Tanggung Jawab Negara sebagai Pengendali Data Pribadi atas Serangan Ransomware Pusat Data Nasional Sementara: Analisis Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Abstract

Penelitian ini bertujuan menganalisis kedudukan dan kewajiban negara sebagai pengendali data pribadi dalam penyelenggaraan Pusat Data Nasional Sementara (PDNS), serta bentuk tanggung jawab dan mekanisme pemulihan hak subjek data atas serangan ransomware PDNS 2 pada Juni 2024. Penelitian menggunakan metode hukum normatif dengan pendekatan perundang-undangan, konseptual, kasus, dan perbandingan dengan GDPR, didukung bahan hukum hingga Agustus 2024. Hasil penelitian menunjukkan bahwa instansi pengguna berkedudukan sebagai pengendali data pribadi, Kementerian Komunikasi dan Informatika dapat dikualifikasikan sebagai pengendali bersama atau prosesor, dan penyedia infrastruktur sebagai prosesor, sehingga tanggung jawab akhir tetap berada pada negara sebagai pengendali. Undang-Undang Nomor 27 Tahun 2022 mewajibkan pengendali menjamin keamanan data, mencegah akses tidak sah, dan memberitahukan kegagalan pelindungan data dalam 3 x 24 jam. Rendahnya rekam cadang yang diakui pemerintah membuat dalih keadaan memaksa sulit diterima. Tanggung jawab negara dapat ditempuh melalui jalur administratif, perdata, dan tata usaha negara, tetapi terhambat oleh masa transisi, belum terbentuknya lembaga pelindungan data pribadi, belum adanya peraturan tentang tata cara ganti rugi, dan kesulitan pembuktian. Kebaruan penelitian ini terletak pada analisis kedudukan negara dalam pusat data bersama dan pemetaan jalur pertanggungjawabannya selama masa transisi. Implikasinya, pembentukan lembaga pelindungan data pribadi yang independen dan standar rekam cadang wajib menjadi kebutuhan mendesak.