Bill C-22 Kanada: Backdoor Enkripsi dan Retensi Metadata 1 Tahun

Bill C-22 atau Lawful Access Act sudah lolos House of Commons Kanada dan kini dibahas di Senate, dengan dua ketentuan yang paling banyak dikritik: kewajiban menyimpan metadata pengguna hingga satu tahun dan kewenangan Menteri Public Safety memerintahkan perusahaan membuat akses khusus bagi penegak hukum. Electronic Frontier Foundation memperingatkan pada 22 Oktober 2026 bahwa kombinasi keduanya melemahkan enkripsi yang dipakai layanan sehari-hari, sementara analisis Canadian Civil Liberties Association dan Citizen Lab menilai perbaikan kosmetik tidak cukup dan meminta Part 2 RUU itu ditarik seluruhnya.

TL;DR

• Bill C-22 sudah melewati House of Commons dan sedang dibahas di Senate Kanada.
• Layanan digital bisa diwajibkan menyimpan metadata hingga satu tahun, termasuk siapa berkomunikasi dengan siapa.
• Menteri Public Safety dapat memerintahkan pembuatan akses khusus selama tidak menimbulkan apa yang disebut systemic insecurity.
• CCLA dan Citizen Lab meminta Part 2 RUU ditarik, bukan sekadar diperbaiki di pinggir.
• RUU ini juga membuka jalur berbagi data dengan penegak hukum asing, termasuk Amerika Serikat.

Apa isi Bill C-22 yang berdampak pada layanan digital?

Intinya dua kewajiban: menyimpan metadata untuk periode tertentu dan membantu akses penegak hukum, termasuk lewat perintah pembuatan akses khusus. Keduanya menyentuh layanan yang menyimpan data pengguna, dari operator telekomunikasi sampai aplikasi pesan.

Kewajiban retensi metadata berlaku sampai satu tahun. Yang disimpan bukan isi pesan, melainkan informasi tentang komunikasi itu sendiri: siapa menghubungi siapa, kapan, dari mana, dan layanan apa yang dipakai. Bagi banyak orang, metadata sudah cukup untuk menyusun gambaran lengkap kehidupan seseorang, meskipun isi percakapannya tidak pernah dibuka. Itu sebabnya kalangan peneliti privasi menyebut metadata sama sensitifnya dengan isi.

Kewajiban kedua lebih jauh. Menteri Public Safety diberi kewenangan memerintahkan perusahaan menyediakan akses bagi penegak hukum, dengan syarat perintah itu tidak menimbulkan systemic insecurity. Frasa itu yang menjadi masalah, karena tidak ada definisi teknis yang jelas tentang apa yang termasuk systemic insecurity. Bagi perusahaan yang membangun enkripsi end-to-end, hampir semua bentuk akses khusus berarti melemahkan jaminan keamanan bagi seluruh pengguna, bukan hanya target penyelidikan.

Yang perlu dipahami pembaca di luar Kanada: RUU ini mengatur layanan yang beroperasi di Kanada, tapi efeknya bisa meluas. Perusahaan yang menyediakan layanan global sering memilih satu standar teknis untuk semua wilayah, karena membangun dua versi produk dengan tingkat keamanan berbeda mahal dan berisiko. Keputusan yang diambil untuk satu yurisdiksi bisa menjadi default untuk pengguna di tempat lain.

Kenapa backdoor enkripsi dianggap berbahaya?

Karena pintu akses yang dibuat untuk satu pihak tidak bisa dibatasi hanya untuk pihak itu. Begitu sebuah mekanisme akses ada di dalam sistem, mekanisme itu menjadi bagian dari permukaan serangan, dan siapa pun yang menemukannya bisa memakainya.

Secara teknis, enkripsi end-to-end bekerja karena kunci hanya dipegang pengguna. Untuk memberi akses kepada pihak ketiga, salah satu dari tiga hal harus terjadi: kunci disimpan di server, kunci dikirim ke pihak lain saat diminta, atau klien mengirim salinan isi pesan. Ketiganya menghapus jaminan yang membuat enkripsi itu berarti. Tidak ada cara membuat "akses khusus yang aman" tanpa mengubah model kepercayaan yang mendasarinya.

Argumen yang sering dipakai untuk membenarkan mekanisme ini adalah pembatasan penggunaannya lewat hukum dan audit. Masalahnya, pembatasan hukum tidak mengurangi risiko teknis. Celah yang ada bisa dieksploitasi oleh aktor lain, termasuk aktor negara lain, tanpa memedulikan batasan yang ditulis untuk penegak hukum domestik. Sejarah menunjukkan bahwa mekanisme akses yang dibuat untuk tujuan terbatas hampir selalu dipakai lebih luas dari rencana awalnya.

Bagi pengembang aplikasi, dampaknya bersifat langsung. Kalau layanan yang dipakai untuk menyimpan data pengguna Kanada diwajibkan membuka akses, maka keputusan arsitektur enkripsi berubah dari pilihan teknis menjadi kewajiban hukum. Tim yang membangun produk dengan enkripsi end-to-end perlu memantau perkembangan ini karena biaya perubahan setelah produk berjalan jauh lebih besar daripada biaya mendesain ulang sebelum rilis.

Apa dampaknya bagi pengembang aplikasi di luar Kanada?

Dampak langsungnya kecil, tapi dampak tidak langsungnya nyata. Layanan global yang menyesuaikan diri dengan aturan Kanada cenderung memakai satu implementasi untuk semua negara, sehingga perubahan yang dipaksa di satu tempat menjadi default di tempat lain.

Ketentuan	Isi	Dampak teknis
Retensi metadata	Hingga satu tahun	Butuh penyimpanan tambahan, kebijakan retensi, dan kontrol akses yang ketat
Perintah akses	Menteri dapat memerintahkan bantuan akses	Enkripsi end-to-end tidak bisa dipertahankan apa adanya
Pembatasan	Tidak boleh menimbulkan systemic insecurity	Tidak ada definisi teknis yang dapat diuji
Berbagi lintas negara	Membuka jalur ke penegak hukum asing	Data pengguna bisa keluar dari yurisdiksi asal tanpa putusan pengadilan lokal

Untuk tim yang membangun produk dengan data pengguna Kanada, ada tiga hal yang perlu disiapkan. Pertama, dokumentasi aliran data: data apa yang disimpan, di mana, dan berapa lama. Tanpa peta ini, kewajiban retensi sulit dipenuhi secara terkendali. Kedua, pemisahan data per yurisdiksi, supaya perubahan aturan di satu negara tidak memaksa perubahan arsitektur global. Ketiga, kebijakan enkripsi yang jelas, termasuk siapa memegang kunci dan bagaimana kunci itu dirotasi.

Untuk tim di Indonesia, yang paling relevan adalah efek berantai pada layanan pihak ketiga. Kalau penyedia infrastruktur atau layanan pesan yang dipakai sehari-hari mengubah model enkripsinya demi mematuhi aturan di negara lain, perubahan itu akan terasa sampai ke pengguna di sini. Memantau perkembangan RUU ini adalah bagian dari menilai risiko vendor, bukan sekadar urusan politik negara lain.

Di mana perkembangan Bill C-22 bisa dipantau?

Status resmi RUU bisa dilihat di halaman Bill C-22 di Open Parliament, yang mencatat tahapan parlemen dan tautan ke dokumen terkait. Analisis kebijakan dari sisi privasi diterbitkan oleh EFF dan oleh Citizen Lab.

Yang perlu diperhatikan saat memantau: perubahan pada Part 2, karena bagian itulah yang mengatur rezim retensi dan akses. Kalau Part 2 ditarik, sebagian besar kekhawatiran teknis hilang. Kalau yang berubah hanya definisi atau prosedur, inti mekanismenya tetap ada dan risikonya tetap sama.

Perhatikan juga tahapan Senate. RUU yang sudah lolos House of Commons masih bisa berubah, ditunda, atau gugur di Senate. Untuk keperluan perencanaan produk, yang masuk akal bukan bersiap untuk skenario terburuk, tapi menyiapkan jalur agar perubahan aturan tidak memaksa penulisan ulang sistem dari nol.

Apa yang bisa dilakukan tim engineering sekarang?

Langkah paling murah adalah memetakan data yang disimpan dan berapa lama. Sebagian besar tim tidak bisa menjawab pertanyaan sederhana tentang metadata apa yang tersimpan di sistem mereka, dan ketidaktahuan itu yang membuat kewajiban retensi menjadi mahal saat tiba-tiba diminta.

Mulai dari inventaris: tabel mana yang menyimpan alamat IP, waktu akses, identitas perangkat, dan catatan komunikasi. Untuk tiap tabel, catat tujuan penyimpanan dan masa simpannya. Kalau ada data yang disimpan hanya karena kebiasaan, hapus. Retensi yang lebih pendek adalah pertahanan terbaik, karena data yang tidak ada tidak bisa diminta, bocor, atau disalahgunakan.

Langkah kedua, pisahkan data yang dibutuhkan untuk operasional dari data yang dibutuhkan untuk analitik. Banyak sistem menyimpan salinan data mentah ke gudang analitik tanpa batas waktu, dan salinan itu sering luput dari kebijakan retensi. Kalau kewajiban retensi satu tahun diberlakukan, salinan yang tidak terkendali justru menjadi risiko kepatuhan, bukan aset.

Langkah ketiga, dokumentasikan model enkripsi secara eksplisit: data apa yang terenkripsi saat transit, apa yang terenkripsi saat disimpan, dan siapa yang memegang kunci. Untuk produk yang mengklaim enkripsi end-to-end, klaim itu harus bisa dipertahankan secara teknis, bukan hanya tertulis di halaman pemasaran. Kalau arsitektur memungkinkan operator membaca data pengguna, jangan sebut produk itu end-to-end encrypted.

Langkah keempat, siapkan jalur hukum dan teknis untuk permintaan data. Siapa yang berwenang menandatangani respons, bagaimana data diekstrak, dan bagaimana tindakan itu dicatat. Tim yang belum pernah menyiapkan prosedur ini biasanya panik saat permintaan pertama datang, dan panik menghasilkan kesalahan yang mahal, termasuk menyerahkan data lebih banyak dari yang diminta.

Terakhir, jangan menunggu RUU ini selesai untuk mengambil langkah yang sudah masuk akal tanpa alasan kepatuhan. Minimalkan data yang disimpan, batasi akses, dan catat siapa mengakses apa. Ketiga hal itu memperbaiki keamanan sekarang, dan sekaligus mengurangi beban kalau aturan baru benar-benar berlaku.

Ada satu kebiasaan yang layak diubah lebih awal: menyimpan log akses tanpa batas waktu. Log sering dianggap tidak berbahaya karena hanya berisi metadata, padahal justru metadata itu yang paling sering diminta dalam penyelidikan. Menetapkan masa simpan log, misalnya 30 atau 90 hari, mengurangi jumlah data yang harus diserahkan sekaligus menurunkan risiko kebocoran. Kebijakan ini tidak perlu menunggu undang-undang, dan manfaatnya langsung terasa pada biaya penyimpanan.

Hal serupa berlaku untuk data analitik. Banyak tim mengirim salinan peristiwa mentah ke gudang data untuk keperluan produk, lalu lupa bahwa salinan itu ikut menyimpan identitas perangkat dan alamat IP. Kalau data semacam ini tidak diperlukan untuk pengambilan keputusan, membuangnya di tahap pengumpulan lebih murah daripada membersihkannya nanti di gudang data. Prinsipnya sederhana: data yang tidak pernah dikumpulkan tidak perlu dilindungi, dilaporkan, atau dihapus.

FAQ

Apakah Bill C-22 sudah menjadi undang-undang?

Belum. Per 23 Oktober 2026 RUU ini sudah lolos House of Commons dan sedang dibahas di Senate. RUU baru berlaku setelah melewati seluruh tahapan parlemen dan mendapat persetujuan kerajaan.

Apakah Bill C-22 meminta isi pesan dibuka?

Yang diatur secara eksplisit adalah retensi metadata dan kewajiban membantu akses. Kewajiban akses itu yang berpotensi menyentuh isi, karena untuk memenuhinya layanan bisa dipaksa melemahkan enkripsi yang melindungi isi pesan.

Apakah aturan ini berlaku untuk perusahaan di luar Kanada?

Tergantung cakupan layanan yang diatur dan bagaimana penegakannya. Perusahaan asing yang melayani pengguna di Kanada bisa terkena kewajiban, dan efeknya sering meluas karena perusahaan memilih satu standar teknis global.

Apa yang dimaksud systemic insecurity?

Istilah itu dipakai sebagai batas perintah akses, tapi tidak ada definisi teknis yang jelas dalam teks yang dirujuk pemberitaan. Ketidakjelasan ini yang membuat penilaian risiko sulit dilakukan secara objektif oleh perusahaan maupun pengawas.