Minggu lalu saya menikmati sore di sebuah kedai kopi bersama keluarga. Percakapan kami mengarah pada topik yang semakin sering muncul dalam kehidupan sehari-hari: data pribadi. Di tengah diskusi itu, perhatian saya tertuju pada sebuah papan kecil di dekat kasir: “Isi kuesioner, dapat es krim gratis.”
Tanpa berpikir panjang, saya scan kode yang terpampang, masuk ke web mereka, menyetujui syarat dan ketentuannya lalu mengisi formulirnya. Nama, nomor telepon, alamat email, dan komentar saya atas layanan kedai terisi dengan baik. Tidak sampai satu menit, selesai. Saya mendapatkan satu scoop es krim dengan gembira.
Baru setelah kembali ke meja, kami sekeluarga tertawa miris dengan apa yang baru saja terjadi. Betapa mudahnya data pribadi konsumen dikumpulkan penjual selaku pengendali data. Cukup menukarnya dengan satu scoop es krim. Terlebih lagi, saya tidak benar-benar tahu bagaimana data tersebut akan digunakan.
Pengalaman sederhana ini menggambarkan sesuatu yang lebih luas. Persetujuan yang seharusnya menjadi ekspersi kehendak yang sadar, dalam prakteknya dapat berubah menjadi sesuatu yang rutin, hampir tanpa makna. Ia hadir seperti ritual dan tidak lagi dipertanyakan maknanya. Ia diberikan tetapi jarang dipahami. Ketika persetujuan mulai menjadi ritual, mungkin di situlah kita perlu kembali ke prinsip-prinsip yang lebih substansial dan fundamental.
Fenomena ini, dalam skala yang lebih kompleks, juga hadir dalam praktik kepatuhan pelindungan data pribadi, termasuk di sektor jasa keuangan.
Dalam beberapa tahun terakhir, kepatuhan terhadap pelindungan data pribadi menjadi salah satu fokus utama industri. Bank dan pelaku jasa keuangan berupaya memastikan bahwa setiap pemrosesan data memiliki dasar hukum yang jelas. Salah satu bentuk yang paling terlihat adalah penggunaan persetujuan.
Hampir setiap interaksi digital kini diawali dengan permintaan persetujuan. Formulir elektronik, kotak centang, hingga notifikasi berlapis menjadi bagian dari praktik kepatuhan sehari-hari. Di permukaan, ini menunjukkan kemajuan. Kepatuhan tampak hadir, terdokumentasi, dan dapat ditunjukkan.
Namun, muncul pertanyaan yang semakin penting: apakah kepatuhan yang terlihat ini benar-benar mencerminkan kepatuhan yang substantif?
Persetujuan memang merupakan dasar yang sah untuk memproses data. Undang-Undang Pelindungan Data Pribadi di Indonesia (UU PDP) secara jelas mencantumkannya. Sebagai dasar pemrosesan, persetujuan juga merupakan alat yang paling mudah untuk dibuktikan keberadaannya.
Di sinilah sering terjadi kesalahpahaman.
Dalam praktik, persetujuan kerap diposisikan sebagai dasar utama, bahkan default, untuk hampir semua jenis pemrosesan data. Pendekatan ini tampak aman. Persetujuan mudah diperoleh, mudah didokumentasikan, dan mudah ditunjukkan sebagai bukti kepatuhan.
Namun, kemudahan ini dapat menyesatkan, hingga menyebabkan terjadinya apa yang dapat dipahami sebagai privacy washing. Bukan ketiadaan kepatuhan, melainkan kecenderungan untuk menampilkan kepatuhan melalui persetujuan yang terlihat, sementara akuntabilitas yang lebih mendalam belum sepenuhnya terbangun.
Di sektor perbankan, banyak aktivitas pemrosesan data bukanlah pilihan, melainkan keharusan. Ketika seseorang membuka rekening, melakukan transaksi, atau menjalani proses know-your-customer, bank memproses data bukan karena nasabah “mengizinkan,” tetapi karena hal tersebut diperlukan untuk menjalankan kontrak dan memenuhi kewajiban hukum.
Dalam konteks ini, penggunaan persetujuan secara berlebihan justru dapat mengaburkan dasar hukum yang sebenarnya.
Di titik ini, pengalaman sehari-hari kembali memberi ilustrasi yang menarik.
Di kedai kopi langganan, setiap kali saya melakukan pembayaran, pertanyaan yang sama selalu muncul: “Punya aplikasi membership?” Jika jawabannya ya, maka langkah berikutnya hampir otomatis: “Boleh nomor teleponnya, Kak?”
Sekilas memang tujuannya adalah verifikasi keanggotaan dalam aplikasi kedai kopi. Namun tanpa disadari, setiap kali kita setuju menyebutkan nomor telepon tersebut, kita sebenarnya sedang memperbarui data dalam sistem mereka. Setiap transaksi menjadi titik pengumpulan data. Setiap interaksi menjadi pembaruan profil.
Tidak ada yang secara eksplisit terasa bermasalah. Praktik ini umum dan dapat dimengerti dari sisi bisnis. Namun, di dalamnya terdapat bentuk persetujuan atas pemberian data yang berjalan secara halus, hampir tidak terasa.
Persetujuan, dalam konteks seperti ini, menjadi semakin kabur. Ia tidak selalu hadir dalam bentuk yang eksplisit, tetapi tetap beroperasi dalam logika yang sama: data diberikan, sistem diperbarui, dan proses berjalan.
Dalam kerangka hukum pelindungan data pribadi modern, persetujuan bukan satu-satunya dasar. Hukum juga mengenal dasar lain, seperti pelaksanaan kontrak, pemenuhan kewajiban hukum, serta kepentingan yang sah.
UU PDP sendiri secara jelas mengatur bahwa persetujuan hanyalah salah satu dari beberapa dasar pemrosesan. Pasal 20 ayat (2) UU PDP mengenai Dasar Pemrosesan Data Pribadi mencantumkan beberapa alternatif yang meliputi: a. persetujuan yang sah secara eksplisit; b. pemenuhan kewajiban perjanjian; c. pemenuhan kewajiban hukum Pengendali Data Pribadi; d. pemenuhan pelindungan kepentingan vital Subjek Data Pribadi; e. pelaksanaan tugas dalam rangka kepentingan umum; dan/atau f. pemenuhan kepentingan yang sah lainnya.
Pendekatan yang sama juga tercermin dalam General Data Protection Regulation (GDPR) di Eropa yang menempatkan persetujuan sejajar dengan dasar lainnya. Pasal 6 GDPR mengenai Lawfullness of Processing antara lain menyatakan bahwa : “Processing shall be lawful only if and to the extent that at least one of the following applies: 1. the data subject has given consent to the processing; 2. processing is necessary for the performance of a contract; 3. processing is necessary for compliance with a legal obligation; 4. processing is necessary in order to protect the vital interests; 5. processing is necessary for the performance of a task carried out in the public interest; 6. processing is necessary for the purposes of the legitimate interests.”
Kembali ke sektor keuangan, pendekatan berbasis persetujuan yang terlalu dominan dapat menciptakan ilusi persetujuan. Nasabah diminta untuk menyetujui berbagai aktivitas pemrosesan data, padahal ruang untuk menolak sebenarnya sangat terbatas. Pilihan terasa ada, tetapi pada kenyataannya, pemrosesan data tetap akan berjalan karena sifatnya yang tidak dapat dipisahkan dari layanan.
Seiring waktu, pola ini dapat berkembang menjadi apa yang dapat disebut sebagai arsitektur over-consent, di mana permintaan persetujuan menjadi respons default terhadap hampir semua pertanyaan terkait data.
Pendekatan ini dapat dipahami. Persetujuan bersifat terlihat, familiar, dan mudah dibuktikan. Ia memberikan rasa aman secara administratif.
Namun, fokus yang berlebihan pada persetujuan dapat mengalihkan perhatian dari pertanyaan yang lebih mendasar: apakah data diproses secara tepat, sesuai tujuan, dan dengan dasar hukum yang benar?
Di sinilah pentingnya memahami struktur hukum pelindungan data secara utuh. Sebagaimana diamanatkan dalam UU PDP, serta dituangkan dalam kerangka internasional seperti GDPR, pemrosesan data tidak hanya bergantung pada persetujuan. Terdapat berbagai dasar hukum lain, termasuk pelaksanaan kontrak dan pemenuhan kewajiban hukum.
Dalam sektor perbankan, dasar-dasar ini bukan pengecualian, melainkan fondasi utama.
Ketika nasabah mentransfer dana, membuka rekening, atau menjalani verifikasi identitas, pemrosesan data dilakukan karena hal tersebut diperlukan untuk menyediakan layanan dan memenuhi kewajiban regulasi. Aktivitas ini tidak bergantung pada persetujuan, tetapi pada legitimasi hukum yang jelas.
Ketika hal ini tidak dipahami secara tepat, persetujuan mulai memikul beban yang berlebihan. Ia digunakan untuk membungkus aktivitas yang sebenarnya memiliki dasar hukum lain. Secara formal, sistem tampak patuh. Namun secara substantif, struktur kepatuhan menjadi kurang presisi.
Dalam jangka panjang, hal ini dapat menimbulkan berbagai implikasi.
Dari sisi hukum, ketidaktepatan dalam menentukan dasar pemrosesan dapat memengaruhi kekuatan justifikasi suatu aktivitas. Dari sisi operasional, perhatian dapat terfokus pada pengumpulan persetujuan, sementara aspek penting lain seperti keamanan data, pembatasan tujuan, dan akuntabilitas internal kurang mendapat perhatian.
Dari sisi pengguna, frekuensi permintaan persetujuan yang tinggi dapat mengurangi makna persetujuan itu sendiri. Seperti dalam pengalaman sehari-hari, persetujuan menjadi sesuatu yang diberikan secara otomatis, tanpa refleksi.
Oleh karena itu, diperlukan penataan ulang dalam cara memahami peran persetujuan.
Persetujuan tetap penting. Ia relevan dalam situasi di mana individu benar-benar memiliki pilihan, seperti dalam aktivitas pemasaran atau penggunaan data tambahan di luar kebutuhan utama layanan.
Namun, di luar konteks tersebut, penggunaan persetujuan perlu disesuaikan dengan sifat pemrosesan.
Pendekatan yang lebih tepat adalah kembali pada pertanyaan dasar: atas dasar apa data diproses, dan apakah dasar tersebut dapat dipertanggungjawabkan. Ini berarti menggunakan dasar pemrosesan yang tepat, serta mampu menjelaskan dasar tersebut secara transparan.
Indonesia saat ini berada pada fase penting dalam implementasi Undang-Undang Pelindungan Data Pribadi. Peraturan pelaksana sedang dikembangkan, dan praktik industri masih dalam proses penyesuaian. Ini merupakan kesempatan untuk memperkuat fondasi kepatuhan.
Regulator dapat terus memberikan kejelasan interpretasi, khususnya terkait penerapan berbagai dasar hukum dalam konteks sektoral. Pelaku industri dapat memperkuat tata kelola internal dan memastikan bahwa kepatuhan tidak hanya terlihat, tetapi juga benar secara substantif.
Pada akhirnya, pelindungan data pribadi bukan hanya soal prosedur, tetapi soal kepercayaan. Dan kepercayaan tidak dibangun dari seberapa sering kita diminta untuk memberikan persetujuan, melainkan dari seberapa tepat data kita dikelola Pengendali Data dan dipertanggungjawabkan, bahkan ketika tidak ada yang menyaksikan.
*) Yosea Iskandar, Praktisi Hukum Perbankan
Artikel Opini ini adalah tulisan pribadi Penulis, isinya tidak mewakili pandangan Redaksi Hukumonline
