Dalam pengelolaan data pribadi, istilah consent semakin sering digunakan, terutama sejak berlakunya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi atau UU PDP. Bagi organisasi seperti pemerintahan, BUMN/BUMD, perbankan, lembaga pendidikan, hingga perusahaan swasta, consent bukan sekadar persetujuan biasa.
Consent adalah dasar penting untuk memastikan bahwa pemrosesan data pribadi dilakukan secara transparan, sah, dan dapat dipertanggungjawabkan.
Ketika organisasi mengumpulkan data karyawan, nasabah, pelanggan, peserta layanan, atau masyarakat, maka organisasi perlu memahami apakah pemrosesan data tersebut membutuhkan persetujuan. Jika iya, persetujuan tersebut harus dikelola dengan benar dan terdokumentasi.
Apa Itu Consent?
Secara sederhana, consent adalah persetujuan yang diberikan oleh subjek data pribadi kepada organisasi untuk memproses data pribadinya.
Subjek data pribadi adalah orang yang datanya dikumpulkan atau diproses. Misalnya karyawan, nasabah bank, pelanggan, peserta webinar, penerima layanan publik, atau pengguna aplikasi.
Sementara itu, pemrosesan data pribadi dapat mencakup kegiatan seperti:
- Pengumpulan data
- Penyimpanan data
- Penggunaan data
- Analisis data
- Pengiriman data
- Penghapusan data
- Pembaruan data
Dalam UU PDP, persetujuan pemrosesan data pribadi dapat dilakukan melalui persetujuan tertulis atau terekam, baik secara elektronik maupun nonelektronik. Persetujuan tersebut memiliki kekuatan hukum yang sama selama memenuhi ketentuan yang berlaku.
Mengapa Consent Penting dalam Pelindungan Data Pribadi?
Consent penting karena menjadi salah satu bentuk penghormatan terhadap hak subjek data pribadi. Organisasi tidak boleh sembarangan menggunakan data pribadi seseorang tanpa dasar yang jelas.
Bagi pemerintahan, consent membantu memastikan layanan publik berbasis data berjalan secara transparan. Bagi BUMN/BUMD, consent memperkuat tata kelola dan akuntabilitas. Bagi perbankan, consent menjadi bagian penting dalam menjaga kepercayaan nasabah.
Consent juga membantu organisasi menjawab pertanyaan penting seperti:
- Untuk tujuan apa data pribadi dikumpulkan?
- Siapa yang akan memproses data tersebut?
- Berapa lama data disimpan?
- Apakah data akan dibagikan kepada pihak lain?
- Apa hak pemilik data atas data pribadinya?
Jika hal-hal tersebut tidak dijelaskan, maka persetujuan yang diberikan bisa dianggap tidak jelas atau tidak sah.
Consent Bukan Sekadar Checklist
Banyak organisasi menganggap consent cukup dengan menambahkan checkbox pada formulir. Padahal, consent tidak boleh hanya menjadi formalitas.
Consent yang baik harus diberikan secara sadar, jelas, dan spesifik. Artinya, subjek data pribadi harus memahami apa yang disetujui sebelum memberikan persetujuan.
Misalnya, jika seseorang mengisi formulir layanan, organisasi perlu menjelaskan bahwa data tersebut akan digunakan untuk proses administrasi layanan. Jika data juga akan digunakan untuk promosi, analisis perilaku, atau dikirim kepada pihak ketiga, maka tujuan tersebut perlu dijelaskan secara terpisah.
Dalam UU PDP, jika persetujuan memuat tujuan lain, permintaan persetujuan harus dapat dibedakan secara jelas, menggunakan format yang mudah dipahami, mudah diakses, serta memakai bahasa yang sederhana dan jelas.
Ciri-Ciri Consent yang Baik
Agar consent dapat mendukung kepatuhan pelindungan data pribadi, organisasi perlu memperhatikan beberapa ciri berikut.
1. Diberikan Secara Sadar
Subjek data harus mengetahui bahwa ia sedang memberikan persetujuan atas pemrosesan data pribadinya.
2. Menggunakan Bahasa yang Jelas
Hindari kalimat hukum yang terlalu panjang dan sulit dipahami. Gunakan bahasa yang sederhana agar mudah dimengerti oleh masyarakat, karyawan, atau pelanggan.
3. Tujuannya Spesifik
Jangan menggunakan satu persetujuan untuk semua tujuan. Pisahkan persetujuan untuk layanan utama, promosi, analisis data, atau pengiriman kepada pihak ketiga.
4. Tidak Dipaksakan
Consent sebaiknya diberikan secara bebas. Jika persetujuan diberikan karena tekanan atau tanpa pilihan yang jelas, maka kualitas persetujuannya dapat dipertanyakan.
5. Memiliki Bukti
Organisasi harus dapat menunjukkan bukti bahwa subjek data telah memberikan persetujuan. UU PDP mewajibkan pengendali data pribadi menunjukkan bukti persetujuan yang telah diberikan oleh subjek data pribadi.
Contoh Consent dalam Organisasi
Consent dapat muncul dalam banyak aktivitas organisasi, antara lain:
- Persetujuan penggunaan data nasabah pada layanan perbankan digital.
- Persetujuan pengumpulan data masyarakat pada aplikasi layanan publik.
- Persetujuan penggunaan data karyawan untuk administrasi HR.
- Persetujuan penggunaan data peserta webinar untuk pengiriman materi dan informasi lanjutan.
- Persetujuan pengiriman newsletter atau informasi promosi.
- Persetujuan penggunaan data pelanggan untuk survei kepuasan layanan.
Contoh-contoh tersebut menunjukkan bahwa consent tidak hanya menjadi urusan tim legal. Tim HR, IT, marketing, customer service, compliance, audit internal, dan unit layanan juga perlu memahaminya.
Kesalahan Umum dalam Mengelola Consent
Beberapa kesalahan yang sering terjadi dalam organisasi antara lain:
- Checkbox persetujuan sudah otomatis tercentang.
- Tujuan pemrosesan data tidak dijelaskan.
- Satu persetujuan digunakan untuk banyak tujuan sekaligus.
- Tidak ada dokumentasi kapan consent diberikan.
- Tidak ada mekanisme penarikan persetujuan.
- Consent disimpan secara manual dan sulit dicari.
- Perubahan tujuan pemrosesan tidak diberitahukan kepada subjek data.
Kesalahan-kesalahan tersebut dapat menimbulkan risiko hukum, reputasi, dan kepercayaan. Terutama bagi organisasi yang memproses data dalam jumlah besar seperti instansi pemerintah, BUMN/BUMD, dan perbankan.
Apa yang Terjadi Jika Consent Ditarik?
Subjek data pribadi memiliki hak untuk menarik kembali persetujuan pemrosesan data pribadinya. Jika hal ini terjadi, organisasi perlu memiliki mekanisme yang jelas untuk menindaklanjuti permintaan tersebut.
UU PDP mengatur bahwa pengendali data pribadi wajib menghentikan pemrosesan data pribadi apabila subjek data menarik kembali persetujuannya. Penghentian tersebut dilakukan paling lambat 3 x 24 jam sejak permintaan diterima.
Artinya, organisasi tidak cukup hanya mencatat persetujuan. Organisasi juga harus mampu mencatat dan memproses penarikan persetujuan secara tertib.
Mengapa Consent Perlu Dikelola dengan Sistem?
Pengelolaan consent secara manual memiliki banyak keterbatasan. Dokumen bisa tercecer, versi formulir bisa berbeda-beda, dan bukti persetujuan sulit ditelusuri saat dibutuhkan.
Dengan sistem yang terstruktur, organisasi dapat:
- Mencatat siapa yang memberikan consent.
- Mengetahui kapan consent diberikan.
- Menyimpan tujuan pemrosesan data.
- Mengelola perubahan atau pembaruan consent.
- Menindaklanjuti penarikan persetujuan.
- Menyiapkan bukti kepatuhan saat audit.
- Menghubungkan consent dengan ROPA, DPIA, dan DSAR.
Bagi organisasi besar, sistem ini penting agar kepatuhan UU PDP tidak bergantung pada catatan manual yang rawan hilang atau tidak konsisten.
Peran Aplikasi Regula dalam Pengelolaan PDP
Aplikasi PDP seperti Regula dapat membantu organisasi mengelola proses kepatuhan pelindungan data pribadi secara lebih tertib.
Melalui Regula, organisasi dapat mendukung pengelolaan aktivitas pemrosesan data, dokumentasi kepatuhan, pemetaan risiko, dan permintaan hak subjek data. Hal ini penting untuk membantu tim legal, compliance, IT, HR, customer service, dan audit internal bekerja dengan data yang lebih terstruktur.
Regula dapat mendukung proses seperti:
- GAP Assessment kepatuhan PDP.
- ROPA atau pencatatan aktivitas pemrosesan data.
- DPIA untuk pemrosesan data berisiko tinggi.
- DSAR untuk pengelolaan permintaan hak subjek data.
- Dokumentasi bukti kepatuhan PDP.
Dengan pengelolaan yang lebih rapi, organisasi dapat lebih siap menghadapi kebutuhan audit, evaluasi internal, maupun permintaan informasi dari subjek data pribadi.
Kesimpulan
Consent adalah persetujuan subjek data pribadi atas pemrosesan data pribadinya. Dalam pelindungan data pribadi, consent bukan sekadar tanda centang di formulir, tetapi bagian penting dari tata kelola data yang transparan dan bertanggung jawab.
Organisasi perlu memastikan consent diberikan secara jelas, spesifik, terdokumentasi, dan dapat ditarik kembali. Untuk pemerintahan, BUMN/BUMD, perbankan, dan organisasi lain yang mengelola data dalam jumlah besar, pengelolaan consent sebaiknya dilakukan secara sistematis agar kepatuhan UU PDP lebih mudah dipantau.
Konsultasikan Kebutuhan Kepatuhan PDP Organisasi Anda
Apakah organisasi Anda sudah memiliki mekanisme consent yang jelas dan terdokumentasi?
Jika belum, saatnya mulai menata proses pelindungan data pribadi secara lebih serius. Anda dapat melakukan konsultasi kepatuhan UU PDP untuk mengetahui kondisi organisasi saat ini, menyusun langkah perbaikan, serta memastikan proses pemrosesan data pribadi berjalan lebih tertib.
Untuk pengelolaan yang lebih praktis, organisasi juga dapat menggunakan Aplikasi Regula sebagai solusi untuk membantu monitoring dan dokumentasi kepatuhan PDP. Jika organisasi membutuhkan pendampingan lebih menyeluruh, tim kami juga dapat membantu dalam proses pendampingan PDP, mulai dari assessment, penyusunan dokumen, ROPA, DPIA, DSAR, hingga kesiapan audit kepatuhan.
