JAKARTA, HUMAS MKRI – Mahkamah Konstitusi (MK) menggelar sidang dengan agenda Mendengar Keterangan DPR dan Presiden untuk Perkara Nomor 151/PUU-XXII/2024 mengenai uji materiil Pasal 53 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Presiden yang diwakili Staf Ahli Bidang Hukum Kementerian Komunikasi dan Digital Cahyaning Nuratih Widowati mengatakan Pengendali Data Pribadi dan Prosesor Data Pribadi tetap wajib melakukan pelindungan data pribadi yang di bawah kendalinya, dikelola, dan/atau diprosesnya dengan atau tanpa PPDP (Pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi) yang khusus ditunjuk untuk memastikan kepatuhan Pengendali Data Pribadi dan Prosesor Data Pribadi atas prinsip Pelindungan Data Pribadi dan mitigasi risiko pelanggarannya.

“Dalil para Pemohon bahwa kata ‘dan’ pada akhir kalimat butir b Pasal 53 ayat (1) UU PDP yang bersifat kumulatif mempersempit cakupan kewajiban menunjuk PPDP/DPO bagi Pengendali Data Pribadi dan Prosesor Data Pribadi sehingga berpotensi merugikan hak konstitusional para Pemohon adalah dalil yang keliru dan tidak benar karena ketentuan Pasal 53 ayat (1) UU PDP merupakan perincian jenis kegiatan yang mewajibkan Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menunjuk PPDP/DPO,” ujar Cahya di Ruang Sidang Pleno MK, Jakarta, pada Rabu (7/5/2025).

Cahya menjelaskan, Pasal 53 ayat (1) UU PDP mengatur mengenai PPDP atau dikenal dengan Data Protection Officer (DPO), yaitu Pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi merupakan komplementer atau pendukung bagi Pengendali Data Pribadi dan Prosesor Data Pribadi dalam melaksanakan pelindungan data pribadi. Pasal tersebut juga merupakan bentuk rincian terhadap jenis kegiatan Pengendali Data Pribadi dan Prosesor Data Pribadi yang mewajibkan untuk menunjuk atau menugaskan PPDP/DPO dalam hal Pengendali Data Pribadi dan Prosesor Data Pribadi melaksanakan kegiatan pemrosesan Data Pribadi untuk kepentingan pelayanan publik; kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; serta kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.

Cahya mengatakan, original intent dari ketiga kegiatan yang diuraikan dalam ketentuan Pasal 53 ayat (1) UU PDP merupakan kegiatan yang wajib menunjuk PPDP/DPO dan tidak dimaksudkan sebagai pengaturan yang kumulatif atau alternatif, hal-hal dan kegiatan lain berkenaan dengan penunjukan PPDP/DPO akan diatur lebih lanjut dalam Peraturan Pemerintah. Selain kegiatan tersebut, Pengendali Data Pribadi dan Prosesor Data Pribadi tetap wajib melindungi Data Pribadi dari Subjek Data namun tidak wajib memiliki PPDP/DPO.

Rincian unsur kata “dan” yang dipersoalkan Pemohon dalam Pasal 53 ayat (1) UU PDP dimaksud menunjukkan keadaan/kondisi tertentu yang ditunjukkan dengan penggunaan frasa “dalam hal” karena terdapat kegiatan dari Pengendali Data Pribadi dan Prosesor Data Pribadi yang terkena kewajiban menunjuk PPDP/DPO dan bukan dimaksudkan sebagai prakondisi kumulatif yang harus terpenuhi seluruhnya.

Di samping itu, keterangan DPR disampaikan Anggota DPR M Nasir Djamil. Dia mengatakan kata “dan” dalam Pasal 53 ayat (1) UU PDP, tidak berarti dimaknai sebagai kumulatif. Kewajiban dalam ketentuan tersebut tetap harus dilaksanakan jikapun hanya satu kegiatan yang dilakukan.

“Semua yang ada di dalam tabulasi adalah sebagai rincian bukan berarti harus digabung terlebih dahulu secara kumulatif baru wajib,” tutur Nasir yang mengikuti persidangan melalui daring.

---

Baca juga:
Warga Negara Uji UU Pelindungan Data Pribadi
Pemohon UU Perlindungan Data Pribadi Bandingkan Aturan Berbagai Negara

---

Sebagai informasi, dalam persidangan sebelumnya, para Pemohon yakni Eric Cihanes (Pemohon I) dan mahasiswa Garin Arian Reswara (Pemohon II) mempersoalkan frasa “dan” pada akhir kalimat butir b dalam pasal a quo terkait ketentuan kewajiban pengendali data pribadi dan prosesor data pribadi menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi. Pasal 53 ayat (1) UU PDP selengkapnya berbunyi, “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: (a) pemrosesan Data Pribadi untuk kepentingan pelayanan publik; (b) kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan (c) kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.”

Menurut Pemohon, kriteria penunjukan PPDP yang dirumuskan secara kumulatif tersebut telah mempersempit cakupan dari organisasi pengendali data dan prosesor data yang diwajibkan melakukan penunjukkan PPDP. Dalam hal ini, kata para Pemohon, organisasi pengendali data dan prosesor data yang hanya memenuhi salah satu atau dua dari ketiga syarat dalam Pasal 53 ayat (1) UU PDP menjadi tidak diwajibkan untuk menunjuk PPDP. Padahal, masing-masing kriteria dalam setiap butir pada pasal a quo merupakan kriteria aktivitas pemrosesan data pribadi yang dikategorikan sebagai pemrosesan data pribadi yang memiliki potensi risiko tinggi terhadap subjek data pribadi yang juga ditegaskan dalam Pasal 34 ayat (2) UU PDP.

Dalam petitumnya, para Pemohon meminta Mahkamah untuk menyatakan Pasal 53 ayat (1) UU PDP bertentangan dengan UUD NRI Tahun 1945 dan tidak mempunyai kekuatan hukum mengikat sepanjang kata “dan” tidak dimaknai dengan “dan/atau”.(*)

Penulis: Mimi Kartika
Editor: Lulu Anjarsari P.
Humas: Fauzan Febriyan