PDN Diretas, Pemerintah Diminta Patuhi Standar Pengelolaan Data UU PDP

JAKARTA, KOMPAS.com - Peretasan terhadap Pusat Data Nasional (PDN) Sementara dan pembobolan data sejumlah instansi dalam sepekan terakhir dianggap memperlihatkan sistem pelindungan diterapkan pemerintah sangat rentan, dan harus dibenahi mengacu pada standar undang-undang.

"Berbagai kasus dugaan pelanggaran data pribadi, dalam bentuk serangan terhadap kerahasiaan data (confidentiality), yang berdampak pada pengungkapan sejumlah elemen data, yang dikelola pengendali data pemerintah, semakin menegaskan rentannya sistem pelindungan data yang mereka terapkan," kata Direktur Eksekutif Lembaga Studi dan Advokasi Masyarakat (ELSAM) kata Wahyudi Djafar dalam keterangannya, seperti dikutip pada Senin (1/7/2024).

Menurut penelusuran Wahyudi, di tengah upaya pemulihan PDN Sementara akibat serangan ransomware, sejumlah data instansi pemerintahan dijajakan peretas melalui situs khusus.

Sejumlah instansi yang diduga mengalami pembobolan data adalah Ditjen Perhubungan Udara (data dan foto karyawan, username dan password untuk seluruh aplikasi, peserta sertifikasi pilot drone, dan data penerbangan).

Baca juga: PDN Diretas, Wapres: Tidak Terpikirkan Dahulu Ada Peretasan Dahsyat

Lembaga lain yang datanya dibocorkan oleh peretas adalah Badan Penyelenggaran Jaminan Sosial Ketenagakerjaan (BPJS) yang mencakup nama dan tanggal lahir peserta BPJS Ketenagakerjaan, alamat email, nomor telepon, kelompok usia, alamat, kode pos).

Kemudian peretas juga mengaku mencuri data Badan Intelijen Strategis (BAIS) TNI, Indonesia Automatic Fingerprint Identification System (INAFIS) Polri (mencakup data sensitif foto sidik jari), Pemerintah Kota Denpasar, dan Pemerintah Kota Semarang.

Sampai saat ini, kata Wahyudi, belum diketahui apakah sumber data sejumlah instansi itu berasal dari peretasan PDN Sementara atau lainnya.

Meski begitu, pengelolaan data-data itu melibatkan pengendali data pribadi dari sektor publik dikelola pemerintah.

Wahyudi mengatakan, jika pemerintah lalai dalam mengelola dan menjamin pelindungan data maka sama saja melanggar Undang-Undang Pelindungan Data Pribadi (PDP).

Baca juga: Pemerintah Fokus Pulihkan PDN, Wapres: Siapa yang Disalahkan Itu Nanti

"Padahal, Undang-Undang Nomor 27/2022 tentang Pelindungan Data Pribadi juga berlaku mengikat bagi seluruh pengendali data publik, termasuk untuk menerapkan seluruh standar kepatuhan," ujar Wahyudi.

Dalam beleid itu disebutkan, institusi pemerintah sebagai pengendali data wajib bertanggung jawab dan patuh terhadap UU, memastikan keamanan pemrosesan data, merekam kegiatan pemrosesan data, menjaga kerahasiaan data, menyampaikan pemberitahuan (notifikasi) bila terjadi pelanggaran, dan melakukan penilaian dampak pelindungan data.

Karena merupakan amanat dalam UU PDP, maka menurut Wahyudi seharusnya pemerintah melakukan langkah-langkah teknis dan organisasi untuk memastikan kepatuhan.

Untuk diketahui, Pusat Data Nasional (PDN) mengalami serangan siber sejak Kamis (20/6/2024) dan belum pulih sepenuhnya.

Baca juga: Menko Polhukam Pimpin Rapat Bahas Penggantian PDN yang Diserang Ransomware

Tim dari Kementerian Komunikasi dan Informatika (Kemenkominfo), BSSN, Polri dan juga Telkom selaku pihak pengelola PDN, sudah berupaya mengembalikan data-data tersebut, tetapi tak berhasil.

Pemerintah akhirnya mengaku gagal memulihkan data-data yang tersimpan di PDN.

“Kita berupaya keras melakukan recovery resource yang kita miliki. Yang jelas data yang sudah kena ransomware sudah tidak bisa kita recovery. Jadi sekarang menggunakan sumber daya yang masih kita miliki,” ujar Direktur Network dan IT Solution Telkom Herlan Wijanarko, Rabu (26/6/2024).