HEADLINE: Buntut Aksi Hacker Bjorka DPR Janji Prioritaskan Bahas UU Perlindungan Data Pribadi, Poin Pentingnya?

Liputan6.com, Jakarta - Ratusan pesan WhatsApp tiba-tiba membanjiri telepon seluler Ketua Umum PKB Muhaimin Iskandar.  Sejak pukul 09.00 WIB, Senin 12 September 2022, beragam isi pesan tak jelas itu ia terima. Dirinya menyakini ini sebagai imbas dari data pribadinya yang dibobol oleh hacker Bjorka.

Wakil Ketua DPR itu menggambarkan situasinya kala itu sangat mengerikan. Dia pun memutuskan, tidak lagi menggunakan WhatsApp untuk sementara waktu.

"Ini mengerikan. Karena itu saya mengundurkan diri dari WA hari ini. Karena WA saya bocor dengan macam-macam isinya," kata dia di Kompleks Parlemen, Selasa 13 September 2022.

Ulah Hacker Bjorka membuat ketar ketir pemerintah dan publik pun juga resah. Data-data penting milik sejumlah pesohor hingga pejabat negeri ini dibobol dan diumbar ke media sosial oleh akun tersebut. Kendati baru saja aktif, akun anonim ini memiliki follower yang mencapai 16 ribu.

Fenomena ini diresnpons DPR. Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP) yang mengalami enam kali masa perpanjangan sidang rapat panitia kerja, rapat tim perumus, dan tim sinkronisasi, pada akhirnya bakal disahkan dalam rapat Paripurna DPR. Pengesahan ini dijadwalkan akan berlangsung pekan depan.

Menurut Direktur Eksekutif Lembaga Advokasi Masyarakat (Elsam) Wahyudi Djafar, proses panjang pembahasan RUU PDP ini disebabkan pemerintah dan DPR saling tarik terkait otoritas pengawasan perlindungan data pribadi. Pemerintah, yang diwakili Menkominfo Johnny G Plate menginginkan lembaga itu berada di bawah kementeriannya. Sedangkan DPR ingin instansi itu berdiri sendiri alias independen.

"Itu yang kemudian proses negosiasinya menjadi sangat panjang, bahkan memakan waktu hampir 2 tahun ya. Nah kemudian jalan tengah yang diambil adalah dengan menyerahkan pembentukan otoritas kepada presiden," kata dia kepada Liputan6.com, Rabu (14/9/2022).

Tetapi problemnya, dia melanjutkan, hal itu seperti memberikan cek kosong kepada presiden. Karena nanti bagaimana otoritas akan dibentuk dan bekerja, itu sangat tergantung dari itikad Presiden.

Kendati demikian, Wahyudi menilai RUU PDP yang akan dibawa ke tingkat II tersebut sudah mengakomodasi standar dan prinsip-prinsip perlindungan data pribadi. Karena dalam RUU tersebut telah diuraikan secara jelas hal-hal yang berkaitan dengan persoalan data.

"Di situ sudah dijelaskan terkait dengan batasan definisi data pribadi, bagaimana pemprosesan terhadap data pribadi dilakukan, termasuk batasan dasar hukum di dalam melakukan pemprosesan data pribadi untuk dianggap sah gitu ya. Lalu kemudian disinggung secara eksplisit hak-hak dari subjek data itu meliputi apa saja, terus kemudian juga kewajiban dari pengendali dan pemproses data itu juga sudah diatur," jelas dia.

Meski demikian, ada sejumlah catatan penting yang harus diperhatikan dalam penerapan UU PDP tersebut. Ini lantaran banyak pasal yang dinilai Wahyudi, akan sulit diterapkan terkait dengan penegakan hukum dari perundangan tersebut.

"Ada problem terkait dengan nantinya diproses implementasinya gitu kan. Karena ada sejumlah rumusan pasal yang sebenarnya itu masih problematik, yang itu akan menyulitkan di dalam implementasi dan penegakan hukum undang-undang perlindungan data pribadi itu sendiri," ujar dia.

Dia menyontohkan, terkait salah satunya adalah rumusan lembaga pengawas perlindungan data pribadi yang tidak dibuat secara optimal di dalam undang-undang ini. Dalam pembentukannya, nanti akan diserahkan kepada Presiden.

"Artinya nanti sangat tergantung pada itikad presiden di dalam membentuk otoritasnya di dalam membentuk lembaga pengawas perlindungan data pribadi," kata Wahyudi.

Selain itu, dia menambahkan, juga otoritas pengawasan ini nantinya akan ditempatkan di bawah presiden. Ini berarti menjadi bagian dari lembaga eksekutif.

"Nah sementara undang-undang ini kan nantinya akan berlaku mengikat, tidak hanya sektor swasta, tetapi kan juga pemerintah ya. Institusi pemerintah termasuk kementerian. Ini yang kemudian problematis, bagaimana kemudian otoritas ini, lembaga pengawas ini, akan melakukan tindakan penegakan hukum terhadap institusi pemerintah yang lain gitu kan," terang dia.

"Dalam kasus sekarang misalnya kasus kebocoran itu terjadi di kementerian A, B, C, dan seterusnya, bisa juga nanti (terjadi di) Kementerian Komunikasi dan Informatika. Pertanyaannya adalah apakah mungkin lembaga pengawas ini yang dia adalah bagian dari institusi eksekutif akan bisa memberikan sanksi, atau kemudian teguran, atau kemudian pendekatan hukum lainnya terhadap Kementerian Komunikasi dan Informatika, nah ini sebagai contoh saja," dia mencontohkan.

Kemudian dalam konteks perumusan sanksi, Wahyudi melanjutkan, juga ada problem terkait dengan hukuman yang bisa diterapkan terhadap institusi pemerintah. Ada tiga jenis sanksi yang tertuang dalam Rancangan Undang-Undang PDP tersebut. Yaitu sanksi administrasi, denda administrasi, kemudian pidana.

"Nah kalau membaca rumusan yang sekarang, institusi pemerintah itu hanya akan diterapkan sanksi administrasi. Tetapi lagi-lagi pertanyaannya mungkin atau tidak sih institusi pengawas ini yang dia adalah institusi pemerintah memberikan sanksi terhadap institusi pemerintah lain," ujar dia.

Sementara denda administratif itu, lanjut Wahyudi, hanya mungkin diterapkan terhadap korporasi atau pengendali data dari sektor swasta. Karena memang di situ rumusannya maksimal dua persen dari total pendapatan.

"Problemnya adalah kalau institusi pemerintah itu kan tidak ada pendapatan. Nah di dalam rancangan undang-undang ini tidak dirumuskan misalnya terkait dengan pemotongan anggaran tahun berikutnya dan seterusnya itu tidak diatur," jelas Wahyudi.

Termasuk dalam konteks penerapan sanksi pidana itu juga hanya bisa dikenakan terhadap orang perseorangan dan korporasi. Lagi-lagi badan publik itu juga tidak bisa dikenakan sanksi pidana. Karena definisi setiap orang dalam rumusan pasal pidananya itu hanya dikatakan orang perseorangan atau korporasi, sehingga pidana dendanya itu hanya mungkin terhadap orang perseorangan maupun juga korporasi.

"Sementara pidana badan itu hanya mungkin diterapkan terhadap orang perseorangan. Nah ini kan sebenarnya memperlihatkan ketidakfairan dalam konteks perumusan sanksi antara pengendali data dan pemproses data dari badan publik dan yang kemdian berasal dari sektor swasta," ujarnya.

Problem lain dari RUU PDP adalah resiko terjadi overkriminalisasi. Karena menurutnya, ada pasal karet dalam rumusan pidananya, terutama ketentuan Pasal 65 dan ketentuan Pasal 67. Pasal itu bicara terkait dengan pidana terhadap pembukaan data pribadi yang kemudian bisa ditafsirkan begitu luas, sehingga memungkinkan dalam penerapannya juga multitafsir dan karet.

"Yang kemudian dikhawatrikan terjadi praktik overkriminalisasi dari penerapan pasal tersebut. Itu kurang lebih secara materi undang-undangnya ya," jelas dia.

Lantas apakah RUU PDP ini dapat melindungi masyakarat dari kebocoran data? Dia menegaskan inilah tantanganya. Menurutnya, paling tidak sudah ada rumusan yang lebih jelas tentang hak-hak dari subjek data dan kewajiban dari pengendali dan pemproses data.

Sehingga ketika terjadi penyalahgunaan data, kata dia, bisa digunakan mekanisme yang disediakan oleh lembaga pengawas perlindungan data pribadi. Meskipun masih akan banyak lagi-lagi tantangan dalam upaya-upaya tersebut.

"Tetapi setidaknya lagi-lagi dengan rumusan undang-undang ini lebih jelas pengaturan dan jaminan perlindungan terhadap hak-hak subjek data dibandingkan situasi sekarang ketika undang-undang perlindungan data pribadi belum ada. Itu tidak ada kejelasan tentang apa sih sebenarnya jaminan terhadap hak-hak subjek data," terang dia.

Sementara itu Pakar Keamanan Siber dan Forensik Digital dari Vaksincom, Alfons Tanujaya menilai, kelakuan hacker Bjorka yang mempreteli data-data sejumlah tokoh ini bertujuan ingin memperlihatkan bahwa sistem pengamanan data di Indonesia sudah sedemikian buruk dan dibiarkan bertahun-tahun. Ulahnya itu pun memicu perhatian masyakarat yang mengelu-elukan Bjorka hingga menjadikannya bak pahlawan.

"Karena masyarakat merasakan selama ini, kita menjadi korban eksploitasi data yang bocor ini. Sekarang dengan data bocor ini, setidaknya pejabat pemerintah bisa merasakan gitu, derita yang dirasakan masyarakat," kata dia kepada Liputan6.com, Jakarta, Rabu (14/9/2022).

Alfons mengungkapkan, faktor utama terjadinya kebocoran data di Indonesia lantaran tidak ada pengelolaan secara baik. Lembaga yang bertugas menjaga keamanan data, disebutnya, tidak memiliki kedisiplinan agar standar yang ada dapat dilaksanakan dengan penuh tanggung jawab.

"Ini mengamankan data itu hanya mengikuti standar, tapi mengikuti standar itu perlu disiplin. Mengelola data itu, mengamankan data itu perlu kedisiplinan untuk mengikuti standar. Jadi standar itu semua kita tahu, ISO 27001, cuman apakah kedisiplinan mengikuti standar itu ada. Nah itu yang perlu ditanamkan dan perlu dilakukan," kata dia.

"Namanya ISO itu jelas, itu berlembar lembar itu, standar pengaman data jelas sekali, nah lalu mungkin yang mengelola data, yang mengerti milenial akan lebih mudah lah, yang lebih tua mengelola masalah lain," imbuh Alfons.

Ia menyebut secara ideal memang perlu adanya sentralitas data di Indonesia. Selama ini, data-data yang ada masih tersebar di berbagai tempat. Namun begitu, sentralitas data pada satu titik tak bakal efektif bila tidak dikelola dengan baik.

"Secara teknis itu lebih baik, (bagus) secara teori. Tapi kalau tidak dijalankan (oleh ahlinya), malah menjadi sekali bocor, bocornya lebih parah. Tetapi kalau dikelola oleh admin yang jago dan mengerti, itu bisa aman. Contohnya seperti kita pakai cloud, itu kalau dikelola admin yang baik, harusnya akan aman. Adminnya jago dan pengalaman. Itu yang menentukan keamanannya. Jadi bukan dikumpulkan atau tidak," ujar dia.

"Dan secara teknis, kalau (server) terpecah-pecah, cari adminnya lebih susah lagi. Misalnya ada 100 server tersebar di mana mana. kita mesti cari 100 admin yang jago. Tapi ceritanya beda kalau digabung jadi satu, adminnya 10, cuman jago-jago, akan lebih mudah mengamankannya," terang Alfons.

Menurut dia, pengesahan RUU PDP tersebut tidak menjamin kebocoran data di Indonesia akan hilang. Negara-negara maju yang memiliki pengamanan data bagus, tegasnya, juga masih mengalami kejadian serupa.

"Data bocor itu keniscayaan, data kalau dikelola selalu akan bocor. Di negara maju pun banyak yang bocor sampai hari ini. Amerika, Vietnam, China, Singapura, semuanya mengalami data bocor tapi memang tidak separah Indonesia," kata dia.

Dengan adanya RUU PDP ini, Alfons menjelaskan, setidaknya sudah ada satu ketentuan yang jelas terkait sanksi hukum bagi pengelola data. Namun yang perlu diperhatikan juga bahwa hukuman ini harus berkeadilan.

"Jadi jangan cuma swasta saja yang dihukum tapi pemerintah juga yang mengalami kebocoran data atau tidak mengelola data dengan baik, juga mengalami sanksi yang sama, yang adil. Jangan peraturan ini cuman tajam ke swasta tapi tumpul ke pemerintah. Percuma saja, karena itu tidak akan mengubah cara pengelolaan data, mereka merasa tetap aman," ujar dia.

Alfons pun merasa heran dengan aturan sanksi tersebut. Padahal yang terbanyak mengalami kebocoran data, kata dia, berasal dari institusi pemerintah. Sedangkan dari swasta, mengalami penurunan.

"Kok kenapa hukumannya malah swasta yang kenceng, pemerintah malah enggak dihukum. Ini percuma, ada aturan itu tidak akan mengubah kelakuan pengelola data pemerintah. Karena sesama institusi, jadi saling melindungi. Dibilang terjadi kebocoran data malah bilang tidak, menyangkal. " kata dia.

Terkait dengan minimnya anggaran dana hingga kebocoran data kerap terjadi, menurut Alfons, kurang tepat. Karena persoalan security data itu tidak berbanding lurus dengan anggaran. Dia menegaskan, pengamanan data merupakan proses yang akan berlangsung selamanya.

"Di security itu proses. Jadi mengapa ini data bocor, karena proyeknya sudah selesai, terus dianggurin, data diamprokin, data dicopy orang. Harusnya berbasis proses, yang seumur hidup kamu mengelola data, kamu bertanggung jawab seumur hidup mengamankannya. Jadi untuk mengamankan data itu yang penting disiplin kok. Kalau soal anggaran kami kurang setuju," ungkapnya.

Alfons mengungkapkan point terpenting dalam RUU PDP adalah keadilan perlakuan terhadap institusi pemerintah dan swasta. Di mana pemerintah yang hari ini justru rentan mengalami kebocoran, malah tidak mendapatkan hukuman yang sama beratnya dengan swasta.

"Perlu ada satu keadilan dalam satu peraturan. Jangan diskriminasi. Karena percuma, kenapa? Karena selain diskriminasi sifatnya tidak adil, ini juga tidak akan mengubah sifatnya dari PSE (Penyelenggara Sistem Elektronik) pemerintah, jadi mereka juga tidak akan merasakan penting karena nggak terlalu dihukum berat, dan mereka tidak takut dengan kebocoran," ujarnya.

Ia menegaskan, harus ada lembaga independen baru yang akan mengawasi perlindungan data pribadi.

"Sebaiknya ada badan atau lembaga independen yang cukup bergigi untuk mengawasi tata kelola data sehingga jika terjadi kebocoran data, institusi pemerintah tidak saling mendukung untuk menutupi hal ini," tutur Alfons.

IT Security Consultant dari Vaksincom ini menyebut, lembaga itu jangan di bawah Kominfo atau kementerian lain karena dalam beberapa kasus kebocoran yang terjadi, antarinstitusi malah terkesan saling melindungi dan bukan memperbaiki kesalahan.

"Jadi, lembaga baru yang mengawasi perlindungan data pribadi harus bertanggung jawab langsung ke presiden seperti KPK," Alfons memungkaskan.