Putusan Nomor 151/PUU-XXII/2024

Bahwa berkenaan dengan penempatan ketiga unsur/kriteria dalam norma Pasal 53 ayat (1) UU 27/2022 yang dimuat dalam bentuk tabulasi (structured listing) dimaksudkan untuk memudahkan identifikasi kegiatan yang masing-masing berdiri sendiri yang dapat menjadi dasar kewajiban penunjukan PPDP. Tiga unsur/kriteria dalam huruf a, huruf b, dan huruf c norma Pasal 53 ayat (1) UU 27/2022 merupakan rincian unsur/kriteria yang bersifat independen. Terkait dengan hal ini, pemerintah menyatakan bahwa pemenuhan satu unsur/kriteria saja sudah cukup untuk menimbulkan kewajiban menunjuk PPDP. Ketentuan Pasal 53 ayat (1) huruf a, huruf b, dan huruf c merupakan kegiatan atau kondisi yang menjadi unsur/kriteria menentukan ada tidaknya kewajiban pengendali atau prosesor data pribadi untuk menunjuk PPDP. Dengan kata lain, PPDP tidak harus ada atau tidak harus ditunjuk untuk kegiatan di luar unsur/kriteria yang tidak tercantum dalam Pasal 53 ayat (1) UU 27/2022 [vide Keterangan Tambahan Pemerintah hlm. 3]. Sementara itu, Dewan Perwakilan Rakyat dalam keterangannya menyatakan makna yang tepat dari rumusan Pasal 53 ayat (1) UU 27/2022 adalah huruf a, huruf b, dan huruf c yang berbentuk tabulasi merupakan suatu rincian yang berdiri sendiri-sendiri sebagai suatu hal untuk wajib menunjuk PPDP. Oleh karena itu, dalil para Pemohon yang pada intinya memaknai huruf a, huruf b, dan huruf c harus terpenuhi secara kumulatif untuk wajib menunjuk PPDP adalah pemaknaan yang tidak tepat. [vide Keterangan DPR hlm. 16]. Selain itu kata “dan” tidak menjadikan data pribadi milik para Pemohon tidak terlindungi dengan baik apabila data miliknya dikelola atau diproses oleh pengendali data dan prosesor data yang melakukan aktifitas pemrosesan data pribadi beresiko tinggi (high-risk data processing activities). Selain itu, adanya kata “dan” tersebut tidak menjadikan pengawasan kepatuhan pengelola data pribadi berdasarkan ketentuan UU 27/2022 menjadi berkurang [vide Keterangan DPR hlm. 19-20]. Pada dasarnya pembentuk undang-undang secara implisit mengakui bahwa penggunaan kata “dan” dalam norma Pasal 53 ayat (1) UU 27/2022 yang berkaitan dengan terpenuhinya unsur/kriteria untuk kewajiban penunjukan PPDP adalah tidak bersifat kumulatif. Namun demikian, rumusan tersebut menjadi persoalan ketika pembentuk undang-undang merumuskan dengan kata “dan”. Dalam kaitan ini, penggunaan kata “dan” dalam merumuskan norma suatu peraturan perundang-undangan lazim digunakan ketika merumuskan peraturan perundang-undangan yang memiliki unsur/kriteria yang bersifat kumulatif, sebagaimana Lampiran II Undang-Undang Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 13 Tahun 2022 tentang Perubahan Atas Pembentukan Peraturan Perundang-undangan (UU 12/2011), telah menentukan penggunaan kata/frasa dalam merumuskan unsur atau rincian dalam tabulasi, sebagai berikut. “88. Jika unsur atau rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif, ditambahkan kata dan yang diletakkan di belakang rincian kedua dari rincian terakhir. 89. Jika rincian dalam tabulasi dimaksudkan sebagai rincian alternatif ditambahkan kata atau yang di letakkan di belakang rincian kedua dari rincian terakhir. 90. Jika rincian dalam tabulasi dimaksudkan sebagai rincian kumulatif dan alternatif, ditambahkan kata dan/atau yang diletakkan di belakang rincian kedua dari rincian terakhir.” Namun demikian, dengan dirumuskannya kata “dan” sebagai kata penghubung dalam Pasal 53 ayat (1) huruf b UU 27/2022 setelah akhir kalimat “kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar;” dikhawatirkan para Pemohon bahwa apabila unsur/kriteria pada huruf a, huruf b, dan huruf c ketiganya terpenuhi, maka pengendali data pribadi dan prosesor data pribadi dalam melaksanakan kegiatan pemrosesan data pribadi baru wajib menunjuk PPDP. Sementara itu, jika unsur/kriteria yang terpenuhi dalam kegiatan pemrosesan data pribadi hanya meliputi satu atau dua unsur saja, maka tidak ada kewajiban bagi pengendali data pribadi dan prosesor data pribadi menunjuk PPDP. Hal demikian terjadi karena rumusan kata “dan” tersebut mengandung makna “kumulatif”. Oleh karena rumusan yang conditio interminus, menyebabkan rumusan kata ”dan” dalam norma Pasal 53 ayat (1) UU 27/2022 tidak sejalan dengan maksud dan tujuan dari pembentuk undang-undang yang menegaskan bahwa hal tersebut tidak dimaksudkan bersifat kumulatif, sebagaimana maksud angka 88 Lampiran II UU 12/2011. Dalam kaitan ini, kata ”dan” menunjuk pada unsur/kriteria atau rincian dalam tabulasi yang dimaksudkan secara kumulatif, untuk terikat pada kewajiban menunjuk PPDP. Dengan demikian, maksud pembentuk undang-undang untuk memberikan pelindungan data pribadi melalui UU 27/2022 yang hendak memastikan keamanan pemrosesan data pribadi oleh pengendali data dan prosesor data, tidak sejalan dengan rumusan unsur/kriteria pada huruf a, huruf b, dan huruf c dalam norma Pasal 53 ayat (1) UU 27/2022 yang jika terpenuhi oleh pengendali data pribadi atau prosesor data pribadi menimbulkan kewajiban menunjuk PPDP. Berkaitan dengan hal tersebut di atas, sesuai dengan maksud pembentuk undang-undang dalam merumuskan huruf a, huruf b, dan huruf c dalam norma Pasal 53 ayat (1) UU 27/2022 dimaksudkan sebagai kriteria mandiri (independen), yang apabila terpenuhi salah satu, dua, atau keseluruhan kriteria persyaratan oleh pengendali data pribadi atau prosesor data pribadi maka wajib baginya menunjuk PPDP, sehingga menurut Mahkamah rumusan yang tepat adalah bersifat alternatif-kumulatif, yaitu menggunakan frasa “dan/atau” yang lazim digunakan dalam perumusan suatu peraturan perundang-undangan, sebagaimana diatur dalam angka 90 Lampiran II UU 12/2011. Hal demikian sesungguhnya telah menjawab kekhawatiran subjek data dikarenakan adanya aktivitas pemrosesan data pribadi yang berisiko tinggi (high-risk data processing activities) sehingga pelindungan dan jaminan terhadap hak-hak konstitusional subjek data benar-benar terlindungi sedemikian rupa karena pelindungan data pribadi merupakan bagian yang tidak terpisahkan dari hak atas perlindungan diri pribadi sebagaimana dimaksud dalam Pasal 28G ayat (1) UUD NRI Tahun 1945. Oleh karena itu, data pribadi sebagai hak bagi setiap warga negara wajib untuk dilindungi secara maksimal sehingga tidak dapat dijadikan sebagai objek yang merugikan sehingga bertentangan dengan asas perlindungan, asas kehati-hatian, dan asas kerahasiaan demi menjaga eksklusifitas kerahasiaan data pribadi. Berdasarkan uraian pertimbangan hukum tersebut di atas, dalil para Pemohon yang mempersoalkan konstitusionalitas kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022 adalah dalil yang berdasar, sehingga kata “dan” dalam Pasal 53 ayat (1) huruf b UU 27/2022 haruslah dinyatakan inkonstitusional dan tidak memiliki kekuatan hukum mengikat sepanjang tidak dimaknai menjadi frasa “dan/atau” sebagaimana amar Putusan a quo. Dengan demikian, dalil para Pemohon adalah beralasan menurut hukum.

Menimbang bahwa berdasarkan seluruh uraian pertimbangan hukum di atas, telah ternyata norma Pasal 53 ayat (1) huruf b UU 27/2022 tidak memberikan jaminan perlindungan hak atas diri pribadi sehingga bertentangan dengan Pasal 28G ayat (1) UUD NRI Tahun 1945, sebagaimana yang didalilkan oleh para Pemohon. Dengan demikian, dalil-dalil permohonan para Pemohon adalah beralasan menurut hukum untuk seluruhnya.

Menimbang bahwa setelah Mahkamah memeriksa dan membaca secara saksama permohonan para Pemohon, keterangan Dewan Perwakilan Rakyat, keterangan Presiden, keterangan ahli Presiden, bukti-bukti yang diajukan oleh para Pemohon dan Presiden, kesimpulan tertulis para Pemohon, serta kesimpulan tertulis Presiden, persoalan konstitusionalitas norma yang harus dijawab oleh Mahkamah adalah apakah benar rumusan kata “dan” dalam norma Pasal 53 ayat (1) huruf b UU 27/2022 mempersempit kriteria kewajiban penunjukan PPDP bagi pengendali data dan prosesor data karena aktivitas pemrosesan data pribadi yang berisiko tinggi, sehingga merugikan hak konstitusional para Pemohon yakni hak atas perlindungan diri pribadi sebagaimana dijamin dalam Pasal 28G ayat (1) UUD NRI Tahun 1945.