UU PDP Sudah Dua Tahun, tapi Data KTP-mu Masih Nyangkut di Channel Telegram

UU Perlindungan Data Pribadi disahkan Oktober 2022. Penegakan penuhnya semestinya berlaku Oktober 2024. Sekarang sudah lewat delapan bulan dari tenggat itu, dan kalau kamu buka Telegram lalu ketik kata kunci yang tepat, kamu bisa beli scan KTP warga Jakarta, NPWP, nomor BPJS, sampai riwayat cicilan Pinjol seharga sekali naik Grab.

Daftar harganya bahkan gak disembunyiin. Channel-channel itu terang-terangan promosi paket borongan. Ada yang kasih sampel gratis sekadar buktiin datanya masih fresh.

Lembaga yang harusnya nertibin ini masih setengah jadi

UU PDP menjanjikan otoritas perlindungan data yang independen. Yang kita dapat malah sebuah fungsi yang nempel di dalam Kominfo, sekarang Komdigi, ganti nama tapi masalah kekurangan orangnya sama saja. Aturan pelaksananya butuh hampir dua tahun buat dirancang. Lembaganya sendiri dibilang "segera terbentuk" sudah begitu lama sampai kata itu kehilangan arti.

Sementara itu, kebocoran datang terus. BPJS Kesehatan, Ditjen Pajak, imigrasi, daftar pemilih KPU. Tiap kebocoran dapat konferensi pers. Gak ada satu pun yang berbuntut denda yang bikin kapok.

Calonya bukan hacker berhoodie. Mereka orang dalam.

Peneliti keamanan dan kelompok hak digital di Jakarta sudah lama bilang hal yang sama. Data yang beredar di Telegram itu gak kelihatan kayak hasil operasi siber canggih. Bentuknya lebih mirip ekspor dari back office bank, meja penagihan Pinjol, CRM operator seluler, dan basis data pemerintah yang bisa diakses siapa saja yang punya login.

Rantai pasoknya lewat orang-orang yang memang sudah punya akses. Staf junior di perusahaan multifinance bisa unduh potongan data nasabah dan jual lagi sebelum jam pulang kantor. UU PDP secara teori mempidanakan ini. Tapi jumlah yang benar-benar divonis nyaris nol.

Buat pekerja muda di Jakarta, dampaknya nyata

Kalau dulu kamu ambil Pinjol waktu kuliah buat nutup bayar kos, riwayat itu bakal ngikutin kamu. Recruiter yang ngecek latar belakang secara informal beli dari channel yang sama. Pemilik kos di Kelapa Gading minta screening kredit yang dijalanin manajer gedung lewat kenalan, bukan biro resmi.

Panggilan penipuan sudah tahu nama lengkapmu, tempat kerjamu, sampai empat digit terakhir nomor rekeningmu. Teror dari debt collector nyampe ke WhatsApp adikmu karena nomornya kebawa dalam bocoran yang sama denganmu.

Komdigi rajin blokir channel Telegram. Channel-nya buka lagi sebelum makan siang.

Sejauh ini pola penegakannya cuma kirim permintaan takedown ke platform, bukan ke calonya. Telegram nurutin pelan-pelan, sebagian, dan cuma buat URL tertentu. Channel baru bermunculan dengan variasi nama yang beda tipis. Pembelinya nemu lagi lewat pencarian Google yang sama persis kayak tahun 2023.

Kelompok masyarakat sipil, salah satunya SAFEnet, mendorong supaya lembaga perlindungan data dibentuk sebagai badan independen beneran, punya kewenangan memanggil paksa dan anggaran yang cukup buat merekrut staf forensik. Rancangan peraturan presidennya sudah berbulan-bulan berputar. Versi yang akhirnya keluar bakal nentuin apakah dua tahun ke depan bakal beda dari dua tahun kemarin.

Untuk sekarang, hukumnya ada di atas kertas, lembaganya ada di siaran pers, dan scan KTP-mu nangkring di pesan yang di-pin entah di channel mana, nunggu pembeli berikutnya nge-chat admin.