Situs atau aplikasi Anda mengumpulkan data pelanggan — empat kewajiban yang muncul tanpa Anda mendaftar apa pun

Kalau perusahaan Anda menjalankan aplikasi, situs transaksi, atau layanan berlangganan, ada empat kewajiban yang menempel pada produk Anda begitu ia dipakai orang. Tidak ada yang mengirimi Anda surat pemberitahuan. Tidak ada satu portal yang menampilkan keempatnya.

Ini urutan yang paling sering terlewat, dari yang paling cepat berakibat.

1. Pendaftaran penyelenggara sistem elektronik

Kewajibannya timbul sebelum sistem Anda dipakai pengguna — bukan setelah pengguna pertama masuk, bukan setelah pendapatan pertama.

Artinya mendaftar setelah aplikasi rilis berarti Anda sudah berada dalam keadaan melanggar sejak hari pertama, sekalipun belum ditindak.

Akibat tidak mendaftar bukan denda: pemutusan akses terhadap sistem elektronik Anda, tanpa didahului teguran tertulis. Untuk bisnis yang seluruh pendapatannya lewat aplikasi, ini risiko yang setara dengan berhenti beroperasi.

Sudah terdaftar pun belum selesai. Perubahan data yang tidak dilaporkan — ganti domain, ganti lokasi server, ganti model bisnis — memicu teguran, penghentian sementara, lalu pemblokiran dan pencabutan pendaftaran. Tiga perubahan itu justru hal yang rutin dilakukan tim teknis tanpa melapor ke siapa pun.

Satu hal lagi: perusahaan asing tanpa badan hukum Indonesia tetap wajib mendaftar bila layanannya ditawarkan di Indonesia, dan dokumen pendukungnya wajib diterjemahkan penerjemah tersumpah.

2. Kalau Anda berdagang lewat sistem elektronik, ada perizinan tersendiri

Berjualan melalui sistem elektronik — sebagai pedagang daring, marketplace, social commerce, layanan pemesanan kendaraan, atau agen perjalanan — memiliki perizinan berusahanya sendiri. Ini terpisah dari pendaftaran di angka 1.

Sanksinya mencakup pemblokiran sementara layanan dan pencabutan izin usaha, bukan sekadar denda.

Dua hal yang perlu Anda ketahui:

• Marketplace wajib menolak pedagang yang belum berizin. Artinya risikonya berpindah ke platform: yang menerima penjual tanpa izin menanggung sendiri konsekuensinya. Kalau model bisnis Anda mengundang penjual pihak ketiga, ini bukan urusan mereka saja.
• Pengecualian untuk “penyedia sarana perantara” itu sempit dan sering diklaim keliru. Ia hanya berlaku bila Anda bukan penerima manfaat langsung dari transaksinya, atau tidak terlibat dalam hubungan kontraktualnya. Kalau Anda memotong komisi, biasanya Anda bukan perantara.

Aturan bidang ini juga baru diganti, dan istilah lamanya sudah tidak dipakai. Nasihat, dokumen, dan templat yang masih memakai istilah lama sudah usang — itu penanda cepat untuk menilai umur dokumen yang Anda pegang.

3. Kebijakan privasi — dan tujuh kewajiban di belakangnya

Masa penyesuaian yang diberikan undang-undang pelindungan data pribadi berakhir 17 Oktober 2024. Per hari ini sudah lewat lebih dari satu tahun sembilan bulan.

Banyak perusahaan masih menunggu aturan turunan sebelum bergerak. Aturan turunan memang belum lengkap, tetapi kewajiban pokoknya tidak menunggu aturan turunan — yang menunggu hanya sebagian tata caranya. Perusahaan yang belum menyesuaikan tidak sedang menunggu; secara hukum sudah berada dalam keadaan melanggar.

Dan memasang halaman kebijakan privasi di situs tidak membuat perusahaan Anda patuh. Setidaknya tujuh kewajiban lain berdiri sendiri:

1. menyimpan bukti persetujuan pengguna;
2. membuat catatan seluruh kegiatan pemrosesan data;
3. melakukan penilaian dampak bila risikonya tinggi;
4. memberitahukan kebocoran dalam tiga kali dua puluh empat jam, kepada pengguna terdampak dan otoritas;
5. memperoleh persetujuan tertulis Anda sebelum vendor memakai sub-vendor;
6. menunjuk pejabat pelindungan data bila ambangnya terpenuhi;
7. menempuh jalur yang benar untuk transfer data ke luar negeri.

Kalau yang Anda beli hanya naskah kebijakannya, tujuh hal di atas masih terbuka. Itu perlu Anda ketahui sebelum menganggap urusannya selesai.

Yang berubah pada 30 Juli 2025

Aturan tentang siapa yang wajib menunjuk pejabat pelindungan data pribadi berubah pada 30 Juli 2025.

Sebelumnya tiga kriteria itu dibaca harus terpenuhi sekaligus, sehingga hampir tidak ada perusahaan swasta yang wajib. Sekarang memenuhi satu kriteria saja sudah cukup.

Akibatnya perusahaan yang memroses data keuangan pribadi atau data anak dalam skala besar, dan platform yang memantau perilaku pengguna secara teratur, kini masuk ke dalam kewajiban ini.

Konsekuensi praktisnya: dokumen internal atau nasihat yang dibuat sebelum Agustus 2025 kemungkinan besar sudah tidak akurat pada bagian ini. Kalau Anda pernah disimpulkan “tidak wajib”, kesimpulan itu perlu dibaca ulang.

Soal denda — dan kejujuran yang perlu menyertainya

Denda administratifnya dihitung dari pendapatan tahunan, bukan dari laba, dengan batas tertinggi dua persen. Perusahaan yang sedang merugi tetap terpapar.

Tetapi ada sisi lain yang jujurnya perlu disampaikan bersamaan: lembaga yang berwenang menjatuhkan denda itu belum terbentuk dan tata caranya belum terbit, sehingga mesin penagihannya belum berjalan. Paparannya nyata dan terus berjalan; penagihannya yang belum.

Kekosongan lembaga itu sering dibaca sebagai tidak ada penegakan. Bacaan itu keliru. Yang tetap berjalan hari ini:

• pengawasan dan sanksi oleh Menteri, termasuk sanksi berupa pengumuman di situs resmi — bagi perusahaan yang sedang menggalang pendanaan, ini kerap lebih merusak daripada denda;
• gugatan perdata dari pengguna, yang tidak menunggu aturan pelaksana apa pun;
• pengawas sektoral seperti otoritas jasa keuangan dan bank sentral, yang punya aturannya sendiri.

Kekosongan lembaga menunda satu jalur, bukan semuanya.

Dua hal yang hampir selalu luput

Kesalahan vendor tetap tanggung jawab Anda. Pemrosesan yang dilakukan pihak yang Anda tunjuk berada di bawah tanggung jawab Anda, dan vendor wajib memperoleh persetujuan tertulis Anda sebelum melibatkan sub-vendor. Klausul terakhir ini hampir tidak pernah ada dalam perjanjian baku penyedia layanan asing — biasanya justru dibalik menjadi hak vendor mengganti sub-vendornya dengan pemberitahuan saja.

Hampir setiap perusahaan Indonesia mengirim data ke luar negeri tanpa menyadarinya: komputasi awan dengan server di luar negeri, layanan surel pemasaran, platform iklan, dan pemantau galat aplikasi. Semuanya termasuk transfer data ke luar negeri dan tunduk pada aturannya sendiri.

Dua catatan penting soal transfer itu. Jalur termudah secara teori — mengirim ke negara yang tingkat pelindungannya setara — belum dapat dipakai, karena daftar negaranya belum terbit. Dan jalur meminta persetujuan pengguna rapuh, karena persetujuan dapat ditarik sewaktu-waktu.

Kebijakan privasi tidak boleh diubah dengan pola “berlaku sejak diunggah”

Pemberitahuan kepada pengguna harus mendahului berlakunya perubahan, bukan menyusul.

Klausul yang lazim di templat asing — perubahan berlaku saat dipublikasikan, dan pengguna dianggap setuju bila terus memakai layanan — tidak memenuhi ketentuan ini. Konsekuensinya perlu Anda sadari sejak awal: kecepatan Anda mengubah kebijakan menjadi terbatas.

Naskah sempurna tetap tidak cukup bila produk Anda belum punya tombolnya

Menyediakan cara bagi pengguna untuk meminta penghapusan, kanal permohonan yang tercatat, kemampuan mengekspor data, dan kemampuan menyimpan bukti persetujuan per versi naskah adalah pekerjaan di dalam aplikasi, bukan di dalam dokumen.

Kalau tim produk Anda tidak mengerjakannya, dokumen terbaik pun berjanji sesuatu yang tidak bisa dipenuhi oleh sistemnya sendiri.

4. Syarat dan ketentuan — dan klausul yang justru dilarang

Sejumlah klausul yang lazim dipakai di aplikasi dan situs justru dilarang undang-undang. Akibatnya bukan sekadar tidak berlaku: klausul itu batal demi hukum, dianggap tidak pernah ada, tanpa perlu putusan pengadilan lebih dulu.

Dua yang paling sering bermasalah:

• pembatasan tanggung jawab yang disalin dari templat luar negeri;
• pernyataan bahwa Anda dapat mengubah syarat sewaktu-waktu dan perubahannya langsung berlaku.

Keduanya perlu ditulis ulang, bukan sekadar diperhalus.

Ancamannya juga bukan hanya perdata. Undang-undang perlindungan konsumen menyediakan pidana penjara sampai lima tahun atau denda sampai dua miliar rupiah, dan penuntutan dapat diarahkan kepada pengurus perusahaan, bukan hanya kepada perusahaannya.

Dan gugatan biasanya tidak datang lewat pengadilan yang lambat dan mahal, melainkan lewat badan penyelesaian sengketa konsumen — murah, cepat, dan tanpa perlu advokat. Ambang untuk digugat jauh lebih rendah daripada yang biasanya diperkirakan.

Tiga hal lain yang perlu Anda periksa:

• Kontrak elektronik yang ditujukan kepada pengguna di Indonesia harus dibuat dalam Bahasa Indonesia. Versi bahasa Inggris tetap boleh, sepanjang naskah Bahasa Indonesia benar-benar ada. Memasang syarat dan ketentuan hanya dalam bahasa Inggris berisiko — meski perlu kami sampaikan secara jujur bahwa pengadilan belum sepenuhnya satu suara mengenai akibatnya.
• Memilih hukum negara lain tidak lagi menyelesaikan masalah. Sejak perubahan aturan informasi dan transaksi elektronik pada 2024, kontrak elektronik internasional yang memakai klausul baku tunduk pada hukum Indonesia bila penggunanya di Indonesia, pelaksanaannya di Indonesia, atau Anda berkegiatan usaha di Indonesia.
• Naskah yang benar pun bisa dinyatakan batal bila dipasang secara keliru: ditaruh sebagai tautan kecil yang sulit terlihat, ditulis dengan bahasa yang sulit dimengerti, atau tidak dapat diunduh pengguna. Cara memasangnya ikut menentukan, bukan hanya isinya.

Satu lagi bila produk Anda mungkin diakses anak: menuliskan batas usia minimum saja belum memenuhi kewajiban. Yang dituntut adalah mekanisme verifikasi usia dan persetujuan orang tua.

Kesalahan paling mahal: satu kotak centang untuk keduanya

Menggabungkan persetujuan kebijakan privasi dengan persetujuan syarat dan ketentuan dalam satu kotak centang adalah kesalahan yang paling sering kami temukan, dan akibatnya jauh lebih besar daripada yang diduga.

Persetujuan yang tidak dapat dibedakan dengan jelas dinyatakan batal demi hukum. Bila itu terjadi, data yang sudah Anda kumpulkan berubah status menjadi data yang diperoleh tanpa persetujuan, dan pengguna berhak meminta penghapusannya.

Yang dipertaruhkan di sini bukan denda. Yang dipertaruhkan adalah basis data pengguna Anda — aset yang biasanya paling mahal di perusahaan digital, dan satu-satunya yang tidak bisa dibeli kembali.

Satu hal yang jujur soal ketidakpastiannya

Undang-undang pelindungan data pribadi berlaku sejak Oktober 2022, tetapi sampai hari ini pengadilan Indonesia praktis belum pernah mengujinya. Penelusuran kami ke basis data putusan menemukan hanya belasan perkara yang menyebutnya, seluruhnya di tingkat pertama dan banding, tidak satu pun sampai ke tingkat kasasi.

Dua akibatnya penting Anda ketahui. Pertama, siapa pun yang menyatakan dengan pasti bagaimana pengadilan akan memutus sengketa data pribadi sedang menebak — termasuk kami. Yang bisa diberikan adalah pembacaan naskah undang-undang yang cermat, bukan peta preseden. Kedua, justru karena batas-batasnya belum diuji, pilihan yang konservatif hampir selalu lebih murah daripada bertaruh pada penafsiran yang longgar.

Yang bisa Anda kerjakan sendiri, akhir pekan ini

1. Buka halaman pendaftaran akun Anda dan hitung kotak centangnya. Apakah persetujuan kebijakan privasi dan persetujuan syarat dan ketentuan berada di dua kotak yang berbeda? Kalau satu kotak, itu yang pertama dibereskan — dan bisa dibereskan tim produk Anda dalam sehari.
2. Tulis daftar setiap layanan pihak ketiga yang menyentuh data pengguna Anda. Komputasi awan, surel pemasaran, analitik, iklan, pemantau galat, layanan pesan. Daftar itu adalah daftar transfer data ke luar negeri Anda, dan hampir selalu lebih panjang dari perkiraan.
3. Periksa apakah ada naskah berbahasa Indonesia, bukan hanya Inggris.
4. Cari kalimat “kami dapat mengubah syarat ini sewaktu-waktu dan perubahannya berlaku saat dipublikasikan”. Kalau ada, itu bermasalah di dua tempat sekaligus: di syarat dan ketentuan, dan di kebijakan privasi.
5. Tulis prosedur kebocoran satu halaman sekarang, sebelum ada insiden. Cukup empat hal: siapa yang memutuskan bahwa ini kebocoran, sejak jam berapa hitungan tiga kali dua puluh empat jam dimulai, lewat kanal apa pengguna diberi tahu, dan siapa yang mengirim ke otoritas. Prosedur yang belum menetapkan keempatnya akan selalu terlambat.
6. Buat satu berkas catatan kegiatan pemrosesan. Satu baris per jenis data: apa yang dikumpulkan, untuk apa, disimpan di mana, berapa lama, siapa yang bisa melihat. Ini kewajiban tersendiri, dan bentuknya bisa sesederhana satu lembar tabel.
7. Pastikan bukti persetujuan tersimpan per versi naskah, bukan hanya “pengguna setuju”.
8. Kalau tim teknis Anda berencana ganti domain, ganti penyedia server, atau ganti model bisnis — catat bahwa ketiganya perubahan yang harus dilaporkan, dan tandai siapa yang bertanggung jawab melaporkannya.

Delapan langkah itu tidak memerlukan advokat. Yang memerlukan pertimbangan hukum adalah menetapkan dasar pemrosesan untuk setiap kegiatan, menilai tinggi rendahnya risiko, menilai apakah ambang pejabat pelindungan data terpenuhi, dan menyusun klausul perjanjian dengan vendor — itu penafsiran, bukan pengisian formulir.

Ditulis 2026-07-30. Aturan bisa berubah — kalau Anda membaca ini jauh setelah tanggal tersebut, konfirmasikan dulu sebelum mengambil keputusan.