Lembaga Pelindungan Data Pribadi Belum Dibentuk, Presiden Berpotensi Melanggar UU 

Jakarta - Berbagai insiden siber terjadi secara beruntun di Indonesia. Mulai dari kegagalan sistem PDN karena serangan ransomware, penjualan data pribadi dari seorang peretas dengan nama anonim MoonzHaxor di darkweb yang menawarkan data Inafis, BAIS, Kemenhub, KPU, pencurian data pribadi 4,7 juta ASN yang berasal dari BKN, serta yang paling akhir adalah dugaan kebocoran data Ditjen Pajak oleh Bjorka. 

Chairman Lembaga Riset Keamanan Siber CISSReC, Pratama Persadha, mengatakan kebocoran data juga menyebabkan meningkatnya aksi penipuan yang memanfaatkan data pribadi yang bocor tersebut, penggunaan data curian untuk mengambil pinjol, serta menerima pengiriman iklan tentang ajakan bermain judi online. 

"Salah satu penyebab maraknya kebocoran data adalah belum adanya sanksi, baik administratif maupun denda kepada perusahan atau organisasi yang mengalami kebocoran data dimana sanksi hukuman tersebut hanya dapat dijatuhkan oleh lembaga atau komisi yang dibentuk oleh pemerintah dalam hal ini adalah Presiden," kata Pratama dalam keterangan tertulisnya yang diterima mnctrijaya, Rabu (18/9). 

Bulan depan, tepatnya pada 18 Oktober 2024 akan menjadi hari pertama Undang-Undang Pelindungan Data Pribadi (UU PDP) mulai berlaku setelah ditetapkan dan disahkan pada 17 Oktober 2022. 

UU ini memberikan waktu selama 2 tahun untuk pengendali data pribadi serta prosesor data pribadi dan pihak lain yang terkait dengan pemrosesan data pribadi untuk melakukan penyesuaian. 

"UU PDP ini memberikan kerangka hukum yang lebih jelas mengenai pengumpulan, penggunaan, dan penyimpanan data pribadi, serta memberikan sanksi yang lebih tegas bagi pelanggaran. Namun sangat disayangkan Presiden Joko Widodo sampai sekarang belum juga membentuk lembaga ini. Apabila tidak segera membentuk Lembaga Penyelenggara PDP sampai batas waktu 17 Oktober 2024, Presiden Jokowi berpotensi melanggar UU PDP," ujarnya mengingatkan. 

UU PDP ini mengamanatkan kepada Presiden untuk membentuk Lembaga Penyelenggara PDP seperti yang tertera pada pasal 58 sampai dengan pasal 61 yang mengatur tentang kelembagaan UU PDP ini, dimana pasal 58 ayat (3) berbunyi "Lembaga sebagaimana pada ayat (2) ditetapkan oleh Presiden".

Pelindungan Data Pribadi juga masuk dalam hak asasi manusia karena merupakan amanat dari Pasal 28G ayat (1) Undang-Undang Dasar Tahun 1945 yang menyatakan bahwa "Setiap orang berhak atas perlindungan data pribadi, keluarga, kehormatan, martabat, dan harya benda yang dibawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi."

Dengan tidak adanya Lembaga Penyelenggara PDP yang dapat memberikan sanksi tersebut, maka perusahaan atau organisasi yang mengalami kebocoran data pribadi seolah-olah abai terhadap insiden keamanan siber, bahkan mereka juga tidak mempublikasikan laporan terkait insiden tersebut. 

"Padahal tindakan itu melanggar pasal 46 ayat 1 yang diamanatkan dalam Undang-Undang no 27 Tahun 2022 tentang Pelindungan Data Pribadi yang mengatur bahwa dalam hal terjadi kegagalan pelindungan data pribadi, pengendali data pribadi wajib memberitahukan secara tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga. Adapun data apa yang perlu diungkapkan diatur dalam pasal 46 ayat 2 UU PDP, yaitu minimal terkait data pribadi yang terungkap, kapan dan bagaimana data pribadi itu terungkap dan upaya penanganan serta pemulihannya," jelas Pratama. 

Aspek hukum lainnya dari UU PDP adalah pasal 47 yang menjelaskan bahwa pengendali data pribadi memiliki kewajiban untuk membuktikan pemenuhan kewajiban dalam menerapkan prinsip-prinsip pelindungan data pribadi, sehingga pengendali data pribadi yang mengalami insiden kebocoran data wajib memberikan klarifikasi hasil investigasi serta apa saja metode keamanan yang dipergunakan supaya dapat menjamin keamanan data yang dikendalikannya. 

Selain itu aspek hukum lainnya adalah ancaman hukum terhadap pelanggaran terhadap UU PDP seperti Pasal 57 ayat (2) yang mengatur tentang denda administratif paling tinggi sebesar 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran, serta Pasal 65 ayat (1) yang mengatur pidana penjara paling lama 5 (empat) tahun atau denda paling banyak 5 miliar rupiah.

Oleh karena itu, pembentukan Lembaga Penyelenggara PDP merupakan sebuah urgensi yang harus segera diselesaikan oleh Pemerintah serta Presiden terutama jika dilihat dari 3 (tiga) perspektif.

Pertama adalah perspektif keamanan siber karena pembentukan Lembaga Penyelenggara PDP akan dapat memberikan perlindungan kepada data sensitif, memberikan pencegahan terhadap serangan siber, melakukan penegakan hukum terhadap pelanggaran, peningkatan kesadaran dan edukasi, kolaborasi dengan pihak terkait serta meningkatkan kepercayaan investor serta konsumen. 

"Perspektif selanjutnya adalah keamanan nasional, dimana Lembaga Penyelenggara PDP akan dapat memberikan perlindungan infrastruktur kritis di Indonesia, mencegah spionase dan mata-mata digital, membangun ketahanan terhadap ancaman siber, serta mengurangi kerentanan terhadap serangan asimetris atau perang siber," jelasnya.

Perspektif terakhir adalah ketahanan nasional, dimana Lembaga Penyelenggara PDP akan dapat menjaga kedaulatan negara dan kedaulatan ekonomi, meningkatkan stabilitas sosial serta menjamin kontinuitas operasional yang menyangkut layanan kepada masyarakat luas.

Lembaga Penyelenggara PDP yang dibentuk nantinya diharapkan sesuai dengan best practice yang ada, diantaranya memiliki kewenangan yang kuat untuk mengatur, mengawasi dan menegakkan kepatuhan terhadap standar keamanan data pribadi.

Lembaga Penyelenggara PDP harus secara teratur melakukan penilaian risiko terhadap data pribadi yang diolah oleh organisasi publik dan swasta. Lembaga Penyelenggara PDP juga harus melakukan audit dan pemeriksaan independen terhadap kepatuhan organisasi atas kebijakan dan dan standar keamanan data pribadi.

Kemudian Lembaga Penyelenggara PDP harus mendorong penggunaan teknologi enkripsi dan pengamanan data lainnya untuk melindungi data pribadi dari akses yang tidak sah. Lembaga Penyelenggara PDP juga harus mendorong organisasi untuk memiliki rencana yang terperinci untuk mendeteksi, merespon, dan memulihkan diri dari serangan siber.

"Selain itu Lembaga Penyelenggara PDP juga harus bisa mendorong organisasi untuk melaporkan insiden keamanan siber kepada pihak berwenang sesuai dengan regulasi yang berlaku," tegas Pratama.