6 Kewajiban UU PDP untuk Website Bisnis

Website bisnis Anda sudah terikat UU PDP, dan pematuhannya bukan proyek sekali jadi

Masa transisi UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berakhir pada 17 Oktober 2024. Sejak tanggal itu, aturan pelindungan data pribadi berlaku penuh di Indonesia, tanpa klausul yang membebaskan usaha kecil. Kalau website Anda punya formulir kontak, kolom langganan surel, fitur chat, atau skrip analitik, Anda sudah menjalankan pemrosesan data pribadi.

Kesalahpahaman yang paling sering saya temui: pemilik usaha mengira UU PDP hanya menyasar perusahaan besar atau platform digital. Definisi data pribadi sebenarnya sangat luas. Alamat IP pengunjung, lokasi perangkat, dan kebiasaan menjelajah bisa masuk kategori itu karena orangnya dapat diidentifikasi, baik langsung maupun tidak langsung. Toko kecil yang memasang piksel iklan pun menyentuh wilayah yang sama.

Artikel ini membedah enam kewajiban yang paling relevan bagi pemilik website bisnis, mulai dari dasar hukum pemrosesan sampai kesiapan menghadapi sanksi. Tidak semuanya butuh biaya besar. Sebagian besar justru soal keputusan dan kerapian dokumen.

Nada tulisan ini tegas, bukan menakut-nakuti. Isinya bukan nasihat hukum yang mengikat. Perlakukan sebagai daftar periksa sebelum Anda menyewa konsultan atau menyerahkan pekerjaan ke pengembang.

1. Sediakan dasar hukum yang sah sebelum memproses data

Kewajiban pertama dan yang paling mendasar: setiap pemrosesan data pribadi harus punya dasar hukum yang sah. Salah satunya persetujuan eksplisit, yang diatur di Pasal 20 UU PDP. Untuk cookie pelacak, pemasaran surel, dan piksel iklan, hampir selalu persetujuan inilah pijakan yang paling aman.

Praktiknya dimulai dari audit titik pengumpulan data di website Anda. Catat semua tempat pengunjung meninggalkan jejak, lalu nilai mana yang benar-benar dipakai:

• formulir kontak dan formulir pemesanan
• kolom langganan newsletter
• fitur chat atau widget tanya jawab
• cookie analitik dan piksel iklan
• pendaftaran akun dan data pembayaran

Setelah daftarnya lengkap, coret yang tidak memberi manfaat. Skrip pelacak yang Anda pasang dua tahun lalu karena ikut tutorial sering kali sudah tidak dibuka laporannya. Setiap pelacak yang Anda matikan adalah satu risiko yang hilang sekaligus satu halaman kebijakan yang tidak perlu Anda jelaskan. Prinsip yang saya pakai saat merapikan website klien: jangan mengumpulkan data yang tidak dipakai.

Persetujuan juga bukan satu-satunya dasar yang sah. Saat pembeli memasukkan alamat untuk pengiriman, hubungan kontrak jual beli itu sendiri sudah menjadi pijakan pemrosesan. Yang berbahaya adalah pemrosesan tanpa dasar apa pun, misalnya menjual daftar surel pelanggan ke pihak lain hanya karena datanya sudah ada di tangan Anda.

2. Minta persetujuan yang bebas, spesifik, dan tanpa ambiguitas

Persetujuan yang sah bukan sekadar kotak centang. Syaratnya empat: bebas, spesifik, sadar, dan tanpa ambiguitas. Kotak yang sudah tercentang otomatis saat halaman dimuat bukan persetujuan, karena pengunjung tidak pernah mengambil keputusan apa pun.

Ini kesalahan yang paling mudah ditemukan di website UMKM. Pengunjung datang, banner muncul, dan Google Analytics sudah bekerja sebelum ada yang mengklik apa pun. Perbaikannya bukan sekadar menambahkan tombol terima. Anda juga perlu tombol tolak yang setara, dengan warna, ukuran, dan posisi yang seimbang. Banner yang menyembunyikan tombol tolak di sudut kecil sulit disebut patuh.

Urusan jenis cookie juga perlu dipisahkan. Cookie analitik seperti Google Analytics 4 dan piksel iklan termasuk yang wajib disetujui lebih dulu. Cookie esensial, misalnya cookie sesi login dan isi keranjang belanja, umumnya dikecualikan karena situs tidak bisa berfungsi tanpanya.

Jangan lupa penarikan persetujuan. Pengunjung yang pernah setuju harus bisa berubah pikiran, dan caranya tidak boleh lebih sulit daripada saat ia menyetujui. Sumber acuan yang saya pakai untuk urusan banner dan cookie policy bisa Anda baca di panduan kewajiban cookie policy untuk website perusahaan.

Cara menguji banner Anda sederhana. Buka website di peramban bersih, lalu lihat apa yang terjadi dalam sepuluh detik pertama. Kalau pelacak sudah berjalan sebelum Anda mengklik, atau tombol tolak baru muncul setelah menggulir, banner itu belum selesai.

3. Terbitkan kebijakan privasi yang menyebut hal konkret

Banyak website sudah punya halaman Kebijakan Privasi. Masalahnya, isinya sering hanya menyalin templat asing yang menyebut nama perusahaan lain dan tidak menjelaskan apa pun. Kebijakan seperti itu tidak menolong Anda saat ada pertanyaan, dan tidak menolong pengunjung saat ingin tahu datanya dipakai untuk apa.

Kebijakan yang berguna menjawab empat pertanyaan sederhana. Data apa yang Anda ambil. Untuk keperluan apa data itu dipakai. Berapa lama data disimpan. Dan bagaimana cara menghapusnya. Kalau satu saja tidak ada, halaman itu belum selesai.

Buat juga kebijakan cookie sebagai halaman terpisah atau bagian tersendiri. Isinya menjelaskan setiap kategori cookie, siapa yang memasangnya, dan apa fungsinya. Tautkan halaman ini dari banner persetujuan dan dari footer, supaya pengunjung bisa membacanya sebelum memutuskan.

Kebijakan privasi yang jelas bukan cuma soal kepatuhan. Ia bagian dari kepercayaan calon pembeli. Saya sering melihat keraguan pembayaran muncul bukan karena harganya, tapi karena pengunjung tidak yakin datanya aman, seperti yang saya bahas di kenapa pembeli tidak jadi bayar online.

Halaman kebijakan privasi yang tidak bisa ditemukan sama saja tidak ada. Pasang tautannya di footer semua halaman, di halaman checkout, dan di kolom formulir yang meminta data. Tulis dalam Bahasa Indonesia yang jelas, bukan terjemahan mesin yang berputar-putar.

Baca Juga

5 Izin Produk Sebelum Jual Online

4. Layani permintaan subjek data dalam 3x24 jam

UU PDP memberi hak kepada orang yang datanya Anda simpan: meminta akses dan salinan datanya, meminta perbaikan data yang salah, meminta penghapusan data, menarik kembali persetujuan tanpa penalti, dan menolak pemrosesan untuk keperluan pemasaran. Permintaan seperti ini wajib Anda tanggapi dalam 3x24 jam.

Tiga kali dua puluh empat jam itu singkat, apalagi kalau surel masuk ke kotak masuk yang sama dengan pesanan dan keluhan produk. Karena itu, siapkan jalurnya sekarang. Buat satu alamat surel khusus untuk urusan data pribadi, tulis di halaman kebijakan privasi, dan pastikan ada satu orang yang memeriksanya setiap hari.

Untuk permintaan penghapusan, terutama dari daftar surel, jangan berbelit. Sediakan tautan berhenti berlangganan yang bekerja dengan satu klik, lalu catat tanggal dan isi permintaannya. Pengunjung yang merasa diabaikan biasanya bukan langsung mengadu ke lembaga pengawas, tapi bercerita di ulasan publik. Reputasi seperti itu jauh lebih mahal daripada satu fitur tombol hapus.

Kesalahan lain yang sering terjadi: permintaan dilayani, tetapi tidak ada catatannya. Saat Anda ditanya kapan data itu dihapus, tidak ada yang bisa Anda tunjukkan. Catat tanggal masuk, tanggal tindak lanjut, dan siapa yang mengerjakan.

5. Amankan data dengan HTTPS dan kurangi pelacak yang tidak perlu

Kewajiban melindungi data tidak berhenti di halaman kebijakan. Data yang Anda kumpulkan lewat formulir dikirim dari peramban pengunjung ke server Anda. Kalau pengiriman itu tidak dienkripsi, isinya bisa dibaca di tengah jalan. Karena itu HTTPS bukan lagi pelengkap, melainkan syarat dasar yang harus aktif sebelum Anda meminta data apa pun.

Langkah pertamanya sederhana: periksa apakah alamat website Anda sudah memakai HTTPS dan apakah sertifikatnya masih berlaku. Kalau pengunjung masih melihat peringatan Tidak Aman di peramban, selesaikan itu dulu sebelum menyentuh urusan banner cookie. Ada beberapa kesalahan teknis lain yang membuat website rentan dan lambat, dan saya pernah merangkumnya di kesalahan mengelola VPS yang sering diulang pemilik website.

Setelah koneksi aman, rapikan sisi pengumpulan data. Periksa plugin dan skrip pihak ketiga yang menempel di halaman, lalu hapus yang tidak lagi Anda pakai. Setiap skrip tambahan menambah satu pihak yang menyentuh data pengunjung Anda.

Prinsip yang sama berlaku untuk penyimpanan. Kalau Anda tidak butuh riwayat pesanan lima tahun, tetapkan batas simpan yang masuk akal dan hapus sisanya secara berkala. Data lama yang terlupakan adalah beban yang tidak memberi manfaat apa pun.

Amankan juga akses ke data itu di dalam. Jangan berikan akun admin website atau panel analitik ke semua orang, dan cabut akses mantan pegawai atau vendor yang sudah tidak bekerja. Sebagian besar insiden data yang menimpa usaha kecil berawal dari kredensial yang dibiarkan aktif lama, bukan dari serangan canggih.

6. Simpan bukti persetujuan dan pahami sanksi berjenjang

Kewajiban terakhir yang paling sering dilewatkan: dokumentasi. Anda perlu catatan persetujuan yang menunjukkan siapa menyetujui apa dan kapan. Catatan ini bisa sederhana, misalnya catatan dari alat pengelola persetujuan yang menyimpan versi teks banner dan waktu klik. Yang penting, saat ada pertanyaan, Anda bisa menunjukkan buktinya.

Bukti ini juga berguna saat Anda mengubah kebijakan. Kalau teks kebijakan privasi diperbarui, pengunjung lama tidak otomatis terikat pada versi baru. Simpan tanggal setiap perubahan, dan kalau perubahannya besar, minta persetujuan ulang dengan jelas.

Soal sanksi, UU PDP menerapkan tahapan, bukan denda langsung. Mulai dari teguran tertulis, penghentian sementara pemrosesan data, penghapusan data, sampai denda administratif hingga 2 persen dari pendapatan tahunan. Angka itu jarang menyentuh kasus pertama, tapi cukup menjelaskan mengapa urusan ini tidak bisa ditunda selamanya.

Praktiknya, pemeriksaan sering berawal dari hal kecil. Pengunjung yang merasa datanya bocor atau permintaannya diabaikan bisa melapor. Karena itu, dua hal yang paling menurunkan risiko Anda adalah catatan yang rapi dan tanggapan yang cepat.

Anda tidak perlu menyelesaikan semuanya sekaligus, tetapi Anda perlu mulai dari yang berisiko paling besar. Pelacak yang menyala sebelum persetujuan dan permintaan penghapusan yang tidak terjawab adalah dua titik yang paling sering diperiksa. Bereskan keduanya lebih dulu.

Kesimpulan: pematuhan UU PDP dimulai dari tiga keputusan kecil

Enam kewajiban di atas terlihat banyak, tetapi intinya bisa diringkas menjadi tiga keputusan. Kurangi data yang Anda kumpulkan, minta izin sebelum melacak, dan simpan catatan saat pengunjung meminta sesuatu. Sisanya adalah kerapian dokumen dan konfigurasi teknis yang bisa Anda beresi satu per satu.

Sisi baiknya, sebagian besar langkah ini juga memperbaiki bisnis Anda. Website yang lebih cepat karena pelacaknya sedikit, halaman kebijakan yang membuat calon pembeli lebih tenang, dan tanggapan cepat yang menurunkan keluhan publik. Kepatuhan dan pengalaman pengunjung, dalam banyak kasus, menuntut hal yang sama.

Mulai minggu ini, sisihkan satu jam. Buka website Anda di peramban, perhatikan banner cookie yang muncul, dan catat semua formulir serta skrip yang meminta data. Dari daftar itu, pilih dua perbaikan pertama: matikan pelacak yang tidak Anda baca laporannya, dan perbarui halaman kebijakan privasi agar menyebut data, tujuan, masa simpan, dan cara penghapusannya. Setelah keduanya beres, lanjutkan ke kewajiban berikutnya setiap minggu sampai daftar ini selesai.