“Kenapa nomor gue dapat promo ini?”
Nadia menatap pesan WhatsApp dari sebuah usaha yang tidak pernah ia ingat memberi izin marketing.
Temannya, Faris, bertanya:
“Pernah isi form?”
“Pernah datang ke event mereka.”
“Kasih nomor?”
“Mungkin buat registrasi.”
“Marketing consent?”
“Nggak ingat.”
Nadia hampir langsung membalas:
“Hapus data saya sekarang.”
Faris menahan.
“Screenshot dulu.”
Kalimat itu terdengar kontradiktif.
Kalau ingin data dihapus, kenapa malah menyimpan bukti?
Karena ketika ada dugaan penggunaan data pribadi tanpa dasar atau di luar tujuan awal, kita perlu memahami dulu apa yang terjadi.
UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memberi subjek data sejumlah hak, termasuk hak mengetahui identitas pihak yang meminta data, dasar kepentingan hukum, tujuan permintaan dan penggunaan data, serta hak untuk mengakhiri pemrosesan, menghapus, atau memusnahkan data pribadi sesuai ketentuan.
Tapi sebelum meminta penghapusan, dokumentasikan jejak.
Simpan pesan yang membuat kita curiga
Nadia screenshot.
Nama pengirim.
Nomor.
Tanggal.
Jam.
Isi promosi.
Link.
Nama brand.
Faris berkata:
“Jangan klik link dulu.”
Benar.
Kalau pesan mencurigakan, jangan buru-buru membuka tautan.
Simpan bukti dari layar.
Kalau perlu, ekspor percakapan sesuai fitur yang tersedia.
Jangan mengedit isi.
Cari hubungan awal dengan organisasi
Nadia membuka email lama.
Ada tiket event.
Form registrasi.
Invoice.
Ia mencoba mengingat:
“Waktu daftar, ada checkbox?”
Kalau data digunakan untuk marketing, pertanyaan dasarnya:
Dari mana data berasal?
Untuk tujuan apa awalnya dikumpulkan?
Apakah ada dasar pemrosesan yang relevan?
Apakah informasi mengenai penggunaan data diberikan secara transparan?
Jangan langsung menyimpulkan “pasti bocor”.
Data bisa berasal dari transaksi lama, partner resmi, consent yang lupa, atau memang pemrosesan yang bermasalah.
Bukti membantu membedakan.
Bedakan “tanpa izin” dan “tanpa dasar hukum”
Bahasa sehari-hari sering mengatakan:
“Saya tidak pernah kasih izin.”
Dalam UU PDP, dasar pemrosesan tidak hanya persetujuan.
Ada beberapa dasar yang diakui hukum.
Karena itu, formulasi yang lebih akurat saat mengadu:
“Saya ingin mengetahui dasar pemrosesan data pribadi saya dan sumber data ini.”
Itu memaksa organisasi menjelaskan.
Kalau jawabannya persetujuan, minta bukti kapan dan bagaimana persetujuan diberikan.
Kalau dasar lain, tanyakan relevansinya.
Tanyakan data apa yang mereka punya
Nadia menulis email:
“Saya meminta informasi mengenai data pribadi saya yang diproses, sumber perolehannya, tujuan pemrosesan, dasar pemrosesan, pihak yang menerima data jika ada, dan jangka waktu penyimpanannya.”
Faris membaca.
“Corporate.”
“Tapi jelas.”
UU PDP mengatur transparansi pemrosesan, termasuk informasi mengenai jenis data, tujuan, jangka waktu, dan aspek lain dalam kondisi yang relevan.
Tidak harus pakai bahasa hukum.
Yang penting pertanyaannya spesifik.
Jangan hapus bukti sebelum kasus jelas
Misalnya brand menjawab:
“Nomor Anda kami dapat dari partner.”
Lalu seminggu kemudian partner membantah.
Kalau Nadia sudah menghapus semua pesan, ia kehilangan konteks awal.
Simpan bukti sampai masalah selesai.
Folder:
01 pesan pertama.
02 privacy policy.
03 form lama.
04 email permintaan.
05 jawaban perusahaan.
06 nomor tiket.
Simple.
Privacy policy bisa berubah
Nadia membuka kebijakan privasi situs.
Tanggal tidak jelas.
Faris berkata:
“Screenshot.”
Kenapa?
Kebijakan hari ini belum tentu sama dengan saat data dikumpulkan.
Kalau memungkinkan, simpan versi yang relevan atau bukti tanggal.
Jangan menganggap halaman current otomatis membuktikan apa yang berlaku tiga tahun lalu.
Hak penghapusan bukan tombol ajaib untuk semua data
Nadia bertanya:
“Kalau gue minta hapus, harus hilang semua?”
Tidak selalu sesederhana itu.
UU PDP memberi hak pengakhiran pemrosesan dan penghapusan atau pemusnahan sesuai ketentuan, tetapi organisasi bisa memiliki kewajiban hukum tertentu untuk menyimpan sebagian data.
Contoh umum bisa terkait pembukuan, sengketa, kewajiban regulasi, atau pembuktian transaksi, tergantung sektor.
Karena itu, permintaan yang baik:
“Hentikan penggunaan data saya untuk marketing dan hapus data yang tidak lagi memiliki dasar atau kebutuhan penyimpanan yang sah. Mohon jelaskan bila ada data yang wajib tetap disimpan beserta dasar dan jangka waktunya.”
Lebih realistis.
Minta stop marketing sebagai tindakan terpisah
Kalau masalah utamanya pesan promosi, jangan menunggu seluruh audit data selesai.
Minta:
“Stop komunikasi pemasaran ke nomor ini.”
Unsubscribe bila tersedia.
Block jika perlu setelah bukti disimpan.
Untuk email, gunakan link unsubscribe hanya jika email dan domainnya terpercaya.
Kalau pesan terlihat phishing, jangan klik.
Jangan kirim KTP penuh hanya untuk menghapus nomor telepon
Perusahaan mungkin perlu memverifikasi identitas pemohon.
Wajar.
Tapi verifikasi harus proporsional.
Kalau akun hanya terhubung ke email dan nomor telepon, tanyakan apakah verifikasi bisa dilakukan melalui account login, OTP resmi, atau metode lain.
Jangan otomatis mengirim scan KTP penuh lewat WhatsApp admin.
Data minimization berlaku dua arah.
Jangan menambah risiko hanya untuk mengurangi risiko.
Kalau diminta selfie KTP, tanyakan kenapa
Nadia mendapat respons otomatis:
“Kirim foto KTP dan selfie.”
Ia bertanya:
“Untuk permintaan berhenti marketing perlu itu?”
Perusahaan kemudian menawarkan verifikasi lewat email akun.
Bagus.
Kadang SOP dibuat terlalu luas.
Pengguna boleh bertanya apakah metode verifikasi yang kurang invasif tersedia.
Simpan nomor tiket pengaduan
Perusahaan menjawab:
“Permintaan sedang diproses.”
Nadia bertanya:
“Nomor tiket?”
Diberikan.
Nomor tiket mengubah percakapan dari:
“Saya sudah pernah chat.”
Menjadi:
“Pengaduan #123 tanggal X belum selesai.”
Untuk eskalasi, itu sangat berguna.
Permintaan penghapusan harus tertulis
Telepon bisa membantu.
Tapi tindak lanjuti dengan email atau tiket.
“Menindaklanjuti telepon tanggal X, saya meminta…”
Kenapa?
Agar ada tanggal jelas.
Ruang lingkup jelas.
Identitas pemohon jelas.
Respons bisa ditelusuri.
Jangan hanya meminta “hapus semuanya”
Organisasi mungkin tidak memahami apa yang dimaksud.
Hapus akun?
Nomor marketing?
Profil?
Riwayat transaksi?
Cookie?
Data newsletter?
Data event?
Tulis ruang lingkup.
Kalau ingin semua data yang tidak wajib disimpan, sebutkan.
Kalau hanya marketing, sebutkan.
Data pribadi bukan hanya NIK
Nadia awalnya berpikir data pribadi adalah KTP.
Padahal data yang dapat mengidentifikasi seseorang bisa jauh lebih luas tergantung konteks.
Nama.
Nomor telepon.
Email.
Alamat.
Lokasi.
Informasi akun.
Riwayat tertentu.
UU PDP juga mengenal data pribadi spesifik, termasuk data biometrik yang memungkinkan identifikasi unik seperti gambar wajah dalam konteks biometrik.
Jadi penggunaan nomor telepon untuk profiling atau marketing tetap menyentuh perlindungan data.
Kalau data berasal dari event, event organizer perlu menjelaskan sharing
Nadia menemukan form lama.
Ada kolom:
“Data dapat dibagikan kepada partner.”
Masalahnya, partner tidak dijelaskan.
Faris berkata:
“Ini yang perlu ditanya.”
Consent yang terlalu umum bisa menjadi masalah transparansi.
Siapa partner?
Untuk tujuan apa?
Berapa lama?
Apakah untuk marketing?
Apakah bisa opt-out?
Pengunjung event sebaiknya tidak dipaksa memahami lima halaman legalese untuk tahu nomor mereka akan dikirim ke siapa.
Screenshot bukan bukti sempurna, tapi tetap berguna
Screenshot bisa diedit.
Karena itu, simpan juga sumber asli.
Email asli.
Header.
Chat.
Link.
File.
Log akun.
Kalau sengketa serius, integritas bukti penting.
Jangan hanya menyimpan satu crop yang menghilangkan nama pengirim dan tanggal.
Kalau merasa data bocor, jangan langsung menyebut “breach”
Nadia mendapat spam dari dua nomor.
“Berarti database bocor?”
“Belum tentu,” kata Faris.
Kebocoran data adalah insiden spesifik.
Nomor bisa berasal dari banyak sumber.
Untuk menyebut ada kegagalan perlindungan data, perlu fakta.
Tanyakan organisasi.
Apakah ada insiden?
Apakah data terekspos?
Apakah mereka sudah memberi notifikasi jika memang diwajibkan?
Jangan menciptakan diagnosis dari dua pesan spam.
Jika terjadi kegagalan pelindungan data, ada kewajiban pemberitahuan tertentu
UU PDP mengatur kegagalan pelindungan data pribadi sebagai kegagalan menjaga kerahasiaan, integritas, atau ketersediaan data yang mengarah pada kehilangan, perubahan, pengungkapan, atau akses yang tidak sah.
Dalam kondisi yang memenuhi ketentuan, pengendali data memiliki kewajiban pemberitahuan.
Kalau organisasi mengakui breach, simpan notifikasi resmi.
Tanggal.
Data apa terdampak.
Langkah mitigasi.
Kontak.
Jangan kirim OTP saat “verifikasi penghapusan”
Scammer bisa memanfaatkan momen.
Nadia mengirim komplain.
Lalu ada nomor lain mengaku tim privacy.
“Kami kirim OTP, sebutkan.”
Faris langsung:
“Jangan.”
OTP adalah kredensial.
Tim resmi seharusnya tidak meminta pengguna membacakan OTP sensitif yang bisa digunakan mengambil alih akun.
Verifikasi melalui kanal resmi.
Jangan percaya nomor baru hanya karena tahu kita sedang komplain.
Penghapusan data tidak sama dengan menghapus bukti pelanggaran
Misalnya Nadia sedang mempersiapkan pengaduan.
Kalau semua data transaksi dihapus, bukti hubungan bisa ikut sulit.
Karena itu, tentukan urutan.
Simpan salinan data yang memang menjadi hak dan dibutuhkan untuk bukti.
Lalu ajukan penghentian dan penghapusan.
Jangan meminta tindakan yang membuat kita sendiri kehilangan evidence sebelum complaint selesai.
Data anak perlu perhatian ekstra
Kalau data yang diproses milik anak, perlakuannya lebih sensitif.
Jangan memakai mekanisme persetujuan orang dewasa begitu saja.
Orang tua atau wali perlu memperhatikan aplikasi, sekolah, event, dan platform yang meminta data anak.
Foto.
Nama.
Sekolah.
Lokasi.
Nomor.
Jangan upload data anak ke publik untuk membuktikan pelanggaran.
Kalau organisasi diam, eskalasi dengan kronologi
Nadia menunggu sesuai waktu respons yang diinformasikan.
Tidak ada jawaban.
Ia membuat satu dokumen.
Tanggal data diberikan.
Pesan marketing pertama.
Permintaan informasi.
Nomor tiket.
Follow-up.
Respons atau ketiadaan respons.
Semua singkat.
Kronologi seperti ini lebih mudah dipahami daripada forward 40 email.
Penghapusan bukan balas dendam
Faris bertanya:
“Lo kesel?”
“Banget.”
“Tapi targetnya?”
“Nomor gue berhenti dipakai, gue tahu sumbernya, data yang nggak perlu dihapus.”
Good.
Tujuan perlindungan data bukan menghukum organisasi lewat kemarahan.
Tujuannya mengembalikan kontrol dan akuntabilitas.
Mereka akhirnya mendapat jawaban
Perusahaan menjelaskan bahwa nomor Nadia berasal dari registrasi event lama dan pernah masuk daftar komunikasi partner.
Mereka tidak dapat menunjukkan consent marketing yang cukup jelas untuk penggunaan berikutnya.
Nomor kemudian dikeluarkan dari daftar marketing dan perusahaan mengonfirmasi langkah penghapusan sesuai kebijakan serta kewajiban penyimpanan yang masih berlaku.
Nadia berkata:
“Kalau tadi gue langsung block, gue nggak akan tahu dari mana.”
Faris mengangguk.
Itulah kenapa bukti disimpan dulu.
Kalau data pribadi dipakai tanpa izin atau di luar ekspektasi, refleks pertama biasanya:
“Hapus sekarang.”
Masuk akal.
Tapi sebelum jejak hilang, dokumentasikan.
Siapa yang menghubungi.
Kapan.
Menggunakan data apa.
Untuk tujuan apa.
Dari mana kemungkinan sumbernya.
Apa privacy policy-nya.
Nomor tiket.
Respons.
Setelah itu, gunakan hak kita.
Tanya dasar pemrosesan.
Minta stop.
Minta akses atau informasi.
Minta koreksi bila salah.
Minta penghapusan atau pemusnahan sesuai ketentuan.
Karena perlindungan data tidak hanya soal membuat data menghilang.
Ia soal mengetahui siapa yang memegang data, kenapa mereka memegangnya, dan apakah mereka masih punya alasan sah untuk terus menggunakannya.