Data e-KTP Diakses 1227 Lembaga Pemerintah, Swasta: Privasi Terjamin?

Kementerian Dalam Negeri (Kemendagri) mengkonfirmasi telah memberikan akses data kependudukan kepada 1.227 lembaga, baik pemerintahan maupun swasta seperti Astra Multi Finance.

Pihak swasta menyatakan ini diperlukan untuk mengkonfirmasi kebenaran data calon klien mereka.

Namun, peneliti keamanan digital menilai langkah ini tidak memenuhi prinsip penghormatan terhadap privasi dan persetujuan dari pemilik data pribadi.

Direktur Jenderal Kependudukan dan Catatan Sipil (Dukcapil), Kementerian Dalam Negeri, Zudan Arif Fakhrulloh mengatakan, pemberian akses ini sudah sesuai dengan Undang Undang No. 24/2013 tentang Administrasi Kependudukan.

"Kita menerapkan kerjasama ini yang sangat ketat. Satu menjamin kerahasiaan, keutuhan data, kebenaran data serta tidak melakukan penyimpanan data kependudukan yang telah diakses," kata Zudan saat melakukan pertemuan dengan Ombudsman RI, Rabu (24/07).

Zudan menambahkan, pihak ketiga yang telah diberikan akses juga wajib menggunakan jaringan VPN (Virtual Private Network).

"Jadi jaringan khusus supaya tidak di-hack oleh orang lain," katanya.

Jika terjadi penyalahgunaan data dari Dukcapil, maka pelaku bisa terancam pidana dua tahun penjara dan denda hingga Rp25 juta, imbuhnya.

Dalam aturan lainnya, Zudan mengatakan pelaku bisa terkena denda administrasi Rp10 miliar.

Saat ini, lanjut Zudan, akses data Dukcapil yang ditampilkan pada pihak swasta sebatas data KTP elektronik, NIK dan Nomor Kartu Keluarga. Data tersebut digunakan sebagai kewajiban Dukcapil untuk "pelayanan publik".

"Beda-beda antar instansi. Ada yang NIK dan No. KK, ada yang data KTP dan seterusnya," katanya.

Data Dukcapil juga dimanfaatkan untuk penegakan hukum dan pencegahan kriminal. Lembaga penegak hukum seperti TNI/Polri sudah menggunakannya, jelas Zudan.

"TNI/Polri pakai data kita. Sidik jari kita, wajah kita digunakan TNI/Polri, Densus kemudian BNPT," katanya.

Digunakan untuk apa data penduduk?

PT Astra Multi Finance adalah satu dari sekitar 1200 perusahaan yang menjalin kerjasama dengan pemerintah untuk mengakses data kependudukan sejak 2017 lalu.

Perusahaan di bidang keuangan ini dapat mengakses KTP elektronik masyarakat melalui Dirjen Kependudukan dan Catatan Sipil (Dukcapil).

Koordinator Komunikasi Astra Financial, Yulian Warman, mengatakan data kependudukan dari Dukcapil digunakan untuk mengkonfirmasi calon klien.

Saat calon klien ingin mendapatkan jasa dari perusahaannya, maka Astra akan mengkonfirmasi data-datanya dengan data milik Dukcapil, katanya.

"KTP yang diserahkan waktu berencana menjadi calon pembeli dengan kredit, dikasih. Setelah itu dicek (akses ke Dukcapil). Tahu nggak orang ini e-KTPnya benar atau tidak?

"Nama ini, nomornya ini, alamat ini. Nanti diketahui benar atau tidak," kata Yulian saat dihubungi wartawan Muhammad Irham untuk BBC Indonesia, Rabu (24/07).

Yulian menambahkan cara ini dilakukan untuk menghindari penipuan. Sebab, berdasarkan pengalaman tak sedikit calon pembeli yang menyerahkan KTP palsu sehingga membuat kredit macet.

Selain itu, Yulian juga mengeklaim pihaknya tak bisa mengakses data lainnya seperti nomor telepon. "(nomor) handphone itu nggak pernah dikasih, dan nggak boleh diakses, cuma e-KTPnya aja," lanjutnya.

Apa dasar hukum Kemendagri beri akses data kependudukan?

Dasar hukum yang digunakan Kemendagri adalah Pasal 58 ayat empat (4) Undang Undang No. 24/2013 tentang Administrasi Kependudukan.

Pasal ini pada intinya memberikan hak akses Kemendagri menggunakan data kependudukan untuk pelayanan publik, perencanaan pembangunan, alokasi anggaran, pembangunan demokrasi dan penegakan hukum dan pencegahan kriminal.

Data kependudukan dalam UU Adminduk meliputi data perserorangan dan data agregrat penduduk.

Sementara data perseorangan meliputi nomor KK, NIK, nama lengkap, jenis kelamin, status perkawinan, tempat tanggal lahir, pendidikan terakhir, serta jenis pekerjaan.

Di dalamnya, tercantum pula nama orang tua, keterangan cacat fisik/mental, tanggal perkawinan, sidik jari, iris mata, tanda tangan, hingga elemen lainnya yang merupakan aib seseorang.

Akan tetapi data pribadi dari UU No. 24/2013 tentang Adminduk beda lagi pengertiannya dengan Peraturan Menteri Komunikasi dan Informatika No. 20/2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik.

Permen Kominfo No. 20/2016 lebih mengedepankan perlindungan data pribadi. Di dalam aturan ini disebutkan prinsip data pribadi bersifat privasi, dan penggunaan data pribadi harus berdasarkan persetujuan yang bersangkutan.

`Belum memenuhi prinsip persetujuan pemegang data`

Peneliti dari ELSAM, Lintang Setianti mengatakan pemberian akses ribuan lembaga pemerintah, termasuk swasta terhadap KTP elektronik, belum memenuhi prinsip persetujuan dari pemegang data.

"Rezim perlindungan data pribadi itu ingin ada jaminan hak bagi pemilik data, bahwa mereka privasi, dan datanya itu tidak disalahgunakan," katanya kepada BBC Indonesia, Rabu (24/07).

Pemberian akses data kependudukan kepada ribuan lembaga termasuk swasta, ini merupakan bukti adanya tumpang tindih peraturan mengenai perlindungan data pribadi di Indonesia.

ELSAM mencatat setidaknya 32 aturan yang mengatur data pribadi, namun masing-masing punya pengertian yang berbeda-beda.

Hal ini yang membuat perlindungan data pribadi di Indonesia menjadi `lemah`, kata Lintang.

Selain MoU yang tidak transparan antara Dirjen Dukcapil dengan swasta, Lintang juga menilai pemberian akses KTP elektronik, NIK, No. KK kepada pihak ketiga ini kurang tepat.

Data ini sejatinya dikumpulkan dan dikelola pemerintah agar masyarakat mudah mengakses layanan publik seperti kesehatan, pendidikan dan lainnya.

"Tidak ditujukan untuk validasi ke perusahaan ini kan… Nah, kalau ini kan tidak ada jaminan perusahaan itu tidak mengumpulkan data pribadi itu juga," katanya.

Kalau pun melibatkan swasta perlu dibangun sistem validasi yang sangat terbatas.

Misalnya, kata Lintang, ketika perusahaan ingin mengkonfirmasi kebenaran data pribadi dari calon klien ke Dukcapil, jawaban yang dimunculkan cukup: iya atau tidak.

ELSAM saat ini mendorong Rancangan Undang Undang Perlindungan Data Pribadi (RUU PDP) agar segera disahkan DPR. Harapannya, setiap aturan yang terkait dengan data pribadi bisa mengacu kepada satu payung hukum.

"Jadi harusnya kalau ada RUU PDP, pengaturannya bisa lebih konkret. Dan bisa mengacu semuanya ke RUU PDP setiap ada pengolahan data," jelas Lintang.