Empot-empotan UU Perlindungan Data Pribadi

Ilustrasi data pribadi anak saat menggunakan media sosial. (Sumber: iStock)

Perlindungan data pribadi menjadi salah satu isu yang krusial beberapa tahun belakangan, selaras dengan pesatnya perkembangan teknologi informasi. Teknologi berperan layaknya pedang bermata dua, yang tak hanya memajukan peradaban namun juga menjadi sarang berbagai kejahatan di dunia maya atau cybercrime.

Bocornya data pengguna di sana-sini menunjukkan betapa tipisnya perlindungan yang kita dapatkan saat berada di jagat maya. Pada tahun 2021 saja, sudah ada 130.331 akun Facebook masyarakat Indonesia yang diretas sehingga menimbulkan kebocoran data berupa alamat email, tanggal lahir, password, lokasi, hingga username.

Itu belum seberapa. Kebocoran data nasabah perbankan, data BPJS, data PLN, sampai-sampai NIK (Nomor Induk Kependudukan) dan riwayat kunjungan situs menggunakan suatu provider wifi pun bocor. Sangat fantastis, bukan?

Untungnya, setelah penantian panjang sejak 2019, bersama dengan jutaan warga Indonesia lainnya, saya bisa bernapas lega setelah melihat Rancangan Undang-Undang (RUU) Perlindungan Data Pribadi yang sempat mangkrak di Prolegnas (Program Legislasi Nasional) berhasil disahkan menjadi UU Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi.

UU ini mengambil langkah awal perlindungan dengan mengkategorikan data pribadi menjadi dua jenis, yakni data pribadi bersifat spesifik dan data pribadi bersifat umum.

Data pribadi bersifat spesifik berisi informasi kesehatan, data biometrik, genetika, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data-data lain menurut peraturan perundang-undangan.

Sedangkan data pribadi bersifat umum berisi data-data yang dipakai untuk mengidentifikasi seseorang tanpa harus “membedah” aspek genetik orang itu. Data ini meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, atau data-data lain yang kalau dikombinasikan bisa dipakai untuk mengidentifikasi seseorang.

Kehadiran regulasi perlindungan data pribadi nampaknya turut menyongsong semangat bersosial media yang aman dan berkualitas. Bagaimana tidak, setelah sekian lama dihantui rasa was-was data kita bakal dimaling oleh oknum, sekarang negeri tercinta ini sudah “mewanti-wanti” para pemroses data di aplikasi untuk menggunakan data pribadi penggunanya secara akuntabel. Harapannya sih agar ke depannya tidak terjadi kebocoran data pribadi baik.

Ya, memang sudah waktunya saya bernapas lega tanpa diganggu chat dari orang yang enggak kita kenal tapi tiba-tiba mengajak gabung di platform "judi slot" dengan iming-iming jadi sultan dadakan. Belum lagi kecemasan akan teror pinjaman online (pinjol) yang tiba-tiba menagih uang sekian juta rupiah padahal kita sama sekali nggak mengajukan pinjaman.

Saya selama ini (dan tetap ingin) hidup lurus-lurus saja, sama sekali tidak pernah terlintas di benak saya untuk mendaftar judi online maupun pinjol.

Setelah saya pikir-pikir, ngeri juga kalau ternyata saya adalah salah satu korban kebocoran data dari media sosial (medsos). Makanya, saya sangat mendukung pengesahan RUU ini meskipun harus menunggu lama, sembari rutin mengikuti diskusi kampus yang membahas urgensi perlindungan data pribadi.

Waktu itu saya berpikir bahwa pokoknya RUU ini harus disahkan. Apa jadinya kehidupan dunia maya saya kalau yang begini-begini enggak diatur oleh hukum, kan?

Pasal 25 UU Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (Sumber: Dokumen pribadi)

Kalau kita membaca UU Perlindungan Data Pribadi dengan saksama, pasal 25 mengatur pemrosesan data pribadi anak dilakukan secara khusus dan harus disertai persetujuan dari orang tua atau wali. Sayangnya, tidak ada pengaturan lebih lanjut mengenai apa saja yang termasuk ke dalam data anak, bahkan mekanisme pemrosesan secara khusus saja tidak dijelaskan oleh UU ini. Boleh dibilang, ia hanya mengatur secara mentah agar kita bisa sedikit percaya bahwa data pribadi kita akan dilindungi. Tapi ujung-ujungnya tetap buntu juga.

Menyikapi ketidakjelasan ini, saya mencoba menafsirkan bahwa kemungkinan besar data anak yang dimaksud oleh pembuat UU adalah nama, informasi biometrik seperti fitur wajah, informasi kependudukan seperti NIK, dan informasi penting lain yang dapat merepresentasikan individu seorang anak.

Mengingat ada banyaknya printilan data anak yang harus dijaga, sudah selayaknya orang tua mendampingi anak-anak mereka ketika mendaftar akun medsos dan memasukkan data-data yang diperlukan.

Selain itu, orang tua dapat melakukan controlling dengan tidak menampilkan informasi pribadi seperti alamat rumah, nama sekolah, dan informasi pribadi lain baik di medsosnya sendiri maupun di akun anak. Untungnya akhir-akhir ini muncul kesadaran emak-emak untuk mulai memburamkan wajah atau identitas anaknya di foto-foto medsos dengan alasan privasi.

Satu lagi hal yang sangat disayangkan dari UU ini adalah absennya ketentuan mengenai batasan usia anak sebagai subjek data pribadi. Tentu saja akan timbul pertanyaan besar mengenai bagaimana pasal 25 nantinya akan diimplementasikan, mengingat kriteria kedewasaan menurut hukum Indonesia masih sangat beragam.

Pada UU Perkawinan yang baru, seseorang dianggap dewasa setelah umurnya mencapai 19 tahun. Tapi, dalam UU Perlindungan Anak, dewasa adalah setelah berusia 18 tahun. Beda lagi dengan Kitab UU Hukum Perdata yang mengatur dewasa setelah berusia 21 tahun. Jadi, UU ini bakal tunduk dengan batas usia yang mana?

Penentuan "kapan seseorang dewasa" ini berfungsi untuk menentukan apakah perbuatan hukum seseorang itu sah atau tidak. Dalam konteks penggunaan medsos, yang termasuk perbuatan hukum adalah ketika kita memberikan persetujuan akses atas data-data kita pada saat mencentang ketentuan pada term of references atau term of use.

Orang-orang dengan usia di bawah batas kedewasaan dianggap belum cakap dan mengerti betul tentang konsekuensi dari penggunaan data pribadi menurut term of use pada medsos. Yah, jangankan anak kecil, orang dewasa saja (termasuk saya) jarang sekali membaca term of use yang amat panjang itu, dan biasanya lebih memilih scroll sampai mentok lalu klik kotak “Yes, I agree.”

Terkait isu batasan usia yang diperbolehkan menggunakan medsos, sangat disayangkan bahwa Indonesia masih menggunakan ketentuan umum Instagram yang sebenarnya didasarkan pada ketentuan hukum Amerika Serikat. Ketentuan ini mengatur batas usia minimal pengguna Instagram dan Facebook adalah 13 tahun, jauh di bawah minimal usia dewasa menurut hukum Indonesia.

Kendati pihak Instagram dan Facebook selaku pemroses data pribadi mengatakan bahwa pihaknya akan memberikan pengalaman sesuai usia mereka, misalnya dengan membatasi periklanan dan interaksi dengan orang dewasa yang tidak mereka kenal, saya rasa pembatasan semacam ini tidak maksimal untuk mencegah anak dari tindakan penyalahgunaan data pribadi.

Bagaimana pun kendali penggunaan medsos ada pada mereka, di mana mereka tetap bisa membagikan data pribadinya secara sukarela melalui pesan, komentar, dan media lain. Terlebih biasanya anak-anak belum mengerti apa itu phising dan jenis cybercrime lainnya sehingga dengan mudahnya mereka mengklik tautan berisi malware, pornografi, atau situs tertentu yang memang dikendalikan oleh hacker untuk mencuri data akun berupa password dan username mereka.

Ngomong-ngomong soal kerentanan anak dalam menjaga data pribadi mereka, saya ingat beberapa waktu lalu di Instagram sempat ramai soal fitur “Add Yours” yang ternyata berpotensi jadi sarang transaksi data pribadi yang seringkali tidak disadari.

“Add Yours” ini apa sih? Jadi, fitur ini merupakan salah satu stiker yang dapat dimunculkan saat kita mengunggah foto di Instastory. Berbarengan dengan foto itu, kita bisa meminta umpan balik dari viewers untuk mengunggah atau memberitahukan sesuatu di Instastory mereka masing-masing. Tentu saja tren ini bahaya banget kalau sampai digunakan oleh anak-anak untuk mengunggah informasi pribadi mereka.

Fitur Add Yours pada Instagram. (Sumber: Dokumen pribadi)

Bahkan saya pernah membaca cuitan salah satu Twitter user dengan username @ditamoechtar_ yang menceritakan kalau temannya baru saja menjadi salah satu korban penipuan akibat mengikuti challenge menggunakan fitur ini. Ia merasa percaya ketika seseorang memintanya mentransfer sejumlah uang, karena orang itu memanggilnya menggunakan nama kecil yang hanya diketahui orang-orang terdekat. Padahal dia sendiri yang tanpa sadar membagikan informasi pribadi berupa nama kecilnya sehingga kemudian disalahgunakan oleh oknum nakal.

Bayangkan saja apabila anak-anak yang mengikuti challenge ini, mungkin saja tidak hanya nama panggilan, namun informasi-informasi yang lebih pribadi bisa dikeruk oleh pihak tak bertanggung jawab.

Mungkin setelah membaca tulisan ini, bakal ada yang berpendapat, “Kalau begitu larang saja anak-anak bermain medsos sebelum mereka cukup umur. Beres, kan?” Ternyata tidak semudah itu, karena ancaman penyalahgunaan data pribadi anak juga muncul dari arah yang sama sekali tidak terduga-duga, yakni platform teknologi pendidikan atau bahasa kerennya adalah edtech.

Menurut hasil pelacakan yang dilakukan oleh Narasi, Human Rights Watch, dan 14 media lainnya, dari 164 edtech platform dari 49 negara, hampir 90%-nya melakukan mengambil data pribadi anak dan meneruskannya ke perusahaan iklan. Pengambilan data pribadi ini terjadi saat anak memberikan persetujuan akses ke beberapa fitur dalam smartphone-nya.

Permohonan akses ke kamera atau microphone mungkin masih bisa dimengerti karena dua komponen itu sering kali dibutuhkan ketika melakukan pembelajaran interaktif. Namun terdapat hal janggal yang saya sendiri pernah menemuinya, ketika membantu mendaftarkan akun pada aplikasi edtech untuk keponakan saya.

Aplikasi edukasi yang direkomendasikan pemerintah tersebut tidak hanya meminta akses ke kamera dan microphone, namun juga ingin mengakses lokasi, galeri, dan kontak telepon. Pertanyaannya, untuk apa mereka memerlukan akses sebanyak itu? Sayangnya tidak ada yang bisa saya lakukan selain mengizinkan akses, karena kalau tidak diizinkan, tentu saja keponakan saya tidak bisa mengikuti pembelajaran online yang sangat penting di masa pandemi.

Menyikapi beberapa potensi pelanggaran data pribadi anak yang sulit untuk diantisipasi oleh UU ini, saya sangat berharap semua orang tua memiliki kesadaran untuk memantau aktivitas anak-anak mereka di internet. Selain itu, dibutuhkan pula pengetahuan mengenai macam-macam data anak yang harus dijaga privasinya. Jangan sampai ketika mereka yakin anak-anak sudah menggunakan medsos secara aman, justru mereka sendiri yang tanpa sadar membagikan data pribadi anaknya.