Grab Didenda di Singapura Atas Pelanggaran Data Pribadi

JAKARTA - Pengawas privasi Singapura menjatuhkan denda pada unit perusahaan ride-hailing Grab Holdings Inc yakni GrabCar Pte atas tuduhan menempatkan data lebih dari 21.000 pengemudi dan penumpang pada risiko akses yang tidak sah, setelah pembaruan pada aplikasinya 2019 lalu. 

Grab didenda sekira 10.000 dolar Singapura atau setara Rp109 juta pada Juli tahun ini. Pelanggaran privasi tersebut meliputi foto profil, nama, saldo pengguna, dan nomor plat kendaraan itu terkait dengan layanan penggabungan mobil perusahaan GrabHitch.

Data lain yang terpengaruh termasuk detail pemesanan GrabHitch seperti alamat, waktu penjemputan dan pengantaran, dan detail pengemudi seperti total perjalanan, serta model dan merek kendaraan. 

Dilansir Business Times, Sabtu 12 September, kejadian ini bermula pada 30 Agustus 2019, saat Grab meluncurkan pembaruan untuk mengatasi potensi kerentanan dalam aplikasi. Application programming interface (API) memungkinkan pengemudi GrabHitch untuk mengakses data mereka, dan fitur userID di URL mengarahkan permintaan data ke akun pengemudi yang benar.

Tetapi fitur userID berpotensi dimanipulasi, yang diklaim dapat mengakses data pengemudi GrabHitch lainnya. Meskipun pembaruan yang diluncurkan telah menghapus bagian userID, perusahaan gagal mempertimbangkan mekanisme cache aplikasi, yang dikonfigurasi untuk dimuat ulang setiap 10 detik. Cache itu juga menampilkan data yang disimpan sebagai respons atas permintaan.

Tanpa userID, mekanisme cache tidak dapat lagi membedakan data masing-masing driver. Hasilnya, kesalahan ini membuat aplikasi memberikan data yang sama ke semua pengemudi GrabHitch selama 10 detik, sebelum data baru diambil dan disimpan dalam cache selama 10 detik berikutnya.

Menurut laporan, kesalahan itu telah diperbaiki dalam waktu kurang dari satu jam. Namun, perusahaan seharusnya melakukan tes pra-peluncuran yang tepat, sebelum bisa digunakan oleh publik. Bahkan ternyata, pelanggaran ini merupakan pelanggaran data pribadi keempat Grab sejak 2018.

"Mengingat bahwa bisnis organisasi melibatkan pemrosesan data pribadi dalam jumlah besar setiap hari, ini menjadi penyebab kekhawatiran yang signifikan," ungkap wakil komisaris Komisi Perlindungan Data Pribadi, Yeong Zee Kin dalam keterangan resminya.

Untuk itu, regulator memerintahkan apa yang disebut perlindungan data berdasarkan kebijakan desain, di mana pengembang harus mempertimbangkan masalah data dan privasi pada tahap desain, selama kurang lebih 120 hari.