Terima kasih atas pertanyaan Anda.
Salah satu ancaman serius dalam kasus pencurian data pribadi adalah adanya malware yang ada pada aplikasi ponsel, termasuk aplikasi e-commerce yang diunduh pengguna. Akibat pencurian data tersebut, data keuangan dan data pribadi penting lainnya rentan disalahgunakan sehingga menimbulkan kerugian materiel maupun imateriel.
Malware (malicious software) adalah perangkat lunak yang secara eksplisit didesain untuk melakukan aktivitas berbahaya atau perusak perangkat lunak. Malware diciptakan dengan maksud tertentu yang sangat merugikan bagi korbanya, di antaranya seperti penyadapan, pencurian data, hingga perusakan sistem yang dilakukan terhadap perangkat korban. Contohnya antara lain virus, trojan, spyware, dan exploit.[1]
E-commerce adalah segala bentuk proses pertukaran informasi antara organisasi maupun stakeholder berbasis media elektronik yang terhubung ke jaringan internet.[2]
Dengan demikian, perusahaan yang memiliki dan/atau mengelola e-commerce termasuk ke dalam kategori penyelenggara sistem elektronik (“PSE”) lingkup privat sebagaimana diatur dalam PP 71/2019.
Berdasarkan Pasal 1 angka 4 PP 71/2019 definisi PSE adalah adalah setiap orang, penyelenggara negara, badan usaha, dan masyarakat yang menyediakan, mengelola, dan/atau mengoperasikan sistem elektronik secara sendiri-sendiri maupun bersama-sama kepada pengguna sistem elektronik untuk keperluan dirinya dan/atau keperluan pihak lain.
Lebih lanjut, PSE dibagi menjadi dua jenis, yaitu PSE lingkup publik dan PSE lingkup privat. Secara sederhana, PSE lingkup publik diselenggarakan oleh instansi penyelenggara negara atau institusi yang ditunjuk oleh instansi penyelenggara negara.[3]
Sementara itu, PSE lingkup privat adalah penyelenggara sistem elektronik oleh orang, badan usaha, dan masyarakat.[4] Salah satu bentuk PSE lingkup privat adalah PSE yang memiliki portal, situs atau aplikasi dalam jaringan yang dipergunakan untuk menyediakan, mengelola dan/atau mengoperasikan penawaran dan/atau perdagangan.[5]
Selain sebagai PSE lingkup privat, perusahaan e-commerce dapat dikategorikan sebagai pengendali data pribadi yaitu setiap orang (perseorangan atau korporasi) yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[6] Sehingga, perusahaan e-commerce juga tunduk pada ketentuanUU PDP.
Kemudian, data-data pengguna seperti identitas diri dan data keuangan pengguna yang dikelola oleh e-commerce dapat dikategorikan sebagai data pribadi. Data pribadi menurut Pasal 1 angka 1 UU PDP adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.
Sementara itu, Pasal 1 angka 29 PP 71/2019 juga mendefinisikan data pribadi sebagai setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik dan/atau nonelektronik.
Terdapat dua jenis data pribadi yaitu data pribadi yang bersifat spesifik dan yang bersifat umum. Data pribadi yang bersifat umum meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang. Sementara, data pribadi yang bersifat spesifik salah satunya adalah data keuangan pribadi.[7]
Selanjutnya, e-commerce sebagai PSE lingkup privat memiliki kewajiban untuk melindungi setiap data pengguna yang dikelola. Termasuk melindungi data dari pencurian.
Oleh karena malware memiliki sifat yang berbahaya, maka dalam Pasal 8 PP 71/2019 mengatur bahwa perangkat lunak yang digunakan oleh PSE harus terjamin keamanan dan keandalan operasi sebagaimana mestinya dan memastikan keberlanjutan layanan.
Maksud dari "terjamin keamanan dan keandalan operasi sebagaimana mestinya" adalah PSE menjamin perangkat lunak tidak berisi instruksi lain daripada yang semestinya atau instruksi tersembunyi yang bersifat melawan hukum (malicious code), seperti instruksi time bomb, program virus, trojan, worm, dan backdoor. Pengamanan ini dapat dilakukan dengan memeriksa kode sumber.[8]
Pasal 16 ayat (2) huruf e UU PDP juga mengatur bahwa pemrosesan data pribadi dilakukan sesuai dengan prinsip pelindungan data pribadi salah satunya dengan melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan yang tidak sah, pengubahan yang tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan data pribadi.
Begitu pula dalam Pasal 14 ayat (1) huruf e PP 71/2019 diatur bahwa PSE wajib melaksanakan prinsip pelindungan data pribadi dalam melakukan pemrosesan data pribadi antara lain melindungi keamanan data pribadi dari kehilangan, penyalahgunaan, akses dan pengungkapan yang tidak sah, serta pengubahan atau perusakan data pribadi.
Kewajiban bagi PSE untuk melindungi data pribadi tersebut sesuai dengan prinsip hak privasi terhadap data pribadi yang mencakup hak dari setiap individu untuk mengetahui apa yang terjadi terhadap data pribadi mereka, siapa yang mengaksesnya, dengan tujuan apa data pribadi tersebut akan digunakan, serta bagaimana data tersebut diolah dan disimpan.[9] Hak privasi tersebut diatur di dalam Pasal 27 UU PDP dan penjelasannya.
Dalam konteks UU Perlindungan Konsumen, juga ditegaskan bahwa salah satu hak dari konsumen adalah mendapatkan kenyamanan, keamanan, dan keselamatan dalam mengkonsumsi barang dan/atau jasa.[10]
Dalam hal pencurian data pribadi terjadi akibat malware atau kegagalan pelindungan data pribadi, maka perusahaan e-commerce wajib menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam kepada pengguna selaku subjek data pribadi (user).[11]
Pemberitahuan tersebut minimal memuat data pribadi yang terungkap, kapan dan bagaimana data pribadi terungkap, serta upaya penanganan dan pemulihan atas terungkapnya data pribadi.[12]
- Menggugat Perusahaan E-Commerce
User atau pengguna e-commerce yang data pribadinya dicuri akibat malware dapat menggugat perusahaan e-commerce untuk mendapatkan ganti rugi jika terbukti ada pelanggaran dalam pemrosesan data pribadinya.
Hal tersebut ditegaskan dalam Pasal 19 ayat (1) dan ayat (2) UU Perlindungan Konsumen bahwa pelaku usaha bertanggung jawab untuk memberikan ganti rugi atas kerugian dari konsumen sehubungan dengan mengkonsumsi jasa, dimana ganti rugi tersebut dapat berupa penggantian uang.
Selain itu, dalam Pasal 12 ayat (1) UU PDP diatur bahwa subjek data pribadi (user e-commerce) berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan.
Adapun, pasal yang dapat digunakan sebagai dasar untuk mengajukan gugatan adalah Pasal 1365 KUH Perdata tentang perbuatan melawan hukum sebagai berikut:
Tiap perbuatan yang melanggar hukum dan membawa kerugian kepada orang lain, mewajibkan orang yang menimbulkan kerugian itu karena kesalahannya untuk menggantikan kerugian tersebut.
Selain menggugat ke pengadilan, UU PDP memberikan pilihan penyelesaian sengketa pelindungan data pribadi sebagaimana diatur di dalam Pasal 64 ayat (1), yaitu dapat juga melalui arbitrase atau lembaga penyelesaian sengketa alternatif lainnya sesuai dengan ketentuan peraturan perundang-undangan.
Namun demikian, patut diperhatikan bahwa user atau konsumen selaku subjek data pribadi harus bisa membuktikan bahwa masuknya malware yang ada pada aplikasi e-commerce bukan merupakan kesalahan dari user, melainkan kesalahan dari pihak perusahaan e-commerce yang bersangkutan.
- Membuat Laporan ke Kepolisian
Pihak yang menanamkan atau menyebarkan malware pada aplikasi e-commerce hingga menimbulkan kerugian bagi pengguna seperti penyalahgunaan data pribadi, dapat dilaporkan kepada kepolisian.
Tindak pidana terkait dengan penyalahgunaan data pribadi tersebut diatur di dalam Pasal 67 UU PDP yang berbunyi:
- Setiap Orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi sebagaimana dimaksud dalam Pasal 65 ayat (1) dipidana dengan pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak Rp5 miliar.
- Setiap Orang yang dengan sengaja dan melawan hukum mengungkapkan Data Pribadi yang bukan miliknya sebagaimana dimaksud dalam Pasal 65 ayat (2) dipidana dengan pidana penjara paling lama 4 tahun dan/atau pidana denda paling banyak Rp4 miliar.
- Setiap Orang yang dengan sengaja dan melawan hukum menggunakan Data Pribadi yang bukan miliknya sebagaimana dimaksud Pasal 65 ayat (3) dipidana dengan pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak Rp5 miliar.
Dengan demikian, Anda dapat melaporkan tindak pidana terkait dengan penyalahgunaan data pribadi yang dilakukan oleh penyebar malware pada e-commerce ke kepolisian. Selengkapnya dapat Anda baca dalam Mau Melaporkan Tindak Pidana ke Polisi? Begini Prosedurnya.
Demikian jawaban dari kami, semoga bermanfaat.
Dasar Hukum:
- Kitab Undang-Undang Hukum Perdata;
- Undang-Undang Nomor 8 Tahun 1999 tentang Perlindungan Konsumen;
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
- Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.
Referensi:
- Bambang Agus Herlambang, dkk. E-Marketplace Development with C2C Model and Appreciative Inquiry. Jurnal Transformatika, Vol. 15 No. 2, Januari 2018;
- Kadek Rima Anggen Suari dan I Made Sarjana. Menjaga Privasi di Era Digital: Perlindungan Data Pribadi di Indonesia. Jurnal Analis Hukum (JAH), Vol. 6, No. 1, April 2023;
- Triawan Adi Cahyanto, dkk. Analisis dan Deteksi Malware Menggunakan Metode Malware Analisis Dinamis dan Malware Analisis Statis. JUSTINDO (Jurnal Sistem dan Teknologi Informasi Indonesia), Vol. 2, No. 1, 2017.
[1] Triawan Adi Cahyanto, dkk. Analisis dan Deteksi Malware Menggunakan Metode Malware Analisis Dinamis dan Malware Analisis Statis. JUSTINDO (Jurnal Sistem dan Teknologi Informasi Indonesia), Vol. 2, No. 1, 2017, hal. 19
[2] Bambang Agus Herlambang, dkk. E-Marketplace Development with C2C Model and Appreciative Inquiry. Jurnal Transformatika, Vol. 15 No. 2, Januari 2018, hal. 96
[3] Pasal 1 angka 5 Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (“PP 71/2019”)
[4] Pasal 1 angka 6 PP 71/2019
[5] Pasal 2 ayat (5) huruf b angka 1 PP 71/2019
[6] Pasal 1 angka 4 jo. angka 7 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)
[7] Pasal 4 UU PDP
[8] Penjelasan Pasal 8 huruf a PP 71/2019
[9] Kadek Rima Anggen Suari dan I Made Sarjana. Menjaga Privasi di Era Digital: Perlindungan Data Pribadi di Indonesia. Jurnal Analis Hukum (JAH), Vol. 6, No. 1, April 2023, hal. 135
[10] Pasal 4 huruf a Undang-Undang Nomor 8 Tahun 1999 tentang Perlindungan Konsumen
[11] Pasal 46 ayat (1) huruf a UU PDP
[12] Pasal 46 ayat (2) UU PDP
