Putusan MK Tentang Pengecualian UU PDP dan Praktik Internasional

MAHKAMAH Konstitusi baru saja memutus dua perkara dalam uji materiil Undang-undang No. 27 tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).

Uji materiil itu mencakup Perkara Nomor 108/PUU-XX/2022 dan Perkara Nomor 110/PUU-XX/2022. Dalam putusannya yang dibacakan Jumat 14 April 2023, MK menolak kedua gugatan itu pada keseluruhannya.

Perkara ini menjadi perhatian, karena justru diajukan hanya berselang sekitar dua bulan setelah UU PDP diundangkan.

Gugatan ini menjadi bahan kajian akademis, dan saya jadikan sebagai materi kuliah tentang Hukum Privasi dalam Media Elektronik di Fakultas Hukum UNPAD. Bahan ajar itu saya bagikan juga kepada pembaca Kompas.com.

Substansi gugatan

Sebetulnya, ada dua gugatan yang diajukan oleh dua pihak berbeda. Dalam proses persidangannya, dua perkara ini digabungkan oleh MK. Kedua perkara itu intinya adalah sebagai berikut:

Pertama, dalam Perkara Nomor 108/PUU-XX/2022, Pemohon menggugat keberadaan beberapa pasal yang meliputi pasal 1 angka 4, pasal 2 ayat (2) dan pasal 19 Undang-Undang Republik Indonesia Nomor 27 tahun 2022 tentang Pelindungan Data Pribadi (Lembar Negara Republik Indonesia Nomor 6820) atau UU PDP.

Pemohon meminta Mahkamah untuk memutus, bahwa norma dan materi muatan dimaksud bertentangan dengan Undang-Undang Dasar 1945, dan tidak mempunyai kekuatan hukum mengikat.

Kedua, Pemohon lainnya pada perkara Nomor 110/PUU-XX/2022 menggugat pasal 15 ayat (1) huruf a Undang-undang yang sama (UU PDP) terkait Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2).

Materi muatan yang digugat terkait norma yang dikecualikan untuk kepentingan pertahanan dan keamanan nasional.

Pemohon meminta agar Mahkamah menyatakan pasal dimaksud bertentangan dengan UUD NRI 1945 dan tidak memiliki kekuatan hukum mengikat.

Dalam perkara Nomor 110/PUU-XX/2022 ini, Pemohon juga memohon kepada Mahkamah agar menyatakan bahwa norma dan materi muatan tersebut dinyatakan bertentangan dengan UUD NRI 1945 dan tidak memiliki kekuatan hukum mengikat, sepanjang tidak dimaknai, bahwa yang dimaksud dengan kepentingan pertahanan dan keamanan nasional adalah kepentingan yang berkaitan dengan upaya untuk menjaga dan melindungi kedaulatan negara, keutuhan wilayah Negara Kesatuan Republik Indonesia, dan keselamatan segenap bangsa dari segala bentuk ancaman.

Individu dan rumah tangga

Mahkamah pada sidang, Jumat 14 April 2023, mengucapkan putusan atas dua perkara ini dengan menolak untuk keseluruhannya, yang dapat diuraikan sbb:

Pertama, terkait Perkara Nomor 108/PUU-XX/2022, bahwa pasal 2 ayat (2) UU PDP berbunyi : “Undang-Undang ini tidak berlaku untuk pemrosesan Data Pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga.”

Secara prinsip Mahkamah menyatakan bahwa norma ini tidak bertentangan dengan konstitusi.

Perlu diketahui bahwa pengecualian UU PDP terhadap orang perseorangan dalam kegiatan pribadi atau rumah tangga yang terdapat pada pasal ini, mengandung makna bahwa UU PDP tidak bermaksud memberikan beban berlebih kepada Subjek Data Pribadi.

Bayangkan saja, beban itu akan timbul jika subjek data yang hanya melakukan kegiatan individual atau rumah tangga, harus dikualifikasikan dan berstatus sebagai Pengendali Data pribadi, padahal tidak terkait dengan kegiatan bisnis. Dengan demikian pasal ini, diperlukan eksistensinya.

Kedua, Pasal ini berbicara tentang Pemrosesan Data pribadi yang tidak mengurangi makna Pelindungan Data Pribadi atas individu sebagai Subjek Data Pribadi.

Pasal 2 ayat (2) UU PDP, dimaksudkan untuk tidak mengidentikan atau mengkualifikasikan individu dalam kegiatan pribadi atau rumah tangganya, dengan kegiatan pemrosesan oleh Pengendali Data Pribadi pada korporasi atau badan publik.

Pasal ini justru menjadi ketentuan dan norma yang sangat penting untuk membedakan fungsi tersebut.

Sebagai catatan, alangkah repotnya jika setiap orang dalam aktivitas individual atau rumah tangga, harus berperan sebagai Pengendali Data atau Prosesor data Pribadi seperti layaknya korporasi atau badan publik, padahal tidak dalam rangka kegiatan komersial dan melibatkan orang lain.

Ketiga, perlu diketahui, jika pasal ini dihilangkan atau ditiadakan, maka konsekuensinya, setiap individu dalam kegiatan rumah tangga wajib melaksanakan ketentuan-ketentuan sebagai Pengendali Data Pribadi dan melakukan kewajiban sebagaimana antara lain seperti yang dimuat dalam Bab VI yaitu pasal 20 sampai dengan pasal 50 UU PDP.

Praktik Uni Eropa

Pengecualian dalam UU PDP, juga sama dan sebangun dalam Recital 18 General Data Protection Regulation (GDPR). Ketentuan itu menyatakan bahwa regulasi ini tidak berlaku untuk aktivitas pribadi atau rumah tangga.

GDPR menjadi standar internasional karena memiliki pengaturan komprehensif. Seperti kita ketahui GDPR awalnya berlaku bagi 27 negara Uni Eropa dengan total populasi 451 juta orang per 1 Januari 2023 (Eurostat, an official EU Website 30/3/2023) dan kemudian menjadi rujukan dan pedoman internasional.

Recital 18 GDPR menyatakan bahwa Peraturan ini tidak berlaku untuk pemrosesan data pribadi oleh orang perseorangan dalam kegiatan pribadi atau rumah tangga murni, yang tidak ada kaitannya dengan kegiatan profesional atau komersial.

Aktivitas pribadi atau rumah tangga dapat mencakup korespondensi, menyimpan alamat, atau jejaring sosial dan aktivitas online yang dilakukan dalam konteks aktivitas tersebut.

Namun demikian, Peraturan dalam GDPR tetap berlaku untuk pengendali atau prosesor data (di luar individu rumah tangga), yang menyediakan sarana untuk memproses data pribadi, untuk kegiatan pribadi atau rumah tangga tersebut.

Pertahanan kemananan

Perkara kedua yang diputus MK adalah Perkara Nomor 110/PUU-XX/2022. Gugatannya terkait Pengecualian UU PDP dalam konteks Pertahanan Kemananan Nasional, yang dapat diuraikan sebagai berikut.

Pertama, Pasal yang digugat adalah Pasal 15 ayat (1) huruf a UU PDP yang menyatakan Hak-hak Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 8, Pasal 9, Pasal 10 ayat (1), Pasal 11, dan Pasal 13 ayat (1) dan ayat (2) dikecualikan untuk antara lain kepentingan pertahanan dan keamanan nasional.

Sesungguhnya, pemberlakuan pasal 15 ayat (1) ini sebagai pengecualian dibatasi oleh ketentuan Pasal 15 ayat (2) UU PDP yang berbunyi: “Pengecualian sebagaimana dimaksud pada ayat (1) dilaksanakan hanya dalam rangka pelaksanaan ketentuan Undang-Undang.” Sehingga seharusnya dibaca dalam satu nafas.

Dengan demikian, secara penafsiran sistematik (systematische interpretatie), maka pasal pengecualian di bidang pertahanan keamanan ini, bermakna tidak bersifat karet dan fleksibel.

Dalam arti implementasinya hanya bisa dilaksanakan berdasarkan UU, dan tidak oleh peraturan perundangan di bawah UU, apalagi jika hanya berupa kebijakan.

Kedua, maka dapat disimpulkan, bahwa Pasal 15 ayat (2) selain sebagai norma pengecualian, juga berfungsi sebagai kaidah penunjuk yang sifatnya terbatas. Dikatakan terbatas, karena yang boleh ditunjuk dan dirujuk hanyalah hukum positif (existing law) level UU saja.

Praktik AS

Sebagaimana dirilis secara resmi oleh Pemerintah AS melalui DEA, official site of the U.S. Department of Justice, regulasi tentang Pelindungan Data di Amerika Serikat, juga mengenal pengecualian dalam berbagai kondisi, termasuk terkait pertahanan keamanan.

The US Privacy Act 1974 sebagaimana telah diubah dengan 5 U.S.C. § 552a, pada prinsipnya melarang pengungkapan data tentang seseorang tanpa persetujuan tertulis dari individu tersebut.

Kecuali jika pengungkapan tersebut sesuai dengan salah satu dari kriteria pengecualian yang ditetapkan undang-undang.

Undang-Undang Privasi (5 USC 552a), secara umum menetapkan bahwa setiap orang memiliki hak yang dapat ditegakkan di pengadilan, dan akses kepada catatan agen federal, di mana orang tersebut menjadi subjeknya.

Dikecualikan sejauh catatan tersebut atau bagian dari padanya dilindungi dari pengungkapan oleh salah satu dari norma pengecualian.

Berikut ini norma pengecualian dalam 5 USC 552a yang terkait dengan pertahanan dan keamanan:

Pertama, pengecualian sebagaimana diatur dalam ketentuan (j) (2), yaitu terkait pelaporan materil upaya penyidikan yang berkaitan dengan penegakan hukum pidana.

Termasuk di dalamnya adalah upaya pencegahan, pengendalian atau pengurangan kejahatan atau penangkapan pelaku kejahatan.

Kedua, pengecualian yang terdapat pada ketentuan (k) (1) yang menyatakan, terkait dengan informasi yang diklasifikasikan berdasarkan perintah eksekutif untuk kepentingan pertahanan nasional, atau kebijakan luar negeri. Misalnya, informasi yang melibatkan sumber atau metode intelijen.

Ketiga, sebagaimana diatur pada ketentuan (k) (2), terkait catatan penegakan hukum non-pidana yang disusun oleh lembaga mana pun, atau catatan penegakan hukum pidana, yang disusun oleh lembaga penegak hukum non-utama, yang tidak mengakibatkan hilangnya hak, keuntungan, atau hak istimewa di bawah program federal, atau yang akan mengidentifikasi sumber yang memberikan informasi berdasarkan janji bahwa identitasnya akan dirahasiakan.

Keempat, ketentuan (k) (3) menyatakan bahwa materi yang dipelihara sehubungan dengan pemberian layanan perlindungan Presiden AS atau individu lain mana pun, sesuai dengan otoritas Title 18, US Code Section 3056, juga termasuk yang dikecualikan.

Kesimpulannya, MK memutus perkara-perkara ini tidak hanya sesuai dengan pemaknaan konstitusi negara kita, tetapi juga selaras dengan best practices global.

Bahwa pengecualian terkait pemrosesan data pribadi dan pengecualian di bidang pertahanan dan keamanan seperti yang diterapkan oleh UU PDP, juga lazim dilakukan oleh berbagai negara.

Esensi materi muatan pengecualian ini menunjukan, produk hukum yang dibuat memiliki horizon luas dan memperhatikan anasir-anasir nonhukum dalam praktik universal sejalan dengan Teori Hukum Transformatif.

Pengecualian ini secara faktual telah diterapkan antara lain oleh negara yang sangat ketat dan menerapkan standar tinggi pelindungan data pribadi, seperti Uni Eropa dan Amerika Serikat.