Alleged Personal Data Breach Following the Ransomware Attack on PT Bank Syariah Indonesia Tbk

Legal Issues

1. Bagaimana posisi hukum PT Bank Syariah Indonesia Tbk terhadap gugatan yang diajukan oleh Nasabah atas dugaan kelalaian dalam melindungi data pribadi dan menjaga keberlangsungan layanan perbankan digital? 

2. Argumentasi hukum apa yang dapat digunakan oleh PT Bank Syariah Indonesia Tbk untuk menolak atau membatasi tuntutan ganti rugi yang diajukan oleh Nasabah berdasarkan ketentuan hukum perbankan, perlindungan data pribadi, dan peraturan perundang-undangan di Indonesia?

   
   

   ⁠⁠Legal Analysis

   Posisi hukum PT Bank Syariah Indonesia Tbk terhadap gugatan yang diajukan oleh Nasabah atas dugaan kelalaian dalam melindungi data pribadi dan menjaga keberlangsungan layanan perbankan digital

   
   

   1. Posisi hukum PT Bank Syariah Indonesia Tbk sebagai pengendali data Pribadi

Gugatan Nasabah yang mendalilkan BSI telah gagal dalam memenuhi kewajibannya sebagai pengendali data pribadi adalah salah. Pada hakikatnya data pribadi sudah dikonsolidasikan sebagai sebuah aset yang berharga yang memiliki perlindungan khusus terutama ketika di dalam kontrol pengendali data pribadi. Pasal 1 angka 4 UU PDP mengatur bahwa terdapat tiga pihak yang dapat menjadi pengendali data pribadi, yakni setiap orang, badan publik, dan organisasi internasional. 

“Pengendali Data Pribadi adalah setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.”

UU PDP mendefinisikan setiap orang sebagai orang perseorangan atau korporasi. Pengertian korporasi dalam undang-undang ini sama seperti yang dikemukakan oleh Subekti bahwa subjek hukum adalah orang perseorangan atau badan hukum. Hal ini mengatur bahwa BSI sebagai korporasi menjadi salah satu pengendali data pribadi yang dapat bertindak secara sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.

Namun, Pasal 20 UU PDP mengatur bahwa kewajiban-kewajiban yang melekat pada pengendali data pribadi hanya terhadap data pribadi milik subjek data pribadi. Pasal 1 Angka 6 UU PDP mengatur bahwa:

“Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi.”

Subjek Data Pribadi adalah orang perseorangan yang pada dirinya melekat Data Pribadi. Dalam kasus ini Nasabah adalah sebuah badan hukum (rechtspersoon), bukan orang perseorangan (natuurlijke persoon). Oleh karena itu, data korporasi, data transaksi bisnis, maupun kredensial perusahaan yang dikelola di dalam sistem BSI tidak diklasifikasikan sebagai "data pribadi" sebagaimana diatur UU PDP, melainkan tunduk pada pengaturan rahasia bank atau rahasia dagang perusahaan. Dengan demikian, Nasabah dalam kapasitasnya sebagai badan hukum tidak memiliki legal standing untuk menggugat berdasarkan dalil pelanggaran BSI dalam kapasitasnya sebagai pengendali data pribadi.

Posisi BSI dalam Penyelenggaraan Layanan dan Penanganan Insiden Siber

Pada era perkembangan ekonomi digital sekarang, seringkali bank menyediakan pelayanan digital yang bernama e-banking. Apabila sebuah bank memiliki pelayanan digital, berdasarkan Undang-undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana diubah dengan Undang-undang No. 19 Tahun 2016 Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 dan Undang-undang Nomor 19 Tahun 2016 (UU ITE) , bank tersebut dapat dikategorisasikan sebagai penyelenggara sistem elektronik. Pasal 6a UU ITE mengatur bahwa Penyelenggara Sistem Elektronik adalah setiap orang, penyelenggara negara, badan usaha, dan masyarakat yang menyediakan, mengelola, dan/atau mengoperasikan sistem elektronik, baik secara sendiri-sendiri maupun bersama-sama kepada pengguna sistem elektronik untuk keperluan dirinya dan/atau keperluan pihak lain.  Dalam kasus ini BSI dikategorisasikan sebagai salah satu penyelenggara sistem elektronik karena sistem e-banking yang dimiliki oleh BSI merupakan sebuah sistem elektronik berdasarkan UU ITE. Oleh karena itu, BSI terikat oleh kewajiban-kewajiban yang dimiliki oleh penyelenggara sistem elektronik sebagaimana diatur dalam UU ITE.

2. Argumentasi hukum apa yang dapat digunakan oleh PT Bank Syariah Indonesia Tbk untuk menolak atau membatasi tuntutan ganti rugi yang diajukan oleh Nasabah berdasarkan ketentuan hukum perbankan, perlindungan data pribadi, dan peraturan perundang-undangan di Indonesia?

Tuntutan wanprestasi ataupun perbuatan melawan hukum (PMH) yang menuntut ganti rugi dapat ditangkis oleh BSI dengan menegaskan bahwa mereka telah melakukan appropriate measures berdasarkan kewajibannya sebagai Pengendali Data Pribadi. Kewajiban Pengendali untuk melindungi dan memastikan keamanan data pribadi yang diprosesnya diatur dalam Pasal 35 UU PDP, yang memiliki bunyi:

“Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya, dengan Melakukan:

1. penyusunan dan penerapan langkah teknis operasional untuk melindungi Data Pribadi dari gangguan pemrosesan Data Pribadi yang bertentangan dengan ketentuan peraturan perundang-undangan; dan

2. penentuan tingkat keamanan Data Pribadi dengan memperhatikan sifat dan risiko dari Data Pribadi yang harus dilindungi dalam pemrosesan Data Pribadi.”

Pada Hakekatnya Serangan ransomware LockBit 3.0 adalah bentuk kejahatan terorganisir berskala global yang dilakukan oleh pihak ketiga di luar kendali BSI. Sepanjang BSI dapat membuktikan bahwa sistem keamanan siber dan perlindungan data yang diterapkan pada saat serangan telah memenuhi standar industri yang wajar dan sesuai dengan kewajiban-kewajiban yang diatur dalam Pasal 35 UU PDP, maka serangan peretas tersebut harus dikualifikasikan sebagai peristiwa yang tidak dapat dihindari (unforeseeable event). Oleh karena itu, beban tanggung jawab ganti rugi dapat dilepaskan dari BSI karena BSI telah melakukan kewajiban-kewajibannya dalam Pasal 35 UU PDP.

Conclusion

Berdasarkan analisis hukum yang telah diuraikan, dapat disimpulkan bahwa PT Bank Syariah Indonesia Tbk (BSI) memiliki posisi hukum yang kuat untuk menolak gugatan maupun tuntutan ganti rugi yang diajukan oleh PT Nusantara Food Indonesia selaku Nasabah korporasi. Pertama, tuntutan yang didasarkan pada dalil pelanggaran kewajiban BSI sebagai pengendali data pribadi adalah tidak berdasar hukum karena berdasarkan Pasal 1 angka 6 jo. Pasal 20 UU PDP, subjek data pribadi secara hukum hanya terbatas pada orang perseorangan (natuurlijke persoon).

Oleh karena Nasabah merupakan badan hukum berbentuk Perseroan Terbatas (rechtspersoon), data perusahaan yang dikelola tidak termasuk dalam objek UU PDP sehingga Nasabah tidak memiliki kedudukan hukum untuk mengajukan gugatan dengan instrumen hukum tersebut. Kedua, dalam posisinya sebagai Penyelenggara Sistem Elektronik (PSE) berdasarkan UU ITE, BSI dapat menangkis tuntutan wanprestasi atau Perbuatan Melawan Hukum (PMH) dengan membuktikan bahwa gangguan layanan murni disebabkan oleh serangan siber eksternal berupa ransomware LockBit 3.0 yang merupakan kejadian di luar kendali wajar. Terakhir, dengan telah dilakukannya langkah-langkah pemulihan cepat berkoordinasi dengan otoritas berwenang (OJK, Bank Indonesia, dan BSSN) serta penerapan standar pengamanan sesuai Pasal 35 UU PDP, BSI telah memenuhi kewajiban hukumnya sehingga tuntutan ganti rugi operasional yang diajukan oleh Nasabah secara hukum dapat ditolak atau dibatasi.

References

Journal and Books

1. Alfitri, Nur Alfiana, Rahmawati Rahmawati, and Firmansyah Firmansyah. ‘Perlindungan Terhadap Data Pribadi Di Era Digital Berdasarkan Undang-Undang Nomor 27 Tahun 2022’. Journal Social Society 4, no. 2 (2024): 92–111. https://doi.org/10.54065/jss.4.2.2024.511.

2. Salim, Fikri Mursyid. ‘Tanggung Jawab Bank Jika Terkena Serangan Siber’. In Www.Hukumonline.Com. 2023. https://www.hukumonline.com/klinik/a/tanggung-jawab-bank-jika-terkena-serangan-siber-lt64c399574869f/.

3. Sinta Dewi Rosadi. Pembahasan UU Pelindungan Data Pribadi (UU RI No. 27 Tahun 2022). Sinar Grafika, 2023.

Legal Instruments

1. Kitab Undang-Undang Hukum Perdata [Burgerlijk Wetboek]. diterjemahkan oleh R. Subekti dan R. Tjitrosudibio.

2. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 4843).

3. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196, Tambahan Lembaran Negara Republik Indonesia Nomor 6820).

4. Undang-Undang Nomor 1 Tahun 2024 tentang Perubahan Kedua atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2024 Nomor 1, Tambahan Lembaran Negara Republik Indonesia Nomor 6905).