Pemohon: Transfer Data Pribadi ke Luar Negeri Berisiko Lebih Tinggi

JAKARTA, HUMAS MKRI – Pemohon Perkara Nomor 137/PUU-XXIII/2025 yaitu dosen ilmu hukum sekaligus advokat Rega Felix menyampaikan perbaikan permohonan pengujian Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Dia menilai kesepakatan mengenai transfer data pribadi dari Indonesia ke Amerika Serikat (AS) tanpa ada mekanisme persetujuan rakyat berdampak signifikan terhadap kerugian hak konstitusional Pemohon sebagaimana diamanatkan Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia (UUD NRI) Tahun 1945.

“Pemohon memandang untuk perlindungan data pribadi dalam pusat data yang berada dalam negeri saja masih terdapat kerentanan, sehingga data pribadi yang diletakan di luar negeri memiliki risiko yang lebih tinggi,” ujar Rega dalam sidang pemeriksaan lanjutan dengan agenda perbaikan permohonan pada Selasa (26/8/2025) di Ruang Sidang Mahkamah Konstitusi (MK), Jakarta.

Rega menjelaskan akibat dari kesepakatan Indonesia dan AS tersebut menyebabkan tafsir terhadap Pasal 56 UU PDP yang mengatur mengenai transfer data pribadi ke luar wilayah negara Republik Indonesia (RI) sebagaimana diatur dalam Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP menjadi sangat kritikal. Ketika norma pasal a quo ditafsirkan secara salah maka dapat berdampak sangat signifikan yaitu kerugian hak konstitusional Pemohon berdasarkan Pasal 28G ayat (1) UUD 1945.

Padahal, data pribadi rakyat yang dikuasai Pemerintah di wilayah Tanah Air saja seperti data kependudukan dan catatan sipil telah terjadi kebocoran bahkan peretasan. Sementara, Pemerintah akan melakukan transfer data pribadi ke luar wilayah RI hingga ke AS. Kekhawatiran Pemohon semakin tinggi karena Amerika diketahui ialah negara pengembang kecerdasan buatan atau artificial intelligence (AI).

Rega melanjutkan, jika data pribadi sudah bocor maka meningkatkan risiko sangat tinggi kepada subjek data pribadi. Data pribadi ialah milik rakyat, apabila data pribadi dikuasai negara lain akibat presiden memberikannya secara sepihak, maka hal tersebut bentuk dari pelanggaran kedaulatan rakyat sebagaimana dimaksud Pasal 1 ayat (2) UUD NRI 1945.

Selengkapnya, Pasal 56 ayat (1) UU PDP berbunyi, “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang- Undang ini.” Pasal 56 ayat (2) UU PDP berbunyi, “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/ atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini.” Pasal 56 ayat (3) UU PDP berbunyi, “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, dan bersifat mengikat.” Pasal 56 ayat (4) UU PDP berbunyi, “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetuiuan Subjek Data Pribadi.”

Namun dalam petitumnya Pemohon memohon kepada Mahkamah untuk menyatakan pasal-pasal yang diuji di atas bertentangan dengan UUD NRI 1945. Mereka ingin pasal-pasal tersebut dinyatakan inkonstitusional sepanjang tidak dimaknai: Pasal 56 ayat (1) UU PDP; “Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia apabila telah mendapatkan persetujuan Subjek Data Pribadi atau berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat sesuai dengan ketentuan yang diatur dalam Undang-Undang ini.” Pasal 56 ayat (2) UU PDP; “Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini berdasarkan perjanjian internasional yang disetujui Dewan Perwakilan Rakyat.” Pasal 56 ayat (3) UU PDP; “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai, bersifat mengikat, dan memiliki mekanisme remediasi yang efektif dengan menempatkan Data Pribadi sebagai hak asasi yang mendasar.” Pasal 56 ayat (4) UU PDP; “Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi setelah menginformasikan resiko transfer Data Pribadi yang akan dilakukan.”

Jurnalis dan seniman ingin dikecualikan dari larangan pengungkapan data pribadi

Perkara ini disidangkan Majelis Panel Hakim yang dipimpin Hakim Konstitusi Arief Hidayat dengan didampingi Hakim Konstitusi Anwar Usman dan Hakim Konstitusi Enny Nurbaningsih. Panel tersebut juga menyidangkan Perkara Nomor 135/PUU-XXIII/2025 yang dimohonkan Koalisi masyarakat sipil Kebebasan Informasi dan Data Pribadi (SIKAP) terkait pengujian Pasal 65 ayat (2) dan Pasal 67 ayat (2) UU PDP.

Para Pemohon yang tergabung dalam SIKAP terdiri dari perorangan dan organisasi di antaranya Pengajar Prof Masduki, Ilustrator/Pembuat Karikatur Amry Al Mursalaat, Aliansi Jurnalis Independen (AJI) Indonesia, serta Pembela Kebebasan Berekspresi Asia Tenggara (SAFEnet). Dalam sidang perbaikan permohonan ini, para Pemohon mengurangi batu uji dalam UUD NRI 1945 sebagai dasar pengujian menjadi hanya Pasal 28C ayat (1), Pasal 28F, dan Pasal 32 ayat (1) UUD NRI Tahun 1945.

Para Pemohon yang diwakili kuasa hukumnya Wildanu Syahril Guntur mengatakan pihaknya menyoroti pentingnya pemenuhan asas-asas kerahasiaan dan perlindungan sebagai basis utama dari hak atas privasi. Namun di sisi lain perlu juga menyoroti asas keseimbangan dan kepentingan umum sebagai landasan perumusan permohonan ini.

“Dalam rangka mewujudkan keseimbangan pemenuhan hak-hak fundamental warga negara seperti hak atas privasi itu sendiri dengan pemenuhan hak atas informasi dan kebebasan berekspresi,” tutur Wildanu.

Pasalnya, Pasal 65 ayat (2) juncto Pasal 67 ayat (2) UU PDP membuka tafsir yang luas dan tidak ketat yang memungkinkan hak-hak konstitusional para Pemohon terancam karena tugas-tugas pekerjaannya kerap kali melibatkan pengungkapan data pribadi guna pemenuhan hak atas informasi publik. Rumusan Pasal 65 ayat (2) juncto Pasal 67 ayat (2) Undang-Undang Pelindungan Data Pribadi tidak justru tidak mengakomodasi kebebasan berekspresi dan hak publik atas informasi yang dijamin konstitusi.

Pasal 65 ayat (2) UU PDP berbunyi "Setiap orang dilarang secara melawan hukum mengungkapkan Data Pribadi yang bukan miliknya." Pasal 67 ayat (2) UU PDP berbunyi "Setiap orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah)."

Para Pemohon menilai ketentuan dalam Pasal 65 ayat (2) juncto Pasal 67 ayat (2) yang tidak diberikan penjelasan memberi legitimasi terhadap pembungkaman suara-suara publik yang sah, terutama ketika digunakan tanpa ukuran yang objektif dan akuntabel. Negara secara sepihak membatasi partisipasi warga negara dalam menyampaikan pendapat, gagasan, atau kritik terhadap kebijakan publik.

Sementara, dalam sistem demokrasi konstitusional, kedaulatan rakyat hanya dapat dijalankan secara utuh jika ekspresi politik, sosial, dan kultural warga negara dijamin secara penuh dan tidak dibatasi secara sewenang-wenang oleh norma hukum yang kabur. Suatu norma yang tidak diberi penjelasan lebih lanjut berpotensi digunakan untuk menekan ekspresi atau pendapat yang sah secara konstitusional, yang justru menimbulkan ketakutan di masyarakat dan melemahkan iklim demokrasi.

Dalam petitumnya, para Pemohon memohon kepada Mahkamah untuk menyatakan Pasal 65 ayat (2) UU PDP bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat sepanjang tidak dimaknai "Setiap orang dilarang mengungkapkan data pribadi yang bukan miliknya kecuali dalam rangka kerja-kerja jurnalistik, akademik, kesenian dan kesusastraan dan/atau sepanjang berhubungan dengan terjaminnya akses informasi untuk mengembangankan pribadi dan lingkungan sosialnya.” Serta menyatakan Pasal 67 ayat (2) UU PDP bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat sepanjang dimaknai "Setiap orang dilarang mengungkapkan data pribadi yang bukan miliknya kecuali dalam rangka kerja-kerja jurnalistik, akademik, kesenian dan kesusastraan dan/atau sepanjang berhubungan dengan terjaminnya akses informasi untuk mengembangankan pribadi dan lingkungan sosialnya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 (empat) tahun dan/atau pidana denda paling banyak Rp4.000.000.000,00 (empat miliar rupiah).” (*)

Penulis: Mimi Kartika
Editor: Lulu Anjarsari P.
Humas: Tiara Agustina

Source: Laman Mahkamah Konstitusi