MK PDP: Risiko Hukum Keterlambatan Pembentukan Badan Perlindungan Data Pribadi

Berita Sumber: "Di MK, DPR Dorong Pemerintah Segera Bentuk Badan Perlindungan Data Pribadi" (Kompas.com) · Cari artikel asli Berikut adalah analisis orisinal yang disusun AI berdasarkan fakta terverifikasi dari 3 pemberitaan nyata (bukan terjemahan atau salinan naskah asli). Lihat sumber di akhir artikel.

Putusan Mahkamah Konstitusi yang menguji materiil Pasal 58 ayat (5) dan Pasal 61 Undang-Undang Perlindungan Data Pribadi menyoroti risiko hukum akibat keterlambatan pembentukan Badan Perlindungan Data Pribadi. Isu ini menjadi krusial bagi advokat dan tim hukum karena ketidakpastian status lembaga pengawas dapat memicu sengketa tata kelola data serta memperumit kepatuhan korporasi terhadap sanksi administratif yang belum sepenuhnya terealisasi.

Konteks Sengketa: Antara Tuntutan DPR dan Gugatan Konstitusional

Dinamika politik hukum di Mahkamah Konstitusi (MK) mencerminkan ketegangan antara aspirasi legislatif dan kebutuhan kepastian hukum yang dituntut oleh masyarakat sipil. Dewan Perwakilan Rakyat (DPR) secara konsisten mendorong pemerintah untuk segera membentuk Badan Perlindungan Data Pribadi (PDP) sebagai tindak lanjut dari pengesahan Undang-Undang PDP pada tahun 2022. Tekanan ini didasarkan pada pemahaman bahwa keberadaan lembaga independen tersebut adalah kunci utama dalam menjamin perlindungan data warga negara sesuai dengan amanat konstitusi dan standar internasional.

Di sisi lain, gugatan konstitusional yang diajukan oleh sejumlah warga negara, termasuk Pardamean Sihombing, Eprina Manurung, Christian Adrianus Sihite, dan Matthew Febrian Otniel Lambok Hutasoit, menyoroti risiko nyata dari penundaan pembentukan lembaga tersebut. Dalam perkara nomor 236/PUU-XXIV/2026, para pemohon berargumen bahwa keterlambatan ini menciptakan kekosongan hukum dan ketidakpastian hukum yang merugikan hak konstitusional mereka. Mereka menuntut kepastian bahwa mekanisme perlindungan data tidak hanya ada di atas kertas, tetapi juga memiliki badan pelaksana yang berfungsi secara efektif.

Pemerintah dan DPR merespons gugatan ini dengan menyatakan bahwa proses pembentukan lembaga PDP sedang berlangsung dan menegaskan bahwa tidak terjadi kekosongan hukum. Namun, jadwal sidang MK yang dijadwalkan pada 27 dan 28 Juli 2026 di Jakarta akan menjadi momen krusial untuk menilai apakah penundaan ini dapat ditoleransi secara konstitusional atau justru dianggap sebagai pelanggaran kewajiban negara dalam melindungi hak asasi manusia, khususnya hak atas privasi dan perlindungan data pribadi.

Isu Konstitusional: Validitas Pasal 58 dan 61 UU PDP

Sengketa ini berpusat pada gugatan konstitusional nomor 236/PUU-XXIV/2026 yang diajukan oleh Pardamean Sihombing, Eprina Manurung, Christian Adrianus Sihite, dan Matthew Febrian Otniel Lambok Hutasoit. Para pemohon menantang validitas Pasal 58 ayat (5) dan Pasal 61 Undang-Undang Perlindungan Data Pribadi (UU PDP), dengan dalih utama bahwa keterlambatan penerbitan peraturan pelaksana—yaitu Peraturan Presiden (Perpres) untuk Pasal 58 dan Peraturan Pemerintah (PP) untuk Pasal 61—telah menciptakan kekosongan hukum yang mendasar. Gugatan ini berargumen bahwa ketentuan yang menyerahkan sepenuhnya pengaturan teknis kepada pemerintah tanpa tenggat waktu yang tegas dalam undang-undang utama berpotensi melanggar prinsip kepastian hukum dan hak konstitusional warga negara atas perlindungan data pribadi.

Pemerintah dan Dewan Perwakilan Rakyat (DPR) membantah klaim tersebut dengan menyatakan bahwa proses pembentukan Badan Perlindungan Data Pribadi (BPDP) sedang berjalan dan tidak terjadi kekosongan hukum. Namun, para pemohon menekankan bahwa tanpa regulasi turuan yang sudah final, mekanisme pengawasan dan penegakan hukum yang diatur dalam Pasal 61 tidak dapat beroperasi secara optimal. Ketidakpastian ini dianggap sebagai bentuk diskresi yang berlebihan yang diberikan kepada eksekutif, yang dapat menimbulkan risiko penyalahgunaan wewenang atau ketidakberlakuan norma hukum di tengah masyarakat yang membutuhkan kepastian perlindungan data.

Kerugian konstitusional yang ditengarai oleh pemohon adalah adanya ketidakpastian status hukum bagi para pengontrol data dan pemroses data pribadi. Selama Perpres dan PP belum terbit, batas-batas kewenangan BPDP serta prosedur penanganan pelanggaran data masih dalam keadaan ambigu. Hal ini tidak hanya menghambat efektivitas pengawasan independen yang diamanatkan oleh konstitusi, tetapi juga menimbulkan keraguan bagi publik mengenai mekanisme pengaduan dan pemulihan hak ketika terjadi pelanggaran data, sehingga esensi perlindungan data pribadi dalam UU PDP menjadi tidak berfungsi secara maksimal.

Dampak Praktis: Kesenjangan Regulasi dan Risiko Kepatuhan

Ketidakpastian status kelembagaan Badan Perlindungan Data Pribadi (BPDP) menciptakan celah regulasi yang signifikan dalam ekosistem kepatuhan sektor swasta. Meskipun Undang-Undang Perlindungan Data Pribadi (UU PDP) telah berlaku, ketiadaan lembaga pengawas yang operasional menghambat mekanisme penegakan hukum yang konkret. Hal ini menyebabkan banyak perusahaan menghadapi dilema dalam menerjemahkan komitmen perlindungan data menjadi praktik audit yang terverifikasi, karena tidak ada otoritas independen yang dapat memberikan kepastian hukum atau sertifikasi kepatuhan secara formal.

Risiko utama yang muncul adalah potensi ketidaksesuaian antara standar internal perusahaan dengan ekspektasi regulasi yang belum diawasi secara aktif. Tanpa BPDP yang siap berfungsi, proses audit kepatuhan data pribadi menjadi bersifat subjektif dan kurang terstandarisasi. Kondisi ini meningkatkan kerentanan organisasi terhadap sanksi administratif di masa depan, terutama mengingat fakta bahwa DPR RI secara konsisten telah mendorong percepatan pembentukan lembaga tersebut sejak UU PDP disahkan pada tahun 2022, menandakan urgensi penanganan kesenjangan tata kelola ini.

Oleh karena itu, sektor swasta perlu mengadopsi pendekatan proaktif dengan memperkuat kerangka tata kelola data internal mereka. Langkah ini mencakup penguatan mekanisme audit mandiri dan dokumentasi transparan pemrosesan data, yang berfungsi sebagai mitigasi risiko sebelum pengawasan eksternal diterapkan. Pendekatan ini tidak hanya membantu perusahaan tetap komprehensif dalam mematuhi prinsip-prinsip UU PDP, tetapi juga mempersiapkan infrastruktur kepatuhan yang siap berintegrasi dengan regulasi turunan seperti Perpres dan PP yang mengatur kewenangan BPDP.

Arsitektur Tata Kelola: Persiapan Menerima Pengawasan Independen

Keterlambatan pembentukan Badan Perlindungan Data Pribadi (BPDP) menciptakan situasi di mana korporasi beroperasi dalam ketidakpastian jangka panjang, sehingga menuntut penyesuaian mendasar pada struktur governance data internal. Meskipun pemerintah dan DPR menyatakan bahwa prosedur pembentukan sedang berjalan, fakta bahwa gugatan konstitusional nomor 236/PUU-XXIV/2026 masih menunggu putusan akhir hingga sidang di Jakarta pada Juli 2026 menunjukkan bahwa kepastian hukum mengenai otoritas pengawasan belum sepenuhnya terealisasi. Dalam konteks ini, perusahaan tidak dapat lagi mengandalkan kerangka kepatuhan yang statis, melainkan harus mempersiapkan diri untuk mekanisme pengawasan independen yang akan datang dengan standar ketat sesuai amanat Pasal 58 dan 61 UU PDP.

Oleh karena itu, langkah proaktif yang paling krusial adalah merevisi arsitektur tata kelola data agar selaras dengan prinsip akuntabilitas dan transparansi yang akan diawasi oleh lembaga baru. Perusahaan perlu memperkuat peran Pejabat Pelindung Data Pribadi (PPDP) dan memastikan bahwa prosedur penanganan pelanggaran data serta hak subjek data sudah terdokumentasi dengan baik, siap untuk diaudit kapan saja. Ketidaklengkapan struktur ini bukan hanya risiko administratif, tetapi dapat menjadi faktor aggravating (pemberat) jika terjadi insiden data di masa depan, mengingat potensi sanksi administratif yang serius meskipun lembaga pengawasnya sendiri masih dalam proses pembentukan.

Untuk memitigasi risiko tersebut, korporasi disarankan untuk melakukan audit internal menyeluruh terhadap alur pengelolaan data pribadi, memastikan bahwa dasar hukum pemrosesan data sudah valid dan persetujuan (consent) yang diperoleh telah memenuhi standar UU PDP. Selain itu, perusahaan harus menyiapkan protokol respons insiden yang jelas, karena ketika BPDP akhirnya beroperasi, mereka akan memiliki kewenangan penuh untuk melakukan investigasi dan menjatuhkan sanksi. Kesiapan ini mencakup tidak hanya aspek teknis keamanan siber, tetapi juga aspek tata kelola manusia dan prosedur, sehingga perusahaan dapat menunjukkan bukti kepatuhan yang substantif di hadapan regulator baru tersebut.

Sanksi Administratif: Implikasi Finansial dan Operasional

Keterlambatan pembentukan Badan Perlindungan Data Pribadi (BPDP) menciptakan ketidakpastian hukum yang signifikan, terutama terkait mekanisme penegakan sanksi administratif bagi pelanggar Undang-Undang Perlindungan Data Pribadi (UU PDP). Meskipun UU PDP telah mengatur besaran denda administratif yang dapat mencapai miliaran rupiah untuk pelanggaran serius, implementasi penagihan dan penjatuhan sanksi tersebut bergantung pada keberadaan lembaga pengawas yang berfungsi penuh. Tanpa BPDP yang resmi beroperasi, korporasi menghadapi risiko ambigu dalam menafsirkan kewajiban kepatuhan, di mana potensi sanksi finansial yang besar belum dapat ditegakkan secara konsisten oleh otoritas yang berwenang.

Bagi dunia bisnis, ketidakjelasan ini berimplikasi pada operasional sehari-hari dan tata kelola data. Perusahaan yang beroperasi di Indonesia harus tetap mematuhi standar pengawasan PDP sesuai UU PDP, namun tanpa lembaga independen yang siap menerima pengaduan atau melakukan audit, risiko pelanggaran tidak terdeteksi secara proaktif. Hal ini dapat menyebabkan korporasi terjebak dalam posisi rentan, di mana mereka harus menyiapkan diri untuk sanksi administratif di masa depan tanpa panduan teknis yang jelas dari regulator, sehingga meningkatkan beban kepatuhan dan potensi kerugian finansial jika terjadi insiden kebocoran data atau penyalahgunaan informasi pribadi.

Checklist Kesiapan: Langkah Proaktif Sebelum Lembaga Berdiri

Dalam antisipasi terbentuknya Badan Perlindungan Data Pribadi (PDP) yang masih menunggu regulasi turunan, perusahaan disarankan untuk segera melakukan audit menyeluruh terhadap ekosistem data mereka. Langkah konkret pertama adalah memetakan seluruh aliran data pribadi, mulai dari pengumpulan hingga penyimpanan, untuk mengidentifikasi celah keamanan yang belum tertangani. Perusahaan perlu memastikan bahwa basis data yang ada telah melalui proses sanitasi, di mana data yang tidak lagi relevan atau telah mencapai masa retensi yang ditentukan segera dimusnahkan atau dianonimkan sesuai prinsip minimisasi data dalam UU PDP.

Selain aspek teknis, penyempurnaan kebijakan privasi menjadi prioritas utama untuk menjembatani kesenjangan sebelum pengawasan resmi dimulai. Organisasi harus meninjau ulang dokumen kebijakan privasi yang ada agar selaras dengan hak subjek data yang lebih komprehensif, seperti hak untuk mengakses, memperbaiki, dan menghapus data pribadi. Proses ini harus disertai dengan mekanisme internal yang jelas untuk menanggapi permintaan tersebut dalam tenggat waktu yang ditetapkan, sehingga perusahaan tidak hanya sekadar memiliki dokumen, tetapi juga kapabilitas operasional untuk menaati hak-hak tersebut secara efektif.

Untuk memastikan kesiapan yang terukur, perusahaan dapat berfokus pada empat pilar remediasi berikut:

Audit Data: Melakukan inventarisasi lengkap terhadap jenis data pribadi yang diproses dan lokasi penyimpanannya.
Penyempurnaan Kebijakan: Merevisi kebijakan privasi dan perjanjian kerja sama dengan pihak ketiga agar transparan dan sesuai standar UU PDP.
Mekanisme Respons: Menetapkan prosedur baku dan penanggung jawab untuk menangani permintaan subjek data (DSR) secara cepat dan terdokumentasi.
Pelatihan Staf: Memberikan edukasi kepada karyawan mengenai pentingnya perlindungan data dan prosedur penanganan insiden kebocoran data.

Pertanyaan Umum

Apa dasar hukum pembentukan Badan Perlindungan Data Pribadi (PDP) di Indonesia?

Dasar hukumnya tercantum dalam Pasal 58 ayat (5) Undang-Undang PDP yang mewajibkan pembentukan lembaga tersebut, dengan rincian teknis diatur melalui Peraturan Presiden. Selain itu, Pasal 61 UU PDP juga mengatur bahwa tata cara pelaksanaan kewenangan lembaga ini ditetapkan melalui Peraturan Pemerintah.

Mengapa gugatan uji materi UU PDP diajukan ke Mahkamah Konstitusi?

Gugatan ini diajukan oleh sekelompok individu yang menyatakan bahwa keterlambatan pembentukan badan perlindungan data pribadi menciptakan kekosongan hukum dan ketidakpastian hukum. Mereka menilai bahwa ketidakjelasan status lembaga ini melanggar hak konstitusional perlindungan data pribadi sejak UU PDP disahkan.

Bagaimana posisi pemerintah dan DPR terkait gugatan uji materi tersebut?

Pemerintah dan DPR membantah adanya kekosongan hukum dengan menyatakan bahwa proses pembentukan badan perlindungan data pribadi sedang berjalan. Mereka berargumen bahwa keterlambatan administratif tidak serta merta membuat ketentuan pembentukan lembaga dalam UU PDP menjadi tidak konstitusional.