Dengan demikian terlihat bahwa legitimate interest dalam GDPR bukan sekedar konsep, melainkan kerangka praktis untuk menyeimbangkan kepastian hukum dan kebutuhan bisnis. Sayangnya, UU PDP tidak memberikan penjelasan lebih lanjut legitimate interest. Hal ini dapat membuat garis batas antara kepentingan sah dan kewajiban hukum menjadi kabur.
UU PDP memang membedakan antara kewajiban hukum dengan kepentingan sah lainnya. Tetapi dalam prakteknya, terutama di dunia perbankan, hampir semua aktivitas bisa saja ditarik ke salah satu, bahkan keduanya. Ambil contoh sederhana: KYC. Semua bank wajib melakukannya karena ada aturan tegas yang membuatnya menjadi sebuah kewajiban hukum. Bagi nasabah sebagai subjek data tidak ada ruang untuk menolak, dan Bank sebagai Pengendali tidak perlu ada dasar pemrosesan lain untuk melaksanakannya.
Tetapi bagaimana jika data KYC yang sama kemudian dipakai untuk membangun model fraud detection berbasis kecerdasan buatan? Tidak ada aturan yang mewajibkan penggunaan AI. Demikian halnya ketika kewajiban hukum yang ada hanya sebatas “melakukan pemantauan transaksi”, bagaimana dengan metode dan alat yang dipakai untuk melaksanakannya?
Jika mengacu pada Recital 47 GDPR maka penggunaan data untuk tujuan tambahan itu dapat masuk ranah legitimate interest. Pemantauan ini bertujuan melindungi bank dan nasabah sendiri, tapi perlu diuji keseimbangannya dengan hak nasabah sebagai subjek data.
Contoh lain adalah manajemen risiko kredit. Bank memiliki kewajiban hukum untuk menilai kualitas asetnya. Tetapi mengenai seberapa jauh jangkauannya, apakah sekadar catatan kredit formal atau juga pola transaksi digital, tidak diatur secara rinci. Ketika bank memperluas analisis dengan banyak variabel tambahan, maka pemrosesan itu telah dilakukan bukan lagi kewajiban hukum, melainkan atas dasar legitimate interest.
Selanjutnya juga terjadi pada ranah perlindungan konsumen. Tidak ada ketentuan spesifik yang mewajibkan Bank mengirim notifikasi real-time setiap kali ada login dari perangkat asing. Tetapi hampir semua bank melakukannya. Dengan demikian dasarnya bukan lagi kewajiban hukum, melainkan legitimate interest yaitu melindungi nasabah dari fraud yang sekaligus juga melindungi bank sendiri.
Lalu bagaimana dengan pemasaran langsung? Di sini letak perbedaannya. GDPR mengakui direct marketing sebagai legitimate interest dengan memberikan hak pada nasabah untuk opt-out. Pembatasan ini dicantumkan dalam Pasal 21.2 GDPR sebagai berikut:
