakan pihak yang diberi hak oleh subjek data pribadi untuk melakukan pengelolaan data pribadi sedangkan prosesor data pribadi melakukan pengelolaan data pribadi berdasarkan perintah pengendali data pribadi. Meski demikian, keduanya memiliki kewajiban pelindungan data pribadi berdasarkan ketentuan dalam UU PDP. d. Bahwa Pasal 34 UU PDP mengatur pengendali data pribadi wajib melakukan penilaian dampak pelindungan data pribadi dalam hal pemrosesan data pribadi memiliki potensi risiko tinggi terhadap subjek data pribadi. Adapun pemrosesan data pribadi yang dimaksud meliputi: 1 pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap subjek data pribadi; 2 pemrosesan atas data pribadi yang bersifat spesifik; 3 pemrosesan data pribadi dalam skala besar; 4 pemrosesan data pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap subjek data pribadi; 5 pemrosesan data pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; 6 penggunaan teknologi baru dalam pemrosesan data pribadi; dan/atau 7 pemrosesan data pribadi yang membatasi pelaksanaan hak subjek data pribadi. Penilaian dampak pelindungan data pribadi diamanatkan untuk diatur lebih lanjut dalam peraturan pemerintah (Pasal 34 ayat (3) UU PDP). 61 Proses pembentukan peraturan pemerintah tersebut dapat diikuti melalui tautan https://pdp.id/rpp-ppdp/1. Hingga saat ini peraturan pemerintah lain yang mengatur mengenai pelindungan data pribadi yang telah diundangkan adalah Peraturan Pemerintah Nomor 17 Tahun 2025 tentang Tata Kelola Penyelenggaraan Sistem Elektronik dalam Pelindungan Anak. e. Bahwa ketentuan Pasal 34 UU PDP mengatur mengenai cakupan kegiatan pemrosesan data pribadi yang memilik potensi risiko tinggi. Pengaturan tersebut memiliki substansi atau materi muatan yang berbeda dengan yang diatur dari Pasal 53 ayat (1) UU a quo karena Pasal 53 ayat (1) UU PDP yang mengatur mengenai kewajiban bagi pengendali data pribadi dan prosesor data pribadi untuk menunjuk Pejabat atau Petugas yang melaksanakan fungsi Pelindungan Data Pribadi (PPDP). Dengan demikian, meskipun pengaturan dalam kedua pasal tersebut berkaitan, pengaturan dalam Pasal 53 ayat (1) UU PDP tidak mengacu pada ketentuan Pasal 34 karena jelas keduanya memiliki konteks pengaturan yang berbeda. f. Bahwa jelas terdapat perbedaan pengaturan antara Pasal 34 UU PDP dengan Pasal 53 ayat (1) UU PDP sehingga kedua pasal tersebut tidak dapat dibandingkan. Terlebih lagi UU PDP merupakan peraturan baru mengenai pelindungan data pribadi yang mencakup kegiatan dalam dimensi digital di Indonesia sehingga tidak tepat jika ketentuan Pasal 53 ayat (1) UU PDP dikatakan mempersempit cakupan pengendali data dan prosesor data yang wajib menunjuk PPDP. Selain itu, pengaturan yang demikian tentunya telah dipertimbangkan sedemikian rupa oleh pembentuk undang-undang. g. Bahwa berdasarkan Lampiran II Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan sebagaimana telah diubah terakhir melalui Undang-Undang Nomor 13 Tahun 2022 (UU Pembentukan PUU), bahasa peraturan perundang–undangan pada dasarnya tunduk pada kaidah tata Bahasa Indonesia, baik pembentukan kata, penyusunan kalimat, teknik penulisan, maupun pengejaannya. Namun bahasa Peraturan Perundang-undangan mempunyai corak tersendiri yang bercirikan kejernihan atau kejelasan pengertian, 62 kelugasan, kebakuan, keserasian, dan ketaatan asas sesuai dengan kebutuhan hukum baik dalam perumusan maupun cara penulisan. Ciri-ciri bahasa peraturan perundang-undangan antara lain harus lugas dan pasti untuk menghindari kesamaan arti atau kerancuan. Selain itu dalam merumuskan ketentuan peraturan perundang–undangan digunakan kalimat yang tegas, jelas, singkat, dan mudah dimengerti sesuai dengan kaidah tata bahasa Indonesia yang baku (vide lampiran II UU P UU Pembentukan PUU angka 242-244 dan angka 246). h. Bahwa bentuk pengaturan yang ada dalam Pasal a quo UU PDP dirumuskan dengan bentuk tabulasi yang dimaksudkan sebagai suatu rincian yang bertujuan untuk memudahkan masyarakat dalam membaca ketentuan tersebut, bukan untuk ditafsirkan sebagai perihal yang harus dilaksanakan secara kumulatif. Bentuk rumusan seperti ini telah mengikuti kaidah teknik penyusunan undang- undang sebagaimana diatur di dalam ketentuan Angka 85 Lampiran II UU Pembentukan PUU yang menyatakan bahwa : Jika satu pasal atau ayat memuat rincian unsur, selain dirumuskan dalam bentuk kalimat dengan rincian juga dapat dirumuksan dalam bentuk tabulasi. Di dalam angka 85 Lampiran II UU Pembentukan PUU, bahkan diberikan contoh teknik perumusan yang dapat dianalogikan dengan rumusan yang yang diujikan dalam perkara a quo, dengan contoh sebagai berikut: Contoh rumusan tabulasi: Pasal 28 Bahasa Indonesia wajib digunakan dalam pidato resmi: a. Presiden; b. Wakil Presiden; dan c. pejabat negara yang lain, yang disampaikan di dalam atau di luar negeri. Berdasarkan contoh rumusan tersebut, meskipun menggunakan kata “dan” tidak berarti Presiden, Wakil Presiden, dan pejabat negara yang lain harus kumulatif bersama-sama menggunakan bahasa Indonesia atau ketika misalnya hanya huruf a saja yaitu Presiden, atau huruf b saja yaitu Wakil Presiden, tidak diwajibkan menggunakan Bahasa Indonesia 63 sebagai bahasa resmi. Makna rincian dari contoh tabulasi tersebut adalah Presiden juga tetap wajib menggunakan Bahasa Indonesia dalam pidato resmi, demikian juga Wakil Presiden, dan pejabat negara yang lain masing-masing wajib menggunakan bahasa resmi. i. Lain halnya dengan penulisan rumusan yang memang harus dimaknai secara keseluruhan kumulatif misalnya mengenai penulisan rumusan norma yang mengatur mengenai persyaratan. Sebagai contoh rumusan Pasal 26 UU Komisi Yudisial sebagai berikut: Pasal 26 Untuk dapat diangkat menjadi Anggota Komisi Yudisial harus memenuhi syarat: a. warga negara Indonesia; b. bertaqwa kepada Tuhan yang Maha Esa; c. berusia paling rendah 40 (empat puluh) tahun dan paling tinggi 68 (enam puluh delapan) tahun pada saat proses pemilihan; d. mempunyai pengalaman di bidang hukum paling singkat 15 (lima belas) tahun; e. memiliki integritas dan kepribadian yang tidak tercela; f. sehat jasmani dan rohani; g. tidak pernah dijatuhi pidana karena melakukan tindak pidana kejahatan; dan h. melaporkan daftar kekayaan. Bahwa makna contoh rumusan persyaratan tersebut memang harus dimaknai kumulatif harus terpenuhi semuanya mulai dari huruf a sampai dengan huruf h. j. Bahwa berdasarkan kedua contoh tersebut, rumusan norma mengenai “wajib” dan “syarat” meskipun sama-sama menggunakan kata “dan” namun cara memaknainya berbeda. Untuk contoh rumusan “wajib” semua yang ada di dalam tabulasi adalah sebagai rincian bukan berarti harus digabung terlebih dahulu secara kumulatif baru “wajib”. Sedangkan untuk contoh rumusan “syarat”, semua yang ada di tabulasi harus dipenuhi secara kumulatif untuk dapat dikatakan memenuhi syarat. 64 k. Berdasarkan penjelasan tersebut jika diterapkan ke dalam pasal a quo maka pemaknaannya sebagai berikut: Rumusan Pasal a quo: (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/ atau Data Pribadi yang berkaitan dengan tindak pidana. Makna yang tepat dari rumusan pasal a quo adalah huruf a, huruf b, dan huruf c yang berbentuk tabulasi merupakan suatu rincian yang berdiri sendiri-sendiri sebagai suatu hal untuk wajib menunjuk PPDP. Oleh karena itu dalil Para Pemohon yang pada intinya memaknai huruf a, huruf b, dan huruf c harus terpenuhi secara kumulatif untuk wajib menunjuk PPDP adalah pemaknaan yang tidak tepat. 2. Bahwa Para Pemohon mendalilkan penggunaan kata “dan” dalam Pasal a quo membuat Para Pemohon merasa data pribadi miliknya tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktifitas pemrosesan data pribadi beresiko tinggi (high-risk data processing activities) namun tidak diawasi secara lebih dalam terhadap kepatuhan terhadap UU PDP (vide Perbaikan Permohonan hlm 9 dan 44). Terhadap dalil Para Pemohon tersebut, DPR RI menerangkan sebagai berikut: a. Bahwa memperhatikan ketentuan Pasal 5 sampai dengan Pasal 14 UU a quo, pengaturan terhadap hak subjek data atas data pribadinya telah diupayakan dapat memberikan perlindungan terhadap hak subjek data pribadi dalam kegiatan pengelolaan data pribadi. Dengan demikian, pengelolaan data pribadi untuk tujuan apapun selain yang dikecualikan dalam ketentuan Pasal 2 ayat (2) dan Pasal 15 UU PDP membutuhkan 65 kesadaran kepentingan pribadi subjek data pribadi atas perlindungannya dan pemenuhan hak-haknya atas data pribadinya. b. Bahwa dalam rangka pelindungan data pribadi, berdasarkan Pasal 34 UU a quo, selain kesadaran subjek data pribadi atas keamanan data pribadinya, pengendali data pribadi juga diwajibkan melakukan pengelolaan data pribadi dengan memperhatikan keamanan subjek data pribadi melalui ketentuan kewajiban untuk melakukan penilaian dampak pelindungan data pribadi dalam pemrosesan data pribadi yang memiliki resiko tinggi terhadap subjek data pribadi. Penilaian potensi dampak yang timbul terhadap subjek data pribadi atas pengelolaan data pribadi yang dilakukan oleh pengendali data pribadi merupakan upaya untuk pemenuhan tanggung jawab pengendali data pribadi terhadap data pribadi yang dipercayakan kepadanya untuk dikelola untuk kepentingan subjek data pribadi (vide Pasal 47 UU PDP) dan sebagai proses evaluasi risiko dan potensi bahaya yang timbul dari pemrosesan data pribadi, serta upaya mitigasi untuk meminimalkan risiko tersebut, termasuk hak subjek data pribadi dan kepatuhan terhadap UU a quo (vide Penjelasan Pasal 34 ayat (1) UU PDP). c. Bahwa untuk itu, pengendali data pribadi wajib menyusun dan menerapkan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dengan peraturan perundang-undangan dan menentukan tingkat keamanan data pribadi dengan memperhatikan sifat dan resiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi serta wajib melindungi data pribadi dari pemrosesan yang tidak sah dan diakses secara tidak sah (vide Pasal 35, Pasal 38, dan Pasal 39 ayat (1) UU PDP). Selain itu, pengendali data pribadi juga wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi dan menjaga kerahasiaan data pribadi (vide Pasal 31 dan Pasal 36 UU PDP). d. Bahwa UU PDP mewajibkan pengendali untuk memproses data pribadi secara terbatas dan spesifik, sah secara hukum, serta transparan (vide Pasal 16 ayat (2) jo. Pasal 27 UU PDP). Salah satu bentuk pemenuhan kewajiban tersebut adalah memastikan pengendali menggunakan dasar pemrosesan yang sesuai dan sah. Dalam pemrosesan data pribadi, 66 pengendali hanya dapat memproses data pribadi sesuai tujuan pemrosesan data pribadi, dan harus memastikan akurasi kelengkapan, dan konsistensi data pribadi sesuai ketentuan yang berlaku. Selain itu, UU PDP mengatur dalam kondisi tertentu, pemrosesan data pribadi wajib diikuti dengan tindakan lain oleh pengendali data pribadi (vide Pasal 41 ayat (3), Pasal 45, dan Pasal 46 ayat (3) UU PDP). e. Bahwa pelanggaran terhadap ketentuan pelindungan data pribadi dapat dikenakan sanksi administratif, pidana, hingga gugatan oleh pihak terkait jika menimbulkan kerugian. Oleh karena itu, upaya untuk mewujudkan kepatuhan pengelola data pribadi terhadap regulasi dan peraturan terkait data pribadi menjadi sangat penting. Selain kebutuhan untuk mematuhi regulasi dan peraturan yang berlaku, terdapat berbagai bentuk kejahatan yang menyasar pada data pribadi, dimulai dari serangan siber, phishing, malware, dan social engineering (Forbes, 2022). f. Bahwa studi dari Stanford University dan Tessian (2020) menemukan bahwa 88% kebocoran data diakibatkan oleh kelalaian manusia yang dapat disalahgunakan untuk aktivitas yang merugikan seperti pinjaman online ilegal, pembobolan rekening, hingga peretasan (hacking). Tingginya ancaman terhadap keamanan data pribadi seiring meningkatnya perkembangan teknologi dan transaksi digital tentunya menjadi perhatian dan kewaspadaan subjek data pribadi selaku pemilik data pribadi dan pengelola data pribadi, in casu pengendali data pribadi dan prosesor data pribadi. Kelalaian ini tentunya dapat dilakukan oleh subjek data pribadi maupun pengelola data pribadi, namun dengan adanya sanksi terhadap kelalaian dan pelanggaran terhadap pengelola data pribadi dalam UU PDP diharapkan dapat mencegah terjadinya kelalaian dan pelanggaran tersebut dari sisi pengelola data pribadi. g. Bahwa terkait dengan subjek data pribadi, di Indonesia, survei Kementerian Komunikasi dan Informatika dan Katadata Insight Center (2021) menemukan pemahaman masyarakat terkait data pribadi umum berada di tingkat sedang sedangkan implementasinya tergolong kurang dengan demikian himbauan-himbauan terhadap pelindungan data pribadi dan sosialisasi pentingnya pelindungan data pribadi harus dilakukan 67 dengan lebih baik dan efektif untuk meningkatkan pemahaman dan kesadaran masyarakat terhadap data pribadi. h. Bahwa adanya kata “dan” dalam Pasal a quo sudah dapat dipastikan tidak menjadikan data pribadi milik Para Pemohon tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktifitas pemrosesan data pribadi beresiko tinggi (high-risk data processing activities). Selain itu, adanya kata “dan” tersebut tidak menjadikan pengawasan kepatuhan pengelola data pribadi terhadap UU PDP dapat berkurang. i. Bahwa merujuk pada ketentuan Pasal 53 ayat (2) UU PDP, PPDP harus ditunjuk berdasarkan kompetensi dan kualitas profesional, pengetahuan mengenai hukum dan praktik pelindungan data pribadi, dan kemampuan untuk memenuhi tugas-tugasnya yang dibuktikan melalui sertifikasi terhadap kompetensi dan pengalaman kerja. Kompetensi bidang pelindungan data pribadi meliputi merencanakan program, mengelola program, menjaga keberlangsungan program, dan merespons permintaan informasi serta insiden data pribadi secara mendalam, sehingga dapat dipertanggungjawabkan secara ilmiah dan hukum. Sementara itu, di dalam praktek telah ada beberapa profesi yang berkaitan dengan pelindungan data pribadi di industri, antara lain: Data Protection Officer, Privacy Manager, Privacy Analyst, Data Privacy Engineer, dan sebagainya. Profesi tersebut tersebar pada fungsi organisasi tata kelola kepatuhan, manajerial, dan teknis operasional pelindungan data pribadi. Berdasarkan hasil kajian, kebutuhan pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi diprediksi mencapai 127.000 orang (vide lampiran Kepmenaker 103/2023 hlm. 2). j. Bahwa terkait dengan PPDP, Kementerian Ketenagakerjaan telah mengeluarkan penetapan standar kompetensi nasional Indonesia bagi PPDP yakni Keputusan Menteri Ketenagakerjaan Nomor 103 Tahun 2023 tentang Penetapan Standar Kompetensi Kerja Nasional Indonesia Kategori Informasi dan Komunikasi Golongan Pokok Aktivitas Pemrograman, Konsultasi Komputer, dan Kegiatan yang Berhubungan dengan Itu (YBDI) Bidang Keahlian Pelindungan Data Pribadi 68 (Kepmenaker 103/2023) yang akan dievaluasi setiap lima tahun (vide diktum keempat Permenaker 103/2023). Kepmenaker tersebut mengatur seorang PPDP diharuskan memiliki 19 unit kompetensi. Terkait dengan kebutuhan PPDP sebanyak 127.000 orang sebagaimana telah disampaikan sebelumnya, hal ini telah memperhatikan dan memperhitungkan kebutuhan PPDP dengan memperhatikan Pasal 53 ayat (1) UU PDP. k. Bahwa terkait dengan pengawasan kepatuhan pengendali data pribadi maupun prosesor data pribadi, pengendali data pribadi dan prosesor data pribadi juga diawasi oleh suatu lembaga yang mengawasi pelaksanaan pelindungan data pribadi. Adanya lembaga yang demikian telah diatur dalam Pasal 58-61 UU PDP. Selain melakukan pengawasan pelindungan data pribadi, lembaga tersebut juga melaksanakan perumusan dan penetapan kebijakan dan strategi pelindungan data pribadi yang menjadi panduan bagi subjek data pribadi, pengendali data pribadi, dan prosesor data pribadi, penegakan hukum administratif terhadap pelanggaran UU PDP, dan fasilitasi penyelesaian sengketa di luar pengadilan (vide Pasal 59 UU PDP). Lembaga penyelengara pelindungan data pribadi tersebut berdasarkan Pasal 58 ayat (5) UU PDP diatur dengan peraturan presiden. l. Bahwa adanya kekhawatiran Para Pemohon terhadap keamanan data pribadinya merupakan suatu bentuk kesadaran Para Pemohon terhadap kepentingannya atas data pribadinya yang dikelola oleh pengendali data pribadi dan pemroses data pribadi serta ancaman-ancaman yang dapat terjadi pada data pribadinya. Hal ini tentunya perlu diapresiasi dan dapat menjadi contoh bagi masyarakat Indonesia lainnya. Meski demikian, Para Pemohon dan masyarakat lainnya perlu mengetahui bahwa pembentuk undang-undang telah mengupayakan adanya pelindungan data pribadi masyarakat dalam kegiatan pengelolaan data pribadi baik untuk kepentingan komersial maupun non-komersial melalui pengaturan yang sedemikian rupa dalam UU a quo. m. Bahwa regulasi yang baik tidak akan dapat berjalan dengan optimal tanpa adanya kesadaran masyarakat dan budaya hukum yang baik. Oleh karenanya, dalam upaya pelindungan data pribadi ini, DPR RI menghimbau adanya upaya peningkatan kesadaran masyarakat atas 69 kepentingannya terhadap data pribadinya dan ancaman ada sehingga masyarakat lebih berhati-hati terhadap keamanan data pribadinya masing-masing. Disamping itu, pengelola data pribadi harus memenuhi ketentuan yang ada dalam UU a quo dalam melakukan pengelolaan data pribadi dan aparat penegak hukum juga harus mendukung upaya penegakan hukum dalam pelindungan data pribadi. 3. Bahwa Para Pemohon mendalilkan pengaturan Data Protection Officer (DPO) dalam GDPR (General Data Protection Regulation) yang berlaku di Uni Eropa dan dalam regulasi pelindungan data pribadi di beberapa negara lain menentukan bahwa kriteria penunjukan DPO dilakukan dengan pemenuhan kriteria-kriteria yang bersifat alternatif dengan digunakannya kata “or” yang berarti “atau” (vide Perbaikan Permohonan hlm 41-42). Terhadap dalil Para Pemohon tersebut, DPR RI menerangkan sebagai berikut: a. Bahwa General Data Protection Regulation (GDPR) merupakan salah satu acuan untuk menyusun hukum pelindungan data pribadi di berbagai negara saat ini. Paket regulasi yang disahkan Uni Eropa tahun 2016 itu telah mempengaruhi sejumlah kebijakan pelindungan data pribadi di seluruh dunia. Regulasi khusus ini pun menjadi salah satu pertimbangan dalam penyusunan RUU Pelindungan Data Pribadi di Indonesia. Ketentuan dalam GDPR sangat berpengaruh pada iklim bisnis di seluruh dunia. GDPR mengikat di seluruh wilayah anggota Uni Eropa sehingga setiap organisasi di wilayah Uni Eropa wajib mengelola data pribadi yang mereka kumpulkan dengan standar GDPR. Selain itu, organisasi di luar wilayah Uni Eropa yang memberikan layanan jasa atau barang bagi penduduk di Uni Eropa juga wajib tunduk kepada GDPR. Selain GDPR, penyusunan UU PDP juga mempertimbangkan pengaturan data pribadi di negara lain seperti Singapura, Malaysia, Kanada, Jerman, Inggris, dan lain sebagainya. b. Bahwa Indonesia tidak harus menuliskan norma pelindungan data pribadinya sama persis dengan penulisan ketentuan yang ada dalam GDPR tersebut karena keduanya merujuk pada kaidah penulisan peraturan perundang-undangan yang berbeda. Apabila diperhatikan dengan seksama, meski dituliskan berbeda dalam versi UU PDP, maksud 70 dari pengaturan yang ada dalam Pasal 37 angka 1 GDPR dan Pasal 53 ayat (1) UU PDP tidak memiliki perbedaan. c. Bahwa ketentuan Pasal 37 angka 1 GDPR disandingkan dengan ketentuan Pasal 53 ayat (1) UU PDP: Pasal 37 angka 1 GDPR Pasal 53 ayat (1) UU PDP 1. The controller and the processor shall designate a data protection officer in any case where: a. the processing is carried out by a public authority or body, except for courts acting in their judicial capacity; b. the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or c. the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 or personal data relating to criminal convictions and offences referred to in Article 10. Terjemahan: 1 Pengendali dan pemroses harus menunjuk petugas perlindungan data dalam kasus apa pun jika: a pemrosesan dilakukan oleh otoritas atau badan publik, kecuali pengadilan yang bertindak dalam kapasitas peradilannya; b kegiatan inti pengendali atau pemroses terdiri dari operasi pemrosesan yang, berdasarkan sifat, cakupan, dan/atau tujuannya, (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. Penjelasan: (1) Yang dimaksud dengan "pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi" adalah pejabat atau petugas yang bertanggung jawab untuk memastikan kepatuhan atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. 71 memerlukan pemantauan rutin dan sistematis terhadap subjek data dalam skala besar; atau c kegiatan inti pengendali atau pemroses terdiri dari pemrosesan dalam skala besar kategori data khusus sesuai dengan Pasal 9 atau data pribadi yang terkait dengan hukuman pidana dan pelanggaran yang disebutkan dalam Pasal 10. d. Bahwa sebagaimana telah disampaikan DPR RI, meskipun penyusunan UU PDP ini menjadikan GDPR sebagai salah satu rujukannya, tidak berarti penulisan norma terkait data pribadi dalam UU PDP harus sama persis seperti penulisan norma dalam GDPR karena disesuikan dengan kondisi dan regulasi yang ada terkait dengan pembentukan peraturan perundang-undangan Indonesia. Demikian pula dengan pengaturan terkait pelindungan data pribadi di negara lain yang juga menjadi rujukan pengaturan pelindungan data pribadi dalam UU PDP, apabila diadopsi harus tetap memperhatikan ketentuan pembentukan peraturan perundang-undangan yang berlaku. Sebagaimana telah disampaikan sebelumnya, perumusan sebagaimana dalam Pasal 53 ayat (1) UU PDP meski dimaksudkan bukan dalam bentuk kumulatif telah berkesesuaian dengan UU Pembentukan PUU in casu angka 85 lampiran II UU Pembentukan PUU. e. Bahwa dengan demikian, ketidaksamaan perumusan ketentuan kewajiban adanya PPDP dalam UU PDP dengan GDPR maupun regulasi mengenai pelindungan data pribadi di negara lain yang menjadi rujukan pembentukan UU PDP tidak dapat dijadikan dasar bahwa pengaturan yang berbeda tersebut tidak memenuhi hak dan/atau kewenangan konstitusional masyarakat, khususnya Para Pemohon. Hal ini pun tentunya tidak dapat menjadi dasar bahwa kata “dan” dalam Pasal a quo inkonstitusional. 72 D. PETITUM DPR RI Demikian keterangan DPR RI disampaikan. Berdasarkan keterangan yang telah disampaikan kiranya Yang Mulia dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Para Pemohon tidak mempunyai kedudukan hukum (Legal Standing) sehingga permohonan a quo harus dinyatakan tidak dapat diterima (niet ontvankelijk verklaard); 2. Menolak permohonan Para Pemohon untuk seluruhnya atau paling tidak menyatakan permohonan Pemohon tidak dapat diterima; 3. Menerima Keterangan DPR RI secara keseluruhan; 4. Menyatakan Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 No. 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) tidak bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap memiliki kekuatan hukum mengikat. 5. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Apabila Yang Mulia Hakim Majelis Mahkamah Konstitusi berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). [2.4] Menimbang bahwa terhadap permohonan para Pemohon, Presiden memberikan keterangan tertulis yang diterima Mahkamah melalui Kepaniteraan Mahkamah pada tanggal 5 Mei 2025 dan didengarkan keterangannya dalam persidangan pada tanggal 7 Mei 2025, dan keterangan tambahan yang diterima Kepaniteraan Mahkamah pada tanggal 16 Mei 2025, yang pada pokoknya mengemukakan hal-hal sebagai berikut: I. POKOK PERMOHONAN PEMOHON 1. Bahwa dengan penggunaan kata “dan” pada akhir kalimat butir b Pasal 53 ayat (1) UU PDP, hal ini berarti kriteria penunjukkan Pejabat Pelindungan Data Pribadi (PPDP) merupakan kriteria yang bersifat kumulatif, yang artinya Pengendali Data Pribadi dan Prosesor Data Pribadi baru diwajibkan untuk menunjuk PPDP apabila memenuhi seluruh atau ketiga kriteria pada butir a, 73 b, dan c pada Pasal 53 ayat (1) UU PDP tersebut secara bersamaan atau keseluruhan dan tidak secara sendiri-sendiri. Hal ini menurut para Pemohon mempersempit cakupan Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melakukan penunjukkan PPDP di dalam organisasinya. 2. Bahwa Para Pemohon yang merupakan Subjek Data Pribadi merasa Data Pribadi miliknya tidak terlindungi dengan baik apabila Data Pribadi miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas risiko tinggi, namun meniadakan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap UU PDP dan peraturan lain. II. KEDUDUKAN HUKUM (LEGAL STANDING) PEMOHON Dalam perkara a quo ini, izinkanlah Pemerintah memberikan tanggapan terhadap kedudukan hukum (legal standing) Para Pemohon. Menurut Pemerintah, Para Pemohon tidak dalam posisi dirugikan, dikurangi, atau setidak-tidaknya dihalang-halangi hak konstitusionalnya akibat keberlakuan ketentuan Pasal 53 ayat (1) huruf b UU PDP yang dimohonkan dengan alasan sebagai berikut: A. Ketentuan mengenai Kedudukan Hukum (Legal Standing) Bahwa sesuai dengan ketentuan Pasal 51 ayat (1) Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah beberapa kali terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi selanjutnya disebut UU MK jelas mengatur Pemohon adalah pihak yang menganggap hak dan/atau kewenangan konstitusionalnya telah dirugikan dengan berlakunya undang-undang, yang meliputi: 1. Perorangan Warga Negara Indonesia; 2. Kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; 3. Badan hukum publik atau privat; atau 4. Lembaga Negara. 74 Bahwa berdasarkan ketentuan peraturan perundang-undangan di atas, sehubungan dengan kedudukan hukum (legal standing) Pemohon, maka harus dibuktikan bahwa: 1. Para Pemohon memenuhi kualifikasi untuk mengajukan permohonan sesuai dengan ketentuan Pasal 51 ayat (1) UU MK; dan 2. Hak dan/atau kewenangan konstitusional Para Pemohon dirugikan akibat berlakunya undang-undang yang diuji. Bahwa sesuai dengan putusan Mahkamah Konstitusi Nomor: 006/PUU- III/2005 dan Nomor: 010/PUU-III/2005 yang pada pokoknya menyatakan, dikutip: “Bahwa, kerugian konstitusional yang timbul karena berlakunya suatu undang-undang menurut ketentuan Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: 1. Adanya hak konstitusional Pemohon yang diberikan oleh UUD NRI 1945; 2. Adanya hak konstitusional Pemohon tersebut dianggap oleh Pemohon telah dirugikan oleh suatu undang-undang yang diuji; 3. Kerugian konstitusional Pemohon yang dimaksud bersifat spesifik (khusus) dan aktual atau setidak-tidaknya bersifat potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; 4. Adanya hubungan sebab akibat (causal verband) antara kerugian dan berlakunya undang-undang yang dimohonkan untuk diuji; 5. Adanya kemungkinan bahwa dengan dikabulkannya permohonan maka kerugian konstitusional yang didalilkan tidak akan atau tidak lagi terjadi.” B. Tanggapan Pemerintah atas Uraian Kedudukan Hukum (Legal Standing) Pemohon Pemerintah berpendapat Para Pemohon tidak memenuhi syarat kerugian konstitusional dengan penjelasan sebagai berikut: 1. Bahwa dalam permohonan Para Pemohon halaman 9, Para Pemohon menggunakan kata “merasa” sehingga menunjukkan ketidakyakinan akan kerugian konstitusional yang dialaminya, sehingga dalil kerugian Para Pemohon bukanlah potensi apalagi aktual melainkan asumsi Para Pemohon semata. 75 2. Bahwa kerugian yang didalilkan Para Pemohon dengan keberlakukan Pasal 53 ayat (1) UU PDP tidak ada korelasi langsung atau causal verband dengan tidak terlindunginya data pribadi Para Pemohon. Ketentuan Pasal 53 ayat (1) UU PDP mengenai penunjukkan PPDP atau dalam prakteknya dikenal dengan Data Protection Officer/DPO, adalah ketentuan bagi Pengendali Data Pribadi dan Prosesor Data Pribadi yang mana fungsi PPDP/DPO sebagaimana Penjelasan Pasal 53 ayat (1) UU PDP adalah untuk memastikan kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. Adanya kata “dan” atau “dan/atau” sekalipun dalam Pasal 53 ayat (1) UU PDP tidak berdampak pada pelindungan data pribadi bagi Para Pemohon yang telah dengan tegas diatur secara holistik dalam UU PDP melalui pasal-pasal yang lain. 3. Bahwa secara keseluruhan permohonannya Para Pemohon tidak dapat menguraikan dan membuktikan bentuk kerugian yang diderita baik secara langsung maupun tidak langsung, bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi sebagai akibat berlakunya Pasal 53 ayat (1), sehingga tidak diketahui hak dan kepentingan hukum Pemohon yang mana yang telah dirugikan dengan berlakunya ketentuan Pasal 53 ayat (1) UU PDP. Berdasarkan hal tersebut di atas, Pemerintah berpendapat Para Pemohon tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU MK, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor: 11/PUU-V/2007). Dengan demikian, menurut Pemerintah adalah tepat dan sangat beralasan hukum dan sudah sepatutnya jika Yang Mulia Ketua dan Majelis Hakim Konstitusi secara bijaksana menyatakan permohonan Para Pemohon tidak dapat diterima (niet ontvankelijk verklaard). 76 Namun, Pemerintah menyerahkan sepenuhnya kepada Yang Mulia Ketua dan Majelis Hakim Konstitusi untuk mempertimbangkan dan menilai apakah Pemohon memiliki kedudukan hukum (legal standing) atau tidak, sebagaimana yang ditentukan oleh Pasal 51 ayat (1) UU MK, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu. III. KETERANGAN PEMERINTAH ATAS MATERI PERMOHONAN YANG DIMOHONKAN UNTUK DIUJI A. Landasan Filosofis Salah satu pertimbangan filosofis konstitusional dalam penyusunan UU PDP didasarkan pada tanggung jawab Pemerintah Negara Indonesia dalam melindungi segenap bangsa Indonesia dan seluruh tumpah darah Indonesia dan untuk memajukan kesejahteraan umum, mencerdaskan kehidupan bangsa, dan ikut melaksanakan ketertiban dunia yang berdasarkan kemerdekaan, perdamaian abadi dan keadilan sosial, sebagaimana diatur dalam Pembukaan UUD NRI 1945 alinea IV (vide Naskah Akademik RUU PDP, Bukti PK-1). Wujud dari pelindungan segenap bangsa Indonesia dan seluruh tumpah darah Indonesia ialah pengakuan hak-hak asasi manusia (HAM) secara konstitusional dalam UUD NRI 1945, yaitu dalam Bab XA tentang Hak Asasi Manusia, mulai dari Pasal 28A s.d. Pasal 28J. UU PDP hadir untuk memperkuat pelindungan terhadap HAM di Indonesia. Dalam UUD NRI 1945 hak atas pelindungan data pribadi tidak diatur secara tegas dan spesifik. Oleh karena itu, dalam bagian menimbang huruf a dan Penjelasan Umum UU PDP ditegaskan bahwa pelindungan data pribadi merupakan bagian dari hak konstitusional yang lahir dari Pasal 28G ayat (1) UUD NRI 1945, yaitu hak atas perlindungan diri, pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. Dengan adanya ketegasan bahwa hak atas pelindungan data pribadi merupakan hak konstitusional yang harus dilindungi secara konstitusional, pembatasan terhadap hak tersebut juga didasarkan pada constitutional safeguards. 77 Kemudian, dalam Pasal 28I ayat (4) UUD NRI 1945 diatur dengan tegas bahwa pelindungan, pemajuan, penegakan, dan pemenuhan hak asasi manusia adalah tanggung jawab negara, terutama pemerintah. Oleh karena itu, penyusunan regulasi dan kebijakan dalam mengatur pemrosesan data pribadi dalam rangka memenuhi hak atas pelindungan data pribadi merupakan tanggung jawab Pemerintah. Perlindungan konstitusional dalam pemrosesan data pribadi sangat penting dalam menghadapi atau menyikapi perkembangan teknologi. Artificial Intelligence, Big Data, Internet of Things, Blockchain, Cloud Computing, dan augmented reality adalah beberapa contoh teknologi yang berkembang sangat cepat dalam satu dekade belakangan ini. Teknologi-teknologi tersebut terhubung dengan berbagai perangkat yang digunakan oleh masyarakat dan memproses data pribadi dalam volume besar. Mengingat keterhubungan berbagai sistem elektronik di dalam maupun di luar teritori satu negara, aliran bebas lintas batas (cross-border data flow) menjadi satu kebutuhan sekaligus permasalahan utama. Penggunaan layanan atau aplikasi yang berbasis cloud computing dan layanan sosial media serta penyelenggaraan transaksi komersial melalui berbagai penyelenggara platform merupakan kegiatan-kegiatan yang memiliki aspek lintas batas yang dilakukan oleh masyarakat dan pelaku usaha sehari-hari. Meskipun aliran bebas lintas batas merupakan kebutuhan, pemerintah juga harus hadir memberikan perlindungan dan menjamin hak atas perlindungan data pribadi sebagai hak konstitusional warga negara Indonesia terhadap data pribadi yang diproses di luar yurisdiksi Indonesia. Ketentuan hukum terkait pelindungan data pribadi di Indonesia awalnya masih bersifat parsial dan sektoral. Pengaturan yang sifatnya parsial dan sektoral tersebut mengakibatkan beragamnya pola pengaturan pemrosesan dan pelindungan data pribadi dan terjadi tumpang tindih pengaturan. Di sisi lain, regulasi sektoral tersebut belum mengatur secara tegas, antara lain, prinsip-prinsip apa yang wajib diterapkan oleh pengendali data pribadi, dasar hukum (legal basis) apa saja yang dapat digunakan oleh pengendali data pribadi atau prosesor data pribadi dalam pemrosesan data pribadi, dan perlindungan data pribadi warga negara Indonesia yang ditransfer ke luar 78 yurisdiksi Indonesia. Selain itu, regulasi sektoral yang ada juga belum mengatur dengan tegas hak-hak subjek data pribadi, sanksi-sanksi administratif dan pidana yang mampu memberikan efek jera sehingga penegakan hukum terhadap kasus-kasus kebocoran data pribadi yang terjadi di Indonesia belum dapat dilakukan dengan maksimal. Pemerintah memahami bahwa pengaturan perlindungan data pribadi yang sifatnya sektoral dan parsial belum cukup efektif dan optimal dalam memberikan pelindungan hak konstitusional masyarakat Indonesia dalam menghadapi permasalahan pelindungan data pribadi yang semakin kompleks yang didorong oleh: 1. perkembangan teknologi disruptif yang memungkinkan pemrosesan data pribadi dalam volume besar dan dengan tingkat intrusi terhadap privasi yang tinggi sehingga dapat mengancam hak-hak konstitusional warga negara; 2. kebutuhan untuk menjamin transfer data pribadi lintas batas tetap memberikan perlindungan konstitusional bagi warga negara; dan 3. tumpang tindih atau kekosongan hukum yang muncul dari sifat sektoral dan parsial pengaturan pelindungan data pribadi dalam peraturan perundang-undangan. Oleh karena itu, Pemerintah memahami bahwa membutuhkan satu sistem hukum pelindungan data pribadi yang sifatnya komprehensif yaitu UU PDP dengan mengukuhkan konsep filosofis konstitusional pelindungan data pribadi serta menyeragamkan dasar pemrosesan (legal basis), prinsip pemrosesan, hak subjek data pribadi, dan kewajiban pengendali dan prosesor data pribadi. B. Asas dan Tujuan Berdasarkan latar belakang di atas, maksud dari pengundangan UU PDP adalah untuk membentuk satu sistem hukum pelindungan data pribadi yang komprehensif, yang meliputi substansi, struktur, dan kultur. Maksud untuk membangun sistem hukum yang komprehensif tersebut setidaknya terlihat dari: 79 1. Definisi Data Pribadi a. UU PDP mendefinisikan “Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non- elektronik.” (vide Pasal 1 angka 1 UU PDP). Berdasarkan definisi tersebut, jangkauan pengaturan UU PDP mencakup tidak hanya informasi atau dokumen elektronik yang memuat atau mengandung data pribadi tetapi juga dokumen atau surat dalam bentuk kertas. b. Dari definisi tersebut, UU PDP mengklasifikasikan data pribadi ke dalam dua kategori, yaitu: 1) data pribadi yang bersifat spesifik, antara lain: data biometrik, data genetika dan data anak (vide Pasal 4 ayat (2) UU PDP); 2) data pribadi yang bersifat umum, antara lain: nama lengkap, jenis kelamin, dan kewarganegaraan (vide Pasal 4 ayat (3) UU PDP). 2. Konsep pelindungan data pribadi berdasarkan Pasal 1 angka 2 UU PDP, pelindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi. Dengan perkataan lain pelindungan data pribadi merupakan konsep yang holistik. Pelindungan data pribadi diterapkan dalam keseluruhan pemrosesan data pribadi. Dalam UU PDP diatur bahwa pemrosesan data pribadi meliputi pemerolehan dan pengumpulan, pengolahan dan penganalisisan, penyimpanan, perbaikan dan pembaruan, penampilan, pengumuman, transfer, penyebarluasan, atau pengungkapan, penghapusan atau pemusnahan (vide Pasal 16 ayat (1) UU PDP). 3. Menurut ketentuan Pasal 3 UU PDP beserta Penjelasannya, UU PDP dibentuk berasaskan: a. Pelindungan, yang dimaksud dengan “asas pelindungan” adalah bahwa setiap pemrosesan Data Pribadi dilakukan dengan 80 memberikan pelindungan kepada Subjek Data Pribadi atas Data Pribadinya dan Data Pribadi tersebut agar tidak disalahgunakan. b. Kepastian hukum, yang dimaksud dengan “asas kepastian hukum” adalah bahwa setiap pemrosesan Data Pribadi dilakukan berdasarkan landasan hukum untuk mewujudkan Pelindungan Data Pribadi serta segala sesuatu yang mendukung sehingga mendapatkan pengakuan hukum di dalam dan di luar pengadilan. c. Kepentingan umum, yang dimaksud dengan “asas kepentingan hukum” adalah bahwa dalam menegakkan Pelindungan Data Pribadi harus memperhatikan kepentingan umum atau masyarakat secara luas. Kepentingan umum tersebut antara lain kepentingan penyelenggaraan negara dan pertahanan dan keamanan nasional. d. Kemanfaatan, yang dimaksud dengan “asas kemanfaatan” adalah bahwa pengaturan Pelindungan Data Pribadi harus bermanfaat bagi kepentingan nasional, khususnya dalam mewujudkan cita-cita kesejahteraan umum. e. Kehati-hatian, yang dimaksud dengan “asas kehati-hatian” adalah bahwa para pihak yang terkait dengan pemrrosesan dan pengawasan Data Pribadi harus memperhatikan segenap aspek yang berpotensi mendatangkan kerugian. f. Keseimbangan, yang dimaksud dengan “asas keseimbangan” sebagai upaya Pelindungan Data Pribadi untuk menyeimbangkan antara hak atas Data Pribadi di satu pihak dengan hak negara yang sah berdasarkan kepentingan umum. g. Pertanggungjawaban, yang dimaksud dengan “asas pertanggungjawaban” adalah bahwa semua pihak yang terkait dengan pemrosesan dan pengawasan Data Pribadi bertindak secara bertanggung jawab sehingga mampu menjamin keseimbangan hak dan kewajiban para pihak yang terkait termasuk Subjek Data Pribadi. h. Kerahasiaan, yang dimaksud dengan “asas kerahasiaan” adalah bahwa Data Pribadi terlindungi dari pihak yang tidak berhak dan/atau dari kegiatan pemrosesan Data Pribadi yang tidak sah. 81 4. Tujuan UU PDP adalah untuk memberikan perlindungan, memajukan, menegakkan, memenuhi, dan menjamin hak konstitusional warga negara Indonesia, khususnya hak atas perlindungan data pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI 1945, baik terhadap pemrosesan data pribadi yang dilakukan di dalam teritori Indonesia maupun di luar teritori Indonesia. Tujuan ini terlihat setidaknya dari ketentuan sebagai berikut: a. Hak subjek data pribadi (vide Pasal 5 s.d. Pasal 15 UU PDP); b. Kewajiban pengendali data pribadi dan prosesor data pribadi (vide Pasal 20 s.d. Pasal 54 UU PDP); c. Pengaturan prinsip pemrosesan data pribadi (vide Pasal 16 UU PDP); d. Kewajiban adanya dasar hukum untuk memproses data pribadi (vide Pasal 20 UU PDP). 5. Berdasarkan Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, ditegaskan bahwa setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang berada di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. Hak atas pelindungan data pribadi merupakan bagian yang tidak terpisahkan dari hak asasi yaitu hak atas perlindungan diri pribadi sebagaimana dimaksud dalam ketentuan tersebut. Oleh karena itu, pembentukan dan pengaturan UU PDP telah sejalan dengan UUD NRI 1945 karena dimaksudkan untuk memperkuat jaminan konstitusional atas perlindungan hak asasi manusia berupa hak setiap orang terhadap privasi, rasa aman, serta kehormatan dan martabatnya. C. Arah Pengaturan Arah pengaturan dalam UU PDP ialah pembentukan satu sistem hukum pelindungan data pribadi yang komprehensif, dengan mengatur, antara lain: 1. Definisi dan ruang lingkup pelindungan data pribadi; 2. Asas pelindungan data pribadi; 3. Jenis data pribadi; 4. Hak subjek data pribadi; 82 5. Pemrosesan data pribadi termasuk prinsip dan dasar pemrosesan data pribadi; 6. Pengendali gabungan; 7. Kewajiban pengendali dan prosesor data pribadi; 8. Transfer data pribadi; 9. Sanksi administratif; 10. Kelembagaan; 11. Kerjasama Internasional; 12. Partisipasi masyarakat; 13. Penyelesaian sengketa dan hukum acara; 14. Larangan dalam penggunaan data pribadi; 15. Ketentuan pidana. Dalam membangun dan mengembangkan substansi, struktur, dan kultur pelindungan data pribadi yang komprehensif, UU PDP merupakan tonggak utama yang dipancangkan ke dalam sistem hukum Indonesia. Dari UU PDP akan lahir aturan-aturan pelaksanaannya, termasuk lembaga pelindungan data pribadi. UU PDP juga akan mendorong harmonisasi hukum dan peraturan perundang-undangan sektoral, serta perubahan praktik pemrosesan data pribadi di Indonesia. Saat ini Pemerintah sedang menyiapkan Rancangan Peraturan Presiden mengenai Penetapan Lembaga Pelindungan Data Pribadi, dan Rancangan Peraturan Pemerintah mengenai Pelaksanaan UU PDP. D. Keterangan Pemerintah Terkait dengan Pokok Permohonan Pemohon Bahwa menurut Pemohon, Pasal 53 ayat (1) huruf b UU PDP bertentangan dengan Pasal 28G ayat (1) UUD NRI 1945 yang selengkapnya sebagai berikut: 83 Pasal yang Diuji Batu Uji Pemohon Pasal 53 ayat (1) huruf b Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Perlindungan Data Pribadi dalam hal: a. Pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/ atau Data Pribadi yang berkaitan dengan tindak pidana. Pasal 28G ayat (1): Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi. 1. Terhadap pokok permohonan Para Pemohon yang pada intinya mendalilkan bahwa dengan penggunaan kata “dan” pada akhir kalimat butir b Pasal 53 ayat (1) UU PDP, hal ini berarti kriteria penunjukkan PPDP merupakan kriteria yang bersifat kumulatif, yang artinya Pengendali Data Pribadi dan Prosesor Data Pribadi baru diwajibkan untuk menunjuk PPDP apabila memenuhi seluruh atau ketiga kriteria pada butir a, b, dan c pada Pasal 53 ayat (1) UU PDP tersebut secara bersamaan atau keseluruhan, sehingga mempersempit cakupan Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melakukan penunjukkan PPDP sehingga merugikan hak konstitusional Para Pemohon yang diatur dalam Pasal 28G UUD NRI 1945, Pemerintah memberikan keterangan sebagai berikut: a. UU PDP secara holistik mengatur ketentuan pelindungan data pribadi mulai dari definisi, asas, jenis, pemrosesan (termasuk prinsip), pihak- pihak yang terlibat dalam pelindungan data pribadi, transfer data pribadi, sanksi administratif, kelembagaan, kerja sama internasional, partisipasi masyarakat, penyelesaian sengketa dan hukum acara, 84 sampai dengan larangan perbuatan dan ketentuan pidananya, ketentuan peralihan, dan ketentuan penutup. b. Berkenaan dengan pihak-pihak dalam UU PDP, telah diatur pihak- pihak yang terlibat dalam pelindungan data pribadi yang memiliki peran masing-masing, yaitu: 1) Subjek Data Pribadi (vide Pasal 1 angka 6 UU PDP, Pasal 5 s.d Pasal 15 UU PDP); 2) Pengendali Data Pribadi (vide Pasal 1 angka 4, Pasal 20 s.d Pasal 50 UU PDP, dan Pasal 53 ayat (1)); 3) Prosesor Data Pribadi (vide Pasal 1 angka 5, Pasal 51 angka 6 UU PDP, Pasal 5 s.d Pasal 52 UU PDP dimana dalam Pasal 52 juga berlaku ketentuan kewajiban Pengendali Data Pribadi Pasal 29, Pasal 31, Pasal 35, Pasal 36, Pasal 37, Pasal 38, dan Pasal 39 terhadap Prosesor Data Pribadi, serta terdapat juga Pasal 53 ayat (1) yang sama dengan kewajiban Pengendali Data Pribadi); 4) Pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (vide Pasal 53 dan Pasal 54 UU PDP); dan 5) Lembaga Pelindungan Data Pribadi (vide Pasal 59 dan Pasal 60 UU PDP). c. Berdasarkan Pasal 1 angka 6 UU PDP, Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat data pribadi. Subjek Data Pribadi ialah individu yang memiliki hak atas pelindungan data pribadi yang menyerahkan data pribadinya untuk diproses oleh pengendali data pribadi. d. Berdasarkan Pasal 1 angka 4 UU PDP, Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data pribadi. Dengan perkataan lain, Pengendali Data Pribadi bertanggung jawab atas pemrosesan data pribadi yang dilakukannya. e. Berdasarkan Pasal 1 angka 5 UU PDP mengatur bahwa Prosesor Data Pribadi adalah pihak yang memproses data pribadi atas nama pengendali data pribadi. f. Hak bagi Subjek Data Pribadi dan kewajiban bagi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melindungi data pribadi telah 85 diatur secara komprehensif dari Pasal 20 s.d Pasal 53 ayat (1) UU PDP. Sehingga sesungguhnya hak setiap subjek data pribadi (termasuk para pemohon) dan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melindungi Data Pribadi setiap Subjek Data Pribadi telah diatur dan dilindungi dalam UU PDP. g. UU PDP dalam memastikan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melindungi Data Pribadi setiap Subjek Data Pribadi telah mengatur sanksi administrasi dalam Pasal 57 UU PDP yang jenis sanksinya berupa: “a. Peringatan Tertulis b. Penghentian sementara pemrosesan Data Pribadi c. Penghapusan atau pemusnahan Data Pribadi d. Denda Administratif.” Selain itu, dalam Pasal 65 s.d 67 UU PDP telah diatur pula sanksi pidana. Sehingga kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melindungi Data Pribadi setiap Subjek Data Pribadi telah diatur secara komprehensif termasuk sanksinya. h. Berdasarkan Pasal 60 UU PDP, Lembaga Pelindungan Data Pribadi memiliki peran untuk melakukan pengawasan terhadap pemrosesan data pribadi dan pelindungan data pribadi yang dilakukan oleh pengendali maupun prosesor data pribadi. Pembentukan Lembaga ini merupakan salah satu bentuk pelindungan Pemerintah kepada Subjek Data Pribadi yang data pribadinya diproses oleh Pengendali Data Pribadi. i. Hal yang terurai dalam huruf a s.d. huruf h Keterangan Pemerintah ini merupakan bentuk layering pelindungan data pribadi yang saling terkait satu sama lain. Dalam pelaksanaannya terdapat unsur pendukung bagi Pengendali Data Pribadi dan Prosesor Data Pribadi yaitu Pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (PPDP atau dikenal dengan Data Protection Officer/DPO). j. Pasal 53 ayat (1) UU PDP mengatur mengenai Pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi (PPDP/DPO) merupakan komplementer/pendukung bagi Pengendali Data Pribadi 86 dan Prosesor Data Pribadi dalam melaksanakan pelindungan data pribadi. Pada pokoknya PPDP/DPO sebagaimana dimaksud dalam Penjelasan Pasal 53 ayat (1) UU PDP merupakan seseorang yang ditunjuk atau ditugaskan oleh Pengendali Data Pribadi maupun Prosesor Data Pribadi dengan tanggung jawab menjaga kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi atas pemenuhan ketentuan dan mitigasi risiko pelanggaran dalam UU PDP. k. Pasal 53 ayat (1) UU PDP, merupakan bentuk rincian terhadap jenis kegiatan Pengendali Data Pribadi dan Prosesor Data Pribadi yang mewajibkan untuk menunjuk atau menugaskan PPDP/DPO, yakni dalam hal Pengendali Data Pribadi dan Prosesor Data Pribadi melaksanakan kegiatan: a) Pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b) kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c) kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. Sehingga, terhadap Pengendali Data Pribadi dan Prosesor Data Pribadi yang menjalankan kegiatan tersebut harus memiliki PPDP/DPO. Lebih lanjut sebagaimana Pemerintah telah jelaskan sebelumnya terhadap kegiatan selain yang telah ditentukan Pasal 53 ayat (1) UU PDP, Pengendali Data Pribadi dan Prosesor Data Pribadi tetap wajib melakukan pelindungan data pribadi yang di bawah kendalinya, dikelola, dan/atau diprosesnya dengan atau tanpa PPDP yang khusus ditunjuk untuk memastikan kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. l. Berdasarkan Lampiran II “Teknik Penyusunan Peraturan Perundang- Undangan” pada Angka 85 Undang-Undang Nomor 12 Tahun 2011 87 tentang Pembentukan Peraturan Perundang-Undangan sebagaimana telah diubah terakhir kali oleh Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Kedua atas Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan (selanjutnya disebut UU P3), rincian dalam bentuk tabulasi dalam Pasal 53 ayat (1) UU PDP dimaksudkan untuk menunjukkan rincian unsur yang terkena kewajiban menunjuk PPDP/DPO. Rincian unsur tersebut tidak dimaksudkan sebagai kumulatif sebagaimana dimaksud dalam Angka 88 Lampiran II UU P3. m. Rincian unsur kata “dan” dalam Pasal 53 ayat (1) UU PDP dimaksud menujukkan keadaan/kondisi tertentu yang ditunjukkan dengan penggunaan frasa “dalam hal” di mana terdapat kegiatan dari Pengendali Data Pribadi dan Prosesor Data Pribadi yang terkena kewajiban menunjuk PPDP/DPO, sebagaimana dijabarkan rincian unsurnya pada huruf a, huruf b, dan huruf c, dan bukan dimaksudkan sebagai prakondisi kumulatif yang harus terpenuhi seluruhnya. Lebih lanjut, dalam UU PDP sejatinya terdapat pengecualian pengaturan ruang lingkup sebagaimana diatur dalam Pasal 2 ayat (2) yang menyatakan: “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.” n. Hal ini juga bersesuaian dengan European General Data Protection Regulation (EU-GDPR) yang menjadi referensi pembentukan UU PDP, yang mana apabila memperhatikan petunjuk teknis EU-GDPR yaitu European Data Protection Board/EDPB Guidelines on Data Protection Officers ('DPOs') (vide Bukti PK-2), maka Pengendali Data Pribadi dan Prosesor Data Pribadi yang terkena kewajiban (Mandatory Designation) menunjuk PPDP/DPO, yakni untuk kegiatan yang memuat unsur sebagai berikut: “2.1.1 ‘Public authority or body’ 2.1.2 ‘Core activities’ 2.1.3 ‘Large Scale’ 2.1.4 ‘Regular and systematic monitoring’ 2.1.5 ‘Special categories of data and data relating to criminal conviction and offences’...” 88 o. Unsur-unsur tersebut merupakan referensi yang menunjukkan maksud pembentuk UU (original intent) dari Pasal 53 ayat (1) UU PDP bahwa terdapat kegiatan yang wajib menunjuk PPDP/DPO (mandatory designation) sebagaimana Article 37 (1) EU-GDPR yaitu tiga uraian kegiatan dengan unsur spesifik dalam rincian huruf a, huruf b, dan huruf c Pasal 53 ayat (1), sebagai berikut: Unsur kegiatan dalam Pasal 53 ayat (1) UU PDP yang wajib menunjuk DPO Unsur Mandatory Designation dalam EDPB Guidelines on Data Protection Officers  pemrosesan Data Pribadi untuk kepentingan pelayanan publik  Public authority or body  kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar  Core activities  Large scale  Regular and systematic monitoring  kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/ atau Data Pribadi yang berkaitan dengan tindak pidana  Core activities  Large scale  Special categories of data and data relating to criminal conviction and offences’ Ketiga kegiatan yang diuraikan dalam Pasal 53 ayat (1) UU PDP adalah sama dengan European Data Protection Board/EDPB Guidelines on Data Protection Officers ('DPOs'). p. Sesungguhnya, dalam EDPB Guidelines on Data Protection Officers ('DPOs') juga terdapat pengecualian terhadap kewajiban menunjuk PPDP/DPO yakni pihak yang “is not required to designate a DPO” dan “voluntary basis”, sehingga dapat disimpulkan bahwa kewajiban menunjuk PPDP/DPO tidak bersifat mutlak bagi seluruh Pengendali Data Pribadi maupun Prosesor Data Pribadi, namun disarankan untuk terdapat analis apabila tidak perlu untuk menunjuk PPDP/DPO. 89 Hal ini sebagaimana termuat dalam European Data Protection Board/EDPB Guidelines on Data Protection Officers ('DPOs') (vide Bukti PK-2) yang merupakan petunjuk teknis dari EU GDPR sebagai berikut: English Texts Terjemahan Langsung Bahasa Indonesia Unless it is obvious that an organisation is not required to designate a DPO, the WP29 recommends that controllers and processors document the internal analysis carried out to determine whether or not a DPO is to be appointed, in order to be able to demonstrate that the relevant factors have been taken into account properly. This analysis is part of the documentation under the accountability principle. It may be required by the supervisory authority and should be updated when necessary, for example if the controllers or the processors undertake new activities or provide new services that might fall within the cases listed in Article 37(1). When an organisation designates a DPO on a voluntary basis, the requirements under Articles 37 to 39 will apply to his or her designation, position and tasks as if the designation had been mandatory. Kecuali jelas dinyatakan bahwa suatu organisasi tidak diwajibkan untuk menunjuk seorang DPO (Data Protection Officer atau Petugas Perlindungan Data), WP29 (Kelompok Kerja Pasal 29) merekomendasikan agar pengendali data dan pemroses data mendokumentasikan analisis internal yang dilakukan untuk menentukan apakah seorang DPO perlu ditunjuk atau tidak, agar dapat menunjukkan bahwa faktor- faktor yang relevan telah dipertimbangkan dengan benar. Analisis ini merupakan bagian dari dokumentasi berdasarkan prinsip akuntabilitas. Hal ini mungkin diwajibkan oleh otoritas pengawas dan harus diperbarui jika diperlukan, misalnya jika pengendali atau pemroses data melakukan kegiatan baru atau menyediakan layanan baru yang mungkin termasuk dalam kasus-kasus yang tercantum dalam Pasal 37 ayat (1). Ketika suatu organisasi menunjuk seorang DPO secara sukarela, persyaratan berdasarkan Pasal 37 hingga 39 akan berlaku untuk penunjukan, posisi, dan tugas-tugasnya seolah-olah penunjukan tersebut bersifat wajib. 90 Petunjuk teknis EU-GDPR dalam EDPB Guidelines on Data Protection Officers ('DPOs'), dalam UU PDP akan diatur lebih lanjut dalam bentuk Peraturan Pemerintah sebagaimana diatur dalam pasal 54 ayat (3) UU PDP. q. Kemudian Komisi Eropa dalam menerjemahkan EDPB Guidelines on Data Protection Officers ('DPOs') juga memberikan klasifikasi kegiatan yang mewajibkan atau tidak mewajibkan penunjukan PPDP/DPO oleh Pengendali Data Pribadi dan Prosesor Data Pribadi, sebagaimana dapat dilihat dalam situs Komisi Eropa (European Commission) yakni:https://commission.europa.eu/law/law-topic/data- protection/rules-business-and-organisations/obligations/data- protection-officers/does-my-companyorganisation-need-have-data- protection-officer-dpo_en. (Vide Bukti PK-3) Pada pokoknya yang wajib menunjuk PPDP/DPO apabila kegiatan utamanya melibatkan proses pemrosesan data sensitif dalam skala besar atau melibatkan pemantauan individu secara berkala dan sistematis dalam skala besar. Dalam hal itu, pemantauan perilaku individu mencakup semua bentuk pelacakan dan pembuatan profil di internet, termasuk untuk tujuan periklanan perilaku. Administrasi publik selalu memiliki kewajiban untuk menunjuk DPO (kecuali untuk pengadilan yang bertindak dalam kapasitas yudisialnya). r. Berdasarkan penjelasan di atas, original intent dari ketiga kegiatan yang diuraikan dalam ketentuan Pasal 53 ayat (1) UU PDP merupakan kegiatan yang wajib menunjuk PPDP/DPO dan tidak dimaksudkan sebagai pengaturan yang kumulatif atau alternatif, hal-hal dan kegiatan lain berkenaan dengan penunjukan PPDP/DPO akan diatur lebih lanjut dalam Peraturan Pemerintah. s. Selain kegiatan tersebut, Pengendali Data Pribadi dan Prosesor Data Pribadi tetap wajib melindungi Data Pribadi dari Subjek Data namun tidak wajib memiliki PPDP/DPO. Berdasarkan uraian di atas, dalil Para Pemohon bahwa kata “dan” pada akhir kalimat butir b Pasal 53 ayat (1) UU PDP yang 91 bersifat kumulatif mempersempit cakupan kewajiban menunjuk PPDP/DPO bagi Pengendali Data Pribadi dan Prosesor Data Pribadi sehingga berpotensi merugikan hak konstitusional Para Pemohon, adalah dalil yang keliru dan tidak benar karena ketentuan Pasal 53 ayat (1) UU PDP merupakan perincian jenis kegiatan yang mewajibkan Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk PPDP/DPO. Oleh karena itu, mohon kiranya kebijaksanaan Majelis Hakim Konstitusi untuk menyatakan alasan permohonan Para Pemohon tidak beralasan menurut hukum atau setidak-tidaknya tidak dapat diterima (niet otvankelijke verklaard). 2. Terhadap pokok permohonan Pemohon yang pada intinya mendalilkan bahwa Para Pemohon yang merupakan Subjek Data Pribadi merasa Data Pribadi miliknya tidak terlindungi dengan baik apabila Data Pribadi miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas risiko tinggi, namun meniadakan pengawasan yang sifatnya lebih dalam hal kepatuhan terhadap UU PDP dan peraturan lain (Vide Perbaikan Permohonan Pemohon halaman 33), Pemerintah memberikan keterangan sebagai berikut: a. Bahwa untuk dapat melakukan pemrosesan data pribadi, pengendali data pribadi wajib memiliki dasar dalam pemrosesannya sebagaimana diatur dalam Pasal 20 UU PDP yang menyatakan: (1) Pengendali Data Pribadi wajib memiliki dasar pemrosesan Data Pribadi. (2) Dasar pemrosesan Data Pribadi sebagaimana dimaksud pada ayat (1) meliputi: a. persetujuan yang sah secara eksplisit dari Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi kepada Subjek Data Pribadi; b. pemenuhan kewajiban perjanjian dalam hal Subjek Data Pribadi merupakan salah satu pihak atau untuk memenuhi 92 permintaan Subjek Data Pribadi pada saat akan melakukan perjanjian; c. pemenuhan kewajiban hukum dari Pengendali Data Pribadi sesuai dengan ketentuan peraturan perundang-undangan; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan Pengendali Data Pribadi berdasarkan peraturan perundang-undangan; dan/atau f. pemenuhan kepentingan yang sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan kepentingan Pengendali Data Pribadi dan hak Subjek Data Pribadi. Lebih lanjut norma dalam Pasal 24 UU PDP dinyatakan: “Dalam melakukan pemrosesan Data Pribadi, Pengendali Data Pribadi wajib menunjukkan bukti persetujuan yang telah diberikan oleh Subjek Data Pribadi.” Berdasarkan ketentuan tersebut, Pengendali Data Pribadi wajib memiliki dasar untuk melakukan pemrosesan data serta wajib menunjukkan bukti persetujuan yang telah diberikan oleh Subjek Data Pribadi. Secara a contrario tanpa persetujuan Subjek Data Pribadi, Pengendali Data Pribadi tidak memiliki dasar dalam pemrosesan data pribadi. b. UU PDP juga telah mengatur mengenai hak dari subjek data pribadi, yakni: 1) Mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, dan akuntabilitas pihak yang meminta Data Pribadi. (Pasal 5 UU PDP) 2) Melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi tentang dirinya sesuai dengan tujuan pemrosesan Data Pribadi. (Pasal 6 UU PDP) 93 3) Mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (Pasal 7 UU PDP) 4) Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (Pasal 8 UU PDP) 5) Menarik kembali persetujuan pemrosesan Data Pribadi tentang dirinya yang telah diberikan kepada Pengendali Data Pribadi. (Pasal 9 UU PDP) 6) Mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi. (Pasal 10 ayat (1) UU PDP) 7) Menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai dengan tujuan pemrosesan Data Pribadi. (Pasal 11 UU PDP) 8) Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan. (Pasal 12 ayat (1) UU PDP) 9) Mendapatkan dan/atau menggunakan Data Pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/ atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik. (Pasal 13 ayat (1) UU PDP) 10) Menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Pelindungan Data Pribadi berdasarkan Undang- Undang ini. (Pasal 13 ayat (2) UU PDP) Berdasarkan hal tersebut Subjek Data Pribadi dilengkapi dengan berbagai hak untuk dapat terikat (memberikan persetujuan) atau tidak terikat (tidak setuju) dengan Pengendali Data Pribadi. 94 c. Bahwa untuk memastikan efektivitas pelaksanaan Pelindungan Data Pribadi dalam UU PDP, Pasal 58 UU PDP mengamanatkan pembentukan lembaga yang melaksanakan penyelenggaran Pelindungan Data Pribadi yang bertanggung jawab kepada Presiden dan ditetapkan melalui Peraturan Presiden. Lembaga dimaksud merupakan perwujudan kehadiran negara untuk melindungi dan memastikan pelaksanaan tujuan UU PDP. Lembaga penyelenggara Pelindungan Data Pribadi memiliki tugas sebagaimana dimaksud dalam Pasal 59 UU PDP, sebagai berikut: 1) perumusan dan penetapan kebijakan dan strategi Pelindungan Data Pribadi yang menjadi panduan bagi Subjek Data Pribadi, Pengendali Data Pribadi, dan Prosesor Data Pribadi; 2) pengawasan terhadap penyelenggaraan Pelindungan Data Pribadi, 3) penegakan hukum administratif atas pelanggaran Pelindungan Data Pribadi, dan 4) memfasilitasi penyelesaian sengketa di luar pengadilan. d. Lebih lanjut untuk melaksanakan tugas tersebut lembaga PDP juga diberikan kewenangan sebagaimana diatur dalam Pasal 60 UU PDP antara lain untuk melakukan pengawasan terhadap kepatuhan Pengendali Data Pribadi dan menjatuhkan sanksi administratif atas pelanggaran Pelindungan Data Pribadi yang dilakukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. e. Pemerintah dapat menginformasikan, saat ini pembentukan lembaga penyelenggara Pelindungan Data Pribadi sedang dalam tahap penyusunan Rancangan Peraturan Presiden dalam rapat Panitia Antarkementerian yang diprakarsai oleh Kementerian Pendayagunaan Aparatur Negara dan Reformasi Birokrasi. Penyusunan dan pembahasan Rancangan Peraturan Presiden tentang Badan PDP dilaksanakan berdasarkan Izin Prakarsa yang telah disetujui oleh Presiden. Dengan demikian, Badan PDP merupakan lembaga yang khusus dibentuk (dedicated) dan bertanggung jawab kepada Presiden yang 95 memiliki kewenangan penuh untuk melakukan pengawasan terhadap pemrosesan data pribadi yang dilakukan oleh Pengendali Data Pribadi dan Prosesor Data Pribadi. Melalui kewenangan tersebut, Badan PDP akan melakukan pengawasan terhadap kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi dalam menunjuk PPDP/DPO. Selain itu, Badan PDP memiliki peran untuk merumuskan dan menetapkan kebijakan dan strategi PDP yang menjadi panduan bagi Subjek Data Pribadi, Pengendali Data Pribadi, dan Prosesor Data Pribadi, termasuk di dalamnya panduan atau kebijakan bagi penyelenggaraan ekosistem PPDP/DPO. IV. PETITUM Berdasarkan penjelasan dan argumentasi tersebut di atas, Pemerintah memohon kepada Yang Mulia Ketua/Majelis Hakim Konstitusi Republik Indonesia yang memeriksa, mengadili dan memutus permohonan pengujian (constitutional review) ketentuan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Pemohon tidak mempunyai kedudukan hukum (legal standing); 2. Menolak permohonan pengujian Pemohon untuk seluruhnya atau setidak- tidaknya menyatakan permohonan pengujian Pemohon tidak dapat diterima (niet onvankelijk verklaard); 3. Menerima Keterangan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan dengan ketentuan Pasal 28G Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap mempunyai kekuatan hukum mengikat, Atau dalam hal Yang Mulia Majelis Hakim Konstitusi di Mahkamah Konstitusi berpendapat lain, mohon putusan yang bijaksana dan yang seadil-adilnya (ex aequo et bono). 96 KETERANGAN TAMBAHAN PRESIDEN I. Pertanyaan dari Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H. Nah, pertanyaan saya dari Pemerintah tolong dielaborasi lebih jauh, ya, apakah tiga variable ini merupakan … ya, merupakan variable yang dependent atau dia variable yang independent? Sebab itu nanti akan dapat diketahui, apakah penggunaan kata dan/atau keinginannya Pemohon itu dan/atau, itu kemudian bisa terdeteksi bahwa ini mestinya pakai dan atau mestinya ini pakai dan/atau karena tergantung dari apa sifat variable yang menjadi … apa namanya … dari poin a, b, c itu? Karena kalau kita lihat juga dalam … apa namanya … European Data Protection Board, ya, guideline-nya, dia akan itu mencantumkannya secara pointers, ya. Nah, sementara dalam undang-undang ini tidak mencantumkan dalam bentuk pointers, tetapi menarasikan dalam satu kalimat, gitu, mengumpulkan, kan gitu. Nah, di situ saja kan kelihatan kalau memang itu rujukannya adalah apa namanya … European Data Protection Board Guideline itu. Terhadap pertanyaan Yang Mulia Hakim Konstitusi dimaksud, Pemerintah memberikan penjelasan sebagai berikut: 1. Niat sebenarnya (original intent) dari Pembentuk Undang-Undang dalam merumuskan kewajiban penunjukkan Data Protection Officer pada Pasal 53 ayat (1) UU PDP dapat dilihat dari penggunaan European Union General Data Protection Regulation (EU-GDPR) sebagai acuan utama dalam penyusunan UU PDP. Maksud dan tujuan pengaturan kewajiban pengendali dan prosesor data pribadi untuk menunjuk Data Protection Officer dalam Pasal 53 ayat (1) UU PDP sama dengan ketentuan Article 37 EU-GDPR. 2. Original intent dari Pasal 53 ayat (1) UU PDP juga akan semakin terlihat jelas melalui penafsiran sistematik dan penafsiran teleologis. Penafsiran sistematis dapat dilakukan dengan meneliti secara kritis (scrutinize) hubungan antara tiap-tiap kondisi dalam Pasal 53 ayat (1) UU PDP dan membandingkannya dengan norma lain dalam UU PDP atau dalam undang-undang lain sebagai satu kesatuan legal system. Dalam penafsiran sistematis, aspek pemahaman umum (ordinary meaning), substansi (substance atau object), dan konteks (context) dari satu norma merupakan bagian penting untuk diteliti. Sedangkan penafsiran teleologis dapat dilakukan dengan melihat maksud dan tujuan serta fungsi dari norma yang dipermasalahkan. Penggunaan kedua penafsiran ini tidak mengabaikan aspek legal drafting sebagai komponen penting dalam perumusan norma undang-undang. 97 3. Dalam hal norma Pasal 53 ayat (1) huruf a, huruf b, dan huruf c UU PDP dimaksudkan sebagai variabel, Pemerintah memandang bahwa tiga variabel dalam huruf a, huruf b, dan huruf c merupakan rincian unsur yang bersifat independen. Pemenuhan satu kriteria saja sudah cukup menimbulkan kewajiban menunjuk PPDP/DPO. Ketentuan Pasal 53 ayat (1) huruf a, huruf b, dan huruf c merupakan kegiatan atau kondisi yang menjadi kriteria untuk menentukan ada tidaknya kewajiban pengendali atau prosesor data pribadi untuk menunjuk PPDP/DPO. Dengan perkataan lain, PPDP/DPO tidak harus ada atau tidak harus ditunjuk untuk kegiatan diluar kriteria yang tidak tercantum dalam Pasal 53 ayat (1) UU PDP. 4. Dari sisi legal drafting, penempatan ketiga unsur tersebut dimuat dalam bentuk tabulasi (structured listing) untuk memudahkan identifikasi kegiatan- kegiatan yang masing-masing secara berdiri sendiri dapat menjadi dasar kewajiban penunjukan PPDP/DPO. Penggunaan kata penghubung "dan" dalam Pasal 53 ayat (1) UU PDP merupakan bentuk teknis penyusunan perundang-undangan sesuai ketentuan Lampiran II Angka 85 UU No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan, yang digunakan dalam menyusun rincian unsur atau daftar bersifat tabulatif. Oleh karenanya, masing-masing kegiatan pada huruf a, huruf b, dan huruf c diperlakukan sebagai kriteria mandiri (independen) yang jika salah satunya terpenuhi oleh Pengendali Data Pribadi atau Prosesor Data Pribadi maka sudah menimbulkan kewajiban menunjuk PPDP. Dari aspek substansi, dengan menggunakan penafsiran sistematis, secara esensi atau hakiki, kriteria-kriteria dalam Pasal 53 ayat (1) UU PDP tidak mungkin dimaknai secara kumulatif. Dalil Pemohon yang menyatakan bahwa dengan adanya kata “dan” maka serta merta huruf a, huruf b, dan huruf c harus dimaknai secara kumulatif merupakan dalil yang keliru dan tidak dapat dipertahankan baik dari sisi interpretasi konteks dan tujuan hakiki dari norma Pasal 53 ayat (1) UU PDP. 5. Pasal 53 ayat (1) UU PDP mengatur: (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: 98 a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/ atau Data Pribadi yang berkaitan dengan tindak pidana. 6. Pemrosesan Data Pribadi sebagaimana dimaksud huruf a meliputi pemrosesan Data Pribadi yang dilaksanakan dalam rangka penyelenggaraan tugas dan fungsi serta kewenangan eksekutif, legislatif, dan yudikatif, baik di tingkat pusat maupun daerah, serta instansi lain yang dibentuk atau ditunjuk berdasarkan peraturan perundang-undangan terkait dengan kepentingan publik dan pelaksanaan tugas publik. 7. Pemerintah memaknai a. kegiatan inti Pengendali Data Pribadi dan/atau Prosesor Data Pribadi sebagaimana dimaksud pada ayat (1) huruf b dilaksanakan dalam hal: 1) kegiatan utama (primary activities); dan 2) kegiatan yang perlu dilakukan oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi untuk mencapai tujuan utama. b. skala besar sebagaimana dimaksud pada ayat (2) huruf b dan huruf c dilaksanakan dalam hal: 1) jumlah subjek Data Pribadi; 2) volume Data Pribadi dan/atau variasi Data Pribadi yang diproses; 3) durasi kegiatan pemrosesan Data Pribadi; dan 4) cakupan wilayah kegiatan pemrosesan Data Pribadi. c. pemantauan secara teratur sebagaimana dimaksud pada ayat (2) huruf b dilaksanakan dalam hal: 1) pemantauan yang sedang dilakukan dalam kurun waktu tertentu pada periode tertentu; 2) pemantauan yang dilakukan secara berulang dalam waktu tertentu; dan 3) pemantauan yang dilakukan secara terus menerus atau berkala. 99 d. pemantauan secara sistematis sebagaimana dimaksud pada ayat (2) huruf b meliputi: 1) pemantauan yang dilakukan oleh sistem; 2) pemantauan yang direncanakan, disusun, atau terstruktur; 3) pemantauan yang dilaksanakan sebagai bagian dari rencana umum pengumpulan data; dan 4) pemantauan yang dilaksanakan sebagai bagian dari pelaksanaan strategi. 8. Menurut Pemerintah Pasal 53 ayat (1) huruf a, huruf b, dan huruf c UU PDP tidak dimaknai secara kumulatif didasarkan pada analisis terhadap ordinary meaning dari teks, context, dan substansi dari unsur norma dalam teks. 9. Ordinary meaning dari “pelayanan publik” dalam Pasal 53 ayat (1) huruf a UU PDP ditujukan bagi pelayanan-pelayanan yang diselenggarakan oleh Pemerintah. Pemahaman ini sejalan dengan atau diperkuat dengan konsep pemrosesan data pribadi yang dilakukan oleh otoritas atau badan publik sebagaimana diatur dalam Article 37 paragraf 1 EU-GDPR. Konsep pelayanan publik yang dimaksud dalam Pasal 53 ayat (1) huruf a UU PDP mengacu pada peraturan perundang-undangan di bidang pelayanan publik. Pasal 1 angka 1 Undang-Undang Nomor 25 Tahun 2009 tentang Pelayanan Publik mengatur bahwa pelayanan publik adalah “kegiatan atau rangkaian kegiatan dalam rangka pemenuhan kebutuhan pelayanan sesuai dengan peraturan perundang-undangan bagi setiap warga negara dan penduduk atas barang, jasa, dan/atau pelayanan administratif yang disediakan oleh penyelenggara pelayanan publik”. Oleh karena itu, situasi “pemrosesan Data Pribadi untuk kepentingan pelayanan publik” dalam huruf a tidak diterapkan terhadap pemrosesan data pribadi yang dilakukan oleh perusahaan swasta. 10. Dari aspek substansi dan context, baik huruf a, huruf b, dan huruf c dapat memiliki irisan yang signifikan satu sama lain. Untuk menggambarkan irisan antara huruf a, huruf b, dan huruf c, dalam Pasal 53 ayat (1) UU PDP dalam rangka menunjukkan bahwa kata “dan” dalam ketentuan a quo tidak memiliki makna kumulatif dapat diberikan contoh berikut. Kata “publik” dalam “pemrosesan data pribadi untuk kepentingan pelayanan publik” (huruf a) pada umumnya berkaitan langsung dengan masyarakat yang jumlahnya 100 “skala besar” (elemen huruf b). Dalam banyak kasus pemrosesan data pribadi dengan skala besar dibutuhkan “pemantauan secara teratur dan sistematis” untuk menjaga keakuratan, keterkinian, dan kebenaran data pribadi (elemen huruf b). Dalam konteks tersebut, pemrosesan data pribadi untuk pelayanan publik (huruf a) beririsan dengan pemrosesan data pribadi dalam huruf b. Dalam hal data pribadi untuk kepentingan pelayanan publik (huruf a) yang membutuhkan pemantauan secara teratur dan sistematis dengan skala besar (huruf b) dan data pribadi tersebut adalah data pribadi spesifik, maka baik huruf a maupun huruf b akan beririsan dengan huruf c. 11. Sebagai contoh konkrit untuk menjelaskan konsep irisan antara huruf a, huruf b, dan huruf c dalam Pasal 53 ayat (1) UU PDP adalah pemrosesan data kependudukan. Pasal 58 ayat (1) UU 24/2013 tentang Perubahan atas UU 24/2006 tentang Administrasi Kependudukan mengatur bahwa bagian dari data kependudukan ialah data perseorangan. Ruang lingkup data perorangan meliputi data pribadi umum (nama lengkap dan tempat dan tanggal lahir) serta data pribadi spesifik (iris mata dan sidik jari). Data kependudukan termasuk data spesifik adalah data yang berjumlah sangat besar, yaitu sebanyak jumlah penduduk yang ada di Indonesia (huruf c). Data kependudukan tersebut digunakan oleh berbagai kementerian atau lembaga untuk memberikan pelayanan publik (huruf a). Pengendali data kependudukan bertanggung jawab untuk menjaga kemutakhiran, ketersediaan, dan keakuratan data pribadi sehingga diperlukan pemantauan secara teratur dan sistematis (huruf b). 12. Alur pemikiran pemohon yang menyatakan bahwa dengan adanya kata “dan” dalam Pasal 53 ayat (1) UU PDP maka pasal a quo harus dimaknai sebagai norma kumulatif jelas telah bertentangan dengan kesimmpulan yang telah dibuktikan di atas bahwa baik huruf a, huruf b, maupun huruf c bisa saling beririsan. Akan tetapi, irisan-irisan tersebut tidak dapat disimpulkan bahwa Pasal 53 ayat (1) hanya dapat diterapkan terhadap pemerintah yang menyelenggarakan pelayanan publik, karena kesimpulan semacam itu akan bertentangan dengan maksud dan tujuan hadirnya PPDP/DPO yang melaksanakan fungsi pelindungan data pribadi. Selain itu, kesimpulan yang dimaksud juga bertentangan dengan tujuan konstitusional UU PDP yang 101 diatur dalam konsideran menimbang (pelindungan data pribadi merupakan pelindungan hak asasi manusia) dan tujuan hakiki dari Pasal 53 ayat (1) UU PDP. Baik Pemerintah maupun industri sektor privat, sepanjang mereka bertindak sebagai pengendali atau prosesor data pribadi, sepanjang mereka memenuhi salah satu kondisi dari huruf a, huruf b, ataupun huruf c, maka pengendali atau prosesor data pribadi wajib menunjuk PDP/DPO. 13. Adanya kata “dan” yang digunakan untuk mengatur atau menunjukkan sifat “kumulatif” dari suatu persyaratan seharusnya tidak memuat adanya kemungkinan irisan antara unsur-unsur yang dipersyaratkan tersebut. Dengan perkataan lain fungsi “dan” sebagai pembentuk norma kumulatif akan optimal dalam hal unsur-unsur yang dipersyaratkan tidak saling beririsan. Sebagai contoh Pasal 16A UU 1/2024 tentang Perubahan Kedua atas UU 11/2008 tetang Informasi dan Transaksi Elektronik mengatur kewajiban Penyelenggara Sistem Elektronik untuk memberikan pelindungan bagi Anak. Pasal 16A ayat (4) UU ITE mengatur: “Dalam memberikan pelindungan sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik wajib menyediakan: a. informasi mengenai batasan minimum usia anak yang dapat menggunakan produk atau layanannya; b. mekanisme verifikasi pengguna anak; dan c. mekanisme pelaporan penyalahgunaan produk, layanan, dan fitur yang melanggar atau berpotensi melanggar hak anak.” Kewajiban huruf a, huruf b, dan huruf c tidak saling beririsan. Dalam hal ini, secara jelas dan tegas bahwa semua kewajiban tersebut menjadi satu kesatuan (kumulatif). 14. Dari sisi tujuan, kehadiran PPDP/DPO adalah untuk memastikan bahwa satu organisasi yang bertindak sebagai pengendali atau prosesor data pribadi mematuhi ketentuan pelindungan data pribadi. Dalam Pasal 54 ayat (1) UU PDP diatur bahwa pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi memiliki tugas paling sedikit: 1) menginformasikan dan memberikan saran kepada Pengendali atau Prosesor Data Pribadi agar mematuhi ketentuan dalam Undang-Undang ini; 102 2) memantau dan memastikan kepatuhan terhadap Undang-Undang ini dan kebijakan Pengendali atau Prosesor Data Pribadi; 3) memberikan saran mengenai penilaian dampak Pelindungan Data Pribadi dan memantau kinerja Pengendali dan Prosesor Data Pribadi; dan 4) berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan Data Pribadi. 15. PPDP/DPO beserta fungsi dan tugasnya tidak hanya merupakan kebutuhan pemerintah sebagai Pengendali atau Prosesor data pribadi, tetapi juga pengendali atau prosesor data pribadi sektor privat. PPDP/DPO merupakan pejabat atau petugas yang ditunjuk secara khusus oleh organisasi untuk membantu organisasi tetap mematuhi ketentuan pelindungan data pribadi. 16. Pendekatan ini sejalan dengan EDPB Guidelines on Data Protection Officers (DPOs) dalam kerangka GDPR, di mana masing-masing kegiatan atau kriteria yang disebutkan dan berdiri sendiri sebagai dasar kewajiban penunjukan DPO (mandatory designation), bukan sebagai kumulasi. 17. Dengan demikian, pengaturan dalam Pasal 53 ayat (1) UU PDP tidak dapat dibaca secara kumulatif hanya karena ada kata “dan” telah konsisten dengan maksud pembentuk undang-undang (original intent), mendapat justifikasi berdasarkan penafsiran sistematis dan teologis, serta sesuai praktik internasional, khususnya GDPR. II. Pertanyaan dari Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H. M.P.A. Tapi di huruf r. Halaman menjelang poin 2. Jadi nanti saya bacakan begini, Bu … apa … Staf Ahli. “Berdasarkan penjelasan di atas, original intent dari ketiga kegiatan yang diuraikan dalam ketentuan Pasal 53 ayat (1) UU PDP merupakan kegiatan yang wajib menunjuk PPDP/DPO dan tidak dimaksudkan sebagai pengaturan yang kumulatif atau alternatif” Apa kira-kira maksudnya itu, Bu? Tidak kumulatif, tidak pula alternatif. Apa maksudnya ini? Kalau ini kan … apa namanya … kalau tidak kumulatif atau alternatif. Atau ini maksudnya kumulatif alternatif? Tolong, Ibu, jelaskan. Karena ini memang soalnya satu kata, Bu, Pemerintah. Tapi kalau penjelasan seperti ini, lalu kalau kata dan itu, di mana- mana kan jelas itu, kumulatif. Tapi kata Pemerintah di sini tidak dimaksudkan sebagai kumulatif, tidak pula sebagai alternatif. Kalau begitu, maksudnya kumulatif alternatif? Nah, tolong ini dijelaskan. 103 Terhadap pertanyaan Yang Mulia Hakim Konstitusi dimaksud, Pemerintah memberikan penjelasan sebagai berikut: 1. Pemerintah perlu menjelaskan bahwa frasa dalam dokumen sebelumnya, yaitu “tidak dimaksudkan sebagai pengaturan yang kumulatif atau alternatif,” mengandung makna bahwa tiga unsur kegiatan dalam Pasal 53 ayat (1) UU PDP bukanlah satu kesatuan yang harus dipenuhi seluruhnya (kumulatif), dan juga tidak ditafsirkan sebagai pilihan bebas di antara beberapa unsur (alternatif). 2. Berdasarkan Lampiran II UU No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan, khususnya angka 85, penggunaan kata penghubung “dan” dalam perincian bersifat listik (enumeratif) tidak selalu bermakna kumulatif. Dalam konteks listik/tabulatif, kata “dan” dipakai sebagai alat pemisah antar-unsur agar norma mudah dibaca dan diidentifikasi, tanpa mengubah karakter independensi unsur tersebutKetiga unsur tersebut adalah rincian kualifikasi independen yang masing-masing berdiri sendiri, namun dipresentasikan dalam bentuk tabulatif sesuai kaidah teknis penyusunan peraturan perundang-undangan. Artinya, jika salah satu dari huruf a, b, atau c terpenuhi, maka kewajiban untuk menunjuk PPDP/DPO sudah melekat. 3. Bahwa ketentuan mengenai kewajiban penunjukan Pejabat yang melaksanakan fungsi pelindungan data pribadi (PPDP) dalam Pasal 53 ayat (1) UU PDP, berangkat dari gagasan awal yang disampaikan oleh Direktorat Jenderal Aplikasi Informatika (Ditjen Aptika), Kementerian Komunikasi dan Informatika, dalam rapat pembahasan pada tanggal 17 Mei 2018. Dalam forum tersebut, Ditjen Aptika mengusulkan agar dimasukkan pengaturan mengenai pejabat atau petugas khusus dalam suatu organisasi yang bertanggung jawab melaksanakan fungsi pelindungan data pribadi, sebagai bentuk adopsi terhadap konsep Data Protection Officer (DPO) sebagaimana diatur dalam regulasi internasional, khususnya General Data Protection Regulation (GDPR) Uni Eropa. 4. Sebagai tindak lanjut atas usulan tersebut, pada tanggal 18 Oktober 2018, telah dirumuskan norma ayat (1) yang menyatakan bahwa: 104 “Dalam hal tertentu, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib menunjuk seorang pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi.” 5. Rumusan ini dimaksudkan untuk memberikan dasar kewajiban hukum bagi organisasi tertentu yang mengelola data pribadi dalam intensitas dan risiko tinggi untuk menunjuk pejabat yang secara khusus menjalankan fungsi pengawasan internal atas kepatuhan terhadap prinsip-prinsip pelindungan data pribadi. 6. Selanjutnya, pada 11 November 2018, Bank Indonesia dalam proses harmonisasi pembahasan RUU memberikan masukan agar istilah “dalam hal tertentu” pada ayat (1) tersebut dijelaskan lebih lanjut untuk memberikan kepastian hukum mengenai parameter atau kriteria penerapannya. 7. Sebagai respons terhadap masukan tersebut, dirumuskan ketentuan ayat (1a) yang menjabarkan bahwa frasa “dalam hal tertentu” pada ayat (1) merujuk pada tiga kondisi utama, yaitu: a) huruf a: pemrosesan Data Pribadi oleh Pengendali/Prosesor untuk kepentingan pelayanan publik; b) huruf b: kegiatan inti organisasi yang memerlukan pemantauan secara teratur dan sistematis dalam skala besar; dan c) huruf c: kegiatan inti yang melibatkan pemrosesan Data Pribadi dalam skala besar yang bersifat spesifik dan/atau terkait pelanggaran atau tindak pidana. 8. Dengan demikian, huruf a, b, dan c merupakan perincian dari frasa "dalam hal tertentu" sebagaimana dimaksud dalam ayat (1). Pilihan penggunaan kata sambung “dan” antar huruf bukan dimaksudkan untuk membentuk kriteria kumulatif, melainkan merupakan bagian dari struktur penulisan pasal yang merinci pilihan kondisi yang berdiri sendiri (bersifat alternatif). Sehingga apabila suatu organisasi memenuhi salah satu saja dari ketiga kondisi tersebut, maka kewajiban penunjukan PPDP/DPO telah berlaku. 9. Kemudian pada tanggal 22 Oktober 2019, dalam rangka penyederhanaan redaksional dan konsistensi sistematika norma, kedua ayat tersebut (ayat (1) dan ayat (1a)) digabungkan menjadi satu ayat, yang saat ini tertuang sebagai Pasal 53 ayat (1) dalam UU PDP. Penyatuan ini dimaksudkan agar norma 105 lebih ringkas namun tetap memuat unsur norma umum dan pengecualian dalam satu struktur kalimat. 10. Penjelasan pada angka 6 sampai angka 9 diatas, dirumuskan dalam tabel sebagai berikut: Sebelum Sesudah Pasal 39 (1) Dalam hal tertentu Pengendali Data Pribadi dan Pemroses Data Pribadi harus menunjuk seorang pejabat/petugas yang melaksanakan fungsi pelindungan Data Pribadi (1a) Dalam hal tertentu sebagaimana dimaksud pada ayat (1) meliputi: a. Pemrosessan yang dilakukan oleh Pengendali Data Pribadi dan/atau Pemroses Data Pribadi yang melakukan pelayanan publik. b. Kegiatan inti dari Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; c. Kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan pelanggaran dan tindak pidana. (2) ..... Pasal 53 (1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/ atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/ atau Data Pribadi yang berkaitan dengan tindak pidana. (2) … 11. Penafsiran ini sejalan dengan tujuan utama UU PDP, yaitu menjamin keberadaan mekanisme pelindungan yang memadai dan proporsional terhadap risiko pengelolaan Data Pribadi, serta searah dengan praktik internasional dalam tata kelola pelindungan data. 106 12. Oleh karena itu, usulan perubahan redaksional menjadi “dan/atau” tidak diperlukan karena tidak sesuai dengan kaidah teknis pembentukan norma hukum yang tabulatif. a) Huruf a: Berbasis fungsi publik. b) Huruf b: Berbasis skala dan intensitas pemantauan. c) Huruf c: Berbasis jenis data (kategori khusus atau pidana). Masing-masing memiliki bobot dan ancaman yang cukup untuk memicu kewajiban penunjukan PPDP/DPO. 13. Oleh karena itu, pernyataan “tidak kumulatif dan tidak alternatif” bukanlah kebingungan redaksional, melainkan penegasan posisi norma berbentuk struktur tabulatif dari unsur mandiri yang memiliki kekuatan hukum setara dan berlaku sendiri-sendiri. [2.5] Menimbang bahwa untuk menguatkan keterangannya, Presiden mengajukan alat bukti yang diberi tanda Bukti PK-1 sampai dengan Bukti PK-3 sebagai berikut: 1. Bukti PK-1 : Fotokopi Naskah Akademik Rancangan Undang-Undang Perlindungan Data Pribadi; 2. Bukti PK-2 : Fotokopi Guidelines on Data Protection Officers (DPOs) oleh European Data Protection Board (EDPB); 3. Bukti PK-3 : Fotokopi Questions and Answers (Q & A) dalam situs Komisi Eropa mengenai EUGDPR. Selain itu, untuk mendukung dalil permohonannya, Presiden juga mengajukan keterangan ahli atas nama Wicipto Setiadi, yang keterangannya diterima di Kepaniteraan Mahkamah pada tanggal 16 Mei 2025 pada pokoknya sebagai berikut: I. Latar Belakang Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengatur kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk pejabat atau petugas Pelindungan Data Pribadi dalam kondisi tertentu sebagaimana diatur dalam Pasal 53 ayat (1). Namun, terdapat perdebatan mengenai apakah kata penghubung 'dan' dalam ayat tersebut 107 bermakna kumulatif atau alternatif. Penafsiran terhadap kata ini akan menentukan ruang lingkup kewajiban hukum dari subjek yang diatur. II. Norma Hukum yang dipermasalahkan Yang menjadi pokok permasalahan adalah apa penafsiran/makna kata 'dan' dalam Pasal 53 ayat (1) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 53 ayat (1) UU PDP menentukan: “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana." III. Rumusan Masalah Untuk memberikan makna/penafsiran yang jelas terhadap kata “dan” dalam Pasal 53 ayat (1) UU PDP disampaikan rumusan masalah sebagai berikut: 1. Bagaimana makna penggunaan frasa “dalam hal” menggunakan rumusan “dan” dengan rincian yang sifatnya tabulasi? 2. Bagaimana kaitannya dengan angka 85 Lampiran II UU No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan sebagaimana telah diubah dengan UU No. 15 Tahun 2019 dan UU No. 13 Tahun 2022 sebagai berikut: “Jika satu pasal atau ayat memuat rincian unsur, selain dirumuskan dalam bentuk kalimat dengan rincian, juga dapat dirumuskan dalam bentuk tabulasi” 3. Dalam kondisi atau rumusan seperti apa kata “dan” pada rincian tabulasi tetap bersifat alternatif? 4. Bagaimana penggunaan kata “dan” dalam variabel independen menurut praktik penyusunan peraturan perundang-undangan? 5. Dalam hal ada perbedaan antara original intent dan teknik penyusunan peraturan perundang-undangan, mana yang lebih diutamakan? Bagaimana interpretasi yang bisa dilakukan agar tetap konstitusional? 108 IV. Analisis Hukum Untuk menjawab rumusan masalah di atas berikut adalah uraian/analisis hukum berdasarkan teori penafsiran hukum, kaidah dalam UU No. 13 Tahun 2022 tentang Pembentukan Peraturan Perundang-Undangan (UU P3) sebagaimana telah diubah dengan UU No. 15 Tahun 2019 dan UU No. 13 Tahun 2022, serta doktrin-doktrin dalam legal interpretation dan legal drafting: 1. Bagaimana makna penggunaan frasa “dalam hal” menggunakan rumusan “dan” dengan rincian yang sifatnya tabulasi? Frasa “dalam hal” dalam peraturan perundang-undangan lazim digunakan untuk menyatakan kondisi atau prasyarat tertentu yang membuka konsekuensi hukum. Jika frasa ini diikuti dengan rincian berbentuk tabulasi (huruf a, b, c), dan menggunakan konjungsi “dan”, maka secara gramatikal dan sistematik, itu mengindikasikan syarat kumulatif — yaitu bahwa semua unsur dalam tabulasi tersebut harus terpenuhi untuk memicu konsekuensi hukum. Namun, penting dicatat bahwa struktur tabulatif tidak selalu bersifat kumulatif secara mutlak. Makna kumulatif tersebut sangat tergantung pada maksud substantif norma, konteks sistemik, serta prinsip tujuan pembentukan norma hukum. 2. Bagaimana kaitannya dengan angka 85 Lampiran II UU P3? Angka 85 Lampiran II UU P3 menentukan: “Jika satu pasal atau ayat memuat rincian unsur, selain dirumuskan dalam bentuk kalimat dengan rincian, juga dapat dirumuskan dalam bentuk tabulasi.” Angka 85 Lampiran II UU P3 menegaskan bahwa penggunaan tabulasi merupakan gaya atau format untuk memudahkan pemahaman pembaca terhadap unsur-unsur norma. Namun, aturan ini tidak menjawab secara langsung apakah unsur tersebut bersifat kumulatif atau alternatif. Jadi, penentuan tersebut tetap bergantung pada diksi penghubung yang digunakan, seperti “dan” atau “atau”, dan pada maksud normatif dari pembentuk UU. Jadi, angka 85 lebih merupakan pedoman format (bentuk) dan bukan pedoman substansi (makna hubungan antar unsur). 109 3. Dalam kondisi atau rumusan seperti apa kata “dan” pada rincian tabulasi tetap bersifat alternatif? Kata “dan” dapat ditafsirkan sebagai alternatif (yakni bermakna “atau”) dalam tabulasi apabila: a. Konteks sistemik dalam undang-undang menunjukkan bahwa masing- masing huruf berdiri sebagai kondisi independen (misalnya, masing- masing sudah cukup untuk menimbulkan akibat hukum sendiri). b. Terdapat tujuan atau ratio legis yang jelas bahwa tidak dimaksudkan sebagai akumulasi kondisi, melainkan sebagai pilihan kondisi. c. Riwayat pembentukan norma (original intent) secara eksplisit menyatakan bahwa tidak dimaksudkan secara kumulatif, meskipun redaksinya menggunakan “dan”. d. Dikhawatirkan terjadi konsekuensi irasional atau bertentangan dengan asas Perlindungan hukum apabila dimaknai kumulatif. Contoh dalam praktik: Jika dalam suatu pasal ditulis: “Dalam hal: a. Terjadi penyalahgunaan kekuasaan; b. Terjadi pelanggaran hak konstitusional warga negara; dan c. Terjadi kegagalan negara dalam menegakkan hukum; maka Presiden dapat dimakzulkan.” Bisa jadi makna “dan” bersifat alternatif apabila konteks konstitusional menunjukkan bahwa salah satu saja sudah cukup untuk menimbulkan akibat hukum tersebut. 4. Bagaimana penggunaan kata “dan” dalam variabel independen menurut praktik penyusunan peraturan perundang-undangan? Dalam praktik legislative drafting, apabila variabel-variabel yang dimaksud tidak saling tergantung (independen), maka: a. Diksi yang lebih tepat adalah “atau”. b. Jika “dan” digunakan untuk variabel independen, akan timbul ambiguitas atau kesalahan interpretasi. 110 c. Oleh karena itu, dalam praktik yang baik dan benar, jika perancang bermaksud agar setiap unsur berdiri sendiri, maka kata “atau” yang seharusnya digunakan. Namun, kekeliruan penggunaan diksi sering terjadi - terutama karena kecenderungan untuk mengikuti pola formalistik seperti dalam Pasal 53 ayat (1) UU PDP. 5. Dalam hal ada perbedaan antara original intent dan teknik penyusunan peraturan perundang-undangan, mana yang lebih diutamakan? Bagaimana interpretasi yang bisa dilakukan agar tetap konstitusional? Secara yuridis dan doktrinal: a. Original intent (maksud pembentuk undang-undang) memiliki kekuatan penting dalam penafsiran hukum, terutama dalam mengatasi ambiguitas teks norma. Mahkamah Konstitusi dalam berbagai putusan sering merujuk pada risalah pembahasan UU sebagai rujukan intensionalis interpretation. b. Namun, teknik penyusunan peraturan perundang-undangan sebagaimana diatur dalam UU P3 tetap menjadi acuan formalistik dan sistematik yang diandalkan hakim dan pelaksana undang-undang. Interpretasi konstitusional yang dapat dilakukan: a. Menggunakan penafsiran sistematik dan teleologis, untuk menjembatani redaksi yang ambigu agar tidak menghasilkan norma yang inkonstitusional atau bertentangan dengan prinsip keadilan, efektivitas, dan hak asasi. b. Penafsiran rekonstruktif atau reinterpretasi yudisial dapat dilakukan oleh Mahkamah Konstitusi untuk menyesuaikan antara teks dan semangat hukum, sebagaimana pernah dilakukan dalam kasus “dan” vs “atau” di banyak yurisprudensi (misalnya Putusan MK No. 27/PUU-VII/2009 tentang Pasal 43 ayat (1) UU KPK). Penafsiran Sistematik Pendekatan sistematik bertujuan memahami norma dalam kaitannya dengan keseluruhan struktur dan logika UU PDP. Pasal 53 ayat (1) menyatakan bahwa kewajiban penunjukan pejabat pelindungan data berlaku: “… dalam hal: 111 a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.” Walaupun menggunakan kata “dan”, secara sistematik norma ini memuat daftar tiga situasi yang berdiri sendiri, bukan satu kesatuan syarat. Jika ditafsirkan kumulatif, maka hanya entitas yang memenuhi ketiga situasi tersebut yang diwajibkan menunjuk pejabat pelindungan data, yang secara logika bertentangan dengan tujuan UU PDP untuk memperluas cakupan pelindungan data. Penafsiran Teleologis Penafsiran ini berfokus pada ratio legis dari ketentuan: melindungi hak subjek data pribadi dan memastikan akuntabilitas pengendali/prosesor data. Jika penunjukan pejabat hanya diwajibkan bila ketiga kondisi terpenuhi, maka entitas dengan risiko tinggi—namun hanya memenuhi salah satu kriteria— tidak akan diwajibkan menunjuk pejabat pelindungan data. Ini jelas bertentangan dengan tujuan UU PDP. Penafsiran “dan” sebagai bermakna alternatif (dalam arti “atau”) lebih sejalan dengan prinsip kehatian-hatian, akuntabilitas, dan efektivitas pelindungan data pribadi. Penafsiran Rekonstruktif (Historis dan Intensionalis) Berdasarkan keterangan pemerintah dalam proses penyusunan UU PDP, niat pembentuk undang-undang adalah agar huruf a, huruf b atau huruf c saja cukup untuk mewajibkan penunjukan pejabat. Adanya penggunaan “dan” adalah hasil dari praktik teknik legislative drafting yang kadang tidak sepenuhnya mencerminkan maksud normatif. Maka, perlu dilakukan koreksi melalui penafsiran rekonstruktif yang mengutamakan original intent daripada redaksi literal. 112 V. Kesimpulan Dari 5 (lima) rumusan masalah di atas dapat disimpulkan sebagai berikut: Pertanyaan Jawaban Kunci Makna “dalam hal” + tabulasi + “dan” Umumnya bersifat kumulatif, kecuali konteks norma menunjukkan sebaliknya Angka 85 Lampiran II UU P3 Hanya mengatur bentuk, bukan makna substantif hubungan antar unsur Kapan “dan” bersifat alternatif? Bila konteks, maksud pembentuk UU, dan tujuan Perlindungan hukum menghendaki masing- masing unsur berdiri sendiri “Dan” untuk variabel independen? Tidak tepat; seharusnya “atau” yang digunakan Mana yang diutamakan: original intent atau redaksi? Harus dikompromikan melalui penafsiran sistematik dan teleologis demi konstitusionalitas norma [2.6] Menimbang bahwa Mahkamah telah menerima kesimpulan dari para Pemohon dan Presiden yang diterima Mahkamah masing-masing pada tanggal 28 Mei 2025 pada pokoknya sebagai berikut. KESIMPULAN PARA PEMOHON I. PENDAHULUAN 1. Setelah menjalani masa persidangan perkara nomor 151/PUU-XXII/2024 di Mahkamah Konstitusi Republik Indonesia, Para Pemohon telah menjalani sidang sebanyak 4 (empat) kali persidangan. Selama proses persidangan tersebut Majelis Hakim Mahkamah Konstitusi RI yang memeriksa perkara ini, telah memeriksa pula keterangan dari Pihak Presiden, Pihak Dewan Perwakilan Rakyat Republik Indonesia (DPR RI), dan juga telah memeriksa pula keterangan dari ahli yang telah diajukan oleh Pihak Presiden demi membuat terang perkara ini. 2. Namun, pada sidang ke IV perkara a quo, ahli yang diajukan oleh Pihak Presiden tidak hadir untuk membacakan keterangan ahlinya, sehingga 113 keterangan ahli dari Pihak Presiden hanya disampaikan secara tertulis kepada Mahkamah Konstitusi. Sampai dengan Kesimpulan ini diserahkan kepada Panitera Mahkamah Konstitusi, Para Pemohon belum mendapatkan akses terhadap keterangan Ahli dari Pihak Presiden. 3. Maka, berdasarkan keterangan-keterangan yang telah disampaikan di dalam persidangan perkara ini, kami Para Pemohon, berkesimpulan bahwa frasa “dan” pada akhir kalimat butir “b” dalam Pasal 53 ayat (1) Undang - Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) (UU PDP), yang lengkapnya berbunyi sebagai berikut: "(1) Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.” 4. Dalam hal ini telah terbukti berpotensi, atau setidak-tidaknya berdasarkan penalaran yang wajar dapat dipastikan akan menimbulkan kerugian konstitusional bagi Para Pemohon berupa hilangnya jaminan pelindungan terhadap Data Pribadi Para Pemohon yang merupakan salah satu bentuk jaminan perlindungan dari Hak untuk Mendapatkan Perlindungan Diri Pribadi sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, ketentuan a quo bertentangan dengan Pasal 28G Ayat (1) UUD NRI Tahun 1945. Adapun mengenai alasan-alasan mengapa Para Pemohon dapat tiba pada Kesimpulan tersebut, akan kami jelaskan secara lebih detail pada bagian-bagian dibawah. 114 II. KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON 5. Sebagaimana yang telah disampaikan oleh Para Pemohon dalam permohonan a quo, bahwa pada pokoknya Para Pemohon dalam perkara a quo memiliki kedudukan hukum (legal standing) sebagai berikut: a. Para Pemohon memiliki hak konstitusional yang diberikan dan dijamin oleh UUD NRI 1945, yaitu hak atas perlindungan diri pribadi, yang mana berkaitan dengan hak atas Pelindungan Data Pribadi, sebagaimana yang tertuang dalam Pasal 28G ayat (1) UUD NRI 1945. b. Para Pemohon merupakan Warga Negara Indonesia yang sudah pasti Data Pribadi milik pemohon akan diproses oleh Institusi Negara untuk keperluan administratif kependudukan atau pelayanan publik; dan c. Kemudian, Para Pemohon juga dalam kesehariannya tidak terlepas dalam menggunakan teknologi sehingga tidak terlepas pula dengan Data- data Pribadi milik Para Pemohon baik dalam bentuk elektronik maupun non-elektronik yang dimiliki dan melekat pada diri Para Pemohon yang diproses oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi dalam bentuk Organisasi Privat yang menjadikan Para Pemohon sebagai Subjek Data Pribadi yang Hak atas perlindungan data pribadinya dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. 6. Terhadap kedudukan hukum (legal standing) Para Pemohon tersebut, pihak DPR RI dalam keterangannya di bagian petitum meminta agar: “Menyatakan bahwa Pemohon tidak mempunyai kedudukan hukum atau legal standing, sehingga Permohonan a quo harus dinyatakan tidak dapat diterima.” [Lihat keterangan Pihak DPR RI, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 11]. 7. Namun, atas permintaan dalam petitum dari pihak DPR RI, DPR RI sama sekali tidak menyampaikan argumentasi mengapa Para Pemohon tidak memiliki kedudukan hukum (legal standing) dalam mengajukan perkara ini ke Mahkamah Konstitusi RI. 8. Hal yang sama juga dapat ditemukan dalam keterangan dari pihak Pemerintah, yang dalam bagian petitum keterangannya meminta agar: 115 “Menyatakan bahwa Pemohon tidak mempunyai kedudukan hukum.” [Lihat keterangan Pihak Presiden, Risalah Perkara Nomor 151/PUU- XXII/2024 tanggal 7 Mei 2025, hal. 20]. 9. Adapun keterangan dari pihak Presiden terkait kedudukan hukum (legal standing) para Pemohon, dalam keterangannya menyatakan bahwa: “Pemerintah berpendapat, para Pemohon tidak memenuhi syarat kerugian konstitusional dengan penjelasan pada intinya sebagai berikut: 1. Dalil kerugian para Pemohon bukanlah potensi, apalagi aktual, melainkan asumsi Para Pemohon semata. 2. Bahwa kerugian yang didalilkan para Pemohon dengan keberlakuan Pasal 53 ayat (1) UU PDP tidak ada korelasi langsung (causal verband) dengan tidak terlindunginya data pribadi para Pemohon. …. ; 3. Para Pemohon tidak dapat menguraikan dan membuktikan bentuk kerugian yang diderita, baik secara langsung maupun tidak langsung, bersifat spesifik atau khusus dan aktual atau setidak- tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi sebagai akibat berlakunya Pasal 53 ayat (1). Sehingga tidak diketahui hak dan kepentingan hukum Pemohon yang mana yang telah dirugikan dengan berlakunya ketentuan Pasal 53 ayat (1) UU PDP”. [Lihat keterangan Pihak Presiden, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 13]. 10. Terkait keterangan pihak Presiden tersebut, pihak Presiden tidak memberikan penjelasan lebih lanjut dan tidak dapat membantah terkait hubungan langsung (causal verband) antara rumusan ketentuan Pasal 53 ayat (1) UU PDP dengan kerugian konstitusional para Pemohon mengenai potensi kerugian konstitusional yang menurut penalaran yang wajar dapat dipastikan akan terjadi sebagaimana yang telah dijelaskan oleh para Pemohon dalam permohonan a quo sebagai berikut: a. Data Pribadi dari para Pemohon sebagai Subjek Data Pribadi secara nyata telah dikelola oleh organisasi Pengendali Data Pribadi dan/atau Prosesor Data Pribadi tidak terkecuali oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang aktivitas pemrosesan data pribadinya memiliki risiko yang tinggi (dengan memenuhi baik salah satu 116 atau lebih di antara butir a, b, dan/atau c dalam Pasal 53 ayat (1) UU PDP). b. Para Pemohon sebagai Subjek Data Pribadi yang Data Pribadinya di proses oleh Organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang aktivitas pemrosesan data pribadinya memiliki risiko yang tinggi, menilai secara potensial dapat dirugikan oleh keberlakuan Pasal 53 ayat (1) UU PDP yang mengatur kriteria persyaratan/prakondisi untuk diwajibkan melakukan penunjukan Petugas/Pejabat Pelindungan Data Pribadi (PPDP) dengan sifat kumulatif, karena sejatinya ketiga kriteria persyaratan/prakondisi dalam Pasal a quo, secara sendiri-sendiri atau masing-masing merupakan aktivitas atau kegiatan pemrosesan Data Pribadi yang memiliki potensi risiko tinggi terhadap pemenuhan hak Subjek Data Pribadi (high-risk data processing activities). c. Mengingat bahwa dalam UU PDP telah dibentuk ketentuan mengenai PPDP yang berfungsi untuk memberikan pengawasan yang lebih dalam hal kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi terhadap kewajiban-kewajibannya ketika melakukan aktivitas pemrosesan Data Pribadi yang memiliki potensi risiko tinggi. d. Namun, dengan dipersempitnya cakupan Pengendali Data Pribadi dan Prosesor Data Pribadi yang diwajibkan untuk melakukan penunjukan PPDP di dalam organisasinya melalui perumusan kriteria persyaratan/prakondisi secara kumulatif lewat penggunaan kata “dan” pada akhir kalimat butir “b” Pasal 53 ayat (1) UU PDP mengakibatkan Pengendali Data Pribadi dan Prosesor Data Pribadi yang memenuhi salah satu atau salah dua dari kriteria dalam Pasal 53 ayat (1) UU PDP menjadi tidak wajib untuk melakukan penunjukan PPDP. Dengan demikian, rumusan Pasal a quo secara jelas dan nyata berpotensi untuk meniadakan pengawasan yang sifatnya lebih dalam kepatuhan terhadap kewajiban dari organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang dikategorikan melakukan aktivitas pemrosesan Data Pribadi yang memiliki risiko yang tinggi dengan memenuhi salah satu atau salah dua dari kriteria dalam Pasal 53 ayat (1) UU PDP. e. Maka, ketika Pasal a quo dirumuskan secara kumulatif dengan penggunaan kata ‘dan’ dalam rumusan Pasal 53 ayat (1) UU PDP secara 117 jelas dan nyata mengakibatkan secara langsung timbulnya potensi Data Pribadi miliknya tidak terlindungi dengan baik apabila Data Pribadi miliknya dikelola atau diproses oleh organisasi Pengendali Data dan Prosesor Data yang melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities), namun tidak diawasi secara lebih melalui kehadiran PPDP untuk menjamin pemenuhan kepatuhan terhadap UU PDP dan peraturan lain yang berkaitan terhadap pelindungan data pribadi, terutama mengenai kewajiban-kewajiban dari Pengendali Data Pribadi dan Prosesor Data Pribadi. f. Dengan demikian, setidak-tidaknya berdasarkan penalaran yang wajar bahwa Pasal 53 ayat (1) UU PDP yang syarat kriterianya dikonstruksikan secara kumulatif dengan menggunakan kata “dan” pada akhir kalimat butir “b” sangat berpotensi menimbulkan kerugian konstitusional bagi Pelindungan Data Pribadi milik Para Pemohon yang merupakan salah satu bentuk perwujudan dari Hak Perlindungan Diri Pribadi Para Pemohon sebagaimana yang dijamin oleh Pasal 28G ayat (1) UUD NRI 1945. 11. Dengan demikian, maka berdasarkan argumentasi-argumentasi di atas, Para Pemohon berkesimpulan bahwa Para Pemohon memiliki kedudukan hukum (legal standing) yang jelas dalam mengajukan permohonan a quo kepada Mahkamah Konstitusi RI. Selanjutnya, Para Pemohon akan menguraikan kesimpulan-kesimpulan Para Pemohon dalam pokok perkara ini. III. PENGENDALI DATA PRIBADI DAN PROSESOR DATA PRIBADI YANG MEMENUHI SALAH SATU KRITERIA PERSYARATAN DALAM PASAL 53 AYAT (1) UU PDP MEMERLUKAN PENGAWASAN YANG SIFATNYA LEBIH LEWAT PENUNJUKAN PPDP. 12. Selama masa persidangan terdapat beberapa argumentasi yang disampaikan oleh Presiden dan DPR RI untuk menyangkal atau menanggapi tentang permohonan yang diajukan oleh Para Pemohon. Akan tetapi, kami menilai bahwa argumentasi-argumentasi tersebut sama sekali tidak menjawab argumentasi yang kami bangun. Berikutnya akan kami bahas satu persatu keterangan dari pihak Pemerintah dan DPR RI yang mencoba membantah argumentasi kami dan meminta permohonan untuk ditolak dalam pokok perkara. 118 13. Berdasarkan keterangan dari pihak DPR RI yang dalam keterangannya menyampaikan bahwa: “Makna yang tepat dari rumusan pasal a quo adalah huruf a, huruf b, dan huruf c yang berbentuk tabulasi merupakan suatu rincian yang berdiri sendiri-sendiri sebagai suatu hal yang untuk wajib menunjuk PPDP. Oleh karena itu, dalil Para Pemohon yang pada intinya memaknai huruf a, huruf b, dan huruf c , harus terpenuhi secara kumulatif untuk menunjuk PPDP adalah pemaknaan yang tidak tepat” [Lihat keterangan Pihak DPR RI, Risalah Perkara Nomor 151/PUU- XXII/2024 tanggal 7 Mei 2025, hal. 6]. 14. Berdasarkan keterangan dari pihak Pemerintah yang dalam keterangannya menyampaikan bahwa: “Rincian unsur kata ‘dan’ dalam Pasal 53 ayat (1) UU PDP dimaksud menunjukkan keadaan atau kondisi tertentu yang ditunjukkan dengan penggunaan frasa ‘dalam hal’, dimana terdapat kegiatan dari pengendali data pribadi dan prosesor data pribadi yang terkena kewajiban menunjuk PPDP/DPO, sebagaimana dijabarkan rincian unsurnya pada huruf a, huruf b, dan huruf c dan bukan dimaksudkan sebagai prakondisi kumulatif yang harus terpenuhi seluruhnya.”. [Lihat keterangan Pihak Presiden, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 17] 15. Dengan demikian, berdasarkan keterangan yang disampaikan baik dari Pemerintah maupun DPR RI, dapat dipahami bahwa: a. Original intent dari ketiga kegiatan yang diuraikan dalam ketentuan Pasal 53 ayat (1) UU PDP, dimaksudkan sebagai prakondisi atau merupakan rumusan norma syarat yang harus dipenuhi Pengendali Data Pribadi dan Prosesor Data Pribadi agar timbul kewajiban untuk menunjuk PPDP/DPO; dan b. Original intent rumusan syarat tersebut bersifat alternatif atau dapat dikatakan sebagai rincian yang berdiri sendiri-sendiri atau disaat memenuhi salah satu unsur, maka telah timbul kewajiban bagi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk PPDP/DPO. 16. Sehingga dapat disimpulkan bahwa pendirian dari DPR RI dan Presiden telah sejalan dengan pendirian Para Pemohon, bahwa perlunya dilakukan penunjukan PPDP/DPO oleh Pengendali Data Pribadi dan Prosesor Data Pribadi yang hanya memenuhi salah satu kriteria persyaratan dalam Pasal 53 ayat (1) UU PDP. 119 IV. KEHADIRAN PPDP UNTUK MENJAMIN KEPATUHAN TERHADAP PENGATURAN PELINDUNGAN DATA PRIBADI. 17. Dari keterangan pihak DPR RI, pada pokoknya menyatakan bahwa: “Bahwa Para Pemohon mendalilkan penggunaan kata dan dalam pasal a quo membuat Para Pemohon merasa data pribadi miliknya tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh organisasi pengendali data dan prosesor data yang melakukan aktivitas pemrosesan data pribadi berisiko tinggi, high risk data processing activity. Namun tidak diawasi secara lebih dalam terhadap kepatuhan terhadap UU PDP. Terhadap dalil Para Pemohon tersebut, DPR RI menerangkan sebagai berikut: a. Bahwa memperhatikan ketentuan Pasal 5 sampai dengan Pasal 14 UU a quo, pengaturan terhadap hak subjek data atas data pribadinya telah diupayakan dapat memberikan pelindungan terhadap hak subjek data pribadi dalam kegiatan pengelolaan data pribadi. Dengan demikian, pengelolaan data pribadi untuk tujuan apapun selain yang dikecualikan dalam ketentuan Pasal 2 ayat (2) dan Pasal 15 UU PDP membutuhkan kesadaran kepentingan pribadi subjek data pribadi atas pelindungannya dan pemenuhan hak-haknya atas data pribadinya. b. Dalam rangka pelindungan data pribadi berdasarkan Pasal 34 a quo, selain kesadaran subjek data pribadi atas keamanan dan data pribadinya, pengendali data pribadi juga diwajibkan untuk melakukan penilaian dampak pelindungan data pribadi dalam pemrosesan data pribadi yang memiliki risiko tinggi terhadap subjek data pribadi. Penilaian potensi dampak yang timbul terhadap subjek data pribadi atas pengelolaan data pribadi yang dilakukan oleh pengendali data pribadi merupakan upaya untuk pemenuhan tanggung jawab pengendali data pribadi terhadap data pribadi yang dipercayakan kepadanya untuk dikelola guna kepentingan subjek data pribadi. Dan sebagai proses evaluasi risiko dan potensi bahaya yang timbul dari pemrosesan data, serta upaya mitigasi untuk meminimalkan risiko tersebut, termasuk hak subjek data pribadi dan kepatuhan terhadap UU a quo. Penjelasan Pasal 34 ayat (1) UU PDP. c. Bahwa untuk itu, pengendali data pribadi wajib menyusun dan menerapkan langkah teknis operasional untuk melindungi data pribadi dari gangguan pemrosesan data pribadi yang bertentangan dengan peraturan perundang-undangan dan menentukan tingkat keamanan data pribadi dengan memperhatikan sifat dan risiko dari data pribadi yang harus dilindungi dalam pemrosesan data pribadi, serta wajib melindungi data pribadi dari pemrosesan yang tidak sah dan diakses secara tidak sah. Selain itu, pengendali data pribadi juga wajib melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi dan menjaga kerahasiaan data pribadi. 120 d. Bahwa UU PDP mewajibkan pengendali untuk memproses data pribadi secara terbatas dan spesifik, sah secara hukum, serta transparan. Salah satu bentuk pemenuhan kewajiban tersebut adalah memastikan pengendali menggunakan dasar pemrosesan yang sesuai dan sah. Dalam pemrosesan data pribadi, pengendali hanya dapat memproses data pribadi sesuai tujuan pemrosesan data pribadi dan harus memastikan akurasi kelengkapan dan konsistensi data pribadi sesuai ketentuan yang berlaku. Selain itu, UU PDP mengatur dalam kondisi tertentu pemrosesan data pribadi wajib diikuti oleh tindakan lain oleh pengendali data pribadi. e. Bahwa pelanggaran terhadap ketentuan pelindungan data pribadi dapat dikenai sanksi administratif, pidana, hingga gugatan oleh pihak terkait jika menimbulkan kerugian. Oleh karena itu, upaya untuk mewujudkan kepatuhan pengelola data pribadi terhadap regulasi dan peraturan terkait data pribadi menjadi sangat penting. … f. … g. … h. Bahwa adanya kata dan dalam pasal a quo sudah dapat dipastikan tidak menjadikan data pribadi milik Para Pemohon tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh organisasi pengendali data dan prosesor data yang melakukan aktivitas pemrosesan data pribadi beresiko tinggi.…” [Lihat keterangan Pihak DPR RI, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 7-8]. 18. Adapun keterangan dari pihak Presiden terkait kedudukan hukum (legal standing) Para Pemohon, dalam keterangannya menyatakan bahwa: “Pemerintah berpendapat, Para Pemohon tidak memenuhi syarat kerugian konstitusional dengan penjelasan pada intinya sebagai berikut: 1. Dalil kerugian Para Pemohon bukanlah potensi, apalagi aktual, melainkan asumsi Para Pemohon semata. 2. … Ketentuan Pasal 53 ayat (1) UU PDP mengenai penunjukkan PPDP atau dalam praktiknya dikenal dengan Data Protection Officer (DPO) adalah ketentuan bagi pengendali data pribadi dan prosesor data pribadi. Yang mana fungsi PPDP/DPO sebagaimana penjelasan Pasal 53 ayat (1) UU PDP adalah untuk memastikan kepatuhan pengendali data pribadi dan prosesor data pribadi atas prinsip pelindungan data pribadi dan mitigasi risiko pelanggaran pelindungan data pribadi adanya kata “dan atau … dan/atau” sekalipun dalam Pasal 53 ayat (1) UU PDP tidak berdampak pada pelindungan data pribadi bagi para Pemohon yang telah dengan tegas diatur secara holistik dalam UU PDP melalui pasal-pasal yang lain.” [Lihat keterangan Pihak Presiden, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 13]. 19. Bahwa terhadap keterangan dari pihak DPR RI dan pihak Presiden tersebut, dapat disimpulkan bahwa pada pokoknya menurut pihak DPR RI dan pihak 121 Presiden, dengan adanya kata “dan’ dalam Pasal a quo tidak berdampak pada pelindungan data pribadi dan dipastikan tetap akan melindungi dengan baik Data Pribadi milik Para Pemohon yang diproses oleh organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang melakukan aktivitas pemrosesan data pribadi berisiko tinggi. Sebab, Pelindungan Data Pribadi milik Subjek Data termasuk Para Pemohon telah diatur secara holistik dalam UU PDP, yaitu: a. Ketentuan mengenai Hak Subjek Data Pribadi dalam Pasal 5 hingga Pasal 14 UU PDP; b. Ketentuan Kewajiban Pengendali Data Pribadi untuk melakukan Penilaian Dampak Pelindungan Data Pribadi dalam Pasal 34 ayat (1) UU PDP; c. Ketentuan kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi untuk melindungi data pribadi dari pemrosesan yang tidak sah dan diakses secara tidak sah; d. Ketentuan kewajiban Pengendali Data Pribadi untuk melakukan perekaman terhadap seluruh kegiatan pemrosesan data pribadi dan menjaga kerahasiaan data pribadi; e. Ketentuan kewajiban Pengendali Data Pribadi untuk memproses data pribadi secara terbatas dan spesifik, sah secara hukum, serta transparan; dan f. Ketentuan sanksi administratif, pidana, hingga gugatan oleh pihak terkait jika timbul kerugian. 20. Terkait argumentasi dari pihak DPR RI dan pihak Presiden tersebut Para Pemohon menilai bahwa pihak DPR RI maupun pihak Presiden sama-sama menyepakati bahwa PPDP memiliki peran yang esensial dalam menjamin pelindungan data pribadi yaitu memastikan kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi terhadap kewajibannya dan prinsip pelindungan data pribadi, serta mitigasi risiko pelanggaran pelindungan data pribadi. 21. Namun Para Pemohon mencermati adanya kontradiksi argumentasi (contradictio in terminis) yang nyata dalam keterangan pihak DPR RI dan pihak Presiden. Dimana kedua pihak tersebut mengakui bahwa pelindungan data pribadi dari Subjek Data Pribadi dapat terjamin oleh pengaturan yang 122 sifatnya holistik dalam UU PDP terutama lewat pengaturan Hak Subjek Data Pribadi, kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi, serta ketentuan sanksi, namun tetap mengindahkan kata “dan” dalam rumusan Pasal 53 ayat (1) UU PDP yang secara logis menghilangkan eksistensi PPDP dalam mengawasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang melakukan aktivitas pemrosesan data pribadi dengan tingkat risiko tinggi (dengan memenuhi kriteria dalam butir a, b, dan/atau c Pasal 53 ayat (1) UU PDP). 22. Sebagaimana yang telah dijelaskan oleh Para Pemohon dalam permohonan a quo bahwa kehadiran 5 (lima) pihak utama dalam UU PDP yaitu Subjek Data Pribadi, Pengendali Data Pribadi, Prosesor Data Pribadi, Lembaga PDP, dan PPDP, masing-masing memegang peranan penting dan saling berhubungan untuk tercapainya tujuan utama dari UU PDP yaitu melindungi hak konstitusional dari Subjek Data Pribadi dalam aktivitas pemrosesan data pribadi. 23. Pengaturan mengenai kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi, prinsip pelindungan data pribadi, dan jaminan hak Subjek Data dalam UU PDP merupakan hukum normatif yang sifatnya indeterministik yang artinya bukan merupakan sesuatu hal yang sudah pasti akan terjadi. Disanalah peran PPDP menjadi penting untuk mengusahakan agar kewajiban dan prinsip pelindungan data pribadi dipatuhi sebagaimana mestinya terutama dalam hal melakukan aktivitas pemrosesan data pribadi dengan tingkat risiko tinggi (dengan memenuhi kriteria dalam butir a, b, dan/atau c Pasal 53 ayat (1) UU PDP). 24. Kemudian, terkait argumentasi bahwa telah terdapat pengaturan mengenai sanksi administratif guna menjamin kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi terhadap kewajibannya dan prinsip pelindungan data pribadi. Harus dipahami bahwa sanksi merupakan instrumen yang sifatnya represif untuk menjamin kepatuhan, sedangkan kehadiran PPDP yang tugasnya memastikan kepatuhan daripada Pengendali Data Pribadi dan Prosesor Data Pribadi memberikan pelindungan yang sifatnya preventif untuk mencegah terjadinya pelanggaran pelindungan data pribadi. 123 V. PENGGUNAAN KATA “DAN” DALAM RINCIAN UNSUR PASAL UNTUK MENUNJUKAN SIFAT KUMULATIF 25. Lebih lanjut, dalam keterangan dari pihak DPR RI menyatakan bahwa: “Bentuk pengaturan yang ada dalam pasal a quo UU PDP dirumuskan dengan bentuk tabulasi yang dimaksudkan sebagai suatu rincian yang bertujuan untuk memudahkan masyarakat dalam membaca ketentuan tersebut. Bukan untuk ditafsirkan sebagai perihal yang harus dilaksanakan secara kumulatif. Bentuk rumusan seperti ini telah mengikuti kaidah teknik penyusunan undang-undang, sebagaimana yang diatur dalam ketentuan angka 85 Lampiran Ke- II Undang-Undang Pembentukan PUU yang menyatakan bahwa jika satu pasal atau ayat memuat rincian unsur, selain dirumuskan dalam bentuk kalimat dengan rincian, juga dapat dirumuskan dalam bentuk tabulasi.” [Lihat keterangan Pihak DPR RI, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 8] 26. Sama halnya dengan DPR RI, pihak Pemerintah dalam keterangannya menyatakan bahwa: “Berdasarkan Lampiran 2 Teknik Penyusunan Peraturan Perundang- Undangan pada angka 85 Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan sebagaimana telah diubah terakhir oleh Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Kedua atas Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan, rincian dalam bentuk tabulasi dalam Pasal 53 ayat (1) UU PDP dimaksudkan untuk menunjukkan rincian unsur yang terkena kewajiban menunjuk PPDP atau DPO. Rincian unsur tersebut tidak dimaksudkan sebagai kumulatif sebagaimana dimaksud dalam angka 88 Lampiran 2 UU P3.” [Lihat keterangan Pihak Presiden, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 17]. 27. Dengan demikian, dapat dipahami bahwa berdasarkan keterangan baik dari pihak Pemerintah maupun pihak DPR RI, maka dapat dipahami bahwa perumusan ketentuan Pasal 53 ayat (1) UU PDP merupakan bentuk rumusan yang mengikuti atau mengindahkan angka 85 dalam Lampiran 2 Teknik Penyusunan Peraturan Perundang-Undangan dalam Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang- Undangan sebagaimana telah diubah terakhir oleh Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Kedua atas Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-Undangan (UU P3). 28. Terhadap argumentasi dari pihak DPR RI maupun pihak Pemerintah tersebut, Para Pemohon berargumentasi bahwa pihak DPR RI dan 124 Pemerintah telah keliru dalam memaknai rumusan Angka 85 BAB I Huruf C dalam Lampiran II Teknik Penyusunan Peraturan Perundang-undangan UU P3 (Lampiran II UU P3). Berikut Para Pemohon kutip ketentuan dalam Angka 85 Lampiran II UU P3: “Jika satu pasal atau ayat memuat rincian unsur, selain dirumuskan dalam bentuk kalimat dengan rincian, juga dapat dirumuskan dalam bentuk tabulasi. Contoh: Pasal 28 Bahasa Indonesia wajib digunakan dalam pidato resmi Presiden, Wakil Presiden, dan pejabat negara yang lain yang disampaikan di dalam atau di luar negeri. Isi pasal tersebut dapat lebih mudah dipahami jika dirumuskan sebagai berikut: Contoh rumusan tabulasi: Pasal 28 Bahasa Indonesia wajib digunakan dalam pidato resmi: a. Presiden; b. Wakil Presiden; dan c. pejabat negara yang lain, yang disampaikan di dalam atau di luar negeri.” 29. Dapat dilihat bahwa rumusan Angka 85 Lampiran II UU P3 mengatur bahwa dalam merumuskan rincian unsur terdapat 2 (dua) opsi perumusan yaitu dalam bentuk kalimat dengan rincian atau juga dapat dirumuskan dalam bentuk tabulasi agar lebih mudah dipahami. Sehingga, Angka 85 Lampiran II UU P3 tidak berbicara mengenai sifat suatu rincian unsur yang bersifat kumulatif atau alternatif, melainkan berbicara mengenai opsi yang dapat digunakan dalam merumuskan rincian unsur. 30. Perumusan sifat rincian unsur berdasarkan Angka 85 Lampiran II UU P3 harus dibaca satu nafas dengan ketentuan dalam Angka 88 hingga Angka 90 Lampiran II UU P3 untuk menentukan apakah sifat rincian unsur tersebut bersifat kumulatif, alternatif, atau kumulatif dan alternatif. 31. Dalam konteks perkara a quo, rincian unsur dalam Pasal 53 ayat (1) UU PDP dirumuskan menggunakan kata “dan” pada akhir butir kalimat “b”, yang 125 artinya mengikuti kaidah dalam Angka 88 Lampiran II UU P3, yang lengkapnya berbunyi: “Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakkan di belakang rincian kedua dari rincian terakhir” 32. Sehingga, rincian unsur dalam Pasal 53 ayat (1) UU PDP, dimaksudkan sebagai rincian dalam bentuk tabulasi yang bersifat kumulatif. Selain itu, penggunaan kata ‘dan’ sebagai rincian yang bersifat kumulatif telah dipertegas juga dalam Angka 262 Bab III tentang Ragam Bahasa Peraturan Perundang-undangan Lampiran II UU P3, yang secara tegas menyatakan bahwa: “Untuk menyatakan sifat kumulatif, gunakan kata dan” 33. Dengan demikian, mengingat bahwa dalam pembentukan suatu rumusan ketentuan peraturan perundang-undangan harus mengikuti ketentuan perumusan norma yang telah dituangkan dalam Lampiran II UU P3 sebagai pedoman dan acuan dalam pembentukan suatu rumusan pasal peraturan perundang-undangan, maka ketika DPR RI dan Presiden merumuskan Pasal 53 ayat (1) UU PDP, yang dalam tabulasinya menggunakan kata “dan” pada akhir kalimat rincian kedua dari rincian terakhir, harus diartikan dan dimaknai sebagai rincian unsur yang bersifat kumulatif. 34. Sehingga, dapat diargumentasikan bahwa pihak DPR RI dan pihak Pemerintah, ketika membentuk rincian tabulasi dalam ketentuan Pasal 53 ayat (1) UU PDP, telah: a. mengikuti kaidah perumusan norma pada Angka 85 Lampiran II UU P3 untuk menentukan bentuk rincian unsur yaitu berbentuk tabulasi; dan b. mengikuti kaidah perumusan norma pada Angka 88 Lampiran II UU P3 untuk menentukan sifat rincian unsur yaitu bersifat kumulatif. Oleh karenanya, sebagai rincian unsur yang bersifat kumulatif, maka pemaknaan yang tepat terkait Pasal 53 ayat (1) UU PDP adalah kewajiban untuk menunjuk PPDP baru timbul apabila ketiga kriteria persyaratan (dalam butir a, b, dan c) dipenuhi secara bersama-sama sekaligus. 35. Kemudian, mengingat bahwa dalam keterangan dari pihak DPR RI, yang menyatakan bahwa: 126 “Bahwa Indonesia tidak harus menuliskan norma pelindungan data pribadinya sama persis dengan penulisan ketentuan yang ada dalam GDPR tersebut. Karena, keduanya merujuk pada kaidah penulisan peraturan perundang-undangan yang berbeda. Apabila diperhatikan dengan seksama, meskipun dituliskan berbeda dalam versi UU PDP, maksud dari pengaturan yang ada dalam Pasal 37 angka 1 GDPR dan Pasal 53 ayat (1) UU PDP tidak memiliki perbedaan. [Lihat keterangan Pihak DPR RI, Risalah Perkara Nomor 151/PUU-XXII/2024 tanggal 7 Mei 2025, hal. 10]. Selanjutnya pihak DPR RI dalam keterangannya, menyatakan bahwa: “Bahwa sebagaimana telah disampaikan DPR RI, meskipun penyusunan UU PDP ini menjadikan GDPR sebagai salah satu rujukannya, tidak berarti penulisan norma terkait data pribadi dalam UU PDP harus sama persis seperti penulisan norma dalam GDPR. Karena disesuaikan dengan kondisi dan regulasi yang ada terkait dengan pembentukan peraturan perundang-undangan Indonesia. Demikian pula dengan pengaturan terkait pelindungan data pribadi negara lain, yang juga menjadi rujukan pengaturan pelindungan data pribadi dalam UU PDP. Apabila diadopsi harus tetap memperhatikan ketentuan pembentukan peraturan perundang-undangan yang berlaku. Sebagaimana telah disampaikan sebelumnya, perumusan sebagaimana dalam Pasal 53 ayat (1) UU PDP meski dimaksudkan bukan dalam bentuk kumulatif telah berkesesuaian dengan UU Pembentukan PUU, in casu angka 85 Lampiran II UU Pembentukan PUU.” 36. Terhadap keterangan tersebut, maka apabila pihak DPR RI dan pihak Pemerintah benar-benar bermaksud agar ketentuan Pasal 53 ayat (1) UU PDP bersifat alternatif yang berarti setiap rincian syarat bersifat sendiri- sendiri yang sama dengan pemaknaan dalam Pasal 37 angka 1 GDPR, sebagaimana yang disampaikan dalam keterangannya, dan apabila pihak DPR RI dan pihak Pemerintah benar-benar memperhatikan dan taat pada ketentuan pembentukan peraturan perundang-undangan yang berlaku, yakni UU P3, maka penggunaan kaidah perumusan norma yang seharusnya digunakan oleh pihak DPR RI dan pihak Pemerintah dalam merumuskan Pasal 53 ayat (1) UU PDP, adalah mengikuti kaidah dalam angka 89 Lampiran II UU P3, yang menyatakan secara tegas bahwa: “Jika rincian dalam tabulasi dimaksudkan sebagai rincian alternatif ditambahkan kata atau yang di letakkan di belakang rincian kedua dari rincian terakhir”. 37. Namun, sebagaimana yang kami telah paparkan dalam permohonan kami, bahwa selain terdapat Pengendali Data Pribadi dan Prosesor Data Pribadi yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari syarat dalam 127 ketentuan Pasal 53 ayat (1) UU PDP, terdapat pula kemungkinan adanya Pengendali Data Pribadi dan Prosesor Data Pribadi yang memenuhi ketiga syarat secara bersama-sama. Oleh karena itu, sifat rincian syarat atau prakondisi dalam Pasal 53 ayat (1) UU PDP, akan menjadi tepat apabila dirumuskan dengan sifat kumulatif dan alternatif sebagaimana yang kami cantumkan dalam petitum permohonan a quo. Dengan demikian perumusan norma yang tepat dalam membentuk ketentuan Pasal 53 ayat (1) UU PDP adalah mengikuti kaidah perumusan pasal yang tercantum dalam Angka 90 Lampiran II UU P3, yang secara tegas menyatakan bahwa: “Jika rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif dan alternatif, ditambahkan kata dan/atau yang diletakkan di belakang rincian kedua dari rincian terakhir.” 38. Sehingga, dapat dipahami bahwa sesungguhnya pihak DPR RI dan pihak Presiden memiliki pemahaman yang sama bahwa seharusnya ketentuan kriteria persyaratan/prakondisi dalam Pasal 53 ayat (1) UU PDP berlaku alternatif atau kumulatif alternatif. Namun dengan perumusan norma Pasal a quo yang menggunakan kata “dan” membuat Para Pemohon melakukan pengujian terhadap rumusan Pasal a quo, sebab pemohon merujuk pada Lampiran II UU P3 yang dalam memaknai kata “dan” dalam rumusan kriteria persyaratan/prakondisi dalam Pasal 53 ayat (1) UU PDP sebagai rumusan yang bersifat kumulatif. VI. PENGGUNAAN KATA “DAN” DALAM RINCIAN UNSUR PASAL 53 AYAT (1) UU PDP MEMPERSEMPIT CAKUPAN PENGENDALI DATA PRIBADI DAN PROSESOR DATA PRIBADI YANG WAJIB MELAKUKAN PENUNJUKAN PPDP. 39. Para Pemohon menyayangkan disaat keterangan dari pihak DPR RI menyatakan bahwa perumusan menggunakan kata “dan” pada akhir butir kalimat “b” Pasal 53 ayat (1) UU PDP dimaksudkan untuk memudahkan pembaca. Maksud memudahkan tersebut justru telah menghilangkan esensi pelindungan yang terkandung dalam Pasal 53 ayat (1) UU PDP itu sendiri. 40. Kemudian, DPR RI dalam keterangannya juga menyatakan bahwa penggunaan kata “dan” dalam rumusan Pasal 53 ayat (1) UU PDP tidak 128 mengurangi pengawasan Pengendali Data Pribadi dan Prosesor Data Pribadi terhadap UU PDP: “Selain itu, adanya kata dan tersebut tidak menjadikan pengawasan pengelola data pribadi terhadap UU PDP dapat berkurang.” [Lihat keterangan Pihak DPR RI poin 2, Risalah Perkara Nomor 151/PUU- XXII/2024 tanggal 7 Mei 2025, hal. 8]. 41. Sebagaimana yang telah Para Pemohon jelaskan dalam permohonan a quo, bahwa dalam membaca Pasal 53 ayat (1) UU PDP sebagai suatu kaidah kewajiban harus juga memperhatikan ketentuan Pasal 57 UU PDP sebagai kaidah sanksi guna memastikan agar kewajiban tersebut ditaati. 42. Dengan menggunakan kata “dan” dalam merumuskan sifat kriteria syarat/prakondisi dalam Pasal 53 ayat (1) UU PDP membuat pasal tersebut berlaku secara kumulatif dalam penegakan sanksinya di kemudian hari. Hal tersebut yang Para Pemohon nilai sebagai potensi yang dapat dipastikan akan merugikan hak konstitusional Para Pemohon untuk mendapatkan pelindungan terhadap Data Pribadi miliknya. 43. Sebagaimana yang telah dijelaskan dalam permohonan a quo, bahwa rumusan Pasal 53 ayat (1) UU PDP dengan menggunakan kata “dan” yang memiliki sifat kumulatif telah mempersempit cakupan dari organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang diwajibkan untuk melakukan penunjukan PPDP. Dalam hal ini, organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat/prakondisi dalam Pasal 53 ayat (1) UU PDP menjadi tidak diwajibkan untuk menunjuk PPDP. 44. Kemudian, dengan menjadi tidak diwajibkan, maka ketentuan sanksi dalam Pasal 57 UU PDP juga menjadi tidak dapat diberlakukan kepada organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat/prakondisi dalam Pasal 53 ayat (1) UU PDP. 45. Padahal, masing-masing kriteria dalam butir a, b, dan/atau c pada Pasal 53 ayat (1) UU PDP merupakan kriteria aktivitas pemrosesan Data Pribadi yang dikategorikan sebagai pemrosesan Data Pribadi yang memiliki potensi risiko tinggi terhadap Subjek Data Pribadi (high-risk data processing activities) yang seyogyanya memperoleh pengawasan yang lebih dalam hal kepatuhan 129 terhadap UU PDP dan peraturan lain yang berkaitan dengan pelindungan data pribadi dalam pelaksanaan pemrosesan data pribadi yang berisiko tinggi tersebut, lewat kehadiran peran PPDP di dalam organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi. 46. Maka, di kemudian hari, Data Pribadi Para Pemohon dapat diproses oleh Pengendali Data Pribadi dan Prosesor Data Pribadi yang hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat dalam Pasal 53 ayat (1) UU PDP namun tidak mendapatkan pengawasan yang sifatnya lebih karena tidak melakukan penunjukan PPDP sebab tidak diwajibkan serta tidak terikat dengan ketentuan sanksi dalam Pasal 57 UU PDP yang seharusnya mendorong mereka untuk melakukan penunjukan PPDP. 47. Hal tersebut akan memperbesar kemungkinan untuk terjadi kegagalan pelindungan data pribadi. Sehingga, berdasarkan penalaran yang wajar dapat dipastikan akan menimbulkan kerugian konstitusional bagi Para Pemohon sebagai Subjek Data Pribadi untuk mendapatkan pelindungan terhadap diri pribadi sebagaimana hak konstitusional Para Pemohon yang dijamin dalam Pasal 28G ayat (1) UUD NRI 1945. 48. Dengan demikian, guna menjamin kepastian dalam implementasi ketentuan Pasal 53 ayat (1) UU PDP yang akan berujung pada terjaminnya perlindungan Hak Konstitusional para Pemohon maupun seluruh warga negara Indonesia, maka sudah sepatutnya ketentuan Pasal a quo, dirumuskan secara kumulatif dan alternatif, yang dalam merumuskan normanya mengikuti kaidah perumusan norma yang mengacu pada Angka 90 Lampiran II UU P3, dengan menggunakan kata ‘dan/atau’ pada akhir rincian kedua dari rincian terakhir, sebagaimana yang merupakan petitum dalam permohonan a quo. VII. KETIDAKPASTIAN PELINDUNGAN DATA PRIBADI DALAM PENEGAKAN SANKSI TERHADAP KEWAJIBAN PENUNJUKAN PPDP 49. Sebagaimana yang telah dijelaskan dalam Pasal 57 ayat (4) UU PDP, dijelaskan bahwa kewenangan untuk menjatuhkan sanksi diberikan oleh Lembaga PDP, maka dalam implementasinya untuk menilai apakah Pengendali Data Pribadi atau Prosesor Data Pribadi melanggar ketentuan 130 mengenai kewajiban untuk melakukan penunjukan PPDP dalam Pasal 53 ayat (1) UU PDP, Lembaga PDP akan menilai apakah Pengendali Data Pribadi dan Prosesor Data Pribadi memenuhi atau tidak memenuhi kriteria syarat/prakondisi dalam Pasal 53 ayat (1) UU PDP. Oleh karena itu, pemaknaan terhadap sifat kriteria syarat/prakondisi dalam Pasal 53 ayat (1) UU PDP (baik alternatif, kumulatif, ataupun kumulatif dan alternatif) menjadi penting, guna menjadi tolak ukur yang pasti bagi Lembaga PDP saat menilai terpenuhi atau tidak terpenuhinya rincian syarat dalam ketentuan Pasal 53 ayat (1) UU PDP. 50. Apabila berdasarkan keterangan pihak DPR RI maupun pihak Presiden yang sama-sama menghendaki sifat alternatif dalam Pasal 53 ayat (1) UU PDP, namun dalam perumusan normanya menggunakan kata “dan” yang apabila dimaknai sesuai dengan acuan atau pedoman perumusan norma Lampiran II UU P3, memiliki sifat kumulatif. Maka, hal ini berpotensi menimbulkan ketidakpastian dalam pemaknaan Pasal a quo oleh Lembaga PDP saat hendak menjatuhkan sanksi terhadap Organisasi Pengendali Data Pribadi dan Prosesor Data Pribadi yang melakukan aktivitas pemrosesan data dengan tingkat risiko tinggi. 51. Sehingga, berdasarkan penalaran yang wajar, potensi ketidakpastian dalam penegakan sanksi terhadap kewajiban dalam Pasal 53 ayat (1) UU PDP tersebut dapat berimplikasi pada menurunnya pelindungan terhadap data pribadi milik Para Pemohon sebagai Subjek Data Pribadi yang Data Pribadinya diproses oleh Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang melakukan aktivitas pemrosesan data pribadi dengan tingkat risiko tinggi. Potensi tersebut secara nyata menimbulkan kerugian konstitusional terhadap Hak atas pelindungan data pribadi, yang dimiliki tidak hanya oleh Para Pemohon, melainkan keseluruhan warga negara Indonesia, sebagaimana dijamin oleh Pasal 28G ayat (1) UUD NRI Tahun 1945. VIII. PENUTUP Berdasarkan hal-hal yang telah diuraikan di atas, PARA PEMOHON menyatakan tetap pada pendiriannya dan memohon kiranya Majelis Hakim Mahkamah 131 Konstitusi yang terhormat agar kiranya dapat memutus perkara a quo dengan amar sebagai berikut: 1. Menerima dan mengabulkan seluruh permohonan pengujian ini; 2. Menyatakan Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) yang menyatakan “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana” bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat, sepanjang tidak dimaknai “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana”. 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Atau apabila Majelis Hakim Mahkamah Konstitusi RI berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono). 132 KESIMPULAN PRESIDEN I. TENTANG KEDUDUKAN HUKUM (LEGAL STANDING) PARA PEMOHON Bahwa Pemerintah tetap pada pendiriannya menyatakan Para Pemohon tidak memiliki kedudukan hukum (legal standing). Para Pemohon tidak memiliki kerugian konstitusional akibat keberlakuan norma a quo yang dimohonkan dimaksud, dengan penjelasan yang pada intinya sebagai berikut: 1. Dalam permohonan para Pemohon halaman 9, para Pemohon menggunakan kata “merasa dirugikan” sehingga menunjukkan ketidakyakinan akan kerugian konstitusional yang dialaminya. Oleh karena itu, dalil kerugian para Pemohon bukanlah potensi apalagi aktual melainkan asumsi para Pemohon semata. 2. Kerugian yang didalilkan para Pemohon dengan keberlakuan Pasal 53 ayat (1) UU PDP tidak memiliki korelasi langsung atau causal verband dengan tidak terlindunginya data pribadi Para Pemohon. Ketentuan Pasal 53 ayat (1) UU PDP mengenai penunjukkan Petugas Pelindungan Data Pribadi/PPDP atau dalam prakteknya dikenal dengan Data Protection Officer/DPO, adalah ketentuan bagi Pengendali Data Pribadi dan Prosesor Data Pribadi yang mana fungsi PPDP/DPO sebagaimana Penjelasan Pasal 53 ayat (1) UU PDP adalah untuk memastikan kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggaran Pelindungan Data Pribadi. Adanya kata “dan” atau “dan/atau” sekalipun dalam Pasal 53 ayat (1) UU PDP tidak berdampak pada pelindungan data pribadi bagi para Pemohon yang telah dengan tegas diatur secara holistik dalam UU PDP melalui pasal-pasal yang lain. 3. Secara keseluruhan permohonannya para Pemohon tidak dapat menguraikan dan membuktikan bentuk kerugian yang diderita baik secara langsung maupun tidak langsung, bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi sebagai akibat berlakunya Pasal 53 ayat (1) UU PDP, sehingga tidak diketahui hak dan kepentingan hukum Para Pemohon yang mana yang telah dirugikan dengan berlakunya ketentuan Pasal 53 ayat (1) UU PDP. 133 Berdasarkan hal tersebut di atas, Pemerintah berpendapat Para Pemohon tidak memenuhi kualifikasi sebagai pihak yang memiliki kedudukan hukum (legal standing) sebagaimana ditentukan dalam Pasal 51 ayat (1) UU MK, maupun berdasarkan putusan-putusan Mahkamah Konstitusi terdahulu (vide Putusan Mahkamah Konstitusi Nomor: 006/PUU-III/2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007). Oleh karena itu, menurut Pemerintah adalah tepat dan sangat beralasan hukum dan sudah sepatutnya jika Yang Mulia Ketua dan Majelis Hakim Konstitusi secara bijaksana menyatakan permohonan Para Pemohon tidak dapat diterima (niet ontvankelijk verklaard). II. KETERANGAN PEMERINTAH Bahwa seluruh permohonan dari Para Pemohon telah Pemerintah tanggapi melalui Keterangan Presiden baik secara tertulis pada Senin tanggal 5 Mei 2025 serta yang dibacakan di hadapan Yang Mulia Majelis Hakim Konstitusi pada Rabu tanggal 7 Mei 2025, yang pada intinya sebagai berikut: 1. Mahkamah Konstitusi adalah the guardian of the constitution yang memiliki kewenangan untuk menafsirkan konstitusionalitas suatu undang-undang dalam rangka membangun jembatan konstitusional antara undang-undang dengan Konstitusi. 2. Wacana penyusunan tentang pengaturan mengenai Pelindungan Data Pribadi (PDP) dalam bentuk Undang-undang dan inventarisasi Peraturan Perundang-undang terkait Pelindungan Data Pribadi yang masih diatur secara sektoral telah dimulai sejak tahun 2012. Proses penyusunan UU PDP telah memenuhi berbagai tahapan yang diatur dalam peraturan perundang- undangan, termasuk penyusunan Naskah Akademik sejak tahun 2017 dan telah melalui konsultasi publik. Undang-undang ini telah dibahas Pemerintah bersama Dewan Perwakilan Rakyat mulai tahun 2020 hingga tahun 2022. Meskipun telah melalui proses yang panjang, tidak ada undang-undang yang sempurna. 3. Pemerintah telah menjelaskan Landasan Filosofis/Latar Belakang UU PDP yang pada intinya UU PDP hadir untuk memperkuat pelindungan terhadap Hak Asasi Manusia di Indonesia. Pelindungan Data Pribadi merupakan 134 bagian dari hak konstitusional yang lahir dari Pasal 28G ayat (1) UUD NRI 1945. (vide Bukti PK-1) 4. Ketentuan hukum pelindungan data pribadi di Indonesia sebelumnya bersifat parsial dan sektoral, sehingga menimbulkan tumpang tindih aturan serta ketidakjelasan prinsip, dasar hukum, dan hak subjek data. Regulasi sektoral yang ada juga belum mengatur secara tegas sanksi atau penegakan hukum yang efektif terhadap pelanggaran data pribadi. Karena itu, pemerintah menilai perlunya sistem hukum yang komprehensif melalui UU PDP untuk menyatukan prinsip, dasar hukum, dan kewajiban semua pihak terkait pelindungan data pribadi. 5. Menerangkan dalam tanggapan atas pokok permohonan bahwa UU PDP secara holistik mengatur ketentuan pelindungan data pribadi, mulai dari definisi, asas, jenis, pemrosesan, termasuk prinsip, pihak-pihak yang terlibat dalam pelindungan data pribadi, transfer data pribadi, sanksi administratif, kelembagaan, kerjasama internasional, partisipasi masyarakat, penyelesaian sengketa dan hukum acara, sampai dengan larangan perbuatan dan ketentuan pidananya, ketentuan peralihan, dan ketentuan penutup. 6. Permasalahan yang diajukan Para Pemohon adalah permasalahan tafsir terhadap teks. Para Pemohon menilai bahwa Pasal 53 ayat (1) UU PDP mengatur persyaratan kumulatif hanya karena terdapat kata “dan”. Kesimpulan ini adalah kesimpulan keliru dan tidak berdasar serta oversimplified terhadap kompleksitas dalam menafsirkan teks. Argumen yang dibangun Para Pemohon tidak didasarkan pada konsep yang solid. 7. Sebagai dasar argumen, Para Pemohon menggunakan Butir 88 Bab I Kerangka Peraturan Perundang-undangan Huruf C tentang Batang Tubuh dalam Lampiran II UU 12/2011 tentang Pembentukan Peraturan Perundang- undangan yang menyatakan: “Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakkan di belakang rincian kedua dari rincian terakhir.” 8. Berdasarkan ketentuan UU tentang Pembentukan Peraturan Perundang- undangan tersebut, Para Pemohon menyimpulkan bahwa, 135 “Hal ini berarti kriteria penunjukkan PPDP yang dirumuskan dengan penggunaan kata "dan" merupakan kriteria yang bersifat kumulatif.” Kesimpulan para Pemohon tersebut di atas tidak didasarkan pada pemahaman terhadap teks secara utuh. 9. Butir 88 ketentuan a quo menegaskan adanya suatu kondisi yang harus dipenuhi untuk perumusan kumulatif, yaitu “jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif.” Kata “dimaksudkan” di sini mengacu pada niat sebenarnya (original intent) dari pembentuk undang- undang. Dengan perkataan lain, jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, kata “dan” tidak mencerminkan bahwa ketentuan a quo adalah kriteria kumulatif. (vide Bukti PK-1) 10. Oleh karena itu, apa yang menjadi titik sentral dari Pasal 53 ayat (1) UU PDP bukanlah “dan” yang mencerminkan kumulatif seperti yang didalilkan Para Pemohon, tetapi niat sebenarnya (original intent) dari pembentuk undang- undang. 11. Pentingnya original intent dari pembentuk undang-undang dalam memahami Pasal 53 ayat (1) UU PDP telah ditegaskan oleh Ahli Pemerintah, Prof. Dr. Wicipto Setiadi, S.H., M.H. melalui keterangan tertulisnya yang disampaikan di Kepaniteraan Mahkamah Konstitusi pada Jumat tanggal 16 Mei 2025. Beliau menegaskan bahwa “struktur tabulatif tidak selalu bersifat kumulatif secara mutlak. Makna kumulatif tersebut sangat tergantung pada maksud substantif norma, konteks sistemik, serta prinsip tujuan pembentukan norma hukum. “Angka 85 Lampiran II UU Pembentukan Peraturan Perundang- undangan menegaskan bahwa penggunaan tabulasi merupakan gaya atau format untuk memudahkan pemahaman pembaca terhadap unsur-unsur norma. Namun, aturan ini tidak menjawab secara langsung apakah unsur tersebut bersifat kumulatif atau alternatif. 12. Terhadap kondisi bahwa aturan dalam Angka 85 Lampiran II UU Pembentukan Peraturan Perundang-undangan tidak menjawab secara langsung apakah unsur tersebut bersifat kumulatif atau alternatif, Ahli Pemerintah menegaskan penentuan tersebut tetap bergantung pada maksud normatif dari pembentuk Undang-undang. 136 13. Menurut Ahli Pemerintah, kata “dan” dapat ditafsirkan sebagai alternatif (yakni bermakna “atau”) dalam tabulasi apabila: a. Konteks sistemik dalam undang-undang menunjukkan bahwa masing- masing huruf berdiri sebagai kondisi independen (misalnya, masing- masing sudah cukup untuk menimbulkan akibat hukum sendiri). b. Terdapat tujuan atau ratio legis yang jelas bahwa tidak dimaksudkan sebagai akumulasi kondisi, melainkan sebagai pilihan kondisi. c. Riwayat pembentukan norma (original intent) secara eksplisit menyatakan bahwa tidak dimaksudkan secara kumulatif, meskipun redaksinya menggunakan “dan”. d. Dikhawatirkan terjadi konsekuensi irasional atau bertentangan dengan asas perlindungan hukum apabila dimaknai kumulatif. 14. Original intent dari Pasal 53 ayat (1) UU PDP adalah mengatur tiga kriteria atau jenis kegiatan yang jika salah satu terpenuhi maka timbul kewajiban bagi Pengendali atau Prosesor Data Pribadi untuk menunjuk PPDP/DPO. Selain itu hal-hal dan kegiatan lain yang berkenaan dengan penunjukan PPDP/DPO akan diatur lebih lanjut dalam peraturan pemerintah. 15. Lebih lanjut, jika ketentuan Pasal 53 ayat (1) UU PDP dimaknai sebagai kumulatif, maka: a. Hanya institusi yang memenuhi ketiga kondisi sekaligus yang diwajibkan menunjuk PPDP/DPO. b. Akan mengakibatkan banyak entitas dengan tingkat risiko tinggi, tetapi hanya memenuhi satu atau dua kondisi, tidak diwajibkan menunjuk PPDP/DPO. c. Hal ini bertentangan dengan prinsip pelindungan data pribadi, serta mengancam efektivitas dan jangkauan pengawasan data pribadi. 16. Oleh karena itu, berdasarkan analisis akademik dan kaidah hukum perundang-undangan, dapat disimpulkan bahwa: a. Norma Pasal 53 ayat (1) UU PDP bukan bersifat kumulatif maupun alternatif, melainkan struktur tabulatif dari kriteria independen yang masing-masing cukup untuk menimbulkan akibat hukum. 137 b. Penafsiran terhadap norma a quo harus menjunjung tinggi asas perlindungan konstitusional, prinsip kehati-hatian, serta efektivitas sistem perlindungan data pribadi. 17. Maka, dalil para Pemohon yang menyatakan bahwa penggunaan kata “dan” membatasi kewajiban penunjukan dianggap keliru dan tidak berdasar hukum, serta dimohon agar permohonan mereka ditolak oleh Mahkamah Konstitusi. 18. Untuk menjamin efektivitas pelindungan data pribadi, UU PDP mengamanatkan pembentukan lembaga khusus yang bertanggung jawab langsung kepada Presiden, diatur melalui peraturan presiden. Lembaga ini memiliki tugas mengawasi kepatuhan pengendali dan prosesor data pribadi, menjatuhkan sanksi administratif, serta merumuskan kebijakan dan strategi pelindungan data pribadi. Saat ini, pembentukan lembaga tersebut masih dalam tahap penyusunan oleh pemerintah. III. TANGGAPAN PEMERINTAH TERHADAP PERTANYAAN YANG MULIA MAJELIS HAKIM KONSTITUSI Persidangan tanggal 7 Mei 2025: Pada persidangan atas permohonan pengujian materiil UU PDP Register 151/PUU-XXII/2024 tanggal 7 Mei 2025, Yang Mulia Hakim Konstitusi Prof Dr. M. Guntur Hamzah, S.H., M.H dan Prof. Dr. Saldi Isra, S.H. M.P.A. telah memberikan pertanyaan dan tanggapannya kepada Pemerintah yang intinya mempertanyakan makna 3 (tiga) variabel yang terdapat dalam pasal a quo merupakan variabel yang dependen ataukah variabel independen. Terhadap pertanyaan tersebut Pemerintah telah menjawab melalui Keterangan Tambahan Presiden tertanggal 16 Mei 2025 yang merupakan satu kesatuan dengan Keterangan Presiden yang disampaikan secara tertulis pada tanggal 5 Mei 2025 dan secara lisan pada tanggal 7 Mei 2025 di Ruang Sidang Pleno Mahkamah Konstitusi serta Daftar Bukti dan Bukti PK-1 sampai dengan Bukti PK-3 pada tanggal 5 Mei 2025, dan Keterangan Tambahan Presiden tersebut sudah diserahkan ke Kepaniteraan MK, yang pada intinya menerangkan bahwa: A. Terhadap pertanyaan Yang Mulia Hakim Konstitusi Prof. Dr. M. Guntur Hamzah, S.H., M.H., Pemerintah memberikan penjelasan sebagai berikut: 138 1. Niat sebenarnya (original intent) dari Pembentuk Undang-Undang dalam merumuskan kewajiban penunjukkan Data Protection Officer pada Pasal 53 ayat (1) UU PDP dapat dilihat dari penggunaan European Union General Data Protection Regulation (EU-GDPR) sebagai acuan utama dalam penyusunan UU PDP. Maksud dan tujuan pengaturan kewajiban pengendali dan prosesor data pribadi untuk menunjuk Data Protection Officer dalam Pasal 53 ayat (1) UU PDP sama dengan ketentuan Article 37 EU-GDPR maupun pedoman teknis penunjukan teknis Penunjukan Data Protection Officer (DPO) yang ditetapkan dalam European Data Protection Board/EDPB Guidelines on Data Protection Officers ('DPOs') (vide Bukti PK-2). 2. Original intent dari Pasal 53 ayat (1) UU PDP juga akan semakin terlihat jelas melalui penafsiran sistematik dan penafsiran teleologis. Penafsiran sistematis dapat dilakukan dengan meneliti secara kritis (scrutinize) hubungan antara tiap-tiap kondisi dalam Pasal 53 ayat (1) UU PDP dan membandingkannya dengan norma lain dalam UU PDP atau dalam undang-undang lain sebagai satu kesatuan legal system. 3. Dalam hal norma Pasal 53 ayat (1) huruf a, huruf b, dan huruf c UU PDP dimaksudkan sebagai variabel, Pemerintah memandang bahwa tiga variabel dalam huruf a, huruf b, dan huruf c merupakan rincian unsur yang bersifat independen. Pemenuhan satu kriteria saja sudah cukup menimbulkan kewajiban menunjuk PPDP/DPO. Dengan perkataan lain, PPDP/DPO tidak harus ada atau tidak harus ditunjuk untuk kegiatan di luar kriteria yang tidak tercantum dalam Pasal 53 ayat (1) UU PDP. 4. Penafsiran sistematik dan teleologis menunjukkan bahwa: a. Jika ditafsirkan kumulatif, maka hanya entitas yang memenuhi ketiga kondisi sekaligus yang diwajibkan menunjuk PPDP/DPO, yang bertentangan dengan prinsip kehati-hatian dan proporsionalitas risiko dalam pelindungan data pribadi. b. Masing-masing huruf adalah kriteria mandiri (independen) yang berdiri sendiri dan cukup untuk menimbulkan akibat hukum. 5. Dari sisi legal drafting, penempatan ketiga unsur tersebut dimuat dalam bentuk tabulasi (structured listing) untuk memudahkan identifikasi 139 kegiatan-kegiatan yang masing-masing secara berdiri sendiri dapat menjadi dasar kewajiban penunjukan PPDP/DPO. Oleh karenanya, masing-masing kegiatan pada huruf a, huruf b, dan huruf c diperlakukan sebagai kriteria mandiri (independen) yang jika terpenuhi oleh Pengendali Data Pribadi atau Prosesor Data Pribadi, sudah cukup untuk menimbulkan kewajiban menunjuk PPDP/DPO. 6. Ketidakmungkinan Pasal 53 ayat (1) huruf a, huruf b, dan huruf c UU PDP dimaknai secara kumulatif didasarkan pada analisis terhadap ordinary meaning dari teks, context, dan substansi dari unsur norma dalam teks. 7. Dari aspek substansi dan context, baik huruf a, huruf b, dan huruf c dapat memiliki irisan yang signifikan satu sama lain. Maka apakah kesimpulan yang dapat ditarik ialah bahwa dengan adanya kata “dan” sebagai kumulatif artinya PPDP/DPO dalam Pasal 53 ayat (1) UU PDP hanya dapat diterapkan terhadap pengendali data pribadi atau prosesor data pribadi Pemerintah? Kesimpulan ini adalah kesimpulan yang keliru karena bertentangan dengan maksud dan tujuan hadirnya lembaga pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi. 8. Dari sisi tujuan, kehadiran lembaga PPDP/DPO adalah untuk memastikan bahwa satu organisasi yang bertindak sebagai pengendali atau prosesor data pribadi mematuhi ketentuan pelindungan data pribadi. 9. Kelembagaan PPDP/DPO beserta fungsi dan tugasnya tidak hanya merupakan kebutuhan Pengendali atau Prosesor data pribadi pemerintah, tetapi juga pengendali atau prosesor data pribadi sektor privat. PPDP/DPO merupakan pejabat atau petugas yang ditunjuk secara khusus oleh organisasi untuk membantu organisasi tetap mematuhi ketentuan pelindungan data pribadi. 10. Pendekatan ini sejalan dengan EDPB Guidelines on Data Protection Officers (DPOs) dalam kerangka GDPR, di mana masing-masing kegiatan atau kriteria yang disebutkan (seperti core activities, large-scale monitoring, special categories of data) berdiri sendiri sebagai dasar kewajiban penunjukan PPDP/DPO (mandatory designation), bukan sebagai kumulasi. (vide Bukti PK-2 dan PK-3) 140 11. Fakta bahwa pengendali data pribadi dari sektor privat yang memenuhi huruf b atau huruf c menunjuk PPDP/DPO dapat ditemui antara lain di sektor perbankan atau e-commerce. 12. Dengan demikian, pengaturan dalam Pasal 53 ayat (1) UU PDP tidak dapat dibaca secara kumulatif hanya karena ada kata “dan” telah konsisten dengan maksud pembentuk undang-undang (original intent), mendapat justifikasi berdasarkan penafsiran sistematis dan teologis, serta sesuai praktik internasional, khususnya GDPR. B. Terhadap pertanyaan Yang Mulia Hakim Konstitusi Prof. Dr. Saldi Isra, S.H. M.P.A, Pemerintah memberikan penjelasan sebagai berikut: 1. Pemerintah perlu menjelaskan bahwa frasa dalam dokumen sebelumnya, yaitu “tidak dimaksudkan sebagai pengaturan yang kumulatif atau alternatif,” mengandung makna bahwa tiga unsur kegiatan dalam Pasal 53 ayat (1) UU PDP bukanlah satu kesatuan yang harus dipenuhi seluruhnya (kumulatif), dan juga tidak ditafsirkan sebagai pilihan bebas di antara beberapa unsur (alternatif). 2. Berdasarkan Lampiran II UU No. 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan, khususnya angka 85, penggunaan kata penghubung “dan” dalam perincian bersifat listik (enumeratif) tidak selalu bermakna kumulatif. Dalam konteks listik/tabulatif, kata “dan” dipakai sebagai alat pemisah antar-unsur agar norma mudah dibaca dan diidentifikasi, tanpa mengubah karakter independensi unsur tersebut. 3. Ketiga unsur tersebut adalah rincian kualifikasi independen yang masing- masing berdiri sendiri, namun dipresentasikan dalam bentuk tabulatif sesuai kaidah teknis penyusunan peraturan perundang-undangan. Artinya, jika salah satu dari huruf a, b, atau c terpenuhi, maka kewajiban untuk menunjuk PPDP sudah melekat. 4. Bahwa pengaturan mengenai pejabat atau petugas khusus dalam suatu organisasi yang bertanggung jawab melaksanakan fungsi pelindungan data pribadi, sebagai bentuk adopsi terhadap konsep Data Protection Officer (DPO) sebagaimana diatur dalam regulasi internasional, khususnya General Data Protection Regulation (GDPR) Uni Eropa. 141 5. Sebagai tindak lanjut atas usulan tersebut, pada tanggal 18 Oktober 2018, telah dirumuskan norma ayat (1) yang menyatakan bahwa: “Dalam hal tertentu, Pengendali Data Pribadi dan/atau Prosesor Data Pribadi wajib menunjuk seorang pejabat atau petugas yang melaksanakan fungsi pelindungan Data Pribadi.” 6. Rumusan ini dimaksudkan untuk memberikan dasar kewajiban hukum bagi organisasi tertentu yang mengelola data pribadi dalam intensitas dan risiko tinggi untuk menunjuk pejabat yang secara khusus menjalankan fungsi pengawasan internal atas kepatuhan terhadap prinsip-prinsip pelindungan data pribadi. 7. Selanjutnya, pada 11 November 2018, Bank Indonesia dalam proses harmonisasi pembahasan RUU memberikan masukan dalam agar istilah “dalam hal tertentu” dalam ayat (1) tersebut dijelaskan lebih lanjut untuk memberikan kepastian hukum mengenai parameter atau kriteria penerapannya. 8. Dengan demikian, huruf a, b, dan c merupakan perincian dari frasa "dalam hal tertentu" sebagaimana dimaksud dalam ayat (1). Pilihan penggunaan kata sambung “dan” antar huruf bukan dimaksudkan untuk membentuk kriteria kumulatif, melainkan merupakan bagian dari struktur penulisan pasal yang merinci pilihan kondisi yang berdiri sendiri (bersifat alternatif). Sehingga apabila suatu organisasi memenuhi salah satu saja dari ketiga kondisi tersebut, maka kewajiban penunjukan PPDP/DPO telah berlaku. 9. Kemudian pada tanggal 22 Oktober 2019, dalam rangka penyederhanaan redaksional dan konsistensi sistematika norma, kedua ayat tersebut (ayat (1) dan ayat (2)) digabungkan menjadi satu ayat, yang saat ini tertuang sebagai Pasal 53 ayat (1) dalam UU PDP. Penyatuan ini dimaksudkan agar norma lebih ringkas namun tetap memuat unsur norma umum dan pengecualian dalam satu struktur kalimat. 10. Oleh karena itu, usulan perubahan redaksional menjadi “dan/atau” tidak diperlukan karena tidak sesuai dengan kaidah teknis pembentukan norma hukum yang tabulatif. Huruf a: Berbasis fungsi publik. Huruf b: Berbasis skala dan intensitas pemantauan. 142 Huruf c: Berbasis jenis data (kategori khusus atau pidana). Masing-masing memiliki bobot dan ancaman yang cukup untuk memicu kewajiban penunjukan PPDP/DPO 11. Dengan demikian, pernyataan “tidak kumulatif dan tidak alternatif” bukanlah kebingungan redaksional, melainkan penegasan posisi norma: struktur tabulatif dari unsur mandiri yang memiliki kekuatan hukum setara dan berlaku sendiri-sendiri. IV. PENUTUP Berdasarkan uraian mengenai original intent dari penyusunan Pasal 53 ayat (1) UU PDP serta penafsiran sistematis dan teologis atas Pasal 53 ayat (1) UU PDP dengan keseluruhan pasal-pasal dalam UU PDP, Pemerintah menyimpulkan bahwa norma Pasal 53 ayat (1) UU PDP adalah norma yang konstitusional berdasarkan Pasal 28G UUD NRI 1945, sehingga usulan para Pemohon untuk membaca Pasal 53 ayat (1) secara konstitusional bersyarat dengan mengganti “dan” menjadi “dan/atau” tidak diperlukan. konstitusionalitas Pasal 53 ayat (1) sebagaimana diatur dalam UU PDP saat ini juga sudah dikuatkan oleh Keterangan Ahli Pemerintah. Dengan demikian, beralasan hukum bagi Pemerintah pada penutup keterangan dalam pokok perkara dengan memohon kepada Yang Mulia Majelis Hakim Mahkamah Konstitusi untuk memutus permohonan dengan amar menolak permohonan para Pemohon seluruhnya. V. PETITUM Berdasarkan penjelasan dan argumentasi tersebut di atas, Pemerintah memohon kepada Yang Mulia Ketua/Majelis Hakim Konstitusi Republik Indonesia yang memeriksa, mengadili dan memutus permohonan pengujian (constitutional review) ketentuan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi terhadap Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, dapat memberikan putusan sebagai berikut: 1. Menyatakan bahwa Para Pemohon tidak mempunyai kedudukan hukum (legal standing); 143 2. Menolak permohonan pengujian materiil Para Pemohon untuk seluruhnya atau setidak-tidaknya menyatakan permohonan pengujian Para Pemohon tidak dapat diterima (niet ontvankelijk verklaard); 3. Menerima Keterangan Presiden secara keseluruhan; 4. Menyatakan ketentuan Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak bertentangan dengan ketentuan Pasal 28G Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tetap mempunyai kekuatan hukum mengikat. Atau dalam hal Yang Mulia Majelis Hakim Konstitusi di Mahkamah Konstitusi berpendapat lain, mohon putusan yang bijaksana dan yang seadil-adilnya (ex aequo et bono). [2.7] Menimbang bahwa untuk mempersingkat uraian dalam putusan ini, segala sesuatu yang terjadi di persidangan merujuk Berita Acara Persidangan dan Risalah Persidangan, yang merupakan satu kesatuan yang tidak terpisahkan dengan putusan ini. 3. PERTIMBANGAN HUKUM Kewenangan Mahkamah [3.1] Menimbang bahwa berdasarkan Pasal 24C ayat (1) Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 (selanjutnya disebut UUD NRI Tahun 1945), Pasal 10 ayat (1) huruf a Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554, selanjutnya disebut UU MK), dan Pasal 29 ayat (1) huruf a Undang-Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076), salah satu kewenangan konstitusional Mahkamah adalah mengadili pada tingkat pertama dan terakhir yang putusannya bersifat final untuk menguji undang-undang terhadap UUD NRI Tahun 1945. 144 [3.2] Menimbang bahwa oleh karena permohonan a quo adalah pengujian konstitusionalitas norma undang-undang, in casu pengujian materiil Undang- Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820, selanjutnya disebut UU 27/2022) terhadap UUD NRI Tahun 1945 maka Mahkamah berwenang mengadili permohonan a quo. Kedudukan Hukum Pemohon [3.3] Menimbang bahwa berdasarkan Pasal 51 ayat (1) UU MK beserta Penjelasannya, yang dapat mengajukan permohonan pengujian undang-undang terhadap UUD NRI Tahun 1945 adalah mereka yang menganggap hak dan/atau kewenangan konstitusionalnya yang diberikan oleh UUD NRI Tahun 1945 dirugikan oleh berlakunya suatu undang-undang, yaitu: a. perorangan warga negara Indonesia (termasuk kelompok orang yang mempunyai kepentingan sama); b. kesatuan masyarakat hukum adat sepanjang masih hidup dan sesuai dengan perkembangan masyarakat dan prinsip Negara Kesatuan Republik Indonesia yang diatur dalam undang-undang; c. badan hukum publik atau privat; atau d. lembaga negara; Dengan demikian, para Pemohon dalam pengujian undang-undang terhadap UUD NRI Tahun 1945 harus menjelaskan terlebih dahulu: a. kedudukannya sebagai Pemohon sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK; b. ada tidaknya kerugian hak dan/atau kewenangan konstitusional yang diberikan oleh UUD NRI Tahun 1945 yang diakibatkan oleh berlakunya undang-undang yang dimohonkan pengujian dalam kedudukan sebagaimana dimaksud pada huruf a; [3.4] Menimbang bahwa Mahkamah sejak Putusan Mahkamah Konstitusi Nomor 006/PUU-III/2005 tanggal 31 Mei 2005 dan Putusan Mahkamah Konstitusi Nomor 11/PUU-V/2007 tanggal 20 September 2007 serta putusan-putusan selanjutnya, telah berpendirian bahwa kerugian hak dan/atau kewenangan 145 konstitusional sebagaimana dimaksud dalam Pasal 51 ayat (1) UU MK harus memenuhi 5 (lima) syarat, yaitu: a. adanya hak dan/atau kewenangan konstitusional Pemohon yang diberikan oleh UUD NRI Tahun 1945; b. hak dan/atau kewenangan konstitusional tersebut oleh Pemohon dianggap dirugikan oleh berlakunya undang-undang yang dimohonkan pengujian; c. kerugian konstitusional tersebut harus bersifat spesifik (khusus) dan aktual atau setidak-tidaknya potensial yang menurut penalaran yang wajar dapat dipastikan akan terjadi; d. adanya hubungan sebab-akibat antara kerugian dimaksud dan berlakunya undang-undang yang dimohonkan pengujian; e. adanya kemungkinan bahwa dengan dikabulkannya permohonan maka kerugian konstitusional seperti yang didalilkan tidak akan atau tidak lagi terjadi; [3.5] Menimbang bahwa berdasarkan uraian ketentuan Pasal 51 ayat (1) UU MK dan syarat-syarat kerugian hak dan/atau kewenangan konstitusional sebagaimana diuraikan pada Paragraf [3.3] dan Paragraf [3.4] di atas, selanjutnya Mahkamah akan mempertimbangkan kedudukan hukum para Pemohon yang pada pokoknya sebagai berikut. 1. Bahwa norma undang-undang yang dimohonkan pengujian dalam permohonan a quo adalah kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022, yang selengkapnya menyatakan sebagai berikut: Pasal 53 ayat (1) huruf b UU 27/2022 Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana. 2. Bahwa Pemohon I dan Pemohon II menyatakan kualifikasinya sebagai perorangan warga negara Indonesia yang memiliki hak-hak konstitusional yang diatur dalam UUD NRI Tahun 1945, yang kemudian hak-hak tersebut berpotensi tercederai dengan keberlakuan pasal yang dimohonkan pengujiannya. Hak-hak 146 konstitusional yang diberikan oleh UUD NRI Tahun 1945 yakni hak atas perlindungan diri pribadi berkenaan dengan hak atas perlindungan data pribadi sebagaimana tertuang dalam Pasal 28G ayat (1) UUD NRI Tahun 1945; 3. Bahwa Pemohon I dan Pemohon II dalam aktivitas kesehariannya tidak terlepas dari penggunaan teknologi informasi yang terpaut dengan data pribadi baik dalam bentuk elektronik maupun non-elektronik yang dimiliki dan melekat pada diri Pemohon I dan Pemohon II. Data Pribadi tersebut ternyata dikelola oleh pengendali data dan prosesor data termasuk pengendali data dan/atau prosesor data yang aktivitas pemrosesan data pribadinya memiliki risiko yang tinggi dengan memenuhi baik salah satu atau lebih di antara huruf a, huruf b, huruf c dalam Pasal 53 ayat (1) UU 27/2022. Selain dari Pengendali Data dan Prosesor Data dalam bentuk organisasi privat, Pemohon I dan Pemohon II sebagai warga negara juga memiliki data pribadi yang tentunya akan diproses oleh institusi negara baik untuk keperluan administrasi kependudukan maupun pelayanan publik; 4. Bahwa bagi Pemohon I dan Pemohon II yang data pribadinya secara nyata diproses oleh Pengendali Data dan Prosesor Data memiliki risiko tinggi terhadap subjek data, maka potensi ancaman terhadap keamanan dan jaminan perlindungan data diri pribadi Pemohon I dan Pemohon II sebagai subjek data dapat terjadi. Hal tersebut jelas menimbulkan potensi yang dalam batas penalaran yang wajar dapat dipastikan akan merugikan hak konstitusional Pemohon I dan Pemohon II yaitu jaminan perlindungan data pribadi yang merupakan bagian dari hak perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. 5. Bahwa materi muatan dalam Pasal 53 ayat (1) UU 27/2022 yang menentukan kriterianya diatur secara kumulatif dengan menggunakan kata “dan” pada akhir kalimat butir “b” telah mempersempit cakupan dari Pengendali Data dan Prosesor Data yang diwajibkan untuk melakukan penunjukan pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi (PDP), jika hanya memenuhi salah 1 (satu) atau salah 2 (dua) dari ketiga syarat dalam Pasal 53 ayat (1) UU 27/2022 maka menjadi tidak diwajibkan untuk menunjuk Pejabat atau Petugas PDP (PPDP). Oleh karenanya jika permohonan a quo dikabulkan, 147 kerugian hak konstitusional Pemohon I dan Pemohon II sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945 tidak akan terjadi. Berdasarkan uraian yang dikemukakan dalam menjelaskan kedudukan hukumnya di atas, menurut Mahkamah, Pemohon I dan Pemohon II telah dapat menjelaskan kualifikasinya sebagai perorangan warga negara Indonesia yang memiliki anggapan kerugian hak konstitusional akibat berlakunya norma undang- undang yang dimohonkan pengujian. Anggapan kerugian hak konstitusional tersebut bersifat spesifik, aktual atau setidak-tidaknya potensial terjadi disebabkan karena berlakunya norma Pasal 53 ayat (1) UU 27/2022 yang telah merumuskan secara kumulatif dengan kata “dan” pada akhir kalimat huruf b sehingga berdampak melemahkan pengawasan karena tidak diwajibkan menunjuk PPDP bagi pengendali data dan prosesor data jika hanya memenuhi salah satu atau dua dari ketiga syarat yang mewajibkan penunjukan PPDP. Dengan demikian, anggapan kerugian hak konstitusional yang dijelaskan Pemohon I dan Pemohon II memiliki hubungan sebab-akibat (causal verband) dengan berlakunya norma undang-undang yang dimohonkan pengujian. Oleh karena itu, apabila permohonan a quo dikabulkan, anggapan kerugian hak konstitusional seperti yang dijelaskan Pemohon I dan Pemohon II tidak lagi terjadi atau tidak akan terjadi. Dengan demikian, terlepas dari terbukti atau tidaknya inkonstitusionalitas norma yang dimohonkan pengujian, menurut Mahkamah, Pemohon I dan Pemohon II (selanjutnya disebut para Pemohon) memiliki kedudukan hukum untuk bertindak sebagai Pemohon dalam permohonan a quo; [3.6] Menimbang bahwa oleh karena Mahkamah berwenang mengadili permohonan a quo dan para Pemohon memiliki kedudukan hukum untuk bertindak sebagai Pemohon dalam permohonan a quo, maka selanjutnya Mahkamah akan mempertimbangkan pokok permohonan para Pemohon; Pokok Permohonan [3.7] Menimbang bahwa para Pemohon mendalilkan kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022 bertentangan dengan prinsip perlindungan diri pribadi sebagaimana dijamin Pasal 28G ayat (1) UUD NRI Tahun 1945 dengan dalil- 148 dalil (selengkapnya dimuat pada bagian Duduk Perkara), yang apabila dipahami dan dirumuskan oleh Mahkamah pada pokoknya sebagai berikut. 1. Bahwa menurut para Pemohon, pengakuan Data Pribadi sebagai hak asasi manusia di Indonesia meskipun tidak secara eksplisit dinyatakan dalam UUD NRI Tahun 1945, namun pelindungan data pribadi merupakan hak privasi yang mendasar dari hak atas perlindungan diri pribadi sebagaimana diamanatkan dalam Pasal 28G ayat (1) yang menyebutkan bahwa setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi manusia. 2. Bahwa menurut para Pemohon, kepatuhan pengendali data dan prosesor data tertentu yang diwajibkan untuk melakukan penunjukan PPDP dalam norma Pasal 53 ayat (1) UU 27/2022 dimaksudkan untuk mewajibkan adanya kehadiran PPDP guna memberikan pengawasan yang lebih terhadap pengendali data dan prosesor data yang dianggap perlu diawasi kepatuhan dalam melaksanakan kewajiban pemrosesan data pribadi, sebab pemrosesan data pribadi sebagaimana yang dimaksud Pasal 53 ayat (1) huruf a, huruf b, huruf c UU 27/2022 merupakan aktivitas pemrosesan data pribadi yang berisiko tinggi (high- risk data processing activities). 3. Bahwa menurut para Pemohon, penggunaan kata “dan” dalam Pasal 53 ayat (1) UU 27/2022 mempersempit kriteria kewajiban penunjukan PPDP. Sehingga hal ini mengakibatkan Pengendali Data dan Prosesor Data yang telah memenuhi salah satu atau dua kriteria dalam Pasal 53 ayat (1) UU 27/2022 karena melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi yang perlu melakukan penunjukan PPDP untuk memberikan pengawasan terhadap kepatuhan dalam melaksanakan kewajibannya, namun justru menjadi tidak diwajibkan menunjuk PPDP karena ada kata “dan” dalam rumusan norma Pasal 53 ayat (1) UU 27/2022. 4. Bahwa menurut para Pemohon, jika rincian syarat dalam Pasal 53 ayat (1) UU 27/2022 dirumuskan dengan menggunakan kata “dan/atau” pada akhir kriteria huruf “b”, yang artinya rumusan kriteria disyaratkan secara kumulatif dan alternatif maka pembebanan norma kewajiban penunjukan PPDP akan ditujukan 149 kepada setiap pengendali data dan prosesor data yang telah memenuhi salah satu, dua, atau seluruh kriteria persyaratan dalam huruf a, huruf b, dan/atau huruf c Pasal 53 ayat (1) UU 27/2022 maka akan menjawab kekhawatiran para Pemohon terkait dengan aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) sehingga akan meningkatkan tingkat pelindungan dan jaminan terhadap hak-hak konstitusional para Pemohon sebagai subjek data. Bahwa berdasarkan uraian dalil permohonan tersebut di atas, para Pemohon dalam petitum permohonannya pada pokoknya memohon kepada Mahkamah untuk menyatakan, Pasal 53 ayat (1) UU 27/2022 yang menyatakan “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana” bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat, sepanjang tidak dimaknai “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: a. pemrosesan Data Pribadi untuk kepentingan pelayanan publik; b. kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan/atau c. kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana”. [3.8] Menimbang bahwa untuk membuktikan dalil-dalilnya, para Pemohon telah mengajukan alat bukti yang diberi tanda Bukti P-1 sampai dengan Bukti P-12. Selain itu, Pemohon juga telah menyerahkan kesimpulan tertulis bertanggal 28 Mei 2025 yang diterima Mahkamah pada tanggal 28 Mei 2025 (selengkapnya dimuat pada bagian Duduk Perkara). 150 [3.9] Menimbang bahwa Dewan Perwakilan Rakyat (DPR) telah menyampaikan keterangan yang didengarkan dalam persidangan Mahkamah pada tanggal 7 Mei 2025 dan keterangan tertulis diterima Mahkamah pada tanggal 20 Juni 2025 (selengkapnya dimuat pada bagian Duduk Perkara). [3.10] Menimbang bahwa Presiden telah memberikan keterangan tertulis yang diterima Mahkamah pada tanggal 5 Mei 2025 yang telah didengar dalam persidangan Mahkamah pada tanggal 7 Mei 2025 dan keterangan tambahan yang diterima Mahkamah pada tanggal 16 Mei 2025 serta mengajukan alat bukti yang diberi tanda Bukti PK-1 sampai dengan Bukti PK-3 dan keterangan tertulis ahli bernama Wicipto Setiadi yang keterangannya diterima Mahkamah pada tanggal 16 Mei 2025. Selain itu, Presiden juga telah menyerahkan kesimpulan tertulis bertanggal 27 Mei 2025 yang diterima Mahkamah pada tanggal 28 Mei 2025 (selengkapnya dimuat pada bagian Duduk Perkara). [3.11] Menimbang bahwa setelah Mahkamah memeriksa dan membaca secara saksama permohonan para Pemohon, keterangan Dewan Perwakilan Rakyat, keterangan Presiden, keterangan ahli Presiden, bukti-bukti yang diajukan oleh para Pemohon dan Presiden, kesimpulan tertulis para Pemohon, serta kesimpulan tertulis Presiden, persoalan konstitusionalitas norma yang harus dijawab oleh Mahkamah adalah apakah benar rumusan kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022 mempersempit kriteria kewajiban penunjukan PPDP bagi pengendali data dan prosesor data karena aktivitas pemrosesan data pribadi yang berisiko tinggi, sehingga merugikan hak konstitusional para Pemohon yakni hak atas perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. [3.12] Menimbang bahwa sebelum menjawab persoalan konstitusionalitas norma yang didalilkan para Pemohon tersebut di atas, penting bagi Mahkamah untuk terlebih dahulu menguraikan hal-hal sebagai berikut. [3.12.1] Bahwa dengan perkembangan teknologi lintas batas sebagai dampak dari perkembangan teknologi yang melampaui batas-batas geografis negara memungkinkan interaksi, komunikasi, dan pertukaran informasi serta barang dan jasa secara global. Berbagai aspek mulai dari teknologi komunikasi dan transportasi 151 yang semakin modern dan mutakhir hingga platform digital yang memfasilitasi perdagangan internasional dan transfer data lintas batas mencakup internet, media sosial, dan perangkat seluler yang memungkinkan komunikasi instan dan akses informasi dari seluruh dunia. Dalam kemajuan transportasi teknologi membuat pengiriman barang antar negara lebih cepat, efisien, dan terjangkau. Dari segi transfer data lintas batas seperti kecerdasan buatan, blockchain, dan jaringan berkecepatan tinggi berpotensi mengubah cara data ditransfer antar negara, serta meningkatkan kecepatan, keamanan, dan efisiensi. Selain itu, globalisasi ekonomi membuat teknologi menjadi faktor pendorong utama yang memungkinkan integrasi pasar yang lebih luas dan peningkatan perdagangan internasional. Perkembangan teknologi lintas batas tersebut menghadirkan tantangan baru seperti masalah privasi data, keamanan siber, dan kebutuhan untuk harmonisasi regulasi antar negara. Masifnya perkembangan dunia digital karena kemajuan teknologi informasi dan komunikasi yang tidak terelakkan maka terkait dengan pengumpulan, penyimpanan, pembagian, penyebarluasan, dan analisa data pribadi warga negara baik yang bersifat publik maupun privat berpotensi memungkinkan untuk diolah dan digunakan sedemikian rupa yang menimbulkan kemudahan akses dan terkoneksinya sumber data bagi pemangku kepentingan. Namun, hal tersebut juga dapat menimbulkan celah untuk digunakan bagi kepentingan pihak-pihak yang tidak bertanggung jawab. Hal demikian menimbulkan kerentanan terhadap hak privasi atas diri pribadi warga negara. Masifnya penyebaran data karena kemudahan akses telekomunikasi dan komunikasi baik melalui interaksi dunia siber maupun dalam interaksi dunia nyata melahirkan isu mengenai pentingnya menjaga privasi individu yang merupakan hak atas perlindungan diri pribadi yang dilindungi oleh UUD NRI Tahun 1945. Dalam kaitan ini, perlindungan data pribadi menjadi hal yang krusial dan fundamental sebagai isu global yang dikhawatirkan oleh masyarakat luas. Oleh karenanya, kehadiran negara dalam mengatur perlindungan data pribadi menjadi sebuah keniscayaan untuk menjaga keamanan informasi sensitif individu dan mencegah penyalahgunaan data. Dalam era digital, data pribadi menjadi semakin rentan dengan tindakan pencurian, kebocoran, dan penyalahgunaan oleh pihak yang tidak bertanggung jawab sehingga untuk mewujudkan pelindungan data pribadi yang kuat dan dapat memastikan keamanan serta privasi individu dalam penggunaan teknologi digital, 152 maka perlindungan data pribadi tidak dapat dilihat hanya sebagai isu dalam tataran teknis, namun juga mencakup pengaturan dalam ranah tertib hukum sebagai perwujudan perlindungan hak asasi manusia. Terlebih, berbagai sektor kehidupan telah memanfaatkan sistem teknologi informasi, seperti penyelenggaraan electronic commerce (e-commerce) dalam sektor perdagangan/bisnis, electronic education (e- education) dalam bidang pendidikan, electronic health (e-health) dalam bidang kesehatan, electronic government (e-govermnent) dalam bidang pemerintahan, serta teknologi informasi yang dimanfaatkan dalam bidang lainnya [vide Penjelasan Umum UU 27/2022]. Oleh karenanya, perlindungan data pribadi merupakan hak asasi manusia yang harus dijamin keamanannya oleh negara. [3.12.2] Bahwa sebagai negara hukum, negara menjamin pelindungan hak dan kewajiban segenap bangsa Indonesia berdasarkan UUD NRI Tahun 1945. Pelindungan, pemajuan, penegakan, dan pemenuhan hak asasi manusia merupakan tanggung jawab negara, terutama pemerintah. Oleh karena itu, penyusunan regulasi dan kebijakan dalam mengatur pemrosesan data pribadi dalam rangka memenuhi hak atas pelindungan data pribadi merupakan tanggung jawab Pemerintah. Dalam kaitan ini, UU 27/2022 telah mengatur hal-hal mengenai data yang dikumpulkan, disimpan, diproses, hingga dihapus, yang memberikan hak kepada individu untuk meminta akses, koreksi, dan bahkan penghapusan data pribadi jika dirasa perlu. UU 27/2022 dibentuk dengan semangat sebagai upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi untuk menjamin hak konstitusional subjek data pribadi, serta mengatur dalam hal data tersebut akan diberikan dan digunakan oleh pihak lain. Bahwa dalam rangka menjamin tanggung jawab pemrosesan data berdasarkan prinsip pelindungan data pribadi, pengendali data dan prosesor data harus memenuhi kewajiban dalam pelaksanaannya yang diatur dalam Pasal 20 sampai dengan Pasal 50 UU 27/2022 bagi pengendali data. Sedangkan bagi prosesor data pengaturannya terdapat dalam Pasal 51 dan Pasal 52 UU 27/2022. Selain harus memenuhi kewajiban dalam pelaksanaan pemrosesan data pribadi, pengendali data pribadi dan prosesor data pribadi wajib menunjuk PPDP sebagaimana diatur dalam Pasal 53 UU 27/2022. PPDP bertanggung jawab untuk memastikan kepatuhan atas prinsip pelindungan data pribadi dan mitigasi risiko pelanggaran pelindungan data pribadi [vide Penjelasan Pasal 53 ayat (1) UU 153 27/2022]. Pihak utama dalam UU 27/2022, yaitu subjek data pribadi, pengendali data pribadi, prosesor data pribadi, lembaga PDP, dan PPDP, masing-masing memegang peranan penting dan saling berhubungan untuk tercapainya tujuan utama dari UU 27/2022 yaitu melindungi hak konstitusional dari subjek data pribadi dalam aktivitas pemrosesan data pribadi. [3.13] Menimbang bahwa setelah menjelaskan hal-hal tersebut di atas, selanjutnya Mahkamah akan menjawab dalil para Pemohon yang mempersoalkan kata “dan” dalam Pasal 53 ayat (1) UU 27/2022 karena mempersempit kriteria kewajiban penunjukan PPDP. Sehingga hal ini mengakibatkan pengendali data dan prosesor data yang telah memenuhi, salah satu atau dua kriteria dalam Pasal 53 ayat (1) UU 27/2022 karena melakukan aktivitas pemrosesan data pribadi yang berisiko tinggi, yang perlu melakukan penunjukan PPDP untuk memberikan pengawasan mengenai kepatuhan dalam melaksanakan kewajibannya, justru menjadi tidak diwajibkan menunjuk PPDP sehingga dikhawatirkan tidak dapat memberikan perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Berkenaan dengan dalil para Pemohon a quo, Mahkamah mempertimbangkan sebagai berikut. [3.13.1] Bahwa data pribadi merupakan data tentang orang perorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik [vide Ketentuan Umum Pasal 1 angka 1 UU 27/2022]. Pelindungan data pribadi terhadap hak subjek data pribadi termasuk jaminan dalam melaksanakan hak tersebut diwujudkan melalui pelaksanaan pemrosesan data pribadi yang sesuai dengan prinsip pelindungan data pribadi sebagaimana yang dimaksud dalam Pasal 16 ayat (2) UU 27/2022 beserta kepatuhan pengendali data dan prosesor data terhadap kewajibannya dalam UU 27/2022 serta ketentuan lain yang berkaitan dengan pelindungan data pribadi. Pengaturan dan kejelasan perlindungan data pribadi yang kuat dapat meningkatkan kepercayaan masyarakat terhadap lembaga pemerintah serta menciptakan iklim sosial kemasyarakatan yang sehat tatkala pengelolaan data pribadi dan perlindungannya diperkuat oleh tatanan hukum. Oleh karenanya, para pemegang kendali atas data pribadi wajib memastikan bahwa seluruh pihak yang terkait dengan pengelolaan data pribadi telah dilakukan dengan penuh tanggung 154 jawab atas privasi subjek data, dan telah memenuhi standar sesuai dengan ketentuan. Selanjutnya, berkenaan dengan konsekuensi dari melakukan aktivitas pemrosesan data pribadi berisiko tinggi terhadap subjek data pribadi, seyogyanya pengendali data dan prosesor data memperoleh pengawasan yang lebih ketat. Oleh karena itu, terhadap pengendali data dan prosesor data meskipun hanya memenuhi salah satu dari ketiga syarat dalam Pasal 53 ayat (1) UU 27/2022, menjadi penting untuk menunjuk PPDP. Berkenaan dengan hal tersebut, penting bagi Mahkamah untuk merujuk ketentuan Pasal 34 ayat (2) UU 27/2022 yang pada pokoknya menyatakan pemrosesan data pribadi dengan potensi risiko tinggi meliputi: a) pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap subjek data pribadi; b) pemrosesan atas data pribadi yang bersifat spesifik; c) pemrosesan data pribadi dalam skala besar; d) pemrosesan data pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap subjek data pribadi; e) pemrosesan data pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data; f) penggunaan teknologi baru dalam pemrosesan data pribadi; dan/atau g) pemrosesan data pribadi yang membatasi pelaksanaan hak subjek data pribadi. Berdasarkan kriteria pemrosesan data pribadi sebagaimana ditentukan dalam Pasal 53 ayat (1) UU 27/2022, telah ternyata esensi norma Pasal a quo masuk dalam kategori pemrosesan data pribadi memiliki risiko tinggi sebagaimana dimaksud dalam Pasal 34 ayat (2) UU 27/2022. Berkenaan dengan hal tersebut, sebagai konsekuensi dari dilakukannya aktivitas pemrosesan data pribadi yang berisiko tinggi terhadap subjek data pribadi, maka bagi pengendali data dan prosesor data yang meskipun hanya memenuhi salah satu atau dua dari ketiga syarat dalam Pasal 53 ayat (1) UU 27/2022, maka menjadi penting untuk menunjuk PPDP, sebagaimana didalilkan para Pemohon. Dalam kaitan ini, Mahkamah dapat memahami maksud para Pemohon yang menginginkan pemrosesan data pribadi oleh pengendali data dan prosesor data dilaksanakan berdasarkan prinsip pelindungan data pribadi yang pada akhirnya bertujuan untuk menjamin hak-hak dari pada subjek data. Dengan demikian, kepatuhan pengendali data dan prosesor data dalam menjalankan kewajibannya yang sejalan dengan terjaminnya hak-hak dari subjek data itu sendiri. Selain itu, hal ini juga merupakan bagian dari penerapan asas pelindungan dan asas kerahasiaan 155 kepada subjek data pribadi agar tidak disalahgunakan sejalan dengan jaminan hak konstitusional atas perlindungan diri [vide Pasal 28G ayat (1) UUD NRI Tahun 1945 dan Pasal 3 huruf a UU 27/2022 serta Penjelasannya]. [3.13.2] Bahwa berkenaan dengan penempatan ketiga unsur/kriteria dalam norma Pasal 53 ayat (1) UU 27/2022 yang dimuat dalam bentuk tabulasi (structured listing) dimaksudkan untuk memudahkan identifikasi kegiatan yang masing-masing berdiri sendiri yang dapat menjadi dasar kewajiban penunjukan PPDP. Tiga unsur/kriteria dalam huruf a, huruf b, dan huruf c norma Pasal 53 ayat (1) UU 27/2022 merupakan rincian unsur/kriteria yang bersifat independen. Terkait dengan hal ini, pemerintah menyatakan bahwa pemenuhan satu unsur/kriteria saja sudah cukup untuk menimbulkan kewajiban menunjuk PPDP. Ketentuan Pasal 53 ayat (1) huruf a, huruf b, dan huruf c merupakan kegiatan atau kondisi yang menjadi unsur/kriteria menentukan ada tidaknya kewajiban pengendali atau prosesor data pribadi untuk menunjuk PPDP. Dengan kata lain, PPDP tidak harus ada atau tidak harus ditunjuk untuk kegiatan di luar unsur/kriteria yang tidak tercantum dalam Pasal 53 ayat (1) UU 27/2022 [vide Keterangan Tambahan Pemerintah hlm. 3]. Sementara itu, Dewan Perwakilan Rakyat dalam keterangannya menyatakan makna yang tepat dari rumusan Pasal 53 ayat (1) UU 27/2022 adalah huruf a, huruf b, dan huruf c yang berbentuk tabulasi merupakan suatu rincian yang berdiri sendiri-sendiri sebagai suatu hal untuk wajib menunjuk PPDP. Oleh karena itu, dalil para Pemohon yang pada intinya memaknai huruf a, huruf b, dan huruf c harus terpenuhi secara kumulatif untuk wajib menunjuk PPDP adalah pemaknaan yang tidak tepat. [vide Keterangan DPR hlm. 16]. Selain itu kata “dan” tidak menjadikan data pribadi milik para Pemohon tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh pengendali data dan prosesor data yang melakukan aktifitas pemrosesan data pribadi beresiko tinggi (high-risk data processing activities). Selain itu, adanya kata “dan” tersebut tidak menjadikan pengawasan kepatuhan pengelola data pribadi berdasarkan ketentuan UU 27/2022 menjadi berkurang [vide Keterangan DPR hlm. 19-20]. Pada dasarnya pembentuk undang-undang secara implisit mengakui bahwa penggunaan kata “dan” dalam norma Pasal 53 ayat (1) UU 27/2022 yang berkaitan dengan terpenuhinya unsur/kriteria untuk kewajiban penunjukan PPDP adalah tidak bersifat kumulatif. Namun demikian, rumusan tersebut menjadi persoalan ketika pembentuk undang-undang merumuskan dengan kata “dan”. Dalam kaitan ini, 156 penggunaan kata “dan” dalam merumuskan norma suatu peraturan perundang- undangan lazim digunakan ketika merumuskan peraturan perundang-undangan yang memiliki unsur/kriteria yang bersifat kumulatif, sebagaimana Lampiran II Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Atas Pembentukan Peraturan Perundang-undangan (UU 12/2011), telah menentukan penggunaan kata/frasa dalam merumuskan unsur atau rincian dalam tabulasi, sebagai berikut. “88. Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakkan di belakang rincian kedua dari rincian terakhir. 89. Jika rincian dalam tabulasi dimaksudkan sebagai rincian alternatif ditambahkan kata atau yang di letakkan di belakang rincian kedua dari rincian terakhir. 90. Jika rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif dan alternatif, ditambahkan kata dan/atau yang diletakkan di belakang rincian kedua dari rincian terakhir.” Namun demikian, dengan dirumuskannya kata “dan” sebagai kata penghubung dalam Pasal 53 ayat (1) huruf b UU 27/2022 setelah akhir kalimat “kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar;” dikhawatirkan para Pemohon bahwa apabila unsur/kriteria pada huruf a, huruf b, dan huruf c ketiganya terpenuhi, maka pengendali data pribadi dan prosesor data pribadi dalam melaksanakan kegiatan pemrosesan data pribadi baru wajib menunjuk PPDP. Sementara itu, jika unsur/kriteria yang terpenuhi dalam kegiatan pemrosesan data pribadi hanya meliputi satu atau dua unsur saja, maka tidak ada kewajiban bagi pengendali data pribadi dan prosesor data pribadi menunjuk PPDP. Hal demikian terjadi karena rumusan kata “dan” tersebut mengandung makna “kumulatif”. Oleh karena rumusan yang conditio interminus, menyebabkan rumusan kata ”dan” dalam norma Pasal 53 ayat (1) UU 27/2022 tidak sejalan dengan maksud dan tujuan dari pembentuk undang-undang yang menegaskan bahwa hal tersebut tidak dimaksudkan bersifat kumulatif, sebagaimana maksud angka 88 Lampiran II UU 12/2011. Dalam kaitan ini, kata ”dan” menunjuk pada unsur/kriteria atau rincian dalam tabulasi yang dimaksudkan secara kumulatif, untuk terikat pada kewajiban menunjuk PPDP. Dengan demikian, maksud pembentuk undang-undang untuk memberikan pelindungan data pribadi 157 melalui UU 27/2022 yang hendak memastikan keamanan pemrosesan data pribadi oleh pengendali data dan prosesor data, tidak sejalan dengan rumusan unsur/kriteria pada huruf a, huruf b, dan huruf c dalam norma Pasal 53 ayat (1) UU 27/2022 yang jika terpenuhi oleh pengendali data pribadi atau prosesor data pribadi menimbulkan kewajiban menunjuk PPDP. Berkaitan dengan hal tersebut di atas, sesuai dengan maksud pembentuk undang-undang dalam merumuskan huruf a, huruf b, dan huruf c dalam norma Pasal 53 ayat (1) UU 27/2022 dimaksudkan sebagai kriteria mandiri (independen), yang apabila terpenuhi salah satu, dua, atau keseluruhan kriteria persyaratan oleh pengendali data pribadi atau prosesor data pribadi maka wajib baginya menunjuk PPDP, sehingga menurut Mahkamah rumusan yang tepat adalah bersifat alternatif- kumulatif, yaitu menggunakan frasa “dan/atau” yang lazim digunakan dalam perumusan suatu peraturan perundang-undangan, sebagaimana diatur dalam angka 90 Lampiran II UU 12/2011. Hal demikian sesungguhnya telah menjawab kekhawatiran subjek data dikarenakan adanya aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) sehingga pelindungan dan jaminan terhadap hak-hak konstitusional subjek data benar-benar terlindungi sedemikian rupa karena pelindungan data pribadi merupakan bagian yang tidak terpisahkan dari hak atas perlindungan diri pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, data pribadi sebagai hak bagi setiap warga negara wajib untuk dilindungi secara maksimal sehingga tidak dapat dijadikan sebagai objek yang merugikan sehingga bertentangan dengan asas perlindungan, asas kehati-hatian, dan asas kerahasiaan demi menjaga eksklusifitas kerahasiaan data pribadi. Berdasarkan uraian pertimbangan hukum tersebut di atas, dalil para Pemohon yang mempersoalkan konstitusionalitas kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022 adalah dalil yang berdasar, sehingga kata “dan” dalam Pasal 53 ayat (1) huruf b UU 27/2022 haruslah dinyatakan inkonstitusional dan tidak memiliki kekuatan hukum mengikat sepanjang tidak dimaknai menjadi frasa “dan/atau” sebagaimana amar Putusan a quo. Dengan demikian, dalil para Pemohon adalah beralasan menurut hukum. 158 [3.14] Menimbang bahwa berdasarkan seluruh uraian pertimbangan hukum di atas, telah ternyata norma Pasal 53 ayat (1) huruf b UU 27/2022 tidak memberikan jaminan perlindungan hak atas diri pribadi sehingga bertentangan dengan Pasal 28G ayat (1) UUD NRI Tahun 1945, sebagaimana yang didalilkan oleh para Pemohon. Dengan demikian, dalil-dalil permohonan para Pemohon adalah beralasan menurut hukum untuk seluruhnya. [3.15] Menimbang bahwa terhadap hal-hal lain tidak dipertimbangkan lebih lanjut oleh Mahkamah karena dinilai tidak ada relevansinya. 4. KONKLUSI Berdasarkan penilaian atas fakta dan hukum tersebut di atas, Mahkamah berkesimpulan: [4.1] Mahkamah berwenang mengadili permohonan a quo; [4.2] Para Pemohon memiliki kedudukan hukum untuk mengajukan permohonan a quo; [4.3] Pokok permohonan para Pemohon adalah beralasan menurut hukum untuk seluruhnya. Berdasarkan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945, Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 7 Tahun 2020 tentang Perubahan Ketiga Atas Undang-Undang Nomor 24 Tahun 2003 tentang Mahkamah Konstitusi (Lembaran Negara Republik Indonesia Tahun 2020 Nomor 216, Tambahan Lembaran Negara Republik Indonesia Nomor 6554), dan Undang- Undang Nomor 48 Tahun 2009 tentang Kekuasaan Kehakiman (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 157, Tambahan Lembaran Negara Republik Indonesia Nomor 5076); 159 5. AMAR PUTUSAN Mengadili: 1. Mengabulkan permohonan para Pemohon untuk seluruhnya. 2. Menyatakan kata “dan” dalam Pasal 53 ayat (1) huruf b Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820) bertentangan dengan Undang-Undang Dasar Negara Republik Indonesia Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat secara bersyarat sepanjang tidak dimaknai “dan/atau”. 3. Memerintahkan pemuatan putusan ini dalam Berita Negara Republik Indonesia sebagaimana mestinya. Demikian diputus dalam Rapat Permusyawaratan Hakim oleh delapan Hakim Konstitusi yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Arief Hidayat, Daniel Yusmic P. Foekh, Arsul Sani, Enny Nurbaningsih, M. Guntur Hamzah, dan Ridwan Mansyur, masing-masing sebagai Anggota, pada hari Rabu, tanggal enam belas, bulan Juli, tahun dua ribu dua puluh lima, yang diucapkan dalam Sidang Pleno Mahkamah Konstitusi terbuka untuk umum pada hari Rabu, tanggal tiga puluh, bulan Juli, tahun dua ribu dua puluh lima, selesai diucapkan pukul 14.00 WIB, oleh sembilan Hakim Konstitusi yaitu Suhartoyo selaku Ketua merangkap Anggota, Saldi Isra, Arief Hidayat, Daniel Yusmic P. Foekh, Arsul Sani, Anwar Usman, Enny Nurbaningsih, M. Guntur Hamzah, dan Ridwan Mansyur, masing-masing sebagai Anggota, dengan dibantu oleh Indah Karmadaniah sebagai Panitera Pengganti, serta dihadiri oleh para Pemohon, Dewan Perwakilan Rakyat atau yang mewakili, dan Presiden atau yang mewakili. KETUA, ttd. Suhartoyo 160 ANGGOTA-ANGGOTA, ttd. Saldi Isra ttd. Arief Hidayat ttd. Daniel Yusmic P. Foekh ttd. Arsul Sani ttd. Anwar Usman ttd. Enny Nurbaningsih ttd. M. Guntur Hamzah ttd. Ridwan Mansyur PANITERA PENGGANTI, ttd. Indah Karmadaniah