Perlindungan dan Jaminan Hukum dalam Kasus Peretasan PDNS2
Artikel ini adalah kolom, seluruh isi dan opini merupakan pandangan pribadi penulis dan bukan cerminan sikap redaksi.
MASYARAKAT Indonesia tengah dihebohkan dengan serangan siber ransomware pada Pusat Data Nasional Sementara 2 atau PDNS2 yang menyebabkan lumpuhnya server sejumlah lembaga dan kementerian negara.
Ditjen Imigrasi adalah institusi yang paling terkena dampak kejadian ini. Masalah ini membuat masyarakat bertanya-tanya keamanan data mereka yang telah diretas sejak 17 Juni 2024 itu.
Indonesia sejatinya telah mengatur perihal perlindungan data pribadi dalam Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP).
UU PDP menjelaskan, data pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya, baik secara langsung maupun tidak langsung melalui sistem elektronik atau non elektronik.
Menurut Pasal 1 angka 2 UU PDP, perlindungan data pribadi adalah keseluruhan upaya untuk melindungi data pribadi dalam rangkaian pemrosesan data pribadi guna menjamin hak konstitusional subjek data pribadi.
Sejatinya, keberadaan UU tersebut adalah wujud komitmen negara untuk menjaga hak privasi dan keamanan informasi bagi setiap individu.
Hal ini juga merupakan amanat konstitusional dari Pasal 28G ayat (1) UUD 1945 yang menjamin hak atas perlindungan diri pribadi bagi setiap orang.
Namun, keberadaan permasalahan ini seolah memunculkan keraguan terhadap komitmen negara untuk menjaga data-data penting dan pribadi setiap individu masyarakatnya.
UU PDP juga mengatur mengenai pengendali data pribadi dan prosesor data pribadi. Menurut UU PDP, pengendali data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.
Pengendali data pribadi telah diatur dalam Pasal 20 sampai Pasal 50 UU PDP dengan kewajiban untuk menunjukkan bukti persetujuan yang sudah diberikan subjek data pribadi saat melakukan pemrosesan data pribadi, menjaga kerahasiaan data pribadi dan mencegah data pribadi diakses secara tidak sah.
Sedangkan prosesor data pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam melakukan pemrosesan data pribadi atas nama pengendali data pribadi.
Kewajiban prosesor data pribadi juga telah diatur dalam Pasal 51 dan Pasal 52 UU PDP, yakni wajib melakukan pemrosesan data pribadi berdasarkan perintah pengendali data pribadi, mendapatkan persetujuan tertulis dari pengendali data pribadi sebelum melibatkan prosesor data pribadi lain.
Menurut Pasal 53 ayat (1) UU PDP, pengendali data pribadi dan prosesor data pribadi wajib menunjuk petugas atau pejabat yang melaksanakan fungsi perlindungan data pribadi dalam hal:
- Pemrosesan data pribadi untuk kepentingan pelayanan publik
- Kegiatan inti pengendali data pribadi memiliki sifat, ruang lingkup, dan/atau tujuan yang memerlukan pemantauan secara teratur dan sistematis atas data pribadi dengan skala besar, dan
- Kegiatan inti pengendali data pribadi terdiri dari pemrosesan data pribadi dalam skala besar untuk data pribadi yang bersifat spesifik dan/atau data pribadi yang berkaitan dengan tindak pidana.
Petugas atau pejabat tersebut ditunjuk berdasarkan profesionalitas, pengetahuan mengenai hukum, praktik perlindungan data pribadi, dan kemampuan untuk menyelesaikan tugas-tugasnya sesuai dengan Pasal 54 ayat (1) UU PDP dengan rinci sebagai berikut:
- Menginformasikan dan memberikan saran kepada pengendali data pribadi atau prosesor data pribadi agar mematuhi ketentuan UU PDP
- Memantau dan memastikan kepatuhan UU PDP dan kebijakan pengendali data pribadi atau prosesor data pribadi
- Memberikan saran mengenai penilaian dampak perlindungan data pribadi dan memantau kinerja pengendali data pribadi dan prosesor data pribadi, dan
- Berkoordinasi dan bertindak sebagai narahubung untuk isu yang berkaitan dengan pemrosesan data pribadi.
Dasar hukum jika terjadi kebocoran data pribadi
Menurut Pasal 35 UU PDP menyatakan bahwa Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan melakukan:
