Forensik digital dapat menunjukkan akun mana yang memasukkan nomor, kapan tindakan itu dilakukan, perangkat yang digunakan, dan ke mana hasil sadapan dialirkan. Namun, akun tidak selalu identik dengan orang yang menggunakannya dan perintah lisan tidak meninggalkan jejak dalam log. Bukti digital harus dirangkai dengan keterangan saksi, termasuk pelapor internal, karena Pasal 20 KUHP juga menjangkau orang yang menyuruh melakukan. Satu pertanyaan besar juga belum terjawab: siapa penerima akhir hasil sadapan?
Sistem penyadapan yang sah harus mampu menolak perintah pejabat tertingginya sendiri. Ada empat kontrol yang harus tetap bekerja meskipun pimpinan ikut terlibat. Pertama, sasaran penyadapan hanya dapat diaktifkan berdasarkan penetapan pengadilan elektronik yang ditandatangani secara digital sehingga nomor tidak lagi dapat dimasukkan secara bebas. Kedua, daftar sasaran di LIMS, sistem operator, dan daftar penetapan pengadilan harus dicocokkan secara berkala. Ketiga, log harus dibuat tahan ubah dan salinannya dikirim kepada pengawas. Keempat, ada pengawas independen di luar rantai komando yang menerima notifikasi setiap aktivasi penyadapan.
Regulasi kita cukup tertinggal. Perkap Nomor 5 Tahun 2010 menempatkan Kabareskrim sebagai pemberi izin sekaligus pengawas, membuka jalur penyadapan dalam keadaan mendesak, mengandalkan berita acara berbasis kertas, dan tidak mengenal jabatan Dewan Pembina yang dalam praktik justru memegang kunci. Mahkamah Konstitusi sejak 2010 telah meminta agar tata cara penyadapan diatur melalui undang-undang. Namun, 16 tahun kemudian, pengaturannya masih tersebar dalam berbagai undang-undang sektoral dan peraturan internal lembaga.
RUU Penyadapan yang direncanakan mulai dibahas pada Desember 2026 harus memuat ketentuan mengenai izin hakim untuk setiap penyadapan, pengawas independen di luar lembaga penyadap, kewajiban pencatatan log yang tahan ubah dan dapat diaudit, batas waktu yang tegas termasuk untuk jalur mendesak, serta pengaturan tegas mengenai penggunaan perangkat spyware yang hingga kini belum memiliki dasar hukum khusus bagi aparat.
Ada pula langkah yang dapat dilakukan tanpa harus menunggu undang-undang baru. Penyidik perlu mengamankan log operator beserta cadangannya, memastikan bagaimana LIMS terhubung dengan jaringan operator, dan mengungkap penerima akhir hasil sadapan. Polri perlu membuka LIMS untuk diaudit oleh pihak eksternal. Operator seluler juga perlu menjadikan verifikasi sebelum aktivasi dan pencocokan berkala sebagai kewajiban, bukan sekadar praktik baik. Pejabat, jurnalis, dan masyarakat pun dapat melindungi diri dengan langkah sederhana, seperti tidak menggunakan SMS sebagai sarana OTP, memperbarui perangkat lunak ponsel secara rutin, dan mengaktifkan mode perlindungan bagi mereka yang berisiko tinggi.
Undang-Undang Pelindungan Data Pribadi juga memberikan pijakan melalui kewajiban melakukan penilaian dampak terhadap pelindungan data pribadi sebelum sistem berisiko tinggi digunakan, mencatat kegiatan pemrosesan data pribadi, serta menjamin keamanan data. Meskipun terdapat pengecualian tertentu untuk kepentingan penegakan hukum, kewajiban menjaga keamanan dan akuntabilitas sistem tetap relevan, termasuk kewajiban memberitahukan kegagalan pelindungan data pribadi paling lambat 3 x 24 jam.
Perkara ini bukan sekadar soal empat orang tersangka. Jika telepon Presiden saja bisa disadap tanpa terdeteksi, warga biasa, jurnalis, aktivis, dan pelaku usaha jauh lebih rentan. Para tersangka tetap harus tunduk pada asas praduga tak bersalah. Namun, perbaikan sistem tidak perlu menunggu putusan pengadilan.