PeduliLindungi Gagal Terapkan Prinsip-Prinsip Pelindungan Data Pribadi
Mendasarkan pada alasan kepentingan publik (public task), untuk penanganan pandemi COVID-19, pemerintah telah mengembangkan aplikasi PeduliLindungi, yang semula ditujukan sebagai instrumen tracing dan tracking. Dalam perkembangannya, aplikasi ini telah bertransformasi menjadi platform sapu jagad (one for all). Mulai dari pendaftaran vaksinasi, penerbitan sertifikat vaksin (vaccine passport), e-HAC untuk syarat perjalanan, integrasi dengan bukti tes COVID-19, serta barcode scan untuk mendeteksi lokasi, sebagai prasyarat memasuki area publik. Bahkan belakangan pemerintah melontarkan wacana untuk menjadikan aplikasi ini sebagai sistem pembayaran (payment system).
Pengembangan tersebut telah memunculkan beragam pertanyaan terkait dengan kepatuhan aplikasi ini terhadap prinsip-prinsip pelindungan data pribadi. Baik prinsip keabsahan dan transparansi (lawfulness and transparency); prinsip keterbatasan tujuan (purposive limitation); prinsip minimalisasi data (data minimization); prinsip akurasi; prinsip batasan penyimpanan (storage limitation); prinsip integritas dan kerahasiaan; serta prinsip akuntabilitas.
Terkait penerapan prinsip-prinsip tersebut, Lembaga Studi dan Advokasi Masyarakat (ELSAM) mencatat sejumlah permasalahan berikut: Pertama, penerapan prinsip keabsahan dan transparansi terkait erat dengan dasar hukum dalam pemrosesan data pribadi. Pemrosesan data aplikasi PeduliLindungi mendasarkan pada dasar hukum kepentingan publik, untuk penanganan pandemi. Akan tetapi yang harus diingat, penggunaan dasar hukum ini tidak mencakup pengungkapan/transfer data kepada pengendali lain di sektor publik. Selain itu, pengendali data juga harus secara jelas menginformasikan pemrosesan datanya, mulai dari pemrosesnya, tujuan pemrosesan, data yang dikumpulkan, jangka waktu penyimpanan data, termasuk akses pihak ketiga terhadap data tersebut.
Kedua, kaitannya dengan prinsip keterbatasan tujuan, perubahan tujuan penggunaan aplikasi ini dari yang semula untuk contact tracing dan tracking, lalu kemudian dikembangkan menjadi aplikasi multi-fungsi, juga telah memunculkan permasalahan serius. Apalagi ketika pengembangan fungsi aplikasi ini melibatkan pihak ketiga, baik pemerintah atau swasta, yang juga berarti memberikan akses data kepada mereka. Praktik ini juga inkonsistensi dengan kebijakan privasi PeduliLindungi sendiri, yang menyatakan bahwa aplikasi tidak akan membagikan data ke pihak ketiga tanpa terlebih dahulu memperoleh persetujuan pengguna. Koneksi Application Programming Interface (API), antara PeduliLindungi dengan berbagai platform (lintas platform) lainnya, juga melahirkan tanda tanya perihal implementasi prinsip keterbatasan tujuan.
Ketiga, problem lainnya adalah terkait penerapan prinsip minimalisasi data, data apa saja yang perlu dikumpulkan untuk mencapai tujuan pemrosesan? Perubahan tujuan awal penggunaan aplikasi dari semula pelacakan lokasi, menjadi banyak fungsi, telah berdampak pada data yang dikumpulkan. Jika tujuan semata-mata untuk pelacakan lokasi, selain data untuk kebutuhan identifikasi (nama, NIK, nomor telepon/alamat email), mestinya cukup meminta akses lokasi untuk diproses, pun semestinya ketika aplikasi itu digunakan, bukan sepanjang waktu.
Tidak perlu kemudian mengakses data lain seperti media atau akses penyimpanan (storage). Risiko penyalahgunaan data pribadi akan semakin besar dengan banyaknya metadata yang ikut terekam dari pengaksesan sejumlah data di atas. Keempat, terkait prinsip akurasi, tantangan terbesarnya adalah proses otentikasi pengguna, untuk memastikan keotentikan, bahwa betul pengguna yang masuk (log in) berdasarkan identitas tertentu, adalah pemilik identitas tersebut. Kasus pengaksesan secara ilegal akun PeduliLindungi Presiden Joko Widodo, yang berhasil mendapatkan salinan sertifikat vaksin presiden, menunjukkan kerentanan pada sisi ini.
Belum lagi problem ketidakakuratan data seperti kesalahan nama, tanggal lahir, NIK, informasi vaksin, dan sebagainya. Sementara pengguna tidak memiliki akses untuk memperbaiki data-data tersebut, sebagai implementasi dari hak untuk memperbaiki (rectification) dari subjek data.
Kelima, PeduliLindungi juga tidak memberikan informasi mengenai berapa lama data pribadi pengguna disimpan? Sebagai implementasi dari prinsip keterbatasan penyimpanan, yang terkait dengan masa retensi data. Apakah ketika pengguna menghapus (unistall) aplikasi, secara otomatis juga data-data pribadinya akan dihapus secara permanen? Pertanyaan lebih kompleks muncul ketika temuan terbaru mengungkapkan bahwa PeduliLindungi mengirimkan data pengguna ke server dengan domain http://analytic.rocks, yang dimiliki oleh PT Telekomunikasi Indonesia, Tbk. (Telkom). Apakah pengiriman data tersebut, termasuk juga koneksi API lintas platform memungkinkan pihak ketiga untuk menyimpan data-data PeduliLindungi? Berapa lama akan disimpan, untuk tujuan, serta dasar hukum apa yang digunakan untuk memproses?
Keenam, besar dan luasnya data, termasuk data real time (lokasi) yang diproses oleh aplikasi PeduliLindungi mengharuskan pengendali data untuk menerapkan prinsip integritas dan kerahasiaan secara ketat. Prinsip ini menghendaki penerapan sistem keamanan yang kuat dalam pemrosesan data pribadi, untuk memastikan kerahasiaan, integritas dan ketersediaan data yang diproses. Selain pemrosesannya harus dilakukan secara pseudonimitas, juga mesti dipastikan penerapan standar keamanan yang kuat. Pertanyaannya, apakah semua standar yang diatur dalam Perpres No. 95/2018 tentang Sistem Pemerintahan Berbasis Elektronik, dan Peraturan BSSN No. 4/2021 yang menjadi rujukan teknis Perpres tersebut, sudah diterapkan?
Dengan sejumlah catatan permasalahan tersebut di atas, menjadi sulit untuk menarik kesimpulan bahwa penggunaan aplikasi PeduliLindungi telah dilakukan secara akuntabel, yang menghendaki bahwa seluruh prinsip perlindungan data pribadi dipatuhi. Oleh karenanya penting bagi pemerintah (Kementerian Komunikasi dan Informatika), sebagai pengendali data dalam penggunaan aplikasi PeduliLindungi, sekaligus sebagai otoritas dalam perlindungan data mengacu pada undang-undang yang berlaku saat ini (UU ITE), untuk memastikan:
- Adanya audit menyeluruh terhadap aplikasi PeduliLindungi untuk menjamin kepatuhannya pada prinsip-prinsip pelindungan data pribadi, sekaligus penerapan kewajiban pengendali data, seperti kewajiban penerapan privacy by design, privacy by default.
- Evaluasi kebijakan privasi serta syarat dan ketentuan layanan aplikasi PeduliLindungi, untuk memastikan kesesuaiannya dengan prinsip-prinsip pelindungan data pribadi.
- DPR mengoptimalkan fungsi pengawasannya, terutama pada penggunaan aplikasi PeduliLindungi, dengan pemerintah sebagai pengendali datanya, untuk menjamin perlindungan hak konstitusional atas privasi warga negara.
- DPR dan Pemerintah juga perlu mengakselerasi proses pembahasan RUU Pelindungan Data Pribadi, dengan menghandirkan otoritas pengawas yang independen, guna menghindari risiko overlapping dalam perlindungan data pribadi, seperti yang terjadi hari ini.
Jakarta, 28 September 2021 Lembaga Studi dan Advokasi Masyarakat (ELSAM) Untuk informasi lebih lanjut silakan menghubungi Wahyudi Djafar (Direktur Eksekutif ELSAM), telp: 081382083993; atau Alia Yofira (Peneliti ELSAM), telp: 081217015759; atau Shevierra Danmadiyah (Peneliti ELSAM), telp: 081236325338.
