ACPA Disahkan? Teks RUU AS yang Wajibkan VPN Blokir Situs Bajakan

Telset.id – Sebuah rancangan undang-undang baru di Amerika Serikat berpotensi mengubah cara kerja layanan VPN di negara tersebut secara fundamental. Jika disahkan, penyedia VPN wajib memblokir akses ke situs pembajakan, mengubah layanan yang selama ini dikenal sebagai jalur privasi menjadi saluran yang penuh filter.

RUU bernama American Copyright Protection Act (ACPA) dengan nomor resmi H.R. 10364 ini diperkenalkan oleh Representative Darrell Issa (R-CA) pada 16 September 2026. RUU tersebut bertujuan memberikan pemegang hak cipta proses hukum cepat untuk mendapatkan perintah pemblokiran terhadap platform yang dituduh melanggar hak cipta. Yang krusial, ACPA secara eksplisit menyebut layanan VPN bersama penyedia broadband tradisional dan DNS resolver sebagai entitas yang harus menegakkan daftar blokir tersebut.

Naskah lengkap RUU ini kini telah dipublikasikan dan langsung menjadi sorotan karena dua hal: targetnya yang menyasar layanan asing, serta klausul yang mengatur koneksi “dari Amerika Serikat”. Kedua elemen itu membuat implementasi ACPA jauh lebih rumit begitu VPN dan content delivery network (CDN) masuk ke dalam perhitungan.

Bagi pengguna yang mengandalkan layanan VPN untuk akses internet tanpa batas dan tanpa pengawasan, legislasi ini menjadi ancaman langsung terhadap janji inti teknologi tersebut. Kewajiban pemblokiran akan berlaku untuk layanan VPN apa pun dengan setidaknya 100.000 pelanggan bulanan di AS. Ambang batas ini mencakup hampir semua merek VPN konsumen utama, yang secara efektif memaksa pemain terbesar industri untuk menerapkan filter web nasional atau menghadapi konsekuensi hukum yang berat.

Laura Tyrylyte, advokat privasi di NordVPN, mengatakan kepada TechRadar bahwa ada ribuan solusi VPN tersedia untuk pengguna di seluruh dunia. Namun, menurutnya, “langkah pemblokiran ini terutama menargetkan penyedia VPN bereputasi baik dan berbayar, sementara layanan VPN gratis sebagian besar tidak tersentuh.”

“VPN gratis sering lebih sulit diatur, dan karena pengguna yang berusaha menghindari membayar konten kemungkinan juga tidak akan membayar VPN, layanan ini akan terus beroperasi tanpa dampak apa pun,” tambahnya.

Proses Hukum Cepat dan Kontroversi “Kecepatan Cahaya”

Di bawah ACPA, pemegang hak cipta dapat mengajukan petisi kepada hakim federal yang ditunjuk untuk menyatakan sebuah situs web sebagai “foreign piracy site.” Standar pembuktian untuk hal ini terbilang rendah, hanya memerlukan “preponderance of the evidence.” Setelah disetujui, penyedia yang tercakup diberi waktu 14 hari untuk mengajukan keberatan sebelum perintah pemblokiran berlaku.

Namun, naskah lengkap RUU yang baru dirilis mengungkap adanya jalur khusus untuk apa yang disebut sebagai “time-sensitive events” — istilah hukum untuk siaran langsung acara olahraga dan pertunjukan. Untuk kategori ini, tenggat pemblokiran dapat dipersingkat sesuai pertimbangan hakim, asalkan kebocoran pertama materi berhak cipta muncul dalam 24 jam setelah tayang. Artinya, penerapan perintah blokir standar yang semula dirancang berlaku dalam 14 hingga 30 hari kini punya pengecualian yang jauh lebih agresif bagi konten siaran langsung.

Rep. Issa tidak menyembunyikan keinginannya untuk penegakan yang agresif. Berbicara pada sidang Juni, ia merumuskan tujuannya secara blak-blakan: “Can we do it at the speed of sound? Can we do it at the speed of light?”

Organisasi hak digital telah mengkritik keras proposal tersebut. Meredith Rose dari Public Knowledge memperingatkan bahwa RUU itu akan memaksa penyedia layanan apa pun “to disrupt traffic from targeted websites simply accused of copyright infringement.” Sementara itu, Brandon Butler dari Re:Create berargumen bahwa legislasi tersebut mengkodifikasi “a one-sided legal process modeled on European site-blocking laws” dan “violates American due process, First Amendment rights, and American ingenuity.”

Untuk memitigasi risiko positif palsu, RUU ini menyertakan ketentuan kesalahan yang memungkinkan perusahaan yang salah diblokir menuntut hingga $250.000 sebagai ganti rugi, meskipun kritikus berpendapat hal ini hanya memberikan sedikit kenyamanan finansial bagi bisnis kecil tak bersalah yang dilumpuhkan secara online.

Definisi “dari Amerika Serikat” yang Samar dan Skenario Abu-Abu

Bagian paling problematik dari naskah lengkap ACPA adalah ketidakjelasan soal apa yang dimaksud dengan koneksi “from the United States”. RUU ini bahkan tidak mendefinisikan secara tegas arti kata “foreign” ketika VPN dan CDN terlibat. Menentukan status sebuah koneksi dalam kerangka hukum seperti ini, sebagaimana digambarkan Tom’s Hardware, bisa jadi seperti latihan superposisi kuantum — beberapa skenario sekaligus bisa dianggap memenuhi kriteria.

Sejumlah kemungkinan yang bisa diperdebatkan secara teknis maupun hukum antara lain:

• Koneksi ke VPN berasal dari Amerika Serikat.
• Endpoint VPN berada di Amerika Serikat.
• Pelanggan VPN terdaftar sebagai warga AS, tetapi sedang berada di luar negeri.
• Pengguna memakai VPN ke negara asing, tetapi mengakses situs yang berada di belakang CDN — apakah endpoint CDN dihitung sebagai tujuan?
• Kasus serupa, tetapi situs aslinya berada di wilayah AS meski diakses dari luar — apakah tetap “asing” jika endpoint-nya asing?
• Pada VPN multi-hop, hop mana yang dihitung sebagai penentu tujuan, terutama jika lalu lintas melewati AS pada satu titik?
• Warga AS di kapal di perairan internasional yang memakai Starlink — ISP satelit AS — apakah dihitung sebagai asing?
• Warga AS yang ke luar negeri dan memakai roaming — dianggap asing karena lokasi fisiknya, atau tetap dalam AS karena memakai infrastruktur dalam negeri?

Pertanyaan hukum tambahan juga muncul dari faktor teknologi lain. Penggunaan IP bersama di layanan hosting atau implementasi CGNAT dapat mengaburkan konsep “tujuan” dan “asal”. Bagaimana status penyedia DNS yang memakai Oblivious DoH, di mana server merespons permintaan tetapi tidak mengetahui siapa yang meminta dan sebaliknya? Bagaimana posisi fitur iCloud Private Relay milik Apple, yang menyembunyikan sumber dan tujuan koneksi satu sama lain, dalam kerangka hukum ini? Dan dengan adanya encrypted DNS, seberapa besar tanggung jawab ISP jika mereka tidak bisa melihat domain apa yang diminta pengguna?

Yang perlu dicatat, RUU ini tidak menentukan cara pemblokiran yang pasti. Konsekuensinya, penyedia layanan yang khawatir akan liabilitas berpotensi mengambil pendekatan yang terlalu agresif. ACPA juga tidak menyinggung soal perlindungan atau penetralan enkripsi.

Pengecualian, Preseden Eropa, dan Dampak Nyata Pemblokiran Massal

Naskah ACPA menetapkan sejumlah pengecualian. ISP kecil dan layanan dengan kurang dari 100.000 pengguna bulanan dibebaskan dari kewajiban ini, begitu pula jaringan publik serta penyedia root DNS dan top-level domain (TLD). Pemblokiran di level ISP dan DNS sendiri relatif lugas: mayoritas pengguna memakai DNS dari ISP mereka, sehingga tidak meresolusi domain tertentu yang ada di daftar blokir cukup mudah dilakukan. Namun, pengguna yang mengandalkan DNS eksternal seperti Google DNS, Cloudflare 1.1.1.1, OpenDNS, atau NextDNS juga bisa diminta mengabaikan permintaan resolusi DNS dari pengguna di AS — terlepas dari akurasi geolokasi.

Ini bukan pertama kalinya pembuat undang-undang AS menyasar VPN pada 2026. ACPA hadir setelah SB 73 di Utah, undang-undang negara bagian kontroversial yang berupaya mengatur penggunaan VPN untuk verifikasi usia sebelum menghadapi pembekuan penegakan. ACPA juga bergabung dengan proposal federal lain yang tertunda, seperti Block BEARD Act dan Foreign Anti-Digital Piracy Act.

Namun, tanda peringatan sebenarnya datang dari luar negeri. Seperti yang dicatat Butler, ACPA sangat meniru kampanye anti-pembajakan agresif Eropa, yang telah menempatkan VPN di garis bidik. Di negara seperti Spanyol dan Prancis, pemblokiran VPN yang diperintahkan pengadilan sudah menjadi kenyataan. Netralitas penyedia layanan pihak ketiga pun telah diserang di yurisdiksi tersebut, dengan putusan yang umumnya berpihak melawan klaim netralitas. Sebuah pengadilan Spanyol memutuskan melawan Cloudflare dan RootedCON terkait peran mereka menyediakan CDN, yang berujung pada pemblokiran IP massal. Sementara di Prancis, pengadilan memutuskan bahwa VPN memang harus mematuhi perintah pemblokiran meskipun tugas mereka adalah “technical intermediaries”.

Sistem ini telah menunjukkan potensi kerusakan sampingan. Analisis oleh Re:Create menemukan bahwa di Italia, situs web tak bersalah tetap diblokir rata-rata selama 320 hari karena filter yang terlalu bersemangat. Di Spanyol, lebih dari 500.000 situs web salah diblokir selama pertandingan LaLiga, yang sementara membatasi akses ke 5,8% internet populer.

Status ACPA saat ini masih jauh dari kata final. RUU ini hanya salah satu dari sejumlah rancangan yang berada di Kongres dalam status “introduced”, dan untuk saat ini tampak belum memiliki sponsor, jadwal dengar pendapat, maupun tahap markup. Meski demikian, jika aktivitas di luar negeri menjadi indikasi, legislasi seluas ini berpotensi menimbulkan konsekuensi tak terduga yang besar.

Jika ACPA maju, yurisdiksi hukum VPN akan menjadi lebih vital dari sebelumnya. Pengadilan AS tidak dapat secara otomatis menegakkan perintah terhadap penyedia yang berbadan hukum di surga privasi seperti Panama atau British Virgin Islands. Sementara itu, pertempuran untuk internet terbuka terus berlanjut di Capitol Hill.

Perkembangan regulasi privasi digital global ini sejalan dengan kekhawatiran yang diangkat sejumlah pihak terkait kesiapan pemerintah menghadapi teknologi baru. Isu serupa juga muncul dalam diskusi mengenai dampak AI terhadap tata kelola dan kebijakan publik di berbagai negara, termasuk bagaimana regulator menyikapi regulasi data center yang terus diperketat di berbagai wilayah.

Bagi pengguna internet di seluruh dunia, termasuk di Indonesia, dinamika ini menjadi cerminan bagaimana kebijakan di satu negara dapat memengaruhi arsitektur internet global. Layanan VPN yang beroperasi lintas yurisdiksi akan menghadapi tekanan untuk menyesuaikan diri dengan lanskap hukum yang terus berubah.