Arifan Zulfikar
Mahasiswa Ilmu Hukum Universitas Pamulang
PT Bank Syariah Indonesia Tbk (BSI) merupakan bank umum yang dalam menjalankan kegiatan usahanya menggunakan teknologi informasi dan layanan perbankan digital. Dalam kegiatan tersebut, BSI mengelola berbagai data pribadi nasabah, termasuk identitas, informasi rekening, transaksi, dan informasi keuangan. Oleh karena itu, BSI memiliki kewajiban untuk menjaga keamanan dan kerahasiaan data tersebut.
Pada Mei 2023, BSI mengalami gangguan pada sejumlah layanan perbankan yang menyebabkan nasabah mengalami kesulitan mengakses layanan dan melakukan transaksi. Gangguan tersebut kemudian dikaitkan dengan dugaan serangan siber berupa ransomware oleh kelompok LockBit 3.0. Serangan tersebut juga menimbulkan dugaan adanya pengambilan dan penyebaran data dalam jumlah besar yang berkaitan dengan nasabah dan sistem internal bank. Peristiwa tersebut menimbulkan persoalan mengenai sejauh mana BSI telah memenuhi kewajiban hukumnya dalam melindungi data pribadi dan menyelenggarakan sistem teknologi informasi yang aman.
Persoalan tersebut tidak hanya berkaitan dengan kewajiban BSI sebagai Pengendali Data Pribadi berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), tetapi juga kewajibannya sebagai bank umum berdasarkan Peraturan Otoritas Jasa Keuangan Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum dan Surat Edaran Otoritas Jasa Keuangan Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum. Selain itu, apabila kegagalan perlindungan data disebabkan oleh tindakan atau kelalaian BSI dan menimbulkan kerugian bagi nasabah, maka pertanggungjawaban perdata dapat dianalisis berdasarkan Pasal 1365 dan Pasal 1366 KUHPerdata.
Pada Mei 2023, BSI mengalami gangguan pada sejumlah layanan perbankan yang menyebabkan nasabah mengalami kesulitan dalam mengakses layanan dan melakukan transaksi. Gangguan tersebut kemudian dikaitkan dengan dugaan serangan siber berupa ransomware oleh kelompok LockBit 3.0. Selain terganggunya layanan, muncul pula dugaan adanya pengambilan dan penyebaran data dalam jumlah besar yang berkaitan dengan nasabah maupun sistem internal bank. Kondisi tersebut menimbulkan persoalan mengenai keamanan data pribadi nasabah dan kemampuan bank dalam menyelenggarakan sistem teknologi informasi yang aman.
Persoalan tersebut semakin penting karena dampak dari dugaan kebocoran data tidak hanya berkaitan dengan terganggunya layanan perbankan, tetapi juga berpotensi menimbulkan kerugian bagi nasabah. Kerugian tersebut dapat berupa kerugian materiil apabila data yang diperoleh digunakan untuk kepentingan yang merugikan nasabah, maupun kerugian immateriil yang berkaitan dengan terganggunya privasi, keamanan, dan kenyamanan nasabah.
Secara normatif, BSI sebagai pihak yang mengelola dan menentukan pemrosesan data pribadi nasabah berkedudukan sebagai Pengendali Data Pribadi berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP). Kedudukan tersebut menimbulkan kewajiban hukum untuk menjaga keamanan data pribadi dan mencegah terjadinya akses yang tidak sah. Di samping UU PDP, BSI sebagai bank umum juga tunduk pada ketentuan sektoral Otoritas Jasa Keuangan, khususnya POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum dan SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum. Ketentuan tersebut mengatur penyelenggaraan teknologi informasi, manajemen risiko, serta aspek ketahanan dan keamanan siber dalam kegiatan perbankan.
Selain kewajiban sebelum terjadinya insiden, hukum juga mengatur kewajiban setelah terjadi kegagalan perlindungan data pribadi. UU PDP mengatur adanya kewajiban Pengendali Data Pribadi untuk melakukan pemberitahuan apabila terjadi kegagalan perlindungan data pribadi. Dengan demikian, persoalan hukum dalam kasus BSI tidak hanya berkaitan dengan bagaimana sistem keamanan dibangun sebelum serangan terjadi, tetapi juga bagaimana bank menangani insiden dan memenuhi kewajiban pemberitahuan setelah terjadinya kegagalan perlindungan data.
Dari perspektif hukum perdata, Pasal 1365 dan Pasal 1366 KUHPerdata memberikan dasar untuk menilai pertanggungjawaban apabila suatu tindakan atau kelalaian menimbulkan kerugian bagi pihak lain. Namun, keberadaan serangan siber yang dilakukan oleh pihak ketiga tidak dengan sendirinya menunjukkan adanya perbuatan melawan hukum atau kelalaian dari pihak bank. Oleh karena itu, diperlukan pembuktian mengenai tindakan pencegahan, pengamanan, pengelolaan risiko, serta penanganan insiden yang telah dilakukan oleh BSI.
Dengan demikian, terdapat kesenjangan antara das sollen, yaitu adanya kewajiban normatif bagi BSI untuk melindungi data pribadi dan menyelenggarakan sistem teknologi informasi dengan standar keamanan serta manajemen risiko tertentu, dengan das sein, yaitu terjadinya gangguan layanan dan dugaan kebocoran data akibat serangan siber pada tahun 2023. Kesenjangan tersebut tidak semata-mata terletak pada ada atau tidaknya aturan hukum, karena aturan hukum mengenai perlindungan data pribadi dan keamanan teknologi informasi perbankan telah tersedia. Persoalan justru terletak pada bagaimana menentukan apakah kewajiban normatif tersebut telah diterapkan dalam praktik oleh BSI dan bagaimana pemenuhan kewajiban tersebut dapat dinilai ketika terjadi serangan siber.
Menurut pendapat penulis, BSI memiliki kewajiban hukum untuk melindungi data pribadi nasabah karena dalam menjalankan kegiatan perbankan BSI menentukan dan melakukan pemrosesan terhadap data tersebut. Kewajiban tersebut tidak hanya lahir dari hubungan antara bank dan nasabah, tetapi juga dari kedudukan BSI sebagai Pengendali Data Pribadi berdasarkan UU PDP. Oleh karena itu, perlindungan data pribadi merupakan bagian dari kewajiban hukum yang harus dijalankan sejak data diperoleh, selama data diproses, sampai dengan dilakukannya tindakan yang diperlukan ketika terjadi gangguan atau kegagalan perlindungan data.
POJK Nomor 11/POJK.03/2022 dan SEOJK Nomor 29/SEOJK.03/2022 menempatkan keamanan teknologi informasi dan keamanan siber sebagai bagian dari pengelolaan risiko bank. Dengan demikian, serangan siber merupakan salah satu risiko yang harus diidentifikasi, dinilai, dikelola, dan dimitigasi oleh bank. Ukuran kepatuhan BSI tidak semata-mata ditentukan dari berhasil atau tidaknya bank mencegah serangan, tetapi juga dari apakah bank telah menerapkan pengamanan, pengendalian, pemantauan, manajemen risiko, dan mekanisme penanganan insiden sesuai dengan standar yang diwajibkan.
Atas dasar tersebut, penulis berpendapat bahwa serangan siber oleh pihak ketiga tidak dapat secara otomatis menghapus pertanggungjawaban BSI. Pelaku eksternal tetap dapat bertanggung jawab atas serangan yang dilakukannya, tetapi keberadaan pelaku tersebut tidak menghilangkan kewajiban BSI untuk memastikan bahwa sistem keamanan dan manajemen risikonya telah diterapkan secara memadai. Sebaliknya, terjadinya serangan siber juga tidak secara otomatis membuktikan bahwa BSI telah melakukan pelanggaran. Penentuan tanggung jawab harus didasarkan pada bukti mengenai ada atau tidaknya kesalahan atau kelalaian BSI serta hubungan sebab akibat antara kesalahan atau kelalaian tersebut dengan kerugian nasabah.
Dalam kaitannya dengan Pasal 1365 KUHPerdata, pertanggungjawaban perdata dapat dipertimbangkan apabila terdapat perbuatan melawan hukum, kesalahan, kerugian, dan hubungan sebab akibat antara perbuatan tersebut dengan kerugian yang dialami nasabah. Sementara itu, Pasal 1366 KUHPerdata relevan untuk menilai kerugian yang timbul karena kelalaian atau kurang hati-hati. Oleh sebab itu, apabila pemeriksaan menunjukkan adanya kelemahan sistem, tidak diterapkannya pengamanan yang seharusnya, manajemen risiko yang tidak memadai, atau tindakan mitigasi yang seharusnya dilakukan tetapi tidak dilakukan, keadaan tersebut dapat menjadi dasar untuk menilai adanya kelalaian.
Sebaliknya, apabila BSI dapat menunjukkan bahwa kewajiban keamanan, manajemen risiko, pencegahan, dan penanganan insiden telah dilaksanakan secara memadai sesuai dengan standar hukum yang berlaku, maka serangan siber oleh pihak ketiga semata tidak cukup untuk menyimpulkan adanya perbuatan melawan hukum atau kelalaian BSI. Dengan demikian, pertanggungjawaban tidak seharusnya didasarkan hanya pada asumsi bahwa karena kebocoran data terjadi, maka bank pasti melakukan kesalahan.
Penulis juga berpendapat bahwa kewajiban BSI tidak berhenti setelah gangguan berhasil ditangani. Apabila benar terjadi kegagalan perlindungan data pribadi, BSI perlu memenuhi kewajiban penanganan, mitigasi, pemulihan, serta pemberitahuan sesuai ketentuan UU PDP. Dalam menilai pemenuhan kewajiban tersebut, perlu diperhatikan fakta mengenai kapan kegagalan perlindungan data diketahui, data apa yang terdampak, kapan pemberitahuan dilakukan, dan informasi apa yang disampaikan kepada pihak yang berkepentingan.
Adapun solusi yang menurut penulis perlu dilakukan adalah memperkuat mekanisme keamanan dan manajemen risiko teknologi informasi secara berkelanjutan, melakukan evaluasi dan audit terhadap sistem keamanan setelah terjadinya insiden, serta memastikan adanya mekanisme respons insiden yang mampu mendeteksi, menangani, dan memitigasi serangan siber secara cepat. BSI juga perlu memastikan pemenuhan kewajiban pemberitahuan apabila terjadi kegagalan perlindungan data serta meningkatkan transparansi kepada nasabah mengenai risiko dan langkah penanganan yang dilakukan.
Dari sisi nasabah, apabila terdapat kerugian yang dapat dibuktikan sebagai akibat dari tindakan atau kelalaian BSI, nasabah dapat menggunakan mekanisme pengaduan dan penyelesaian sengketa yang tersedia. Pasal 1365 dan Pasal 1366 KUHPerdata dapat menjadi salah satu dasar untuk menilai tuntutan pertanggungjawaban perdata. Namun, pembuktian mengenai kerugian dan hubungan sebab akibat tetap menjadi bagian penting dalam menentukan pertanggungjawaban tersebut.
Dengan demikian, solusi hukum dalam kasus ini tidak tepat apabila hanya diarahkan pada pemberian ganti rugi atau pembebasan BSI dari tanggung jawab. Langkah yang lebih tepat adalah melakukan penilaian berbasis bukti terhadap kepatuhan BSI sebelum, selama, dan setelah terjadinya insiden. Hasil pemeriksaan tersebut kemudian menjadi dasar untuk menentukan apakah terdapat pelanggaran kewajiban hukum, kelalaian, kerugian, dan hubungan sebab akibat yang dapat menimbulkan pertanggungjawaban perdata.
BSI sebagai bank yang mengelola data pribadi nasabah memiliki kewajiban hukum untuk menjaga keamanan dan perlindungan data pribadi serta menyelenggarakan teknologi informasi sesuai dengan ketentuan yang berlaku. Kewajiban tersebut bersumber dari UU PDP dan diperkuat oleh ketentuan sektoral OJK, khususnya POJK Nomor 11/POJK.03/2022 dan SEOJK Nomor 29/SEOJK.03/2022.
Dalam kasus serangan siber BSI tahun 2023, keberadaan pelaku eksternal tidak secara otomatis membebaskan BSI dari pertanggungjawaban, tetapi juga tidak secara otomatis membuktikan bahwa BSI telah melakukan pelanggaran. Penentuan tanggung jawab harus didasarkan pada pemenuhan kewajiban keamanan, manajemen risiko, pencegahan, mitigasi, penanganan insiden, dan pemberitahuan setelah terjadinya kegagalan perlindungan data.
Apabila dapat dibuktikan adanya tindakan atau kelalaian BSI yang bertentangan dengan kewajiban hukumnya dan tindakan atau kelalaian tersebut mempunyai hubungan sebab akibat dengan kerugian nasabah, maka pertanggungjawaban berdasarkan Pasal 1365 dan Pasal 1366 KUHPerdata dapat dipertimbangkan. Sebaliknya, apabila BSI dapat membuktikan bahwa kewajiban keamanan dan manajemen risiko telah dilaksanakan secara memadai sesuai standar yang berlaku, maka serangan siber oleh pihak ketiga semata tidak cukup untuk membebankan pertanggungjawaban perdata kepada BSI.
Dengan demikian, inti persoalan hukum dalam kasus ini bukan semata-mata terletak pada terjadinya serangan siber, melainkan pada apakah BSI telah memenuhi kewajiban hukum yang seharusnya diterapkan dan apakah terdapat hubungan antara tindakan atau kelalaian BSI dengan kerugian yang dialami nasabah.
