Siapa Mengaudit Telinga Negara? Refleksi Tata Kelola Sistem Penyadapan

Di perusahaan mana pun, pergantian bendahara tidak selesai dengan menyerahkan kunci brankas. Kas dihitung bersama di hadapan pejabat lama, pejabat baru, dan seorang saksi, lalu hasilnya dituangkan dalam berita acara. Prosedur sederhana ini lahir dari pengalaman bahwa catatan paling rawan hilang justru ketika penjaganya berganti.

Pelajaran itu seolah absen dalam perkara dugaan penyadapan ilegal terhadap Presiden Prabowo Subianto. Penyidik menduga ada perintah menghapus berkas hasil sadapan dari sistem Lawful Interception Management System (LIMS) Polri sekitar Oktober 2026, bulan yang sama ketika Kapolri dan Kabareskrim berganti. Penghapusan itu tidak terungkap oleh sistem, tetapi oleh seorang petugas yang melapor pada 30 Oktober.

Rantai Pengendalian yang Terlangkahi

Bareskrim telah menetapkan tiga tersangka berinisial LSP, ASN, dan EH. Sejumlah media mengidentifikasi LSP sebagai mantan Kapolri yang kini Kepala Staf Kepresidenan, Listyo Sigit Prabowo, sedangkan dua lainnya perwira tinggi Polri. Mereka diduga memerintahkan penyadapan sepanjang 2025 hingga 2026 tanpa surat permohonan penyidik maupun laporan polisi, terhadap nomor Presiden, pejabat negara, politisi, media, ormas, LSM, hingga pengusaha, lalu memerintahkan penghapusan berkas sadapan beserta jejak log sistemnya.

Semua itu masih sangkaan yang harus diuji di pengadilan. Namun, apa pun putusannya kelak, perkara ini sudah membuka soal yang tidak bergantung pada siapa pelakunya, yaitu desain pengendalian penyadapan itu sendiri. Peraturan Kapolri Nomor 5 Tahun 2010 menyusun rantai yang rapi di atas kertas. Pasal 5 menunjuk Kabareskrim sebagai pemberi izin dimulainya operasi sadapan. Pasal 6 menugasi Kabareskrim memohon izin kepada Ketua Pengadilan Negeri. Sedangkan Pasal 7 dan 8 menempatkan pusat pemantauan yang menjalankan sadapan dan menyimpan hasilnya di bawah pejabat yang ditunjuk oleh dan bertanggung jawab kepada Kabareskrim.

Menariknya, tidak seorang pun tersangka disebut menjabat Kabareskrim. Rantai itu tidak dibobol dari dalam, melainkan diduga dilangkahi dari atas. Bagi akuntan, pola ini sangat dikenal. Kerangka pengendalian internal COSO mencatat pengabaian pengendalian oleh manajemen sebagai keterbatasan bawaan setiap sistem. Pemisahan tugas bekerja baik terhadap staf, tetapi lumpuh ketika perintah datang dari pucuk pimpinan.

Sadapan Tanpa Laporan Polisi Ibarat Jurnal Tanpa Dokumen

Standar Audit 240 menegaskan risiko tersebut ada di setiap entitas dan mewajibkan auditor menguji ayat jurnal, terutama yang dibuat manual atau di luar kebiasaan, betapapun baiknya pengendalian dinilai. Sadapan tanpa laporan polisi adalah padanan ayat jurnal tanpa dokumen sumber. Masalahnya, tidak ada pihak di luar garis komando yang rutin mengujinya, padahal hingga awal Oktober 2026 salah satu tersangka memimpin institusi yang membawahkan seluruh rantai itu. Akibatnya, deteksi bergantung pada keberanian perorangan, dan keberanian tidak dapat dijadwalkan lewat peraturan.

Urgensi UU Penyadapan dan Audit Independen

Momentum pembenahan sebenarnya tersedia. Pasal 136 ayat (2) KUHAP baru mengamanatkan penyadapan diatur dengan undang-undang tersendiri, dan RUU Penyadapan sudah masuk Prolegnas Prioritas 2026 meski belum rampung. Sejak KUHAP baru berlaku Januari lalu, pemerintah menyatakan penyadapan di luar perkara korupsi dan terorisme menunggu undang-undang itu, sehingga kekosongan ini bukan lagi soal teknis.

Selama ini, perdebatan banyak berkisar pada izin pengadilan. Itu penting, tetapi perkara ini memperlihatkan batasnya. Perkap yang sama bahkan mengenal sadapan yang berjalan sebelum izin Ketua Pengadilan diperoleh, dan yang diduga terjadi justru sadapan yang tidak pernah mengetuk pintu pengadilan sama sekali. Izin menjaga pintu depan, sedangkan yang bobol adalah pembukuannya.

Undang-undang yang sedang disusun perlu memastikan catatan sadapan tidak pernah sepenuhnya berada di tangan penyadap. Operator telekomunikasi yang menyambungkan sadapan semestinya wajib menyimpan registernya sendiri, dengan sanksi pidana bila lalai atau tunduk pada perintah di luar izin. Pengawas independen lalu mencocokkan secara berkala register operator, data pusat pemantauan, dan daftar izin pengadilan. Auditor menyebutnya konfirmasi eksternal, sebagaimana saldo kas baru dipercaya setelah dikonfirmasi langsung ke bank.

Inggris menempuh jalan ini lewat Investigatory Powers Act 2016, yang memberi komisioner yudisial wewenang mengaudit dan mewajibkan operator melaporkan kesalahan yang mereka ketahui. Log sistem perlu bersifat sekali tulis, karena perkara ini menunjukkan bahwa log yang dapat dihapus hanyalah catatan bagi pihak yang berkuasa menghapusnya. Penghapusan hasil sadapan semestinya hanya sah dengan berita acara yang disaksikan pihak luar. Setiap pergantian Kapolri, Kabareskrim, atau kepala pusat pemantauan juga perlu memicu audit independen atas isi sistem, persis kas opname saat bendahara berganti.

Catatan Data Cyber Indonesia

Data Cyber Indonesia menilai bahwa isu ini menyentuh inti dari tata kelola keamanan informasi di sektor publik. Sistem intersepsi, sebagaimana sistem keuangan, memerlukan prinsip segregation of duties, audit trail yang tidak dapat dimanipulasi, serta pengawasan berlapis yang melibatkan pihak eksternal. Tanpa itu, alat yang seharusnya melindungi negara justru menjadi celah yang mengancam privasi warga negara. Perkara ini menjadi momentum untuk mendorong lahirnya UU Penyadapan yang komprehensif, yang tidak hanya mengatur izin, tetapi juga mewajibkan audit independen dan transparansi register. Negara yang diberi hak mendengar warganya semestinya juga mampu membuktikan bahwa ia tidak mendengar di luar izin.