JAKARTA, KabarMedan.com — Empat tahun setelah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) diundangkan, persoalan yang seharusnya menjadi benteng terakhir perlindungan data warga negara justru kembali diuji di Mahkamah Konstitusi.
Bukan semata soal apakah Indonesia telah memiliki aturan perlindungan data pribadi, melainkan apakah negara telah menyediakan lembaga dan mekanisme yang benar-benar dapat digunakan warga ketika data pribadinya bocor atau disalahgunakan.
Pertanyaan itu mengemuka dalam sidang perkara Nomor 236/PUU-XXIV/2026 yang diajukan Pemohon Pardamean Sihombing, S.H., M.H., bersama Eprina Manurung, S.H., M.H., Christian Adrianus Sihite, S.H., dan Matthew Febrian Otniel Lambok Hutasoit, S.H.
Perkara tersebut menguji Pasal 58 ayat (5) dan Pasal 61 UU PDP terhadap Pasal 1 ayat (3), Pasal 28D ayat (1), dan Pasal 28G ayat (1) UUD 1945. MK sebelumnya mencatat para Pemohon mempersoalkan belum terbentuknya lembaga pelindungan data pribadi sebagaimana diperintahkan UU PDP.
Sidang dengan agenda mendengarkan keterangan ahli dan saksi digelar Selasa, 11 Agustus 2026 dipimpin Hakim Konstitusi Suhartoyo, Asrul Sani, dan Saldi Isra.
Dalam persidangan itu, persoalan yang semula terlihat sebagai problem regulasi berubah menjadi gambaran konkret mengenai kegelisahan warga: ketika data pribadi diduga bocor, siapa yang sebenarnya bertanggung jawab melindungi pemilik data?
Dari ruang sidang ke pengalaman warga
Dua saksi yang keterangannya diajukan dalam perkara ini, Kaleb Otniel Aritonang dan Angela Anggia Ramoti Hutasoit, membawa persoalan tersebut dari teks undang-undang ke pengalaman langsung sebagai warga.
Kaleb merupakan warga negara yang memiliki KTP elektronik dan tercatat sebagai pemilih tetap. Karena itu, data berupa nama, NIK, nomor kartu keluarga, alamat, tempat dan tanggal lahir serta data kependudukan lainnya merupakan bagian dari informasi pribadinya yang dikelola KPU.
Kekhawatiran muncul ketika pada akhir November 2023 publik dikejutkan pemberitaan mengenai dugaan kebocoran data DPT KPU.
Dalam keterangannya, Kaleb menyebut dugaan kebocoran tersebut dikaitkan dengan peretas bernama akun “Jimbo”, yang mengklaim memperoleh sekitar 252 juta baris data dan setelah penyaringan data ganda menjadi sekitar 204 juta data unik. Data yang disebut-sebut bocor tidak hanya nama dan alamat, tetapi juga NIK, nomor kartu keluarga, tempat dan tanggal lahir, alamat lengkap, status perkawinan hingga informasi wilayah administratif.
Bagi Kaleb, persoalannya bukan berhenti pada bagaimana data itu bisa keluar dari sistem. Ia justru menghadapi ketidakpastian yang lebih mendasar: apakah datanya termasuk yang bocor, apakah telah disalin, diperjualbelikan, digunakan untuk pencurian identitas, penipuan, atau bentuk penyalahgunaan lainnya.
Kaleb mengatakan dirinya mengetahui dugaan kebocoran tersebut melalui pemberitaan media, bukan pemberitahuan resmi dari KPU atau lembaga negara lainnya.
Negara bergerak, tetapi korban mencari pintu pengaduan
Kaleb mengakui negara melakukan berbagai langkah setelah dugaan kebocoran mencuat. KPU melakukan investigasi internal dan koordinasi. BSSN melakukan investigasi teknis. Kementerian Komunikasi dan Digital ikut melakukan koordinasi, sementara aparat penegak hukum melalui Direktorat Tindak Pidana Siber Bareskrim Polri melakukan penyelidikan.
Namun, menurut Kaleb, langkah tersebut lebih berfokus pada investigasi insiden dan penegakan hukum terhadap pelaku.
Yang ia persoalkan adalah tidak ditemukannya otoritas khusus dan independen yang dapat menjadi tempat bagi subjek data untuk mengadu, memeriksa kepatuhan pengendali data, memerintahkan pemulihan hak korban, dan menjatuhkan sanksi administratif berdasarkan UU PDP.
Dengan kata lain, negara dapat menyelidiki dugaan kejahatannya, tetapi siapa yang secara khusus memastikan hak pemilik data dipulihkan? Pertanyaan itu menjadi salah satu benang merah perkara.
Pengalaman mahasiswa: data diketahui penipu, korban bingung mencari perlindungan
Kesaksian Angela membawa persoalan serupa ke lingkungan perguruan tinggi. Sebagai mahasiswa, Angela menyerahkan berbagai data pribadi kepada institusi pendidikan, antara lain nama lengkap, NIK, tempat dan tanggal lahir, alamat, nomor kontak, dan surat elektronik. Data tersebut tersimpan dalam sistem administrasi akademik dan platform pembelajaran daring.
Menurut Angela, kerugian yang ia rasakan bukan sekadar rasa cemas. Ketika mencoba mencari tahu ke mana harus menyampaikan keluhan sebagai subjek data, ia tidak menemukan alur pelaporan dan mekanisme pertanggungjawaban yang jelas.
Ia tidak mengetahui apakah harus melapor kepada kampus, kepolisian, Kementerian Komunikasi dan Digital, atau pihak lainnya. Ia juga tidak mengetahui siapa yang bertanggung jawab memastikan pemulihan apabila benar terjadi penyalahgunaan data.
Kekhawatiran itu semakin kuat ketika sejumlah mahasiswa di lingkungannya mengalami dugaan penipuan menggunakan data pribadi.
Pada akhir November 2025, sejumlah mahasiswa menerima telepon dari orang yang mengaku sebagai anggota kepolisian. Penelepon mengetahui NIK, nama lengkap, alamat dan tanggal lahir korban, lalu menuduh mereka terlibat tindak pidana pencucian uang.
Sebagian korban diarahkan mengikuti pertemuan daring, membagikan layar perangkat, bahkan melakukan transfer uang. Akibatnya, sebagian mengalami kerugian materiil sekaligus tekanan psikologis.
Pada akhir Juli 2026, kekhawatiran serupa kembali muncul setelah sistem pembelajaran daring kampus Angela diduga diretas dan tampilannya berubah menjadi iklan perjudian daring.
Sejumlah mahasiswa juga menerima surat elektronik yang seolah berasal dari administrator sistem dan beberapa mahasiswa mendapat panggilan dari nomor tak dikenal yang telah mengetahui nama lengkap mereka.
Angela menegaskan, persoalannya bukan menyalahkan kampus. Yang dipersoalkan adalah siapa otoritas negara di luar kampus yang dapat memberikan kepastian ketika terjadi insiden terhadap data pribadi mahasiswa.
Ahli: Ini bukan lagi sekadar persoalan administrasi
Di titik inilah pendapat ahli Prof. Dr. Hulman Panjaitan, S.H., M.H. memberikan kerangka konstitusional terhadap persoalan tersebut.
Hulman menempatkan perlindungan data pribadi sebagai bagian dari perlindungan hak asasi manusia. Ia menghubungkannya dengan Pasal 1 ayat (3) UUD 1945 yang menegaskan Indonesia sebagai negara hukum, Pasal 28D ayat (1) mengenai kepastian hukum yang adil, serta Pasal 28G ayat (1) mengenai perlindungan diri pribadi dan rasa aman.
Menurut Hulman, keberadaan UU PDP merupakan bentuk campur tangan negara dalam kerangka negara hukum modern untuk memberikan perlindungan terhadap warga.
Karena itu, lembaga pelindungan data pribadi yang diperintahkan UU PDP bukan sekadar perangkat birokrasi tambahan. Lembaga tersebut merupakan instrumen perlindungan hukum preventif bagi warga negara.
Hulman bahkan menilai ketiadaan lembaga tersebut menunjukkan ketidakkonsistenan antara tujuan UU PDP dengan pelaksanaan perlindungan hak warga negara.
Objek pengujian perkara: Pasal 58 ayat (5) dan Pasal 61 UU PDP
Dalam pendapat ahli, Pasal 58 mengatur bahwa penyelenggaraan pelindungan data pribadi dilaksanakan oleh lembaga yang ditetapkan Presiden dan bertanggung jawab kepada Presiden, sementara ketentuan lebih lanjut mengenai lembaga tersebut diatur melalui Peraturan Presiden.
Sementara persoalan yang muncul adalah belum adanya batas waktu yang tegas mengenai kapan aturan pelaksana tersebut harus diterbitkan.
Bagi Hulman, ketiadaan batas waktu tidak dapat dipisahkan dari prinsip kepastian hukum. Ia mengaitkannya dengan Pasal 74 ayat (1) UU Nomor 12 Tahun 2011 tentang Pembentukan Peraturan Perundang-undangan yang, menurut pendapatnya, mengharuskan adanya batas waktu penetapan peraturan pelaksana undang-undang.
Ketiadaan batas waktu tersebut dinilai berpotensi bertentangan dengan prinsip kepastian hukum sebagaimana dijamin Pasal 28D ayat (1) UUD 1945.
Hulman memberikan ukuran mengenai waktu yang menurutnya ideal. Dengan mempertimbangkan urgensi perlindungan data pribadi serta tugas dan kewenangan lembaga yang akan dibentuk, ia berpendapat aturan pelaksana pembentukan Lembaga Perlindungan Data Pribadi idealnya diterbitkan paling lama satu tahun sejak UU PDP diundangkan.
UU PDP diundangkan pada 17 Oktober 2022. Dengan demikian, batas waktu ideal yang dikemukakan ahli adalah 17 Oktober 2023.
Ia membandingkan hal tersebut dengan sejumlah regulasi lain yang menggunakan rentang satu tahun sebagai masa yang wajar untuk membentuk atau menyiapkan perangkat pelaksanaan undang-undang.
Pemohon meminta MK memberi kepastian
Persoalan pembentukan lembaga ini memang telah menjadi inti perkara sejak awal. Dalam sidang pendahuluan, MK mencatat para Pemohon mempersoalkan tidak kunjung dilaksanakannya amanat pembentukan lembaga pelindungan data pribadi yang diperintahkan Pasal 58 ayat (5) dan Pasal 61 UU PDP.
Pada sidang perbaikan permohonan 14 Juli 2026, para Pemohon juga memperkuat argumentasi mengenai batas waktu pembentukan peraturan pelaksana dan meminta MK memberikan penafsiran konstitusional agar lembaga pelindungan data pribadi segera dibentuk.
