Ramai-ramai Desak Pelindungan Data

JAKARTA — Dugaan peretasan di PT Bank Syariah Indonesia Tbk (BSI) yang berpotensi memicu kejahatan siber menjadi sorotan publik dalam sepekan terakhir. Berbagai lembaga menuntut pelindungan data nasabah untuk memastikan tak ada kerugian yang dialami nasabah setelah serangan siber yang sempat melumpuhkan sistem dan layanan BSI selama lima hari itu.

Ketua Pengurus Harian Yayasan Lembaga Konsumen Indonesia (YLKI), Tulus Abadi, menyayangkan kasus dugaan kebocoran data nasabah BSI. Menurut dia, masalah yang menimpa BSI menunjukkan rapuhnya pengelolaan dan pelindungan data pribadi oleh lembaga publik maupun lembaga komersial lainnya. “Kejadian yang menimpa data nasabah BSI akan menciptakan rasa waswas serta public distrust terhadap BSI, bahkan lembaga finansial lainnya, yang notabene menjalankan bisnis berbasis trust atau kepercayaan,” katanya kemarin, 16 Mei 2023.

Baca: Ancaman Pembocoran Data BSI

YLKI pun mengungkapkan tiga tuntutan kepada BSI, Otoritas Jas Keuangan (OJK), maupun pemerintah untuk menjaga pelindungan kerahasiaan data nasabah di era digitalisasi yang masif saat ini. Pertama, YLKI meminta pemerintah segera mempercepat pembentukan Badan Pelindungan Data Pribadi sesuai dengan amanat Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Kedua, mendesak OJK mewajibkan semua bank yang beroperasi di Indonesia memiliki dedicated person yang bertanggung jawab atas keamanan data pribadi, seperti chief privacy officer.

Petugas melayani pengaduan masyarakat melalui telepon di call center Otoritas Jasa Keuangan (OJK), Jakarta. TEMPO/Tony Hartawan

“Ketiga, mendesak manajemen BSI menginformasikan kepada publik terkait dengan langkah-langkah yang akan dilakukan untuk menjamin keamanan data pribadi milik nasabah, misalnya adanya garansi dari pihak ketiga yang independen atau privacy security certified,” ujarnya.

Kemarin, grup peretas asal Rusia, LockBit 3.0, mengklaim telah membocorkan data nasabah BSI di situs dark web. Data tersebut berisi informasi pribadi lebih dari 15 juta nasabah BSI, dokumen finansial, dokumen legal, perjanjian kerahasiaan atau non-disclosure agreement, serta kata kunci untuk mengakses Internet dan layanan perbankan yang digunakan. Data nasabah yang bocor antara lain nama, nomor telepon seluler, alamat, profesi, saldo rekening rata-rata, riwayat transaksi, tanggal pembukaan rekening, serta informasi pekerjaan.

Jika data nasabah BSI bocor, Dewan Perwakilan Rakyat (DPR) mendesak BSI dan OJK bertanggung jawab atas kerahasiaan dan pengamanan data nasabah. Anggota Komisi Keuangan yang juga Ketua Badan Anggaran DPR, Said Abdullah, mengatakan dampak serius dari kasus kebocoran data adalah menurunkan tingkat kepercayaan publik serta menurunkan reputasi bank di mata nasabah maupun calon nasabah.

Jika tidak ditangani serius, DPR khawatir terjadi rush atau penarikan dana besar-besaran di bank tersebut karena kepercayaan nasabah merosot akibat kasus kebocoran data. Walhasil, risiko sistemik berpotensi terjadi ketika penarikan dana besar-besaran mengakibatkan entitas bank kolaps akibat harus menanggung beban kredit dan mismatch dana pihak ketiga (DPK).

“Kami berharap OJK memberikan perhatian serius soal ini. Jangan sampai ada kejadian berulang atas kebocoran data oleh perbankan karena hal ini juga akan menurunkan kepercayaan publik terhadap OJK sebagai pengawas yang tidak cukup sigap mengantisipasi kejadian ini,” ujar Said.

Gedung Bank Syariah Indonesia di Jakarta, 4 September 2022. Shutterstock

DPR Akan Panggil OJK dan BSI

Said merujuk pada Undang-Undang Nomor 10 Tahun 1998 tentang Perbankan yang menyebutkan setiap bank wajib menjaga kerahasiaan nasabah, kecuali untuk urusan penyelidikan perpajakan, pencucian uang, korupsi, ataupun kejahatan lainnya. “Sebagai langkah antisipasi, pihak bank sebagai penyedia layanan keuangan digital di satu sisi juga harus sering diaudit,” ucapnya. Said mengatakan Komisi Keuangan DPR dalam waktu dekat juga akan segera memanggil OJK sekaligus BSI untuk meminta penjelasan soal dugaan serangan siber tersebut.

Direktur Eksekutif Indonesia ICT Institute, Heru Sutadi, mengatakan ketika peretasan data terjadi, ada kewajiban bagi pengelola data pribadi untuk menginformasikannya kepada pemilik data pribadi atau dalam hal ini nasabah bank. Kewajiban itu tercantum dalam Pasal 40 Undang-Undang Pelindungan Data Pribadi yang menyebutkan, dalam hal terjadi kegagalan pelindungan data pribadi atau kebocoran data, pihak pengendali data pribadi wajib menyampaikan pemberitahuan secara tertulis dalam waktu paling lambat 3 x 24 jam kepada pemilik data pribadi dan pejabat yang berwenang.

Adapun pemberitahuan tertulis itu memuat ihwal data pribadi yang terungkap, kapan dan bagaimana data pribadi terungkap, serta upaya penanganan dan pemulihan atas terungkapnya data pribadi oleh pengendali data pribadi. “Harus ada langkah-langkah dari pihak bank untuk kemudian mengganti data nasabah, dan menyampaikan kepada nasabah untuk segera mengganti password dan PIN, serta melakukan verifikasi ganda agar tidak dirugikan dan dampaknya menjadi lebih besar,” kata Heru.

Tak hanya itu, dalam Undang-Undang Pelindungan Data Pribadi juga terdapat sanksi jika perusahaan tidak dapat menjaga sistem datanya hingga kemudian mengalami kebocoran. “Sanksinya berat, tapi sayangnya undang-undang ini baru akan efektif berlaku pada 2024 sehingga saat ini belum ada aturan tentang pelindungan data pribadi ini,” ujarnya.

Adapun BSI kembali memastikan bahwa data dan dana nasabah dalam kondisi aman sehingga nasabah dapat bertransaksi secara normal serta aman. “Mengenai isu serangan, BSI berharap masyarakat tidak mudah percaya atas informasi yang berkembang dan selalu melakukan pengecekan ulang atas informasi yang beredar. Dapat kami sampaikan bahwa kami memastikan data dan dana nasabah tetap aman,” kata Corporate Secretary BSI, Gunawan A. Hartoyo.

GHOIDA RAHMAH