Secara normatif, consent memberikan kesan bahwa individu memiliki kendali atas data pribadinya. Namun dalam praktik, kendali tersebut seringkali bersifat semu, terutama ketika pilihan yang tersedia tidak benar-benar bebas. Relasi antara pengguna dan penyedia layanan digital, khususnya di sektor jasa keuangan, memperkuat kondisi tersebut.
Ketimpangan posisi membuat individu tidak benar-benar setara dalam memberikan persetujuan. Institusi menguasai infrastruktur dan menetapkan aturan, sementara pengguna membutuhkan layanan. Akibatnya, consent lebih merupakan konsekuensi kebutuhan daripada kehendak bebas, sehingga sulit dianggap sebagai bentuk kontrol nyata individu atas datanya. Persoalan makin kompleks karena consent hanya berlaku di tahap awal saat akses data diberikan. Sementara risiko utama justru muncul pada proses pengolahan data setelahnya.
“Kita selama ini sangat baik dalam mengontrol siapa yang boleh mengakses data, siapa yang boleh melihat data, bahkan kita bisa tahu kapan data itu diakses. Tapi pertanyaannya sekarang bukan lagi di situ. Pertanyaannya adalah apa yang terjadi setelah data itu diakses, setelah data itu diproses, setelah data itu dianalisis,” ujarnya.
Selain itu, kompleksitas tersebut kata dia, semakin meningkat dengan kehadiran teknologi kecerdasan buatan (AI). Dalam banyak kasus, AI tidak hanya memproses data yang diberikan, tetapi juga menghasilkan inferensi baru yang bahkan tidak secara eksplisit disediakan oleh pengguna. Proses ini bersifat non-linear dan tidak selalu dapat dijelaskan secara transparan.
“Dalam kondisi seperti ini, informed consent itu hampir mustahil, karena kita sendiri belum tentu bisa menjelaskan sepenuhnya apa yang akan terjadi dengan data tersebut,” ujarnya.
Pada tahap ini, Yosea menilai pendekatan perlindungan data memiliki masalah struktural. Ketergantungan berlebihan pada consent tidak lagi sesuai dengan karakter persoalan. Karena itu, diperlukan pergeseran dari formalitas persetujuan menuju tata kelola data yang berkelanjutan. Fokus perlindungan tidak hanya pada ada atau tidaknya consent, tetapi pada kemampuan institusi memastikan akuntabilitas sepanjang siklus pemrosesan data.
Di tengah tantangan tersebut, hukum positif tetap menuntut kepatuhan konkret dari pelaku usaha. Partner Dentons HPRP, Mika Isac Kriyasa menegaskan bahwa pelindungan data pribadi semakin penting sejak berlakunya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan dapat langsung dijalankan para pelaku usaha tanpa menunggu aturan pelaksana.
“Undang-undangnya sudah ada, kewajibannya sudah jelas, dan sanksinya juga sudah diatur, baik administratif maupun pidana. Jadi kalau kita menunggu sampai semuanya sempurna dulu, justru akan semakin tertinggal,” ujarnya.
Ia menekankan, risiko terbesar muncul saat perusahaan tidak memiliki dasar pemrosesan data, karena dapat berujung sanksi pidana, bukan sekadar administratif. Sebaliknya, perusahaan yang sudah berupaya patuh masih memiliki ruang perbaikan. Karena itu, disarankan tetap bergerak dengan mengacu pada praktik terbaik yang ada. Di tengah kompleksitas pemrosesan data dan pesatnya perkembangan teknologi, perlindungan data menuntut pendekatan yang lebih substantif, tidak hanya memastikan adanya persetujuan, tetapi juga akuntabilitas dalam setiap proses pengolahan data.
“Kalau ada yang belum jelas, gunakan best practice yang sudah ada. Salah satunya kita bisa melihat ke General Data Protection Regulation (GDPR) sebagai acuan, karena secara prinsip arah pengaturannya tidak akan jauh berbeda,” pungkasnya.
