[Kontribusi] Sertifikasi negara yang menjadi pengampunan bagi perusahaan — diperlukan undang-undang untuk 'tanggung jawab nyata'

Menyusul SK Telecom, dugaan kebocoran data pribadi juga muncul di YES24. YES24 pada tanggal 9 lalu, tepat setelah menyadari serangan ransomware, menyatakan sikap “tidak ada kebocoran data pribadi”, tetapi setelah Komisi Perlindungan Data Pribadi menangkap indikasi penelusuran informasi anggota yang tidak normal dan memulai penyelidikan, tingkat keseriusan persoalan ini terungkap.

Peristiwa ini tidak berhenti pada sekadar insiden peretasan. Kebocoran data pribadi yang berulang menimbulkan pertanyaan mendasar tentang apakah tanggung jawab nyata perusahaan-perusahaan besar dalam negeri atas perlindungan data pribadi dan sistem tanggapan kelembagaannya benar-benar berfungsi. Khususnya, baik SK Telecom maupun YES24 sama-sama telah memperoleh sertifikasi ISMS (Sistem Manajemen Keamanan Informasi) atau ISMS-P (Sertifikasi Terpadu Perlindungan Data Pribadi) yang dijalankan pemerintah.

ISMS-P adalah sistem yang menilai dan mensertifikasi bahwa perusahaan memiliki tindakan perlindungan manajerial dan teknis tertentu. Namun, sistem ini tidak menilai ada-tidaknya insiden peretasan maupun apakah perusahaan menjalankan tanggung jawab nyatanya setelah insiden. Keabsahan sertifikasi tidak berkaitan dengan sistem pemulihan kerugian dan tindakan nyata untuk mencegah keberulangan. Akibatnya, selama syaratnya terpenuhi, sertifikasi tetap dipertahankan.

Masalahnya, sertifikasi ini mudah disalahgunakan sebagai logika pembebasan tanggung jawab pihak perusahaan setelah insiden, yaitu “kami menjalankan sistem yang telah bersertifikasi pemerintah”. Sertifikasi yang dimaksudkan untuk pencegahan dan penguatan tanggung jawab justru dimanfaatkan sebagai alat ‘pemenuhan tanggung jawab formalitas’ saat terjadi insiden. Sistem sertifikasi berfungsi berbeda dari maksud aslinya.

Jika kita bergantung pada sistem yang tidak menjamin pencegahan insiden maupun penguatan tanggung jawab seperti ini, dari sudut pandang rakyat mau tidak mau muncul pemikiran “sertifikasi negara tidak melindungi saya”. Masalahnya semakin serius karena sistem itu ada tetapi efektivitasnya lemah, dan strukturnya memungkinkan perusahaan menghindar dari tanggung jawab bahkan setelah insiden terjadi.

Di luar negeri berbeda. Pengadilan Federal Amerika Serikat memerintahkan ganti rugi punitif sekitar 167 juta dolar dalam perkara Grup NSO Israel yang tanpa izin membobol perangkat pengguna WhatsApp. Operator telekomunikasi Amerika T-Mobile pun membayar dana penyelesaian gugatan kelompok senilai jutaan dolar setelah insiden kebocoran data pribadi berskala besar. Hukum dan sistem di sana berstruktur menuntut tanggung jawab perusahaan secara nyata.

Sebaliknya, Korea masih berhenti pada penghukuman yang lunak. Sebab, yang ada hanya denda administratif, perintah perbaikan, dan pengawasan formalitas. Dalam gugatan perdata, beban pembuktian terlalu berat menumpuk pada korban, dan tingkat ganti ruginya pun jauh dari kenyataan. Masalah yang lebih serius adalah sebagian media dan firma hukum besar menyebarkan logika semacam “gugatan ganti rugi atas kebocoran data pribadi tidak ada manfaat nyatanya”, sehingga bahkan terbentuk suasana yang membuat rakyat sendiri menyerah menggunakan haknya.

Untuk meretakkan struktur seperti ini, Firma Hukum Daeryun tengah menjalankan gugatan kelompok kebocoran data pribadi terhadap perusahaan besar. Keputusan seperti ini, jika dilihat hanya dari logika keuntungan pasar hukum, sama sekali bukan pilihan yang menguntungkan. Namun, sejak berdiri, Daeryun meletakkan alasan keberadaan layanan hukum bukan pada ‘laba’ melainkan pada ‘perwujudan nyata hak rakyat’. Gugatan kelompok kali ini pun berada pada garis lanjutan itu.

Daeryun menyebarkan pasar hukum yang berpusat di wilayah ibu kota menjadi berbasis daerah, dan mendirikan kantor cabang berskala nasional agar seluruh rakyat dapat menerima layanan hukum bermutu. Daeryun menjalin aliansi dengan firma-firma hukum besar Amerika·Jepang dan menyematkan sistem hukum maju ke dalam negeri, serta memperkenalkan sistem layanan pelanggan (sistem AS) yang memungkinkan survei kepuasan pelanggan hingga penggantian pengacara dan pengembalian dana. Gugatan kelompok SK Telecom kali ini pun merupakan praktik untuk membuktikan bahwa eksperimen struktural semacam itu dapat diwujudkan dalam kenyataan.

Tidak ada alasan sama sekali bahwa data pribadi rakyat Republik Korea kurang penting dibandingkan rakyat Amerika atau Eropa. Yang diperlukan saat ini adalah pengenalan sistem ganti rugi punitif, penguatan efektivitas sistem gugatan kelompok, dan penyiapan landasan hukum yang mampu menuntut tanggung jawab nyata perusahaan. Pengadilan pun kini harus menyodorkan standar yang jelas dan pesan yang kuat agar perusahaan menerima perlindungan data pribadi bukan sebagai ‘pilihan’ melainkan sebagai ‘hakikat manajemen’.

Gugatan kali ini bukan sekadar perkara yang menuntut tanggung jawab hukum satu perusahaan. Ia harus menjadi titik tolak ketika hukum dan sistem secara resmi menyatakan bahwa data pribadi bukanlah objek pengelolaan teknis, melainkan hak asasi menurut konstitusi. Data pribadi adalah aset berharga. Hak rakyat sama sekali tidak boleh diserahkan dengan harga murah.

[Baca artikel selengkapnya]
로리더 - [Opini] Sertifikasi negara yang menjadi surat pengampunan bagi perusahaan, dibutuhkan hukum untuk 'tanggung jawab sejati' (kunjungi)
한국법률일보 - [Opini] Sertifikasi negara yang menjadi surat pengampunan bagi perusahaan, dibutuhkan hukum untuk 'tanggung jawab sejati' (kunjungi)