Server Sirekap Diduga Berada di Luar Negeri, KPU Langgar PP 71/2019?

Suara.com - Komisi Pemilihan Umum (KPU) berpotensi melanggar Peraturan Pemerintah (PP) Nomor 71 Tahun 2019 tentang penyelenggaraan sistem elektronik (PSE) karena server Sistem Informasi Rekapitulasi (Sirekap) yang dikabarkan berada di luar negeri.

Sebab, dalam aturan tersebut terdapat ketentuan bahwa PSE untuk publik memang seharusnya diproses di dalam negeri. Jika teknologi yang dibutuhkan tidak tersedia di dalam negeri, PSE baru bisa menggunakan layanan luar negeri.

Direktur Eksekutif Lembaga Studi dan Advokasi Masyarakat (Elsam) Wahyudi Djafar menjelaskan jika membutuhkan server luar negeri, maka perlu adanya komite antarkementerian yang mengkaji kebutuhan tersebut.

“Komite itu terdiri dari Kominfo, KPU, dan BSSN minimal untuk kemudian melihat apakah memang betul teknologi di dalam negeri tidak tersedia dan pilihannya menggunakan data server di luar negeri,” kata Wahyudi kepada Suara.com, Jumat (15/3/2024).

“Kalau misalnya itu tidak terpenuhi, maksudnya persyaratan-persyaratan untuk menempatkan data atau memproses data di luar negeri oleh KPU, maka KPU bisa dikatakan dia melanggar ketentuan PP 71/2019 dan bisa dikenakan sanksi administratif sebenarnya dalam kapasitas KPU sebagai PSE,” tambah dia.

Berdasarkan Peraturan Presiden Nomor 95 Tahun 2018, Wahyudi menjelaskan bahwa data pada Sirekap merupakan bagian dari sistem pemerintahan yang berbasis elektronik.

“Ada sejumlah persyaratan-persyaratan lain dari bagaimana pengembangan dari sistem tersebut dan bisa dikatakan bahwa data yang diproses oleh Sirekap ini adalah bagian dari data yang strategis mengacu pada Perpres 82/2022 tentang perlindungan infrastruktur informasi vital,” tutur Wahyudi.

Menurut dia, hal ini menunjukkan bahwa data Sirekap merupakan data administasi pemerintah yang masuk kategori strategis sehingga harus diproses di dalam negeri.

Jika tidak, dia menegaskan KPU seharusnya mengambil keputusan untuk menggunakan layanan server Sirekap di luar negeri berdasarkan keputusan komite antarkementerian.

“Kalau itu tidak terpenuhi, berarti terjadi pelanggaran terhadap regulasi mengenai keharusan untuk memproses data di dalam negeri bagi PSE atau penyelenggara sistem elektronik untuk publik,” ucap Wahyudi.

Sebagai penyelenggara sistem informasi dan elektronik, KPU berpotensi melanggar PP Nomor 71 Tahun 2019. Dalam konteks itu, Kementerian Komunikasi dan Informatika (Kominfo) selaku pengawas PSE memiliki wewenang untuk memberi sanksi.

Di sisi lain, KPU sebagai penyelenggara pemilu juga bisa berpotensi melanggar hukum adminitratif yang menjadi ranah kewenangan Badan Pengawas Pemilu (Bawaslu).

“Jadi, ada dua bentuk pelanggaran dalam kapasitas KPU sebagai penyelenggara sistem elektronik dan pelanggaran KPU dalam kapasitas sebagai penyelenggara pemilu,” tandas Wahyudi.

Sebelumnya, KPU mengakui adanya kerja sama dengan perusahaan teknologi asal Tiongkok, Alibaba dalam pengadaan dan kontrak komputasi awan atau Cloud untuk Sirekap.

Hal itu terungkap dalam proses persidangan sengketa informasi yang diajukan Badan Hukum LSM Yayasan Advokasi Hak Konstitusional Indonesia (Yakin) terhadap KPU RI selaku termohon.

“Jadi benar KPU memiliki kerja sama dengan Alibaba cloud?" kata Majelis Komisioner (MK) KIP Republik Indonesia Arya Sandhiyudha dalam persidangan di Ruang Sidang Utama Sekretariat Komisi Informasi Pusat (KIP) Wisma BSG Jakarta, Rabu (13/3/2024).

"Benar, majelis," jawab perwakilan KPU.

Berdasarkan tiga register sengketa informasi a quo, hanya register 003 yang dinyatakan terbuka oleh KPU RI. Meski begitu, baru register 002 yang disertai hasil uji konsekuensi.

Untuk itu, majelis meminta dilakukan uji konsekuensi terhadap register 001 dan uji konsekuensi ulang terhadap register 002 untuk diperiksa pada persidangan Senin, 18 Maret 2024 mendatang.

Dalam permohonan penyelesaian sengketa informasi a quo, register 001 yang meminta informasi data real count dalam bentuk data mentah seperti file .csv harian.

Data atau file ini bisa dipublikasikan di situs web resmi KPU atau dikirimkan langsung kepada pemohon setiap harinya.

Lalu, register 002 meminta informasi rincian infrastruktur IT KPU terkait Pemilu 2024, termasuk topologi, rincian server-server fisik, server-server cloud dan jaringan, lokasi setiap alat dan jaringan, rincian alat-alat keamanan siber seperti CDN, DDoS protection, dan lain-lain.

Pemohon juga meminta rincian layanan-layanan Alibaba Cloud yang digunakan, termasuk proses pengadaan layanan cloud dan kontrak antara KPU dan Alibaba Cloud.

Selain itu, register 003 juga meminta informasi Data Daftar Pemilih Tetap (DPT) dan Data Hasil (suara total, suara sah, suara tidak sah), mentah dan lengkap untuk semua Pemilihan (Pemilihan Umum, Pemilihan Legislatif, Pemilihan Presiden, Pemilihan Kepala Daerah) sejak dan termasuk tahun 1999 hingga 2024 sampai tingkat terendah yang tersedia, misalnya tingkat Kelurahan/Desa atau RW atau RT, atau TPS.

Adapun bentuk data yang diminta adalah data mentah elektronik dalam bentuk database export, file .csv atau serupa.

Diketahui, komunitas yang fokus pada isu keamanan siber dan perlindungan data, Cyberity sebelumnya menemukan sejumlah temuan, yakni sistem pemilu2024.kpu.go.id dan sirekap-web.kpu.go.id menggunakan layanan cloud yang lokasi servernya berada di RRC, Perancis dan Singapura.

Kemudian, Cyberity menemukan yayanan cloud tersebut merupakan milik layanan penyedia internet (ISP) raksasa Alibaba. Sebab, posisi data dan lalu lintas kdua laman tersebut ditemukan berada dan diatur di Tiongkok.