Definisi
Internet of Things (IoT) dan hukum merujuk pada persoalan-persoalan hukum yang muncul akibat penggunaan perangkat fisik yang terhubung ke internet dan mampu mengumpulkan, mengirim, atau bertukar data secara otomatis tanpa selalu memerlukan campur tangan manusia secara langsung. Perangkat semacam ini kini ada di mana-mana: kamera keamanan rumah, jam tangan pintar yang merekam detak jantung, kendaraan yang terus mengirim data lokasi, hingga sensor di pabrik yang memantau kondisi mesin secara real-time.
Persoalan hukum muncul karena perangkat IoT sering mengumpulkan data secara terus-menerus dan diam-diam, bahkan ketika penggunanya tidak sedang aktif memakainya. Sebuah kamera pintar di rumah misalnya, terus merekam aktivitas penghuni rumah selama dua puluh empat jam, sehingga menimbulkan pertanyaan siapa yang berhak mengakses rekaman itu, berapa lama data itu disimpan, dan bagaimana jika data tersebut bocor atau disalahgunakan oleh pihak ketiga.
Di Indonesia, IoT belum diatur dalam satu undang-undang khusus, sehingga persoalan hukumnya ditangani lewat kombinasi berbagai aturan yang sudah ada, mulai dari aturan tentang sistem elektronik hingga aturan perlindungan data pribadi.
Dasar Hukum
Undang-undang tentang informasi dan transaksi elektronik mewajibkan setiap penyelenggara sistem elektronik, termasuk penyedia layanan dan platform yang menopang perangkat IoT, untuk menyelenggarakan sistemnya secara andal, aman, dan bertanggung jawab atas beroperasinya sistem tersebut. Aturan yang sama menegaskan bahwa penggunaan informasi lewat media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutan, kecuali ditentukan lain oleh peraturan perundang-undangan.
Undang-undang tentang pelindungan data pribadi menjadi rujukan tambahan yang mengatur secara lebih rinci kewajiban perusahaan yang mengumpulkan data lewat perangkat IoT, termasuk kewajiban transparansi tentang data apa yang dikumpulkan, tujuan pengumpulannya, dan hak subjek data untuk mengakses atau menghapus data yang telah dikumpulkan dari perangkatnya. Ketentuan mengenai penyelenggaraan sistem dan transaksi elektronik juga relevan bagi perusahaan yang menyelenggarakan layanan berbasis IoT kepada publik.
Jenis-Jenis Perangkat IoT
Perangkat IoT yang beredar di Indonesia bisa dikelompokkan menurut penggunaannya. Pertama, perangkat rumah pintar seperti kamera keamanan, kunci pintu digital, dan asisten suara, yang mengumpulkan data aktivitas dan percakapan penghuni rumah. Kedua, perangkat wearable seperti jam tangan pintar dan pelacak kebugaran, yang mengumpulkan data kesehatan dan lokasi penggunanya secara terus-menerus.
Ketiga, kendaraan terhubung yang mengirim data lokasi, kecepatan, dan kebiasaan berkendara kepada produsen atau penyedia layanan asuransi. Keempat, perangkat kesehatan digital seperti alat pemantau kondisi jantung yang datanya bisa diakses tenaga medis dari jarak jauh. Kelima, sensor industri yang dipasang di pabrik untuk memantau kondisi mesin dan proses produksi secara otomatis, yang meski tidak menyentuh data pribadi individu, tetap menimbulkan persoalan keamanan siber jika diretas.
Studi Kasus
Sebuah perusahaan penyedia perangkat kamera pintar untuk rumah tangga ternyata menyimpan rekaman aktivitas penghuni rumah di server tanpa memberi informasi yang memadai mengenai berapa lama data itu disimpan dan siapa saja yang bisa mengaksesnya. Setelah menerima pengaduan pengguna, perusahaan tersebut diwajibkan memperbaiki kebijakan privasinya agar sesuai dengan prinsip transparansi dalam undang-undang perlindungan data pribadi, termasuk memberi opsi bagi pengguna untuk menghapus rekaman lama secara mandiri.
Pada kasus lain, sistem sensor otomatis di sebuah pabrik mengalami peretasan yang menyebabkan mesin produksi berhenti mendadak dan menimbulkan kerugian material yang signifikan. Pemilik pabrik menuntut pertanggungjawaban vendor penyedia perangkat IoT tersebut berdasarkan kewajiban penyelenggara sistem elektronik untuk menjaga keandalan dan keamanan sistemnya, karena kelalaian dalam pengamanan sistem itulah yang memungkinkan peretasan terjadi.
Konsekuensi Hukum
Perusahaan penyedia perangkat atau layanan IoT yang lalai melindungi data yang dikumpulkan perangkatnya dapat dimintai pertanggungjawaban berdasarkan aturan perlindungan data pribadi, mulai dari sanksi administratif hingga potensi gugatan ganti rugi dari pengguna yang dirugikan. Jika kelalaian tersebut menyebabkan kerugian pihak lain akibat sistem yang tidak andal dan tidak aman, tanggung jawab juga bisa timbul berdasarkan kewajiban umum penyelenggara sistem elektronik.
Dalam kasus yang lebih serius, seperti peretasan yang menimbulkan kerugian besar atau membahayakan keselamatan pengguna, misalnya pada perangkat kesehatan atau kendaraan terhubung, tanggung jawab hukum bisa meluas ke ranah pidana jika terbukti ada unsur kelalaian berat yang mengakibatkan kerugian nyata bagi korban.
Kesalahpahaman Umum
Banyak orang mengira perangkat IoT yang mereka beli sepenuhnya menjadi tanggung jawab mereka sendiri untuk mengelola keamanannya, padahal produsen dan penyedia layanan yang menopang perangkat tersebut tetap memikul kewajiban hukum atas keandalan dan keamanan sistemnya, terutama jika perangkat itu terus mengumpulkan dan mengirim data ke server milik perusahaan.
Kesalahpahaman lain adalah anggapan bahwa data yang dikumpulkan perangkat IoT bukan data pribadi selama tidak memuat nama secara eksplisit. Padahal data lokasi, pola aktivitas, atau data kesehatan yang bisa dikaitkan dengan individu tertentu tetap tergolong data pribadi dan wajib dilindungi sesuai ketentuan yang berlaku, terlepas dari apakah nama pemiliknya tercantum secara langsung dalam data tersebut.
Ke Mana Harus Mengurus
Pengguna yang merasa dirugikan akibat kebocoran data dari perangkat IoT atau kerusakan yang disebabkan perangkat tersebut bisa mengajukan pengaduan pertama kali kepada produsen atau penyedia layanan lewat kanal dukungan pelanggan resmi. Jika perangkat tersebut mengumpulkan data pribadi tanpa persetujuan yang memadai, pengaduan bisa dilanjutkan ke lembaga pengawas perlindungan data pribadi yang berwenang menindaklanjuti pelanggaran hak subjek data.
Untuk kerugian material akibat kegagalan sistem, misalnya kerusakan properti atau gangguan usaha akibat perangkat IoT yang tidak andal, pengguna dapat menempuh jalur gugatan perdata terhadap produsen atau penyedia layanan berdasarkan perjanjian jual beli atau layanan yang mengikat kedua pihak, dengan mempertimbangkan pula ketentuan umum tanggung jawab produk yang berlaku di Indonesia.