Keamanan Data Pengguna PeduliLindungi Dipertanyakan, Ada Apa?
·waktu baca 4 menit
PerbesarKeamanan data pribadi pengguna PeduliLindungi menjadi sorotan Lembaga Studi dan Advokasi Masyarakat (ELSAM). Menurut lembaga tersebut, PeduliLindungi telah gagal menerapkan prinsip perlindungan data pribadi bagi penggunanya.
Sorotan ELSAM terhadap keamanan data pribadi pengguna PeduliLindungi muncul tatkala aplikasi tracing COVID-19 tersebut mulai terintegrasi dengan aplikasi dari platform lain, seperti Gojek, Tokopedia, hingga Grab. Menurut ELSAM, integrasi tersebut memberikan “tanda tanya” perihal limitasi tujuan pengumpulan data pengguna yang inkonsisten.
“Perubahan tujuan penggunaan aplikasi ini dari yang semula untuk contact tracing dan tracking, lalu kemudian dikembangkan menjadi aplikasi multifungsi, juga telah memunculkan permasalahan serius,” kata ELSAM dalam keterangan resminya, Selasa (28/9).
“Praktik ini juga inkonsistensi dengan kebijakan privasi PeduliLindungi sendiri, yang menyatakan bahwa aplikasi tidak akan membagikan data ke pihak ketiga tanpa terlebih dahulu memperoleh persetujuan pengguna.”
ELSAM menjelaskan bahwa pemrosesan data aplikasi PeduliLindungi didasarkan pada dasar hukum kepentingan publik, yakni untuk penanganan pandemi. Meski demikian, lembaga advokasi itu mengingatkan bahwa penggunaan dasar hukum ini tidak mencakup pengungkapan/transfer data kepada pengendali lain di sektor publik.
“Selain itu, pengendali data juga harus secara jelas menginformasikan pemrosesan datanya, mulai dari pemrosesnya, tujuan pemrosesan, data yang dikumpulkan, jangka waktu penyimpanan data, termasuk akses pihak ketiga terhadap data tersebut,” tegas ELSAM.
ELSAM juga mengkritik pengumpulan data pengguna yang sebenarnya tidak perlu. Dalam hal ini, mereka mempertanyakan permintaan aplikasi PeduliLindungi yang meminta akses media dan penyimpanan perangkat pengguna.
Menurut ELSAM, jika tujuan PeduliLindungi adalah untuk pelacakan pandemi, maka data yang dibutuhkan cukup nama, NIK, dan nomor telepon atau alamat email. Akses data tersebut juga mestinya hanya diminta saat aplikasi diberikan, dan bukan sepanjang waktu.
“Perubahan tujuan awal penggunaan aplikasi dari semula pelacakan lokasi, menjadi banyak fungsi, telah berdampak pada data yang dikumpulkan,” kata ELSAM.
Risiko penyalahgunaan data pribadi akan semakin besar dengan banyaknya metadata yang ikut terekam dari pengaksesan sejumlah data di atas.
- Lembaga Studi dan Advokasi Masyarakat (ELSAM) -
Selain tujuan pengumpulan data yang inkonsisten dan tidak sesuai dengan prinsip minimalisasi, ELSAM menyoroti laporan soal data pengguna PeduliLindungi yang dikirim ke server Telkom.
Pada akhir pekan lalu, ahli keamanan siber Teguh Aprianto menemukan bahwa data pengguna PeduliLindungi dikirim ke sebuah server analytic dengan domain analytic.rocks. Teguh menjelaskan bahwa domain tersebut berujung ke Blanja — platform e-commerce milik Telkom yang sudah tutup sejak September 2020.
“Walaupun kita tau Telkom terlibat sebagai pihak pengelola aplikasi PL, tapi atas kepentingan apa data tersebut dikirimkan langsung ke aset milik Telkom yg anonim ini?” kata Teguh dalam kicauan Twitter, Senin (26/9). kumparanTECH telah meminta izin kepada Teguh untuk menyematkan temuannya di Twitter ke dalam berita.
Teguh menegaskan bahwa seharusnya data pengguna hanya berada di dalam ruang lingkup PeduliLindungi yang dikelola Kemenkes dan Telkom.
Ketika terjadi perpindahan data ke aset milik Telkom yang tak dikenal dan berada di luar lingkungan PL, wajar jika kemudian masyarakat bertanya, kenapa dan untuk apa?
- Teguh Aprianto, peneliti keamanan siber -
kumparanTECH telah meminta tanggapan Telkom dan Kementerian Komunikasi dan Informatika (Kominfo). Namun, keduanya belum memberikan tanggapan.
Kritik yang disampaikan ELSAM juga mencakup autentikasi aplikasi PeduliLindungi yang mudah dibobol. Mereka menyoroti celah autentikasi ini melalui kasus bocornya sertifikat vaksin Presiden Jokowi pada awal bulan ini.
“Kasus pengaksesan secara ilegal akun PeduliLindungi Presiden Joko Widodo, yang berhasil mendapatkan salinan sertifikat vaksin presiden, menunjukkan kerentanan pada sisi ini. Belum lagi problem ketidakakuratan data seperti kesalahan nama, tanggal lahir, NIK, informasi vaksin, dan sebagainya,” tutur ELSAM.
“Sementara pengguna tidak memiliki akses untuk memperbaiki data-data tersebut, sebagai implementasi dari hak untuk memperbaiki (rectification) dari subjek data.”
Dengan sejumlah catatan permasalahan di atas, ELSAM menilai bahwa sulit menganggap penggunaan aplikasi PeduliLindungi telah dilakukan secara akuntabel, yang menghendaki bahwa seluruh prinsip perlindungan data pribadi dipatuhi.
Lembaga advokasi tersebut pun memberikan empat saran yang perlu dilakukan DPR dan pemerintah terkait masalah ini, yakni:
1. Adanya audit menyeluruh terhadap aplikasi PeduliLindungi untuk menjamin kepatuhannya pada prinsip-prinsip pelindungan data pribadi, sekaligus penerapan kewajiban pengendali data, seperti kewajiban penerapan privacy by design, privacy by default.
2. Evaluasi kebijakan privasi serta syarat dan ketentuan layanan aplikasi PeduliLindungi, untuk memastikan kesesuaiannya dengan prinsip-prinsip pelindungan data pribadi.
3. DPR mengoptimalkan fungsi pengawasannya, terutama pada penggunaan aplikasi PeduliLindungi, dengan pemerintah sebagai pengendali datanya, untuk menjamin perlindungan hak konstitusional atas privasi warga negara.
4. DPR dan Pemerintah juga perlu mengakselerasi proses pembahasan RUU Pelindungan Data Pribadi, dengan menghadirkan otoritas pengawas yang independen, guna menghindari risiko overlapping dalam perlindungan data pribadi, seperti yang terjadi hari ini.