Pemerintah federal meminta kemampuan penyadapan domestik skala besar kepada TikTok

• Draf perjanjian TikTok-CFIUS pada musim panas 2022 adalah proposal negosiasi untuk menghindari pelarangan aplikasi, tetapi isinya memberi berbagai lembaga AS hak yang sangat luas untuk meninjau operasi, catatan, dan fasilitas TikTok di AS
• DOJ, DoD, dan lainnya dapat menyelidiki fasilitas, catatan, dan server di AS hanya dengan pemberitahuan awal yang minimal, dan bahkan dapat menolak perekrutan eksekutif untuk organisasi keamanan data TikTok di AS
• Draf perjanjian itu juga mencakup pemblokiran perubahan syarat layanan di AS, permintaan audit dengan biaya perusahaan, hingga permintaan penghentian sementara fungsi TikTok dalam situasi ekstrem
• Draf sekitar 100 halaman itu memuat komentar pengacara dari pihak ByteDance dan CFIUS, dan TikTok dilaporkan menolak bagian yang menyangkut cakupan akses data pengguna, kontrak di masa depan, dan kontrol atas algoritme rekomendasi
• TikTok menonjolkan isolasi data pengguna AS melalui Project Texas dan Oracle Cloud Infrastructure, tetapi setelah kasus pengawasan terhadap pengguna dan jurnalis oleh karyawan serta penyelidikan DOJ, CFIUS dilaporkan pada Maret 2023 mengancam pelarangan nasional jika pemilik asal Tiongkok tidak melepas sahamnya

---

Draf CFIUS untuk menghindari pelarangan TikTok

• Regulator AS mendorong sebuah kesepakatan untuk mencegah pelarangan TikTok, sambil membahas kewenangan yang memungkinkan pemerintah federal terlibat secara mendalam dalam keseluruhan operasi aplikasi
• Draf yang diperoleh Forbes adalah dokumen kesepakatan antara TikTok dan Committee on Foreign Investment in the United States (CFIUS), yang memberi berbagai lembaga AS akses yang belum pernah terjadi sebelumnya ke catatan dan operasi TikTok
• Ini adalah proposal untuk meredakan kekhawatiran bahwa pemerintah Tiongkok dapat menggunakan TikTok sebagai alat pengawasan, tetapi jika dilihat dari pasal-pasalnya, strukturnya justru dapat membuat TikTok lebih mendekati alat pengawasan ala Amerika

Kewenangan yang bisa dimiliki lembaga AS

• Draf bertanggal musim panas 2022 itu memungkinkan lembaga pemerintah AS seperti DOJ dan DoD memiliki akses yang jauh lebih luas ke operasi TikTok dibanding perusahaan media sosial lain
• Kewenangan utamanya adalah sebagai berikut
  • Menyelidiki fasilitas, catatan, dan server TikTok di AS hanya dengan pemberitahuan awal yang minimal
  • Menggunakan hak veto atas perekrutan eksekutif yang memimpin organisasi keamanan data TikTok di AS
  • Memblokir perubahan syarat layanan TikTok di AS
  • Menuntut berbagai audit dengan biaya TikTok
  • Dalam kasus ekstrem, meminta penghentian sementara fungsi TikTok di AS
• Gizmodo meminta komentar kepada CFIUS, tetapi tidak segera menerima tanggapan

Sikap TikTok dan klaim isolasi data

• TikTok tidak mengonfirmasi maupun membantah keaslian draf perjanjian tersebut
• Juru bicara TikTok mengatakan perusahaan telah bekerja sama dengan CFIUS selama lebih dari satu tahun untuk menerapkan kesepakatan keamanan nasional, dan telah menginvestasikan sumber daya yang besar untuk membangun firewall guna mengisolasi data pengguna AS
• Saat ini, data pengguna AS yang dilindungi dan baru dibuat disimpan di Oracle Cloud Infrastructure di AS, dan gateway dijelaskan dikendalikan serta dipantau secara ketat
• TikTok mengatakan pihaknya mengambil lebih banyak langkah daripada perusahaan sejenis untuk melindungi kepentingan keamanan nasional AS

Struktur dokumen draf dan cakupan kontrol

• Dokumen ini, yang belum dapat diverifikasi secara independen oleh Gizmodo, dilaporkan memiliki panjang sekitar 100 halaman dan memuat komentar pengacara yang mewakili ByteDance, induk TikTok yang berbasis di Tiongkok, serta pengacara dari pihak CFIUS
• Jika naskah saat itu diterima apa adanya, operasi TikTok di AS akan berada di bawah pengawasan berbagai auditor pihak ketiga eksternal dan pemeriksa source code
• Pimpinan ByteDance, yang oleh anggota parlemen AS dan pelapor internal dituduh memiliki hubungan dekat dengan Partai Komunis Tiongkok, bisa saja dikeluarkan dari sebagian keputusan keamanan yang terkait dengan versi aplikasi di AS
• Sejumlah ketentuan saat itu masih belum disepakati kedua pihak
  • Pengacara TikTok menentang syarat yang memungkinkan pemerintah mengubah jenis data pengguna yang dapat dilihat oleh karyawan ByteDance
  • Perbedaan pendapat juga muncul saat pemerintah meminta hak veto tanpa batas atas kontrak TikTok di masa depan
  • TikTok dilaporkan merevisi frasa yang memungkinkan lembaga pemerintah meminta perubahan algoritme rekomendasi aplikasi jika algoritme tersebut mempromosikan konten yang tidak disetujui lembaga terkait

Suasana negosiasi yang memburuk setelah Project Texas

• CFIUS memulai penyelidikan terhadap ByteDance empat tahun lalu pada masa pemerintahan Donald Trump, ketika anggota parlemen AS dan sebagian publik khawatir pemerintah Tiongkok dapat memata-matai warga Amerika melalui TikTok
• Setelah ancaman pelarangan dari Presiden Trump saat itu, TikTok mengatakan telah menyetujui Project Texas, yakni kesepakatan perutean data dengan Oracle, dan menjelaskan bahwa data baru pengguna AS akan disimpan di infrastruktur cloud Oracle di AS
• Namun, laporan media dan laporan pelapor internal selama setahun terakhir menimbulkan pertanyaan tentang seberapa efektif dan tepat waktu janji keamanan data TikTok benar-benar dijalankan
• Terungkap bahwa beberapa karyawan ByteDance mengawasi pengguna dan jurnalis yang menyelidiki liputan terkait perusahaan, dan kasus ini berujung pada penyelidikan DOJ
• Sikap CFIUS tampaknya memburuk antara usulan draf tersebut dan Maret 2023, ketika CFIUS dilaporkan mengancam dapat melarang TikTok di seluruh AS jika pemilik asal Tiongkok tidak menjual kepemilikannya

[GN⁺]

Komentar Hacker News

• Banyak konsesi yang diminta pemerintah kepada TikTok terlihat terlalu mirip dengan taktik pengawasan yang selama ini dikritik karena disalahgunakan oleh otoritas Tiongkok.
  Saya mendukung pelarangan TikTok di dalam negeri, tetapi ini memalukan. Kita tidak boleh menjadi lebih buruk daripada negara yang kita kritik karena mengawasi warganya sendiri. Dengan begini, otoritas moral yang tadinya bisa diklaim runtuh, dan argumennya jadi tampak seperti “kami akan melarangnya karena kami tidak tahan melihat pihak lain lebih baik daripada kami dalam mengawasi warga Amerika.”

  • Memberikan akses ke server TikTok kepada berbagai lembaga AS 100% adalah upaya AS untuk mengawasi pengguna. AS bisa mengklaim punya kewenangan semacam itu menurut hukum AS, dan ada juga US CLOUD Act atau program pengawasan ilegal tanpa surat perintah yang semua orang tahu.
    Mencegah perekrutan eksekutif tampaknya bertujuan mencegah whistleblower masuk ke organisasi, dan persis seperti yang dilakukan AS ketika menggunakan Crypto AG untuk memata-matai negara sekutu: https://www.washingtonpost.com/graphics/2020/world/national-...
    Bagaimanapun, saya menentang pelarangan TikTok dengan alasan yang sama seperti hukum yang menargetkan perusahaan atau individu tertentu itu inkonstitusional. Sebagai gantinya, larang saja tindakan TikTok yang menurut kita seharusnya ilegal, lalu terapkan hukum itu secara sama kepada perusahaan media sosial AS maupun luar negeri.
  • Jangan keliru mengira pemerintah Barat tidak iri pada alat pengawasan Tiongkok. Kebebasan kita ada bukan berkat pemerintah pusat, melainkan berkat peradilan yang independen dan para pendiri negara yang bijaksana.
    Tokoh seperti Trudeau bahkan pernah secara terbuka memuji fleksibilitas kediktatoran Tiongkok. FBI, CIA, dan lainnya tidak mungkin menolak kesempatan memakai alat sejenis yang dimiliki Tiongkok.
  • Pelarangan TikTok bukan karena pemerintah AS peduli pada warganya. Intinya adalah musuh politik memiliki akses ke data yang juga ingin diakses pemerintah AS.
    Kalau alasannya perlindungan privasi atau moral, media sosial domestik juga harus dilarang. Namun karena mereka sudah bisa mengakses data domestik, tidak ada alasan untuk itu.
    Alasan kedua mungkin untuk mengurangi pengaruh dan propaganda asing, tetapi hal ini juga merajalela di media sosial domestik dan tampaknya tidak ada kemauan untuk menghentikannya. Menurut saya itu tidak masuk akal, padahal alat-alat seperti ini adalah senjata utama perang informasi.
  • Saya menentang pengawasan warga sendiri oleh AS. Meski begitu, pelarangan TikTok oleh AS bukanlah langkah moral, melainkan murni langkah kompetitif. Mengapa membiarkan pesaing mendapatkan lebih banyak informasi tentang kita?
  • Dengan adanya PATRIOT Act dan fakta bahwa ia terus diperpanjang saja, otoritas moral sudah runtuh. Begitu juga Room 641a dan kasus Julian Assange. Otoritas moral sudah pergi sejak awal 2000-an.

• Butir-butir dalam laporan asli Forbes (https://www.forbes.com/sites/emilybaker-white/2023/08/21/dra...) lebih terlihat seperti pengawasan ketat terhadap pihak yang tidak bisa dipercaya tetapi juga tidak bisa ditutup, bukan pengawasan domestik.
  Namun butir “memeriksa fasilitas, catatan, peralatan, dan server TikTok di AS dengan sedikit atau tanpa pemberitahuan” mungkin menjadi pengecualian. Jika itu mencakup akses sewenang-wenang ke data pengguna, atau bahkan kesempatan untuk memodifikasi sistem, bukan sekadar inspeksi, maka itu bermasalah.
  Di Forbes juga ada hal menarik yang tidak saya lihat di Gizmodo. TikTok U.S. akan dipaksa mengecualikan manajemen ByteDance dari keputusan keamanan tertentu, dan bergantung pada komite keamanan eksekutif yang beroperasi secara rahasia dari ByteDance.
  Namun saya tidak mengerti mengapa Forbes menyebut ini “platform kebebasan berbicara”. Apakah ini istilah yang kini sudah diterima, atau mereka sedang mendorong framing tertentu? Saya juga bertanya-tanya apakah fakta bahwa Forbes sejak 2014 dimiliki oleh grup investasi berbasis Hong Kong, Integrated Whale Media Investments, sudah cukup menjelaskannya.
  Menurut saya, pertahanan terbaik terhadap ancaman hipotetis dari aplikasi seperti ini adalah masyarakat sipil yang cerdas, berpikir kritis, dan berprinsip. Namun Rupert Murdoch dan budaya yang mengikutinya telah sangat merusak kapasitas itu, jadi mungkin kita memang membutuhkan lebih banyak bantuan pemerintah.

• Saya tidak tahu apa ancaman nyata TikTok bagi AS. Toh kita tidak mengirimkan hal penting ke aplikasi itu, jadi seharusnya tidak terlalu terkait dengan pengawasan. Siapa juga yang memakai DM TikTok?
  Jika aplikasi itu punya backdoor atau kerentanan yang disengaja dan pemerintah federal mengkhawatirkannya, itu adalah persoalan yang harus ditanyakan ke kebijakan dan praktik keamanan serta peninjauan Google dan app store. Ini juga bisa dilumpuhkan sepenuhnya dengan mewajibkan trafik non-video yang dikirim ke pengguna AS disimpan dalam bentuk tidak terenkripsi oleh pihak ketiga berbasis AS
  Namun dalam praktiknya, akan sangat gila jika badan intelijen Tiongkok mengirim exploit lewat TikTok. Itu bisa dengan mudah terdeteksi, dan dapat menjadi alasan perang untuk menghancurkan sebuah perusahaan yang bisnisnya bernilai 8 miliar dolar di AS
  Yang sebenarnya tidak disukai kalangan mapan AS adalah kemampuan TikTok untuk memperkuat topik tertentu, menurunkan topik lain, dan memengaruhi publik AS melalui kebijakan konten. Perusahaan-perusahaan AS menikmati kemampuan seperti itu di seluruh dunia, kecuali di sebagian negara otoriter, dan bahkan UE pun tidak bisa mengaudit algoritma Facebook atau Google
  Ada upaya lewat Digital Services Act untuk memaksa penjelasan algoritma, tetapi sejauh yang saya tahu itu masih jauh dari tingkat audit dan hak veto seperti penggeledahan yang disebut dalam artikel ini. Negara atau entitas politik yang lebih kecil dan lebih lemah pengaruhnya bahkan tidak berani bermimpi memaksa FAANG memenuhi tuntutan mereka
  Jadi, ketika AS masih mengobarkan ketakutan soal “data pribadi” dan “keamanan nasional” meski sudah mengalami pengungkapan Snowden, itu adalah kemunafikan besar. Aturan keras hanya diterapkan pada pihak lain, bukan pada diri sendiri. Algoritma perusahaan AS kemungkinan dilindungi oleh Amandemen Pertama, jadi saya juga tidak yakin apakah penindakan terhadap TikTok ini legal

  • Pengumpulan massal data lokasi oleh aplikasi mobile memang merupakan masalah yang sah. Dengan informasi itu, orang bisa mengidentifikasi klaster aktivitas yang terkait dengan kegiatan militer tertentu, menyimpulkan apa yang sedang terjadi, dan bahkan membuat model untuk memprediksi aktivitas militer dengan memproses data lokasi
    Bahkan perilaku yang sengaja dibuat agar tidak bisa dilacak pun menjadi titik data yang menarik. Strava melakukan sebagian besar hal ini hampir secara tidak sengaja
    Masalah besarnya adalah jika kita menerima bahwa data lokasi harus dikendalikan, bagaimana kita bisa membenarkan penggunaan sistem yang sudah ada, terutama Google dan Facebook, yang terus berlanjut. Dulu saya pernah mengaudit SDK sebuah startup YC, dan ketika pengguna melihat iklan, SDK itu mengumpulkan bahkan ketinggian dan arah pengguna. Hal seperti ini tersebar luas sampai sulit dipercaya
    Secara pribadi, saya pikir kita perlu undang-undang yang melarang pengumpulan data lokasi secara terpusat. Anonimisasi pun tidak cukup. Tidak masalah jika pengguna dan aplikasi memiliki akses ke log terenkripsi lokasi perangkat, tetapi log itu tidak boleh bisa diakses dari jarak jauh oleh siapa pun
  • Tiongkok membatasi apa yang boleh dilakukan perusahaan AS di negaranya jauh lebih keras daripada pembatasan AS terhadap negara mana pun. UE juga jelas punya kekuatan untuk memaksa perusahaan FAANG mematuhi undang-undang perlindungan data pribadi
    Saya tidak begitu mengerti apakah maksudnya negara tidak boleh punya mata-mata atau tidak boleh membela diri dari mata-mata asing. Saya tidak paham apa keluhannya di sini
  • Katanya tidak ada hal penting yang diunggah ke aplikasi, tetapi pada dasarnya yang terunggah adalah profil psikologis real-time semua pengguna. Saya bukan orang yang sangat kreatif, tetapi langsung terlihat bagaimana ini bisa dipakai untuk mengidentifikasi dan merekrut aset potensial atau meningkatkan operasi psikologis
    Menggunakan exploit sambil sekaligus memblokirnya bukanlah kemunafikan. Namun saya tidak setuju dengan penyederhanaan bahwa tingkat keselarasan perusahaan AS dengan kebijakan AS sama dengan tingkat keselarasan perusahaan Tiongkok dengan kebijakan Tiongkok
  • Ancaman TikTok sama seperti ancaman Hollywood dan musik jazz bagi Uni Soviet, serta ancaman Facebook dan Reddit bagi Partai Komunis Tiongkok
  • Intinya adalah kemampuan mengendalikan narasi nasional. Jika terlalu banyak pengguna AS ada di TikTok, elite kekuasaan AS mungkin tidak bisa mengendalikan semua topik dan wacana sesuai keinginan mereka

• Setiap kali lembaga pemerintah AS mempermasalahkan sesuatu, saya perlahan belajar bahwa masalah sebenarnya bukan karena mereka benar-benar mengkhawatirkan objek yang mereka sebutkan, melainkan karena mereka tidak bisa menikmati keuntungan itu sendiri

• Rupanya memata-matai warga Amerika hanya buruk kalau dilakukan oleh Partai Komunis Tiongkok yang menakutkan

  • Logika seperti ini terus muncul, tetapi memang benar. Diawasi oleh negara lain itu tidak baik. Kita tidak punya suara atas hal itu, dan hanya bisa digunakan untuk tujuan jahat
    Sekalipun Anda tidak bisa mengetahui untuk apa pemerintah sendiri memakai informasi itu, satu hal yang pasti: Partai Komunis Tiongkok tidak sedang berusaha mencegah terorisme di negara Anda
    Anda tidak bisa menyingkirkan Xi lewat pemilu, tetapi politisi domestik yang bertanggung jawab atas pengawasan dalam negeri bisa disingkirkan lewat pemilu, atau ditekan lewat berbagai cara agar ada transparansi dan legislasi yang layak
    Jangan berpura-pura keduanya sama. Yang sama hanya fakta bahwa keduanya tidak kita sukai

• Mengingat TikTok terus berbohong soal keterkaitannya dengan Partai Komunis Tiongkok dan keamanan data, tuntutan seperti ini terlihat seperti cara untuk memaksa mereka jujur. Saya tidak melihat kemampuan pengawasan domestik dalam daftar itu

  • “Lembaga pemerintah dapat memeriksa fasilitas, catatan, server TikTok di AS” terlalu luas sehingga wajar mengkhawatirkan penyalahgunaan kewenangan penggeledahan

• Pemerintah federal mungkin menyesal tidak melarang TikTok jauh sebelum siapa pun pernah mendengarnya. Pesaing baru yang muncul ke depan tampaknya tidak akan seberuntung itu
  Bagian tentang “menggunakan hak veto atas perekrutan eksekutif yang memimpin organisasi keamanan data TikTok di AS” hampir secara terang-terangan mengatakan hal yang seharusnya dikatakan diam-diam, jadi itu berbahaya

  • Kalau belum pernah didengar siapa pun, berarti tidak ada yang memakainya; lalu kenapa melarang sesuatu yang tidak dipakai siapa pun?
  • Klausul itu pada dasarnya hanya memberi pemerintah AS kendali atas TikTok pada tingkat yang sama dengan yang dimiliki Partai Komunis Tiongkok

• Larang saja atas dasar resiprositas. Entah Tiongkok mengizinkan FB, Google, Instagram, X, dan lainnya beroperasi di negaranya, atau AS melarang TikTok
  Negara-negara sudah punya mekanisme untuk mencegah persaingan tidak adil, dan kasus ini termasuk di dalamnya

  • Kalau resiprositas, berarti Tiongkok yang seharusnya menuntut akses langsung ke server Facebook dan hak veto atas para eksekutifnya

• Saya tidak terlalu melihat “pengawasan” di sini. Yang diminta pemerintah adalah kewenangan audit, mirip dengan kewenangan FDA terhadap produsen makanan dalam negeri
  FDA bisa memeriksa pabrik makanan, dan jika diperlukan demi kepentingan publik, bisa menutupnya sementara. Tanpa kewenangan ini, saya ingin tahu bagaimana pemerintah bisa meminta pertanggungjawaban TikTok

  • Kesepakatan itu memungkinkan pemerintah federal “memeriksa fasilitas, catatan, peralatan, server TikTok di AS,” dan ini tentu akan mencakup data pengguna. Itu berbeda dari audit produsen makanan
    Ini lebih mirip dengan sekaligus memiliki kewenangan untuk mengetahui apakah setiap konsumen memakan setiap suap makanan, bagaimana reaksinya, makanan itu bagian dari hidangan apa, dimakan di mana, dan dibagi dengan siapa

• Pelarangan TikTok terasa bagi saya seperti membakar buku. Orang bisa saja melihatnya berbeda-beda

  • Jika TikTok dioperasikan oleh perusahaan Amerika, AS tidak akan melarangnya. Ini bukan soal kontennya
  • Ini juga mirip dengan kepanikan moral seputar jazz, rock, Dungeons & Dragons, dan sebagainya. Orang-orang yang sebelumnya bahkan tidak tahu keberadaannya mulai ribut setelah mengetahui bahwa platform ini populer di kalangan Gen Z yang progresif secara sosial, dan bahwa beberapa remaja mengacaukan kampanye Donnie Dumbass dengan spam KPop
    Sampai AS memiliki sistem setingkat GDPR yang secara hukum memaksa praktik privasi semua perusahaan, dan pengawasan NSA dihapuskan sepenuhnya, ini seperti kisah raja telanjang. Saya mendukung pencegahan pengawasan massal, dan memang seharusnya begitu. Namun ini hanyalah komedi, dan hanya satu sisi dari perang budaya. Ini tak lebih dari suara minoritas yang marah kepada orang-orang yang mengonsumsi media selain pipa narkoba bernama media konservatif