BSI Kena Serangan Siber, Efektifkah UU PDP?

Context.id, JAKARTA - Kegagalan Bank Syariah Indonesia (BSI) dalam bernegosiasi kepada peretas menyebabkan bocornya data nasabah di dark web, Selasa (16/5/2023). Sistem keamanan BSI mengalami serangan siber oleh kelompok hacker yang beroperasi di Eropa Timur.

Pengamat Keamanan Siber Vaksincom, Alfons Tanujaya menyatakan, nomor rekening yang dibocorkan merupakan data nasabah BSI. Alfons juga memperkirakan penjahat ini berhasil menduplikat data penting sebelum gangguan sistem terdeteksi pada 8 Mei 2023.

LockBit 3.0 lah pelaku di balik terguncangnya sistem keamanan BSI. Geng peretas kelas dunia ini melancarkan aksinya sejak 2019. Mereka penyedia layanan Ransomware-as-a-Services (RaaS), yaitu layanan yang memungkinkan siapa saja untuk menyerang sistem dengan ransomware.

Adapun ransomware merupakan salah satu jenis kejahatan berupa virus malware yang menyerang perangkat dengan sistem enkripsi (proses konversi informasi menjadi kode rahasia). Virus bisa saja dihilangkan selama ada kode enkripsi melalui persyaratan membayar tebusan kepada pelaku.

Belakangan, tindakan kriminal secara virtual marak terjadi akibat kemajuan teknologi yang begitu pesat. Indonesia sendiri masuk dalam jajaran dua besar negara di dunia dengan kejahatan di dunia maya atau cyber crime.

Meskipun begitu, penerapan aturan masih ‘cetek’ alias belum mampu menindak tegas masalah tersebut. RUU PDP yang telah dibahas sejak 2016 pada akhirnya sah menjadi UU pada 2022.

Landasan Hukum Perlindungan Data Indonesia

Awalnya, pemerintah menginginkan regulasi terkait data pribadi menjadi dorongan pertumbuhan ekosistem digital dalam memperbanyak talenta baru dalam bidang perlindungan data pribadi.

Maka, pengelola negara membentuk Lembaga Perlindungan Data Pribadi yang bertanggung jawab atas pemberlakuan sanksi bagi penyelenggara sistem elektronik (PSE), baik pemerintah (publik) maupun swasta (privat), perseorangan, serta korporasi.

Namun, realita saat ini ternyata mengingatkan kembali seberapa efektifnya kebijakan tersebut dalam melindungi data masyarakat Indonesia.

Sejauh ini, terdapat penerapan sanksi administratif dan pidana. Sanksi administratif dalam UU PDP Pasal 57 berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan denda administratif/paling tinggi dua persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.

Adapun hukuman pidana adalah denda maksimal Rp4 miliar hingga Rp6 miliar dan penjara maksimal 4 hingga 6 tahun.

Kendati demikian, kebijakan dalam UU PDP bukanlah akhir dari upaya perlindungan data pribadi. Masih banyak hal yang harus dikerjakan bersama, misalnya sosialisasi literasi digital kepada masyarakat agar tata kelola kolaboratif (collaborative governance) dapat mempercepat tujuan perlindungan data diri.