Hukum Siber dan Privasi Data Kejahatan Siber, Bukti Digital, dan Kewajiban Hukum

Aktivitas bisnis sekarang hampir semuanya terhubung dengan teknologi. Transaksi dilakukan secara online, data pelanggan disimpan di sistem digital, komunikasi berlangsung melalui email dan aplikasi pesan, bahkan dokumen penting ditandatangani secara elektronik.

Praktis memang, tetapi ada hal yang tidak boleh diabaikan: aktivitas digital juga memiliki konsekuensi hukum.

Misalnya, bagaimana jika database pelanggan bocor? Apa yang harus dilakukan jika perusahaan menjadi korban ransomware? Apakah tangkapan layar percakapan bisa digunakan sebagai bukti? Dan bagaimana jika karyawan mengakses sistem tanpa izin?

Pertanyaan seperti ini masuk ke ranah cyber law atau hukum siber. Memahaminya penting bukan hanya untuk tim legal, tetapi juga untuk IT, cybersecurity, HR, manajemen, dan siapa pun yang mengelola data atau sistem digital.

1. Apa Itu Cyber Law?

Cyber law adalah istilah yang digunakan untuk membahas aspek hukum dalam aktivitas digital, termasuk penggunaan sistem elektronik, transaksi online, kejahatan siber, privasi data, dan bukti elektronik.

Di Indonesia, tidak ada satu undang-undang yang mengatur seluruh persoalan tersebut. Ketentuannya tersebar dalam beberapa peraturan, bergantung pada jenis aktivitas atau masalah yang terjadi.

Dua regulasi penting yang perlu dikenal adalah:

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang mengatur pemrosesan dan pelindungan data pribadi.
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE) beserta perubahan-perubahannya, termasuk UU No. 19 Tahun 2016 dan UU No. 1 Tahun 2024.

UU ITE mengatur berbagai aspek informasi dan transaksi elektronik, termasuk pengakuan terhadap informasi elektronik dan dokumen elektronik sebagai alat bukti hukum yang sah. Sementara itu, UU PDP membahas kewajiban dalam pemrosesan dan pelindungan data pribadi.

Referensi resmi:

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 1 Tahun 2024 tentang Perubahan Kedua UU ITE

2. Jenis Kejahatan Siber yang Perlu Dikenali

Kejahatan siber tidak selalu berupa peretasan yang rumit. Sebagian kasus justru berawal dari email palsu, penyalahgunaan akun, atau akses internal yang tidak semestinya.

Berikut beberapa contoh yang perlu diperhatikan.

Phishing dan Penipuan Digital

Pelaku menyamar sebagai pihak tepercaya untuk mencuri kredensial, meminta transfer uang, atau mengarahkan korban ke situs palsu.

Contohnya, karyawan menerima email yang terlihat seperti pemberitahuan dari bagian keuangan. Setelah memasukkan kata sandi ke halaman palsu, akun perusahaan diambil alih.

Dari sisi keamanan, kasus ini perlu ditangani melalui investigasi dan pengamanan akun. Dari sisi hukum, tindakan yang dilakukan pelaku perlu dinilai berdasarkan fakta dan ketentuan yang relevan.

Akses Sistem Tanpa Izin

Seseorang masuk ke sistem, membaca data, atau mengubah konfigurasi tanpa kewenangan yang sesuai.

Contohnya, mantan karyawan masih menggunakan akun lama untuk mengakses database perusahaan setelah hubungan kerjanya berakhir.

Karena itu, perusahaan perlu memiliki prosedur pencabutan akses, pengelolaan akun, dan pencatatan aktivitas pengguna.

Ransomware dan Pemerasan Digital

Ransomware dapat mengunci atau mengenkripsi data sehingga sistem tidak dapat digunakan. Pelaku kemudian meminta tebusan untuk memulihkan akses atau mengancam menyebarkan data yang dicuri.

Perusahaan sebaiknya tidak langsung berfokus pada pembayaran tebusan. Prioritas awal adalah membatasi penyebaran serangan, mengamankan bukti, memulihkan layanan secara terkontrol, dan menilai apakah data pribadi terdampak.

Penyalahgunaan dan Kebocoran Data

Kebocoran data bisa terjadi karena serangan eksternal, kesalahan konfigurasi cloud, pengiriman file ke penerima yang salah, atau penyalahgunaan akses oleh orang dalam.

Penting untuk membedakan insiden keamanan dari kesimpulan hukum. Kebocoran data perlu diselidiki untuk mengetahui penyebab, jenis data yang terdampak, pihak yang bertanggung jawab, dan kewajiban yang berlaku.

3. Memahami Privasi Data dan UU PDP

Data pribadi bukan hanya nomor KTP atau nomor rekening. Informasi yang dapat mengidentifikasi seseorang, baik secara langsung maupun jika dikombinasikan dengan informasi lain, dapat termasuk data pribadi sesuai ketentuan yang berlaku.

Dalam kegiatan bisnis, contohnya meliputi nama, alamat email, nomor telepon, informasi pelanggan, serta data karyawan yang diproses oleh perusahaan.

UU PDP menempatkan tanggung jawab pada pihak yang melakukan pemrosesan data pribadi sesuai peran dan kewajibannya.

Ada beberapa hal yang perlu diperhatikan.

Tentukan Tujuan Pemrosesan Data

Perusahaan sebaiknya memahami mengapa suatu data dikumpulkan dan untuk apa data tersebut digunakan.

Misalnya, data alamat pelanggan dikumpulkan untuk mengirimkan pesanan. Penggunaannya untuk tujuan lain perlu memiliki dasar pemrosesan yang sesuai dan tidak boleh dilakukan secara sembarangan.

Pastikan Ada Dasar Pemrosesan yang Sah

Persetujuan bukan satu-satunya dasar pemrosesan data pribadi. UU PDP juga mengatur dasar lain, seperti pemenuhan perjanjian, kewajiban hukum, kepentingan vital, pelaksanaan tugas untuk kepentingan umum, dan kepentingan sah sesuai persyaratan undang-undang.

Karena itu, perusahaan perlu memahami dasar yang tepat untuk setiap aktivitas pemrosesan, bukan sekadar menambahkan kotak centang persetujuan pada formulir.

Batasi Akses dan Lindungi Data

Tidak semua karyawan perlu melihat semua data pelanggan. Akses sebaiknya diberikan sesuai kebutuhan pekerjaan.

Penerapannya bisa berupa kontrol akses berbasis peran, autentikasi multifaktor, enkripsi, pencatatan aktivitas, serta peninjauan akses secara berkala.

Siapkan Prosedur Ketika Terjadi Kebocoran

Salah satu ketentuan penting dalam Pasal 46 UU PDP adalah kewajiban pengendali data pribadi untuk memberikan pemberitahuan tertulis paling lambat 3 × 24 jam dalam hal terjadi kegagalan pelindungan data pribadi. Pemberitahuan tersebut ditujukan kepada subjek data pribadi dan lembaga yang berwenang sesuai ketentuan, serta memuat informasi minimum yang ditentukan undang-undang.

Batas waktu dan penerapannya perlu dinilai berdasarkan situasi yang terjadi dan ketentuan yang berlaku. Karena itu, perusahaan sebaiknya tidak menunggu investigasi selesai sepenuhnya sebelum mulai mengevaluasi kewajiban pemberitahuan.

4. Bukti Digital: Apa yang Bisa Digunakan?

Dalam investigasi insiden, bukti tidak selalu berupa dokumen cetak atau barang fisik. Informasi elektronik dan dokumen elektronik juga dapat memiliki peran penting dalam pembuktian.

Contoh bukti digital antara lain:

• Log autentikasi dan aktivitas pengguna.
• Email dan lampiran yang berkaitan dengan insiden.
• Riwayat akses ke aplikasi atau database.
• File yang ditemukan pada perangkat.
• Rekaman transaksi elektronik.
• Tangkapan layar percakapan atau halaman web.
• Informasi teknis dari perangkat jaringan dan sistem keamanan.

UU ITE sebagaimana diubah, termasuk melalui UU No. 1 Tahun 2024, mengakui informasi elektronik, dokumen elektronik, dan hasil cetaknya sebagai alat bukti hukum yang sah sesuai ketentuan yang berlaku.

Namun, memiliki tangkapan layar tidak otomatis berarti suatu klaim sudah terbukti. Keaslian, konteks, cara memperoleh bukti, integritas data, dan keterkaitannya dengan peristiwa tetap perlu dinilai.

Contohnya, tangkapan layar yang menunjukkan percakapan mencurigakan mungkin membantu menjelaskan kejadian. Akan tetapi, log sistem, data sumber, waktu kejadian, dan informasi pendukung lain dapat diperlukan untuk memperkuat analisis.

5. Apa Itu Digital Forensics dan Chain of Custody?

Digital forensics adalah proses pemeriksaan bukti digital dengan metode yang dapat dipertanggungjawabkan. Proses ini dapat digunakan untuk membantu memahami apa yang terjadi, bagaimana serangan berlangsung, dan data atau sistem mana yang terdampak.

Salah satu konsep penting di dalamnya adalah chain of custody, yaitu dokumentasi mengenai penguasaan, perpindahan, dan penanganan barang bukti sejak dikumpulkan hingga diperiksa atau diserahkan kepada pihak yang berwenang.

Mengapa ini penting?

Bayangkan tim SOC menemukan file mencurigakan pada server. Jika file tersebut langsung dibuka, diubah, atau dihapus tanpa dokumentasi, informasi yang dibutuhkan untuk investigasi bisa hilang atau berubah.

Praktik yang lebih baik meliputi:

1. Mencatat waktu, sumber, dan konteks pengumpulan bukti.
2. Mendokumentasikan siapa yang mengumpulkan dan menangani bukti.
3. Menjaga salinan asli dan membatasi perubahan terhadapnya.
4. Menggunakan nilai hash untuk membantu memeriksa integritas salinan data.
5. Menyimpan bukti di lokasi yang terlindungi dan membatasi akses.
6. Mencatat setiap perpindahan atau tindakan pemeriksaan.

Dalam kondisi tertentu, pengambilan bukti perlu dilakukan oleh personel forensik yang kompeten. Jangan melakukan tindakan yang berpotensi menghilangkan bukti, melanggar privasi pihak lain, atau melampaui kewenangan organisasi.

6. Apa yang Harus Dilakukan Perusahaan Saat Terjadi Insiden?

Ketika serangan siber terjadi, perusahaan perlu menangani dua hal secara bersamaan: menghentikan dampak teknis dan mengelola konsekuensi hukum.

Berikut alur awal yang dapat dijadikan panduan.

Langkah 1: Amankan Sistem yang Terdampak

Batasi akses atau isolasi sistem yang terinfeksi sesuai prosedur respons insiden. Hindari tindakan tergesa-gesa yang justru memperluas kerusakan atau menghilangkan bukti.

Langkah 2: Simpan Bukti yang Relevan

Amankan log, catatan aktivitas, email, dan artefak digital lainnya. Dokumentasikan tindakan yang dilakukan tim selama proses penanganan.

Langkah 3: Identifikasi Dampak Insiden

Cari tahu sistem yang terdampak, jenis informasi yang terakses, kemungkinan eksfiltrasi data, durasi insiden, dan pihak yang berpotensi terkena dampak.

Pada tahap ini, bedakan antara fakta yang sudah terverifikasi dan dugaan yang masih perlu dibuktikan.

Langkah 4: Libatkan Pihak yang Tepat

Tim IT Security atau SOC dapat menangani investigasi teknis. Tim legal menilai aspek hukum, tim privasi atau pihak yang bertanggung jawab atas pelindungan data mengevaluasi kewajiban terkait data pribadi, sedangkan manajemen mengambil keputusan yang membutuhkan kewenangan bisnis.

Jika diperlukan, perusahaan dapat berkonsultasi dengan penasihat hukum dan melaporkan dugaan tindak pidana kepada aparat penegak hukum melalui jalur yang sesuai.

Langkah 5: Evaluasi Kewajiban Pemberitahuan

Periksa apakah insiden menimbulkan kewajiban untuk memberi tahu pelanggan, subjek data, regulator, mitra bisnis, atau pihak lain berdasarkan hukum dan kontrak yang berlaku.

Untuk insiden yang melibatkan data pribadi, evaluasi ketentuan UU PDP dan tenggat pemberitahuan yang relevan.

Langkah 6: Pulihkan Sistem dan Lakukan Evaluasi

Pulihkan layanan menggunakan prosedur yang aman. Setelah insiden terkendali, lakukan analisis akar masalah, perbaiki kelemahan, dan perbarui prosedur respons insiden.

Tujuannya bukan sekadar membuat sistem kembali berjalan, tetapi memastikan penyebab utama tidak dibiarkan terbuka untuk serangan berikutnya.

7. Pembagian Tanggung Jawab: IT Security, Legal, dan Manajemen

Penanganan masalah hukum siber tidak ideal jika hanya diserahkan kepada satu tim.

IT Security atau SOC berfokus pada deteksi, investigasi teknis, pengumpulan artefak, pembatasan dampak, dan pemulihan sistem.

Tim legal membantu menilai ketentuan hukum yang relevan, kewajiban kontraktual, proses pelaporan, serta cara menangani bukti dan komunikasi hukum.

Tim privasi atau pengelola data pribadi mengevaluasi dampak terhadap subjek data, proses pemrosesan data, dan kewajiban pelindungan data.

Manajemen menetapkan prioritas bisnis, menyediakan sumber daya, dan mengambil keputusan yang memerlukan otorisasi tingkat organisasi.

HR dan tim komunikasi dapat dilibatkan jika insiden berkaitan dengan karyawan, informasi internal, atau komunikasi kepada pihak yang terdampak.

Pembagian ini sebaiknya ditentukan sebelum insiden terjadi. Ketika serangan berlangsung, tim tidak seharusnya baru mencari tahu siapa yang berwenang mengambil keputusan.

8. Checklist Cyber Law untuk Perusahaan

Untuk memulai, perusahaan dapat menggunakan checklist berikut sebagai bahan evaluasi internal.

• Inventarisasi data pribadi yang dikumpulkan, digunakan, dan disimpan.
• Dokumentasikan tujuan dan dasar pemrosesan data pribadi.
• Tinjau kebijakan privasi, kontrak, serta prosedur pengelolaan data.
• Terapkan kontrol akses dan pencatatan aktivitas sistem.
• Tetapkan prosedur respons insiden dan eskalasi ke tim legal.
• Siapkan mekanisme preservasi bukti digital.
• Tentukan pihak yang bertanggung jawab mengevaluasi kewajiban pemberitahuan.
• Tinjau kontrak dengan penyedia layanan dan pihak ketiga.
• Latih tim melalui simulasi insiden, termasuk kebocoran data dan ransomware.
• Dokumentasikan hasil investigasi, tindakan korektif, dan keputusan penting.

Checklist ini merupakan titik awal, bukan jaminan kepatuhan penuh. Kebutuhan organisasi dapat berbeda berdasarkan sektor usaha, jenis data, skala pemrosesan, dan peraturan yang berlaku.

9. Kesalahan yang Sebaiknya Dihindari

Ada beberapa kesalahan yang bisa membuat penanganan insiden menjadi lebih sulit.

Menghapus log terlalu cepat. Log yang terhapus dapat menyulitkan tim memahami jalur serangan dan aktivitas pelaku.

Menyebarkan bukti secara sembarangan. File yang berisi data pribadi atau informasi rahasia tidak boleh dibagikan melalui kanal yang tidak aman.

Menganggap semua insiden memiliki kewajiban hukum yang sama. Kewajiban bergantung pada fakta, jenis data, peran organisasi, dan peraturan yang relevan.

Menunda eskalasi ke tim legal. Keputusan teknis tertentu dapat berdampak pada kewajiban pelaporan, kontrak, dan penanganan bukti. Tim legal sebaiknya dilibatkan sejak awal ketika ada potensi konsekuensi hukum.

Menganggap tangkapan layar sudah cukup. Bukti perlu dijaga keaslian, konteks, dan integritasnya. Dokumentasi sumber dan proses pengumpulan tetap penting.

Kesimpulan

Cyber law menghubungkan keamanan teknologi dengan tanggung jawab hukum. Perusahaan bukan hanya perlu mencegah serangan, tetapi juga harus memahami cara mengelola data pribadi, menjaga bukti digital, dan merespons insiden secara tepat.

Memahami UU PDP dan UU ITE merupakan langkah awal yang penting. Setelah itu, organisasi perlu membangun prosedur yang menghubungkan tim keamanan, legal, pengelola data pribadi, dan manajemen.

Dengan persiapan yang baik, perusahaan dapat menangani insiden secara lebih terstruktur, mengurangi risiko kehilangan bukti, serta mengevaluasi kewajiban hukumnya dengan lebih cepat.

Catatan: Artikel ini merupakan materi edukasi umum, bukan nasihat hukum untuk kasus tertentu. Penerapan peraturan perlu disesuaikan dengan fakta kasus dan ketentuan terbaru yang relevan.