Definisi
Persetujuan pemrosesan data, atau lazim disebut consent, adalah pernyataan persetujuan yang diberikan secara tegas dan sukarela oleh subjek data pribadi atas pemrosesan data pribadinya untuk satu atau beberapa tujuan tertentu yang telah disampaikan lebih dulu oleh pengendali data. Persetujuan ini adalah salah satu dasar hukum yang paling umum dipakai pengendali data untuk memproses data pribadi seseorang, meski bukan satu-satunya dasar yang diakui.
Yang membuat persetujuan berbeda dari sekadar klik setuju pada syarat dan ketentuan aplikasi adalah syarat kualitasnya: persetujuan harus diberikan secara bebas tanpa paksaan, spesifik untuk tujuan tertentu, bukan persetujuan umum untuk segala keperluan, disampaikan dengan informasi yang jelas, dan dapat ditarik kembali kapan saja oleh pemiliknya. Persetujuan yang diperoleh lewat kotak centang yang sudah tercentang otomatis, atau lewat bahasa yang berbelit sehingga sulit dipahami orang awam, berisiko tidak dianggap sebagai persetujuan yang sah.
Konsep ini menjadi fondasi penting dalam perlindungan data pribadi karena menempatkan kendali di tangan subjek data, bukan pengendali data yang menentukan sepihak boleh tidaknya data seseorang diproses, melainkan subjek data sendiri yang memutuskan lewat persetujuan yang diberikannya.
Dasar Hukum
Pemrosesan data pribadi harus dilakukan sesuai tujuan pemrosesan yang berdasarkan dasar pemrosesan yang sah. Persetujuan yang sah secara eksplisit dari subjek data pribadi, untuk satu atau beberapa tujuan tertentu yang telah disampaikan pengendali data pribadi kepada subjek data pribadi, merupakan salah satu dasar pemrosesan data pribadi yang diakui.
Persetujuan itu sendiri harus diberikan secara tegas dalam bentuk pernyataan tertulis atau terekam, bukan sekadar diam atau tidak menolak. Untuk data pribadi yang bersifat spesifik, seperti data kesehatan, data biometrik, atau data anak, persyaratan persetujuannya lebih ketat lagi karena risiko penyalahgunaannya jauh lebih besar dibanding data pribadi umum.
Ilustrasi
Sebuah aplikasi kesehatan digital ingin mengumpulkan dan memproses data kesehatan penggunanya untuk memberikan rekomendasi pola hidup yang dipersonalisasi. Sebelum data dikumpulkan, aplikasi menampilkan formulir persetujuan yang menjelaskan secara rinci jenis data kesehatan yang akan dikumpulkan, tujuan pemrosesannya, pihak yang akan menerima data tersebut, dan berapa lama data akan disimpan. Pengguna harus secara aktif mencentang kotak persetujuan setelah membaca penjelasan itu, bukan lewat mekanisme yang otomatis menganggap pengguna setuju kecuali menolak.
Kasus berbeda dialami sebuah perusahaan telekomunikasi yang dikenai sanksi karena menggunakan data pelanggannya untuk keperluan pemasaran produk pihak ketiga tanpa memperoleh persetujuan khusus untuk tujuan tersebut. Perusahaan berdalih pelanggan sudah menyetujui syarat dan ketentuan layanan secara umum saat mendaftar, namun otoritas menilai persetujuan umum semacam itu tidak cukup spesifik untuk mencakup penggunaan data bagi kepentingan pemasaran pihak ketiga yang berbeda dari tujuan awal pendaftaran layanan.
Syarat dan Prosedur
Agar persetujuan pemrosesan data dianggap sah secara hukum, beberapa syarat berikut umumnya harus dipenuhi:
- Diberikan secara bebas, tanpa tekanan atau paksaan, dan pengguna tetap bisa menikmati layanan dasar meski menolak memberikan persetujuan untuk tujuan tambahan tertentu.
- Bersifat spesifik, mencakup tujuan pemrosesan tertentu, bukan persetujuan tunggal yang mengklaim mencakup segala jenis penggunaan data di masa depan.
- Disampaikan dengan informasi yang jelas, menjelaskan jenis data, tujuan, dan pihak yang akan mengaksesnya dengan bahasa yang mudah dipahami, bukan istilah hukum yang berbelit.
- Dapat dibuktikan, pengendali data harus mampu menunjukkan bukti bahwa persetujuan memang telah diberikan oleh subjek data yang bersangkutan.
- Dapat ditarik kembali, subjek data berhak menarik persetujuannya kapan saja, dan pengendali data wajib menghentikan pemrosesan data untuk tujuan yang persetujuannya sudah ditarik.
Hak dan Kewajiban Para Pihak
Subjek data berhak menerima penjelasan yang jujur dan mudah dipahami sebelum memberikan persetujuannya, berhak menolak memberikan persetujuan tanpa dipaksa, dan berhak menarik persetujuan yang sudah diberikan kapan saja tanpa dipersulit. Subjek data juga berkewajiban memberikan persetujuan secara sadar, bukan asal mencentang tanpa membaca penjelasan yang disediakan.
Pengendali data berkewajiban menyusun formulir persetujuan yang jujur, spesifik, dan mudah dipahami, serta menyediakan cara yang sama mudahnya bagi subjek data untuk menarik persetujuannya seperti saat memberikannya. Pengendali data berhak memproses data sesuai cakupan persetujuan yang diberikan, tetapi tidak berhak memperluas penggunaan data ke tujuan lain tanpa meminta persetujuan baru yang spesifik untuk tujuan tersebut.
Pertanyaan yang Sering Diajukan
Apakah menyetujui syarat dan ketentuan aplikasi sudah cukup sebagai persetujuan pemrosesan data? Belum tentu. Jika syarat dan ketentuan itu mencakup tujuan pemrosesan yang sangat umum dan tidak spesifik, persetujuan semacam itu berisiko dianggap tidak memenuhi syarat kejelasan tujuan yang disyaratkan.
Bisakah subjek data menarik persetujuannya setelah data sudah terlanjur dikumpulkan? Bisa. Subjek data berhak menarik persetujuan kapan saja, dan pengendali data wajib menghentikan pemrosesan data untuk tujuan yang persetujuannya ditarik, meski data yang sudah diproses sebelumnya tetap sah sepanjang masih dalam masa berlakunya persetujuan.
Apakah anak-anak bisa memberikan persetujuan pemrosesan data sendiri? Untuk data anak, persetujuan umumnya harus diberikan atau disetujui oleh orang tua atau wali yang sah, mengingat anak dianggap belum cakap memberikan persetujuan hukum secara mandiri.
Apa akibatnya jika pengendali data memproses data tanpa persetujuan yang sah? Pengendali data berisiko dikenai sanksi administratif dari lembaga pengawas, dan bila memenuhi unsur kesengajaan yang merugikan subjek data, berpotensi pula dikenai sanksi pidana.