Pematangsiantar, MISTAR.ID - Mahkamah Konstitusi menguji Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) setelah digugat oleh pemohon Pardamean Sihombing, S.H., M.H.,Eprina Manurung, S.H., M.H., Christian Adrianus Sihite, S.H., dan Matthew Febrian Otniel Lambok Hutasoit, S.H.

Keempat pemohon melihat bahwa UU PDP yang ditetapkan empat tahun silam itu belum menjadi benteng terakhir perlindungan data warga negara, selama pemerintah belum menyediakan lembaga dan mekanisme yang benar-benar dapat digunakan warga ketika data pribadinya bocor atau disalahgunakan.

Berdasarkan itu, para pemohon mempertanyakannya dalam sidang perkara Nomor 236/PUU-XXIV/2026. Terlebih pada Pasal Pasal 58 ayat (5) dan Pasal 61 UU PDP terhadap Pasal 1 ayat (3), Pasal 28D ayat (1), dan Pasal 28G ayat (1) UUD 1945.

Sidang dengan agenda mendengarkan keterangan ahli dan saksi digelar Selasa, (11/8/2026) dipimpin Hakim Konstitusi Suhartoyo, Asrul Sani, dan Saldi Isra.

Dalam persidangan itu, persoalan yang semula terlihat sebagai problem regulasi berubah menjadi gambaran konkret mengenai kegelisahan warga: ketika data pribadi diduga bocor, siapa yang sebenarnya bertanggung jawab melindungi pemilik data?

Dari ruang sidang ke pengalaman warga

Sidang ini mendengarkan keterangan dua saksi, yaitu Kaleb Otniel Aritonang dan Angela Anggia Ramoti Hutasoit, dengan membawa persoalan tersebut dari teks undang-undang ke pengalaman langsung sebagai warga.

Kaleb selaku warga negara yang memiliki KTP elektronik dan tercatat sebagai pemilih tetap. Sehingga nama, NIK, nomor kartu keluarga, alamat, tempat dan tanggal lahir serta data kependudukan lainnya merupakan bagian dari informasi pribadinya yang dikelola KPU.

Kekhawatiran muncul ketika pada akhir November 2023 publik dikejutkan pemberitaan mengenai dugaan kebocoran data DPT KPU.

Dalam keterangannya, Kaleb menyebut dugaan kebocoran tersebut dikaitkan dengan peretas bernama akun "Jimbo", yang mengklaim memperoleh sekitar 252 juta baris data dan setelah penyaringan data ganda menjadi sekitar 204 juta data unik. Data yang disebut-sebut bocor tidak hanya nama dan alamat, tetapi juga NIK, nomor kartu keluarga, tempat dan tanggal lahir, alamat lengkap, status perkawinan hingga informasi wilayah administratif.

Bagi Kaleb, persoalannya bukan berhenti pada bagaimana data itu bisa keluar dari sistem. Ia justru menghadapi ketidakpastian yang lebih mendasar: apakah datanya termasuk yang bocor, apakah telah disalin, diperjualbelikan, digunakan untuk pencurian identitas, penipuan, atau bentuk penyalahgunaan lainnya.

Kaleb mengatakan dirinya mengetahui dugaan kebocoran tersebut melalui pemberitaan media, bukan pemberitahuan resmi dari KPU atau lembaga negara lainnya.

Negara bergerak, tetapi korban mencari pintu pengaduan

Kaleb mengakui negara melakukan berbagai langkah setelah dugaan kebocoran mencuat.

KPU melakukan investigasi internal dan koordinasi. BSSN melakukan investigasi teknis. Kementerian Komunikasi dan Digital ikut melakukan koordinasi, sementara aparat penegak hukum melalui Direktorat Tindak Pidana Siber Bareskrim Polri melakukan penyelidikan.

Namun, menurut Kaleb, langkah tersebut lebih berfokus pada investigasi insiden dan penegakan hukum terhadap pelaku.

Yang ia persoalkan adalah tidak ditemukannya otoritas khusus dan independen yang dapat menjadi tempat bagi subjek data untuk mengadu, memeriksa kepatuhan pengendali data, memerintahkan pemulihan hak korban, dan menjatuhkan sanksi administratif berdasarkan UU PDP.

Dengan kata lain, negara dapat menyelidiki dugaan kejahatannya, tetapi siapa yang secara khusus memastikan hak pemilik data dipulihkan?

Pertanyaan itu menjadi salah satu benang merah perkara

Pengalaman mahasiswa: data diketahui penipu, korban bingung mencari perlindungan

Kesaksian Angela membawa persoalan serupa ke lingkungan perguruan tinggi.

Sebagai mahasiswa, Angela menyerahkan berbagai data pribadi kepada institusi pendidikan, antara lain nama lengkap, NIK, tempat dan tanggal lahir, alamat, nomor kontak, dan surat elektronik. Data tersebut tersimpan dalam sistem administrasi akademik dan platform pembelajaran daring.

Menurut Angela, kerugian yang ia rasakan bukan sekadar rasa cemas.

Ketika mencoba mencari tahu ke mana harus menyampaikan keluhan sebagai subjek data, ia tidak menemukan alur pelaporan dan mekanisme pertanggungjawaban yang jelas.

Ia tidak mengetahui apakah harus melapor kepada kampus, kepolisian, Kementerian Komunikasi dan Digital, atau pihak lainnya. Ia juga tidak mengetahui siapa yang bertanggung jawab memastikan pemulihan apabila benar terjadi penyalahgunaan data.

Kekhawatiran itu semakin kuat ketika sejumlah mahasiswa di lingkungannya mengalami dugaan penipuan menggunakan data pribadi.

Pada akhir November 2025, sejumlah mahasiswa menerima telepon dari orang yang mengaku sebagai anggota kepolisian. Penelepon mengetahui NIK, nama lengkap, alamat dan tanggal lahir korban, lalu menuduh mereka terlibat tindak pidana pencucian uang.

Sebagian korban diarahkan mengikuti pertemuan daring, membagikan layar perangkat, bahkan melakukan transfer uang. Akibatnya, sebagian mengalami kerugian materiil sekaligus tekanan psikologis.

Pada akhir Juli 2026, kekhawatiran serupa kembali muncul setelah sistem pembelajaran daring kampus Angela diduga diretas dan tampilannya berubah menjadi iklan perjudian daring.

Sejumlah mahasiswa juga menerima surat elektronik yang seolah berasal dari administrator sistem dan beberapa mahasiswa mendapat panggilan dari nomor tak dikenal yang telah mengetahui nama lengkap mereka.

Angela menegaskan, persoalannya bukan menyalahkan kampus.

Yang dipersoalkan adalah siapa otoritas negara di luar kampus yang dapat memberikan kepastian ketika terjadi insiden terhadap data pribadi mahasiswa.

Ahli: Ini bukan lagi sekadar persoalan administrasi

Di titik inilah pendapat ahli Prof. Dr. Hulman Panjaitan, S.H., M.H. memberikan kerangka konstitusional terhadap persoalan tersebut.

Hulman menempatkan perlindungan data pribadi sebagai bagian dari perlindungan hak asasi manusia.

Ia menghubungkannya dengan Pasal 1 ayat (3) UUD 1945 yang menegaskan Indonesia sebagai negara hukum, Pasal 28D ayat (1) mengenai kepastian hukum yang adil, serta Pasal 28G ayat (1) mengenai perlindungan diri pribadi dan rasa aman.

Menurut Hulman, keberadaan UU PDP merupakan bentuk campur tangan negara dalam kerangka negara hukum modern untuk memberikan perlindungan terhadap warga.

Karena itu, lembaga pelindungan data pribadi yang diperintahkan UU PDP bukan sekadar perangkat birokrasi tambahan.

Lembaga tersebut merupakan instrumen perlindungan hukum preventif bagi warga negara.

Hulman bahkan menilai ketiadaan lembaga tersebut menunjukkan ketidakkonsistenan antara tujuan UU PDP dengan pelaksanaan perlindungan hak warga negara.

Pasal 58 dan 61 dipersoalkan

Objek pengujian perkara ini adalah Pasal 58 ayat (5) dan Pasal 61 UU PDP.

Dalam pendapat ahli, Pasal 58 mengatur bahwa penyelenggaraan pelindungan data pribadi dilaksanakan oleh lembaga yang ditetapkan Presiden dan bertanggung jawab kepada Presiden, sementara ketentuan lebih lanjut mengenai lembaga tersebut diatur melalui Peraturan Presiden.

Sementara persoalan yang muncul adalah belum adanya batas waktu yang tegas mengenai kapan aturan pelaksana tersebut harus diterbitkan.

Bagi Hulman, ketiadaan batas waktu tidak dapat dipisahkan dari prinsip kepastian hukum.

Ia mengaitkannya dengan Pasal 74 ayat (1) UU Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan yang, menurut pendapatnya, mengharuskan adanya batas waktu penetapan peraturan pelaksana undang-undang.

Ketiadaan batas waktu tersebut dinilai berpotensi bertentangan dengan prinsip kepastian hukum sebagaimana dijamin Pasal 28D ayat (1) UUD 1945.

Ahli usulkan batas waktu maksimal satu tahun

Hulman memberikan ukuran mengenai waktu yang menurutnya ideal.

Dengan mempertimbangkan urgensi perlindungan data pribadi serta tugas dan kewenangan lembaga yang akan dibentuk, ia berpendapat aturan pelaksana pembentukan Lembaga Perlindungan Data Pribadi idealnya diterbitkan paling lama satu tahun sejak UU PDP diundangkan.

UU PDP diundangkan pada 17 Oktober 2022. Dengan demikian, batas waktu ideal yang dikemukakan ahli adalah 17 Oktober 2023.

Ia membandingkan hal tersebut dengan sejumlah regulasi lain yang menggunakan rentang satu tahun sebagai masa yang wajar untuk membentuk atau menyiapkan perangkat pelaksanaan undang-undang.

Pemohon meminta MK memberi kepastian

Persoalan pembentukan lembaga ini memang telah menjadi inti perkara sejak awal.

Dalam sidang pendahuluan, MK mencatat para Pemohon mempersoalkan tidak kunjung dilaksanakannya amanat pembentukan lembaga pelindungan data pribadi yang diperintahkan Pasal 58 ayat (5) dan Pasal 61 UU PDP.

Pada sidang perbaikan permohonan 14 Juli 2026, para Pemohon juga memperkuat argumentasi mengenai batas waktu pembentukan peraturan pelaksana dan meminta MK memberikan penafsiran konstitusional agar lembaga pelindungan data pribadi segera dibentuk. Dalam petitum perbaikan yang dibacakan saat itu, Pemohon meminta agar Peraturan Presiden yang mengatur lembaga tersebut ditetapkan paling lama enam bulan sejak putusan MK diucapkan.

Dengan demikian, perkara yang diajukan Pardamean Sihombing dan kawan-kawan bukan sekadar gugatan terhadap sebuah pasal.

Perkara ini membawa persoalan tentang efektivitas negara dalam memenuhi janji perlindungan data pribadi.

Negara hukum diuji di ruang digital

Dari tiga keterangan yang diajukan dalam persidangan, terlihat satu garis merah.

Kaleb berbicara tentang warga yang khawatir data kependudukannya menjadi bagian dari dugaan kebocoran.

Angela berbicara tentang mahasiswa yang menghadapi dugaan penyalahgunaan data dan penipuan.

Sedangkan Hulman memberikan dasar argumentasi bahwa persoalan tersebut menyentuh prinsip negara hukum, perlindungan hak asasi manusia, dan kepastian hukum.

Ketiganya bertemu pada pertanyaan yang sama:

Jika data pribadi warga diduga bocor, kepada siapa warga harus meminta perlindungan?

Pertanyaan itu bukan pertanyaan teoritis.

Bagi Kaleb, pertanyaan itu muncul ketika ia tidak mengetahui apakah datanya ikut bocor dan disalahgunakan.

Bagi Angela, pertanyaan itu muncul ketika ia dan rekan-rekannya tidak menemukan satu otoritas independen yang secara jelas dapat menerima pengaduan dan memastikan pertanggungjawaban.

Dan bagi ahli, kekosongan tersebut berhubungan langsung dengan kewajiban negara memberikan perlindungan hukum yang efektif.

Bukan hanya soal lembaga, tetapi soal hak warga

Pada akhirnya, perkara Nomor 236/PUU-XXIV/2026 membawa MK pada persoalan yang lebih besar daripada sekadar pembentukan sebuah lembaga negara.

Ini adalah perkara mengenai jarak antara norma hukum dan perlindungan nyata.

UU PDP telah menjanjikan perlindungan. Namun, bagi warga yang menghadapi dugaan kebocoran, perlindungan itu harus memiliki pintu masuk yang jelas.

Harus ada pihak yang menerima pengaduan.

Harus ada pihak yang mengawasi pengendali data.

Harus ada mekanisme pemulihan.

Dan harus ada kepastian mengenai siapa yang bertanggung jawab ketika hak pemilik data dilanggar.

Dalam keterangannya, Kaleb menyebut belum terbentuknya lembaga yang diperintahkan UU PDP telah membuatnya kehilangan akses terhadap mekanisme perlindungan yang semestinya tersedia bagi subjek data. Ia mengaitkannya dengan hak atas kepastian hukum yang adil dan perlindungan diri pribadi serta rasa aman sebagaimana dijamin UUD 1945.

Angela menyampaikan kegelisahan serupa. Ia menilai hak-hak konstitusional tidak semestinya berhenti sebagai janji normatif di atas kertas.

Sementara Hulman menyimpulkan bahwa ketiadaan Lembaga Perlindungan Data Pribadi dan tidak adanya kepastian mengenai pembentukannya berkaitan dengan prinsip negara hukum dan kepastian hukum yang dijamin konstitusi.

Bola berada di tangan Mahkamah Konstitusi

Perkara yang diajukan Pardamean Sihombing dan para Pemohon lainnya pada akhirnya bukan hanya mempertanyakan kapan lembaga perlindungan data dibentuk.

Lebih jauh, perkara ini mempertanyakan sesuatu yang sangat mendasar dalam negara hukum digital:

Ketika negara meminta warga menyerahkan data pribadinya untuk berbagai kepentingan administrasi dan pelayanan publik, apakah negara juga telah menyediakan perlindungan yang nyata ketika data itu jatuh ke tangan yang salah?

Jawaban atas pertanyaan tersebut akan menentukan bukan hanya nasib dua norma dalam UU PDP, tetapi juga seberapa jauh negara hadir melindungi identitas digital warganya.(Hamzah/hm02)