PERLINDUNGAN DATA PRIBADI DI INDONESIA: PROBLEM DAN USULAN SSO (SINGLE SIGN ON)

Hampir semua slide presentasi saya berakhir di Slideshare, biar bisa dibaca dan dikritisi siapapun yang mau.   Ini slide diskusi dg Direktorat Kependudukan dan JamSos Bappenas tadi pagi. Saya usulkan solusi pengganti fotokopi KTP buat verifikasi nasional.
https://slideshare.net/IsmailFahmi3/perlindungan-data-pribadi-di-indonesia-249988422

Definisi  Untuk istilah "data pribadi" saya merujuk Pasal 3 RUU PDP.  Data Pribadi terdiri atas: a. Data Pribadi yang bersifat umum; dan b. Data Pribadi yang bersifat spesifik.  Detail datanya seperti ini.

Para Pihak  Setidaknya ada 3 pihak yang terlibat dan menjadi bagian penting dalam pengaturan dalam RUU PDP: - Pengendali (biasanya pemerintah) - Prosesor (institusi yg mengumpulkan, mengelola data pribadi) - Pemilik (you, sampeyan, anda, kita semua)

Saat ini, dokumen yang berisi data pribadi baik yang sifatnya data umum maupun spesifik, dan paling sering diminta oleh berbagai pihak, paling sering tercecer dan bocor adalah:  
- KTP
- Kartu Keluarga

Data untuk Verifikasi  Kebutuhan paling sering muncul terkait data pribadi adalah untuk verifikasi. Misal memastikan (verifikasi) bahwa seseorang itu valid pemilik NIK tertentu.   Prakteknya, misal PL yg dibuat Kominfo, Kemkes, Telkom, minta foto selfie KTP untuk verifikasi.

Praktek pengumpulan fotokopi KTP dan kadang KK juga sering dilakukan di instansi pemerintah maupun bumn. Misal PLN untuk upgrade akun, semua urusan BPJS, vaksinasi, daftar CPNS, dll.

Namun ada juga yang tidak meminta fotokopi KTP untuk verifikasi. Cukup membawa KTP asli buat didata dan dicocokkan.

Praktek oleh Swasta   Bukan hanya pemerintah yang menerapkan praktek pengumpulan foto KTP dan selfie dengan KTP. Institusi swasta pun banyak sekali.   Saya ndak tahu sejak kapan dan kenapa praktek ini jadi standard verifikasi mereka. Prinsip "Know you customer"?

Jual Beli Foto KTP dan Selfie KTP  Apakah dokumen2 itu aman? Sama sekali tidak! Ini ada "jutaan stok data bergaransi" yang dijual bebas di medsos. Cari saja di Facebook Group, pasti ada yang menawarkan.  Siapa yang menjamin foto yang dikumpulkan swasta dan pemerintah itu aman?

Tidak Mudah Diusut  Sudah sejak Juni lalu kasus jual beli foto selfie dengan KTP ini ramai dilaporkan. Bulan Juli belum ditemukan. Apakah sudah ada kabarnya penjual ditangkap hari ini?  Tak mudah menangkap penjual data partikelir ini. Dan praktek pengumpulan selfie jalan terus.

Kebocoran Data Pribadi  Selain data foto KTP yang bocor di atas, yang lebih parah adalah kebocoran database hingga puluhan dan ratusan juta record. Terjadi di swasta maupun pemerintah: BL, Tokped, BPJS, dll.  Seperti mengikuti Murphy's Law.

Perlindungan atas Data Bocor  Kalau di GDPR (General Data Protection Regulation), institusi yang kebocoran wajib memberitahu pengguna maks 72 jam setelah tahu bocor. Kalau tidak, akan didenda.   Di +62 belum ada aturan itu. Akibatnya setelah lama baru diberitahu kl password aman.

Password Memang Aman, Tapi Data Lainnya Tidak  Yang diincar oleh pengumpul data2 yang bocor ini bukan password. Tapi data pribadi yang sangat kaya, bisa digunakan untuk banyak hal:  
• Seller fiktif
• Phishing dan scamming  
• Penipuan via telephone
• Telemarketing
• Pinjol

KESIMPULAN KEADAAN PDP DI INDONESIA  
Bisa dikatakan di Indonesia “hampir belum ada perlindungan data pribadi” bagi warganya:  
1. Pengumpulan fotokopi KTP, dan sekarang selfie dengan KTP, sepertinya sudah menjadi budaya, diterima oleh masyarakat, dan mayoritas tidak keberatan.

2. Praktek ini sangat berbahaya bagi perlindungan data pribadi, karena:  
• dokumen pribadi tercecer dimana-mana,
• tidak jelas siapa yang tanggung jawab,
• jika server dihack, semua dokumen pribadi bisa dicopy,
• dan kebocoran sudah terjadi, data dijual di media sosial.

Negara belum terasa kehadirannya dalam melindungi data pribadi warga.

PDP DI BERBAGAI NEGARA  
Sudah banyak negara yang memiliki UU PDP dengan namanya masing-masing. Misal di Singapore ada PDPA 2012, Kenya Data Protection Bill, dll.

Personal Data dalam GDPR  Khusus untuk GDPR yang banyak diadopsi prinsipnya di negara2 Eropa, dan negara lain pun wajib mengadopsi kalau memberi service kepada warga Eropa, definsi data pribadi mirip dg di RUU PDP. Karena kita menjadikan GDPR sebagai salah satu referensi juga.

7 Prinsip GDPR  
• Transparan dengan data,
• Terbatas pada data yang dibutuhkan,
• Hapus data yang tidak perlu,
• Data harus akurat,
• Membatasi penyimpanan data pribadi,  
• Integritas dan kerahasiaan,  
• Akuntabel.

Aturan Dijalankan Dengan Tegas  Ada aturan kalau tidak diterapkan yang percuma. GDPR tidak begitu. Banyak perusahaan yang sudah didenda karena melanggar GDPR.   Terbaru yang terbesar adalah Amazon (746 juta EUR, Jul 2021), Google (50 juta EUR, jan 2019), H&M (35 juta EUR) dll.

DigiD: Cara Belanda Menghindari Fotokopi KTP  Saya 10 tahun di Belanda (2004-2014), jadi cerita soal ini dulu. Untuk keperluan verifikasi data kependudukan, biasanya di institusi pemerintah, pendidikan, kesehatan, pensiun, dan swasta, dibuat Single Sign On, DigiD.

Proyek Kemendagri  DigiD ini dikerjakan melalui tender yang dimenangkan oleh Siemens yg membentuk konsorsium dg Digidentity. Proyek multi year ini dibawah Kementerian Dalam Negeri.  Setelah jadi, DigiD lalu dioperasikan oleh Logius, layanan egov Belanda.

Cara Kerja SSO DigiD  
- Warga yang sudah punya akun DigiD mengakses layanan institusi A
- Sistem A menghubungi DigiD
- DigiD minta Warga login
- Kalau berhasil DigiD bilang OK ke sistem A
- Warga lanjut akses layanan institusi A

Konsep DigiD  Prinsipnya, dengan DigiD, segala urusan verifikasi kependudukan dilakukan terpusat, tidak tercecer di berbagai institusi A,B,C,dll.   DigiD adalah tempat verifikasi ini, yang terhubung ke database Dukcapil (BRP Belanda). Sehingga layanan ini harus di bawah Kemdagri.

Call Center  Bagaimana kalau ada masalah, warga perlu bantuan dengan akunnya? Bantuan dan verifikasi kalau ada masalah dilakukan melalui Call Center yang disediakan DigiD.   Bukan dengan kirim foto/selfie KTP melalui WA/Email yang tidak aman.

Tidak ada Upload Foto KTP  Saat registrasi pun, tidak ada form yang meminta upload foto KTP atau selfie dengan KTP. Mekanisme dibuat sedemikian rupa sehingga sangat minim data yang dikirim, tetapi prinsip validitas data tetap terjaga.  Tuh kan bisa.

Protokol SSO DigiD  Ada beberapa protokol untuk Single Sign On. Dari tipe-tipe SSO di bawah ini, DigiD menggunakan SAML (Security Access Markup Language).

Sistem SSO Di Berbagai Negara  Bagaimana dengan negara-negara lain di Eropa? Ini ada tabel perbandingan yang saya rangkum dari tesis master mahasiswa Radboud University. Dia bandingkan SSO di Belgia, Jerman, Luxembourg, Estonia, Spanyol, Italia, dan NL.

Dari implementasi SSO di masing2 negara di atas, sebagian besar membuka layanan SSO ini untuk swasta (private) juga, selain tentunya keperluan pemerintahan.   Juga apakah layanannya bisa dipake oleh cardreader, HP, SMS, OTP device, dan komputer.

Berikut ini contoh situs SSO untuk Estonia (Mobile-ID), Jerman (eID), dan Belgia (itsme).

SSO di Indonesia  Sebenarnya inisiatif SSO ini sudah pernah dibuat oleh lembaga Pandi sejak 2018. Namanya http://U.ID. Basisnya adalah NIK dari KTP. Pakai protokol OAuth.  Untuk jadi solusi nasional, tidak bisa di bawah Pandi. Secara teknologi bisa, tp proses tidak.

USULAN  
Terakhir usulan saya berdasarkan paparan di atas.   Pertama, segera sempurnakan RUU PDP karena masih ada permasalahan di dalamnya. Kemudian segera disahkan kalau sudah OK. Indonesia sudah sangat butuh RUU PDP ini. Tapi yang bener isinya.

JANGKA PENDEK  
Sambil jalan, mulai lindungi data pribadi warga.  
Untuk jangka pendek:  

1. Perkuat kapasitas, kemampuan, keamanan, dan kecepatan sistem Dukcapil sehingga mampu melayani verifikasi data dari semakin banyak mitra (K/L, institusi bisnis, dll).

2. Dorong penggunaan API Dukcapil untuk aplikasi di pemerintah, instansi, dan perusahaan baik di pusat maupun daerah yang membutuhkan verifikasi data kependudukan.

3. Sosialisasikan pentingnya perlindungan data pribadi, bahaya kebocoran data, dan stop penggunaan fotokopi KTP dan KK sebagai syarat berbagai keperluan warga (vaksinasi, mengurus BPJS di rumah sakit, dll).

4. Wajibkan penyediaan Call Center (seperti sudah dilakukan oleh penyedia Credit Card) untuk layanan pelanggan, bukan melalui halaman upload/email/WA yang mewajibkan warga mengirim foto/selfie KTP.

JANGKA PANJANG  
1. Bangun sistem SSO (single sign on) yang berbasis data Dukcapil, untuk keperluan verifikasi warga dalam berbagai aplikasi pemerintah, instansi, dan perusahaan baik di pusat maupun daerah yang diakses melalui internet.

2. Institusi yang paling tepat membuat layanan SSO ini adalah Kementerian Dalam Negeri yang mengelola database Dukcapil.

3. Untuk warga yang tidak bisa akses internet, mereka bisa verifikasi melalui call center, atau dengan langsung dengan datang ke petugas layanan (misal kelurahan, bank, dll) tanpa perlu membawa fotokopi dokumen identitas, karena sistem sudah terintegrasi dengan sistem Dukcapil.

Terimakasih  Akhirnya saya ucapkan terimakasih kepada Direktorat Kependudukan dan Jaminan Sosial @BappenasRI yang telah memberi kesempatan saya untuk "curhat".   Ocehan saya yang tak terstruktur di Twitter selama ini akhirnya bisa saya rumuskan di atas. Semoga bermanfaat.

Link: https://twitter.com/ismailfahmi/status/1427274822568931333