Dua orang warga negara Indonesia (WNI), yakni Eric Cihanes (Pemohon I) dan Garin Arian Reswara (Pemohon II) yang merupakan mahasiswa mengajukan permohonan pengujian konstitusionalitas Pasal 53 ayat (1) UU No.27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) terhadap Pasal 28G ayat (1) UUD Negara Republik Indonesia Tahun 1945 (UUD 1945).
Para Pemohon mempersoalkan frasa “dan” pada akhir kalimat butir b dalam pasal a quo terkait ketentuan kewajiban pengendali data pribadi dan prosesor data pribadi menunjuk pejabat atau petugas yang melaksanakan fungsi pelindungan data pribadi.
“Hal ini berarti kriteria penunjukan PPDP (Pelindungan Data Pribadi) yang dirumuskan dengan penggunaan kata ‘dan’ merupakan kriteria yang bersifat kumulatif, yang artinya Pengendali Data dan Prosesor Data baru diwajibkan untuk menunjuk PPDP apabila memenuhi seluruh atau ketiga kriteria pada butir a, b, dan c pada Pasal 53 ayat (1) UU PDP tersebut secara bersamaan atau keseluruhan,” ujar Eric dalam sidang pemeriksaan pendahuluan Perkara Nomor 151/PUU-XXII/2024, Rabu (30/10) di Ruang Sidang MK, Jakarta Pusat, sebagaimana dikutip dalam laman resmi MK.
Baca juga:
- Begini Seluk Beluk Pelindungan Data Pribadi dalam UU PDP
- Perjalanan Panjang Regulasi Pelindungan Data Pribadi di Indonesia
Pasal 53 ayat (1) UU PDP selengkapnya berbunyi, “Pengendali Data Pribadi dan Prosesor Data Pribadi wajib menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi dalam hal: (a) pemrosesan Data Pribadi untuk kepentingan pelayanan publik; (b) kegiatan inti Pengendali Data Pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas Data Pribadi dengan skala besar; dan (c) kegiatan inti Pengendali Data Pribadi terdiri dari pemrosesan Data Pribadi dalam skala besar untuk Data Pribadi yang bersifat spesifik dan/atau Data Pribadi yang berkaitan dengan tindak pidana.”
Kriteria penunjukan PPDP yang dirumuskan secara kumulatif tersebut telah mempersempit cakupan dari organisasi pengendali data dan prosesor data yang diwajibkan melakukan penunjukkan PPDP.
Dalam hal ini, kata para Pemohon, organisasi pengendali data dan prosesor data yang hanya memenuhi salah satu atau dua dari ketiga syarat dalam Pasal 53 ayat (1) UU PDP menjadi tidak diwajibkan untuk menunjuk PPDP. Padahal, masing-masing kriteria dalam setiap butir pada pasal a quo merupakan kriteria aktivitas pemrosesan data pribadi yang dikategorikan sebagai pemrosesan data pribadi yang memiliki potensi risiko tinggi terhadap subjek data pribadi yang juga ditegaskan dalam Pasal 34 ayat (2) UU PDP.
