Setiap kali Anda mengisi formulir di halaman login Wi-Fi kafe, terjadi pertukaran: akses internet ditukar dengan sejumlah data pribadi. Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh, pertukaran itu memiliki kerangka hukum yang jelas.
Berikut rangkuman dari dua sisi: sebagai orang yang datanya dikumpulkan, dan sebagai pihak yang mengumpulkannya.
Catatan: tulisan ini bersifat edukatif dan bukan nasihat hukum. Untuk penerapan pada situasi spesifik, konsultasikan dengan penasihat hukum yang kompeten.
Dua kategori data pribadi
UU PDP membedakan data pribadi menjadi dua kelompok dengan tingkat perlindungan berbeda.
| Kategori | Contoh | Tingkat perlindungan |
|---|---|---|
| Data pribadi umum | Nama lengkap, jenis kelamin, kewarganegaraan, agama, alamat email, nomor telepon | Standar |
| Data pribadi spesifik | Data kesehatan, biometrik, genetika, catatan kejahatan, data anak, data keuangan pribadi | Lebih ketat |
Perbedaan ini penting dalam konteks Wi-Fi publik. Portal yang meminta nama dan email berada di kategori pertama. Portal yang meminta data identitas kependudukan atau informasi keuangan memasuki wilayah yang jauh lebih sensitif, dan memerlukan pembenaran yang kuat.
Hak Anda sebagai subjek data
Undang-undang memberikan sejumlah hak yang dapat Anda gunakan. Beberapa yang paling relevan sehari-hari:
- Hak mendapat informasi. Anda berhak tahu identitas pengendali data, tujuan pemrosesan, dan jangka waktu penyimpanan sebelum menyerahkan data.
- Hak mengakses. Anda dapat meminta salinan data pribadi Anda yang disimpan.
- Hak memperbaiki. Data yang tidak akurat dapat diminta untuk dikoreksi.
- Hak menghapus. Anda dapat meminta penghapusan data yang tidak lagi diperlukan.
- Hak menarik persetujuan. Persetujuan yang pernah diberikan dapat dicabut sewaktu-waktu.
- Hak menolak. Anda dapat menolak pemrosesan untuk tujuan pemasaran dan pengambilan keputusan otomatis.
Kewajiban pengelola Wi-Fi publik
Bila Anda mengoperasikan jaringan tamu yang mengumpulkan data pengunjung, Anda berperan sebagai pengendali data. Beberapa kewajiban utama:
Memiliki dasar pemrosesan yang sah
Persetujuan adalah dasar yang paling umum untuk konteks Wi-Fi tamu. Persetujuan harus diberikan secara sadar, spesifik untuk tiap tujuan, dan tidak boleh dipaksakan sebagai syarat tersembunyi.
Menyampaikan pemberitahuan yang jelas
Kebijakan privasi harus dapat diakses langsung dari halaman portal, ditulis dalam bahasa yang dipahami orang awam, dan menjelaskan data apa yang dikumpulkan serta untuk apa.
Membatasi pengumpulan seperlunya
Prinsip minimalisasi data berarti Anda hanya mengumpulkan yang dibutuhkan untuk tujuan yang dinyatakan.
Menerapkan pengamanan yang memadai
Enkripsi saat penyimpanan dan pengiriman, pembatasan akses staf, serta pencatatan aktivitas adalah standar minimum yang wajar.
Menetapkan masa retensi
Data tidak boleh disimpan selamanya. Tentukan jangka waktu, cantumkan dalam kebijakan, dan hapus secara berkala.
Menyiapkan prosedur penanganan insiden
Bila terjadi kegagalan pelindungan data, pengendali wajib memberitahukan pihak terkait sesuai tenggat yang diatur peraturan.
Langkah praktis melindungi diri
Gunakan alamat email khusus untuk pendaftaran
Membuat satu alamat email terpisah untuk keperluan pendaftaran layanan gratis memisahkan kotak masuk utama Anda dari promosi, sekaligus membatasi dampak bila terjadi kebocoran.
Isi hanya kolom bertanda wajib
Banyak formulir mengumpulkan lebih dari yang diperlukan. Kolom opsional dapat dilewati tanpa memengaruhi layanan.
Baca kotak centang, bukan hanya mengklik
Perhatikan apakah ada centang terpisah untuk pemasaran dan apakah sudah tercentang secara bawaan. Persetujuan yang dicentang otomatis tidak memenuhi standar yang sah.
Manfaatkan alamat MAC acak
Android dan iOS modern menyediakan fitur MAC acak per jaringan, yang mempersulit pelacakan lintas lokasi. Fitur ini aktif secara bawaan pada sebagian besar perangkat terbaru.
Tinjau izin aplikasi secara berkala
Aplikasi yang meminta akses lokasi terus-menerus atau daftar kontak tanpa alasan jelas layak dievaluasi ulang, terlepas dari jaringan yang Anda gunakan.
Tanda-tanda pengumpulan data yang tidak wajar
- Meminta nomor identitas kependudukan untuk layanan yang tidak memerlukannya.
- Tidak menyediakan kebijakan privasi, atau tautannya tidak berfungsi.
- Kotak persetujuan pemasaran sudah tercentang secara bawaan.
- Tidak ada informasi siapa pengendali datanya.
- Meminta kata sandi akun layanan lain.
- Tidak ada cara berhenti berlangganan pada pesan promosi yang dikirim.
Menemukan satu saja dari tanda di atas sudah cukup menjadi alasan untuk membatalkan pendaftaran dan menggunakan data seluler.
Memahami peran: pengendali dan prosesor
Undang-undang membedakan dua peran yang menentukan siapa bertanggung jawab atas apa.
- Pengendali data pribadi menentukan tujuan dan mengendalikan pemrosesan. Dalam konteks Wi-Fi venue, pemilik usaha biasanya berperan sebagai pengendali.
- Prosesor data pribadi memproses data atas nama pengendali. Penyedia platform captive portal umumnya berperan sebagai prosesor.
Pembedaan ini penting karena pengendali tetap bertanggung jawab meskipun pemrosesan teknisnya dilakukan pihak lain. Karena itu, perjanjian tertulis dengan penyedia platform yang memuat batasan penggunaan data adalah langkah yang wajar dan sering diabaikan usaha kecil.
Daftar periksa kepatuhan untuk venue kecil
| Aspek | Pertanyaan yang perlu dijawab |
|---|---|
| Dasar pemrosesan | Apa dasar sah kami mengumpulkan data ini? |
| Minimalisasi | Apakah setiap kolom benar-benar diperlukan? |
| Pemberitahuan | Apakah kebijakan privasi dapat dibuka dari portal? |
| Persetujuan pemasaran | Apakah terpisah dan tidak tercentang otomatis? |
| Retensi | Berapa lama data disimpan dan siapa yang menghapusnya? |
| Akses internal | Siapa saja di tim yang dapat melihat data ini? |
| Prosesor | Apakah ada perjanjian tertulis dengan penyedia platform? |
| Permintaan subjek data | Siapa yang menangani dan dalam berapa lama? |
| Insiden | Apa langkah pertama bila terjadi kebocoran? |
Menjawab sembilan pertanyaan ini secara tertulis, meski hanya satu halaman, sudah menempatkan usaha Anda jauh di depan sebagian besar venue sejenis.
Kebiasaan harian yang melindungi data Anda
- Gunakan pengelola kata sandi agar setiap layanan memiliki kata sandi berbeda.
- Aktifkan autentikasi dua faktor pada email utama terlebih dahulu, karena akun itu menjadi kunci pemulihan akun lain.
- Tinjau daftar aplikasi yang terhubung ke akun Google atau media sosial Anda setiap beberapa bulan.
- Periksa apakah alamat email Anda pernah muncul dalam kebocoran data yang diketahui publik.
- Batasi informasi yang Anda bagikan pada formulir daring apa pun, bukan hanya portal Wi-Fi.
Perlindungan data yang efektif bukan hasil satu tindakan besar, melainkan akumulasi kebiasaan kecil yang dijalankan konsisten.
Penutup
UU PDP menggeser posisi tawar ke arah individu, tetapi hukum hanya efektif bila haknya digunakan. Membaca formulir sebelum mengisinya, menolak permintaan yang berlebihan, dan menggunakan hak penghapusan adalah kebiasaan sederhana yang berdampak nyata.
Bagi pengelola venue, kepatuhan lebih dari menghindari sanksi. Praktik data yang transparan adalah salah satu cara paling efektif membangun kepercayaan — modal yang sulit dibeli dengan anggaran pemasaran.
Baca juga panduan Wi-Fi marketing yang patuh regulasi dan 12 langkah keamanan Wi-Fi publik.
Pertanyaan yang sering diajukan
Apa saja yang termasuk data pribadi menurut UU PDP?
UU PDP membagi data pribadi menjadi data umum seperti nama, alamat, dan nomor telepon, serta data spesifik seperti data kesehatan, biometrik, data anak, dan catatan keuangan pribadi. Data spesifik mendapat perlindungan lebih ketat.
Bolehkah penyedia Wi-Fi meminta nomor KTP saya?
Pengumpulan data harus proporsional dengan tujuannya. Untuk memberikan akses internet di kafe, nomor identitas kependudukan sulit dibenarkan sebagai kebutuhan yang wajar, dan Anda berhak menolak.
Bagaimana cara meminta data saya dihapus?
Hubungi pengendali data melalui kanal yang tercantum di kebijakan privasinya, sampaikan permintaan penghapusan secara tertulis, dan simpan buktinya. Pengendali wajib menanggapi dalam jangka waktu yang ditentukan peraturan.
Apa yang harus dilakukan bila data saya bocor?
Segera ganti kata sandi akun terkait dan aktifkan autentikasi dua faktor, pantau aktivitas akun keuangan, dan laporkan kepada pengendali data. Anda juga dapat menyampaikan pengaduan kepada lembaga pengawas yang berwenang.
