Keamanan Data Pengguna PeduliLindungi Dipertanyakan

Rate this post

Table of Contents

User Data Security CareProtect Ditanya, Ada Apa?

Keamanan data pribadi pengguna PeduliLindung menjadi sorotan Lembaga Studi dan Advokasi Masyarakat (ELSAM). Menurut lembaga tersebut, PeduliLindung telah gagal menerapkan prinsip-prinsip perlindungan data pribadi bagi penggunanya.
IKLAN
Sorotan ELSAM terhadap keamanan data pribadi pengguna PeduliLindung muncul ketika aplikasi tracing COVID-19 mulai terintegrasi dengan aplikasi dari platform lain, seperti Gojek, Tokopedia, hingga Grab. Menurut ELSAM, integrasi tersebut menimbulkan “tanda tanya” terkait keterbatasan tujuan pengumpulan data pengguna yang tidak konsisten.
“Perubahan tujuan penggunaan aplikasi ini dari semula untuk contact tracing dan tracking, kemudian dikembangkan menjadi aplikasi multifungsi, juga menimbulkan masalah serius,” kata ELSAM dalam keterangan resmi, Selasa (28/9).
“Praktik ini juga tidak sesuai dengan kebijakan privasi PeduliLindung sendiri, yang menyatakan bahwa aplikasi tidak akan berbagi data dengan pihak ketiga tanpa terlebih dahulu mendapatkan persetujuan pengguna.”
User Data Security CareProtect Ditanya, Ada Apa? (1)
cariPerbesar
Ilustrasi aplikasi Caring for Protect. Foto: Zabur Karuru/ Foto Antara
ELSAM menjelaskan, pengolahan data aplikasi PeduliLindung didasarkan pada dasar hukum untuk kepentingan publik, yakni untuk penanganan pandemi. Namun, lembaga advokasi mengingatkan bahwa penggunaan dasar hukum ini tidak termasuk pengungkapan/transfer data ke pengontrol lain di sektor publik.

“Selain itu, pengontrol data juga harus menginformasikan secara jelas pemrosesan datanya, mulai dari pengolah, tujuan pemrosesan, data yang dikumpulkan, jangka waktu penyimpanan data, termasuk akses pihak ketiga terhadap data tersebut,” kata ELSAM.

ELSAM juga mengkritik pengumpulan data pengguna yang tidak perlu. Dalam hal ini, mereka mempertanyakan permintaan aplikasi PeduliLindung yang meminta akses media dan penyimpanan perangkat pengguna.

Menurut ELSAM, jika tujuan PeduliLindung adalah untuk melacak pandemi, maka data yang dibutuhkan hanyalah nama, NIK, dan nomor telepon atau alamat email. Akses data tersebut juga harus diminta hanya ketika aplikasi diberikan, dan tidak setiap saat.
“Perubahan tujuan awal penggunaan aplikasi dari pelacakan lokasi menjadi multi-fungsi berdampak pada data yang dikumpulkan,” kata ELSAM.

Risiko penyalahgunaan data pribadi akan semakin besar dengan banyaknya metadata yang terekam dari pengaksesan data di atas.
– Lembaga Studi dan Advokasi Masyarakat (ELSAM) –
Selain tujuan pengumpulan data yang tidak konsisten dan tidak sesuai dengan prinsip minimisasi, ELSAM menyoroti laporan data pengguna PeduliLindung yang dikirimkan ke server Telkom.
Akhir pekan lalu, pakar cybersecurity Teguh Aprianto menemukan data pengguna PeduliLindungi dikirim ke server analytics dengan domain analytic.rocks. Teguh menjelaskan domain tersebut mengarah ke Blanja — platform e-commerce Telkom yang telah ditutup sejak September 2020.

“Meskipun kami tahu bahwa Telkom terlibat sebagai pengelola aplikasi perangkat lunak, untuk tujuan apa data dikirim langsung ke aset anonim milik Telkom ini?” Teguh mengatakan dalam tweet Twitter, Senin (26/9). coilTECH telah meminta izin Teguh untuk menyematkan temuannya di Twitter dalam berita.

Teguh menegaskan, data pengguna seharusnya hanya dalam lingkup PeduliLindung yang dikelola Kementerian Kesehatan dan Telkom.

Ketika ada pemindahan data ke aset milik Telkom yang tidak diketahui dan berada di luar lingkungan PL, wajar jika orang bertanya, mengapa dan untuk apa?

– Teguh Aprianto, peneliti keamanan siber –
coilTECH telah meminta tanggapan dari Telkom dan Kementerian Komunikasi dan Informatika (Kominfo). Namun, keduanya belum memberikan tanggapan.

Kritik ELSAM juga mencakup autentikasi aplikasi PeduliLindung yang mudah dibobol. Mereka menyoroti celah otentikasi ini melalui kebocoran sertifikat vaksin Presiden Jokowi awal bulan ini.

“Kasus ilegal mengakses akun PeduliLindung Presiden Joko Widodo yang berhasil mendapatkan salinan sertifikat vaksin presiden, menunjukkan kerentanan dalam aspek ini. Belum lagi masalah ketidakakuratan data seperti salah nama, tanggal lahir, NIK, informasi vaksin, dan lain sebagainya,” kata ELSAM.

“Sedangkan pengguna tidak memiliki akses untuk mengoreksi data, sebagai implementasi dari hak untuk mengoreksi (rektifikasi) subjek data.”

Sumber :