RUU PDP Terseok-seok di Belakang Kebocoran Data Tokopedia

Di dunia ini terdapat 3 jenis godaan yaitu "Harta, Tahta, dan Data"

Kiasan tersebut sudah dapat dikatakan relevan jika disandingkan dengan kondisi sekarang. Baru-baru ini masyarakat dihebohkan dengan kabar terjadinya kebocoran data suatu situs e-commerce Tokopedia yang jumlahnya mencapai 15 juta pengguna, bahkan belakangan ini jumlah tersebut bertambah menjadi 91 juta data pengguna. 

Kabar tersebut pertama kali muncul dari Twitter oleh akun @underthebreach yang mengaku sebagai layanan pengawasan dan pencegahan kebocoran data asal Israel. 

Vice President of Corporate Communications Tokopedia Nuraini Razak kepada media mengakui adanya upaya pencurian data pengguna tersebut dan memastikan bahwa informasi penting pengguna seperti password tetap terlindungi.

Data yang diretas tersebut pun telah dikonfirmasi berupa nama user ID, alamat email mencakup tanggal lahir, jenis kelamin, hingga nomor ponsel. 

Atas kejadian tersebut Johnny Gerard Plate selaku Menteri Komunikasi dan Informatika meminta pengelola Tokopedia melakukan 3 hal, yaitu melakukan pengamanan sistem, memberi tahu pemilik akun, dan melakukan investigasi internal. 

Jika data tersebut diperjualbelikan dampak kerugian yang dirasakan oleh pengguna yang diretas adalah dapat berupa menerima email spam, phising untuk mencuri informasi akun lain, bahkan penipuan lainnya karena nomor telepon dan tanggal lahir termasuk data yang diretas. 

Berdasarkan kejadian tersebut penulis menjadi ingat salah satu jargon klasik dalam hukum yaitu "Het recht hinkt achter de feiten aan", yang artinya hukum berjalan terseok-seok di belakang fakta. Sebab kebetulan saat kasus ini terjadi RUU Perlindungan Data Pribadi (selanjutnya disebut RUU PDP) belum juga disahkan oleh DPR. 

Namun apabila kita berandai-andai RUU ini telah disahkan maka Tokopedia diwajibkan untuk menyampaikan pemberitahuan tertulis kepada pemilik data pribadi yaitu pengguna dalam waktu 72 jam karena telah gagal melindungi data pribadi sebagaimana tertulis dalam Pasal 42 RUU PDP. 

Namun dengan hukum positif yang ada saat ini bagaimana untuk kerugian yang dirasakan untuk pengguna?

Secara normatif peraturan perundang-undangan memberikan kewenangan untuk menggugat sebagaimana Pasal 26 ayat (1) dan ayat (2) UU Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (selanjutnya disebut "UU ITE") yang menyatakan:

"(1) Kecuali ditentukan lain oleh peraturan perundangundangan, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan Orang yang bersangkutan."

"(2) Setiap Orang yang dilanggar haknya sebagaimana dimaksud pada ayat (1) dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan Undang-Undang ini."

Meskipun pasal tersebut dapat dikategorikan sebagai pasal yang tidak sempurna, karena pasal 26 hanya terdiri dari norma primer dan tidak memiliki norma sekunder yang mengatur mengenai sanksi, tapi pasal tersebut masih memberikan kewenangan bagi subjek yang haknya dilanggar untuk mengajukan gugatan atas kerugian yang dirasakan.

Bila kembali berandai-andai RUU PDP sudah disahkan maka Pasal 16 Jo. Pasal 32 ayat (1) dapat juga digunakan dalam kasus Tokopedia tersebut karena pasal tersebut menyatakan:

Pasal 16 RUU PDP
"Pemilik Data Pribadi berhak menuntut dan menerima ganti rugi atas Pelanggaran Data Pribadinya"

Pasal 32 ayat (1) RUU PDP
"(1) Pengendali Data Pribadi wajib mencegah Data Pribadi yang dapat diakses secara tidak sah."

Bila menggunakan UU terkait lainnya karena hubungan antara pengguna dan Tokopedia adalah konsumen dan pelaku usaha mungkin dapat menggunakan Undang Undang nomor 8 Tahun 1999 tentang Perlindungan Konsumen (selanjutnya disebut dengan UU PK). Pada bagian Tanggung Jawab Pelaku Usaha dalam Pasal 19 ayat (1) menyatakan:

"(1) Pelaku usaha bertanggung jawab memberikan ganti rugi atas kerusakan, pencemaran, dan/atau kerugian konsumen akibat mengkonsumsi barang dan/atau jasa yang dihasilkan atau diperdagangkan."

Menurut penulis akan ada sedikit kesulitan dalam hal membuktikan kerugian atas menggunakan/mengkonsumsi jasa penggunaan platform tersebut. 

Namun demikian satu hal yang perlu diperhatikan adalah bagaimana suatu Kebijakan Privasi (Privacy Policy) dari suatu situs platform tersebut dalam hal ini milik Tokopedia yang tidak mencantumkan ketetentuan bagaimana jika Tokopedia gagal dalam melindungi data pribadi pengguna. 

Maka dari itu sebenarnya sebagai pengguna sebaiknya kita harus lebih memperhatikan terlebih dahulu yang ada pada kebijakan privasi dari suatu website.

Sebab mungkin kebanyakan orang tidak pernah membaca suatu kebijakan privasi tersebut secara cermat dan menyeluruh atau bahkan terlebih lagi terdapat beberapa website yang membuat kebijakan privasi sulit untuk diakses seperti misal tulisan yang terlalu kecil ataupun lokasi yang tidak mungkin digapai oleh pengguna.