Bisnis.com, JAKARTA - Sehari setelah 2,3 juta data penduduk Indonesia di Komisi Pemilihan Umum (KPU) dilaporkan bocor pada Kamis (21/5/2020), muncul perdebatan kecil tapi menggelitik antara akun pemantauan dan pencegahan kebocoran data asal Israel di Twitter, @underthebreach dan Komisi.
KPU dalam tanggapannya terhadap pemberitaan di salah satu media daring nasional melalui akun Twitter membantah kebocoran atau peretasan data seperti yang dilaporkan oleh @underthebreach. Pasalnya, data yang dimaksud merupakan informasi pada tahapan Pemilihan Umum 2014 yang bersifat terbuka.
"Sumber berita tirto [baca: Tirto.id] ini bukan berasal dari kebocoran data KPU atau diretas, tetapi saat tahapan Pemilu 2014 itu informasi yang terbuka. Terima kasih," tulis akun Twitter KPU seperti dikutip Bisnis, Minggu (24/5/2020).
Pernyataan tersebut kemudian ditanggapi oleh @underthebreach. Akun tersebut mengatakan fakta bahwa informasi tersebut bersifat terbuka justru membuat persoalan yang terjadi tampak semakin memburuk. "Murni kelalaian," tulis @underthebreach.
Perlu diketahui, data kependudukan yang digunakan untuk kepentingan elektoral bersifat dualistik.
Di satu sisi data daftar pemilih bersifat terbuka dan dapat diakses oleh siapa pun guna menjamin pelaksanaan pemilu yang adil dan akuntabel. Namun di sisi lain, data-data tersebut mengandung konten data pribadi yang tunduk pada sejumlah prinsip perlindungan data pribadi.
"Kandungan itu menjadi pemicu keinginan besar partai politik atau politisi untuk bisa mengakses secara utuh daftar pemilih tetap, yang di dalamnya tersedia nama, usia, dan alamat pemilih. Namun, karena status dualistiknya, terhadap data pemilih telah diterapkan prinsip 'terbuka pengawasan dari publik, dengan sejumlah pengecualian'," tulis Deputi Direktur Riset ELSAM Wahyudi Djafar dalam keterangan resminya belum lama ini.
Sifat dualistik data tersebut menjadi problematika. Terutama, karena adanya kontradiksi antara Undang-Undang Pemilu dan Undang-Undang Administrasi Kependudukan serta prinsip-prinsip umum perlindungan data.
Dalam ketentuan Pasal 201 Ayat (8) UU Pemilu disebutkan pemutakhiran data pemilih dilakukan setiap enam bulan sekali dengan mengacu kepada data kependudukan yang diserahkan oleh pemerintah kepada penyelenggara pemilu.
Di pasal selanjutnya disebutkan hasil pendataan -- yang kemudian menentukan seseorang warga negara telah terdaftar sebagai pemilih dan berhak menggunakan suaranya atau tidak -- mencakup berbagai informasi, meliputi nama, alamat, Nomor Induk Kependudukan (NIK), dan jenis kelamin.
Ketentuan dalam UU Pemilu juga memberikan kewajiban kepada penyelenggara pemilu untuk menyerahkan salinan Daftar Pemilih Tetap (DPT) ke setiap partai politik peserta pemilu, termasuk NIK dan NKK (Nomor Kartu Keluarga) tanpa ada aturan yang mewajibkan untuk menutup nomor tersebut.
Masalahnya, dengan mengacuk kepada NIK saja, maka tempat tinggal dan tanggal lahir warga negara sudah dapat diketahui. Sementara itu, status partai politik dalam konteks pengaturan perlindungan data sejauh ini belum jelas: apakah sebagai pengendali atau prosesor data pribadi sehingga belum dapat dikenakan sanksi jika terjadi pelanggaran.
Berdasarkan urgensi kondisi di atas, pernyataan KPU bahwa DPT sepenuhnya bersifat terbuka dinilai sebagai sebuah kelalaian.
"Kebocoran DPT memiliki risiko yang sangat besar, karena DPT dibangun dari data kependudukan yang terkoneksi dengan NIK dan NKK seseorang. Sementara NIK dan NKK adalah instrumen utama dalam verifikasi dan pengaksesan berbagai layanan, baik publik maupun swasta, seperti BPJS, layanan perbankan, dan seterusnya," lanjut Wahyudi.
Dari kasus-kasus sebelumnya, data pribadi yang bocor digunakan untuk mengakses rekening bank, pemerasan, dan beberapa penyalahgunaan lain. Dalam skala kecil, kasus-kasus penipuan dan pemalsuan data juga bisa terjadi akibat terjadi kebocoran data.
Lebih jauh, juga ada potensi penambangan data lanjutan dan masif yang berlanjut ke praktik eksploitasi data besar-besaran yang berdampak pada hilangnya kontrol subjek data terhadap data pribadi.
Mengingat tidak kunjung rampungnya Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP), Kementerian Komunikasi dan Informatika (Kemenkominfo) sebagai inisiator dapat mengoptimalkan keseluruhan regulasi dan prosedur yang diatur di dalam PP No. 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.
Selain itu, ada Permenkominfo No. 20/2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik.
Untuk sementara waktu, kedua aturan tersebut dapat digunakan untuk mengambil langkah serta tindakan terhadap pengendali data selaku penyelenggara sistem dan transaksi elektronik, termasuk mitigasi dan memastikan pemulihan bagi para pemilik data.
Kemenkominfo juga diminta segera melakukan proses investigasi untuk memeroleh data dan informasi lebih lanjut perihal jumlah DPT yang terdampak, data apa saja yang bocor, serta menginformasikan langkah-langkah apa saja yang telah diambil oleh Komisi Pemilihan Umum (KPU) selaku penyelenggara sistem elektronik pelayanan publik dalam menangani dan mencegah terulangnya insiden kebocoran data pribadi.
