Ketika NIK Jadi Komoditas Sindikat

KEBOCORAN data pribadi bukan lagi kabar mengejutkan di Indonesia. Justru apa yang terjadi sesudahnya, itulah yang perlu dicermati.

Pada 12 Mei 2026, Ditressiber Polda Jatim mengungkap sindikat penerbitan SIM card ilegal yang beroperasi dengan bahan baku sederhana, tapi berbahaya: NIK curian dari marketplace.

Tiga tersangka ditangkap di Bali dan Kalimantan Selatan. Polisi menyita 25.400 kartu SIM siap edar, 33 modem pool, dan 11 laptop, seluruhnya digunakan untuk memproduksi kode OTP berbasis identitas orang lain.

Di balik angka itu ada ribuan warga yang identitas digitalnya sedang berjalan sendiri, tanpa mereka ketahui.

Kini, muncul satu pertanyaan yang jawabannya belum tersedia: siapa yang bertanggung jawab atas kebocoran NIK yang menjadi titik awal dari seluruh kejahatan ini?

NIK Menjadi Komoditas

Menjawab pertanyaan itu tidak bisa berhenti pada nama tersangka. Kasus ini perlu dilihat lebih utuh, karena yang terungkap bukan hanya sindikat, melainkan ekosistem.

NIK yang bocor dari marketplace tidak menganggur di tangan pelaku. Ia dikonversi menjadi kartu SIM, kartu SIM dikonversi menjadi kode OTP, dan kode OTP dijual kepada siapa pun yang membutuhkan verifikasi identitas digital tanpa ingin meninggalkan jejak.

Ini adalah rantai nilai kejahatan yang berjalan efisien, terorganisasi, dan lintas wilayah.

Pertanyaan strategisnya bukan bagaimana sindikat ini bekerja secara teknis, melainkan mengapa rantai itu bisa terbentuk sejak awal.

Jawabannya tunggal: karena NIK warga tersedia di pasar gelap dalam jumlah masif, murah, dan tanpa risiko bagi pembelinya.

Selama data pribadi bocor tanpa konsekuensi bagi pengelolanya, pasokan bahan baku kejahatan semacam ini tidak akan pernah kering.

Polda Jatim menangkap tiga orang di hilir. Di hulunya, jutaan NIK masih beredar bebas, menunggu untuk dipakai oleh sindikat berikutnya.

Pertanyaan yang jarang diajukan dalam setiap kasus kebocoran data adalah pertanyaan ekonomi: berapa biaya yang harus ditanggung oleh platform yang gagal melindungi data penggunanya?

Jawaban untuk Indonesia saat ini adalah nol. Tidak ada sanksi administratif yang bisa dijatuhkan, tidak ada gugatan perdata yang memiliki jalur jelas, dan tidak ada regulator yang berwenang memulai investigasi.

Kondisi ini menciptakan insentif yang terbalik. Platform digital tidak punya alasan finansial yang cukup kuat untuk berinvestasi serius dalam keamanan data, karena konsekuensi dari kelalaian itu tidak nyata.

UU Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (PDP) sudah merancang sanksi yang seharusnya mengubah kalkulasi itu.

Namun, sanksi hanya bekerja jika ada lembaga yang menjatuhkannya, dan Lembaga Perlindungan Data Pribadi yang diamanatkan Pasal 58 UU PDP belum pernah dibentuk.

Buktinya bisa dilihat langsung dari kasus ini. Para tersangka dijerat UU ITE, undang-undang yang dirancang sebelum kasus kebocoran data masif menjadi ancaman sehari-hari.

UU PDP yang lebih relevan secara substansi tidak bisa digunakan, bukan karena normanya tidak ada, melainkan karena lembaga yang menghidupkan norma itu belum pernah dibentuk.

Hasilnya: platform yang datanya bocor tidak ditanya, pengendali data yang lalai tidak menanggung risiko, dan korban tidak mendapat apa-apa.

Sementara itu, pelaku di hilir ditangkap dengan ancaman 12 tahun penjara. Hukuman berat di satu ujung, impunitas penuh di ujung lainnya.

Hak Privasi Digital Warga

Asimetri itu bukan sekadar soal ketidakadilan hukum. Ia punya dampak yang sangat konkret pada kehidupan sehari-hari orang-orang yang datanya telah bocor, bahkan sebelum mereka tahu bahwa hal itu pernah terjadi.

Ia sering datang diam-diam: tagihan dari nomor yang tidak pernah didaftarkan, pengajuan kredit atas nama seseorang di platform yang tidak pernah disentuhnya, atau rekening yang terkuras karena kode OTP berhasil dilewati oleh orang yang memegang SIM card dengan NIK orang lain.

Pada titik itu, siapa pun yang datanya bocor bukan lagi sekadar korban kejahatan siber. Ia adalah bukti dari kegagalan sistem perlindungan data yang dibiarkan berlubang terlalu lama.

Itulah yang berpotensi dialami oleh ribuan orang yang NIK-nya ada dalam 25.400 kartu SIM sitaan Polda Jatim, belum termasuk yang sudah beredar sebelum penyidikan dimulai.

Baca juga: Menakar Daya Tahan Rupiah

Mereka adalah korban kebocoran data pribadi, meski belum tentu menyadarinya. Tidak ada lembaga yang secara proaktif memberi tahu mereka bahwa data mereka telah dikompromikan, tidak ada mekanisme pengaduan resmi yang mudah diakses, dan tidak ada jaminan pemulihan hak yang dapat mereka tuntut.

Kasus ini pun bukan anomali. ELSAM mencatat, sejak UU PDP berlaku pada Oktober 2022 hingga akhir 2023, sedikitnya 668 juta data pribadi bocor dari enam pengendali data besar, mencakup NIK, nomor kartu keluarga, hingga data biometrik.

Setiap kali kebocoran terungkap, polanya selalu sama: pernyataan resmi, janji perbaikan sistem, investigasi internal, lalu sunyi.

Tidak ada sanksi, tidak ada kompensasi, tidak ada perubahan struktural. Bukan karena tidak ada yang peduli, melainkan karena sistem yang memaksa pertanggungjawaban itu memang belum pernah ada.

Kedaulatan Digital Dimulai dari Akuntabilitas

Sistem yang tidak memaksa pertanggungjawaban bukan sistem yang lemah secara kebetulan. Ia lemah karena satu komponen kuncinya sengaja belum dibangun.

Selama tidak ada lembaga yang berwenang mengaudit keamanan platform secara berkala, mewajibkan pelaporan kebocoran data kepada regulator dan korban, serta menjatuhkan sanksi yang terasa nyata bagi pengendali data, setiap penangkapan hanya memindahkan masalah, bukan menyelesaikannya.

Sindikat baru akan tumbuh dari stok NIK yang sama, di kota yang berbeda, dengan nama website yang berbeda pula.

Indonesia sesungguhnya sudah punya pijakan hukumnya. UU PDP telah berlaku penuh sejak Oktober 2024. Mandat pembentukan Lembaga PDP sudah tertulis di Pasal 58.

Pertanyaannya bukan lagi apakah lembaga itu dibutuhkan, melainkan mengapa pembentukannya masih belum menjadi prioritas yang diperlakukan dengan kesungguhan setara urgensinya.

Desain kelembagaannya pun menentukan segalanya. Lembaga yang ditempatkan di bawah koordinasi kementerian akan selalu menghadapi batas struktural ketika harus mengawasi sesama institusi pemerintah.

Otoritas yang benar-benar independen, dengan otonomi anggaran dan mekanisme rekrutmen yang tidak bisa diintervensi, adalah satu-satunya bentuk yang memungkinkan pengawasan berjalan imparsial ke semua arah, ke korporasi privat maupun ke badan publik.

Setiap hari tanpa lembaga itu adalah hari di mana pasar gelap data terus beroperasi tanpa hambatan, di mana warga yang NIK-nya bocor tidak punya tempat mengadu dan platform yang lalai tidak menanggung konsekuensi apa pun atas kelalaiannya menjaga data pribadi.

Kasus yang ditangani Polda Jatim bukan sekadar pengungkapan sindikat SIM card ilegal. Ia adalah cermin dari pilihan yang belum diambil: apakah Indonesia serius membangun kedaulatan digital atau hanya serius mendeklarasikannya.

Kedaulatan yang tidak ditopang akuntabilitas bukan kedaulatan. Itu hanya retorika yang menunggu kasus berikutnya di rilis oleh aparat penegak hukum.

Tag: #ketika #jadi #komoditas #sindikat