ELSAM menyatakan, insiden di atas menggambarkan rentannya pelanggaran pelindungan data pribadi (data breach) yang melibatkan pengendali data badan publik, tidak hanya sektor privat atau korporasi.
"Belajar dari insiden dan juga rentetan insiden kebocoran data sebelumnya, yang banyak melibatkan pengendali data badan publik, desain kelembagaan otoritas pengawas pelindungan data pribadi, yang dimandatkan Pasal 59 UU PDP (Pelindungan Data Pribadi) menjadi krusial."
lembaga pengawas perlindungan data pribadi diharapkan bisa mengawasi dan memastikan kepatuhan badan publik/pemerintah terhadap UU PDP termasuk memberikan sanksi bila terjadi pelanggaran. Lembaga itu nantinya diminta juga tidak hanya punya wewenang soal sanksi administratif melainkan juga harus bisa berkoordinasi dalam penegakan hukum terhadap sesama instansi pemerintah apalagi bila lembaga pemerintah tidak dilengkapi dengan struktur dan memiliki legitimasi politik yang kuat.
Adanya kekosongan regulasi teknis pada transisi implementasi UU PDP juga disayangkan. Hal ini berakibat pada adanya pembiaran penanganan peretasan demi peretasan yang terus terjadi. Seharusnya tetap bisa menggunakan PP Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi Dalam Sistem Elektronik, sepanjang materinya tidak bertentangan dengan substansi UU PDP.
Direktorat Jenderal Imigrasi diminta melakukan hal sebagai berikut:
Pertama, setelah tahap detection untuk mengidentifikasi kegagalan yang terjadi dan mengkonfirmasi keabsahan insiden (tahap qualification), segera memberikan notifikasi kepada subjek data dan otoritas saat ini (Kominfo). Hal ini harus dilakukan paling lambat 3x24 jam termasuk kepada masyarakat. Bila di dalamnya terdapat dapat yang bersifat spesifik (sensitif), perlu juga diinformasikan risiko yang mungkin terjadi dan langkah mitigasi yang sebaiknya dilakukan.
Kedua, segera melakukan pemulihan sebagaimana disebutkan dalam UU PDP, PP Nomor 71 Tahun 2019 maupun Permenkominfo Nomor 20/2016. Apalagi jika terdapat jenis data yang bersifat spesifik (sensitif) mengacu ketentuan Pasal 4 ayat (2) UU PDP seperti data anak dan data biometrik (rekam wajah, sidik jari, retina mata).
Ketiga, sebagai PSE publik, Direktorat Jenderal Imigrasi, Kemenkumham mestinya konsisten dalam pelaksanaan audit keamanan sebagaimana diprasyaratkan oleh Perpres Nomor 95/2018 tentang Sistem Pemerintahan Berbasis Elektronik. Detailnya telah diatur dalam Peraturan BSSN Nomor 4 Tahun 2021 tentang Pedoman Manajemen Keamanan Informasi Sistem Pemerintahan Berbasis Elektronik dan Standar Teknis dan Prosedur Keamanan Sistem Pemerintahan Berbasis Elektronik.
"Mengacu pada dua regulasi tersebut, Ditjen Imigrasi setidaknya harus mengidentifikasi sumber serangan menganalisis informasi yang berkaitan dengan insiden selanjutnya, memprioritaskan penanganan insiden berdasarkan tingkat dampak yang terjadi, mendokumentasi bukti insiden dan memitigasi atau mengurangi dampak risiko."
(ezr)
