Memahami Aspek Hukum Fenomena Kebocoran Data Pribadi: Tanggung Jawab Pengguna, Penyelenggara atau Pemerintah?

Memahami Aspek Hukum Fenomena Kebocoran Data Pribadi: Tanggung Jawab Pengguna, Penyelenggara atau Pemerintah?

“Dosen Hukum Telematika FHUI, Zahrashafa Putri Mahardika, menjelaskan bahwa dalam kondisi apapun sejatinya negara tetap harus bertanggung jawab untuk melindungi data pribadi masyarakatnya.”

Kasus kebocoran data pribadi tengah menjadi pembahasan yang hangat di masyarakat beberapa waktu belakangan ini. Banyaknya data-data sensitif, baik yang merupakan data privat maupun data publik, yang tersebar di internet terus membuat masyarakat kian khawatir akan keamanan dan ketentraman data pribadinya.

Dalam dua bulan terakhir misalnya, diketahui sudah terdapat beberapa kasus yang melibatkan nama-nama instansi publik dan swasta instansi cukup ‘besar’ di Indonesia. Beberapa kasus kebocoran data pribadi yang dimaksud tersebut diantaranya yaitu:

1. Kebocoran Data Registrasi Kartu SIM
   Pada pertengahan bulan Agustus 2022, terdapat sejumlah 1,3 miliar data registrasi kartu SIM masyarakat Indonesia yang diperjualbelikan secara luas di internet dengan harga USD50 ribu (atau setara Rp743,5 juta). Data-data tersebut meliputi Nomor Induk Kependudukan (NIK), nomor telepon/HP, nama penyedia layanan atau provider, hingga tanggal registrasi dari kartu SIM tersebut.

   ‘Bjorka’ selaku nama dari peretas data tersebut mengakui bahwa dirinya mendapatkan data-data tersebut dari Kementerian Komunikasi dan Informatika (Kemkominfo). Akan tetapi, Kominfo menanggapi hal ini dengan mengatakan bahwa pihaknya tidak memiliki aplikasi untuk menampung data registrasi prabayar dan pascabayar. 

2. Kebocoran Data Pelanggan IndiHome
   Pada akhir bulan Agustus 2022, Bjorka juga kemudian membocorkan 26 juta data yang diduga milik pelanggan IndiHome pada situs BreachForum. Data-data yang dibocorkan ini meliputi data histori pencarian, keyword, email, nama, jenis kelamin hingga NIK pelanggan.

   Dikutip dari CNN Indonesia, aktivis siber Teguh Apriatno mengatakan bahwa kebocoran data ini sudah lama diprediksi pihaknya. Sebab, anak usaha Telkom ini menyimpan histori browser dalam periode tertentu. Kendati demikian, pihak Telkom hingga kini membantah kebocoran data tersebut.

3. Kebocoran Data Komisi Pemilihan Umum (KPU)
   Pada awal bulan September 2022, Bjorka kembali lagi beraksi dengan pernyataannya yang menyatakan bahwa pihaknya memiliki sejumlah 105 juta lebih data kependudukan Indonesia yang didapatkan dari database KPU. Data-data yang dibocorkan tersebut meliputi NIK, Kartu Keluarga, nama lengkap, tempat tanggal lahir, hingga jenis kelamin.

   Dikutip dari CNN Indonesia, Komisioner KPU, Betty Epsilon Idroos mengatakan bahwa data yang disebarluaskan tersebut bukanlah merupakan data yang dimiliki KPU. Ia menegaskan semua sistem informasi KPU hingga saat ini masih kondusif.

   Adanya preseden ketiga kasus kebocoran data pribadi ini membuat masyarakat bertanya-tanya mengenai siapa yang harus bertanggung jawab apabila terjadi kebocoran data pribadi dan apa yang bisa dilakukan untuk mencegah hal ini terjadi kembali. Untuk menjawab pertanyaan tersebut, simak pembahasan lebih lanjutnya berikut ini.

Pelindungan Data Pribadi dan Perkembangan Regulasinya di Indonesia

Rezim hukum pelindungan data pribadi sejatinya sudah diakui sejak awal mula berdirinya negara Indonesia. Hal ini tertuang dalam dasar konstitusi negara Indonesia yakni Undang-Undang Dasar Republik Indonesia Tahun 1945 (UUD 1945). 

“Setiap orang berhak atas pelindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang dibawah kekuasaannya, serta berhak atas rasa aman dan pelindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi,” bunyi Pasal 28G UUD 1945.

Berangkat dari semangat tersebut, hal ini kemudian juga terejawantahkan dalam Pasal 21 Undang-Undang Nomor 39 Tahun 1999 tentang Hak Asasi Manusia yang menyatakan bahwa setiap orang berhak atas keutuhan pribadi, baik rohani maupun jasmani, dan karena itu tidak boleh menjadi objek penelitian tanpa persetujuan darinya. 

Dijelaskan dalam undang-undang tersebut secara lebih lanjut bahwa yang dimaksud dengan ‘menjadi objek penelitian’ adalah kegiatan menempatkan seseorang sebagai pihak yang dimintai komentar, pendapat atau keterangan yang menyangkut kehidupan pribadi dan data-data pribadinya serta direkam gambar dan suaranya.

Konsep pelindungan data pribadi di Indonesia juga sudah mulai terlaksana sejak adanya dinamika perkembangan pelayanan publik di bidang administrasi kependudukan melalui Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan (UU No. 23/2006). 

Dalam Pasal 1 angka 22 UU No. 23/2006 misalnya dijelaskan bahwa data pribadi adalah data perseorangan tertentu yang disimpan, dirawat, dan dijaga kebenarannya serta dilindungi kerahasiaannya. Lebih lanjut, dalam Pasal 79 UU No. 23/2006 juga dijelaskan bahwa data perseorangan dan dokumen kependudukan wajib disimpan dan dilindungi kerahasiaannya oleh negara. 

Selang beberapa tahun kemudian, terbitlah undang-undang yang mengatur mengenai pelaksanaan kegiatan masyarakat di dunia media sistem elektronik melalui Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU No. 11/2008).

Undang-undang ini menjadi awal mula terbitnya pengaturan yang komprehensif dari rezim pelindungan data pribadi dalam sistem elektronik di Indonesia. Sebab, sebelum terbitnya beleid ini belum pernah ada pengaturan yang secara khusus mengatur mengenai prinsip pelindungan data pribadi dalam hal pelaksanaannya di dunia sistem elektronik.

“Dalam pemanfaatan teknologi informasi, pelindungan data pribadi merupakan salah satu bagian dari hak pribadi (privacy rights). Hak pribadi mengandung pengertian sebagai berikut: a. Hak pribadi merupakan hak untuk menikmati kehidupan pribadi dan bebas dari segala macam gangguan; b. Hak pribadi merupakan hak untuk dapat berkomunikasi dengan Orang lain tanpa tindakan memata-matai; dan c. Hak pribadi merupakan hak untuk mengawasi akses informasi tentang kehidupan pribadi dan data seseorang,” bunyi penjelasan UU No. 11/2008.

Hal ini kemudian dibuktikan dengan terbitnya peraturan turunan dari UU No. 11/2008 yakni Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggara Sistem dan Transaksi Elektronik (PP No. 71/2019), Peraturan Pemerintah Nomor 80 Tahun 2019 tentang Perdagangan melalui Sistem Elektronik (PP No. 80/2019), dan juga peraturan menteri yang secara khusus mengatur mengenai perlindungan data pribadi, Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik (Permenkominfo No. 20/2016)

Kendati demikian, terpecah-pecahnya pengaturan mengenai pelindungan data pribadi pada regulasi sektoral ini dinilai membuat penanganan masalah perlindungan data pribadi menjadi tersebar dan tidak terfokus. Alhasil, justru timbul suatu ketidakpastian hukum dalam penegakannya.

Atas adanya pertimbangan ini, timbul urgensi untuk membentuk suatu undang-undang yang secara khusus mengatur mengenai perlindungan data pribadi ini. Sehingga, pemerintah bersama dengan Dewan Perwakilan Rakyat Republik Indonesia (DPR RI) akhirnya menyusun Rancangan Undang-Undang Pelindungan Data Pribadi (RUU PDP) yang mana pada secara resmi kini telah disahkan menjadi undang-undang pada Selasa, 20 September 2022.

Baca Juga: UU PDP Berlaku, Ini Pentingnya Kesepakatan Pemrosesan Data dan Partisipasi Publik 

Kontroversi Pertanggungjawaban Kebocoran Data Pribadi

Kembali lagi kepada pembahasan mengenai siapa yang harus bertanggung jawab apabila terjadi kebocoran data pribadi, sejatinya terdapat pernyataan menarik yang sebagaimana dilontarkan oleh pemerintah beberapa waktu lalu.

Sebagaimana diketahui, Menkominfo Johnny G. Plate dalam rapat dengan Komisi I DPR RI menyebutkan bahwa serangan siber dan insiden kebocoran data yang terjadi belakangan ini adalah tugas dan fungsi Badan Siber dan Sandi Negara (BSSN) dan bukan tugas Kominfo.

Pernah juga dalam suatu kesempatan dari pihak BSSN yang menyatakan bahwa data pribadi sejatinya merupakan tanggung jawab dari masing-masing penggunanya. Setiap penyebab dan akibat dari adanya kebocoran data pribadi menjadi risiko dari masing-masing pemilik data pribadi tersebut.

Baca Juga: Menkominfo Jawab Keamanan Siber Jadi Tanggung Jawab BSSN, Ini Penjelasannya 

Menanggapi hal ini, Dosen Hukum Telematika Fakultas Hukum Universitas Indonesia (FHUI), Zahrashafa Putri Mahardika, kepada KlikLegal menjelaskan bahwa untuk menjawab permasalahan tersebut diperlukan penelaahan yang sifatnya case-by-case. Sebab, menurutnya baik itu penyelenggara sistem elektronik (PSE), pemerintah, maupun pemilik data pribadi dalam peristiwa kebocoran data pribadi seperti ini dapat memiliki tanggung jawab sesuai dengan proporsinya masing-masing.

“Data breach ini dilakukan (karena) dua hal, pertama antara dia bocor dari pengendali sistem elektroniknya yang sistemnya tidak aman atau memang ada penerobosan dari luar. Makanya dilihat lagi dalam hal terjadi kebocoran data pribadi apakah sistemnya sudah aman, andal dan akuntabel. Kalau memang mereka sudah melaksanakan sesuai ketentuan perundang-undangan, mungkin yang dapat dikenai pertanggungjawaban adalah oknum. Tapi balik lagi kalau ternyata memang dilihat sistem dari pengendali elektronik itu nggak aman, maka ia juga bisa diberikan pertanggungjawaban,” ujar Zahra saat diwawancarai KlikLegal, Jumat, (23/09/2022).

“Pertanggungjawaban itu nggak putus dari dia mengamankan atau nggak kan. Misal data kita bocor dalam sistem platform e-commerce. Nah, platform ini menginformasikan nggak sih ke kita kalau data kita bocor. Soalnya kan memang ada kewajiban itu,” lanjutnya.

Zahra lebih lanjut juga menjelaskan bahwa dalam pengelolaan data pribadi para pihaknya tersebut ada dua yakni pengendali data serta pemroses data. Menurutnya, pihak yang memiliki peran penting dan krusial dalam pengelolaan data pribadi adalah pengendali data sebab ia merupakan pihak yang menentukan tujuan dari penggunaan data yang akan diproses tersebut.

Jika mengacu kepada UU PDP, pengendali data yang dimaksud ini dapat berupa perseorangan, badan publik, atau organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Kendati demikian, Zahra juga menjelaskan bahwa dalam kondisi apapun sejatinya negara tetap harus bertanggung jawab untuk melindungi hak konstitusi warga negaranya, atau dalam hal ini berkaitan dengan data pribadi masyarakatnya. Hal ini dikarenakan bahwa hak tersebut dijamin negara dalam UUD 1945.

“Hak atas data pribadi itu dijamin dalam UUD 1945, privasi dan pelindungan data pribadi. Sehingga, pelindungan data pribadi warga negara itu tanggung jawab negara,” jelas Zahra.

Dari penjelasan dan uraian tersebut, maka dapat disimpulkan bahwa baik dari sisi PSE maupun pemerintah masing-masing memiliki jawab dalam hal terjadi kegagalan sistem pada penyelenggaraan sistem elektronik yang mengakibatkan kebocoran data pribadi. Lantas, apa yang bisa dilakukan masyarakat selaku pemilik data untuk mengatasi permasalahan ini?

Zahra menjelaskan bahwa masyarakat mulai dapat mempelajari dan memahami aspek-aspek dasar yang penting dalam hal pengelolaan data pribadi. Sebab, menurutnya salah satu faktor yang mengakibatkan maraknya kejadian data breach ini juga adalah karena tingkat kesadaran masyarakat yang rendah akan pentingnya data pribadi sehingga seringkali persoalan ini dianggap remeh oleh masyarakat.

“Terjadinya (kebocoran data pribadi) karena ya kita sendiri sebagai masyarakat pada awalnya nggak sadar kalau itu hak kita yang wajib dilindungi oleh negara. Itulah kenapa banyak terjadi kasus-kasus data breach. Saya bisa bilang wajar terjadi kasus itu,” jelas Zahra.

Hadirnya UU PDP Dalam Rezim Hukum Pelindungan Data Pribadi Indonesia

Sebagai informasi, dalam naskah terakhir dari RUU PDP ini terdapat 16 bab serta 76 pasal yang membahas mengenai mulai dari ketentuan pengaturan hingga sanksi dalam pelaksanaan pengelolaan data pribadi.

Secara umum berikut ini empat hal yang dilarang terkait pengelolaan data pribadi menurut UU PDP yaitu:

1. Larangan memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.
2. Larangan mengungkapkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.
3. Larangan menggunakan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.
4. Larangan membuat data pribadi palsu atau memalsukan data pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain.

Selain itu, terdapat pula sanksi bagi yang melanggar keempat hal di atas menurut UU PDP yakni:

1. Sanksi bagi pelaku yang memperoleh atau mengumpulkan data pribadi yang bukan miliknya adalah pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak Rp5 miliar.
2. Sanksi bagi pelaku yang mengungkapkan data pribadi yang bukan miliknya adalah pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak Rp4 miliar.
3. Sanksi bagi pelaku yang menggunakan data pribadi yang bukan miliknya adalah pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak Rp5 miliar.
4. Sanksi bagi pelaku yang memalsukan data pribadi adalah pidana penjara paling lama 6 tahun dan/atau pidana denda paling banyak Rp6 miliar.

Mengingat sudah disahkannya RUU PDP menjadi undang-undang beberapa waktu lalu, Zahra berharap agar implementasi penegakan hukum terkait pengelolaan dan pelindungan data pribadi ini dapat berjalan baik kedepannya. Hal ini juga diharapkannya dapat diterapkan dengan baik ke masyarakat.

“Dari segi masyarakat semoga mereka sadar hak-haknya apa yang sudah dijamin secara komprehensif dalam UU PDP. Tapi kembali lagi, kalau mereka tidak sadar juga kan percuma,” ujar Zahra.

Tidak berhenti disitu, Zahra juga mengharapkan agar PSE, baik publik maupun swasta, kedepannya dapat memproses data-data masyarakat sesuai dengan prinsip pengelolaan data pribadi yang ada.

Kendati demikian, Ia juga berharap agar UU PDP ini nantinya tidak terlalu memberatkan PSE dalam pelaksanaannya. Sebab, dalam UU PDP ini sebagaimana diketahui apabila PSE tidak melaksanakan prinsip-prinsip pengelolaan data pribadi yang baik dan benar maka PSE tersebut akan dikenakan sanksi denda. Denda yang tertuang dalam RUU PDP tersebut jika dilihat pada ketentuannya dapat berjumlah hingga miliaran rupiah.

Zahra menjelaskan bahwa jangan sampai hal ini justru memberatkan PSE dari segi perekonomiannya. “Di era ekonomi digital, jangan sampai UU PDP ini menghambat. Malah, seharusnya mendukung pertumbuhan ekonomi digital,” ungkap Zahra.

AA

Dipromosikan