Pelindungan Data Pribadi dan Integritas Pemilu
Kebocoran data pemilih agar menjadi evaluasi penyelenggara pemilu untuk melaksanakan kewajiban pelindungan data pribadi.
Ilustrasi kebocoran data
Publik kembali digegerkan dengan dugaan kebocoran data pribadi yang menimpa institusi publik. Kali ini terhadap data pemilih yang dikelola Komisi Pemilihan Umum. Kebocoran data ini setidaknya diketahui pada 27 November 2023, satu hari sebelum hari pertama masa kampanye Pemilu 2024.
Dugaan kebocoran data pribadi ini menimbulkan kekhawatiran masyarakat, yang juga berdampak pada berkurangnya legitimasi dan integritas penyelenggaraan pemilu (Direktur Lembaga Studi dan Advokasi Masyarakat Wahyudi sebagaimana dikutip Kompas.com, 30/11/2023). Hal tersebut sekaligus menunjukkan bahwa pelindungan data pribadi (PDP) merupakan aspek penting bagi proses demokrasi yang juga mendasari kepercayaan terhadap institusi publik dengan memastikan proses penyelenggaraan pemilu yang aman dan menghargai hak warga negara (European Data Protection Supervisor, 2019).
Baca Berita Seputar Pemilu 2024
Insiden kebocoran data pribadi yang menimpa institusi publik semakin menunjukkan pentingnya penerapan berbagai prinsip dan ketentuan PDP pada sektor publik, termasuk dalam konteks pemilu.
Baca Juga: Dugaan Kebocoran Data Pemilih Bisa Merusak Kepercayaan Publik
Penyelenggaraan pemilu
Pemrosesan data pribadi pada penyelenggaraan pemilu pada dasarnya merupakan pemrosesan yang dilakukan terhadap data pribadi dengan skala besar. Hal ini setidaknya dilakukan terhadap data pemilih (yang berjumlah sekitar 204,8 juta) dan data calon peserta pemilu, baik calon presiden dan wakil presiden, maupun calon anggota legislatif.
Data pribadi yang diatur dalam Undang-Undang Nomor 7 Tahun 2017 tentang Pemilu (UU Pemilu) juga berkaitan dengan sektor lain, seperti administrasi kependudukan dan imigrasi. Hal ini mengingat data yang diproses oleh penyelenggara pemilu juga mencakup data kependudukan seperti nomor induk kependudukan (NIK), nomor kartu keluarga, tempat tanggal lahir, alamat, nomor paspor, hingga status disabilitas.
Isu kebocoran data pemilih diungkap oleh akun Twitter @underthebreach pada Kamis (21/5/2020) malam. Data diduga berasal dari daftar pemilih tetap yang dikeluarkan KPU pada Pemilu 2014.
Isu mengenai PDP dalam penyelenggaraan pemilu pada dasarnya dapat dilihat dari inkompatibilitas UU Pemilu dan peraturan pelaksanaannya dengan prinsip-prinsip PDP. Hal ini juga tidak terlepas dari sifat dualistik pemrosesan data terkait pemilu. Di satu sisi terdapat kebutuhan untuk memublikasikan data terkait pemilu dalam rangka transparansi penyelenggaraan pemilu, tetapi di sisi lain juga terdapat kebutuhan untuk melindungi subyek data dari penyalahgunaan data pribadi.
Misalnya, salinan Daftar Pemilih Tetap (DPT) dalam bentuk digital yang dapat diakses mencakup data pribadi, seperti nama lengkap, jenis kelamin, usia, sampai RT dan RW tempat tinggal yang bersangkutan. Data peserta pemilu pun juga dapat dengan mudah diakses publik, meskipun jenis data pribadi yang dipublikasikan tidak sedetail DPT. Penyampaian berbagai macam jenis data pribadi tersebut justru diwajibkan oleh UU Pemilu dan peraturan pelaksanaannya, misalnya yang mengatur mengenai penyusunan DPT dan daftar calon sementara anggota legislatif.
Dengan perkembangan teknologi yang semakin pesat, kombinasi dari berbagai jenis data pribadi di atas dapat dengan mudah digunakan oleh partai politik maupun aktor politik lain untuk komunikasi politik dan kegiatan kampanye, misalnya dengan melakukan profiling dan microtargeting (Privacy Internasional, 2019). Di sisi lain, terdapat potensi penggunaan data pribadi secara abusif dan manipulatif, yang dapat memengaruhi dan memanipulasi suara, bahkan mengintimidasi pemilih (European Parliament, 2019).
Publik juga perlu mendapatkan informasi mengenai apa yang telah dilakukan oleh KPU selama ini, serta bagaimana kepatuhannya dengan prinsip dan ketentuan dalam UU PDP.
Banyaknya kasus penyalahgunaan data pribadi pemilih di berbagai negara, seperti yang terjadi di Hongaria pada Pemilu 2022, maupun kasus Cambridge Analytica pada Pemilu AS pada 2016 seharusnya dapat menjadi pelajaran bagi regulator, termasuk penyelenggara pemilu, untuk memitigasi risiko penyalahgunaan data pribadi dalam kontestasi pemilu.
Kemudian, apabila berkaca dari sifat pemrosesannya saja, setidaknya terdapat dua kewajiban yang harus dilaksanakan oleh penyelenggara pemilu, terutama KPU, dalam konteks pelindungan data pribadi, yakni penilaian dampak PDP dan penunjukan pejabat atau petugas yang melaksanakan fungsi PDP. Pertanyaannya, apakah dua kewajiban tersebut telah dilakukan oleh KPU dalam persiapan hingga pelaksanaan penyelenggaraan pemilu saat ini?
Meskipun KPU telah mengeluarkan siaran pers terkait dengan tindak lanjut dugaan kebocoran data pribadi pada 29 November 2023, publik juga perlu mendapatkan informasi mengenai apa yang telah dilakukan oleh KPU selama ini, serta bagaimana kepatuhannya dengan prinsip dan ketentuan dalam UU PDP.
Insiden kebocoran data yang terjadi harus menjadi evaluasi bagi penyelenggara pemilu untuk secara penuh melaksanakan kewajiban PDP yang diatur dalam UU PDP. Setidaknya terdapat empat catatan penting yang harus menjadi perhatian penyelenggara pemilu dalam rangka memastikan terlaksananya PDP yang maksimal dalam penyelenggaraan pemilu.
Pertama, penyelenggara pemilu perlu mengevaluasi peraturan pelaksanaan UU Pemilu untuk dapat mengakomodasi prinsip-prinsip PDP. Hal ini tidak terlepas dari adanya pendetailan mengenai jenis data pribadi dalam penyelenggaraan pemilu yang baru dimunculkan dalam peraturan KPU.
Upaya yang dapat dilakukan dari aspek regulasi, misalnya dengan menyederhanakan format DPT dan metode yang digunakan untuk kepentingan verifikasi oleh penyelenggara pemilu. Prinsip purpose limitation dan data minimisation penting untuk diterapkan sehingga pemrosesan data, termasuk pembukaan data, benar-benar dilakukan hanya untuk tujuan tertentu dan spesifik, serta hanya dilakukan secara terbatas pada data pribadi yang benar-benar diperlukan sesuai dengan tujuan pemrosesannya.
Kedua, langkah teknis pada dasarnya menjadi kunci utama untuk memastikan kepatuhan terhadap ketentuan dalam UU PDP. Selain urgensi investigasi internal atas dugaan kebocoran data, KPU juga harus mengevaluasi kembali langkah teknis dalam rangka pelindungan data pribadi dan keamanan berbagai sistem informasi yang digunakan. Idealnya, pengembangan berbagai sistem informasi terkait Pemilu, sejak awal perencanaannya sudah harus mempertimbangkan aspek pelindungan data pribadi (data protection by design dan default).
Baca Juga: Penataan Regulasi Menuju Pembaruan Perlindungan Data Pribadi
Ketiga, dugaan kebocoran data pribadi yang menimpa KPU juga semakin memperlihatkan perlunya sumber daya manusia yang tidak hanya memiliki kualifikasi dalam mengoperasikan teknologi, tetapi juga memiliki kesadaran dalam pelindungan data pribadi dan kemampuan untuk memitigasi risiko yang ditimbulkan dari adanya serangan dan pelanggaran terhadap data pribadi.
Dengan demikian, penunjukan dan peningkatan kapasitas pejabat atau petugas yang melaksanakan fungsi PDP sesuai amanat UU PDP menjadi urgen untuk dilakukan, untuk meminimalisasi terjadinya insiden serupa dalam tahapan penyelenggaraan pemilu yang tersisa. Hal ini terkait dengan sifat pemrosesan data pemilu yang berskala besar dan membutuhkan pengawasan secara berkala.
Keempat, penyelenggara pemilu perlu memikirkan kembali mekanisme penyelesaian sengketa ataupun pelanggaran pemilu yang terkait dengan pelanggaran terhadap data pribadi. Saat ini belum terdapat mekanisme yang jelas, apakah dapat dilakukan melalui Bawaslu atau lembaga lain yang terkait, seperti Kementerian Komunikasi dan Informatika.
Dalam hal ini, perlu juga adanya koordinasi dan kolaborasi antara berbagai pemangku kepentingan terkait, termasuk Polri dan Badan Siber dan Sandi Negara (BSSN). Misalnya, dengan mengadopsi model Sentra Penegak Hukum Terpadu (Sentra Gakkumdu), atau dengan memperluas ruang lingkup tugas dan fungsi dari gugus tugas yang dibentuk Bawaslu bersama KPU, Komisi Penyiaran Indonesia (KPI), dan Dewan Pers dengan melibatkan para pemangku kepentingan lain, seperti Kementerian Kominfo.
Ilustrasi
”Quo vadis”
Insiden kebocoran data pribadi yang kembali menimpa institusi publik semakin menunjukkan bahwa pelindungan data pribadi pada sektor publik harus menjadi perhatian serius. Hal ini mengingat dampak signifikan dari kebocoran data pribadi, tidak hanya terhadap hak asasi warga negara, tetapi juga terhadap legitimasi dan integritas proses demokrasi. Apalagi, berbagai insiatif digital dalam rangka pelayanan publik yang dilakukan banyak institusi publik secara tidak langsung menyebabkan semakin masifnya pengumpulan data pribadi masyarakat oleh institusi publik.
Pengaturan dalam UU Pemilu dan berbagai peraturan pelaksanaannya menjadi salah satu bukti nyata adanya inkompatibilitas pengaturan dari UU ”sektoral” yang mengatur mengenai data pribadi dengan prinsip-prinsip pelindungan data pribadi dalam UU PDP. Hal tersebut semakin menunjukkan urgensi untuk melakukan harmonisasi peraturan perundang-undangan yang terkait dengan pelindungan data pribadi, serta penyesuaian pemrosesan data pribadi dengan ketentuan dalam UU PDP sebagaimana amanat Pasal 74 UU PDP.
Baca Juga: Penjelasan KPU Soal Dugaan Kebocoran Data Pemilih Ditunggu Publik
Lebih lanjut, peraturan pelaksanaan UU PDP juga harus memperjelas bagaimana tindak lanjut ataupun pengenaan sanksi terhadap pelanggaran data pribadi yang terjadi di sektor publik. Hal ini mengingat pengaturan mengenai sanksi atas pelanggaran data pribadi dalam UU PDP terlihat sangat berorientasi pada sektor privat. Jangan sampai pelanggaran data pribadi pada sektor publik pada akhirnya hanya menjadi angin lalu karena tidak ada tindakan yang tegas.
Berbagai insiden kebocoran data pribadi yang menimpa institusi publik juga semakin menunjukkan bahwa pelindungan data pribadi juga harus berjalan beriringan dengan keamanan siber. Dengan demikian, selain urgensi harmonisasi berbagai peraturan perundang-undangan yang terkait dengan data pribadi, penyelesaian berbagai peraturan pelaksanaan UU PDP, termasuk pembentukan lembaga pelindungan data pribadi, pembentuk undang-undang perlu juga kembali memasukkan RUU Keamanan Siber ke dalam Prolegnas Prioritas Tahun 2024.
Faiz Rahman, Dosen pada Departemen Hukum Tata Negara Fakultas Hukum Universitas Gadjah Mada (UGM); Peneliti PhD pada Leiden Law School, Universiteit Leiden, Belanda
Faiz Rahman
