Data Act vs CLOUD Act: siapa yang benar-benar mengendalikan data Anda di cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Selama bertahun-tahun, dunia beroperasi berdasarkan asumsi sederhana: data memiliki tempat tinggal fisik. Jika data tersebut berada di server di Dublin, maka data itu tunduk pada hukum Irlandia dan Eropa. Asumsi ini runtuh pada tahun 2018, ketika Amerika Serikat mengadopsi CLOUD Act, sebuah undang-undang yang memberikan otoritas Amerika akses terhadap data yang dikendalikan oleh perusahaan-perusahaan Amerika, di mana pun data tersebut secara fisik disimpan di seluruh dunia. Beberapa tahun kemudian, Brussel merespons dengan perangkat perlindungannya sendiri: Data Act, yang kini sepenuhnya berlaku, yang berupaya membatasi akses ekstrayuridiksi dari otoritas negara ketiga terhadap data yang tersimpan di Uni Eropa.

Berikut ini adalah apa yang sebenarnya diatur oleh kedua teks hukum tersebut, di mana keduanya bertabrakan, dan mengapa satu-satunya perlindungan yang benar-benar tangguh dalam menghadapi konflik ini adalah ketidakmungkinan teknis akses.

CLOUD Act Amerika: akses berdasarkan kendali, bukan lokasi

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), yang diadopsi pada Maret 2018, mengubah hukum Amerika dengan menambahkan Pasal 18 U.S. Code § 2713. Teks ini mewajibkan setiap penyedia layanan komunikasi elektronik atau pemrosesan komputasi jarak jauh untuk menyimpan, mengamankan, atau mengungkapkan isi komunikasi atau catatan apa pun yang terkait dengannya, apabila data tersebut berada dalam kepemilikan, penjagaan, atau kendali penyedia, terlepas dari apakah data tersebut berada di dalam atau di luar Amerika Serikat.

Justru klausul terakhir inilah yang mengubah segalanya. Kriteria yang digunakan bukan lagi lokasi fisik server, melainkan kendali yang dijalankan oleh perusahaan induk atas anak perusahaannya. Sebuah perusahaan Amerika yang mengoperasikan pusat data di Eropa tetap tunduk pada permintaan hukum Amerika, bahkan untuk data yang sepenuhnya tersimpan di wilayah Eropa.

Data Act Eropa: penghalang hukum terhadap akses ekstrayuridiksi

Regulasi (UE) 2023/2854, yang dikenal sebagai Data Act, mulai berlaku pada 11 Januari 2024 dan berlaku sepenuhnya sejak 12 September 2025, dengan beberapa ketentuan yang berlaku bertahap hingga tahun 2026 dan 2027. Pasal 32-nya secara langsung mengatur masalah akses pemerintah internasional terhadap data.

Teks tersebut menetapkan aturan yang jelas: setiap keputusan atau putusan dari pengadilan atau otoritas administratif negara ketiga yang mewajibkan penyedia layanan pemrosesan data untuk mentransfer atau memberikan akses ke data non-pribadi yang tersimpan di Uni Eropa hanya diakui dan dapat dilaksanakan apabila didasarkan pada perjanjian internasional, seperti perjanjian bantuan hukum timbal balik (MLA), yang berlaku antara negara pemohon dan Uni, atau antara negara tersebut dan negara anggota yang bersangkutan.

Jika tidak ada perjanjian semacam itu, Pasal 32 menyediakan jalur kedua, namun dengan kerangka yang sangat ketat: keputusan asing hanya dapat dilaksanakan apabila sistem hukum negara ketiga mensyaratkan bahwa permintaan tersebut memiliki alasan yang jelas, proporsional, dan cukup spesifik — misalnya dengan menetapkan keterkaitan yang jelas dengan orang atau pelanggaran tertentu — dan apabila keberatan beralasan dari pihak penerima dapat diajukan ke pengadilan yang berwenang di negara ketiga tersebut.

Tabrakan hukum yang langsung

Masalahnya bersifat langsung: CLOUD Act menuntut pengungkapan berdasarkan kendali yang dijalankan oleh perusahaan induk, tanpa persyaratan proporsionalitas yang setara dengan yang dituntut oleh hukum Eropa. Data Act, sebaliknya, mensyaratkan pengakuan terhadap permintaan semacam itu hanya jika ada perjanjian internasional atau jaminan prosedural yang spesifik. Sebuah perusahaan Amerika yang beroperasi di Eropa, yang diwajibkan oleh otoritas Amerika untuk menyerahkan data yang dihosting di Uni Eropa, menemukan dirinya terjepit di antara dua kewajiban hukum yang saling bertentangan: mematuhi mandat Amerika dengan melanggar hukum Uni Eropa, atau mematuhi Data Act dengan menghadapi konsekuensi penolakan di Amerika Serikat.

Ketegangan ini bukan bersifat teoretis. Ketegangan ini telah didokumentasikan oleh Mahkamah Agung Uni Eropa (CJEU) dalam dua keputusan besar, Schrems I (2015) dan Schrems II (2020). Dalam putusan Schrems II, CJEU memutuskan bahwa pengawasan Amerika yang dilakukan berdasarkan Pasal 702 FISA (Foreign Intelligence Surveillance Act) dan Perintah Eksekutif 12333 tidak memenuhi jaminan minimum yang disyaratkan oleh hukum Uni Eropa berdasarkan prinsip proporsionalitas, dan oleh karenanya tidak dapat dianggap terbatas pada apa yang benar-benar diperlukan. Mahkamah juga mencatat ketiadaan jalur pemulihan hukum yang efektif bagi individu yang bersangkutan di Uni Eropa, yang melanggar Pasal 47 Piagam Hak-Hak Fundamental. Keputusan ini membatalkan kerangka Privacy Shield, yang sebelumnya mengatur transfer data antara UE dan Amerika Serikat.

Risiko struktural: Harvest Now, Decrypt Later

Di luar konflik yurisdiksi, ancaman yang lebih berbahaya mengintai data yang dihosting pada infrastruktur yang tunduk pada hukum Amerika: strategi yang disebut Harvest Now, Decrypt Later (HNDL). Prinsipnya adalah bahwa layanan intelijen atau aktor negara yang bermusuhan mencegat dan menyimpan data terenkripsi saat ini, sambil menunggu kapasitas komputasi kuantum yang memadai untuk mendekripsinya di masa depan.

Strategi ini mengubah setiap ketergantungan jangka panjang pada infrastruktur cloud Amerika menjadi utang keamanan yang tertunda: apa yang bersifat rahasia hari ini dapat menjadi terbaca dalam sepuluh atau lima belas tahun, tanpa tindakan lebih lanjut yang diperlukan dari pihak penyerang — hanya waktu dan kesabaran.

Mengapa hanya ketidakmungkinan teknis yang merupakan jaminan sejati

Analisis hukum mengarah pada kesimpulan yang dibagikan oleh banyak pakar kepatuhan: sekuat apa pun kerangka hukum Data Act, ia tetap merupakan teks yang dapat dilewati, ditunda, atau ditafsirkan ulang oleh keseimbangan kekuatan geopolitik dan tekanan diplomatik. Satu-satunya perlindungan yang tidak bergantung pada negosiasi masa depan apa pun adalah ketidakmungkinan teknis pelaksanaan.

Arsitektur zero knowledge, di mana penyedia layanan tidak memegang kepemilikan maupun penjagaan atas kunci dekripsi, membuat sebuah permintaan paksa menjadi tidak berdaya secara materiil. Seseorang tidak dapat dipaksa untuk menyerahkan apa yang tidak pernah ia miliki.

Inilah logika yang mendasari ekosistem seperti Arpokrat:

Netralisasi yurisdiksi: infrastruktur dihosting di Swiss, di bawah rezim Undang-Undang Federal tentang Perlindungan Data (LPD/FADP), di luar jangkauan langsung ekstrayuridiksi CLOUD Act
Ketiadaan penjagaan: arsitektur zero knowledge mencabut kemampuan penyedia layanan untuk menyerahkan kunci atau konten yang tidak pernah ia pegang
Pengurangan jejak identitas: dengan menghapus kewajiban pendaftaran melalui nomor telepon atau alamat email — pengenal yang dapat dengan mudah dilacak oleh pengawasan berbasis Pasal 702 FISA — pengguna berhenti menjadi pelanggan yang dapat diidentifikasi dan menjadi kunci kriptografi yang anonim

Rantai penjagaan tidak berhenti pada enkripsi pesan

Sebuah poin yang sering diremehkan dalam analisis kepatuhan: tidak cukup hanya mengenkripsi isi komunikasi jika sistem operasi yang mendasarinya — baik Android maupun iOS — terus menangkap metadata atau telemetri di tingkat kernel, yang diarahkan ke server di bawah yurisdiksi Amerika. Perlindungan kerahasiaan memerlukan penutupan rantai penjagaan secara menyeluruh, dari konten hingga infrastruktur perangkat keras itu sendiri.

Inilah alasan mengapa kedaulatan digital juga menyiratkan pertimbangan tentang sistem operasi yang digunakan, bukan hanya aplikasi pesan. Sistem yang ter-de-Google-isasi, di mana modul seperti Bluetooth atau geolokasi GNSS dapat dinonaktifkan langsung di tingkat kernel, mengeliminasi vektor serangan fisik yang tidak dapat dikompensasi oleh enkripsi aplikasi apa pun.

Kriptografi pasca-kuantum, sebuah cakrawala yang sudah dalam proses

Menghadapi ancaman yang ditimbulkan oleh strategi HNDL, adopsi standar kriptografi pasca-kuantum (PQC) menjadi suatu keharusan bagi siapa pun yang ingin menjamin kerahasiaan data sensitif dalam jangka panjang — baik itu rahasia bisnis, korespondensi profesional, maupun data kesehatan. Enkripsi yang dianggap tangguh saat ini menurut standar klasik tidak menjamin bahwa ia akan bertahan terhadap kapasitas komputasi kuantum yang diperkirakan dalam lima belas tahun ke depan.

Konflik antara Data Act dan CLOUD Act menggambarkan realitas yang lebih luas: kedaulatan digital tidak lagi dapat dibangun semata-mata di atas teks-teks hukum, sekuat apa pun itu. Kedaulatan digital menuntut penutupan rantai penjagaan di setiap tingkatan, mulai dari protokol enkripsi hingga yurisdiksi hosting, termasuk sistem operasi itu sendiri. Pendekatan berlapis inilah — alih-alih kepercayaan yang bertumpu pada satu kerangka regulasi — yang mendefinisikan kedaulatan digital sejati berdasarkan desain pada masa kini.

Ilusi Kedaulatan: Kasus Olvid dan Perangkap CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Pengumuman itu bergema seperti “teriakan kemerdekaan” sejati di koridor Paris: Perdana Menteri memerintahkan pemerintah untuk meninggalkan WhatsApp dan Signal demi Olvid, aplikasi perpesanan yang disajikan sebagai “asli”. Tujuannya jelas: melindungi rahasia negara dari jangkauan panjang badan intelijen asing.

Namun, ironi pahit dengan cepat muncul: inti dari Olvid — infrastruktur servernya — berdetak di dalam Amazon Web Services (AWS), raksasa Amerika.

Bagi masyarakat umum, ini tampak seperti masalah hosting teknis yang sederhana. Tetapi bagi arsitek keamanan siber berdaulat , ini adalah kerentanan politik tingkat pertama.

Ekstrateritorialitas dan Konflik Kedaulatan

Dengan mengandalkan infrastruktur Amazon, Olvid secara otomatis memasuki orbit CLOUD Act AS.

Analisis hukum dari kasus ini mengungkap skenario ketidakamanan yurisdiksi yang tidak dapat diselesaikan hanya dengan mengadopsi “aplikasi” nasional. Titik kritisnya terletak pada konsep “kontrol” versus “lokalisasi”.

CLOUD Act secara radikal mengubah paradigma hukum dengan menetapkan bahwa lokasi fisik server tidak masalah. Kewajiban penyedia layanan untuk bekerja sama semata-mata berasal dari ikatan yurisdiksinya dengan AS.

Secara hukum, ini menciptakan konflik frontal dengan GDPR. Pengadilan Kehakiman Uni Eropa telah menetapkan bahwa undang-undang pengawasan AS tidak menawarkan tingkat perlindungan yang setara dengan Eropa.

Kedaulatan digital bukanlah atribut perangkat lunak, melainkan properti integritas rantai pengawasan.

Bayang-bayang FISA dan Janji Palsu Enkripsi

Lebih buruk lagi, ketergantungan pada infrastruktur Amerika ini menempatkan data ini di bawah bayang-bayang Foreign Intelligence Surveillance Act (FISA) .

Menghadapi ancaman ini, Olvid menegaskan bahwa enkripsi ujung-ke-ujungnya merupakan perisai yang memadai. Dari perspektif rekayasa privasi, pembelaan ini sangat parsial.

Bahkan jika konten pesan dienkripsi, infrastruktur terpusat AWS mengekspos metadata. Mengetahui siapa berbicara dengan siapa, kapan, seberapa sering, dan dari mana seringkali jauh lebih berharga bagi intelijen asing daripada konten pesan itu sendiri.

Enkripsi melindungi teks, tetapi server terpusat mengkhianati jaringan kontak.

Bahaya Sebenarnya Belum Datang

Selama infrastruktur Eropa bergantung pada entitas yang tunduk pada undang-undang ekstrateritorial, keamanan hukum komunikasi kita akan tetap murni sementara dan ilusif.

Keamanan nasional di abad ke-21 menuntut kemerdekaan infrastruktur dan perangkat keras total . Mengadang metadata ini memberi makan ancaman paling menghancurkan di dekade berikutnya: strategi “Kumpulkan sekarang, dekripsi nanti”.

Rahasia negara yang dicegat hari ini tidak lain adalah bom waktu matematika.

(Baca sisa analisis kami di Bagian 2: Bom Waktu dan Imperatif Zero-Knowledge )

FISA on Arpokrat