III. DUDUK PERKARA
[2.1] POKOK PENGADUAN PENGADU
Bahwa Pengadu telah menyampaikan Pengaduan tertulis kepada Dewan Kehormatan
Penyelenggara Pemilu (selanjutnya disebut DKPP) yang disampaikan secara lisan dalam
sidang pemeriksaan dugaan pelanggaran kode etik penyelenggara pemilu dengan
pokok-pokok aduan sebagai berikut:
1. Bahwa pada hari Rabu tanggal 29 November 2023 sekitar pukul 15.00, Pengadu
membaca pemberitaan portal media CNN Indonesia dengan judul “DATA DPT KPU
DIDUGA BOCOR DIBOBOL PERETAS, BARESKRIM TURUN TANGAN”. Yang pada
intinya pemberitaan tersebut menyebutkan bahwa: “akun Jimbo di situs
peretasan Breach Forums mengunggah dugaan bocoran data yang didapat dari
situs KPU pada Senin (27/11) pukul 09.21 WIB. Akun ini menampilkan beberapa
tangkapan layar dari situs pengecekan DPT, https://cekdptonline.kpu.go.id”;
2. Bahwa pada tanggal yang sama yakni tanggal 29 November 2023, Pengadu
membaca portal media lainnya yaitu Kompas.com dengan judul: “Kompas.com
News Nasional Menkominfo: Data KPU yang Bocor adalah Data DPT Pemilu 2024”
yang pada intinya diberitakan bahwa: “Menteri Komunikasi dan Informatika
(Menkominfo) Budi Arie Setiadi mengatakan, data yang bocor dari situs resmi
Komisi Pemilihan Umum (KPU) merupakan data Daftar Pemilih Tetap (DPT)”;
3. Bahwa pada tanggal 29 November 2023, Pukul 16.23, Pengadu menyaksikan
berita Kompas Petang dimana dalam pemberitaan tersebut menyajikan
pernyataan pakar keamanan Ciber CISSREC Pratama Persadha yang menyatakan
“500.000 data yang dijadikan sampel oleh peretas Jimbo setelah diverifikasi
merupakan data yang Valid”. Serta ada pula pernyataan dari Ruby Alamsyah
seorang Ahli Telekomunikasi yang menyampaikan sebaran dari 500,000 DPT yang
sengaja dipoleh peretas adalah 398.000-an berasal dari pemilih di Kabupaten
Siak, Riau dan sekitar 101.000 dari Kabupaten Sorong, Papua Barat;
4. Bahwa pada tanggal 30 November 2023, Pengadu juga menyaksikan video Narasi
Newsroom dengan judul: “Skandal Kebocoran DPT Pemilu 2023: Ngobrol Bareng
Jimbo Peretas Situs KPU | Buka Mata” yang pada intinya memberitakan hasil
investigasi data pemilih yang diretas terhadap sistem pencocokan DPT Online
KPU;
5. Bahwa berdasarkan Undang Undang Nomor 27 Tahun 2022 tentang Perlindungan
Data Pribadi:
Pasal 39
(1) Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak
sah
Pasal 46
(1) Dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data
Pribadi wajib pemberitahuan secara tertulis paling lambat 3 x 24 (tiga kali dua
puluh empat) jam kepada:
a. Subjek Data Pribadi; dan
b. lembaga.
(2) Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) minimal
memuat:
a. data Pribadi yang terungkap;
b. kapan dan bagaimana Data Pribadi terungkap; dan
c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi oleh
Pengendali Data Pribadi.
(3) Dalam hal tertentu, Pengendali Data Pribadi wajib memberitahukan kepada
masyarakat mengenai kegagalan Pelindungan Data Pribadi
6. Bahwa atas peristiwa sebagaimana diuraikan di atas, Para Teradu patut diduga
kuat melanggar prinsip akuntabel sebagaimana diatur dalam ketentuan Pasal 6
ayat (2) huruf d serta prinsip profesional yang di atur dalam Pasal 6 ayat (3) huruf
f Peraturan Dewan Kehormatan Penyelenggara Pemilihan Umum Nomor 2 Tahun
2017 tentang Kode Etik dan Pedoman Perilaku Penyelenggara Pemilihan Umum.
[2.2] PETITUM PENGADU
Bahwa berdasarkan uraian di atas, Pengadu memohon kepada DKPP berdasarkan
kewenangannya untuk memutuskan hal-hal sebagai berikut:
1. Mengabulkan aduan Pengadu seluruhnya;
2. Menyatakan Para Teradu melanggar kode etik penyelenggara Pemilu; dan
3. Apabila Majelis Dewan Kehormatan Penyelenggara Pemilu Republik Indonesia
berpendapat lain, mohon putusan yang seadil-adilnya (ex aequo et bono).
[2.3] BUKTI PENGADU
Menimbang bahwa untuk menguatkan dalil-dalilnya, Pengadu mengajukan bukti-bukti
sebagai berikut:
Bukti P-1 : Pemberitaan Portal Media Online CNN tanggal 29 November 2023
dengan judul: “Data DPT KPU Diduga Bocor Dibobol Peretas,
Bareskrim Turun Tangan CNN Indonesia”;
Bukti P-2 : Pemberitaan Portal media Online BenarNews Indonesia tanggal 29
November 2023 dengan judul: “Pakar desak KPU lakukan Audit
Forensik Ungkap Pembocoran 204 Juta Data Pemilih”;
Bukti P-3 : Pemberitaan Kompas.com tanggal 29 November 2023 dengan judul:
“Kompas.com News Nasional Menkominfo: Data KPU yang Bocor
adalah Data DPT Pemilu 2024”;
Bukti P-4 : Pemberitaan NarasiTV dengan judul Skandal Kebocoran DPT Pemilu
2023_ Ngobrol Bareng Jimbo Peretas Situs KPU Buka Mata.
(https://www.youtube.com/watch?v=tNfqcfzeLdw);
Bukti P-5 : Pemberitaan dengan judul Heboh Isu 204 Juta Data Pemilih di KPU
Bocor, Begini Kata Pakar Telekomunikasi Ruby Alamsyah.
(https://www.youtube.com/watch?v=wxjoZ8oaOpg&t=345s);
[2.4] SAKSI PENGADU
Menimbang saat sidang pemeriksaan dugaan pelanggaran kode etik penyelenggara
pemilu yang dilaksanakan pada tanggal 28 Februari 2024 dan 3 April 2024, Pengadu
menghadirkan 2 (dua) orang saksi atas nama Jauhari dan Aditya Insan Fadhilah, yang
pada pokoknya menerangkan sebagai berikut:
1. Bahwa Saksi menyampaikan mereka mengetahui adanya dugaan kebocoran Data
Pemilih dari Sidalih melalui media online maupun media cetak;
2. Bahwa pemberitaan terkait dengan dugaan kebocoran Data Pemilih dari Sidalih
telah menjadi perbincangan hangat di publik, mengingat data Pemilih tersebut
menyangkut akan kerahasiaan Data Pribadi setiap Pemilih;
[2.5] PENJELASAN DAN POKOK JAWABAN PARA TERADU
Bahwa Para Teradu telah menyampaikan jawaban dan penjelasan dalam sidang
pemeriksaan dugaan pelanggaran kode etik penyelenggara pemilu pada tanggal 28
Februari 2024 dan 3 April 2024 yang pada pokoknya menguraikan hal-hal sebagai
berikut:
1. Mekanisme Penyusunan dan Pemutakhiran Data Pemilih
1) Berdasarkan Undang-Undang Republik Indonesia Nomor 7 Tahun 2017
tentang Pemilihan Umum, Komisi Pemilihan Umum menerima Daftar
Penduduk Potensial Pemilih Pemilu (DP4) pada 38 Provinsi dan 514
Kabupaten/Kota dari Menteri Dalam Negeri Republik Indonesia. DP4
digunakan KPU untuk disandingkan dengan Daftar Pemilih Tetap Pemilu
terakhir yang dimutakhirkan secara berkelanjutan dalam menyusun daftar
pemilih pada Pemilu 2024;
2) Daftar Penduduk Potensial Pemilih Pemilu tahun 2024 dan padlock kunci
enkripsi DP4 diterima oleh KPU dari Menteri Dalam Negeri pada tanggal 14
Desember 2022, dengan elemen data sebagai berikut:
No. Elemen Data Keterangan
1. Urut Nomor Urut
2. NIK Nomor Induk Kependudukan
3. No_KK Nomor Kartu Keluarga
4. NAMA_LGKP Nama Lengkap P4
5. JENIS_KLMNIN Kode Jenis Kelamin (1 dan 2)
6. JENIS_KLMNIN_KET Keterangan Jenis Kelamin:
1. Lk (Laki-laki)
2. Pr (perempuan)
7. TMPT_LHR Tempat Lahir P4
8. TGL_LHR Tanggal Lahir
9. UMUR_PILPRES Usia P4 saat Pemilu
10. STAT_KWN Kode Status Perkawinan (1, 2, 3, dan 4)
11. STAT_KWN_KET 1. B (belum kawin)
2. S (sudah kawin)
3. P (pernah kawin)
4. P (pernah kawin)
12. PNYDNG_CCT Kode Status Disablitas (1, 2, 3, 4, 5, dan 6)
13. PNYDNG_CCT_KET 1. Disabilitas Fisik
2. Disabilitas Netra/Buta
3. Disabilitas Rungu/Wicara
4. Disabilitas Mental/Jiwa
5. Disabilitas Fisik dan Mental
6. Disabilitas Lainnya
14. JENIS_PKRJN Kode Jenis Pekerjaan P4
15. JENIS_PKRJN_KET Jenis Pekerjaan P4
16. ALAMAT Alamat P4
17. NO_RT RT
18. NO_RW RW
19. DUSUN Dusun
20. KD_PRO Kode Wilayah Provinsi
21. NAMA_PRO Provinsi
22. KD_KAB Kode Wilayah Kabupaten/Kota
23. NAMA_KAB Kabupaten/Kota
24. KD_KEC Kode Wilayah Kecamatan
25. NAMA_KEC Kecamatan
26. KD_KEL Kode Wilayah Desa/Kelurahan
27. NAMA_KEL Desa/Kelurahan
28. NOMOR_TPS Nomor TPS P4
29. KET Keterangan Sumber data Nomor_TPS:
TPS_PDPB= Pemutakhiran Data Pemilih Berkelanjutan
TPS_NKK= Mengikuti Nomor_TPS dengan Nomor Kartu
Keluarga yang sama
3) Bahwa berdasarkan Peraturan Komisi Pemilihan Umum Nomor 7 Tahun 2023
tentang Perubahan atas Peraturan Komisi Pemilihan Umum Nomor 7 Tahun
2022 tentang Penyusunan Daftar Pemilih dalam Penyelenggaraan Pemilihan
Umum dan Sistem Informasi Data Pemilih (selanjutnya disebut Peraturan KPU
No.7/2023) pelaksanaan penyusunan Daftar Pemilih terdapat pada Lampiran
I tentang Program dan Jadwal Kegiatan Tahapan Penyusunan Daftar Pemilih
dalam Penyelenggaraan Pemilihan Umum;
4) Bahwa berdasarkan Peraturan KPU Nomor 7 Tahun 2022 tentang
Penyusunan Daftar Pemilih Dalam Penyelenggaraan Pemilihan Umum dan
Sistem Informasi Data Pemilih (selanjutnya disebut Peraturan KPU
No.7/2022) yang pada pokoknya menjelaskan bahwa pemutakhiran data
pemilih dilakukan dengan cara pencocokan dan penelitian (Coklit) yang
dilakukan oleh Petugas pemutakhiran data pemilih (Pantarlih) dan hasilnya
disampaikan kepada Panitia Pemungutan Suara (PPS) untuk menjadi bahan
penyusunan Daftar Pemilih Sementara (DPS) yang kemudian dilakukan
rekapitulasi dan penetapan berjenjang dari PPS, Panitia Pemilihan Kecamatan
(PPK), KPU Kabupaten/Kota, KPU Provinsi, sampai tingkat nasional oleh KPU.
Tahapan berikutnya yaitu DPS diperbaiki berdasarkan masukan dan
tanggapan masyarakat dan/atau peserta Pemilu menjadi Daftar Pemilih
Sementara Hasil Perbaikan (DPSHP) yang kemudian pada tahapan berikutnya
diperbaiki oleh PPS, dilakukan rekapitulasi dan penetapan secara berjenjang
oleh PPK, KPU Kabupaten/Kota, KPU Provinsi, sampai tingkat nasional oleh
KPU menjadi Daftar Pemilih Tetap (DPT);
5) Bahwa berdasarkan ketentuan Pasal 101 Peraturan KPU No.7/2022 yang
pada pokoknya mengatur penyusunan Daftar Pemilih Tetap dilakukan oleh
KPU Kabupaten/Kota berdasarkan formulir Model A Daftar Perubahan
Pemilih, kemudian penyusunan dituangkan dalam formulir Model A-KabKo
Daftar Pemilih;
6) Bahwa salinan DPT, berita acara pleno rekapitulasi, dan formulir Model A.
Rekap KabKo diserahkan kepada KPU Provinsi, Bawaslu Kabupaten/Kota,
peserta Pemilu tingkat kabupaten/kota, perangkat pemerintah tingkat
kabupaten/kota atau sebutan lain, perwakilan partai politik peserta Pemilu
tingkat kecamatan atau sebutan lain melalui PPK; dan PPS melalui PPK.
Salinan DPT diserahkan dalam bentuk salinan digital hal tersebut
sebagaimana diatur dalam Pasal 105 Peraturan KPU No.7/2022);
7) Bahwa ketentuan Pasal 107 ayat (1) dan Pasal 108 Peraturan KPU No.7/2022
untuk tingkat Provinsi, KPU Provinsi melakukan rekapitulasi DPT
berdasarkan formulir Model A-Rekap KabKo dan dituangkan ke dalam
formulir Model A-Rekap Provinsi. Kemudian salinan DPT berita acara pleno
rekapitulasi, dan formulir Model A-Rekap Provinsi disampaikan kepada KPU,
Bawaslu Provinsi, peserta Pemilu tingkat provinsi dan perangkat Pemerintah
tingkat provinsi. Salinan DPT sebagaimana dimaksud disampaikan dalam
bentuk salinan digital;
8) Bahwa ketentuan Pasal 113 Peraturan KPU Nomor 7 Tahun 2022 rekapitulasi
DPT tingkat nasional, salinan DPT seluruh kabupaten/kota, dan Salinan
DPTLN seluruh PPLN kepada Bawaslu, peserta Pemilu tingkat pusat dan
pemerintah. Salinan dibuat dalam bentuk salinan digital dalam format yang
tidak bisa diubah dan penyampaian dokumen dituangkan dalam berita acara;
2. Prosedur Standarisasi Sistem Informasi Data Pemilih
1) Bahwa penyusunan Daftar Pemilih dilakukan dengan menggunakan sistem
informasi data Pemilih (selanjutnya disebut dengan Sidalih) berdasarkan
Keputusan KPU Nomor 81 Tahun 2022 tentang Penetapan Aplikasi Sistem
Informasi Data Pemilih Berkelanjutan dan Portal Lindungihakmu Sebagai
Aplikasi Khusus Komisi Pemilihan Umum (selanjutnya disebut Keputusan
KPU No.81/2022) (Bukti T-1) yang terintegrasi dengan sistem informasi
administrasi kependudukan dan/atau sistem informasi lain yang digunakan
di lingkungan KPU sebagaimana diatur pada Pasal 177 Peraturan KPU
No.7/2022. Sidalih merupakan sistem pengolahan data pemilih untuk
melakukan pencatatan dan pemutakhiran pemilih pemilu tahun 2024. Sidalih
digunakan juga untuk aktivitas penelitian dan pencocokan data pemilih.
Sidalih menggunakan data DP4 dan diverifikasi di lapangan dengan proses
Coklit;
2) Bahwa Sidalih termasuk Aplikasi Khusus KPU sebagaimana dalam Keputusan
KPU No.81/2022 regulasi terkait prinsip dalam mewujudkan tata kelola
pemerintahan yang bersih, efektif, transparan, dan akuntabel, serta
pelayanan publik yang berkualitas dan terpercaya di lingkungan KPU diatur
dalam Peraturan KPU Nomor 5 Tahun 2021 tentang Penyelenggaraan Sistem
Pemerintahan Berbasis Elektronik (SPBE) (selanjutnya disebut Peraturan KPU
No.5/2021) (Bukt T-2) yang pada pokoknya mengatur mengenai:
a) tata kelola SPBE;
b) manajemen SPBE;
c) audit teknologi informasi dan komunikasi;
d) penyelenggara SPBE; dan
e) pemantauan dan evaluasi SPBE;
3) Bahwa dalam hal KPU sebagai penyelenggara SPBE telah tersertifikasi
ISO/IEC 2001:2013 untuk standar sistem manajemen keamanan informasi
(information security management system) dengan nomor sertifikat IS 762126
dengan ruang lingkup sistem manajemen keamanan informasi dalam
penyediaan layanan pusat data, pengembangan aplikasi dan infrastruktur per
tanggal 10 Februari 2022 hingga 9 Februari 2025 (Bukti T-3);
4) Bahwa dalam hal KPU membangun dan/atau mengembangkan Aplikasi
Khusus diatur dalam Pasal 29 ayat (4) Peraturan KPU No.5/2021
sebagaimana berikut:
Pasal 29
(4) Aplikasi Khusus dapat dibuat oleh:
a. unit kerja yang menyelenggarakan tugas dan fungsi di bidang pusat
data dan informasi; dan/atau
b. penyedia
5) Bahwa Sidalih dikembangkan oleh tim developer Institut Pertanian Bogor (IPB)
sebagai penyedia berdasarkan Perjanjian Kerja Sama antara KPU dengan IPB
tentang Pengembangan Aplikasi Khsus Sistem Informasi Data Pemilih dalam
Pemilihan Umum dan Pemilihan tahun 2024. Dalam pengembangan Sidalih
pembagian kerja antara KPU dan tim developer IPB adalah sebagai berikut:
a) KPU menyediakan server, menyediakan akses VPN, memberikan akses ke
dalam virtual machines;
b) Tim developer IPB melakukan pengembangan aplikasi, melakukan coding
berdasarkan permintaan dari bidang data dan informasi KPU sesuai
dengan tupoksi melakukan pemutakhiran data pemilih Pemilu tahun
2024 dengan menggunakan sistem informasi berupa Sidalih.
6) Bahwa dalam hal KPU menyediakan server, akses VPN, dan akses ke dalam
virtual machines untuk pengembangan Sidalih, server yang digunakan untuk
pengembangan sistem aplikasi Sidalih merupakan server yang telah
digunakan pada saat penyelenggaraan Pemilu serentak tahun 2019. Adapun
server fisik tersebut berada di dalam Data Center KPU yang terletak di gedung
Kantor KPU RI Jl. Imam Bonjol No. 29, Menteng Jakarta Pusat. Sebagai
penanggung jawab terhadap control panel adalah Pusat Data dan Informasi
(Pusdatin) KPU dan tim developer IPB. Kemudian arsitektur server KPU
dirancang untuk hanya dapat diakses dengan jaringan internet menggunakan
VPN dan jaringan internet menggunakan VPN serta SSH (secure shell) dengan
kebijakan dan prosedur terkait keamanan server KPU telah
mengimplementasikan teknologi firewall, web application firewall, filtering IP
reputation, dan IPS;
7) Bahwa situs dan aplikasi yang dibuat dan dikembangkan oleh IPB untuk KPU
berdasarkan pengelompokan user wilayah kerja sebagai berikut:
a) Untuk KPU Pusat dengan link situs website https://Sidalih.kpu.go.id;
b) Untuk KPU Provinsi terdapat 38 situs website yang telah dibuat
berdasarkan jumlah provinsi di Indonesia, salah satu contoh situs website
Sidalih KPU Provinsi Jawa Barat dengan link situs website
https://jabarprov.kpu.go.id;
c) Untuk KPU Kabupaten/Kota terdapat 514 situs website yang telah dibuat
berdasarkan jumlah Kabupaten/Kota di Indonesia, salah satu contoh
situs website Sidalih KPU Kabupaten Bogor dengan link situs website
https://bogorkab.kpu.go.id;
d) Untuk situs di luar negeri terdapat 128 situs website, dengan salah satu
contoh dengan link situs website https://tokyoppln.kpu.go.id;
8) Bahwa berdasarkan Peraturan Pemerintah Nomor 71 Tahun 2019 tentang
Penyelenggaraan Sistem dan Transaksi Elektronik (selanjutnya disebut
sebagai PP No.71/2019) (Bukti T-4) menjelaskan sebagai berikut:
Pasal 6
(1) Setiap Penyelenggara Sistem Elektronik sebagaimana dimaksud dalam
Pasal 2 ayat (2) wajib melakukan pendaftaran.
(2) Kewajiban melakukan pendaftaran bagi Penyelenggara Sistem Elektronik
dilakukan sebelum Sistem Elektronik mulai digunakan oleh Pengguna
Sistem Elektronik.
(3) Pendaftaran Penyelenggara Sistem Elektronik sebagaimana dimaksud
pada ayat (1) diajukan kepada Menteri melalui pelayanan perizinan
berusaha terintegrasi secara elektronik sesuai dengan ketentuan
peraturan perundang-undangan.
9) Bahwa berdasarkan ketentuan Pasal 10 dalam Peraturan Menteri Komunikasi
dan Informatika Nomor 10 Tahun 2015 tentang Tata Cara Pendaftaran Sistem
Elektronik Instansi Penyelenggara Negara (selanjutnya disebut sebagai
Permenkominfo No.10/2015) (Bukti T-5) menerangkan sebagai berikut:
Pasal 10
(1) Instansi Penyelenggara Negara yang telah melakukan pendaftaran
sebagaimana dimaksud dalam Pasal 7 akan mendapat pengesahan status
terdaftar dengan menerima Tanda Terdaftar.
(2) Instansi Penyelenggara Negara yang telah mendapatkan Tanda Terdaftar
berhak mencantumkan Tanda Terdaftar tersebut pada setiap layanannya
yang telah terdaftar.
(3) Pengesahan status terdaftar dengan menerima Tanda Terdaftar
sebagaimana dimaksud pada ayat (1), menjadikan Sistem Elektronik yang
telah terdaftar tersebut sebagai layanan resmi pemerintah.
10) Bahwa berdasarkan ketentuan pada angka 8 dan 9 tersebut, Para Teradu
selanjutnya melakukan pendaftaran aplikasi Sidalih kepada Kementerian
Komunikasi dan Informatika sehingga telah dinyatakan terdaftar pada 7 Juni
2018 dengan Tanda Daftar Pendaftaran Sistem Elektronik (PSE) Nomor 554
yang dikeluarkan oleh Kementerian Komunikasi dan Informatika (Bukti T-6);
11) Bahwa selain melakukan pendaftaran terhadap Sidalih, Para Teradu juga
telah melakukan serangkaian uji coba keamanan siber terhadap aplikasi
Sidalih dengan melibatkan pihak BSSN melalui kegiatan Information
Technology Security Assessment (ITSA) berupa pengujian dengan teknik Black-
Box Testing (pengujian terhadap perilaku input dan output dari perangkat
lunak tanpa mengetahui sistem di dalamnya) dan Grey-Box Testing (pengujian
terhadap perilaku input dan output dari perangkat lunak dengan mengetahui
secara terbatas sistem di dalamnya). Kegiatan tersebut dilaksanakan pada
tanggal Senin, 27 Februari 2023 s.d. Jumat, 03 Maret 2023 terhadap terdapat
3 (tiga) sistem elektronik milik Komisi Pemilihan Umum Batch IV (Bukti T-7);
12) Bahwa berdasarkan hasil ITSA terhadap aplikasi Sidalih, BSSN menemukan
3 (tiga) kerentanan yaitu privilege escalation (upaya peretas untuk
meningkatkan wewenang akses pada situs seperti dari pengguna umum
menjadi admin) dengan tingkat kerentanan sedang (medium), possible brute
force attack (upaya peretas untuk membobol situs dengan menebak username
dan password secara acak) dengan tingkat kerentanan rendah (low), dan
missing security headers (protokol atau aturan dan metode yang digunakan
dalam komunikasi web untuk meningkatkan keamanan situs) dengan status
(information). BSSN memberikan rekomendasi perbaikan kerentanan dengan
menambahkan beberapa jenis konfigurasi atau pengaturan keamanan pada
security headers sesuai kebutuhan aplikasi dan sudah;
13) Bahwa Para Teradu in casu KPU telah menindaklanjuti hasil ITSA dari BSSN
dimaksud dengan berkoordinasi kepada pihak pengembang Sidalih hal
tersebut juga tertuang dalam Surat Nomor 34/TIK.02- SD/14/2023 tanggal 7
Juli 2023 Perihal Laporan Tindak Lanjut Hasil Rekomendasi ITSA pada
Aplikasi KPU Tahun 2023 yang disampaikan kepada Badan Siber dan Sandi
Negara (Bukti T-8);
3. Peristiwa Illegal Access Data Sidalih
1) Bahwa pada hari Senin tanggal 27 November 2023 sekitar pukul 15.00 WIB,
KPU mengetahui telah terjadi illegal acces yang diduga merupakan data yang
dimiliki oleh KPU melalui forum dengan link https://breachforums.is. Dalam
forum tersebut, akun bernama Jimbo menyampaikan klaim telah memiliki
252.327.304 data yang bersumber dari Sidalih dan menjualnya di forum situs
online;
2) Berdasarkan informasi yang terdapat pada hasil tangkap layar situs tersebut
(Bukti T-9), data yang diduga dicuri oleh seseorang dengan nama akun Jimbo
adalah sebagai berikut:
No. Elemen Data Keterangan
1. Ide Nomor Urut
2. dp_id Nomor Unik dalam indeks data pemilih
3. arsip_id Kode Pengarsipan
4. synced Status sinkronisasi
5. invalid Kode invalid
6. sync_id Kode sinkronisasi
7. master_id Kode sinkronisasi
8. nik Nomor Induk kependudukan Pemilih
9. nkk Nomor Kartu Keluarga Pemilih
10. no-ktp Nomor Paspor Pemilih
11. kab_id Nomor Identitas Kecamatan (tidak berdasarkan pada kode
wilayah Kemendagri)
12. kec_id Nomor Identitas Kabupaten/Kota (tidak berdasarkan pada
kode wilayah Kemendagri)
13. kel_id Nomor Identitas Desa/Kelurahan (tidak berdasarkan pada
kode wilayah Kemendagri)
14. nama Nama Peilih
15. jenis_kelamin Jenis Kelamin
L. Laki-laki
P. Perempuan
16. tanggal_lahir Tanggal lahir Pemilih
17. tempat_lahir Tempat lahir Pemilih
18. Kawin Status Perkawinan:
B (belum kawin)
S (sudah kawin)
P (pernah kawin
19. Alamat Alamat Pemilih
20. rw RW
21. rt RT
22. dusun Dusun
23. k1 Kode penanda kegandaan satu elemen
24. k2 Kode penanda kegandaan dua elemen
25. k3 Kode penanda kegandaan tiga elemen
26. rank
27. sumberdata Sumber Data Pemilih
28. status Status Pemutakhiran Data Pemilih:
Memenuhi Syarat:
0 Aktif
U Ubah elemen data
B Pemilih Baru
Tidak Memenuhi Syarat
1. Meninggal
2. Ganda
3. Di bawah Umur
4. Pindah Domisili
5. TNI
6. Polri
7. Salah Penempatan TPS
29. difabel Status disabilitas:
Disabilitas fisik
Disabilitas Intelektual
Disabilitas Mental
Disabilitas Sensorik Wicara
Disabilitas Sensorik rungu
Disabilitas Sensorik netra
30. tps_id Nomor identitas TPS
3) Bahwa setelah KPU mengetahui telah terjadi illegal access yang diduga
bersumber dari Sidalih, KPU segera melakukan tindak lanjut dan mitigasi
terkait informasi tersebut dengan melakukan beberapa hal sebagai berikut:
a. Melakukan pengecekan terhadap sistem informasi via threat armor
terhadap Sidalih;
b. Menonaktifkan akun pengguna Sidalih sebagai upaya penanganan
peretasan lebih lanjut;
c. Berkoordinasi dengan BSSN, BIN, Bareskrim Polri, Tim Pengembang
Sidalih, dan instansi terkait lainnya untuk mendapatkan data dan bukti
digital;
d. Menganalisis log access, user management, dan log lain baik dari aplikasi
maupun server; dan
e. Secara paralel melakukan update terhadap aplikasi yang meliputi:
➢ Pengalihan fitur register ke admin;
➢ Penambahan user hanya dilakukan oleh Admin KPU Pusat;
➢ Menambahkan fitur upload file Surat Tugas;
➢ Menghapus fitur Ubah Role dan Wilayah pengguna;
➢ Menambahkan security modul Captcha dan 2FA (two-factor
authentication);
4. Upaya Para Teradu Terhadap Peristiwa Illegal Access Data Sidalih
1) Bahwa pada hari Selasa tanggal 28 November 2023 setelah melakukan
penonaktifan seluruh akun pengguna Sidalih, Para Teradu menonaktifkan
sementara seluruh layanan dan melakukan reset password terhadap akun
Sidalih;
2) Bahwa Para Teradu telah menyampaikan press release pada hari Rabu tanggal
29 November 2023 melalui website
https://www.kpu.go.id/berita/baca/12118/siaran-pers-terkait-informasi-
dugaan-kebocoran-data-milik-kpu yang pada pokoknya KPU telah melakukan
pengecekan terhadap Sidalih dan menonaktifkan akun-akun pengguna
Sidalih sebagai upaya penanganan peretasan tersebut lebih lanjut (Bukti T-
10);
3) Bahwa Para Teradu pada hari Rabu tanggal 29 November 2023 memanggil tim
pengembang Sidalih untuk melakukan koordinasi bersama dengan Tim
Gugus Tugas Keamanan Siber Teknologi Informasi dan Komunikasi KPU yang
terdiri dari elemen KPU, Bareskrim Polri, BSSN, BIN, dan Kementerian
Komunikasi dan Informatika (Kemenkominfo) Republik Indonesia. Hal ini
dilakukan untuk membedah aplikasi Sidalih, sistem keamanan yang
diterapkan, dan log yang tersedia (Bukti T-11). Dalam pertemuan tersebut
dilakukan juga beberapa kegiatan yaitu:
a. Mencari potensi celah keamanan yang digunakan;
b. BIN memaparkan potensi celah keamanan pada Sidalih;
c. Pengambilan log dan menyusun keterangan;
4) Bahwa dalam pertemuan sebagaimana diuraikan pada angka 3, diketahui
aktivitas yang diduga illegal access tidak menggunakan jaringan melalui VPN,
tetapi jaringan internet, dan akses tersebut tidak tercatat pada log firewall.
Berdasarkan hasil analisa terkait cara peretasan, pelaku yang diduga
melakukan peretasan terhadap aplikasi Sidalih, melakukan legitimate
(pengubahan status akun) lalu pelaku masuk ke masing-masing portal Sidalih
KPU Kabupaten/Kota dan mengambil data dari fitur aplikasi Sidalih;
5) Bahwa pada tanggal 27 November 2023 - 1 Desember 2023 KPU
menyelenggarakan rapat koordinasi dengan BSSN, BIN, Bareskrim Polri, dan
Tim Pengembang Sidalih, guna mendalami dugaan illegal access, rapat
koordinasi tersebut merekomendasikan tindakan-tindakan sebagai berikut
(Vide Bukti T-11):
a. Pihak Pengembang Sidalih bersama Gugus Tugas mereviu kembali proses
bisnis mulai dari pengelolaan akun, jenis akun (mulai dari KPU, KPU
Provinsi, KPU Kabupaten/Kota, sampai dengan PPK dan PPS), melihat
manajemen akun, mengidentifikasi manajemen pengelolaan data pemilih
dari tingkat KPU RI sampai dengan KPU Kabupaten/Kota, serta
mengidentifikasi proses bisnis pengembangan/ SDLC (System
Development Life Cycle) dari Sidalih;
b. Berdasarkan reviu di atas, Pengembang diminta langsung melakukan
perbaikan dan dilanjutkan dengan penetration testing (pengujian untuk
mengevaluasi sistem keamanan perangkat dengan cara mensimulasikan
serangan siber) secara langsung oleh BSSN guna pengamanan sebelum
aplikasi Sidalih digunakan kembali;
c. Bareskrim Polri mengambil langkah-langkah pengumpulan data dan
keterangan secara mendalam dari pihak terkait dan meminta KPU untuk
melaporkan secara resmi pada Bareskrim Mabes Polri;
6) Berdasarkan dokumen Berita Acara laporan pertama hasil pemeriksaan
forensik digital dari BSSN yang diserahkan kepada KPU pada tanggal 2
Desember 2023 disampaikan sebagai berikut:
a. Pada tanggal 26 November 2023 pukul 12:59:40 WIB terdapat user yang
memanfaatkan disposable email dan melakukan perubahan status user;
b. Berdasarkan pemeriksaan pada access log terdapat akses data ke server
pada rentang waktu 26 November 2023 pukul 12:59:40 WIB - 23:59:34
WIB dan 27 November 2023 pukul 00:00:13 WIB - 16:20:13 WIB dengan
jumlah data sebesar 22,34572324 GB yang menunjukkan aktivitas
download data;
c. Berdasarkan pemeriksaan pada log firewall, terdapat beberapa alamat IP
yang sudah diketahui dan telah melakukan akses data pada rentang
waktu 26 November 2023 pukul 12:31:49 WIB sampai dengan 27
November 2023 pukul 04:56:53 WIB dengan besar response byte lebih dari
200 KB yang menunjukkan aktivitas download data;
7) Berdasarkan rapat koordinasi antara KPU dengan Tim Gugus Tugas
Keamanan Siber beserta seluruh Tim Pengembang Aplikasi Kepemiluan pada
tanggal 6 Desember 2023 (Bukti T-12), dilakukan langkah-langkah perbaikan
pada semua sistem aplikasi kepemiluan termasuk Sidalih. Adapun beberapa
poin hasil pemaparan antara lain:
a. Dari aspek pengembangan aplikasi, untuk menutup celah kerentanan
mulai dari log activity, log access, log firewall, dan seluruh perubahan dan
penambahan fitur;
b. Dari aspek jaringan dan infrastruktur, untuk memperkuat dan
menambah perangkat pengamanan pada semua jaringan baik data center
on premise dan cloud serta pada jaringan perangkat pengguna;
c. Dari aspek manajemen SDM, untuk melakukan perbaikan pada
manajemen pengguna, karena semua aplikasi kepemiluan yang
digunakan selalu melibatkan jumlah pengguna yang banyak, serta
meningkatkan dan menerapkan sistem manajemen keamanan informasi
dengan ketat;
8) Berdasarkan surat dari BSSN kepada KPU tertanggal 11 Desember 2023
(Bukti T-13) bahwa telah dilaksanakannya kegiatan ITSA pada KPU
terkhususnya pada Sidalih dengan tanggal pengujian 29 November 2023 - 7
Desember 2023 dengan teknik pengujian Grey-Box Testing (pengujian
terhadap perilaku input dan output dari perangkat lunak dengan mengetahui
secara terbatas sistem didalamnya) telah dilakukan remediasi terhadap
kerentanan yang ditemukan pada Sidalih berupa:
a. Pada jenis kerentanan Admin Approval Bypass dan Privilege Escalation
(upaya peretas untuk meningkatkan wewenang akses pada situs seperti
dari pengguna umum menjadi admin) dengan melakukan penghapusan
fitur registrasi di halaman depan dan menghapus parameter role pada
response di login form; dan
b. Pada jenis kerentanan Possible Bruteforce (upaya peretas untuk membobol
situs dengan menebak username dan password secara acak) dengan
melakukan pemasangan fitur Captcha dan 2FA (two-factor authentication)
9) Bahwa terhadap surat dari BSSN sebagaimana pada angka 8, Para Teradu in
casu KPU menyampaikan Surat Nomor 61/TIK.03- SD/14/2023 tanggal 28
Desember 2023 Perihal Penyampaian Laporan Perbaikan Hasil ITSA yang
pada pokoknya telah melakukan perbaikan hasil ITSA dimaksud (Bukti T-14);
10) Bahwa sebagai upaya maksimal untuk mengidentifikasi pelaku, Para Teradu
telah melakukan pelaporan kepada Kepolisian dengan nomor Laporan Polisi
LP/B/393/XII/2023/SPKT/BARESKRIM POLRI tanggal 5 Desember 2023
untuk melakukan penyelidikan lebih lanjut; (Bukti T-15)
11) Bahwa Para Teradu telah melakukan perlindungan data pribadi dari
pemrosesan tidak sah dengan melakukan pencegahan menggunakan sistem
keamanan sebagaimana Pasal 38 dan Pasal 39 Undang-Undang Nomor 27
Tahun 2022 tentang Perlindungan Data Pribadi (selanjutnya disebut dengan
UU No.27/2022) yang pada Pokoknya mengatur:
Pasal 38
Pengendali Data Pribadi wajib mencegah Data Pribadi dari pemrosesan yang
tidak sah
Pasal 39
(1) Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak
sah.
(2) Pencegahan sebagaimana dimaksud pada ayat (1) dilakukan dengan
menggunakan sistem keamanan terhadap Data Pribadi yang diproses
dan/atau memproses Data Pribadi menggunakan sistem elektronik secara
andal, aman dan bertanggung jawab.
(3) Pencegahan sebagaimana dimaksud pada ayat (2) dilakukan sesuai
dengan ketentuan peraturan perundang-undangan.
12) Bahwa berdasarkan dalil Pengadu sebagaimana Pasal 46 UU No.27/2022
yang mengatur:
Pasal 46
(1) Dalam hal terjadi kegagalan Pelindungan Data Pribadi, Pengendali Data
Pribadi wajib menyampaikan pemberitahuan secara tertulis paling lambat
3 x 24 (tiga kali dua puluh empat) jam kepada:
a. Subjek Data Pribadi; dan
b. lembaga.
(2) Pemberitahuan tertulis sebagaimana dimaksud pada ayat (1) minimal
memuat:
a. Data Pribadi yang terungkap;
b. kapan dan bagaimana Data Pribadi terungkap; dan
c. upaya penanganan dan pemulihan atas terungkapnya Data Pribadi
oleh Pengendali Data Pribadi.
d. Dalam hal tertentu, Pengendali Data Pribadi wajib memberitahukan
kepada masyarakat mengenai kegagalan Pelindungan Data Pribadi.
Pengadu menilai dikarenakan terjadi kegagalan Pelindungan Data Pribadi,
maka Para Teradu sebagai Pengendali Data Pribadi wajib menyampaikan
pemberitahuan secara tertulis. Namun demikian, jikalau memang terjadi
kegagalan pelindungan data pribadi – quad non – berdasarkan Pasal 50 UU
No. 27/2022 ketentuan menyampaikan pemberitahuan secara tertulis
tersebut dikecualikan untuk kepentingan umum dalam rangka
penyelenggaraan negara;
13) Bahwa Para Teradu telah melakukan upaya perlindungan dan pencegahan
terhadap data yang terdapat dalam Sidalih sebagaimana telah diuraikan pada
romawi II s.d. romawi V. Para Teradu telah pula melakukan berbagai upaya
sesuai peraturan perundang-undangan dalam menghadapi adanya dugaan
illegal access dengan bersikap profesional dan akuntabel;
14) Bahwa oleh karenanya, Para Teradu berpandangan dalil-dalil Aduan Pengadu
dalam perkara a quo adalah dalil yang tidak berdasar, sehingga terdapat
cukup alasan bagi Majelis DKPP RI untuk menolak seluruh dalil-dalil Pengadu
dalam perkara a quo;
5. Kesimpulan Para Teradu Terhadap Dalil Aduan Pengadu
1) Bahwa Para Teradu telah dengan jelas dan tegas menguraikan argumentasi-
argumentasi untuk menjawab, menjelaskan, dan/atau membantah dalil-dalil
aduan Pengadu sebagaimana yang Para Teradu susun dalam poin II sampai
dengan poin V tersebut di atas;
2) Bahwa sampai dengan sidang pemeriksaan perkara etik a quo, proses
penyelidikan masih dilakukan oleh pihak Bareskrim Polri. Sehingga sampai
dengan saat ini illegal access yang terjadi pada aplikasi Sidalih tidak serta
merta dapat dinyatakan telah terjadinya Kegagalan Pelindungan Data Pribadi.
3) Bahwa Para Teradu telah bersikap profesional dan akuntabel dengan
Melaksanakan semua prosedur pencegahan terhadap data pribadi serta
melakukan tindak lanjut terhadap dugaan illegal access;
4) Bahwa berdasarkan seluruh argumentasi yang telah Para Teradu uraikan
dalam Jawaban a quo, Para Teradu berpandangan bahwa dalildalil aduan
Pengadu dalam perkara a quo tidaklah terbukti dan terdapat cukup alasan
bagi Majelis Dewan Kehormatan Penyelenggara Pemilu untuk menolak
seluruh dalil-dalil Pengadu atau setidak-tidaknya menyatakan dalil-dalil
Pengadu tidak dapat diterima (niet ontvankelijke verklaard);
5) Bahwa berdasarkan uraian argumentasi yang Para Teradu susun dalam
Jawaban ini membuktikan bahwa Para Teradu tidak melanggar prinsip-
prinsip penyelenggara pemilu sebagaimana diatur dalam Peraturan Dewan
Kehormatan Penyelenggara Pemilu Nomor 2 Tahun 2017 tentang Kode Etik
dan Pedoman Perilaku Penyelenggara Pemilihan Umum. Oleh karenanya
terdapat cukup alasan bagi Majelis Pemeriksa DKPP untuk menolak seluruh
dalil Pengadu dan merehabilitasi nama baik Para Teradu.
[2.6] KESIMPULAN PARA TERADU
Berdasarkan fakta-fakta yang terungkap dalam Persidangan, Para Teradu
menyampaikan kesimpulan yang merupakan bagian tidak terpisahkan dari jawaban
yang pada pokoknya sebagai berikut:
1. Bahwa mohon dengan hormat segala sesuatu yang diuraikan dalam Jawaban Para
Teradu yang diajukan dan disampaikan disampaikan secara lisan oleh Para
Teradu pada sidang pemeriksaan tanggal pada tanggal 28 Februari 2024 dengan
agenda mendengarkan pokok pengaduan dari Pengadu, Jawaban Teradu dan
mendengarkan keterangan Pihak Terkait/Saksi maupun pada persidangan
tanggal 3 April 2024 dengan agenda mendengarkan keterangan Pihak Terkait dan
keterangan Saksi dianggap telah pula dikemukakan dan merupakan satu
kesatuan bagian yang tidak terpisahkan dalam Kesimpulan Para Teradu ini;
2. bahwa Para Teradu menolak dan membantah seluruh dalil-dalil Pengaduan
Pengadu dalam perkara a quo, kecuali yang diakui secara jelas dan tegas dalam
Jawaban dan Kesimpulan Para Teradu;
3. bahwa berdasarkan sidang pemeriksaan pada tanggal 28 Februari 2024, Pengadu
menghadirkan 2 (dua) orang saksi fakta atas nama Jauhari dan Ikhsan Fadilah,
Para saksi menyampaikan mereka mengetahui adanya dugaan kebocoran data
melalui media online maupun media cetak;
4. bahwa dalam Pengaduan a quo, Pengadu menilai Para Teradu melanggar Prinsip
Akuntabel yang diatur dalam ketentuan Pasal 6 ayat (2) huruf d dan Prinsip
Profesional yang diatur dalam Pasal 6 ayat (3) huruf f Peraturan Dewan
Kehormatan Penyelenggara Pemilihan Umum Nomor 2 Tahun 2017 tentang Kode
Etik dan Pedoman Penyelenggara Pemilihan Umum terkait adanya illegal access
dari situs resmi KPU;
5. bahwa berdasarkan sidang pemeriksaan ke-1 pada tanggal 28 Februari 2024,
Majelis Pemeriksa mendengarkan pokok pengaduan dari Pengadu, Jawaban Para
Teradu, mendengarkan keterangan Pihak Terkait dan Ahli, dan kesaksian dari
Saksi sebagai berikut:
a. Bahwa tindakan Para Teradu setelah mengetahui adanya dugaan illegal acces
pada data yang dimiliki oleh KPU melalui forum dengan link
https://breachforums.is. Para Teradu segera melakukan tindakan sebagai
berikut:
1) Melakukan pengecekan terhadap sistem informasi via threat armor
terhadap Sidalih;
2) menonaktifkan akun pengguna Sidalih sebagai upaya penanganan
peretasan lebih lanjut;
3) berkoordinasi dengan BSSN, BIN, Bareskrim Polri, Tim Pengembang
Sidalih, dan instansi terkait lainnya untuk mendapatkan data dan bukti
digital;
4) menganalisis log access, user management, dan log lain baik dari aplikasi
maupun server;
5) secara paralel melakukan update terhadap aplikasi yang meliputi
pengalihan fitur register ke admin, penambahan user hanya dilakukan
oleh Admin KPU Pusat, menambahkan fitur upload file Surat Tugas,
menghapus fitur Ubah Role dan Wilayah pengguna, menambahkan
security modul Captcha dan 2FA (two-factor authentication).
b. bahwa Pihak Pengembang Sidalih bersama Gugus Tugas mereviu kembali
proses bisnis mulai dari pengelolaan akun, jenis akun (mulai dari KPU, KPU
Provinsi, KPU Kabupaten/Kota, sampai dengan PPK dan PPS), melihat
manajemen akun, mengidentifikasi manajemen pengelolaan data pemilih dari
tingkat KPU RI sampai dengan KPU Kabupaten/Kota. Berdasarkan reviu di
atas, Pengembang diminta langsung melakukan perbaikan dan dilanjutkan
dengan penetration testing (pengujian untuk mengevaluasi sistem keamanan
perangkat dengan cara mensimulasikan serangan siber) secara langsung oleh
BSSN guna pengamanan sebelum aplikasi Sidalih digunakan kembali.
c. bahwa hingga saat ini dugaan illegal access belum dapat dibuktikan karena
pihak kepolisian masih melaksanakan tahap penyelidikan sebagaimana
Laporan Polisi LP/B/393/XII/2023/SPKT/BARESKRIMPOLRI tanggal 5
Desember 2023;
d. bahwa Pihak Terkait BSSN menyampaikan BSSN telah membentuk
pengamanan satgas siber untuk Pemilu dan Pilkada 2024 dengan
melaksanakan monitoring proteksi terhadap perangkat, PC, Laptop dan server
serta jaringan (monitoring anomali traffic pada KPU Pusat dan daerah);
e. bahwa Pihak Terkait Direktorat Jenderal Kependudukan dan Catatan SIpil
menerangkan mengenai kronologis penyerahan Data untuk bahan KPU dalam
menyusun DPT, Ditjen Dukcapil juga melakukan monitoring traffic pelayanan
database pada KPU daerah dan luar negeri dan tidak ditemukan anomali data
yang patut dicurigai;
f. bahwa Pihak Terkait Kementerian Komunikasi dan Informasi telah melakukan
siaran pers terkait dugaan illegal access pada data KPU yang pada pokoknya
tengah mengumpulkan data dan informasi terkait kebocoran data dan akan
meminta klarifikasi kepada KPU;
g. bahwa Ahli yang dihadirkan oleh Para Teradu atas nama Prof. Dr. Ir. Marsudi
Wahyu Kisworo, IPU (Anggota Dewan Pengarah pada Badan Riset dan Inovasi
Nasional) menyampaikan tidak ada sistem yang sempurna dan tidak dapat
diretas, oleh sebab itu penyedia jasa khususnya penyedia data pribadi harus
memberikan pengamanan yang memadai. Di Indonesia standar pengamanan
dapat diukur melalui ISO 27001, jika sudah mendapatkan sertifikat ISO maka
artinya sistem tersebut sudah memadai;
h. bahwa Ahli yang dihadirkan oleh Para Teradu atas nama Dr. Pratama Dahlian
Persadha (pendiri sekaligus Kepala Komisaris Lembaga Riset Keamanan Siber)
menerangkan yang pada pokoknya kebocoran data bisa terjadi kepada
siapapun, hal tersebut bukan merupakan kesalahan KPU in casu Para Teradu
karena telah melakukan upaya untuk menjaga keamanan sistem sesuai
dengan standar keamanan yang telah ditentukan oleh peraturan perundang-
undangan.
6. bahwa pada sidang pemeriksaan ke-2 pada tanggal 3 April 2024 dengan agenda
persidangan mendengarkan keterangan Pihak Terkait dan keterangan Ahli pada
pokoknya sebagai berikut:
a. Bahwa pada persidangan tanggal 3 April 2024 Para Teradu menghadirkan ahli
dari POLRI atas nama Fian Yunus S.I.K., M.T.I. (Kepala Unit Investigasi
Kejahatan Siber POLRI dan bagian dari gugus tugas siber keamanan Pemilu
2024) yang memberi keterangan sebagai berikut:
1) bahwa pada tanggal 22 November 2023 Siber POLRI melaksanakan
pertemuan dengan Kapusdatin dan BSSN di gedung Bareskrim Polri
dengan hasil KPU RI in casu Para Teradu akan menindaklanjuti temuan
BSSN dengan melakukan patching terhadap temuan yang ada;
2) bahwa tanggal 5 Desember 2023 KPU RI in casu Para Teradu membuat
laporan polisi dengan dugaan tindak pidana dengan sengaja dan tanpa
hak atau melawan hukum mengakses komputer dan/atau sistem
elektronik milik orang laindengan cara apapun dengan tujuan
memperoleh informasi elektronik dan/atau dokumen elektronik yang
diduga dilakukan oleh akun Jimbo;
3) bahwa pihak BSSN melaporkan terdapat anomali traffic di tanggal 26-27
November 2023 pada aplikasi Sidalih dan terdeteksi di daerah Bandung.
Berdasarkan hasil penyelidikan di tanggal 4-6 Desember 2023, pihak
gugus tugas siber keamanan Pemilu 2024 menemukan bahwa sedang
dilaksanakan Bimtek oleh KPU RI in casu Para Teradu sehingga semua
melakukan akses ke server KPU RI;
b. bahwa menurut Pihak Terkait Ditjen Dukcapil, berkaitan dengan dugaan data
bocor yang tersebar di breachforum.is bukanlah data yang berasal dari data
Ditjen Dukcapil dikarenakan dari struktur data dan elemen data yang ada
tidak sama dengan data yang dimiliki oleh Ditjen Dukcapil.
c. bahwa Ahli, Dr. Pratama Dahlian Persadha, menyampaikan setiap kebocoran
data tidak bisa dinyatakan sebagai kesalahan pemilik data, karena Institusi
yang paling hebat sekalipun bisa saja dapat serangan hacking. Dalam hal
standar keamanan sistem, KPU telah melakukan hal yang benar;
d. bahwa Ahli, Prof. Marsudi menyatakan sepanjang sistem telah mendapat
sertifikat ISO maka artinya sistem tersebut telah diuji oleh pakar dan
memadai untuk digunakan;
e. bahwa terhadap penyataan dari Prof. Marsudi terkait adanya sertifikat ISO
untuk membuktikan suatu sistem memadai sesuai dengan ketentuan Pasal
39 Undang-Undang Nomor 27 tahun 2022 tentang Perlindungan Data Pribadi
(selanjutnya disebut UU PDP) yang pada pokoknya mengatur bahwa
Pengendali Data Pribadi wajib mencegah data diakses secara tidak sah dengan
menggunakan aplikasi atau sistem elektronik yang andal.
f. bahwa selaras dengan penjelasan pada huruf e, KPU in casu Para Teradu
sebagai penyelenggara SPBE telah tersertifikasi ISO/IEC 27001:2013 untuk
standar sistem manajemen keamanan informasi (information security
management system) dengan nomor sertifikat IS 762126 dengan ruang
lingkup sistem manajemen keamanan informasi dalam penyediaan layanan
pusat data, pengembangan aplikasi dan infrastruktur per tanggal 10 Februari
2022 hingga 9 Februari 2025 (Bukti T-3);
7. Bahwa berdasarkan jawaban Pengadu atas pendalaman Majelis Pemeriksa DKPP
tersebut di atas, Para Teradu kembali menegaskan hal-hal sebagai berikut:
a. Bahwa Para Teradu in casu KPU sebagai Pengendali Data Pribadi sebagaimana
ketentuan Pasal 39 Undang-Undang Nomor 27 Tahun 2022 tentang
Perlindungan Data Pribadi berkewajiban untuk mencegah illegal access data
pribadi dengan menggunakan sistem elektronik secara andal, aman, dan
bertanggungjawab. Guna memenuhi ketentuan tersebut, Sidalih yang
merupakan salah satu sistem pemerintahan berbasis elektronik (SPBE) yang
dimiliki oleh Para Teradu telah tersertifikasi ISO/IEC 27001:2013 untuk
standar sistem manajemen keamanan informasi (information security
management system) dengan nomor sertifikasi IS 762126 dengan ruang
lingkup sistem manajemen keamanan informasi dalam penyediaan layanan
pusat data, pengembangan aplikasi dan infrastruktur per tanggal 10 Februari
2022 hingga 9 Februari 2025. Selain itu, Para Teradu juga membentuk Gugus
Tugas bersama instansi-instansi terbaik dalam bidang siber di negara ini
yakni BSSN, BIN, dan Siber Bareskrim POLRI untuk mencegah terjadinya
insiden atau gangguan keamanan. Rangkaian tindakan pencegahan dan
pengamanan SPBE Sidalih telah dilakukan secara bersama oleh gugus tugas
yang telah dibentuk seperti antara lain mengimplementasikan teknologi
firewall, web application firewall, filtering IP reputation, IPS dan berbagai uji
coba keamanan siber Information Technology Security Assessment (ITSA). Oleh
karena itu, upaya pencegahan agar tidak terjadi tindakan illegal access pada
Sidalih telah dilakukan oleh Para Teradu secara optimal dan maksimal.
b. Bahwa dugaan illegal access atas Sidalih tidak serta merta menetapkan telah
terjadinya kegagalan pelindungan data pribadi oleh penggendali data pribadi
in casu Para Teradu. Hal ini dikarenakan kegagalan pelindungan data pribadi
harus diuji kebenarannya dalam penilaian hukum yang hingga saat sidang
pemeriksaan di DKPP masih dalam tahapan penyidikan oleh Kepolisian.
8. Bahwa berdasarkan uraian sebagaimana tersebut pada angka 1 s.d 7 di atas,
Para Teradu tidak melanggar asas dan prinsip-prinsip penyelenggara pemilu serta
telah melaksanakan tugas, wewenang dan tanggung jawabnya berdasarkan
peraturan perundang-undangan;
9. Bahwa Para Teradu telah dengan jelas dan tegas menguraikan fakta dan dasar
hukum untuk menjawab, menjelaskan, dan/atau membantah dalil-dalil
Pengaduan Pengadu sebagaimana yang tersusun pada angka romawi I di atas;
10. Bahwa berdasarkan seluruh fakta dan dasar hukum yang telah Para Teradu
uraikan dalam Jawaban dan Kesimpulan ini, Para Teradu berpandangan bahwa
dalil-dalil Pengaduan Pengadu dalam perkara a quo tidaklah terbukti;
11. Bahwa berdasarkan uraian seluruh fakta dan dasar hukum yang Para Teradu
susun dalam Jawaban dan Kesimpulan ini membuktikan bahwa Para Teradu
tidak melanggar asas dan prinsip-prinsip penyelenggara pemilu serta telah
melaksanakan tugas, wewenang dan tanggung jawabnya berdasarkan peraturan
perundang-undangan;
[2.7] PETITUM PARA TERADU
Para Teradu memohon kepada Dewan Kehormatan Penyelenggara Pemilu berdasarkan
kewenangannya untuk memutuskan hal-hal sebagai berikut:
1. Menolak dalil-dalil aduan Pengadu untuk seluruhnya;
2. Menyatakan Para Teradu tidak terbukti melakukan pelanggaran kode etik
penyelenggara pemilihan umum;
3. Menyatakan Para Teradu telah menjalankan tahapan penyelenggaraan
pemilihan umum secara mandiri, jujur, adil, berkepastian hukum, tertib,
terbuka, proporsional, professional, akuntabel, efektif, dan efisien sesuai dengan
asas dan prinsip penyelenggaraan pemilihan umum; dan
4. Merehabilitasi nama baik Para Teradu terhitung sejak tanggal putusan
dibacakan.
5. Atau apabila Mejelis Pemeriksa pada DKPP RI yang memeriksa dan memutus
Pengaduan Pengadu dalam perkara a quo berpendapat lain, mohon untuk
menjatuhkan putusan dengan seadil-adilnya (ex aequo et bono).
[2.8] BUKTI PARA TERADU
Bahwa untuk menguatkan jawabannya Para Teradu telah menyerahkan alat bukti
sebagai berikut:
Bukti T-1 : Keputusan KPU Nomor 81 Tahun 2022 tentang Penetapan Aplikasi
Sistem Informasi Data Pemilih Berkelanjutan dan Portal
Lindungihakmu Sebagai Aplikasi Khusus Komisi Pemilihan
Umum;
Bukti T-2 : Peraturan KPU Nomor 5 Tahun 2021 tentang Penyelenggaraan
Sistem Pemerintahan Berbasis Elektronik (SPBE);
Bukti T-3 : Certificate of Registration Information Security Management
System ISO/IEC 27001:2013 No IS 762126;
Bukti T-4 : Peraturan Pemerintah Nomor 71 Tahun 2019 tentang
Penyelenggaraan Sistem dan Transaksi Elektronik;
Bukti T-5 : Peraturan Menteri Komunikasi dan Informatika Nomor 10 Tahun
2015 tentang Tata Cara Pendaftaran Sistem Elektronik Instansi
Penyelenggara Negara;
Bukti T-6 : Tanda Daftar Pendaftaran Sistem Elektronik (PSE) Nomor 554 yang
dikeluarkan oleh Kementerian Komunikasi dan Informatika;
Bukti T-7 : Ringkasan Eksekutif Hasil ITSA Komisi Pemilihan Umum Batch 4;
Bukti T-8 : Surat Nomor 34/TIK.02- SD/14/2023 tanggal 7 Juli 2023 Perihal
Laporan Tindak Lanjut Hasil Rekomendasi ITSA pada Aplikasi KPU
Tahun 2023 yang disampaikan kepada Badan Siber dan Sandi
Negara;
Bukti T-9 : Tangkap layar situs KPU yang dilakukan illegal access;
Bukti T-10 : press release pada website https://www.kpu.go.id/berita/bac
a/12118/siaran-pers-terkaitinformasi-dugaan-kebocoran-data-
milik-kpu hari Rabu tanggal 29 November 2023;
Bukti T-11 : Undangan Nomor 111/TIK.03- Und/14/2023 tanggal 28 November
2023 Perihal Undangan Rapat Koordinasi Teknis Satgas
Keamanan Cyber;
Bukti T-12 : Daftar Hadir Rapat Koordinasi Pengamanan Aplikasi Kepemiluan
Tahun 2024 tanggal 6 Desember 2023;
Bukti T-13 : Surat Nomor 7152/BSSN/D2/PS.02.02/12/202 3 tangal 11
Desember 2023 Perihal Imbauan Perbaikan Celah Keamanan
Aplikasi Hasil IT Security Assesment tahun 2023;
Bukti T-14 : Surat Nomor 61/TIK.03- SD/14/2023 tanggal 28 Desember 2023
Perihal Penyampaian Laporan Perbaikan Hasil ITSA;
Bukti T-15 : Surat Panggilan Ke-1 Nomor: S.Pgl/498/XII/RES.2.5/2023Dittip
idsiber atas Laporan Polisi LP/B/393/XII/2023/SPKT/BARE
SKRIM POLRI tanggal 5 Desember 2023;
Bukti T-16 : Surat Nomor: 1442/TIK.02-SD/14/2023 tanggal 5 Desember 2023
tentang Tindaklanjut Permintaan Klarifikasi Dugaan Kebocoran
Data Pribadi beserta lampiran Formulir Laporan Dugaan
Kebocoran Data Pribadi;
[2.9] KETERANGAN SAKSI AHLI PARA TERADU
Menimbang saat persidangan DKPP yang dilaksanakan pada tanggal 28 Februari 2024
dan 3 April 2024 Para Teradu menghadirkan 3 (tiga) Saksi Ahli, yang pada pokoknya
menerangkan hal-hal sebagai berikut:
[2.9.1] Prof. Dr. Ir. Marsudi Wahyu Kisworo, IPU
1. Bahwa Saksi Ahli merupakan Anggota Dewan Pengarah pada Badan Riset dan
Inovasi Nasional);
2. Bahwa tidak ada dibidang security tidak ada yang sempurna dan tidak dapat
diretas, sehingga yang ada adalah kita harus memenuhi protokol keamanan;
3. Bahwa sepanjang sistem telah mendapat sertifikat ISO maka artinya sistem
tersebut telah diuji oleh pakar dan memadai untuk digunakan. Adanya sertifikat
ISO untuk membuktikan suatu sistem memadai sesuai dengan ketentuan Pasal
39 Undang-Undang Nomor 27 tahun 2022 tentang Perlindungan Data Pribadi
(selanjutnya disebut UU PDP) yang pada pokoknya mengatur bahwa Pengendali
Data Pribadi wajib mencegah data di akses secara tidak sah dengan menggunakan
aplikasi atau sistem elektronik yang andal;
4. Di Indonesia standar pengamanan dapat diukur melalui ISO 27001, jika sudah
mendapatkan sertifikat ISO maka artinya sistem tersebut sudah memadai;
5. Bahwa sistim Pengamanan yang dilakukan oleh KPU sudah termasuk tinggi,
termasuk dengan adanya kerjasama dengan BSSN dan Kominfo telah sesuai
dengan UU 27 Tahun 2022, dengan memberikan pengamanan yang memadai;
6. Saksi Ahli menyatakan terdapat aplikasi blockchain yang sudah digunakan di
dunia Perbankan, sehingga KPU harusnya dapat menggunakannya ke depannya.
[2.9.2] Dr. Pratama Dahlian Persadha
1. Saksi Ahli merupakan pendiri sekaligus Kepala Komisaris Lembaga Riset
Keamanan Siber;
2. Bahwa pada pokoknya kebocoran data bisa terjadi kepada siapapun, hal tersebut
bukan merupakan kesalahan KPU in casu Para Teradu karena telah melakukan
upaya untuk menjaga keamanan sistem sesuai dengan standar keamanan yang
telah ditentukan oleh peraturan perundang-undangan;
3. Bahwa kalau kita tidak melakukan standar pengamanan Data, merupakan
Pelanggaran Berat, namun KPU sudah melakukan standar pengamanan dan kerja
sama dengan pihak-pihak terkait;
4. Bahwa ketika terjadi kebocoran data oleh Hacker yang sangat pintar, kita tidak
dapat berbuat apa-apa, kecuali melakukan mitigasi Data;
5. Bahwa walaupun KPU tidak salah dalam hal adanya kebocoran data, namun KPU
harus minta maaf terhadap masyarakat yang datanya diretas;
6. Saksi Ahli menyatakan menurut pendapatnya Data yang bocor tersebut 99.99 %
merupakan data dari Sidalih.
[2.9.3] AKBP. Fian Yunus, S.I.K., M.T.I
1. Saksi Ahli merupakan Kepala Unit Investigasi Kejahatan Siber POLRI dan bagian
dari gugus tugas siber keamanan Pemilu 2024;
2. Bahwa pada tanggal 22 November 2023 Siber POLRI melaksanakan pertemuan
dengan Kapusdatin dan BSSN di gedung Bareskrim Polri dengan hasil KPU RI in
casu Para Teradu akan menindaklanjuti temuan BSSN dengan melakukan
patching terhadap temuan yang ada;
3. Bahwa tanggal 5 Desember 2023, KPU RI in casu Para Teradu membuat laporan
polisi dengan dugaan tindak pidana dengan sengaja dan tanpa hak atau melawan
hukum mengakses komputer dan/atau sistem elektronik milik orang laindengan
cara apapun dengan tujuan memperoleh informasi elektronik dan/atau dokumen
elektronik yang diduga dilakukan oleh akun Jimbo;
4. bahwa pihak BSSN melaporkan terdapat anomali traffic di tanggal 26-27
November 2023 pada aplikasi Sidalih dan terdeteksi di daerah Bandung.
Berdasarkan hasil penyelidikan di tanggal 4-6 Desember 2023, pihak gugus tugas
siber keamanan Pemilu 2024 menemukan bahwa sedang dilaksanakan Bimtek
oleh KPU RI in casu Para Teradu sehingga semua melakukan akses ke server KPU
RI;
5. Penyelidikan dan Penyidikan terhadap kebocoran data tersebut merupakan lintas
teritorial, dalam hal ini servernya diduga di Amerika Serikat sehingga mengalami
kendala untuk penyelidikan lanjutan.
[2.10] KETERANGAN PIHAK TERKAIT
[2.10.1] Sekretaris Utama Badan Siber dan Sandi Negara (BSSN)
Bahwa DKPP memanggil Sekretaris Utama Badan Siber dan Sandi Negara (BSSN)
sebagai Pihak Terkait, yang pada sidang pemeriksaan menerangkan hal-hal sebagai
berikut:
1. Bahwa BSSN telah membentuk satgas pengamanan siber untuk Pemilu dan
Pilkada 2024 dengan melaksanakan monitoring proteksi terhadap perangkat, PC,
Laptop dan server serta jaringan (monitoring anomali traffic pada KPU Pusat dan
daerah);
2. Bahwa pada tanggal 7 Agustus 2023, BSSN telah menyampaikan undangan
pembahasan tindaklanjut Hasil IT Security Assessment terhadap beberapa
Aplikasi KPU RI;
3. Bahwa setelah terjadinya dugaan kebocoran Data Pemilih pada Aplikasi Sidalih
yang dilakukan oleh akun Jimbo, BSSN terus melakukan koordinasi dengan KPU
RI;
4. Bahwa pada tanggal 1 Desember 2023 telah mengundang KPU RI untuk Rapat
terkait dengan Tindak Lanjut Insiden Kebocoran Data KPU RI melalui Surat
Nomor: 7019/BSSN/D2/PS.02.02/12/2023;
5. Berdasarkan Rapat tersebut, diperoleh hasil pemeriksaan forensik digital yang
kemudian pada tanggal 2 Desember 2023 diserahkan kepada Bareskrim Polri;
6. Bahwa pada tanggal 8 Desember 2023, BSSN telah menyampaikan Laporan Hasil
IT Security Assessment terhadap Aplikasi KPU RI untuk dapat diperbaiki sebelum
dioperasionalkan;
7. Bahwa pada tanggal 12 Desember 2023, BSSN juga mengeluarkan Laporan Hasil
Pemeriksaan Forensik Digital Terkait Insiden Data Breach KPU Tahap 2 dan
diserahkan ke Bareskrim Polri;
8. Bahwa BSSN bersama KPU RI (Pengembang Sidalih) telah melakukan pengujian
sistem keamanan perangkat Sidalih dengan cara mensimulasikan serangan siber
sebelum aplikasi SIDALIH digunakan kembali;
[2.10.2] Sekretaris Jenderal Kementerian Komunikasi dan Informasi
Bahwa DKPP memanggil Sekretaris Jenderal Kementerian Komunikasi dan Informasi
sebagai Pihak Terkait, yang pada sidang pemeriksaan menerangkan hal-hal sebagai
berikut:
1. Bahwa pada tanggal 28 November 2023 mendapat informasi bahwa threat actor
bernama Jimbo menjual data-data dari KPU dengan jumlah baris sebanyak
252.327.304, kemudian kominfo melakukan pencarian informasi dan diperoleh
fakta bahwa data sebagaimana diklaim oleh akun Jimbo tersebut memiliki
kesamaan/identik dengan data Sidalih, sehingga kemudian mengirimkan Surat
Permintaan Klarifikasi kepada KPU;
2. Bahwa pada tanggal 29 November 2023, Kominfo telah mengeluarkan siaran pers
terkait dugaan illegal access pada data KPU yang pada pokoknya tengah
mengumpulkan data dan informasi terkait kebocoran data dan akan meminta
klarifikasi kepada KPU;
3. Bahwa KPU membalas Surat Kominfo pada tanggal 5 Desember 2023, pada
pokoknya bahwa insiden tersebut sedang dilakukan pemeriksaan melalui anlisis
log akses, manajemen pengguna dan log lainnya pada Sidalih;
4. Berdasarkan Formulir Kebocoran Data, KPU menyatakan bahwa insiden tersebut
disebabkan oleh insiden siber dan diperkirakan subjek data yang terdampak
sebanyak 500.000 dan menjelaskan mengenai langkah pengamanan dalam
rangka pencegahan sebelum dan sesudah insiden terjadi;
5. Bahwa pada tanggal 20 Desember 2023, Direktur Pengendali Aplikasi Informatika
bersurat ke KPU mengenai permintaan klarifikasi lanjutan terhadap dugaan
kebocoran;
[2.10.3] Direktur Jenderal Dukcapil Kemendagri
Bahwa DKPP memanggil Direktur Jenderal Dukcapil Kemendagri sebagai Pihak Terkait,
yang pada sidang pemeriksaan menerangkan hal-hal sebagai berikut:
1. Bahwa Direktorat Jenderal Kependudukan dan Catatan Sipil menerangkan
mengenai kronologis penyerahan Data untuk bahan KPU dalam menyusun DPT;
2. Pada tanggal 14 Desember 2022 telah menyerahkan sejumlah 204.656.053 jiwa
Data Penduduk Potensial Pemilih Pemilu (DP4). Bahwa DP4 yang diserahkan
dalam kondisi kolom terenkripsi (menggunakan aplikasi Key Management system)
dan dan ada kolom yang tidak terenkripsi;
3. Kemendagri telah memberikan akses pemanfaatan data kependudukan berupa
web portal untuk memfasilitasi KPU RI dan jajarannya melakukan verifikasi dan
validasi;
4. Berkenaan dengan isu kebocoran data, telah dilakukan penelusuran dan ujicoba
pada aplikasi https://cek@ptonline.kpu.go.id tidak ditemukan akses secara
realtime/online melalui Ditjen Dukcapil ke dalam database kependudukan;
5. Berkaitan dengan dugaan data bocor yang tersebar di breachforum.is bukanlah
data yang berasal dari data Ditjen Dukcapil dikarenakan dari struktur data dan
elemen data yang ada tidak sama dengan data yang dimiliki oleh Ditjen Dukcapil;
6. Berdasarkan hasil monitoring trafik pelayanan pada database SIAK Terpusat,
tidak menunjukan adanya anomali penggunaan akses yang patut dicurigai;
7. Berdasarkan hasil monitoring akses pemanfaatan data kependudukan, tidak
ditemukan anomali akses / lonjakan akses yang berlebihan;
8. Berdasarkan hasil monitoring trafik jaringan komunikasi data dari
provinsi/kabupaten/kota dan perwakilan RI di luar negeri menunjukan akses
yang normal;
9. Bahwa untuk tindakan preventif dan antisipatif pada saat terjadi isu kebocoran
data tersebut, Dukcapil memutuskan sementara akses pemanfaatan data
kependudukan yang digunakan oleh KPU mulai tanggal 28 November 2023, dan
sudah diaktifkan kembali mulai tanggal 27 Desember 2023;
10. Dukcapil rutin melakukan monitoring terhadap database pelayanan SIAK
Terpusat secara terus menerus selama 24 jam non stop;
11. Dukcapil monitoring trafik jaringan internet yang mengarah ke dalam
infrastruktur jaringan Dukcapil;
12. Dukcapil sedang mempercepat pembangunan dan implementasi system
manajemen keamanan informasi data kependudukan yang saat ini sedang dalam
proses pengerjaan;
13. Dukcapil telah menghimbau seluruh jajaran Dinas Dukcapil
Provinsi/Kabupaten/Kota untuk lebih waspada dan cermat dalam melakukan
pelayanan;
14. Dukcapil telah melakukan perbaikan terhadap semua aplikasi berdasarkan
rekomendasi hasil ITSA dari BSSN;
[2.10.4] Badan Pengawas Pemilihan Umum
Bahwa DKPP memanggil Badan Pengawas Pemilihan Umum sebagai Pihak Terkait,
yang pada pokoknya menerangkan hal-hal sebagai berikut:
1. Bahwa dalam melaksanakan tugas Pengawasan dalam Pemutakhiran data
Pemilih, Bawaslu RI pada taggal 20 Februari 2023 menyurati KPU RI untuk
meminta akses Data Pemilih dan Sidalih;
2. Karena belum mendapatkan akses Sidalih, pada tanggal 24 Maret 2023 kembali
menyurati KPU RI meminta akses Data Pemilih dan Sidalih;
3. Pada tanggal 6 April 2023, KPU RI baru memberikan akses Sidalih kepada
Bawaslu RI;
4. Bahwa karena terbatasnya akses data Pemilih yang diberikan oleh KPU RI, Pihak
terkait tidak dapat memastikan akurasi data Pemilih;
5. Berdasarkan Hasil Pengawasan terkait Kebocoran Data DPT, disimpulkan:
a. Bawaslu RI tidak memiliki instrumen untuk menentukan adanya dugaan
pelanggaran terkait Kebocoran Data DPT;
b. Bawaslu RI memandang untuk menentukan adanya Kebocoran Data DPT,
menjadi tugas dan wewenang Lembaga terkait yang memiliki kompetensi dan
instrumen di bidang keamanan Data;
6. Bahwa setelah terjadi kebocoran data DPT, berdasarkan hasil pengawasan sampai
tanggal 26 Februari 2024, Pihak Terkait belum dapat mengakses Sidalih melalui
akun Sidalih yang dimiliki Bawaslu RI;
[2.10.5] Kepala Bidang Pusdatin Komisi Pemilihan Umum
Bahwa Kepala Bidang Pusdatin Komisi Pemilihan Umum atas nama Andre Putra
Hermawan selaku Pihak Terkait, pada sidang pemeriksaan menerangkan hal-hal
sebagai berikut:
1. Bahwa tingginya Log (aktivitas) Sidalih akibat adanya aktivitas pencermatan
DPTb, Bimtek Sirekap yang dilakukan KPU kepada KPU Kabupaten/Kota;
2. Bahwa tidak semua data yang diberikan oleh Jimbo benar adanya atau sesuai
sedangan data pada SIDALIH;
3. Bahwa setelah adanya pemberitaan adanya kebocoran data pada Sidalih, maka
pada tanggal 27 November 2023 langsung dilakukan mitigasi Data;
4. Bahwa karena sebaran IP addres besar pada saat data tersebut ditarik, sehingga
sulit untuk menemukan Pelakunya;
V. PERTIMBANGAN PUTUSAN
[4.1] Menimbang Pengadu pada pokoknya mendalilkan bahwa Para Teradu diduga
melakukan pelanggaran Kode Etik dan Pedoman Perilaku Penyelenggara Pemilu. Para
Teradu diduga tidak professional dan akuntabel dalam menjaga kerahasian data
pribadi dalam hal ini Data Pemilih pada aplikasi Sidalih yang dikelolah langsung oleh
Para Teradu. Bahwa berdasarkan pemberitaan portal media CNN Indonesia dengan
judul “DATA DPT KPU DIDUGA BOCOR DIBOBOL PERETAS, BARESKRIM TURUN
TANGAN”, pada tanggal 29 November 2023 ang pada intinya pemberitaan tersebut
menerangkan bahwa akun Jimbo di situs peretasan Breach Forums mengunggah data
Pemilih yang diduga dari aplikasi KPU dalam hal ini Sidalih. Kemudian berdasarkan
pemperitaan pada portal media lainnya yaitu Kompas.com dengan judul: “Kompas.com
News Nasional Menkominfo: Data KPU yang Bocor adalah Data DPT Pemilu 2024” yang
pada intinya diberitakan bahwa: “Menteri Komunikasi dan Informatika (Menkominfo)
Budi Arie Setiadi mengatakan, data yang bocor dari situs resmi Komisi Pemilihan
Umum (KPU) merupakan data Daftar Pemilih Tetap (DPT)”. Dugaan akan kebocoran
data tersebut juga dibahas dalam berita Kompas Petang dimana pakar keamanan siber
CISSReC Pratama Persadha menyatakan: “500.000 data yang dijadikan sampel oleh
peretas Jimbo setelah diverifikasi merupakan data yang valid”. Demikian halnya
pernyataan Ruby Alamsyah seorang Ahli Telekomunikasi yang menyampaikan sebaran
dari 500,000 DPT yang sengaja dipoleh peretas adalah 398.000-an berasal dari pemilih
di Kabupaten Siak, Riau dan sekitar 101.000 dari Kabupaten Sorong, Papua Barat.
Bahwa pada tanggal 30 November 2023, Pengadu juga menyaksikan video Narasi
Newsroom dengan judul: “Skandal Kebocoran DPT Pemilu 2023: Ngobrol Bareng Jimbo
Peretas Situs KPU | Buka Mata” yang pada intinya memberitakan hasil investigasi data
pemilih yang diretas terhadap sistem pencocokan DPT Online KPU. Berdasarkan uraian
fakta tersebut, Para Teradu patut diduga melanggar ketentuan Pasal 39 ayat (1) dan
Pasal 46 Undang Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi.
[4.2] Menimbang jawaban dan keterangan Para Teradu pada pokoknya menolak
seluruh dalil aduan Pengadu pada angka [4.1]. Para Teradu menyatakan telah
menyusun daftar pemilih pada Pemilu 2024 berpedoman pada ketentuan Undang-
Undang Nomor 7 Tahun 2017 tentang Pemilihan Umum dan Peraturan Komisi
Pemilihan Umum Nomor 7 Tahun 2023 tentang Perubahan atas Peraturan Komisi
Pemilihan Umum Nomor 7 Tahun 2022 tentang Penyusunan Daftar Pemilih dalam
Penyelenggaraan Pemilihan Umum dan Sistem Informasi Data Pemilih. Terkait dengan
penyusunan Daftar Pemilih menggunakan Sistem Informasi Data Pemilih (Sidalih),
sesuai dengan Keputusan KPU Nomor 81 Tahun 2022 tentang Penetapan Aplikasi
Sistem Informasi Data Pemilih Berkelanjutan dan Portal Lindungihakmu. Sidalih
merupakan Aplikasi Khusus KPU dalam mewujudkan prinsip tata kelola pemerintahan
yang bersih, efektif, transparan, dan akuntabel, serta pelayanan publik yang
berkualitas dan terpercaya di lingkungan KPU diatur dalam Peraturan KPU Nomor 5
Tahun 2021 tentang Penyelenggaraan Sistem Pemerintahan Berbasis Elektronik
(SPBE). Bahwa SIDALIH telah tersertifikasi ISO/IEC 2001:2013 untuk standar sistem
manajemen keamanan informasi (information security management system) dengan
nomor sertifikat IS 762126 dengan ruang lingkup sistem manajemen keamanan
informasi dalam penyediaan layanan pusat data, pengembangan aplikasi dan
infrastruktur per tanggal 10 Februari 2022 hingga 9 Februari 2025 (vide Bukti T-3).
Sidalih dikembangkan oleh tim developer Institut Pertanian Bogor (IPB) sebagai
penyedia. Sidalih telah terdaftar pada Kementerian Komunikasi dan Informatika pada
7 Juni 2018, sesuai Tanda Daftar Pendaftaran Sistem Elektronik (PSE) Nomor 554 yang
dikeluarkan oleh Kementerian Komunikasi dan Informatika (vide Bukti T-6). Selain
telah terdaftar, Sidalih juga telah melalui serangkaian uji coba keamanan siber dengan
melibatkan pihak BSSN melalui kegiatan Information Technology Security Assessment
(ITSA). Kegiatan tersebut dilaksanakan pada tanggal 27 Februari 2023 s.d. 3 Maret
2023 terhadap terdapat 3 (tiga) sistem elektronik milik Komisi Pemilihan Umum Batch
IV (vide Bukti T-7). Adapun Para Teradu juga telah menindaklanjuti hasil ITSA dari
BSSN dimaksud dengan berkoordinasi kepada pihak pengembang Sidalih (vide Bukti
T-8).
Berkenaan dugaan kebocoran data pemilih yang diduga bersumber dari
SIDALIH, Para Teradu baru mengetahui pada tanggal 27 November 2023, sekitar pukul
15.00 WIB. Pada forum dengan link https://breachforums.is, akun bernama Jimbo
menyampaikan klaim telah memiliki 252.327.304 data yang bersumber dari Sidalih
dan menjualnya di forum situs online. Bahwa setelah mengetahui terjadi illegal access
yang diduga bersumber dari Sidalih, Para Teradu segera menindaklanjuti dengan
melakukan: 1) melakukan pengecekan terhadap sistem informasi via threat armor
terhadap Sidalih, 2) menonaktifkan akun pengguna Sidalih sebagai upaya penanganan
peretasan lebih lanjut, 3) berkoordinasi dengan BSSN, BIN, Bareskrim Polri, Tim
Pengembang Sidalih, dan instansi terkait lainnya untuk mendapatkan data dan bukti
digital, 4) menganalisis log access, user management, dan log lain baik dari aplikasi
maupun server, 5) secara paralel melakukan update terhadap aplikasi yang meliputi
pengalihan fitur register ke admin, penambahan user hanya dilakukan oleh Admin KPU
Pusat, menambahkan fitur upload file Surat Tugas, menghapus fitur Ubah Role dan
Wilayah pengguna, menambahkan security modul Captcha dan 2FA (two-factor
authentication). Bahwa Pihak Pengembang Sidalih bersama Gugus Tugas mereviu
kembali proses bisnis mulai dari pengelolaan akun, jenis akun (mulai dari KPU, KPU
Provinsi, KPU Kabupaten/Kota, sampai dengan PPK dan PPS), melihat manajemen
akun, mengidentifikasi manajemen pengelolaan data pemilih dari tingkat KPU RI
sampai dengan KPU Kabupaten/Kota. Berdasarkan hasil reviu, dilakukan perbaikan
dan dilanjutkan pengujian untuk mengevaluasi sistem keamanan perangkat dengan
cara mensimulasikan serangan siber secara langsung oleh BSSN guna pengamanan
sebelum aplikasi Sidalih digunakan kembali. Bahwa terkait dugaan illegal access
padaSidalih, belum dapat dibuktikan karena pihak kepolisian masih melaksanakan
tahap penyelidikan terhadap Laporan Polisi
LP/B/393/XII/2023/SPKT/BARESKRIMPOLRI, tanggal 5 Desember 2023 (vide Bukti
T-15). Berdasarkan uarian tersebut, Para Teradu telah melakukan perlindungan data
pribadi (data pemilih) sebagaimana Pasal 38 dan Pasal 39 Undang-Undang Nomor 27
Tahun 2022 tentang Perlindungan Data Pribadi.
Pengadu menilai dikarenakan terjadi kegagalan Pelindungan Data Pribadi, maka
Para Teradu sebagai Pengendali Data Pribadi wajib menyampaikan pemberitahuan
secara tertulis. Namun demikian, jikalau memang terjadi kegagalan pelindungan data
pribadi – quad non – berdasarkan Pasal 50 UU No. 27/2022 ketentuan menyampaikan
pemberitahuan secara tertulis tersebut dikecualikan untuk kepentingan umum dalam
rangka penyelenggaraan negara. Para Teradu telah melakukan upaya perlindungan dan
pencegahan terhadap data Pemilih yang terdapat dalam Sidalih dan telah pula
melakukan berbagai upaya sesuai peraturan perundang-undangan dalam menghadapi
adanya dugaan illegal access dengan profesional dan akuntabel. Berdasarkan seluruh
uraian fakta tersebut, Para Teradu berpandangan dalil-dalil aduan Pengadu dalam
perkara a quo tidak terbukti dan terdapat cukup alasan bagi DKPP untuk menolak
seluruh dalil-dalil Pengadu atau setidak-tidaknya menyatakan dalil-dalil Pengadu tidak
dapat diterima niet ontvankelijke verklaard.
[4.3] Menimbang jawaban, keterangan para pihak, bukti dan dokumen yang
disampaikan oleh Para Pihak, berkenaan dalil aduan Pengadu pada angka [4.1],
terungkap fakta bahwa Pengadu mengadukan Para Teradu berkenaan dugaan
kebocoran data pemilih yang diduga bersumber dari Sidalih (vide Bukti P-1, Bukti P-2,
Bukti P-3, Bukti P-4, dan Bukti P-5). Para Teradu diduga tidak profesional dan tidak
akuntabel dalam menjaga kerahasian data pribadi dalam hal ini Data Pemilih pada
Sidalih yang dikelolah langsung oleh Para Teradu. Bahwa pada forum dengan link
https://breachforums.is, akun bernama Jimbo menyampaikan klaim telah memiliki
252.327.304 data Pemilih yang bersumber dari Sidalih.
Terungkap fakta bahwa Sidalih merupakan penyusunan Daftar Pemilih
menggunakan sistem informasi data Pemilih, sesuai dengan Keputusan KPU Nomor 81
Tahun 2022 tentang Penetapan Aplikasi Sistem Informasi Data Pemilih Berkelanjutan
dan Portal Lindungihakmu. Sidalih merupakan aplikasi khusus KPU dalam
mewujudkan prinsip tata kelola pemerintahan yang bersih, efektif, transparan, dan
akuntabel, serta pelayanan publik yang berkualitas dan terpercaya di lingkungan KPU
diatur dalam Peraturan KPU Nomor 5 Tahun 2021 tentang Penyelenggaraan Sistem
Pemerintahan Berbasis Elektronik (SPBE). Untuk standar sistem manajemen
keamanan informasi, Sidalih telah tersertifikasi ISO/IEC 27001:2013 dengan nomor
sertifikat IS 762126 (vide Bukti T-3). Sidalih juga telah terdaftar pada Kementerian
Komunikasi dan Informatika pada 7 Juni 2018 (vide Bukti T-6) dan telah melalui
serangkaian uji coba keamanan siber dengan melibatkan pihak BSSN melalui kegiatan
Information Technology Security Assessment (ITSA).
Terungkap fakta dalam sidang pemeriksan, Para Teradu mengetahui dugaan
kebocoran data pemilih tersebut pada tanggal 27 November 2023, sekitar pukul 15.00
WIB. Menindaklanjuti hal tersebut, Para Teradu pada tanggal 29 November 2023,
melakukan koordinasi bersama dengan Tim Gugus Tugas Keamanan Siber Teknologi
Informasi dan Komunikasi KPU yang terdiri dari elemen KPU, Bareskrim Polri, BSSN,
BIN, dan Kementerian Komunikasi dan Informatika (Kemenkominfo) Republik
Indonesia (vide Bukti T-11). Terkait dugaan kebocoran data pemilih tersebut, Para
Teradu menempuh kebijakan dengan: 1) melakukan pengecekan terhadap sistem
informasi via threat armor terhadap Sidalih, 2) menonaktifkan akun pengguna Sidalih
sebagai upaya penanganan peretasan lebih lanjut, 3) berkoordinasi dengan BSSN, BIN,
Bareskrim Polri, Tim Pengembang Sidalih, dan instansi terkait lainnya untuk
mendapatkan data dan bukti digital, 4) menganalisis log access, user management, dan
log lain baik dari aplikasi maupun server, 5) secara paralel melakukan update terhadap
aplikasi yang meliputi pengalihan fitur register ke admin, penambahan user hanya
dilakukan oleh Admin KPU Pusat, menambahkan fitur upload file Surat Tugas,
menghapus fitur Ubah Role dan Wilayah pengguna, menambahkan security modul
Captcha dan 2FA (two-factor authentication). Kemudian tanggal 29 November 2023,
Bahwa Para Teradu menyampaikan press release melalui website kpu.go.id (vide Bukti
T-10). Bahwa terkait dugaan illegal access pada Sidalih, Para Teradu menindaklanjuti
dengan melakukan pelaporan, sesuai dengan Laporan Polisi
LP/B/393/XII/2023/SPKT/BARESKRIMPOLRI, tanggal 5 Desember 2023 (vide Bukti
T-15).
Berdasarkan uraian fakta tersebut DKPP menilai, berkenaan aplikasi Sidalih
yang merupakan penyusunan Daftar Pemilih menggunakan sistem informasi data
Pemilih telah memenuhi standar sistem manajemen keamanan informasi dan telah
tersertifikasi sesuai dengan standar keamanan ISO/IEC 27001:2013. Dengan demikian
Sidalih telah teruji dan memadai untuk digunakan oleh Para Teradu dalam
pelaksanaan Pemilu Tahun 2024. Hal tersebut sesuai dengan pendapat Saksi Ahli Para
Teradu atas nama Marsudi Wahyu Kisworo dan Pratama Dahlian Persadha. Berkenaan
dugaan kebocoran data pemilih yang diduga bersumber dari Sidalih, DKPP menilai Para
Teradu telah menindaklanjuti sesuai tata cara prosedur dan mekanisme yang berlaku.
Para Teradu telah berkoordinasi dengan Bareskrim Polri, BSSN, BIN, dan Kementerian
Komunikasi dan Informatika (Kemenkominfo) Republik Indonesia (vide Bukti T-11).
Berdasarkan hasil pemeriksaan forensik digital yang dilakukan oleh BSSN pada tanggal
2 Desember 2023, ditemukan fakta bahwa berdasarkan hasil analisis pada access log,
diperoleh informasi adanya akses data ke dalam server Sidalih pada tanggal 26-27
November 2023 sejumlah 22,34572325 GB. Kemudian pada tanggal 5 Desember 2023,
Para Teradu membuat laporan polisi dengan dugaan tindak pidana dengan sengaja dan
tanpa hak atau melawan hukum mengakses komputer dan/atau sistem elektronik
milik orang lain dengan cara apapun dengan tujuan memperoleh informasi elektronik
dan/atau dokumen elektronik yang diduga dilakukan oleh akun Jimbo kepada
Bareskrim Polri (vide Bukti T-15). Berdasarkan uraian fakta tersebut, DKPP menilai
terhadap kebocoran data pemilih Sidalih, Para Teradu sepatutnya menindaklanjuti
dengan memedomani ketentuan Pasal 46 Undang Undang Nomor 27 Tahun 2022
tentang Perlindungan Data Pribadi. Berdasarkan ketentuan a quo, Para Teradu
diwajibkan melakukan pemberitahuan kepada masyarakat sebagai bentuk
pertanggungjawaban publik. Hal tersebut sejalan dengan prinsip jujur, kepastian
hukum, tertib, terbuka dan akuntabel selaku penyelenggara Pemilu. Dalih Para Teradu
bahwa terhadap dugaan kebocoran data Pemilih belum dapat dibuktikan karena pihak
Bareskrim Polri masih melaksanakan tahap penyelidikan, tidak dibenarkan menurut
etika penyelenggara Pemilu. Dengan demikian, dalil aduan Pengadu pada angka [4.1]
terbukti dan jawaban Para Teradu tidak meyakinkan DKPP. Para Teradu terbukti
melanggar ketentuan Pasal 6 ayat (2) huruf d, Pasal 6 ayat (3) huruf d, Pasal 9 huruf a,
Pasal 11 huruf a dan huruf c, Pasal 12 huruf e, Pasal 13 huruf c, Pasal 16 huruf b dan
huruf e Peraturan Dewan Kehormatan Penyelenggara Pemilu Nomor 2 Tahun 2017
tentang Kode Etik dan Pedoman Perilaku Penyelenggara Pemilu;
[4.4] Menimbang dalil Pengadu selebihnya, DKPP tidak relevan untuk
mempertimbangkan.
