Data Customer Diupload ke Cloud Pribadi, Siapa yang Harus Bertanggung Jawab?

Kenyamanan yang Mengalihkan Tanggung Jawab

Alasan karyawan memakai cloud pribadi biasanya masuk akal: mereka ingin mengerjakan laporan dari rumah, ingin data mudah dibuka dari ponsel, atau merasa sistem perusahaan terlalu lambat. Dari sisi mereka, ini bukan tindakan jahat, melainkan cara beradaptasi.

Namun ada satu hal yang bergeser tanpa disadari: file perusahaan kini tersimpan di akun milik pribadi. Kendali atasnya berpindah ke pemilik akun, bukan lagi ke organisasi. Padahal datanya tetap milik perusahaan dan tetap berisi informasi pelanggan.

Tanggung Jawab Hukum Tidak Ikut Pindah

Di sinilah banyak organisasi keliru. Mereka mengira tanggung jawab dapat dialihkan ke karyawan karena secara teknis dialah yang mengunggah. Kenyataannya tidak demikian. UU No 27/2022 tentang Pelindungan Data Pribadi menempatkan tanggung jawab perlindungan data pada organisasi selaku pengendali data.

Artinya, ketika data pelanggan bocor dari akun cloud pribadi seorang staf, yang harus menjelaskan dan bertanggung jawab adalah perusahaan. Karyawan bisa saja menerima sanksi internal, tetapi hal itu tidak menghapus kewajiban organisasi di mata hukum.

Mengapa Akun Pribadi Lebih Rentan

Akun cloud pribadi umumnya memiliki lapisan pengamanan yang jauh lebih tipis dibandingkan sistem perusahaan. Beberapa kelemahan yang umum dijumpai:

• Kata sandi yang dipakai ulang di banyak layanan.
• Autentikasi dua faktor tidak aktif.
• Tautan berbagi file yang bisa diakses siapa saja.
• Tidak ada pencatatan siapa yang membuka atau mengunduh.
• Perangkat pribadi yang belum diperbarui keamanannya.

Kombinasi ini membuat data yang seharusnya terlindungi menjadi jauh lebih mudah diakses pihak yang tidak berwenang.

Kapan Aktivitas Ini Menjadi Pelanggaran

Banyak perusahaan belum punya jawaban tegas atas pertanyaan apakah memakai cloud pribadi untuk data kerja boleh atau tidak. Ketidakjelasan inilah yang menyulitkan penindakan. Tanpa aturan tertulis, sulit menuntut kepatuhan secara adil.

Karena itu, langkah pertama bukan menghukum, melainkan menetapkan kebijakan. Tentukan layanan apa yang diizinkan, data kategori mana yang tidak boleh keluar, dan kanal resmi apa yang disediakan sebagai pengganti. Setelah aturan jelas, barulah pengawasan dan penindakan memiliki dasar.

Pertanyaan yang Harus Bisa Dijawab Perusahaan

Untuk memastikan organisasi siap menghadapi insiden, ada beberapa pertanyaan mendasar yang sebaiknya bisa dijawab kapan saja:

• Data customer kita disimpan di mana saja?
• Siapa saja yang mengunggahnya ke layanan di luar perusahaan?
• Berapa banyak file yang keluar dalam periode tertentu?
• Bisakah kita merekonstruksi kejadian bila terjadi kebocoran?

Jika sebagian besar jawabannya berupa dugaan, berarti ada celah visibilitas yang perlu segera ditutup.

Membangun Pertanggungjawaban yang Nyata

Pertanggungjawaban tidak dibangun dari pernyataan niat baik, melainkan dari kontrol yang dapat ditunjukkan. Kontrol itu mencakup tiga hal: kebijakan yang jelas, jalur resmi yang memadai, dan pencatatan aktivitas yang rapi.

Ketika ketiganya tersedia, perusahaan tidak lagi bergantung pada ingatan orang saat diminta menjelaskan kejadian. Ada catatan yang berbicara, ada aturan yang menjadi acuan, dan ada jalur yang membuat karyawan tidak perlu mencari solusi pribadi. Pada akhirnya, tanggung jawab menjadi terukur, bukan sekadar wacana.

Menyediakan Alternatif yang Lebih Baik

Kebiasaan memakai cloud pribadi bertahan karena tidak ada pengganti yang setara praktisnya. Karena itu, menyediakan kanal resmi yang mudah diakses adalah langkah paling efektif untuk mengatasinya. Jika kanal resmi memadai, dorongan memakai akun pribadi akan berkurang dengan sendirinya.

Kanal resmi tersebut sebaiknya memenuhi tiga hal: dapat diakses dari luar kantor, memiliki kendali akses yang jelas, dan meninggalkan catatan aktivitas. Dengan begitu, karyawan mendapatkan kemudahan tanpa harus mengorbankan kendali perusahaan atas data.

Langkah Praktis Menertibkan Aliran Data ke Cloud

Menertibkan penggunaan cloud pribadi tidak perlu dimulai dengan larangan menyeluruh. Pendekatan bertahap biasanya lebih tahan lama karena memberi ruang bagi karyawan untuk menyesuaikan kebiasaan tanpa menghentikan pekerjaan.

Mulailah dengan memetakan. Telusuri layanan cloud apa saja yang benar-benar dipakai, perangkat mana yang mengaksesnya, dan jenis data apa yang berpindah. Pemetaan ini bisa dilakukan dari pencatatan koneksi keluar di komputer kerja, tanpa perlu mengganggu aktivitas harian.

Setelah gambaran diperoleh, kategorikan data. Tidak semua berkas setara: sebagian boleh dibagikan, sebagian lagi harus tetap di dalam kendali perusahaan. Kategori inilah yang menjadi dasar aturan, bukan larangan seragam.

Langkah selanjutnya, siapkan jalur resmi. Jika karyawan punya cara berbagi yang mudah dan aman, dorongan memakai akun pribadi berkurang. Pastikan jalur itu dapat diakses dari luar kantor dan meninggalkan catatan aktivitas.

Kemudian terapkan aturan secara berjenjang:

• Berikan pemberitahuan saat unggahan pertama terdeteksi, agar karyawan sadar.
• Tingkatkan menjadi peringatan resmi bila pola berulang.
• Blokir hanya untuk layanan atau kategori data yang memang paling berisiko.

Terakhir, tinjau secara berkala. Layanan baru bermunculan, kebutuhan pekerjaan berubah, dan kebijakan yang tidak ditinjau akan cepat usang. Dengan siklus berulang — petakan, kategorikan, sediakan alternatif, terapkan, tinjau — penertiban berjalan tanpa memicu perlawanan.

Perhatikan pula cara mengomunikasikan perubahan. Ketika aturan mulai ditegakkan, jelaskan alasannya kepada karyawan, bukan sekadar menerbitkan larangan. Pemahaman yang baik membuat kepatuhan bertahan, sedangkan aturan yang muncul tanpa penjelasan cenderung dilanggar diam-diam. Libatkan perwakilan tim saat menyusun daftar kategori data agar kebijakan terasa masuk akal bagi mereka yang menjalankannya.

Tak kalah penting, ukur hasilnya. Setelah kebijakan berjalan beberapa waktu, bandingkan jumlah unggahan ke akun pribadi sebelum dan sesudah. Angka yang menurun menunjukkan kebijakan bekerja; angka yang tetap tinggi menandakan jalur resmi belum cukup memadai atau sosialisasi belum menyentuh akar masalahnya.