Kebocoran Data Pribadi yang Seharusnya Tidak Terjadi

Ilustrasi kebocoran data. Foto: Alexander Geiger/Shutterstock

Kebocoran data pribadi milik masyarakat seperti sudah menjadi hal umum dalam berapa tahun belakangan ini dan seperti tidak ada penyelesaiannya. Pernyataan tersebut bukan tanpa dasar karena kebocoran data pribadi sering terjadi bahkan satu tahun bisa berulang kali data pribadi bocor dan diperjualbelikan dalam forum online tertentu.

Tentu masih ingat dengan hacker yang menamakan “Bjorka” pada sekitar tahun 2022 membuat ramai masyarakat Indonesia dan membuat “repot” pejabat-pejabat pemerintahan. Bjorka berulang kali membocorkan data pribadi masyarakat Indonesia dan mengeklaim bermaksud menjual di forum online, mulai dari kebocoran data PLN, Indihome, KPU, hingga dokumen Negara Presiden Republik Indonesia.

Sama satu lagi yang membuat ramai Bjorka membocorkan data pribadi milik pejabat-pejabat pemerintah seperti Menteri Komunikasi dan Informasi pada saat itu Johnny G Plate dan Ketua Dewan Perwakilan Rakyat Republik Indonesia, Puan Maharani.

Aksi yang dilakukan Bjorka berulang kali terlihat seperti mudah dilakukan oleh Bjorka hingga pada pertengahan bulan September 2022, orang yang diduga sebagai Bjorka ditangkap oleh penyidik Kepolisian Republik Indonesia.

Dengan ditangkapnya Bjorka, banyak pihak maupun masyarakat berharap kebocoran data pribadi tidak terjadi lagi. Tetapi pada tahun 2023 ini kebocoran data pribadi terulang lagi. Mulai dari data pelanggan BPJS Ketenagakerjaan, data paspor warga Negara Indonesia.

Hingga yang baru-baru terjadi dengan jumlah cukup besar yakni sebanyak 337 juta data masyarakat di Direktorat Jenderal Kependudukan dan Pencatatan Sipil Kementerian Dalam Negeri (Kemendagri) diduga mengalami kebocoran dan dijual di forum online hacker BreachForums (CNN Indonesia, 16/07/2023).

Lantas, bagaimana keamanan data pribadi dan perlindungan yang ada pada saat ini?

Regulasi Perlindungan Data Pribadi

Ilustrasi KTP. Foto: Shutterstock

Data pribadi secara eksplisit termasuk ke dalam hak asasi manusia berdasarkan Pasal 28G ayat (1) Undang-Undang Dasar Negara Republik Indonesia tahun 1945 (UUD NRI 1945) yang wajib dilindungi oleh negara dan setiap orang.

Peraturan tentang data pribadi sudah diatur sejak lama di berbagai peraturan perundangan-undangan, antara lain Undang-Undang Nomor 24 Tahun 2013 tentang Perubahan Atas Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan (UU Adminduk) dan Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE).

Namun, peraturan-peraturan tersebut hanya berlaku pada sektor tertentu sehingga butuh aturan baru untuk melindungi data pribadi yang mencakup semua sektor.

Untuk memperkuat dan meningkatkan efektivitas dalam pelaksanaan perlindungan data pribadi, maka Pemerintah pada bulan Oktober 2022 mengesahkan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP).

Pengesahan UU Perlindungan Data Pribadi menjadi momen penting bagi negara dan warga negara atas perlindungan data pribadi terhadap kebocoran data pribadi yang sedang ramai terjadi di masyarakat. Para pihak terkait data pribadi pun berdasarkan Pasal 74 UU PDP wajib menyesuaikan ketentuan pemrosesan data pribadi paling lama 2 (dua) tahun sejak UU PDP diundangkan.

Di dalam BAB V UU PDP diatur mengenai pemrosesan data pribadi yang meliputi antara lain pengumpulan, penyimpanan, penyebarluasan dan sebagainya yang harus dilakukan sah secara hukum, bertanggung jawab dan menjamin hak subjek/pemilik data pribadi untuk melindungi data pribadi warga negara.

Sebagai keamanan, UU PDP mewajibkan pihak yang mengumpulkan dan memproses data pribadi untuk melindungi data tersebut dari akses yang tidak sah, kebocoran, atau penggunaan yang tidak sah.

Jika data pribadi mengalami kegagalan perlindungan data pribadi (kebocoran), maka pihak yang bersangkutan wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data pribadi dan pada kasus tertentu, wajib memberitahukan kepada masyarakat mengenai kegagalan perlindungan data pribadi.

Untuk mewujudkan keamanan dan perlindungan data pribadi sebagaimana mestinya, maka berdasarkan UU PDP akan segera di bentuk suatu komisi yang akan melaksanakan penyelenggaraan perlindungan data pribadi dan bertanggung jawab kepada Presiden.

Hal ini sama seperti di Negara Inggris yang memiliki suatu komisi independen yang memantau serta menjaga keamanan dan kerahasiaan data pribadi karena ada sebutan data is the new oil, yang sangat berharga dan tak terhingga.

Peran Pemerintah dan Masyarakat

Ilustrasi Kominfo. Foto: Muhammad Fikrie/kumparan

Adanya UU PDP adalah salah bukti hadirnya pemerintah untuk memberikan keamanan dan perlindungan terhadap data pribadi. Pemerintah dalam hal ini Kementerian Komunikasi dan Informasi (Kominfo) akan melaksanakan pengawasan terhadap tata kelola data pribadi oleh setiap Penyelenggara Sistem Elektronik (PSE) yang mengumpulkan dan menggunakan data pribadi.

Salah satu yang menjadi kewajiban dari PSE, baik lingkup pemerintah maupun swasta yakni memastikan di dalam sistemnya data pribadi dilindungi. Apabila terjadi kebocoran, maka Kominfo akan melakukan pemeriksaan terhadap PSE terkait apakah telah melaksanakan compliance sesuai UU PDP. Apabila tidak, maka PSE akan diberikan berbagai jenis sanksi sebagaimana yang diatur dalam UU PDP berupa sanksi administratif maupun sanksi pidana, kurungan, dan denda.

Sebab untuk menjaga kerahasiaan data pribadi tidak hanya dilakukan oleh Pemerintah saja. Tetapi wajib dijaga dan dilindungi data pribadi tersebut oleh perusahaan swasta karena tidak sedikit yang terjadi kebocoran data, baik sengaja maupun tidak sengaja dialami oleh perusahaan swasta seperti di kasus bukalapak dan Bhineka.com.

Kominfo dalam menjaga keamanan data pribadi tidak jalan sendirian. Untuk tugas keamanan sistem informasi berdasarkan Perpres 53 Tahun 2017 diserahkan ke Badan Siber dan Sandi Negara (BSSN) sebagai pelaksana tugas pemerintahan di bidang keamanan siber dan sandi untuk membantu Presiden dalam menyelenggarakan pemerintahan.

BSSN mempunyai tugas utama untuk melindungi data pribadi dari kejahatan siber karena dari pemantauan BSSN selama ini, ancaman terbesar terhadap keamanan data di Indonesia paling banyak dari infeksi malware sebesar 62 persen. Persentase tersebut menjadi indikasi akan tingginya kasus pencurian data pribadi (Kominfo, 23/09/2022).

Tugas dari BSSN tentu tidak mudah. Tetapi hal ini tidak didukung oleh Pemerintah yang mengalokasikan anggaran kepada BSSN tahun 2022 hanya mencapai Rp 554,6 miliar. Anggaran ini turun 60 persen dibandingkan outlook 2021 sebesar Rp 1,39 triliun.

Dari total alokasi anggaran sebesar tersebut, alokasi anggaran untuk program keamanan dan ketahanan siber hanya mencapai Rp 152,8 miliar, sedangkan sebesar Rp 402,8 miliar digunakan untuk program dukungan manajemen. Kemudian, pada tahun 2023 anggaran BSSN hanya naik sekitar Rp 70 miliar menjadi Rp 624,73 miliar (Katadata, 12/09/2022).

Anggaran untuk keamanan siber di Indonesia terbilang kecil dibandingkan negara lain. Bersumber dari Stabilitas.Id, 19/11/2021, di Amerika Serikat pada tahun 2021 mengalokasikan 2,1 miliar dolar AS (sekitar Rp 31 triliun) untuk Cybersecurity Infrastructure and Security Agency (CISA) dan negara tetangga Malaysia mengalokasikan anggaran untuk keamanan siber tahun 2020-2024 sebesar 1,8 miliar ringgit (sekitar Rp 6,3 triliun).

Dengan banyaknya kebocoran data dan kejahatan siber seharusnya Pemerintah dapat meningkatkan alokasi anggaran untuk keamanan siber karena menurut sejumlah ahli salah satu penyebab tingginya kejahatan siber adalah kurangnya anggaran keamanan siber.

Alokasi anggaran yang lebih besar tidak hanya untuk BSSN tetapi untuk perangkat lain yang secara langsung maupun yang berkepentingan untuk menjaga keamanan data pribadi tersebut.

Selain peran dari Pemerintah, tentu masyarakat harus terlibat dalam melindungi data pribadi nya. Perlu adanya edukasi maupun sosialisasi oleh Kominfo maupun stakeholder terkait agar masyarakat bijak dalam memberikan data pribadi nya kepada pihak lain sebagai salah satu bentuk perlindungan data pribadi agar tidak mudah disebar dan disalahgunakan.

Pemerintah pun harus dapat menindak tegas, tidak hanya kepada pihak yang membocorkan data pribadi tetapi kepada pihak yang membeli data pribadi, baik dari kebocoran data yang di sebabkan oleh hacker ataupun kebocoran data karena ada kelengahan ataupun kesengajaan oknum demi untuk mendapatkan imbalan.

Hal tersebut sesuai dengan Pasal 65 ayat (1) jo Pasal 67 ayat (1) UU PDP, setiap orang yang menjual atau membeli data pribadi yang bukan miliknya secara melawan hukum dipidana dengan pidana penjara paling lama 5 (lima) tahun dan/atau pidana denda paling banyak Rp 5.000.000.000,00 (lima miliar rupiah).

Dengan demikian berdasarkan uraian di atas, apabila regulasi perlindungan data pribadi dapat diimplementasikan dengan baik dan Pemerintah maupun stakeholder terkait dapat menjalankan perannya masing-masing, penulis yakin kebocoran data pribadi tidak akan terjadi lagi!