ACPA 2026: Draf RUU AS Wajibkan ISP dan VPN Blokir Situs Bajakan

Telset.id – Kongres Amerika Serikat kembali menghadapi rancangan undang-undang antipembajakan baru melalui H.R. 10364 atau American Copyright Protection Act of 2026 (ACPA). RUU ini mewajibkan penyedia layanan internet (ISP), layanan resolusi DNS, dan virtual private network (VPN) untuk memblokir situs atau layanan asing yang menyediakan konten bajakan. Teks lengkap RUU tersebut kini sudah dipublikasikan dan menonjol karena menyasar layanan asing serta memengaruhi koneksi “dari Amerika Serikat”.

Persoalan menjadi rumit ketika VPN dan content delivery network (CDN) masuk ke dalam skenario. Dalam ACPA, perintah pemblokiran standar harus diterbitkan pengadilan, tetapi berlaku dalam 14 hingga 30 hari. Terdapat kasus khusus yang tampaknya menyasar siaran langsung acara olahraga dan pertunjukan, atau dalam bahasa hukum disebut “peristiwa sensitif waktu”, yang dapat memperpendek tenggat pemblokiran sesuai pertimbangan hakim, selama kebocoran pertama materi berhak cipta muncul dalam 24 jam setelah tayang.

Pemblokiran di tingkat ISP dan DNS relatif sederhana. Mayoritas pengguna memakai DNS dari ISP mereka, sehingga tidak meresolusi domain tertentu jika masuk daftar blokir untuk pelanggannya cukup mudah. Sebagian orang mengandalkan server DNS eksternal seperti Google DNS, 1.1.1.1 milik Cloudflare, OpenDNS, atau NextDNS. Layanan ini pun dapat mengabaikan permintaan resolusi DNS spesifik dari pengguna di Amerika Serikat, terlepas dari akurasi geolokasi.

Batasan dan Pengecualian dalam ACPA

ISP kecil dan layanan dengan kurang dari 100.000 pengguna bulanan serta jaringan publik dikecualikan, begitu pula penyedia root DNS dan top-level domain (TLD). Namun, RUU ini tidak menentukan cara pemblokiran yang pasti, dan ada kemungkinan penyedia layanan karena takut akan tanggung jawab hukum justru mengambil pendekatan yang lebih keras. RUU ini juga tidak menyebutkan perlindungan atau penonaktifan enkripsi.

Ketika berbicara tentang orang yang menggunakan VPN untuk memantulkan koneksi melalui lokasi lain, situasinya menjadi rumit karena RUU ini tidak menjelaskan secara jelas apa yang dimaksud dengan “dari Amerika Serikat”, dan bahkan definisi “asing” bisa menjadi kabur. Menentukan hal tersebut bisa jadi seperti latihan superposisi kuantum, karena setiap skenario berikut secara teknis dapat dianggap memenuhi kriteria.

Beberapa kemungkinan yang muncul antara lain: koneksi ke VPN berasal dari Amerika Serikat; endpoint VPN berada di Amerika Serikat; pelanggan terdaftar VPN adalah orang Amerika Serikat, tetapi sedang berada di luar Amerika Serikat; pengguna memakai VPN ke negara asing namun terhubung ke situs yang berada di belakang CDN, apakah endpoint CDN dihitung sebagai tujuan; sama halnya, tetapi situs sebenarnya berada di tanah Amerika Serikat meskipun diakses dari luar, apakah “asing” jika endpointnya demikian; untuk VPN multi-hop, hop mana yang dihitung untuk menentukan tujuan, terutama jika lalu lintas melewati Amerika Serikat pada suatu titik; warga negara Amerika Serikat di kapal di perairan internasional yang memakai Starlink (ISP satelit Amerika Serikat) dihitung sebagai asing; warga negara Amerika Serikat pergi ke luar negeri dan memakai roaming, apakah dianggap asing karena lokasi fisiknya, atau di dalam Amerika Serikat karena memakai infrastruktur dalam negeri.

Pertanyaan hukum tambahan dapat diajukan dengan faktor teknologi lain. Penggunaan IP bersama di layanan hosting, atau implementasi CGNAT, dapat menciptakan obfuskasi konsep “tujuan” dan “asal”. Apakah penyedia DNS yang memakai Oblivious DoH, di mana server merespons permintaan tetapi tidak mengetahui siapa yang membuatnya dan sebaliknya, bertanggung jawab? Bagaimana fitur iCloud Private Relay milik Apple, yang menyembunyikan sumber dan tujuan koneksi satu sama lain, berada dalam kerangka hukum ini? Dan dengan DNS terenkripsi, seberapa besar tanggung jawab ISP, karena mereka tidak dapat melihat domain mana yang diminta pengguna?

Netralitas penyedia layanan pihak ketiga telah menjadi sorotan di yurisdiksi seperti Prancis dan Spanyol, di mana putusan umumnya bertentangan dengan klaim netralitas. Beberapa di antaranya dipaksa untuk sering mengaktifkan pemblokiran skala besar, tindakan yang kemungkinan memicu lebih dari beberapa positif palsu. Pengadilan Spanyol memutuskan melawan Cloudflare dan RootedCON atas peran mereka menyediakan CDN, yang mengakibatkan pemblokiran IP massal. Di Prancis, pengadilan menemukan bahwa VPN memang harus mematuhi perintah pemblokiran meskipun tugas mereka sebagai “perantara teknis”.

Untuk konteksnya, ACPA hanyalah salah satu dari beberapa RUU yang berada di Kongres dalam status “diperkenalkan”, dan saat ini tampaknya tidak memiliki sponsor, jadwal dengar pendapat, atau bahkan markup. Jika aktivitas di luar negeri menjadi indikasi, legislasi luas seperti ini mungkin memiliki konsekuensi tak terduga yang substansial.

Perkembangan regulasi semacam ini menambah daftar panjang dinamika kebijakan teknologi di Amerika Serikat, termasuk langkah Framework Uji AI yang kini menghadapi gugatan, serta upaya penegakan hukum siber seperti ketika FBI Gagalkan Peretasan terhadap NASA dan Federal Reserve. Di sisi lain, kebijakan federal juga bergerak dinamis, misalnya ketika Dana Federal mulai mendanai stasiun pengisian EV pertama di Illinois.

Dengan definisi “dari Amerika Serikat” dan “asing” yang masih kabur, implementasi ACPA berpotensi menghadirkan tantangan teknis dan hukum yang signifikan bagi ISP, penyedia VPN, operator CDN, serta pengguna internet yang mengandalkan layanan lintas negara untuk aktivitas sehari-hari.