Undang-undang perlindungan data pribadi memberi kerangka yang selama ini tidak dimiliki Indonesia: definisi data pribadi, kewajiban pihak yang mengelolanya, dan hak orang atas datanya sendiri. Menyusun aturan ternyata bagian yang lebih mudah.
Bagian yang lebih menentukan adalah pelaksanaan. Siapa yang mengawasi, seberapa cepat laporan kebocoran ditindaklanjuti, dan apakah sanksinya cukup berat untuk mengubah perilaku — semuanya baru terlihat dari kasus nyata.
Yang berubah bagi pengelola situs
Bagi siapa pun yang mengumpulkan data pengguna, termasuk sekadar alamat surel untuk buletin, kewajibannya cukup jelas: kumpulkan seperlunya, jelaskan untuk apa, minta persetujuan yang sadar, dan sediakan cara berhenti.
Praktik seperti konfirmasi ganda pada pendaftaran buletin bukan lagi sekadar sopan santun teknis, melainkan bukti bahwa persetujuan benar-benar diberikan pemilik alamatnya.
Untuk pengelola situs kecil, langkah paling aman adalah menyimpan sesedikit mungkin. Data yang tidak pernah dikumpulkan adalah data yang tidak bisa bocor.
Persetujuan yang bermakna
Aturan menekankan bahwa persetujuan harus diberikan secara sadar dan bisa ditarik semudah ia diberikan. Dalam praktiknya, ini menutup pintu bagi kebiasaan lama seperti kotak centang yang sudah tercentang sejak awal, atau tombol berhenti berlangganan yang disembunyikan berlapis-lapis.
Kewajiban memberi tahu ketika terjadi kebocoran juga mengubah perhitungan. Menyembunyikan insiden bukan lagi sekadar persoalan reputasi, melainkan pelanggaran tersendiri yang bisa dikenai sanksi.
Bagi pengelola situs kecil, tidak perlu menunggu punya tim hukum untuk mulai patuh. Tiga langkah sudah menutup sebagian besar risiko: kumpulkan seperlunya, jelaskan dengan bahasa manusia untuk apa data itu, dan sediakan cara menghapusnya yang benar-benar berfungsi.