Portugal Perbarui Undang-Undang Kejahatan Siber: Aman untuk Peneliti Keamanan

Portugal resmi memodifikasi undang-undang kejahatan siber untuk memberikan safe harbor hukum bagi penelitian keamanan yang dilakukan dengan itikad baik. Perubahan ini menjadikan aktivitas yang sebelumnya dikategorikan sebagai akses ilegal sistem atau intersepsi data tidak lagi dapat dihukum, selama memenuhi syarat ketat.

Pasal Baru: 8.o-A

Tercatat sebagai “Acts not punishable due to public interest in cybersecurity”, pasal ini memberikan pengecualian hukum bagi peneliti keamanan.

Syarat Utama

• Penelitian hanya bertujuan mengidentifikasi kerentanan (bukan yang dibuat sendiri) dan meningkatkan keamanan melalui disclosure.
• Peneliti tidak boleh mencari keuntungan ekonomi selain kompensasi profesional normal.
• Kerentanan harus segera dilaporkan kepada pemilik sistem, pengendali data terkait, dan CNCS.
• Tindakan terbatas pada yang diperlukan untuk mendeteksi kerentanan, tanpa mengganggu layanan, mengubah/menghapus data, atau menyebabkan kerusakan.
• Tidak boleh melibatkan pemrosesan data pribadi yang melanggar GDPR.
• Dilarang menggunakan teknik terlarang: DoS/DDoS, social engineering, phishing, pencurian password, perubahan data sengaja, perusakan sistem, atau malware.
• Data yang diperoleh harus tetap rahasia dan dihapus dalam 10 hari setelah kerentanan diperbaiki.
• Penelitian dengan izin pemilik sistem juga bebas dari hukuman, namun tetap wajib dilaporkan ke CNCS.

Konteks Internasional

• Jerman (Nov 2024): Kementerian Kehakiman memperkenalkan rancangan undang-undang serupa untuk melindungi peneliti keamanan.
• Amerika Serikat (Mei 2022): Departemen Kehakiman merevisi kebijakan CFAA, menambahkan pengecualian untuk penelitian dengan itikad baik.

Implikasi

Kerangka hukum ini menegaskan bahwa penelitian keamanan bukan hanya diakui, tetapi juga diberi ruang aman untuk:

• Menggali sistem secara proaktif.
• Mengungkap kerentanan.
• Melaporkan temuan tanpa takut konsekuensi hukum.

Sumber: Pemerintah Portugal, BleepingComputer