Tanggung Jawab Bank Jika Terkena Serangan Siber

PERTANYAAN

Belum lama ini salah satu bank terkena serangan siber hingga layanannya tidak bisa dipakai selama beberapa hari. Nasabah bank merasa dirugikan karena transaksinya terhambat dan beberapa kehilangan uangnya.di Apa bentuk tanggung jawab bank atas kerugian nasabah menurut hukum? Lantas, apa yang bisa dilakukan oleh nasabah untuk mengganti kerugian-kerugiannya?

INTISARI JAWABAN

Dalam berbagai ketentuan peraturan perundang-undangan, diatur bahwa bank pada dasarnya memiliki kewajiban untuk menjaga keamanan dan ketahanan siber dalam sistem elektroniknya. Kewajiban ini sebagai konsekuensi atas penggunaan sistem elektronik dalam kegiatan usaha bank.

Jika terjadi serangan siber hingga merugikan nasabah, apa saja bentuk tanggung jawab hukum bank?

Penjelasan lebih lanjut dapat Anda baca ulasan di bawah ini.

ULASAN LENGKAP

Terima kasih atas pertanyaan Anda.

Seluruh informasi hukum yang ada di Klinik hukumonline.com disiapkan semata – mata untuk tujuan pendidikan dan bersifat umum (lihat Pernyataan Penyangkalan selengkapnya). Untuk mendapatkan nasihat hukum spesifik terhadap kasus Anda, konsultasikan langsung dengan Konsultan Mitra Justika.

Kewajiban Bank Menjaga Keamanan Sistem Elektronik

Dalam menjalankan usahanya, bank saat ini menggunakan suatu sistem elektronik seperti e-banking. Sehingga, bank dapat dikategorikan sebagai penyelenggara sistem elektronik.

Penyelenggara sistem elektronik (“PSE”) menurut UU 19/2016 adalah setiap orang, penyelenggara negara, badan usaha, dan masyarakat yang menyediakan, mengelola, dan/atau mengoperasikan sistem elektronik, baik secara sendiri-sendiri maupun bersama-sama kepada pengguna sistem elektronik untuk keperluan dirinya dan/atau keperluan pihak lain.[1]

Bank selaku badan usaha sekaligus penyelenggara sistem elektronik harus menyelenggarakan sistem elektronik secara andal dan aman serta bertanggung jawab terhadap sistem elektronik sebagaimana mestinya.[2]

Kemudian, menurut Permenkominfo 5/2020 bank tergolong sebagai PSE lingkup privat yaitu PSE oleh orang, badan usaha, dan masyarakat.[3] Terhadap PSE lingkup privat ini, diwajibkan melakukan pendaftaran dengan mengisi formulir yang memuat informasi antara lain kewajiban untuk memastikan keamanan informasi dan pelindungan data pribadi sesuai ketentuan peraturan perundang-undangan.[4]

Lebih lanjut, dalam POJK 11/2022 diatur bahwa bank wajib menjaga ketahanan siber dengan melakukan proses minimal identifikasi aset, ancaman, dan kerentanan, pelindungan aset, deteksi insiden siber, dan penanggulangan serta pemulihan insiden siber.[5]

Selain itu, bank juga wajib melakukan penilaian atas tingkat maturitas keamanan siber dan pengujian keamanan siber yang kemudian dilaporkan kepada OJK.[6]

Pun POJK 6/2022 juga mewajibkan bank yang menggunakan teknologi informasi untuk mengelola data dan/atau informasi pribadi konsumen untuk menjaga keamanan data dan/atau informasi pribadi konsumen yang diimplementasikan dengan melakukan pengecekan kelayakan dan/atau keamanan secara berkala.[7]

Berdasarkan ketentuan di atas, maka pada dasarnya bank wajib memiliki sistem keamanan yang memadai pada sistem elektroniknya. Hal ini bertujuan untuk melindungi data dan transaksi nasabah dari pengaksesan yang tidak sah serta ancaman keamanan lainnya.

Apabila bank tidak mematuhi peraturan mengenai kewajiban menjaga keamanan siber, dapat dikenakan sanksi administratif oleh OJK, berupa teguran tertulis, larangan untuk menerbitkan produk bank baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan bank.[8]

Tanggung Jawab Bank Jika Terkena Serangan Siber

Bank yang terkena serangan siber sehingga menghambat transaksi nasabah hingga menyebabkan hilangnya uang nasabah, merupakan bentuk kelalaian bank dalam melaksanakan kewajibannya berdasarkan peraturan perundang-undangan yang berlaku.

Atas hal tersebut, maka nasabah dapat mengajukan gugatan terhadap pihak selaku penyelenggara sistem elektronik yang menimbulkan kerugian. Tak menutup kemungkinan, jika nasabah yang dirugikan berjumlah masif, dapat mengajukan gugatan perwakilan kelompok.[9]

Lebih lanjut, dalam POJK 6/2022, diatur pula bahwa bank sebagai pelaku usaha jasa keuangan, wajib bertanggung jawab atas kerugian konsumen yang timbul akibat kesalahan, kelalaian, dan/atau perbuatan yang bertentangan dengan ketentuan peraturan perundang-undangan di sektor jasa keuangan, yang dilakukan oleh direksi, dewan komisaris, pegawai, dan/atau pihak ketiga yang bekerja untuk atau mewakili kepentingan bank.[10]

Adapun bentuk tanggung jawab bank atas kerugian konsumen (nasabah) dapat disepakati oleh konsumen dan bank, contohnya dalam bentuk ganti rugi.[11]

Sebagai tambahan informasi, apabila serangan siber yang menimpa bank menyebabkan bocornya data pribadi nasabah, maka menurut UU PDP, nasabah berhak menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi.[12] Sebab, dalam UU PDP, bank dapat digolongkan sebagai pengendali data pribadi yaitu setiap orang, badan publik, dan organisasi internasional yang bertindak sendiri-sendiri atau bersama-sama dalam menentukan tujuan dan melakukan kendali pemrosesan data pribadi.[13]

Adapun, dasar gugatannya adalah perbuatan melawan hukum (“PMH”) sebagaimana diatur di dalam Pasal 1365 KUH Perdata. Terkait dengan syarat PMH, bentuk ganti rugi dan contohnya dapat Anda baca dalam Contoh Perbuatan Melawan Hukum dan Dasar Gugatannya.

Langkah yang Bisa Ditempuh Nasabah

Atas kerugian yang diderita nasabah tersebut, maka nasabah, baik sendiri-sendiri maupun bersama-sama, bisa mengajukan keluhan dan meminta ganti rugi langsung kepada bank yang bersangkutan.

Selanjutnya, apabila hal tersebut tidak membuahkan hasil, dapat mengadukan kepada OJK agar aduan nasabah dapat diselesaikan.[14]

Selain itu, nasabah juga dapat mengupayakan penyelesaian sengketa tersebut melalui alternatif penyelesaian sengketa atau mengajukan gugatan ke Pengadilan Negeri.

Perkaya riset hukum Anda dengan analisis hukum terbaru dwibahasa, serta koleksi terjemahan peraturan yang terintegrasi dalam Hukumonline Pro, pelajari lebih lanjut di sini.

Demikian jawaban dari kami, semoga bermanfaat.

Dasar Hukum:

1. Kitab Undang-Undang Hukum Perdata;
2. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik;
3. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
4. Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat sebagaimana telah diubah dengan Peraturan Menteri Komunikasi dan Informatika Nomor 10 Tahun 2021 tentang Perubahan atas Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggaraan Sistem Elektronik Lingkup Privat;
5. Peraturan Otoritas Jasa Keuangan Nomor 6/POJK.07/2022 tentang Perlindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan;
6. Peraturan Otoritas Jasa Keuangan Nomor 11/POJK.03/2022 tentang Kewajiban dan Tanggung Jawab Bank dalam Menjaga KeamananSistem Elektronik.

---

[1] Pasal 1 angka 6a Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (“UU 19/2016”)

[2] Pasal 15 ayat (1) Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (“UU ITE”)

[3] Pasal 1 angka 6 Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat (“Permenkominfo 5/2020”)

[4] Pasal 2 ayat (1) dan Pasal 3 ayat (3) huruf b dan c Permenkominfo 5/2020

[5] Pasal 21 ayat (1) dan (2) Peraturan Otoritas Jasa Keuangan Nomor 11/POJK.03/2022 tentang Kewajiban dan Tanggung Jawab Bank dalam Menjaga KeamananSistem Elektronik (“POJK 11/2022”)

[6] Pasal 22 ayat (1) dan (4), Pasal 23 dan Pasal 24 POJK 11/2022

[7] Pasal 11 ayat (5) Peraturan Otoritas Jasa Keuangan Nomor 6/POJK.07/2022 tentang Perlindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan (“POJK 6/2022”)

[8] Pasal 26 POJK 11/2022

[9] Pasal 38 UU ITE

[10] Pasal 8 ayat (1) POJK 6/2022

[11] Pasal 8 ayat (3) POJK 6/2022 dan penjelasannya

[12] Pasal 12 ayat (1) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”)

[13] Pasal 1 angka 4 UU PDP

[14] Pasal 52 ayat (1) huruf a POJK 6/2022