Dugaan kebocoran database pada sektor publik kembali terjadi. Kali ini database Kepolisian RI (Polri) diduga mengalami kebocoran berdasarkan unggahan akun twitter @son1x777 pada 17 November 2021 lalu. Terdapat sekitar 20 elemen data pribadi yang diduga bocor, termasuk beberapa data pribadi yang bersifat sensitif, dengan tingkat ancaman risiko tinggi bagi subjek data. Data pribadi yang bocor meliputi nama, Nomor Register Pokok (NRP), pangkat, tempat dan tanggal lahir, satuan kerja, jabatan, alamat, agama, golongan darah, suku, email, hingga nomor telepon.
Data yang bocor juga terkait posisi kasus korban tindak pidana mencakup data rehab putusan, rehab putusan sidang, jenis pelanggaran (termasuk kronologi pelanggaran dan juga nama korban yang terlibat), rehab keterangan, id propam, hukuman selesai, dan tanggal selesai pembinaan dan penyuluhan (binlu). Perlu diketahui, keseluruhan pengelolaan data pribadi yang dilakukan oleh Kepolisian merupakan bagian dari penyelenggaraan sistem pemerintahan berbasis elektronik (SPBE).
Direktur Eksekutif Lembaga Studi Advokasi Masyarakat (Elsam), Wahyudi Djafar mengatakan mengacu pada PP No.71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE) dan Permenkominfo No. 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik (Permenkominfo 20/2016), setiap pemrosesan data pribadi harus sesuai dengan prinsip pelindungan data pribadi, termasuk kewajiban memastikan keamanan data pribadi.
Selain itu, sebagai bagian dari SPBE, pengelolaannya juga wajib mengikuti Perpres No. 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (Perpres SPBE), yang teknis operasionalnya telah diatur dalam Peraturan BSSN No.4 Tahun 2021 tentang Pedoman Manajemen Keamanan Informasi Sistem Pemerintahan Berbasis Elektronik dan Standar Teknis dan Prosedur Keamanan Sistem Pemerintahan Berbasis Elektronik (Peraturan BSSN 4/2021).
“Dalam peraturan tersebut ditegaskan, setiap penyelenggaraan SPBE, selain memastikan keamanan sistemnya, juga harus mampu mencapai tujuan perlindungan data pribadi,” kata Wahyudi dalam keterangannya, Jumat (19/11/2021). (Baca Juga: Penegakan Hukum Kebocoran Data Pribadi Lemah, Dua RUU Ini Mendesak Disahkan)
Mengacu sejumlah instrumen regulasi itu, Wahyudi menyampaikan terdapat beberapa hal yang perlu menjadi perhatian Kepolisian sebagai pengendali data pribadi. Pertama, PP PSTE dan Permenkominfo 20/2016 secara tegas mengatur bahwa pemrosesan data pribadi harus dilakukan dengan “melindungi keamanan Data Pribadi dari kehilangan, penyalahgunaan, akses dan pengungkapan yang tidak sah, serta pengubahan atau perusakan Data Pribadi” dan penyelenggara sistem elektronik wajib “menjaga kerahasiaan data pribadi”.
Selain itu, subjek data juga memiliki hak untuk mendapatkan pemberitahuan secara tertulis dalam hal terjadinya kebocoran data pribadi. Kedua, Perpres SPBE telah secara khusus mengatur pengembangan sistem informasi pemerintah berbasis elektronik. Pada aspek keamanan data, setiap sistem elektronik pemerintah harus memastikan kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) dari sistemnya, juga mekanisme pengendalian keamanan lainnya.
Aspek‐aspek itu yang kemudian diturunkan sebagai standar teknis dan prosedur keamanan aplikasi pemerintah, yang diatur dalam Pasal 25‐29 Peraturan BSSN 4/2021, dengan salah satu tujuannya memastikan fungsi proteksi data. Peraturan ini juga mengatur langkah‐ langkah minimal yang harus dilakukan ketika terjadi insiden keamanan, juga kewajiban untuk melakukan audit keamanan secara berkala.
Dengan rujukan pengaturan di atas, semestinya Kepolisian dapat segera melakukan langkah‐langkah mitigasi, untuk memastikan menghentikan kebocoran data tersebut, serta mengidentifikasi penyebab kebocoran, sekaligus risiko yang mungkin terjadi pada subjek datanya.
“Dalam kapasitasnya sebagai pengendali data, Kepolisian segera memberikan pemberitahuan tertulis kepada subjek data yang data pribadinya bocor atau terbuka ke publik. Apalagi dalam kasus ini ada sejumlah data sensitif yang bocor, yang memiliki risiko lebih tinggi dan jangka panjang bagi subjek datanya,” jelas Wahyudi.
Mengacu peraturan yang berlaku saat ini, BSSN dan Kemkominfo juga perlu segera melakukan proses investigasi, untuk mengetahui penyebab kebocoran, besaran dan risiko kebocoran, dan memberikan rekomendasi untuk mencegah kebocoran terjadi kembali. Proses pidana dapat dilakukan jika dari hasil investigasi ditemukan adanya dugaan unsur tindak pidana.
Wahyudi menyampaikan tantangannya selama ini, setiap kali terjadi insiden kebocoran data yang melibatkan institusi publik, hampir tidak ditemukan adanya proses investigasi yang dilakukan secara akuntabel. Padahal adanya laporan investigasi yang akuntabel ini tidak hanya penting bagi pengendali data, tetapi juga untuk memastikan pemenuhan hak‐hak subjek data, termasuk di dalamnya hak pemulihan yang efektif.
“Sayangnya berbagai legislasi dan regulasi sektoral terkait dengan perlindungan data saat ini, memang belum secara baik mengatur jaminan perlindungan hak‐hak subjek data. Juga belum secara detail mengatur kewajiban pengendali dan pemroses data, termasuk kewajiban ketika terjadi insiden kebocoran data pribadi,” jelasnya.
Dia menilai keberadaan UU Perlindungan Data Pribadi yang komprehensif menjadi penting disegerakan, untuk meminimalisir terus berulangnya insiden kebocoran data pribadi. Legislasi ini juga harus mampu menghadirkan adanya otoritas perlindungan data pribadi yang independen, yang akan menjadi kunci efektivitas implementasi undang‐undang, terutama dalam memastikan perlindungan hak‐hak subjek data.
Belajar dari kasus kebocoran data di institusi Kepolisian ini, yang mencakup tidak hanya data sensitif, tetapi juga data penegakan hukum, Wahyudi menyampaikan UU Perlindungan Data Pribadi juga perlu secara baik mengatur tingkat perlindungan (gravity of protection) terhadap setiap jenis data pribadi.
Pengalaman di berbagai negara umumnya menempatkan data yang terkait dengan penegakan hukum sebagai data kategori khusus, yang dalam pengelolaannya dipersamakan dengan data sensitif, meskipun bukan merupakan bagian dari data sensitif. “Artinya, dalam pemrosesan data (pengumpulan, penyimpanan, pemusnahan) terkait penegakan hukum, juga harus diterapkan sistem keamanan yang lebih tinggi, mengingat risikonya yang juga besar bagi subjek datanya,” jelas Wahyudi.
Merespon kebocoran database kepolisian ini, ELSAM menekankan perlunya investigasi secara tuntas dan akuntabel, untuk mengetahui penyebab kebocoran, besaran kebocoran, dampak risiko kebocoran, dan langkah mitigasi yang harus dilakukan, termasuk perbaikan sistem untuk mencegah kebocoran serupa. Kemudian, Kepolisian juga perlu melakukan langkah‐langkah yang diatur berdasarkan peraturan yang berlaku, dalam kapasitasnya sebagai pengendali data, untuk meminimalisir risiko dari subjek datanya.
Perlu juga evaluasi dan audit sistem keamanan dalam pemrosesan data pribadi, untuk mencegah terjadinya insiden serupa. Terakhir, kebutuhan mendesak UU Perlindungan Data Pribadi yang komprehensif, dengan kualitas yang baik, dan dapat diimplementasikan secara efektif, melalui hadirnya suatu otoritas perlindungan data pribadi yang kuat dan independen.
Respons Polri
Menanggapi klaim pembobolan data tersebut, Kadiv Humas Polri Irjen Dedi Prasetyo menyatakan Direktorat Tindak Pidana Siber (Dittipidsiber) Bareskrim sedang mengusut kasus ini. Dedi akan memberi informasi lebih lanjut nanti. “Ya, sedang ditangani oleh Dittipidsiber Bareskrim. Nanti kalau sudah ada update-nya diinfokan,” ucap Dedi seperti dikutip dari situs Mabes Polri.
Sebelumnya, seorang hacker asal Brasil yang menamakan dirinya ‘son1x‘ mengklaim telah membobol data Polri. ‘son1x‘ menyatakan memiliki data pribadi dan rahasia para anggota Polri beserta orang-orang terdekatnya. “Kebocoran ini berisi informasi pribadi dan kredensial (surat/sertifikat) pegawai Polri dan orang-orang yang terlibat dengannya,” cuit son1x dalam foto yang dibagikan melalui akun Twitternya, @son1x666, dalam bahasa Inggris, Kamis (18/11/2021).
‘son1x‘ mempersilakan setiap orang mengakses data pribadi anggota Polri yang dibobol itu. Dia mengatakan agar setiap orang jangan ragu menggunakan data tersebut. Lebih lanjut, ‘son1x‘ membeberkan alasan kenapa dirinya membobol data Polri. Akun itu menjelaskan dirinya tidak mendukung pemerintah Indonesia.
“Saya melakukan ini karena saya tidak mendukung pemerintah dan bagaimana mereka memperlakukan rakyatnya sendiri,” tulisnya. “Banyak orang Indonesia telah menghubungi saya berbicara tentang situasi kehidupan mereka di Indonesia. Jadi saya mengidentifikasi diri saya dengan mereka, dan memutuskan untuk membantu dengan apapun yang saya bisa, jadi inilah alasan saya melakukan kebocoran ini,” demikian bunyi akun itu.
