Menavigasi UU Perlindungan Data Pribadi Pertama di Indonesia

Rafki Fachrizal - Senin, 13 Februari 2023 | 14:15 WIB

Ilustrasi UU Perlindungan Data Pribadi.

Indonesia telah memberlakukan Undang-Undang (UU) Perlindungan Data Pribadi (PDP) pada September 2022 lalu.

Dorongan untuk mempercepat pengesahan undang-undang, yang telah dibahas selama lebih dari setahun, semakin meningkat dari bulan ke bulan.

Kebocoran data dan penyelidikan kian bertambah, termasuk pelanggaran tingkat tinggi seperti pengungkapan catatan vaksin Presiden Joko Widodo.

Pada kuartal pertama tahun 2022 saja, warga dan institusi Indonesia mengalami peningkatan jumlah cyber attack (serangan siber) sebesar 22 persen dibandingkan dengan periode yang sama pada tahun 2021.

Misalnya saja, terdapat lima pelanggaran yang dilaporkan pada Agustus 2022, dua di antaranya berdampak pada perusahaan milik negara yang menyimpan jutaan data pelanggan dan tersedia untuk dijual.

Kabar baiknya, perlindungan dan pelestarian data pribadi kini terikat kuat oleh hukum. Ini akan menjadi keuntungan bagi ekonomi digital Indonesia, yang akan tumbuh menjadi US$146 miliar pada tahun 2025.

Taruhan lebih besar bagi bisnis

Dapat dikatakan bahwa lanskap privasi data Indonesia sedang berada di momentumnya, sehingga menciptakan lingkungan di mana data semakin dilindungi dengan ketat.

Undang-undang baru yang ada berpotensi mempertaruhkan sektor bisnis secara signifikan di negara tersebut.

Mengambil inspirasi dari Peraturan Perlindungan Data Umum (GDPR) Uni Eropa, undang-undang baru ini akan memberikan sanksi yang lebih kuat untuk penyalahgunaan atau kebocoran data pribadi.

Ini termasuk penjara hingga lima tahun untuk penanganan data dan denda perusahaan yang dua kali lebih besar dari pendapatan tahunan perusahaan.

Pelanggaran data – terlepas dari hukum – telah menyebabkan kerugian besar pada reputasi dan finansial bisnis. Faktanya, kerugian rata-rata pelanggaran data meningkat lebih dari 12% dari US$3,86 menjadi US$4,35 juta sejak tahun 2020.

Ditambah dengan penalti, bisnis harus lebih berhati-hati dalam melindungi data pribadi untuk menghindari penurunan finansial sekaligus menjaga reputasi mereka.Selanjutnya, bisnis perlu mempersiapkan akuntabilitas yang lebih besar.

Sebelum pengesahan undang-undang tersebut, aturan yang mengatur penggunaan data pribadi didistribusikan di berbagai kebijakan, sehingga sulit untuk meminta pertanggungjawaban bisnis atas penyalahgunaan data. Dalam lanskap saat ini, melarikan diri dari akuntabilitas tidak lagi menjadi pilihan.

Oleh karena itu, konsekuensi potensial dari undang-undang baru tersebut akan mengharuskan bisnis di Indonesia untuk meningkatkan rezim perlindungan data mereka.

Langkah-langkah penting untuk menyambut masa depan

Saat bisnis beradaptasi dengan lanskap kebijakan yang berkembang di Indonesia, ada tiga langkah awal untuk memastikan privasi data ditangani secara menyeluruh di dalam bisnis:

1. Ketahui data Anda

Percaya atau tidak, sebagian besar perusahaan tidak mengetahui di mana data sensitif mereka berada atau apakah mereka memiliki data sensitif sama sekali.

Data yang berisiko dan sensitif mungkin tidak hanya ada di email, dokumen, dan aplikasi bisnis, tetapi juga di file multimedia seperti rekaman audio, gambar, dan video.

Selain itu, tidak semua data yang disimpan organisasi berada dalam lingkup peraturan seperti PDP atau GDPR, sehingga berisiko untuk pelanggaran yang tidak disengaja jika tidak teridentifikasi.

Dengan data yang masuk dari berbagai sumber dan dalam berbagai format, mengidentifikasi informasi sensitif dan sesuai tampaknya menjadi tugas yang sulit.

Di sinilah solusi penemuan data (data discovery solutions) terbukti efektif. Alat penemuan data dapat mengidentifikasi informasi sensitif dari data tidak terstruktur atau terstruktur hingga 1.000 format, dan selanjutnya membuat profil risiko dari data tersebut.

Saat ini, banyak dari solusi tersebut juga dilengkapi dengan kemampuan kepatuhan (compliance) untuk mengidentifikasi bagian mana dari informasi yang disimpan, termasuk informasi identitas pribadi, yang mengacu pada peraturan dan undang-undang setempat. Hal ini pada akhirnya mengurangi beban kepatuhan pada perusahaan.

2. Jadikan data tidak bernilai bagi para peretas

Data sensitif adalah umpan bagi peretas, dan meskipun kami tidak dapat menjamin bahwa data tidak akan dibobol, bisnis dapat membendung kerusakan dengan memastikan peretas tidak memperoleh nilai dari informasi yang dicuri.

Ini dilakukan dengan memanfaatkan teknologi yang mencegah data terhubung ke identitas, sebuah proses yang dikenal sebagai enkripsi dan tokenisasi.

Data sensitif dienkripsi dan ditautkan ke token unik, sehingga pengguna yang sah masih dapat melihatnya dalam format asli, tetapi tidak untuk para pelaku kejahatan siber, mereka bahkan tidak dapat menggunakan data tersebut.

Dengan cara ini, informasi dianggap tidak berguna dan memiliki nilai bagi peretas.

Demikian pula, saat ini ada solusi penyamaran data yang menjangkau fitur dan mudah digunakan untuk membantu menganonimkan data sensitif di lingkungan pengujian aplikasi, namun tetap mempertahankan karakteristik yang sama dengan data aslinya.

Ini memastikan data sensitif seperti nama, nama keluarga, nomor identitas, dilindungi sesuai dengan undang-undang dan peraturan privasi seperti PDP, tanpa meninggalkan celah untuk penyalahgunaan data.

3. Menegakkan kebijakan dan kontrol keamanan

Strategi privasi data end-to-end juga harus disertai dengan kebijakan manajemen identitas dan akses serta deteksi ancaman untuk perlindungan tambahan.

Misalnya, penting untuk menentukan siapa saja yang memiliki akses ke data sensitif, bagaimana mereka dapat menggunakannya, dan risiko di belakangnya.

Pada saat yang sama, memiliki kemampuan untuk mengidentifikasi indikasi awal potensi pelanggaran dengan teknologi dapat memungkinkan operasi keamanan mengambil kendali dan mencegah pelanggaran sejak dini.

Dalam jangka panjang, hal ini tidak hanya membantu mengamankan data tetapi juga menghindari sanksi finansial karena pelanggaran, seperti yang diamanatkan di bawah PDP.

“Pengenalan Undang-Undang Perlindungan Data Pribadi Indonesia mungkin awalnya tampak menakutkan, tetapi pada akhirnya, ini memberikan kerangka kerja kepada bisnis untuk memastikan akuntabilitas dan kekuatan dalam rezim perlindungan data mereka,” kata Anna Russell, Worldwide Vice President, Strategy, Voltage Data Privacy & Protection, Micro Focus.

“Meskipun mengadaptasi dan mengimplementasikan perubahan pada strategi privasi data organisasi tidak dapat dilakukan dalam semalam, tiga langkah penting ini akan memberi titik awal yang kuat bagi bisnis untuk mengimbangi perubahan lanskap kebijakan di Indonesia,” sambung Anna.