“Kita mau perusahaan sadar punya amanah untuk melindungi data,” kata Ishak dalam diskusi bertema Kebocoran Data Pribadi:Konsekuensi Hukum & Strategi Keamanan Teknologi, Selasa (10/09/2024) kemarin.
Masyarakat sebagai subjek data menurut Ishak bisa menentukan kemana arah data pribadi mereka untuk digunakan. Misalnya, digunakan hanya untuk tujuan tertentu, bukan yang lain. Subjek data punya hak menuntut pengendali data untuk menggunakan data itu sesuai kesepakatan.
Kedua, terbitnya UU 27/2022 mendorong penyelenggara sistem elektronik (PSE) bertanggungjawab atas perlindungan data, sehingga tak melulu menyalahkan konsumen atau pengguna. Intinya, PSE bertanggungjawab atas keamanan data konsumen. Beleid yang disahkan 17 Oktober 2022 itu juga mengatur sanksi administratif, pidana, dan perdata. Mengatur pula soal petugas khusus yang bekerja melindungi data pribadi.
“Semakin amanah suatu perusahaan dalam melindungi data pribadi, maka perusahaan itu semakin dipercaya masyarakat sebagai pemilik data. Sebaliknya, bagi perusahaan yang gagal melindungi data pribadi, reputasinya bakal tercoreng,” ujarnya.
Penyebab utama kebocoran data pribadi menurut Ishak karena pelaku kejahatan siber menyerang rantai terlemah dari sistem keamanan siber. Paling sering akibat human error, serangan langsung dari luar, dan lainnya. Ada beberapa peraturan yang arahnya memperkuat keamanan siber antara lain Peraturan Presiden (Perpres) No.47 Tahun 2023 tentang Strategi Keamanan Siber Nasional Dan Manajemen Krisis Siber. Kemudian Perpres No.82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital.
Strategi
Ada banyak strategi yang bisa diterapkan organisasi dalam pelindungan data pribadi. Ishak menyebut sedikitnya ada 4 hal. Pertama, terkait kultur, kesadaran dari orang yang ada dalam organisasi. Penting mengatur bagaimana penanganan ketika terjadi kegagalan pelindungan data pribadi. Otoritas Jasa Keuangan (OJK) mewajibkan perbankan untuk memberikan awareness kepada pegawainya mengenai pelindungan data pribadi dan keamanan siber sebanyak 2 sampai 4 kali setahun.
Kedua, memiliki SDM yang paham soal pelindungan data pribadi. Ketiga, memiliki teknologi yang tepat untuk melindungi data pribadi. Keempat, melakukan mitigasi risiko, sebab sekalipun organisasi telah mengalokasikan anggaran yang besar untuk pelindungan data pribadi dan keamanan siber, belum tentu 100 persen aman.
