Reporter: Amalia Nur Fitri | Editor: Yudho Winarto

KONTAN.CO.ID - JAKARTA. Lembaga Riset Keamanan Siber CISSReC menanggapi kasus kebocoran 6 juta Nomor Pokok Wajib Pajak (NPWP) yang diperjualbelikan di Breach Forums.

Data bocor tersebut termasuk NPWP milik Presiden Joko Widodo (Jokowi) dan Gibran Rakabuming, putra sulung Jokowi yang juga terpilih sebagai Wakil Presiden periode 2024-2029.

Pratama Persadha, Chairman CISSReC mengungkapkan bahwa pemerintah harus segera membentuk Lembaga Penyelenggara Pelindungan Data Pribadi (PDP) sebelum 17 Oktober 2024.

"UU PDP mengamanatkan kepada Presiden untuk membentuk lembaga tersebut sebagaimana diatur dalam pasal 58 hingga pasal 61. Jika tidak, Presiden berpotensi melanggar UU PDP," ujarnya dalam keterangan tertulis, Rabu (18/9).

Pratama menjelaskan bahwa kebocoran data ini juga menyebabkan peningkatan penipuan yang memanfaatkan data pribadi yang bocor, seperti pengambilan pinjaman online dan iklan judi online.

"Maraknya kebocoran data terjadi karena belum adanya sanksi, baik administratif maupun denda, terhadap perusahaan atau organisasi yang mengalami kebocoran data. Sanksi tersebut hanya dapat dijatuhkan oleh lembaga atau komisi yang dibentuk oleh pemerintah, dalam hal ini oleh Presiden," tambahnya.

UU PDP memberikan kerangka hukum yang lebih jelas mengenai pengumpulan, penggunaan, dan penyimpanan data pribadi serta memberikan sanksi tegas untuk pelanggaran.

"Namun, sangat disayangkan Presiden Jokowi belum membentuk lembaga ini. Jika tidak dibentuk hingga batas waktu yang ditentukan, Presiden berpotensi melanggar UU PDP," lanjut Pratama.

Menurut UU PDP, Pasal 58 ayat (3) mengatur bahwa lembaga yang dimaksud harus ditetapkan oleh Presiden.

Pelindungan Data Pribadi juga terkait dengan hak asasi manusia, sebagaimana diamanatkan dalam Pasal 28G ayat (1) Undang-Undang Dasar 1945, yang menyatakan hak perlindungan data pribadi sebagai hak asasi manusia.

Pratama menambahkan bahwa tanpa adanya Lembaga Penyelenggara PDP, perusahaan atau organisasi yang mengalami kebocoran data pribadi bisa saja abai terhadap insiden tersebut, dan tidak mempublikasikan laporan terkait insiden tersebut, melanggar Pasal 46 ayat 1 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Pasal ini mengatur kewajiban pemberitahuan tertulis kepada subjek data dan lembaga terkait dalam waktu 3 x 24 jam setelah terjadinya kebocoran data.

Pasal 46 ayat 2 UU PDP juga mengatur informasi yang harus diungkapkan, termasuk jenis data pribadi yang terungkap, waktu dan cara terungkapnya data, serta upaya penanganan dan pemulihan yang dilakukan.

Selain itu, Pasal 47 menyatakan kewajiban pengendali data pribadi untuk membuktikan pemenuhan kewajiban dalam menerapkan prinsip pelindungan data pribadi.

Pelanggaran terhadap UU PDP dapat dikenakan denda administratif hingga 2% dari pendapatan tahunan atau pidana penjara hingga 5 tahun.

Pratama menyimpulkan bahwa pembentukan Lembaga Penyelenggara PDP adalah urgensi yang harus segera diselesaikan oleh pemerintah dan Presiden dari tiga perspektif: keamanan siber, keamanan nasional, dan ketahanan nasional.

"Lembaga ini penting untuk melindungi data sensitif, mencegah serangan siber, melindungi infrastruktur kritis, dan menjaga kedaulatan negara serta stabilitas sosial," tutupnya.

Dia juga menekankan pentingnya memilih pemimpin lembaga yang kompeten, mengingat tantangan dalam ruang siber semakin kompleks dan memerlukan pemahaman mendalam tentang ancaman, teknologi terbaru, dan regulasi terkait.