JAKARTA, HUMAS MKRI – Presiden melalui kuasanya menghadirkan Dosen Fakultas Hukum Universitas Indonesia Yu Un Oppusunggu dalam sidang pengujian materiil sejumlah pasal dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) untuk Perkara Nomor 135/PUU-XXIII/2025 dan 137/PUU-XXIII/2025 di Mahkamah Konstitusi (MK) pada Senin (3/11/2025). Yu Un mengatakan UU PDP berlaku secara teritorial maupun ekstra-teritorial berkaitan dengan ketentuan Pasal 56 ayat (1) UU PDP mengenai transfer data pribadi ke luar wilayah hukum Negara Republik Indonesia (NRI).

“Norma hukum Pasal 56 ayat (1) UU PDP mengatur tentang transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia sebagai suatu pemrosesan yang berdasarkan kebutuhan (i) Pengendali Data Pribadi, (ii) Prosesor Data Pribadi, dan/atau (iii) Subjek Data Pribadi, yang terhadapnya tetap berlaku hukum positif Indonesia,” ujar Yu Un di Ruang Sidang Pleno MK, Jakarta.

Pasal 56 UU PDP selengkapnya menyebutkan: ayat (1) Pengendali Data Pribadi dapat melakukan transfer Data Pribadi kepada Pengendali Data Pribadi dan/atau Prosesor Data Pribadi di luar wilayah hukum Negara Republik Indonesia sesuai dengan ketentuan yang diatur dalam Undang-Undang ini; ayat (2) Dalam melakukan transfer Data Pribadi sebagaimana dimaksud pada ayat (1), Pengendali Data Pribadi wajib memastikan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam Undang-Undang ini; ayat (3) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) tidak terpenuhi, Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat; ayat (4) Dalam hal ketentuan sebagaimana dimaksud pada ayat (2) dan ayat (3) tidak terpenuhi, Pengendali Data Pribadi wajib mendapatkan persetujuan Subjek Data Pribadi; dan ayat (5) Ketentuan lebih lanjut mengenai transfer Data Pribadi diatur dalam Peraturan Pemerintah.

Yu Un menjelaskan dasar pentransferan Data Pribadi yang disebut dalam Pasal 16 ayat (2) huruf b UU PDP harus memperhatikan persetujuan yang sah secara eksplisit dari Subjek Data Pribadi, pemenuhan kewajiban hukum terhadap Subjek Data Pribadi, atau pelindungan kepentingan vital Subjek Data Pribadi. UU PDP, baik Pasal 55 yang mengatur tentang transfer Data Pribadi dalam wilayah hukum Indonesia, Pasal 56, maupun pasal lainnya, tidak mengatur secara eksplisit tentang jenis atau alasan pentransferan Data Pribadi.

Namun, Pasal 55 dan Pasal 56 UU PDP sama-sama mengatur bahwa baik pentransferan Data Pribadi dalam maupun di luar wilayah hukum Indonesia sama-sama harus mengikuti ketentuan UU PDP. Dengan kata lain, UU PDP berlaku secara teritorial maupun ekstra-teritorial. Keberlakuan UU PDP secara teritorial dan ekstra-teritorial dalam Pasal 56 ayat (1) ini merupakan pernyataan ulang norma hukum dari Pasal 2 UU PDP.

Sebagaimana rumusan, dengan penggunaan kata depan "di", Pasal 56 ayat (1) UU PDP mengatur tentang pentransferan Data Pribadi yang terjadi dari luar wilayah hukum Indonesia ke luar wilayah hukum Indonesia, dan tapi secara prima facie tidak mengatur tentang pentransferan Data Pribadi dari dalam wilayah hukum Indonesia ke luar wilayah hukum Indonesia. Dengan memperhatikan bahwa Bab VII UU PDP berjudul "Transfer Data Pribadi", dan Bagian II-nya "Transfer Data Pribadi ke Luar Wilayah Hukum Negara Republik Indonesia", Yu Un pun menyimpulkan bahwa dalam proses perancangan Pasal 56 ayat (1) semata kesalahan ketik yang dapat diabaikan.

Selain itu, Pasal 56 ayat (2) UU PDP mengelaborasi satu isu penting terkait pentransferan Data Pribadi dari dalam wilayah hukum Negera Republik Indonesia ke luar wilayah hukum Negara Republik Indonesia, yakni standar. Secara implisit Pasal 56 ayat (2) UU PDP mengatur 2 (dua) jenis standar—(i) normatif, dan (ii) teknologi. Ayat ini hanya mensyaratkan negara tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer memiliki tingkat Pelindungan Data Pribadi yang setara atau lebih tinggi dari Republik Indonesia.

Menurut Yu Un, Pasal 56 ayat (2) UU PDP menggunakan asumsi bahwa standar normatif dan standar teknologi yang ada dalam wilayah hukum Negara Republik Indonesia adalah patut dan/atau cukup tapi akan terus berkembang, dan standar tersebut harus terpenuhi oleh Pengendali Data Pribadi di luar negeri yang menerima transfer Data Pribadi. Standar normatif dan/atau standar teknologi "yang lebih tinggi dari yang diatur dalam" UU PDP menunjukkan perumusan yang visioner dan adaptif terhadap keanekaragaman pemilihan dan perkembangan teknologi di negara-negara lain.

Dia mengatakan jika tidak terdapat transparansi dari negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi tidak transparan, pemeriksaan terhadap syarat yang ditentukan oleh Pasal 56 ayat (2) UU PDP dapat dilakukan oleh (i) Pengendali Data Pribadi yang melakukan transfer Data Pribadi, (ii) Pengendali Data Pribadi yang menerima transfer Data Pribadi, dan/atau (iii) Prosesor Data Pribadi yang menerima transfer Data Pribadi. Secara alamiah pemeriksaan terhadap pemenuhan syarat tersebut sudah, atau akan, terbentuk berdasarkan praktik terbaik (best practices) dalam industri terkait.

Standar normatif dan standar teknologi Pelindungan Data Pribadi sebagaimana diatur oleh Pasal 56 ayat (2) UU PDP tidak berubah secara konseptual maupun praktik ketika terjadi transfer Data Pribadi ke luar wilayah hukum Negara Republik Indonesia. “Jika ternyata syarat dari Pasal 56 ayat (2) UU PDP tidak terpenuhi, maka terdapat solusi alternatif yang diatur oleh Pasal 56 ayat (3) UU PDP,” kata Yu Un.

Dia melanjutkan, Pasal 56 ayat 3 UU PDP merupakan solusi alternatif atau pengecualian yang bertanggung jawab terhadap kondisi atau fakta bahwa negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia. Jika tingkat Pelindungan Data Pribadi di negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia, maka "Pengendali Data Pribadi wajib memastikan terdapat Pelindungan Data Pribadi yang memadai dan bersifat mengikat".

Menurut Yu Un, kewajiban yang dibebankan oleh ayat ini harus dipahami secara objektif-proporsional, paling tidak berdasarkan dua pertimbangan. Pertama, apakah yang menjadi kebutuhan pentransferan Data Pribadi? Kedua, apakah jenis Data Pribadi yang menjadi objek pentransferan Data Pribadi (Pasal 4 UU PDP juncto Pasal 35 huruf b UU PDP)?

Jika secara objektif-proporsional transfer Data Pribadi ke negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai standar normatif dan/atau standar teknologi yang tidak setara atau lebih rendah dari yang berlaku di Republik Indonesia dapat merugikan Subjek Data Pribadi atau mengakibatkan penyalahgunaan Data Pribadi, maka transfer Data Pribadi ke negara tersebut tidak bisa terjadi. Apabila ternyata transfer Data Pribadi tersebut tetap terjadi, baik secara sengaja maupun tidak sengaja, Pengendali Data Pribadi tersebut terancam sanksi administratif sebagaimana diatur dalam Pasal 57 ayat (2) dan ayat (3) UU PDP.

Solusi Alternatif

Kemudian, kata Yu Un, Pasal 56 ayat 4 UU PDP merupakan solusi alternatif lebih lanjut terhadap kondisi atau fakta bahwa secara objektif-proporsional tingkat Pelindungan Data Pribadi di negara asing tempat kedudukan Pengendali Data Pribadi dan/atau Prosesor Data Pribadi yang menerima transfer Data Pribadi mempunyai tingkat Pelindungan Data Pribadi tidak memadai dan tidak bersifat mengikat. Kondisi atau fakta tingkat Pelindungan Data Pribadi yang tidak memadai dan tidak bersifat mengikat tersebut dapat dikesampingkan jika Pengendali Data Pribadi mendapatkan persetujuan Subjek Data Pribadi untuk transfer Data Pribadinya ke luar wilayah hukum Negara Republik Indonesia.

Persetujuan Subjek Data Pribadi menunjukkan bukan hanya menunjukkan pemenuhan hak Subjek Data Pribadi (Pasal 5 UU PDP), di satu sisi, dan pemenuhan kewajiban Pengendali Data Pribadi, (a.l. Pasal 20 UU PDP), tapi juga sifat Data Pribadi sebagai hak milik (Pasal 1 angka 1 UU PDP). Oleh karena itu, kewajiban Pengendali Data Pribadi untuk mendapatkan persetujuan Subjek Data Pribadi merupakan pelindungan terhadap hak konstitusional Subjek Data Pribadi.

“Transfer Data Pribadi tanpa persetujuan Subjek Data Pribadi merupakan perbuatan melawan hukum yang dapat menjadi dasar gugatan Subjek Data Pribadi terhadap Pengendali Data Pribadi atau pengenaan sanksi pidana oleh pengadilan,” tutur Yu Un.

---

Baca juga:
Jurnalis dan Seniman Minta Dikecualikan dari Larangan Pengungkapan Data Pribadi
Pemohon: Transfer Data Pribadi ke Luar Negeri Berisiko Lebih Tinggi
Komdigi: Larangan Ungkap Data Pribadi Tak Menutup Ruang Kerja Junalis, Akademis, Pegiat Seni
Larangan Ungkap Data Pribadi dalam UU PDP Perlu Tafsir Ketat dan Tegas
Wartawan Jadi Tersangka Karena Dugaan Ungkap Data Pribadi

---

Sebelum menutup persidangan, Ketua MK Suhartoyo mengatakan hari ini merupakan sidang terakhir untuk kedua perkara. Untuk itu, para pihak baik Pemohon 135/PUU-XXIII/2025 maupun Pemohon 137/PUU-XXIII/2025, termasuk DPR dan Presiden/Pemerintah dapat menyerahkan kesimpulan paling lambat pada Selasa, 11 November 2025 atau tujuh hari kerja sejak sidang terakhir hari ini.

Sebagai informasi, Perkara Nomor 137/PUU-XXIII/2025 dimohonkan dosen ilmu hukum sekaligus advokat Rega Felix terkait pengujian Pasal 56 ayat (1), ayat (2), ayat (3), dan ayat (4) UU PDP. Menurutnya, pasal tersebut sama sekali tidak menempatkan kedaulatan rakyat sebagai pemilik kedaulatan data pribadi yang sejati, seolah-olah persoalan transfer data pribadi hanya dianggap sebagai persoalan teknis yang tidak berdampak jauh pada kehidupan rakyat.

Permohonan ini menyusul adanya kesepakatan antara Pemerintah Indonesia dan Amerika Serikat mengenai transfer data pribadi warga negara sebagai bagian dari perjanjian perdagangan timbal balik. Pemohon menilai kesepakatan mengenai transfer data pribadi dari Indonesia ke Amerika Serikat (AS) tanpa ada mekanisme persetujuan rakyat berdampak signifikan terhadap kerugian hak konstitusional Pemohon sebagaimana diamanatkan Pasal 28G ayat (1) UUD NRI Tahun 1945.

Sementara sidang ini juga digelar sekaligus untuk Perkara Nomor 135/PUU-XXIII/2025 yang diajukan Pengajar Prof Masduki, Ilustrator/Pembuat Karikatur Amry Al Mursalaat, Aliansi Jurnalis Independen (AJI) Indonesia, serta Pembela Kebebasan Berekspresi Asia Tenggara (SAFEnet) yang tergabung dalam Koalisi masyarakat sipil Kebebasan Informasi dan Data Pribadi (SIKAP). Menurut para Pemohon, Pasal 65 ayat (2) juncto Pasal 67 ayat (2) UU PDP membuka tafsir yang luas dan tidak ketat yang memungkinkan hak-hak konstitusional para Pemohon terancam karena tugas-tugas pekerjaannya kerap kali melibatkan pengungkapan data pribadi guna pemenuhan hak atas informasi publik.(*)

Penulis: Mimi Kartika
Editor: Lulu Anjarsari P.
Humas: Tiara Agustina