Ada tanggung jawab Penyelenggara Sistem Elektronik jika terjadi kegagalan perlindungan terhadap data pribadi. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik dan Peraturan Menteri Komunikasi dan Informasi Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik mengatur itu.
Tidak hanya kedua instrumen ini, dalam Rancangan Undang-Undang Perlindungan Data Pribadi yang saat ini tengah di bahas di DPR pun kewajiban Penyelenggara Sistem Elektronik jika terjadi kegagalan melindungi data pribadi diatur.
Insiden kebocoran 2 juta data Daftar Pemilih Tetap (DPT) Pemilu 2014 yang diperjualbelikan di “pasar” peretas beberapa waktu lalu, publik memahami ada perbedaan pendekatan dalam memperlakukan data pribadi. Di satu sisi, rejim perlindungan data pribadi secara tegas mengatur “ketertutupan” data pribadi, sementara di sisi lain, UU Nomor 7 Tahun 2017 tentang Pemilu mengatur keterbukaan informasi DPT sebagai bagian dari penyelenggaran Pemilu yang akuntabel.
“KPU sendiri mengatakan DPT itu data terbuka, jadi mekanisme perlindungan data menurut mereka tidak berlaku,” ujar Deputi Risert Lembaga Studi dan Advokasi Masyarakat (Elsam), Wahyudi Djafar.
Pandangan KPU ini tidaklah salah. DPT merupakan dokumen terbuka untuk kepentingan pemilihan umum. Pasal 201 Ayat (8) UU Pemilu menyebutkan, pemutakhiran data pemilih dilakukan setiap enam bulan sekali, dengan mengacu pada data kependudukan yang diserahkan oleh pemerintah kepada penyelenggara Pemilu. (Baca: 3 Lembaga Perlu Investigasi Jual Beli Data DPT di “Pasar Peretas”)
Hasil pendataan inilah yang kemudian menentukan apakah seseorang warga negara telah terdaftar sebagai pemilih dan berhak menggunakan suaranya atau tidak. Data-data tersebut selain berupa nama dan alamat, juga termasuk NIK dan jenis kelamin (Pasal 202), bahkan praktiknya Nomor Kartu Keluarga (NKK) juga dicantumkan, yang memungkinkan identifikasi lanjutan, seperti nama ibu kandung seseorang.
Ketentuan undang-undang ini juga memberikan kewajiban kepada penyelenggara Pemilu untuk menyerahkan salinan DPT kepada semua partai politik peserta pemilu, termasuk NIK dan NKK, dan tanpa ada aturan untuk menutup nomor-nomor dalam NIK dan NKK, yang dapat mengidentifikasi atau memprofil seseorang.
Dalam praktik penyalahgunaan data pribadi, mengacu pada NIK sendiri, seseorang akan langsung dapat diketahui, wilayah tempat tinggal dan tanggal lahirnya. Sementara posisi partai politik tidak jelas apakah sebagai pengendali atau prosesor data pribadi?
Menurut Wahyudi, pengalaman penyelenggaraan pemilu di banyak negara sebenarnya memperlihatkan perdebatan yang panjang perihal status DPT yang sifatnya dualistik ini. Karena itu, terhadap DPT saat ini telah diterapkan prinsip “terbuka pengawasan dari publik, dengan sejumlah pengecualian” (open to inspection by general public with limited exception).
Wahyudi menyebutkan, badan publik seperti KPU yang bertindak sebagai pengendali data memiliki kewajiban untuk menjaga infrastruktur keamanan data pribadi pengguna layanannya, yang meliputi, penerapan pseudonymization dan enkripsi data pribadi, memberikan jaminan kerahasiaan, integritas, ketersediaan, dan ketahanan yang berkelanjutan dari sistem dan layanan pemrosesan.
Badan publik juga diwajibkan memiliki kemampuan untuk memulihkan ketersediaan dan akses ke data pribadi dalam waktu yang tepat (tidak menunda-nunda) dalam hal terjadi insiden fisik atau teknis (kebocoran data). Tidak hanya itu, badan publik juga harus menerapkan proses pemantauan dan evaluasi secara teratur serta audit terhadap efektivitas langkah-langkah teknis dan organisasi untuk memastikan keamanan pemrosesan data (termasuk menerapkan Privacy by Design dan Data Protection Impact Assessments).
Penyelarasan Aturan
Terkait data Pemilu, beberapa negara juga telah melakukan penyelarasan antara UU Pemilu dengan UU Perlindungan Data Pribadi mereka, misalnya di negara-negara Eropa dengan mulai berlakunya EU GDPR (General Data Protection Regulation). Penyelarasan ini khususnya terkait dengan status dari data pemilih, kontennya, serta kewajiban dari partai politik, apakah bertindak sebagai data controller atau data processor?
“Centang perenang antara UU pemilu dengan UU adminduk dengan prinsip perlindungan data pribadi perlu diperbaiki dengan UU data pribadi yang lebih konprehensif itu,” ujar Wahyudi.
Direktur Ekskutif Perkumpulan Pemilu untuk Demokrasi (Perludem), Titi Anggraini menyebutkan isu perlindungan data pribadi dalam Pemilu di Indonesia baru muncul belakangan. Menurut Titi, perhatian pemerhati pemilu lebih dominan terhadap sikap untuk terbuka dan menjaga kepercayaan publik dan peserta pemilu atas akurasi dan validasi ketimbang secara komprehensif berupaya melindungi keamanan data pemilih.
“Apalagi waktu itu NIK kan belum sepenuhnya terkoneksi dengan urusan administratif warga negara lainnya,” ujar Titi.
Namun untuk saat ini, Titi menilai mulai ada perbaikan kesadaran terkait perlindungan data pribadi di Pemilu Indonesia secara perlahan. Menurut Titi, jika terjadi kegagalan dalam melindungi data pemilih, kedepan KPU tidak bisa hanya berlindung pada regulasi yang mengamanatkan untuk membuka data pemilih dan abai pada perlindungan data pribadi.
Meskipun data pemilih mesti bisa diakses untuk menjamin penyusunan daftar pemilih yang inklusif, transparan, dan akuntabel, penyelenggara pemilu juga harusnya tetap tunduk pada sejumlah prinsip perlindungan data pribadi.
Sejumlah prinsip itu antara lain, pertama, pembatasan tujuan yang spesifik, eksplisit, dan sah. Data pribadi dalam DPT hanya boleh diproses untuk tujuan tertentu (yaitu untuk menjamin akurasi data pemilih) yang harus dikomunkasikan pada subjek data.
Kedua, minimisasi data. Penyelenggara pemilu sebagai pengendali data hanya mengumpulkan, menyimpan, dan memproses data yang relevan dan terbatas pada hal yang diperlukan dan berkaitan dengan tujuan.
Ketiga, pembatasan penyimpanan. Penyelenggara pemilu sebagai pengendali data harus menentukan batas waktu penyimpanan dan penghapusan data pribadi. Data pribadi di DPT disimpan selama masih diperlukan untuk mencapai tujuan.
Keempat, perlindungan kerahasiaan. Penyelenggara pemilu harus memastikan kerahasiaan data pribadi dengan menerapkan langkah teknis yang memadai seperti pseudonymization dan enkripsi untuk melindungi keamanan penyimpanan data.
Penyelenggara pemilu, dalam hal ini pengawas pemilu, juga harus menyiapkan sistem pengawasan secara teratur terhadap perlindungan data pribadi serta menyiapkan prosedur pelaporan dan penyelesaian jika ditemukan kebocoran data pribadi.
Prinsip-prinsip pemrosesan data pribadi ini harus diadopsi di dalam Undang-undang Pemilu dan diselaraskan dengan Undang-undang Perlindungan Data Pribadi. “Dengan itu, KPU bisa mengatur langkah-langkah teknis yang memadai untuk melindungi data pribadi pemilih dari eksploitasi pihak-pihak tidak bertanggung jawab untuk tujuan yang tidak semestinya,” tutup Titi.