Perkara pencurian dan jual beli data

Baru-baru ini, publik dikejutkan dengan cuitan akun Twitter @hendralm, yang mengunggah tangkapan layar dari sebuah grup di Facebook, terkait transaksi jual beli data Nomor Induk Kependudukan (NIK) KTP elektronik (e-KTP), Kartu Keluarga (KK), dan foto selfie. Dia menyebut, data itu dijual hingga jutaan rupiah.

Perkara pencurian dan jual beli data di media sosial bukan isapan jempol. Hal ini dialami Taufiq—bukan nama sebenarnya. Dia baru sadar datanya dijual di Facebook, setelah kerabat dekatnya mengirimkan bukti tangkapan layar transaksi yang mencantumkan foto selfie, NIK, dan KK miliknya.

"Dijual seharga Rp600.000. Itu kan bukan harga yang murah," ujar Taufiq saat dihubungi Alinea.id, Kamis (1/8).

Taufiq tak bisa menebak sama sekali, dari mana data pribadinya bisa tersebar, hingga sampai di tangan si penjual. Dia menduga, pesan-pesan pendek spam yang masuk ke telepon selulernya merupakan pangkal pencurian data.

Dia acap kali menerima pesan pendek dari nomor yang sama sekali tak dikenal, lalu ada keterangan kalau dia menang mobil atau rumah.

"Terus kan ada link untuk mengakses hadiah itu, ya saya kan penasaran, jadi saya klik begitu saja. Kata teman-teman saya, hal itu bisa jadi celah bagi pelaku untuk mencuri data yang ada di handphone saya," tuturnya.

Selain itu, celah lain yang dicurigai Taufiq adalah dalam kegiatannya meminjam uang di aplikasi fintech atau pinjaman daring. Fintech sendiri punya prosedur yang membuat penyebaran data pribadi sah secara hukum, yakni adanya kata sepakat dari konsumen saat memverifikasi akun.

Data yang dikumpulkan setiap fintech, yakni nomor telepon seluler, nama lengkap, alamat rumah, nomor telepon seluler kerabat, nomor KK, nomor KTP, foto e-KTP, hingga foto selfie si peminjam.

"Saya curiga, itu jadi penyebab foto selfie saya tersebar. Soalnya foto yang tersebar dengan yang saya kirim ke fintech itu sama persis," katanya.

Meski begitu, Taufiq tak menyalahkan pihak fintech. Dia lebih menaruh curiga terhadap pihak ketiga yang bisa mengakses data di fintech itu.

"Kan kalau pinjam di fintech itu, telat beberapa bulan, data kita disebar di grup gitu. Mungkin salah satu peminjam atau orang ketiga di grup itu yang nyebarin," ucapnya.

Konsumen bersalah?

Menanggapi penjualan data yang terkait fintech, juru bicara Otoritas Jasa Keuangan (OJK) Sekar Putih Djarot mengatakan, fintech yang ada di bawah pengawasan OJK dipastikan terikat dengan Peraturan Otoritas Jasa Keungan (POJK) Nomor 77/POJK.01/2016 tentang Layanan Pinjam Meminjam Uang Berbasis Teknologi Informasi.

Sekar menyebut, di dalam peraturan itu ada ada ketentuan yang mengatur pembatasan akses data konsumen, berupa hanya sebatas mikrofon, lokasi, dan kamera saja.

“Selebihnya, fintech tidak bisa mengambil data lainnya,” tutur Sekar saat dihubungi, Kamis (1/8).

POJK Nomor 1/POJK/07/2013 tentang Perlindungan Konsumen Sektor Jasa Keuangan pun mengatur perihal bank dan lembaga keuangan lainnya yang menyimpan data nasabahnya.

Di dalam aturan itu, kata Sekar, sudah ada larangan kepada pelaku usaha jasa keuangan yang berada di bawah naungan OJK untuk tak memberikan atau menerima data konsumen kepada pihak ketiga, tanpa izin orang itu.

"Terlampir dalam Pasal 53 ayat 1, sanksinya mulai dari sanksi administratif berupa pembinaan, teguran terhadap pihak yang melanggar, untuk kemudian diserahkan kepada pelaku usaha. Entah mau memecatnya atau membawa ke pihak berwajib," tuturnya.

Menurut dia, bobolnya data pribadi berasal dari kesalahan konsumennya sendiri. Sekar menuturkan, celah bisa muncul dari nasabah yang tak menjaga kerahasiaan identitasnya secara baik.

Dia melanjutkan, ada kebiasaan sejumlah orang yang tak khawatir menyebarkan nama, nomor e-KTP, nomor telepon, dan data pribadi lainnya demi ikut undian berhadiah di mal atau tempat lainnya. Padahal, kata dia, pengumpulan data pribadi seperti itu merupakan praktik ilegal.

“Praktik-praktik ilegal tersebut, kemudian dimanfaatkan pihak tak bertanggung jawab untuk meraup keuntungan pribadi,” kata dia.

Selain konsumen, Sekar pun curiga pengawasan terhadap sumber daya manusia di lembaga keuangan yang ada, terlalu lemah. Dia mencontohkan, biasanya dalam pemasaran kartu kredit, bank sering merekrut jasa pemasaran yang sifatnya freelance.

"Nah, di antara agen pemasaran tersebut, sering terjadi jual beli data nasabah yang harusnya ditertibkan lembaga jasa keuangan terkait,” ujarnya.

Di samping itu, memang ada larangan layanan jasa keuangan untuk tidak menggunakan data dengan sumber tak jelas.

Siapa pelakunya?

Lembaga Bantuan Hukum (LBH) Jakarta kerap menerima laporan perkara pencurian dan jual beli data dari masyarakat. Menurut pengacara publik bidang perkotaan dan masyarakat urban LBH Jakarta Jeanny Silvia Sari Sirait, ada tiga pihak yang turut andil dalam tersebarnya data pribadi, yakni negara, swasta, dan perbankan.

Jeanny menyebut, negara—dalam hal ini Kementerian Dalam Negeri dan Direktorat Jenderal Kependudukan dan Pencatatan Sipil (Ditjen Dukcapil)—secara tak langsung ikut menyebarkan data pribadi, dengan ditekennya nota kesepahaman antara pemerintah dengan pihak swasta.

Bukti itu, kata dia, salah satunya tercatat dari kerja sama antara Ditjen Dukcapil dengan perusahaan pembiayaan Grup Astra, di mana Astra diberikan akses NIK dan e-KTP, yang dimanfaatkan untuk menunjang layanan pembiayaan.

"Dengan adanya MoU itu sendiri sudah melanggar hak asasi manusia, di mana seharusnya justru hak itu dilindungi negara," ujar Jeanny saat dihubungi, Kamis (1/8).

Di samping itu, saat pemilihan umum yang lalu, ada pula kebocoran data. Bila data ditampung negara untuk kepentingan politik elektoral, kata Jeanny, tak ada masalah. Namun, semestinya, negara menjamin data-data itu.

"Kok, malah bisa bocor. Ini kan bukti kebobrokan negara dalam mengatur perlindungan data pribadi warga negaranya," katanya.

Selain negara, Jeanny juga mengatakan, pihak swasta dan perbankan sebagai dalang dari transaksi ilegal tersebut. Buktinya, menurutnya, bisa dilihat dari seringnya masyarakat menerima telepon dari orang yang menawarkan asuransi atau kartu kredit. Bahkan, ada yang sampai mengirim dokumen ajuan kredit.

“Berdasarkan hal itu saya bisa bilang, swasta bisa jadi pelaku dalam hal itu. Dari mana data saya tersebar kalau bukan dari swasta?” ujarnya.

Jeanny menjelaskan, jual beli data bisa langgeng dengan melewati empat alur utama, yakni akses, pengambilan, pengumpulan, dan penyebaran. Setelah seseorang berhasil mengambil data pribadi, ia akan langsung mengumpulkannya di dalam satu tempat khusus.

"Bisa pakai flashdisk, harddisk. Kalau tidak ada izinnya, tinggal foto dan dikumpulkan. Nah, itu lah yang disebut big data," ucapnya.

Lantas, setelah semua data terkumpul, kata Jeanny, potensi penyebaran data semakin lebar. Data itu bisa disebar secara gratis ataupun berbayar.

Jeanny menyebut, tiga atau empat tahun lalu, LBH Jakarta sempat melakukan riset terkait jual beli data. Hasilnya, data yang dijual swasta ke perusahaan swasta lainnya bisa dihargai sebesar Rp2.500 hingga Rp3.500 per data per orang.

"Bayangkan kalau dijual ke 10 perusahaan itu bisa untung Rp25.000 per orang, kalau data 10 orang bisa Rp250 ribu, 100 orang bisa Rp2,5 juta. Itu dalam jangka satu hari saja bisa segitu, bagaimana kalau kita kalikan sampai 30 hari? Betapa kayanya pelaku penyebar data pribadi itu kan?" katanya.

Mendorong regulasi

Sementara itu, Wakil Ketua Harian Yayasan Lembaga Konsumen Indonesia (YLKI) Sudaryatmo menyayangkan aturan terkait perlindungan data pribadi baru sekadar ada di tingkat sektoral, seperti yang diatur OJK.

Menurut dia, aturan yang diterapkan OJK masih terbilang lemah. Mengingat sanksi yang dijatuhkan hanya terbatas pada pelaku atau pegawai lembaga keuangan yang ketahuan menyebarkan data pribadi nasabah. Namun, industri bebas dari peringatan.

"Kita belum ada UU Perlindungan Data Pribadi. Padahal ini penting," ujar Sudaryatmo ketika dihubungi, Kamis (1/8).

Menurutnya, Rancangan Undang-Undang Perlindungan Data Pribadi (RUU PDP) perlu segera disahkan karena hukum yang sumbernya berupa undang-undang dapat menjadi tameng terkuat dalam hal melindungi hak masyarakat.

Bila sudah ada aturan hukum yang baku, kata dia, akan ada efek jera yang diterima pelaku penyebar data pribadi maupun industri keuangan terkait.

Dihubungi terpisah, Ketua Cyber Law Center Fakultas Hukum Universitas Padjadjaran Sinta Dewi juga menyoroti peran pemerintah dalam kasus jual beli data. Senada dengan Sudaryatmo, Sinta pun memandang, sudah sepatutnya negara mengesahkan RUU PDP.

"Harusnya pemerintah mendorong RUU PDP ini, regulasinya untuk segera berlaku," ucapnya saat dihubungi, Kamis (1/8).

RUU PDP sudah dibahas sejak 2012. Rancangan itu dua kali masuk program legislasi nasional (prolegnas) DPR pada 2015 dan 2019. Padahal, masa jabatan anggota DPR periode saat ini bakal segera berakhir pada Oktober 2019. Jika ingin segera dirampungkan, maka hanya ada waktu sekitar tiga bulan.

Terlepas dari itu semua, Sinta mengatakan, pegangan paling penting bagi masyarakat dalam era kemajuan teknologi big data adalah literasi digital.

"Kita sebagai masyarakat yang harus teliti, jeli, jangan terlalu mudah mengumbar data-data pribadi di media sosial,” kata dia.