Oleh: Refiana Devia Anggraini. Mahasiswa Program Studi Ilmu Hukum S1 Universitas Pamulang
Perkembangan teknologi informasi dan komunikasi membawa konsekuensi ganda: di satu sisi mempermudah arus informasi, di sisi lain membuka celah kejahatan siber yang semakin canggih, termasuk peretasan (hacking) akun komunikasi pribadi. Kerentanan ini semakin nyata ketika sasarannya adalah jurnalis, sebab pekerjaan mereka erat kaitannya dengan kepentingan publik dan kerap berhadapan dengan pihak-pihak yang merasa dirugikan oleh pemberitaan.
Kasus yang menimpa M. Akbar Wijaya (Jay Akbar), jurnalis Narasi, menjadi contoh nyata dari kerentanan tersebut. Pada 24 September 2022, akun WhatsApp Akbar tiba-tiba tidak dapat diakses tanpa sepengetahuannya, diduga melalui teknik pengambilalihan kode OTP (one time password) yang seharusnya hanya dapat diperoleh dengan penguasaan atas nomor seluler yang bersangkutan. Peristiwa ini bukan kasus tunggal, sebab tercatat lebih dari 37 awak redaksi dan mantan redaksi Narasi mengalami peretasan aset digital dalam kurun waktu yang berdekatan, yang bahkan disertai serangan distributed denial-of-service (DDoS) terhadap situs web Narasi dengan sisipan ancaman bernada intimidatif (Visual Interaktif Kompas, 2022).
Atas dasar itu, Akbar mengajukan gugatan perbuatan melawan hukum (PMH) ke Pengadilan Negeri Jakarta Selatan terhadap PT Telekomunikasi Selular (Telkomsel), Telegram, dan WhatsApp, dengan tujuan memperoleh kejelasan mengenai bagaimana pihak lain dapat menguasai nomor dan akunnya tanpa izin, sekaligus menuntut pertanggungjawaban hukum atas kelalaian yang diduga terjadi dalam sistem pengamanan data para tergugat (KompasTV, 2023).
Peristiwa yang dialami Akbar bukan fenomena berdiri sendiri, melainkan bagian dari persoalan struktural keamanan data yang lebih luas. Kasus kebocoran data kartu SIM oleh peretas bernama Bjorka pada Agustus 2022, yang mengekspos lebih dari satu miliar data registrasi pengguna telekomunikasi di Indonesia, memperlihatkan bahwa infrastruktur keamanan siber nasional masih rapuh dan implementasi regulasi perlindungan data belum berjalan optimal (Sabila & Atman, 2025). Dengan latar belakang tersebut, kasus Akbar dapat dibaca sebagai potret kecil dari persoalan besar: sejauh mana negara, melalui perangkat hukumnya, mampu melindungi hak privasi dan keamanan data warga negara di tengah ketergantungan mutlak terhadap penyedia jasa telekomunikasi dan platform digital lintas yurisdiksi.
Kajian ini menjadi semakin penting karena korban dalam kasus ini adalah seorang jurnalis. Serangan digital yang menyasar jurnalis berpotensi memiliki dimensi ganda: pelanggaran privasi sekaligus ancaman terhadap kebebasan pers, sehingga penyelesaiannya tidak dapat hanya dilihat dari kacamata hukum perdata semata, tetapi juga dari perspektif hak konstitusional atas informasi dan kemerdekaan pers.
Sebagai penyedia layanan yang menerbitkan kartu SIM dan mengelola sistem autentikasi, Telkomsel memiliki kendali teknis atas proses penerbitan OTP. Ketika terjadi pengalihan nomor atau kebocoran OTP tanpa persetujuan pelanggan, muncul pertanyaan apakah hal tersebut merupakan kelalaian sistem, kegagalan menjaga standar keamanan data pelanggan, ataukah murni tindakan pihak ketiga yang berada di luar kendali operator. Hubungan hukum antara pelanggan dan operator seluler pada dasarnya lahir dari klausul privacy policy yang berkedudukan sebagai kontrak baku (standard contract) yang mengikat kedua belah pihak, sehingga pelanggaran atasnya semestinya dapat menimbulkan tanggung jawab perdata bagi operator (Nurhana & Indawati, 2023).
WhatsApp dan Telegram adalah penyedia layanan berbasis luar negeri yang tunduk pada hukum negara asalnya, sehingga penegakan kewajiban hukum domestik terhadap keduanya menghadapi kendala yurisdiksi, termasuk soal pemanggilan sebagai pihak tergugat dan eksekusi putusan pengadilan Indonesia terhadap entitas yang tidak memiliki kantor perwakilan tetap di dalam negeri. Persoalan ini menjadi krusial karena tanggung jawab hukum penyelenggara sistem elektronik lintas batas pada praktiknya sangat bergantung pada kesediaan negara asal maupun kepatuhan sukarela platform terhadap regulasi Indonesia (Amelia, 2025).
Dalam perkara ini, gugatan Akbar terhadap Telkomsel akhirnya ditolak oleh Pengadilan Negeri Jakarta Selatan pada Januari 2024. Penolakan tersebut mengindikasikan sulitnya korban peretasan membuktikan unsur kesalahan (schuld) dan hubungan kausal antara kelalaian operator dengan kerugian yang dialami, sebagaimana disyaratkan Pasal 1365 Kitab Undang-Undang Hukum Perdata (KUHPerdata) tentang perbuatan melawan hukum. Pola serupa juga ditemukan dalam kasus-kasus peretasan bermodus SIM swap fraud lainnya, di mana kerugian korban kerap tidak dapat dibebankan kepada pihak yang secara teknis menguasai sistem autentikasi karena sulitnya pembuktian kelalaian secara internal (Putera, 2023).
Meski Indonesia telah memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan Undang-Undang Informasi dan Transaksi Elektronik (UU ITE), penerapan sanksi maupun mekanisme ganti rugi terhadap pengendali/prosesor data yang lalai masih minim yurisprudensi. Bahkan, berdasarkan Pasal 74 UU PDP, penerapan sanksi denda administratif terhadap pihak yang lalai baru berlaku efektif dua tahun setelah undang-undang tersebut diundangkan, sehingga pada masa transisi tersebut korban lebih banyak mengandalkan jalur PMH konvensional yang tidak dirancang khusus untuk karakteristik kejahatan siber (Sabila & Atman, 2025).
Karena korban adalah jurnalis yang tengah mengerjakan liputan sensitif, peretasan semacam ini berpotensi menjadi bentuk intimidasi digital terhadap kerja-kerja jurnalistik. Riset menunjukkan bahwa banyak jurnalis dan perusahaan media di Indonesia belum sepenuhnya melek keamanan siber, sementara perusahaan media juga cenderung bersikap reaktif alih-alih preventif dalam menghadapi ancaman digital (Setyowati, Safira, & Pramucitra, 2023). Pola serangan digital serupa juga menimpa media-media lain seperti Tempo, KBR, dan Suara.com, yang oleh Komite Keselamatan Jurnalis dinilai sebagai bentuk pembungkaman terhadap kebebasan pers yang hingga kini belum ditangani secara serius oleh aparat penegak hukum (Amnesty International Indonesia, 2025). Dimensi ini belum sepenuhnya terakomodasi dalam Undang-Undang Nomor 40 Tahun 1999 tentang Pers, yang lebih berfokus pada perlindungan terhadap kekerasan fisik dan intervensi editorial.
Menurut hemat penulis, kegagalan gugatan Akbar di tingkat pertama tidak serta-merta berarti tidak ada dasar hukum untuk meminta pertanggungjawaban Telkomsel. Justru putusan tersebut memperlihatkan kelemahan struktural dalam pendekatan hukum yang digunakan. Dari sisi hukum perlindungan konsumen, hubungan antara Akbar dan Telkomsel adalah hubungan pelaku usaha-konsumen sebagaimana diatur Undang-Undang Nomor 8 Tahun 1999 tentang Perlindungan Konsumen. Pasal 7 huruf b dan d undang-undang tersebut mewajibkan pelaku usaha memberikan informasi yang benar dan menjamin mutu barang/jasa sesuai standar yang berlaku, termasuk standar keamanan sistem autentikasi. Sebagaimana ditegaskan dalam kajian perlindungan hukum atas data pengguna kartu SIM, privacy policy yang mengikat pelanggan pada dasarnya memberikan perlindungan preventif, namun perlindungan represif tetap diperlukan ketika penyelenggara jasa telekomunikasi melakukan kelalaian yang menyebabkan kegagalan perlindungan data, kecuali dapat dibuktikan sebagai force majeure murni (Nurhana & Indawati, 2023). Jika kegagalan sistem OTP terbukti disebabkan oleh kelemahan prosedur internal, misalnya proses verifikasi penggantian kartu SIM (SIM swap) yang longgar, maka unsur kelalaian pelaku usaha semestinya dapat dipertimbangkan, bukan semata dibebankan pada korban untuk membuktikan kesalahan teknis yang berada sepenuhnya dalam kendali dan pengetahuan operator (asimetri informasi).
UU PDP menegaskan kewajiban pengendali data pribadi untuk menerapkan langkah teknis dan organisatoris yang memadai (Pasal 35-39) dan memberikan hak kepada subjek data untuk mengajukan gugatan serta menerima ganti rugi atas pelanggaran pelindungan data pribadi (Pasal 12 dan Pasal 65). Sayangnya, pada saat kasus ini bergulir, UU PDP baru saja diundangkan dan masa transisi penyesuaiannya belum berakhir, sehingga hakim cenderung berpegang pada rezim PMH klasik yang menuntut pembuktian ketat, bukan pada norma perlindungan data yang lebih progresif dan berpihak pada korban (Sabila & Atman, 2025). Kekosongan penegakan ini turut diperparah oleh belum optimalnya kelembagaan pengawas perlindungan data, yang pada gilirannya membuat tanggung jawab hukum penyelenggara sistem elektronik lebih banyak bergantung pada penafsiran hakim dalam perkara perdata biasa (Amelia, 2025).
Terhadap Telegram dan WhatsApp, penulis berpendapat bahwa kesulitan yurisdiksi bukan alasan untuk membebaskan tanggung jawab. UU ITE, khususnya perubahan melalui Undang-Undang Nomor 1 Tahun 2024, beserta Peraturan Menteri Komunikasi dan Informatika tentang Penyelenggara Sistem Elektronik, mewajibkan Penyelenggara Sistem Elektronik lingkup privat, termasuk yang berbadan hukum asing namun melayani pengguna di Indonesia, untuk tunduk pada hukum Indonesia dan menunjuk perwakilan (person in charge) di dalam negeri. Ketiadaan mekanisme penegakan yang efektif terhadap platform tersebut merupakan persoalan implementasi kebijakan, bukan ketiadaan dasar hukum substantif.
Dimensi kebebasan pers tidak boleh diabaikan dalam kasus ini. Ketika peretasan menyasar jurnalis dalam konteks liputan tertentu, hal ini semestinya juga dibaca melalui kacamata Undang-Undang Pers dan putusan Dewan Pers, sebagai bentuk potensi upaya menghalangi kerja jurnalistik yang dijamin kemerdekaannya oleh Pasal 28F Undang-Undang Dasar Negara Republik Indonesia Tahun 1945. Data Aliansi Jurnalis Independen menunjukkan bahwa serangan digital terhadap jurnalis dan media terus meningkat, bergeser dari kekerasan fisik menuju bentuk-bentuk represi digital seperti doxing dan serangan siber, yang justru lebih sulit dilacak pelakunya dan lebih jarang diproses secara hukum dibandingkan kekerasan konvensional (AJI Indonesia, 2026). Kondisi ini menuntut agar peretasan terhadap jurnalis tidak hanya diselesaikan sebagai sengketa perdata biasa antara konsumen dan pelaku usaha, melainkan juga dilihat sebagai isu perlindungan hak asasi manusia dan kemerdekaan pers.
Diperlukan penguatan pembuktian melalui pembalikan sebagian beban bukti (shifting/reversal of burden of proof) dalam perkara pelindungan data pribadi, sejalan dengan semangat Pasal 65 UU PDP, agar korban tidak dibebani membuktikan aspek teknis sistem yang sepenuhnya dikuasai pelaku usaha. Pendekatan ini sejalan dengan gagasan bahwa kerugian akibat kegagalan sistem autentikasi semestinya lebih dahulu dijelaskan penyebabnya oleh pihak yang menguasai sistem tersebut, bukan oleh korban yang berada dalam posisi tidak memiliki akses informasi teknis (Putera, 2023).
Peran Lembaga Pelindungan Data Pribadi yang dibentuk berdasarkan UU PDP perlu dioptimalkan sebagai jalur pengaduan administratif yang lebih cepat dan berbiaya rendah dibandingkan litigasi perdata, sekaligus diberi kewenangan yang jelas untuk mengenakan sanksi administratif kepada pengendali data yang lalai, termasuk operator seluler dan penyelenggara sistem elektronik lainnya (Amelia, 2025).
Kewajiban perwakilan lokal Penyelenggara Sistem Elektronik asing, seperti WhatsApp, Telegram, dan platform sejenis, perlu ditegakkan secara konsisten oleh Kementerian Komunikasi dan Digital, agar proses hukum domestik, termasuk pemanggilan sebagai pihak dalam gugatan perdata, dapat berjalan efektif tanpa terhambat isu yurisdiksi lintas negara.
Diperlukan standar keamanan wajib bagi operator seluler dalam proses autentikasi dan penggantian kartu SIM, disertai kewajiban audit keamanan berkala oleh regulator, yaitu Kementerian Komunikasi dan Digital bersama Badan Siber dan Sandi Negara (BSSN), sebagai bentuk kepatuhan terhadap prinsip keamanan data yang diatur dalam UU PDP maupun ketentuan kerahasiaan data pelanggan dalam peraturan telekomunikasi (Fitria, Iryani, & Setiawan, 2024).
Jurnalis dan pembela HAM memerlukan perlindungan khusus dari ancaman digital, melalui sinergi antara Dewan Pers, kepolisian (Direktorat Tindak Pidana Siber), dan BSSN, mengingat serangan semacam ini berpotensi menjadi bentuk pembungkaman yang lebih sulit dilacak dibandingkan kekerasan fisik terhadap jurnalis (Amnesty International Indonesia, 2025). Pelatihan keamanan digital bagi jurnalis dan penguatan sistem keamanan internal perusahaan media juga perlu digalakkan, mengingat riset menunjukkan tantangan keamanan siber justru banyak muncul dari rendahnya kesadaran individu jurnalis maupun minimnya langkah preventif dari perusahaan media (Setyowati, Safira, & Pramucitra, 2023), sebagaimana pernah dialami puluhan awak redaksi Narasi dalam rentetan serangan digital yang menyertai kasus ini (Visual Interaktif Kompas, 2022).
Langkah Akbar mengajukan banding atas putusan Pengadilan Negeri Jakarta Selatan membuka peluang bagi pengadilan tingkat lebih tinggi untuk mengoreksi pendekatan pembuktian yang terlalu membebani korban peretasan, sekaligus membangun yurisprudensi yang lebih progresif ke depan dalam menangani sengketa perlindungan data pribadi (KompasTV, 2023).
