Definisi
Cloud computing atau komputasi awan adalah model penyediaan layanan teknologi informasi yang memungkinkan pengguna mengakses sumber daya komputasi — server, penyimpanan data, jaringan, hingga perangkat lunak — lewat internet secara on-demand, tanpa perlu membeli dan merawat sendiri perangkat kerasnya. Pengguna cukup membayar sesuai pemakaian, mirip berlangganan listrik atau air, dan penyedia layanan yang menanggung urusan infrastruktur di baliknya.
Secara hukum, yang membuat cloud computing berbeda dari sekadar “menyewa server” biasa adalah lokasi data yang sering kali tidak jelas bagi pengguna awam — data bisa disimpan di pusat data mana saja milik penyedia, termasuk di luar negeri, kecuali diatur lain lewat kontrak atau regulasi. Ketidakjelasan lokasi ini yang menjadi perhatian utama regulator, terutama untuk data milik lembaga negara dan data pribadi warga.
Tiga model layanan yang umum dikenal adalah Infrastructure as a Service (IaaS, menyediakan server dan penyimpanan mentah), Platform as a Service (PaaS, menyediakan lingkungan pengembangan aplikasi siap pakai), dan Software as a Service (SaaS, menyediakan aplikasi jadi yang tinggal dipakai lewat browser). Ketiganya punya implikasi tanggung jawab yang berbeda: semakin banyak yang dikelola penyedia layanan, semakin besar pula porsi tanggung jawabnya atas keamanan dan keandalan sistem.
Dasar Hukum
Penyelenggaraan cloud computing di Indonesia tunduk pada PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, yang mewajibkan setiap penyelenggara sistem elektronik menjaga sistemnya tidak memuat informasi yang dilarang dan bertanggung jawab atas keandalan layanannya. Ketentuan yang lebih spesifik menyangkut lokasi penyimpanan data berlaku bagi Penyelenggara Sistem Elektronik Lingkup Publik, yaitu instansi pemerintah atau badan yang ditunjuk mengelola data untuk kepentingan publik — bagi mereka, pengelolaan dan penyimpanan data wajib dilakukan di wilayah Indonesia.
Untuk sistem elektronik yang dikelola sektor privat, kewajiban lokasi datanya lebih longgar dan bergantung pada sektor usahanya masing-masing — misalnya sektor perbankan dan keuangan punya aturan tersendiri dari OJK soal penggunaan layanan cloud, sementara sektor lain umumnya lebih fleksibel selama tetap menjamin keandalan dan keamanan sistem sesuai standar yang berlaku.
Jenis-Jenis Model Cloud
Selain pembagian IaaS, PaaS, dan SaaS, cloud computing juga dibedakan dari sisi model penyebarannya: cloud publik (infrastruktur dibagi banyak pengguna dari berbagai perusahaan dalam satu penyedia besar), cloud privat (infrastruktur khusus dipakai satu organisasi saja, baik dikelola sendiri maupun oleh pihak ketiga), dan cloud hybrid (kombinasi keduanya, biasanya data sensitif disimpan di cloud privat sementara beban kerja umum berjalan di cloud publik). Pemilihan model ini biasanya dipengaruhi juga oleh kewajiban kepatuhan sektor usaha, bukan semata pertimbangan biaya atau performa.
Ilustrasi
Sebuah instansi pemerintah daerah memindahkan sistem pelayanan publiknya ke layanan cloud milik penyedia asing tanpa memperhatikan bahwa statusnya sebagai Penyelenggara Sistem Elektronik Lingkup Publik mewajibkan penyimpanan data di wilayah Indonesia. Setelah diaudit oleh kementerian terkait, instansi tersebut diminta memindahkan datanya ke pusat data yang berlokasi di dalam negeri, meski penyedia layanannya tetap sama karena banyak penyedia global sudah membuka pusat data lokal untuk memenuhi kebutuhan pasar Indonesia.
Kasus berbeda dialami sebuah startup rintisan bernama usaha Pak Doni yang kehilangan seluruh data pelanggannya ketika penyedia cloud yang dipakainya mengalami gangguan besar tanpa ada mekanisme cadangan yang memadai. Karena perjanjian layanan (SLA) yang diteken di awal tidak mengatur secara jelas tanggung jawab penyedia atas kehilangan data, Pak Doni kesulitan menuntut ganti rugi dan akhirnya hanya menerima kompensasi berupa perpanjangan masa langganan gratis.
Batas dan Pengecualian
Kewajiban penyimpanan data di wilayah Indonesia tidak berlaku mutlak untuk semua jenis data dan semua jenis penyelenggara. Data yang tergolong strategis atau menyangkut kepentingan publik memang wajib dikelola di dalam negeri, tetapi penyelenggara sistem elektronik lingkup privat pada umumnya diberi keleluasaan lebih besar, selama tetap bisa diakses oleh otoritas pengawas untuk keperluan penegakan hukum bila dibutuhkan. Pengecualian juga berlaku ketika teknologi penyimpanan yang dibutuhkan belum tersedia secara memadai di dalam negeri, sehingga penyimpanan sementara di luar negeri masih dimungkinkan dengan syarat tertentu.
Praktik di Lapangan
Dalam praktiknya, banyak perusahaan Indonesia — terutama startup dan UKM — menggunakan layanan cloud publik dari penyedia global karena biayanya lebih terjangkau dibanding membangun infrastruktur sendiri, tanpa selalu menyadari implikasi hukum soal lokasi data dan tanggung jawab kontraktual. Hal yang paling sering luput diperhatikan adalah isi perjanjian layanan (SLA) yang sebenarnya menentukan siapa bertanggung jawab kalau terjadi gangguan, kebocoran data, atau kehilangan data — banyak pengguna baru membaca detail ini setelah masalah terjadi, padahal semestinya jadi bahan pertimbangan sebelum memilih penyedia. Perusahaan yang mengelola data pribadi pelanggan dalam jumlah besar sebaiknya juga memastikan penyedia cloud yang dipilih mendukung kepatuhan terhadap kewajiban sebagai pengendali data menurut UU Pelindungan Data Pribadi, termasuk soal enkripsi, kontrol akses, dan mekanisme notifikasi jika terjadi kebocoran data.
Perusahaan tetap berstatus sebagai pengendali data meski menyewa infrastruktur dari penyedia cloud, sehingga tanggung jawab hukum atas keamanan data pelanggan tidak otomatis berpindah ke penyedia layanan hanya karena datanya disimpan di server pihak ketiga. Penyedia cloud dalam hal ini biasanya berperan sebagai prosesor data yang wajib mengikuti instruksi keamanan dari perusahaan yang menyewanya, bukan pihak yang menentukan sendiri bagaimana data pelanggan diperlakukan.