Definisi
Akses ilegal adalah perbuatan dengan sengaja masuk ke komputer atau sistem elektronik milik orang lain tanpa hak atau melawan hukum. Dalam percakapan sehari-hari perbuatan ini sering disebut peretasan, padahal peretasan mencakup tindakan yang lebih luas, mulai dari menebak kata sandi hingga menjebol sistem pengamanan. Yang dilarang oleh hukum bukan hanya keberhasilan masuk, melainkan perbuatan mengakses itu sendiri, sehingga upaya yang gagal pun tetap dapat dipertanggungjawabkan secara pidana.
Di Indonesia, larangan akses ilegal diatur dalam Pasal 30 Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 dan terakhir dengan Undang-Undang Nomor 1 Tahun 2024. Pasal tersebut membagi larangan ke dalam tiga tingkat sesuai beratnya perbuatan, sementara ancaman pidananya berada di Pasal 46. Perbuatan yang sama juga dapat bersinggungan dengan undang-undang perlindungan data pribadi ketika sasarannya adalah data pribadi orang lain.
Unsur-Unsur Akses Ilegal
Pasal 30 ayat (1) UU ITE memuat tiga unsur pokok yang harus dibuktikan. Pertama, adanya perbuatan mengakses, yaitu tindakan menghubungkan diri atau masuk ke komputer dan sistem elektronik, termasuk memanfaatkan akun, jaringan, atau perangkat yang tidak berhak dipakai. Kedua, objeknya adalah komputer atau sistem elektronik milik orang lain. Ketiga, perbuatan itu dilakukan dengan sengaja serta tanpa hak atau melawan hukum.
Unsur melawan hukum tidak selalu berarti memecahkan pengamanan. Memakai akun milik rekan kerja yang kata sandinya terbuka, memanfaatkan sesi login yang masih aktif pada perangkat kantor, atau masuk ke jaringan wifi tetangga tanpa izin sudah cukup memenuhi unsur tanpa hak selama pemiliknya tidak memberikan persetujuan. Persetujuan yang diberikan secara terbatas juga tidak boleh dilampaui; izin memeriksa satu folder bukan berarti izin membuka seluruh isi perangkat.
Tiga Tingkat Larangan dalam Pasal 30 UU ITE
Tingkat pertama adalah akses tanpa hak sebagaimana dirumuskan pada ayat (1), dengan ancaman pidana penjara paling lama enam tahun dan denda paling banyak Rp600.000.000,00. Tingkat kedua diatur pada ayat (2), yaitu akses tanpa hak dengan tujuan memperoleh informasi elektronik atau dokumen elektronik; ancaman hukumannya paling lama tujuh tahun dan denda paling banyak Rp700.000.000,00.
Tingkat ketiga berada pada ayat (3), yakni akses tanpa hak dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan. Inilah bentuk yang paling berat karena dianggap menunjukkan niat jahat yang nyata, dengan ancaman pidana penjara paling lama delapan tahun dan denda paling banyak Rp800.000.000,00. Ketentuan ini menjelaskan mengapa sekadar masuk ke sistem orang lain sudah berbahaya, sementara membobol pengamanannya menambah bobot kesalahan secara signifikan.
Bentuk Akses Ilegal yang Sering Terjadi
Dalam praktik, kasus akses ilegal muncul dalam beberapa pola. Pertama, pembobolan akun surel, media sosial, atau aplikasi pesan dengan menebak kata sandi yang lemah. Kedua, pengambilan data pada aplikasi internal perusahaan oleh mantan karyawan yang akunnya belum dicabut. Ketiga, penyalahgunaan kredensial rekan kerja untuk membuka berkas keuangan atau data pelanggan.
Pola lain adalah memanfaatkan celah keamanan situs, misalnya melakukan uji penetrasi tanpa izin tertulis lalu mengakses basis data, serta menyadap jaringan tanpa hak untuk memakai layanan internet orang lain. Ada pula kasus yang berawal dari sengketa keluarga atau bisnis, misalnya memeriksa ponsel pasangan atau mitra kerja tanpa izin untuk mencari bukti. Motif pribadi tidak menghapus sifat melawan hukum dari perbuatan tersebut.
Beda Akses Ilegal, Intersepsi, dan Pencurian Data
Akses ilegal sering disamakan dengan intersepsi dan pencurian data, padahal ketiganya berbeda. Intersepsi diatur dalam Pasal 31 UU ITE dan menyasar perbuatan menyadap atau merekam transmisi informasi elektronik yang tidak bersifat publik. Akses ilegal menyasar tindakan masuk ke sistemnya, sedangkan intersepsi menyasar isi komunikasi yang mengalir di dalamnya.
Pencurian data lebih menekankan akibat berupa penguasaan data yang bukan miliknya, dan dapat dijerat dengan ketentuan lain, termasuk pasal penggelapan atau perlindungan data pribadi. Dalam satu peristiwa, ketiga kualifikasi itu bisa muncul bersamaan: seseorang masuk ke sistem perusahaan, menyadap percakapan, lalu mengunduh basis data pelanggan. Penyidik biasanya memilih pasal yang paling kuat pembuktiannya.
Sanksi Pidana dan Pertanggungjawaban
Ancaman pidana akses ilegal bersifat kumulatif alternatif, artinya penjara dan denda dapat dijatuhkan bersama-sama. Jika sasaran akses adalah komputer atau sistem elektronik milik pemerintah, bank sentral, perbankan, lembaga keuangan, atau badan strategis lain, ancaman pidana pokoknya ditambah dua pertiga. Hal ini diatur dalam Pasal 36 UU ITE sebagaimana diubah oleh Undang-Undang Nomor 1 Tahun 2024.
Perlu dicatat pula bahwa kerugian materiil bagi korban dapat menjadi dasar penuntutan tersendiri. Selain pelaku perorangan, korporasi dapat dimintai pertanggungjawaban apabila akses ilegal dilakukan untuk kepentingan atau oleh orang yang bertindak dalam lingkup usahanya, dengan sanksi denda yang jauh lebih berat.
Contoh Kasus
Rangga, seorang staf administrasi di perusahaan distributor, diberhentikan pada Maret. Akun surel dan sistem gudang miliknya seharusnya dinonaktifkan, tetapi bagian teknologi informasi lupa melakukannya. Dua minggu kemudian ia masih bisa masuk ke sistem, mengunduh daftar pelanggan dan harga khusus, lalu mengirimkannya ke perusahaan pesaing tempat ia bekerja. Setelah jejak login diperiksa, perusahaan melaporkan Rangga ke polisi dengan sangkaan Pasal 30 ayat (2) juncto Pasal 46 ayat (2) UU ITE.
Dalam pemeriksaan, Rangga berdalih bahwa ia hanya memakai akun lamanya yang belum ditutup. Dalih itu tidak menghapus unsur tanpa hak, karena perusahaan sudah mengakhiri hubungan kerja dan tidak pernah memberi izin baru. Selain pidana, ia juga menghadapi gugatan ganti kerugian dari perusahaan atas kerugian bisnis yang timbul.
Pertanyaan yang Sering Diajukan
Apakah membuka ponsel pasangan tanpa izin termasuk akses ilegal? Bisa termasuk, karena ponsel adalah komputer dalam arti luas dan pemiliknya tidak memberi persetujuan. Meski hubungan keluarga sering dianggap menyelesaikan masalah secara internal, secara hukum perbuatan itu tetap memenuhi unsur mengakses tanpa hak.
Apakah akses ilegal harus berhasil membobol kata sandi? Tidak. Pasal 30 ayat (1) sudah cukup dengan perbuatan mengakses tanpa hak. Tingkat ayat (3) baru diperlukan apabila pelaku melanggar atau menjebol sistem pengamanan, yang membuat ancaman pidananya lebih berat.
Bagaimana jika hanya iseng mencoba dan tidak mengambil apa pun? Perbuatan itu tetap dapat dipidana karena larangannya adalah perbuatan mengakses. Tidak adanya pengambilan data umumnya hanya memengaruhi berat ringannya pidana yang dijatuhkan, bukan ada atau tidaknya tindak pidana.