Kasus kebocoran data Tokopedia menjadi pengingat bahwa data pribadi kini bukan sekadar informasi pelanggan, tetapi aset bisnis yang membawa tanggung jawab hukum. Melalui UU PDP, perusahaan dituntut mengubah cara mengelola risiko, bukan hanya lewat teknologi, tetapi juga tata kelola dan kesiapan sumber daya manusia.
Pada 2020, publik dikejutkan dengan dugaan kebocoran data pengguna Tokopedia yang melibatkan jutaan akun pengguna. Informasi seperti identitas pengguna dan data akun diduga tersebar serta diperjualbelikan melalui forum daring oleh pihak yang tidak bertanggung jawab.
Peristiwa tersebut menjadi salah satu pengingat besar bahwa ketika perusahaan mengelola data dalam jumlah besar, risiko yang muncul tidak hanya berkaitan dengan sistem teknologi, tetapi juga kepercayaan publik.
Bagi perusahaan digital, database pelanggan merupakan salah satu aset paling bernilai. Data tersebut digunakan untuk memahami perilaku konsumen, meningkatkan layanan, menjalankan strategi pemasaran, hingga mengembangkan produk baru. Namun, semakin besar nilai ekonomi dari sebuah data, semakin besar pula tanggung jawab perusahaan dalam memastikan data tersebut dikelola secara aman dan sesuai tujuan.
Kasus seperti Tokopedia menunjukkan bahwa perlindungan data tidak dapat lagi dipandang sebagai persoalan internal tim teknologi semata. Pengelolaan data telah menjadi bagian dari tata kelola bisnis karena menyangkut hubungan perusahaan dengan pelanggan, reputasi perusahaan, serta potensi konsekuensi hukum apabila terjadi penyalahgunaan atau kegagalan perlindungan data.
Baca juga: Dana Pensiun Jiwasraya: Hak Pekerja Tidak Boleh Hilang di Tengah Likuidasi
Data Kini Jadi Aset Bisnis Bernilai Tinggi
Lahirnya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) tidak hanya bertujuan memberikan hukuman kepada perusahaan yang mengalami insiden data. Lebih dari itu, aturan ini lahir karena perkembangan ekonomi digital membuat data pribadi semakin mudah dikumpulkan, dipindahkan, dan diproses oleh berbagai pihak, sehingga membutuhkan standar perlindungan yang lebih jelas.
Dalam UU PDP, perusahaan yang menentukan tujuan dan cara pemrosesan data dikategorikan sebagai Pengendali Data Pribadi. Status tersebut membawa tanggung jawab hukum, termasuk kewajiban memiliki dasar pemrosesan yang sah serta memastikan penggunaan data sesuai dengan tujuan yang telah disampaikan kepada pemilik data. Dengan kata lain, perusahaan tidak cukup hanya mengumpulkan data pelanggan, tetapi juga harus mampu mempertanggungjawabkan bagaimana data tersebut digunakan.
Kewajiban perusahaan juga mencakup perlindungan terhadap keamanan data, pencegahan akses yang tidak sah, menjaga kerahasiaan, serta melakukan pengawasan terhadap pihak lain yang terlibat dalam proses pengelolaan data. Hal ini menjadi penting karena dalam praktik bisnis modern, data sering kali tidak hanya berada di satu sistem perusahaan, tetapi juga melibatkan vendor teknologi, penyedia layanan cloud, hingga mitra bisnis.
Ketika kewajiban tersebut tidak dijalankan, UU PDP memberikan konsekuensi berupa sanksi administratif. Bentuknya dapat berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data, hingga denda administratif. Bahkan, besaran denda administratif dapat mencapai paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Selain sanksi administratif, UU PDP juga mengatur konsekuensi pidana terhadap tindakan tertentu, seperti memperoleh, mengungkapkan, atau menggunakan data pribadi secara melawan hukum. Hal ini menunjukkan bahwa penyalahgunaan data tidak lagi dipandang sebagai sekadar pelanggaran prosedur, tetapi dapat masuk dalam ranah pertanggungjawaban hukum.
Perlindungan Data Soal Kesiapan SDM
Sekar Ayu Primandani, selaku Data Protection Officer memberikan pandangannya: Ketika membahas mengenai pelindungan data pribadi berdasarkan UU PDP, masih banyak perusahaan yang menafsirkan bahwa wajibnya perusahaan untuk tunduk pada kewajiban yang berlaku terhadap pengendali data pribadi dan/atau prosesor data pribadi sesuai UU PDP berarti perusahaan harus memiliki sumber daya dan infrastruktur teknologi yang lebih canggih untuk menjaga keamanan dan keutuhan data pribadi yang diproses oleh perusahaan, yang tentunya membutuhkan biaya lebih untuk digunakan dalam melakukan upgrade dan pembaruan teknologi yang digunakan perusahaan.
Namun, Sekar menegaskan bahwa perusahaan harus memahami bahwa faktor utama yang menyebabkan terjadinya pelanggaran dan/atau kebocoran data pribadi di seluruh dunia adalah satu faktor yakni human error atau kesalahan yang dilakukan karyawan perusahaan, baik sengaja maupun tidak disengaja.
“Berbeda dengan software canggih dan mesin yang dapat berjalan terus-menerus tanpa letih, karyawan atau sumber daya manusia yang bekerja di perusahaan memiliki kelemahan layaknya manusia biasa, yaitu kelelahan secara fisik dan mental, tekanan tinggi di lingkungan kerja yang menyebabkan karyawan melakukan pekerjaan secara terburu-buru, dan yang paling utama ialah tidak adanya arahan maupun pelatihan yang diberikan perusahaan mengenai pentingnya menjaga data pribadi dalam setiap kegiatan kerja yang dilakukan karyawan perusahaan,” tutur Partner dari BP Lawyers ini.
Sekar juga menambahkan kalau kelemahan dan/atau ketidakpahaman inilah yang sering dimanfaatkan penyerang siber untuk mencari dan mendapatkan celah untuk menyerang dan membocorkan data pribadi yang diproses perusahaan. Baik dengan skema phishing atau social engineering yang menyebabkan karyawan melakukan klik tautan yang ternyata merupakan serangan siber, maupun celah-celah lain yang tidak diperbarui dan diperkuat secara berkala oleh karyawan perusahaan.
“Oleh karenanya, penting bagi perusahaan untuk tidak hanya mengeluarkan pendanaan untuk meningkatkan dan memperbarui sumber daya teknologi untuk perlindungan data pribadi, namun juga untuk meningkatkan kualitas dan melatih sumber daya manusia yang bekerja di perusahaan untuk memahami dan melaksanakan perannya dalam melindungi data pribadi yang diproses dengan baik. Hal ini juga dapat diperkuat dengan membuat dan menyusun instrumen ketenagakerjaan seperti perjanjian kerja, peraturan perusahaan, maupun kode etik bekerja untuk memastikan kesadaran karyawan terhadap keamanan dan keutuhan data pribadi menjadi prioritas,” papar Sekar.
Dengan demikian, langkah-langkah arahan dan pelatihan ini yang dapat menjadi langkah preventif yang efektif dan efisien dalam pelindungan data pribadi, dibandingkan dengan menghadapi dampak yang timbul ketika kebocoran data pribadi telah terjadi, tutup Sekar.
Perlindungan Data Bagian dari Strategi Bisnis
Bagi perusahaan, tantangan setelah hadirnya UU PDP bukan hanya memastikan kepatuhan terhadap regulasi, tetapi membangun sistem pengelolaan data yang bertanggung jawab. Perusahaan perlu mulai memetakan data apa saja yang dikumpulkan, dari mana sumbernya, siapa yang memiliki akses, serta untuk tujuan apa data tersebut digunakan.
Hal lain yang sering luput adalah pengelolaan hubungan dengan pihak ketiga. Ketika perusahaan menggunakan vendor untuk mengelola sistem pembayaran, aplikasi, layanan pelanggan, atau penyimpanan data, risiko tidak otomatis berpindah kepada vendor tersebut. Perusahaan tetap perlu memastikan terdapat pengaturan yang jelas mengenai tanggung jawab dan batas pemrosesan data.
Pada akhirnya, perlindungan data bukan hanya kewajiban untuk menghindari sanksi, tetapi bagian dari strategi menjaga keberlangsungan bisnis. Perusahaan yang mampu mengelola data dengan baik tidak hanya mengurangi risiko hukum, tetapi juga membangun kepercayaan pelanggan yang menjadi fondasi penting dalam ekonomi digital.
(RED)
