Pesan yang menyatakan “akses telah ditutup” dapat memberi kabar penting, tetapi masih menyisakan pertanyaan: data apa yang sebelumnya terbuka, apakah informasi itu berkaitan dengan penerima pesan, dan bagian mana yang masih ditelusuri? Keterangan tentang perbaikan sistem belum menjawab semuanya.
Membaca pemberitahuan kebocoran data memerlukan pemisahan antara kejadian, cakupan data, dan tindakan penanganan. Bahasa yang menenangkan maupun istilah teknis perlu diterjemahkan menjadi informasi yang dapat dipahami, tanpa langsung menyimpulkan bahwa organisasi telah memenuhi atau melanggar seluruh kewajibannya.
Pembahasan ini menggunakan konteks Indonesia, terutama UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi atau UU PDP. Peta persoalan yang lebih luas tersedia dalam pembahasan kebocoran data pribadi di Indonesia; fokus di sini adalah isi dan cara membaca pemberitahuannya.
Muatan minimum menurut UU PDP
Pasal 46 UU PDP mengatur pemberitahuan tertulis oleh pengendali ketika terjadi kegagalan pelindungan data pribadi. Penerimanya adalah subjek data pribadi dan lembaga, dengan tenggat paling lambat 3 × 24 jam. Muatan minimumnya meliputi data yang terungkap, waktu serta cara pengungkapan, dan upaya penanganan serta pemulihan oleh pengendali. Pasal tersebut juga mengatur pemberitahuan kepada masyarakat dalam hal tertentu.
Ketentuan minimum itu perlu dibedakan dari rincian tambahan yang membantu pembaca. Penjelasan tentang kanal pertanyaan, batas temuan, atau pembaruan informasi dapat membuat pesan lebih berguna. Namun, rincian tambahan tersebut tidak boleh seluruhnya disebut sebagai daftar kewajiban eksplisit Pasal 46.
Angka 3 × 24 jam juga bukan tenggat bagi penerima untuk mengganti kata sandi atau membalas pesan. Penilaian ketepatan waktu pemberitahuan memerlukan kronologi dan dasar hukum yang relevan. Tanggal pesan diterima saja belum cukup untuk menetapkan kepatuhan suatu organisasi.
Data apa yang terungkap, dan apakah berkaitan dengan penerima?
Frasa “sebagian informasi pengguna” terlalu luas untuk memahami cakupan kejadian. Pembacaan yang berguna mencari kategori data yang disebut, layanan atau kegiatan yang terdampak, serta hubungan informasi tersebut dengan penerima pemberitahuan.
Bandingkan dua keterangan hipotetis. Keterangan pertama berbunyi, “Data pelanggan mungkin terdampak.” Keterangan kedua menjelaskan bahwa berkas pengiriman memuat nama penerima, nomor telepon, alamat tujuan, dan catatan pesanan untuk periode tertentu. Keterangan kedua memungkinkan pembaca mengenali konteks data, meskipun belum menjawab apakah seluruh berkas benar-benar diambil.
Ada beberapa perbedaan cakupan yang perlu diperhatikan:
- Kategori data: jenis informasi yang terlibat, seperti alamat email atau dokumen identitas.
- Kelompok terdampak: siapa yang termasuk dalam cakupan, misalnya pengguna fitur tertentu.
- Periode catatan: kapan data dibuat atau dikumpulkan, yang dapat berbeda dari waktu insiden.
- Kepastian keterlibatan: apakah data penerima sudah dikonfirmasi terdampak atau masih termasuk kelompok yang diperiksa.
Penyebutan jumlah catatan pun belum otomatis menjelaskan jumlah orang. Satu orang dapat memiliki beberapa catatan. Jika satuan hitungnya tidak diterangkan, angka itu sebaiknya dibaca sesuai istilah yang digunakan organisasi, tanpa mengubahnya menjadi jumlah individu.
Pemberitahuan tidak perlu menampilkan ulang seluruh informasi sensitif agar cakupannya jelas. Penjelasan kategori dan konteks dapat lebih tepat daripada mengirim salinan lengkap dokumen yang justru menambah pengungkapan. Untuk mengenali ragam informasinya, tersedia pembahasan tentang data pribadi yang sering dibagikan saat memakai aplikasi.
Pisahkan waktu kejadian, penemuan, dan pemberitahuan
Satu insiden dapat memiliki beberapa tanggal dengan arti berbeda. Waktu data terbuka, waktu organisasi menemukan masalah, waktu akses ditutup, dan waktu pemberitahuan dikirim tidak sebaiknya dilebur menjadi satu “tanggal kebocoran”.
Sebagai ilustrasi hipotetis, folder dapat diakses sejak awal pekan, pengaturan yang keliru ditemukan beberapa hari kemudian, lalu akses dibatasi pada hari penemuan. Pemberitahuan diterbitkan setelahnya. Urutan ini membantu memahami kejadian, tetapi belum dengan sendirinya menetapkan kapan seluruh fakta diketahui atau bagaimana tenggat hukum harus diterapkan.
Jika waktu pastinya belum diketahui, rentang waktu dapat dibaca bersama dasar penentuannya. Apakah rentang itu menggambarkan masa folder terbuka, aktivitas yang tercatat, atau periode yang masih diperiksa? Ketiganya menjawab pertanyaan berbeda.
Keterangan tentang bagaimana data terungkap juga perlu cukup konkret. Salah kirim lampiran, pengaturan akses yang keliru, dan akses tanpa kewenangan merupakan mekanisme berbeda. Pernyataan “terjadi masalah keamanan” belum menjelaskan jalur yang diketahui. Perbedaan istilah tersebut dibahas dalam kebocoran data, peretasan, dan penyalahgunaan data.
Baca tingkat kepastian setiap pernyataan
Kata “mungkin”, “terkonfirmasi”, dan “belum ditemukan” menunjukkan batas pengetahuan yang berbeda. Yang perlu diperhatikan bukan sekadar pilihan katanya, melainkan objek yang diterangkan: akses, pembacaan, penyalinan, perubahan, atau penyebaran data.
Tabel berikut merupakan alat membaca bahasa pemberitahuan, bukan penilaian hukum atas organisasi tertentu.
| Pernyataan dalam pesan | Informasi yang disampaikan | Pertanyaan yang masih terbuka |
|---|---|---|
| Folder dapat diakses pihak luar | Ada keadaan yang memungkinkan akses | Apakah folder dibuka dan isinya disalin? |
| Akses tanpa kewenangan telah dikonfirmasi | Ada temuan mengenai akses | Bagian data mana yang dijangkau? |
| Belum ditemukan bukti penyalinan | Pemeriksaan yang dilaporkan belum menemukan bukti tersebut | Apa cakupan pemeriksaan dan keterbatasannya? |
| Data penerima mungkin terdampak | Keterlibatan data belum dipastikan | Apa dasar memasukkan penerima dalam kelompok pemberitahuan? |
| Tidak ada penyalahgunaan yang diketahui | Belum ada penyalahgunaan yang diketahui pihak pemberi keterangan | Bagaimana pemantauan dilakukan dan untuk periode apa? |
Tidak ditemukannya bukti dalam pemeriksaan tertentu berbeda dari kepastian bahwa sesuatu tidak pernah terjadi. Sebaliknya, kemungkinan akses juga tidak boleh langsung diceritakan sebagai pengambilan seluruh database.
Ketidakpastian yang dijelaskan secara spesifik lebih membantu daripada kepastian yang terlalu luas. Misalnya, organisasi sudah mengonfirmasi jenis berkas yang terbuka, tetapi masih menelusuri siapa yang mengaksesnya. Dua tingkat pengetahuan itu dapat hadir bersamaan tanpa harus dipaksakan menjadi satu kesimpulan.
Penanganan perlu dibaca menurut objeknya
Kalimat “insiden sudah ditangani” menjadi lebih bermakna ketika tindakan dan hasilnya diuraikan. Menutup jalur akses, memulihkan catatan, dan menelusuri salinan data memiliki sasaran berbeda.
Dalam contoh folder terbuka, pembatasan izin menjawab bagaimana akses berikutnya melalui jalur itu dihentikan. Tindakan tersebut belum menjelaskan apakah salinan sudah dibuat sebelumnya. Jika catatan sempat hilang, pemulihan dari cadangan menjawab persoalan ketersediaan, sementara pertanyaan tentang pengungkapan tetap perlu diterangkan tersendiri.
Perhatikan pula status tindakannya. “Telah dilakukan”, “sedang dilakukan”, dan “akan dilakukan” tidak setara. Pernyataan rencana pemeriksaan tidak sebaiknya dibaca sebagai hasil pemeriksaan yang selesai.
Arahan kepada penerima juga lebih berguna jika terhubung dengan kategori data yang terlibat. Jika pesan menyarankan perubahan kata sandi, penjelasannya perlu membantu memahami hubungan langkah itu dengan insiden. Mengganti kata sandi tidak menarik kembali alamat atau dokumen yang sudah terungkap. Sebaliknya, tidak disebutkannya kata sandi dalam daftar data bukan alasan untuk menganggap seluruh aspek akun sudah diperiksa.
Pembahasan mengenai penggunaan ulang dan penyebaran berikutnya tersedia dalam Data yang Bocor Sudah Beredar: Mengapa Dampaknya Bisa Berlanjut?.
Pembaruan dan jalur klarifikasi membuat informasi dapat diikuti
Pemberitahuan awal mungkin belum memuat seluruh temuan. Agar perkembangan dapat diikuti, pembaca terbantu oleh tanggal pembaruan, penjelasan bagian yang berubah, dan kanal resmi untuk memperoleh keterangan lanjutan. Ini merupakan pertimbangan kegunaan komunikasi, bukan tambahan otomatis pada daftar minimum Pasal 46.
Jika pembaruan memperluas kategori data terdampak, pesan lama dan baru perlu dibaca sebagai rangkaian. Koreksi tidak sebaiknya dilebur sehingga seolah rincian terbaru sudah diketahui sejak pemberitahuan pertama.
Untuk klarifikasi, pertanyaan dapat dibuat spesifik: apakah data akun tertentu termasuk cakupan, apakah tanggal yang disebut merupakan waktu kejadian atau penemuan, dan tindakan mana yang sudah selesai. Simpan pesan beserta tanggalnya agar perbedaan versi mudah ditelusuri. Bila keaslian pesan diragukan, buka kanal resmi layanan secara mandiri sebelum mengirim informasi tambahan; tidak perlu menyerahkan ulang dokumen lengkap hanya untuk menanyakan cakupan insiden.
Pemberitahuan yang berguna memungkinkan pembaca merumuskan keadaan secara terbatas: data tertentu terlibat dalam kejadian tertentu, sejumlah tindakan sudah dilakukan, dan beberapa pertanyaan masih terbuka. Kejelasan itulah yang membantu memahami pesan. Keberadaan pemberitahuan sendiri belum membuktikan kepatuhan menyeluruh, sebagaimana kekurangan rincian dalam satu pesan belum cukup untuk menetapkan seluruh akibat hukumnya.
Artikel ini merupakan informasi umum dalam konteks Indonesia, bukan nasihat hukum untuk keadaan pribadi.