Kebocoran Data, Peretasan, dan Penyalahgunaan Data: Apa Bedanya?

Sebuah lampiran berisi data pelanggan terkirim ke alamat yang salah. Dalam kejadian lain, seseorang masuk ke sistem tanpa kewenangan. Pada situasi berbeda, pegawai menggunakan daftar pelanggan untuk kepentingan pribadinya. Ketiganya menimbulkan persoalan data, tetapi menyebut semuanya sebagai “diretas” justru mengaburkan apa yang perlu dijelaskan.

Perbedaan kebocoran data, peretasan, dan penyalahgunaan data terletak pada fokusnya: apa yang terjadi terhadap kerahasiaan data, bagaimana akses atau gangguan berlangsung, dan untuk apa data digunakan. Satu kejadian dapat mencakup ketiganya, tetapi hubungan itu perlu dibuktikan, bukan diasumsikan.

Pembahasan ini menggunakan konteks Indonesia. Istilah sehari-hari dipakai untuk membantu membaca kejadian, sementara penilaian hukumnya tetap memerlukan fakta dan ketentuan yang sesuai.

Tiga istilah, tiga pertanyaan berbeda

Cara paling berguna untuk membedakannya adalah menentukan pertanyaan yang dijawab oleh setiap istilah. Dengan begitu, satu label tidak menggantikan penjelasan mengenai seluruh kejadian.

Tabel ini merupakan pembedaan konseptual, bukan rumusan unsur tindak pidana. Khususnya, kata “peretasan” dalam percakapan umum belum cukup untuk menentukan pasal yang berlaku. Kegiatan pengujian keamanan dengan izin juga perlu dibedakan dari akses tanpa hak.

Demikian pula, “penyalahgunaan” tidak sebaiknya dipakai sebagai kesimpulan hukum hanya karena suatu penggunaan terasa mengejutkan. Perlu diketahui kegiatan yang sebenarnya berlangsung, tujuan yang dijelaskan, dan kewenangan pihak yang melakukannya.

Kebocoran data dapat terjadi tanpa peretasan

Dalam artikel ini, kebocoran digunakan untuk membahas terbukanya data kepada pihak yang tidak semestinya. Jalan masuk persoalannya dapat berupa kesalahan pengiriman atau pengaturan akses, sehingga tidak selalu ada pihak yang menerobos sistem.

Bayangkan skenario hipotetis: staf mengirim rekap pelanggan kepada pemasok, tetapi lampirannya berisi seluruh daftar pelanggan alih-alih hanya pesanan yang perlu dipenuhi. Pemasok menerima informasi melalui saluran kerja biasa. Persoalannya ada pada cakupan informasi yang dibagikan, meskipun tidak ada bukti penerobosan akun.

Contoh lain adalah folder yang dibuat dapat diakses melalui tautan, padahal seharusnya hanya tersedia bagi tim tertentu. Dalam membaca kejadian seperti ini, beberapa keadaan perlu dipisahkan: folder dapat dijangkau, folder benar-benar dibuka, dan isinya disalin. Bukti untuk satu keadaan belum tentu membuktikan keadaan lainnya.

Kerangka hukum Indonesia juga lebih luas daripada gambaran berkas yang tersebar. Penjelasan Pasal 46 ayat (1) UU PDP mencakup kegagalan menjaga kerahasiaan, integritas, dan ketersediaan data, termasuk kejadian sengaja maupun tidak sengaja. Karena itu, perubahan atau kehilangan data juga relevan meskipun tidak ada daftar yang dipublikasikan.

Peta persoalan yang lebih luas tersedia dalam pembahasan kebocoran data pribadi di Indonesia. Di sini, fokusnya adalah menghindari anggapan bahwa setiap kegagalan pelindungan data pasti berasal dari peretasan.

Peretasan belum menjelaskan seluruh nasib data

Keterangan bahwa sistem dimasuki tanpa hak menjelaskan persoalan akses. Keterangan itu belum menjawab seluruh pertanyaan tentang informasi yang berada di dalamnya: apakah data dilihat, disalin, diubah, dihapus, atau tidak tersentuh dalam kejadian yang diketahui.

Sebagai ilustrasi hipotetis, pemeriksaan menemukan akun tanpa kewenangan masuk ke sebuah aplikasi. Temuan tersebut penting, tetapi jangkauannya harus jelas. Jika yang terkonfirmasi baru akses ke satu bagian aplikasi, tidak tepat langsung menyatakan bahwa seluruh database telah diambil.

Sebaliknya, tidak ditemukannya bukti penyalinan dalam keterangan yang tersedia juga perlu dibaca hati-hati. Pernyataan itu bisa berbeda makna dari kepastian bahwa penyalinan tidak pernah terjadi. Pembaca perlu memperhatikan apakah organisasi sedang menyampaikan hasil pemeriksaan yang terbatas atau kesimpulan yang sudah didukung penelusuran lebih lengkap.

Ada pula perbedaan antara upaya dan kejadian yang berhasil. Percobaan masuk yang ditolak tidak sama dengan akses yang berhasil dilakukan. Kata “serangan” dalam sebuah pengumuman sebaiknya dibaca bersama penjelasan tentang bagian yang benar-benar terdampak.

Dengan demikian, pernyataan tentang peretasan paling informatif ketika menyebut tindakan dan cakupannya. Label yang dramatis tidak menggantikan rincian mengenai data.

Penyalahgunaan dapat terjadi melalui akses yang sudah tersedia

Seseorang dapat mempunyai akses kerja terhadap data, tetapi penggunaan tertentu tetap menimbulkan persoalan. Kemampuan membuka informasi dan kewenangan memakainya untuk suatu tujuan merupakan dua pertanyaan berbeda.

Dalam skenario hipotetis, pegawai dapat membuka nomor pelanggan untuk mengatur pengiriman. Pegawai itu kemudian memakai nomor tersebut untuk menawarkan usaha pribadinya. Akses awal berasal dari pekerjaan, sementara penggunaan berikutnya mempunyai tujuan berbeda. Penelusuran tidak cukup berhenti pada pertanyaan apakah kata sandinya sah.

Contoh lain adalah organisasi yang menggunakan kembali data untuk kegiatan tambahan. Perubahan tujuan perlu ditelaah menurut penjelasan, dasar pemrosesan, dan ketentuan yang relevan; tidak otomatis dapat diputuskan sah atau melanggar hanya dari frasa “penggunaan tambahan”. Pasal 20, 27, dan 28 UU PDP menjadi rujukan mengenai dasar pemrosesan, pembatasan pengumpulan, dan kesesuaian tujuan pemrosesan.

Perbedaan antara kemampuan teknis dan dasar pemrosesan juga terlihat dalam izin akses aplikasi dan persetujuan pemrosesan data. Tombol atau akses yang tersedia perlu dibaca bersama cakupan penggunaan yang dijelaskan.

Dalam konteks larangan, Pasal 65 UU PDP membedakan perolehan atau pengumpulan, pengungkapan, serta penggunaan data pribadi secara melawan hukum, dengan unsur masing-masing. Penyebutan pasal tersebut bukan penetapan bahwa setiap contoh di atas memenuhi unsur pelanggaran.

Satu rangkaian kejadian dapat memuat ketiganya

Ketiga istilah tersebut tidak harus menjadi pilihan yang saling meniadakan. Masing-masing dapat menjelaskan bagian berbeda dari satu rangkaian kejadian.

Misalnya, dalam ilustrasi hipotetis, pihak tanpa kewenangan memasuki sistem, mengambil daftar pelanggan, kemudian menggunakan daftar itu untuk mengirim pesan yang menyamar sebagai layanan resmi. Persoalan akses, pengungkapan atau pengambilan data, dan penggunaan selanjutnya perlu ditelusuri sebagai tindakan yang berbeda.

Perbedaannya penting untuk memahami penanganan. Menutup jalur masuk membahas akses berikutnya. Menelusuri data yang diambil membahas cakupan kejadian. Menangani pesan penyamaran membahas penggunaan lanjutan. Keberhasilan satu tindakan belum menjawab hasil tindakan lainnya.

Urutan itu juga tidak selalu terjadi. Lampiran yang salah kirim bisa menimbulkan pengungkapan tanpa peretasan. Penggunaan daftar pelanggan untuk kepentingan pribadi bisa dipersoalkan tanpa data diumumkan ke publik. Karena itu, tidak perlu memaksakan ketiga label hadir dalam setiap insiden.

Membaca penjelasan insiden tanpa melompat ke kesimpulan

Penjelasan insiden lebih mudah dipahami jika pernyataannya dipisahkan menurut objek dan tingkat kepastian. Kalimat “akses sudah ditutup”, misalnya, menjelaskan tindakan penanganan, tetapi belum menjelaskan seluruh data yang sebelumnya dapat dijangkau.

Pertanyaan berikut membantu memperjelas isi sebuah keterangan:

• Apa yang diketahui terjadi? Bedakan percobaan akses, akses berhasil, pengungkapan, perubahan, dan penggunaan data.
• Informasi apa yang terlibat? Cari kategori data dan batas cakupan yang sudah dikonfirmasi.
• Siapa yang mempunyai akses atau menerima data? Bedakan kewenangan kerja dengan tindakan di luar kewenangan tersebut.
• Apa yang masih belum diketahui? Perhatikan apakah jangkauan akses atau penyalinan masih ditelusuri.
• Apa yang ditangani? Pisahkan penutupan akses, pemulihan data, dan penanganan penggunaan lanjutan.

Pernyataan “tidak ada peretasan” dapat menjawab dugaan tertentu, tetapi belum menyingkirkan kemungkinan salah kirim atau penggunaan di luar kewenangan. Sebaliknya, adanya data yang tersebar belum menjelaskan dari sistem mana data itu berasal atau bagaimana data diperoleh.

Jika keterangan disampaikan melalui pemberitahuan insiden, pembacaan rinci dibahas dalam Membaca Pemberitahuan Kebocoran Data: Informasi Apa yang Perlu Dijelaskan?.

Pembedaan istilah akhirnya membantu merumuskan pertanyaan yang lebih tepat: apa yang terjadi pada data, bagaimana kejadiannya berlangsung, dan untuk apa data kemudian digunakan. Jawaban atas ketiganya memberi gambaran yang lebih berguna daripada satu label besar.

Artikel ini merupakan informasi umum dalam konteks Indonesia, bukan nasihat hukum untuk keadaan pribadi.