MK mengubah tafsir Pasal 53 UU PDP sehingga penunjukan PPDP kini wajib dilakukan jika salah satu dari tiga syarat terpenuhi, memperluas kewajiban perlindungan data pribadi bagi semua entitas
Mahkamah Konstitusi (MK) mengabulkan permohonan uji materi terhadap Pasal 53 ayat (1) huruf b Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Dalam putusannya, MK menyatakan bahwa penggunaan kata “dan” dalam pasal tersebut bertentangan dengan Undang-Undang Dasar 1945 dan tidak memiliki kekuatan hukum mengikat, kecuali ditafsirkan sebagai “dan/atau”.
Menurut laporan dari Sindonews, putusan ini membawa perubahan penting terhadap interpretasi kewajiban menunjuk Pejabat atau Petugas Pelindungan Data Pribadi (PPDP), atau yang dikenal sebagai Data Protection Officer (DPO).
Sebelum putusan Mahkamah Konstitusi, berdasarkan UU PDP, badan atau instansi hanya wajib menunjuk DPO apabila memenuhi tiga syarat secara bersamaan. Namun dengan dikabulkannya permohonan ini, pemenuhan satu saja dari tiga syarat yang dimaksud sudah cukup untuk mewajibkan penunjukan DPO.
Pertimbangan Konstitusional
Hakim Konstitusi Arief Hidayat menyatakan bahwa perlindungan data pribadi merupakan bagian dari hak atas perlindungan diri yang dijamin oleh konstitusi, tepatnya dalam Pasal 28G ayat (1) UUD 1945.
Dalam pandangan Mahkamah Konstitusi, penggunaan frasa “dan” dalam Pasal 53 ayat (1) huruf b UU PDP membatasi ruang lingkup entitas yang berkewajiban menunjuk DPO, karena mengharuskan pemenuhan tiga kondisi secara kumulatif.
Tiga kondisi dalam UU PDP yang mengharuskan ditunjuknya DPO adalah:
(1) pengendali atau prosesor data pribadi menyelenggarakan pelayanan publik;
(2) kegiatan pemrosesan data pribadi bersifat skala besar; dan
(3) kegiatan pemrosesan mencakup data spesifik atau berkaitan dengan tindak pidana.
Dengan hanya menggunakan kata “dan”, maka kewajiban menunjuk DPO hanya berlaku bila ketiganya terpenuhi sekaligus.
Namun MK berpendapat bahwa setiap syarat tersebut seharusnya berdiri sendiri. Artinya, jika suatu badan hanya memenuhi satu dari tiga kondisi, maka sudah seharusnya tetap wajib menunjuk DPO sebagai bentuk tanggung jawab hukum terhadap perlindungan data pribadi.
Amar Putusan
Dalam Putusan Nomor 151/PUU-XXII/2024, Mahkamah menyatakan bahwa frasa “dan” dalam ketentuan tersebut tidak sesuai dengan UUD 1945, dan harus diartikan sebagai “dan/atau” agar sejalan dengan prinsip perlindungan konstitusional terhadap data pribadi warga negara.
Dengan demikian, cakupan entitas yang diwajibkan menunjuk DPO kini menjadi lebih luas. Tidak hanya instansi pemerintah atau perusahaan besar, tetapi juga entitas yang memproses data pribadi secara signifikan meskipun hanya dalam satu aspek dari tiga syarat tersebut.
DPO sebagai Pendukung Pelaksanaan Kewajiban Pelindungan Data Pribadi
Putusan ini memperkuat kerangka regulasi pelindungan data pribadi di Indonesia. Kewajiban untuk menunjuk DPO kini tidak bisa lagi dihindari hanya karena suatu entitas tidak memenuhi semua syarat sekaligus. Cukup dengan terpenuhinya satu kondisi, tanggung jawab hukum tersebut sudah melekat.
Bagi sektor privat maupun publik, ini menandai penguatan aspek compliance dalam pengelolaan data pribadi. Penunjukan DPO bukan hanya menjadi formalitas, tetapi merupakan kewajiban hukum yang harus dipenuhi untuk memastikan adanya mekanisme pengawasan internal terhadap praktik pemrosesan data pribadi.
Penunjukan DPO oleh Perusahaan sebagai Pemenuhan Kewajiban UU PDP dan Pelaksanaan Good Corporate Governance
Menanggapi hal ini, Sekar Ayu, Partner di BP Lawyers, menyampaikan:
“Sejak diundangkan dan berlaku efektifnya UU PDP di Indonesia, penting bagi pelaku usaha dan perusahaan untuk mendapatkan kepastian hukum mengenai bagaimana cara melaksanakan kewajiban PDP di Indonesia.”
Menurut Sekar, “Hampir seluruh pelaku usaha dan perusahaan melakukan pemrosesan terhadap data pribadi. Mungkin tidak terhadap data pribadi pihak eksternal, namun terhadap data pribadi pihak internal perusahaan, seperti karyawan. Pemrosesan ini dilakukan untuk kepentingan karyawan juga, yaitu pemenuhan hak-hak karyawan seperti penggajian, asuransi dan juga pendaftaran di fasilitas BPJS.”
“Sehingga, penting bagi perusahaan untuk memastikan apakah menjadi wajib untuk menunjuk DPO yang memiliki fungsi mengawasi dan mendukung pelaksanaan program PDP di dalam perusahaan. Walaupun UU PDP mengatur siapa saja yang memenuhi kriteria wajib menunjuk DPO, pada dasarnya setiap perusahaan yang melakukan pemrosesan data pribadi sangat disarankan menunjuk DPO, sebagai bagian dari good corporate governance.”
Baca Juga: Kewajiban Perekaman Data yang Harus Dipenuhi dalam UU PDP
Penunjukan DPO sebagai Pilar Kepatuhan dan Tata Kelola Perusahaan
Putusan MK yang mengubah tafsir Pasal 53 UU PDP mempertegas pentingnya penunjukan Data Protection Officer (DPO) sebagai bagian dari kepatuhan hukum yang tidak bisa lagi dianggap opsional. Bagi perusahaan, terutama yang memproses data pribadi dalam bentuk apa pun, baik eksternal maupun internal, penunjukan DPO menjadi mekanisme wajib untuk memastikan perlindungan data dilakukan secara sistematis dan terawasi.
Seperti yang disampaikan Sekar Ayu, bahkan pemrosesan data karyawan untuk kebutuhan administratif seperti penggajian dan asuransi sudah cukup menjadi dasar perlunya DPO dalam struktur organisasi.
Dengan demikian, perusahaan perlu segera mengevaluasi kegiatan pemrosesan data yang dilakukan dan mengidentifikasi apakah kriteria kewajiban penunjukan DPO telah terpenuhi. Meski tidak semua entitas diwajibkan secara eksplisit, pendekatan kehati-hatian dan prinsip good corporate governance mendorong setiap organisasi untuk menunjuk DPO sebagai bentuk tanggung jawab terhadap hak privasi individu. Ke depan, penunjukan DPO akan menjadi tolok ukur kepatuhan sekaligus investasi dalam membangun kepercayaan pemangku kepentingan.
Sumber gambar: MK Republik Indonesia
(RED)
