Dampak Kebocoran Data Publik terhadap Kepercayaan Masyarakat

Mei 2021, data 279 juta peserta BPJS Kesehatan — mencakup NIK, alamat, hingga riwayat penyakit kronis — ditemukan diperjualbelikan di forum daring. Tahun-tahun berikutnya menyusul rentetan insiden serupa: kebocoran data pemilih terkait KPU, dugaan pencatutan data e-KTP dalam sengketa Pilkada, hingga serangan ransomware yang melumpuhkan Pusat Data Nasional Sementara (PDNS) pada Juni 2024 dan mengganggu puluhan layanan publik. Nama peretas “Bjorka” pun sempat menjadi simbol betapa rapuhnya pertahanan digital institusi negara. Pola yang berulang ini memunculkan pertanyaan mendasar: apa yang sebenarnya dipertaruhkan ketika data publik bocor berkali-kali, dan mengapa dampaknya jauh lebih dalam daripada sekadar persoalan teknis keamanan siber?

Kebocoran yang Berulang, Pola yang Sama

Sebuah opini di media nasional menggambarkan siklus yang telah menjadi akrab bagi publik Indonesia: janji keamanan, lalu kebocoran, lalu klarifikasi, lalu semuanya berlanjut seperti biasa tanpa perbaikan struktural yang berarti. Data BPJS, KPU, dan Dukcapil pernah bocor secara terpisah, namun pola penanganannya nyaris serupa — pihak berwenang menyatakan bertanggung jawab, namun jarang disertai konsekuensi tegas seperti pemecatan pejabat terkait atau tuntutan pidana yang menjerat pengambil keputusan di level atas. Relasi kuasa dalam banyak kasus tersebut juga timpang: pihak yang paling rentan terdampak — masyarakat pemilik data — kerap menjadi korban tanpa mekanisme pemulihan yang jelas, sementara sanksi yang dijatuhkan sering kali hanya menyentuh staf di level operasional.

Data dari BSSN pada 2024 mencatat sektor pemerintah dan perbankan menjadi sasaran utama serangan siber, dengan sekitar 63% kasus kebocoran data berasal dari kedua sektor tersebut. Angka ini penting karena kedua sektor itulah yang paling banyak menghimpun data sensitif warga secara wajib — data kependudukan, data kesehatan, data keuangan — sehingga ketika terjadi kebocoran, dampaknya menyentuh hampir seluruh lapisan masyarakat yang bergantung pada layanan tersebut, bukan sekelompok pengguna platform tertentu yang bisa memilih untuk berhenti menggunakan layanan.

Dari Kegagalan Teknis Menuju Krisis Kepercayaan

Kajian akademik terbaru menyimpulkan bahwa kebocoran data di Indonesia telah berkembang melampaui sekadar kegagalan teknis dan menjelma menjadi krisis kepercayaan publik terhadap pemerintah. Insiden-insiden seperti kebocoran yang dikaitkan dengan Bjorka, serangan ransomware pada PDNS, dan kebocoran data BPJS secara kumulatif membuktikan bahwa keamanan sistem digital pemerintah masih jauh dari memadai. Krisis kepercayaan ini bukan sekadar persoalan citra, melainkan memiliki konsekuensi struktural pada beberapa lapisan:

Dampak ekonomi. Menurunnya kepercayaan publik dapat menghambat adopsi teknologi e-government dan ekosistem ekonomi digital secara lebih luas — masyarakat menjadi enggan menyerahkan data pribadi ke platform atau layanan digital baru, meski layanan tersebut sebenarnya bermanfaat.
Dampak politik. Krisis kepercayaan berpotensi menurunkan legitimasi institusi dan partisipasi warga dalam proses kebijakan publik. Dalam konteks pemilu misalnya, ketidaksesuaian atau kebocoran data pemilih dapat menurunkan legitimasi hasil pemilihan dan mencederai integritas proses demokrasi, karena validitas Daftar Pemilih Tetap (DPT) sangat bergantung pada akurasi dan keamanan data kependudukan.
Dampak sosial-individual. Data yang bocor — terutama NIK dan data kesehatan — kerap dimanfaatkan untuk berbagai tindak penipuan lanjutan, sehingga korban tidak hanya kehilangan privasi tetapi juga menghadapi risiko kerugian materiil dan psikologis yang berkelanjutan.

Fenomena hilangnya kepercayaan ini bukan sekadar persepsi tanpa dasar. Sebuah survei Katadata pada 2024 menemukan bahwa 71% nasabah menyatakan akan menarik dana mereka apabila bank tempat mereka menyimpan uang mengalami kebocoran data — angka yang menegaskan bahwa kepercayaan terhadap institusi pengelola data kini menjadi faktor yang secara langsung memengaruhi perilaku ekonomi nyata masyarakat, bukan sekadar sikap abstrak.

Akar Masalah: Lemahnya Tata Kelola, Bukan Sekadar Serangan Siber

Investigasi terhadap kasus kebocoran data BPJS Kesehatan 2021 mengungkap bahwa server yang menyimpan data peserta tidak menggunakan enkripsi end-to-end, sementara sistem autentikasi hanya mengandalkan kata sandi statis tanpa autentikasi multi-faktor. Studi akademik lain terhadap kasus yang sama menyimpulkan bahwa penyebab utamanya adalah kesenjangan dalam kerangka keamanan siber dan tata kelola etika di sektor publik, ditandai kurangnya pemantauan keamanan berkelanjutan, perlindungan teknis yang memadai, dan akuntabilitas institusional yang jelas ketika insiden terjadi.

Pola serupa ditemukan pada kajian mengenai kerentanan data e-KTP: lemahnya kontrol akses, minimnya edukasi keamanan siber di kalangan pengelola data, serta belum optimalnya penerapan standar keamanan informasi seperti ISO 27001 menjadi faktor-faktor berulang yang memungkinkan insiden serupa terus terjadi dari satu instansi ke instansi lain. Dengan kata lain, akar masalahnya bukan semata kecanggihan serangan pelaku kejahatan siber, melainkan fondasi tata kelola data yang rapuh di sisi pengelola — baik lembaga pemerintah maupun institusi penyedia layanan publik lainnya.

Kerangka Hukum: Ada, Namun Penegakannya Menentukan

Kehadiran Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi respons legislatif penting terhadap rentetan insiden ini. Undang-undang tersebut mewajibkan pengendali data untuk melakukan penilaian dampak privasi, melaporkan insiden kebocoran dalam waktu 72 jam sejak diketahui, serta memberikan hak akses dan penghapusan data kepada pemilik data. Ketentuan ini secara konseptual sejalan dengan praktik terbaik internasional dalam perlindungan data.

Namun demikian, keberadaan regulasi di atas kertas tidak otomatis menghentikan siklus kebocoran-klarifikasi-lupa yang telah disinggung sebelumnya. Sejumlah pengamat mendesak agar instansi terkait — termasuk Kementerian Komunikasi dan Digital — menjalani audit independen oleh BSSN maupun lembaga eksternal lainnya, menerapkan enkripsi end-to-end dan autentikasi multi-faktor secara konsisten, serta membuka log akses secara transparan agar publik dapat menilai sendiri sejauh mana data mereka benar-benar terlindungi. Tuntutan akan sanksi yang lebih tegas — termasuk pemecatan dan proses pidana bagi pihak yang lalai, bukan hanya staf di level bawah — juga mengemuka sebagai syarat agar UU PDP tidak sekadar menjadi macan kertas.

Memulihkan Kepercayaan: Sebuah Proses Kolaboratif

Kajian mengenai krisis kepercayaan akibat kebocoran data menyimpulkan bahwa pemulihannya mensyaratkan pendekatan kolaboratif antara pemerintah sebagai pengelola data dan masyarakat sebagai pemilik data — bukan proses satu arah di mana pemerintah sekadar meminta masyarakat untuk kembali percaya tanpa perubahan nyata pada sisi tata kelola. Beberapa langkah yang relevan ditempuh meliputi:

Transparansi pascainsiden yang konsisten, termasuk pengungkapan penyebab teknis kebocoran, cakupan data yang terdampak, dan langkah konkret perbaikan — bukan sekadar pernyataan normatif “kami bertanggung jawab” tanpa tindak lanjut yang dapat diverifikasi publik.
Investasi berkelanjutan pada infrastruktur keamanan, mencakup enkripsi data, pemantauan berkelanjutan terhadap potensi anomali akses, serta pelatihan rutin bagi staf pengelola sistem mengenai ancaman siber terkini.
Penegakan sanksi yang proporsional dan menjangkau pengambil keputusan, bukan hanya staf teknis di level operasional, agar insentif untuk memperbaiki tata kelola benar-benar dirasakan di level kebijakan institusi.
Audit independen secara berkala, baik oleh BSSN maupun lembaga eksternal lain, untuk memastikan klaim keamanan institusi dapat diverifikasi, bukan sekadar jaminan sepihak.
Peningkatan literasi digital masyarakat, agar publik memahami hak-haknya atas data pribadi berdasarkan UU PDP dan dapat mengambil langkah mitigasi mandiri — seperti memantau aktivitas mencurigakan pada dokumen dan akun terkait NIK — begitu indikasi kebocoran muncul.

Kebocoran data publik pada akhirnya bukan sekadar insiden teknis yang selesai begitu sistem kembali pulih. Setiap kali data warga bocor tanpa konsekuensi yang setimpal, fondasi kepercayaan antara negara dan warganya — juga antara warga dan institusi penyedia layanan publik lainnya — ikut tergerus sedikit demi sedikit. Ketika kepercayaan itu habis, biaya yang harus ditanggung jauh lebih besar daripada biaya perbaikan sistem keamanan itu sendiri: masyarakat menarik diri dari layanan digital yang sebenarnya bermanfaat, partisipasi warga dalam proses demokrasi ikut tergerus, dan pemerintah kehilangan legitimasi untuk meminta warganya mempercayakan data mereka di masa depan. Memutus siklus ini menuntut lebih dari sekadar regulasi di atas kertas — ia menuntut kesungguhan institusional yang dapat dibuktikan secara berulang, bukan sekali dua kali, hingga kepercayaan itu benar-benar pulih.