Contoh Kebijakan Privasi Sederhana dan Cara Mengisinya

Apa itu kebijakan privasi dan siapa yang memerlukannya

Data pribadi adalah data tentang seseorang yang dapat dipakai untuk mengenali orang itu, baik sendiri maupun bersama data lain. Contohnya nama, alamat, nomor telepon, surel, foto, nomor identitas, dan lokasi. Kebijakan privasi menjelaskan bagaimana sebuah usaha memperlakukan data tersebut.

Hampir semua usaha yang bertransaksi dengan orang perorangan mengumpulkan data. Toko online mencatat alamat pengiriman. Klinik kecantikan mencatat riwayat kulit pelanggan. Usaha jasa mencatat nomor telepon. Aplikasi mencatat identitas perangkat. Semua itu termasuk data pribadi.

Dalam UU Pelindungan Data Pribadi, pihak yang menentukan tujuan dan cara pengolahan data disebut pengendali data pribadi. Pihak yang mengolah data atas perintah pengendali disebut prosesor data pribadi. Pemilik data disebut subjek data pribadi. Penjelasan rinci ada di kewajiban pengendali data pribadi menurut UU PDP dan hak subjek data pribadi.

Aturan dalam bahasa sehari-hari

Dasar utamanya adalah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Undang-undang ini mulai berlaku sejak diundangkan, dan masa penyesuaian bagi pengendali data berlangsung sampai dua tahun. Untuk pelaku usaha, bahasa praktisnya sebagai berikut.

• Kumpulkan data seperlunya saja. Jangan meminta nomor identitas bila alamat surel sudah cukup.
• Beri tahu pemilik data sebelum mengumpulkan data. Beri tahu juga tujuannya.
• Dasar mengolah data harus sah, misalnya persetujuan, pelaksanaan perjanjian, atau kewajiban hukum. Periksa teks resmi untuk daftar dasar yang diakui.
• Pemilik data punya hak, antara lain mengakses, memperbaiki, dan meminta penghapusan datanya dalam keadaan tertentu.
• Usaha wajib menjaga keamanan data dan memberi tahu bila terjadi kegagalan pelindungan.
• Data anak dan data yang bersifat spesifik, seperti kesehatan atau biometrik, butuh perlakuan lebih ketat. Lihat data pribadi spesifik dan umum.

Lembaga pengawas pelindungan data pribadi yang disebut dalam undang-undang belum terbentuk per September 2026. Namun kewajiban dalam undang-undang tetap berlaku. Usaha tidak perlu menunggu lembaga itu untuk mulai menyusun kebijakan privasi.

Nominal sanksi administratif dan pidana dalam UU PDP tidak diuraikan di sini karena dapat berubah mengikuti penyesuaian pidana. Periksa teks resmi terbaru.

Kerangka kebijakan privasi yang dapat disesuaikan

Tanda [....] harus diganti. Hapus bagian yang tidak relevan, misalnya bagian cookie bila usaha Anda tidak punya situs.

• KEBIJAKAN PRIVASI [Nama Usaha]
• Berlaku sejak: [tanggal]; diperbarui terakhir: [tanggal]
• 1. Siapa Kami: [Nama Usaha atau Nama Lengkap], alamat [....], kontak [....]. Kami bertindak sebagai pengendali data pribadi.
• 2. Data yang Kami Kumpulkan: [nama, alamat pengiriman, nomor telepon, surel, riwayat pesanan, data pembayaran melalui mitra, foto bila relevan, data perangkat dan cookie bila ada situs].
• 3. Dari Mana Data Berasal: langsung dari Anda saat mendaftar atau berbelanja; dari mitra pembayaran dan pengiriman bila diperlukan; dari pemakaian situs.
• 4. Tujuan Pemakaian: memproses pesanan; menghubungi Anda soal pesanan; menangani keluhan; memenuhi kewajiban hukum; [mengirim promosi bila Anda setuju].
• 5. Dasar Pemakaian: persetujuan Anda; pelaksanaan perjanjian jual beli; kewajiban hukum; [kepentingan lain yang sah].
• 6. Dengan Siapa Data Dibagikan: kurir, penyedia pembayaran, dan penyedia sistem seperlunya; kami tidak menjual data Anda.
• 7. Penyimpanan: data disimpan selama [....] atau selama diperlukan untuk tujuan di atas atau kewajiban hukum, lalu dihapus atau dianonimkan.
• 8. Keamanan: kami memakai langkah teknis dan organisasi yang wajar, seperti kata sandi, pembatasan akses, dan enkripsi bila tersedia.
• 9. Hak Anda: mengakses, memperbaiki, meminta penghapusan, menarik persetujuan, dan mengajukan keberatan sesuai hukum; ajukan melalui [kontak].
• 10. Cookie dan Pelacak: [jelaskan jenis, tujuan, dan cara menolak atau mengaturnya] atau [kami tidak memakai cookie pelacak].
• 11. Anak: layanan kami [tidak ditujukan bagi anak di bawah ....]; bila data anak terkumpul, orang tua dapat menghubungi kami untuk meminta penghapusan.
• 12. Kebocoran Data: bila terjadi kegagalan pelindungan yang berdampak pada Anda, kami akan memberi tahu sesuai ketentuan yang berlaku.
• 13. Perubahan Kebijakan: perubahan diumumkan di [lokasi] dengan tanggal pembaruan.
• 14. Kontak: pertanyaan atau permintaan dapat dikirim ke [nama petugas atau jabatan], [surel], [nomor telepon].

Penjelasan tiap bagian

Siapa kami. Pengguna berhak tahu siapa yang memegang datanya. Tulis nama, alamat, dan kontak yang dapat dijangkau. Kontak palsu atau tidak aktif membuat kebijakan tidak berguna.

Data yang dikumpulkan. Daftar harus sesuai kenyataan. Cek formulir pendaftaran, formulir pesanan, sistem kasir, dan alat analitik di situs. Banyak usaha mengumpulkan lebih banyak data dari yang ia kira, misalnya lewat piksel iklan.

Tujuan dan dasar. Satu data boleh dipakai untuk beberapa tujuan, tetapi tiap tujuan harus jelas. Bila ingin memakai nomor telepon untuk promosi, minta persetujuan terpisah dari persetujuan memproses pesanan.

Pihak ketiga. Sebut kategori penerima data, misalnya kurir dan penyedia pembayaran. Jangan menulis "kami tidak membagikan data" bila kenyataannya alamat dikirim ke kurir.

Penyimpanan. Tulis masa simpan yang wajar. Data pembeli mungkin perlu disimpan untuk kepentingan pembukuan atau garansi. Setelah itu, hapus atau anonimkan.

Hak pengguna. Siapkan prosedur nyata, misalnya formulir atau surel khusus, dan batas waktu menjawab. Kalimat tentang hak tanpa jalur permintaan hanya hiasan.

Kebocoran data. Tentukan siapa yang bertanggung jawab di dalam usaha dan langkah awalnya. Pembaca lebih terbantu bila tahu usaha punya rencana. Lihat juga langkah menghapus dan melapor bila data kontak disebar sebagai gambaran jalur pengaduan.

Redaksi persetujuan dan pemberitahuan singkat

Selain kebijakan lengkap, usaha sebaiknya menyiapkan kalimat pendek di tempat data diminta. Pengguna jarang membaca halaman panjang, tetapi mereka membaca tulisan di dekat kotak isian.

• Di formulir pesanan: "Data Anda kami pakai untuk memproses dan mengirim pesanan. Rincian ada di Kebijakan Privasi [tautan]."
• Di kotak promosi: "Saya bersedia menerima informasi promosi dari [Nama Usaha] melalui [surel atau pesan]. Saya dapat berhenti kapan saja." Kotak ini tidak boleh tercentang sebelumnya.
• Di formulir data sensitif: "Kami meminta [jenis data] hanya untuk [tujuan]. Data ini disimpan selama [....] dan hanya dapat diakses oleh [petugas]."

Tiga kalimat ini menunjukkan prinsip penting: informasi singkat di tempat yang tepat, persetujuan yang bisa ditolak tanpa kehilangan layanan inti, dan jalan keluar yang mudah.

Cookie, analitik, dan alat pihak ketiga

Situs dan aplikasi sering memasang alat yang mengumpulkan data tanpa disadari pemilik usaha. Contohnya alat statistik pengunjung, piksel iklan, tombol media sosial, dan peta tertanam. Alat-alat ini dapat menyimpan pengenal perangkat atau mencatat halaman yang dibuka.

Bila usaha memakai alat seperti itu, tulis jenis alat, tujuan, dan cara pengguna menolak atau mengaturnya. Bila tidak memakai, tulis dengan jujur. Jangan menyalin bagian cookie dari situs lain bila usaha Anda tidak memakai cookie yang sama. Setelah menyusun kebijakan, uji situs Anda sendiri: buka dalam peramban, lihat alat apa saja yang aktif, lalu cocokkan dengan kebijakan.

Usaha juga perlu memeriksa perjanjian dengan penyedia alat tersebut. Penyedia layanan awan, surel massal, dan kasir digital sering menyimpan data pelanggan di server mereka. Pastikan ada kesepakatan tertulis bahwa mereka hanya memakai data sesuai perintah usaha dan menjaga keamanannya.

Langkah praktis membuat kebijakan privasi

1. Buat daftar data yang dikumpulkan, dari formulir, kasir, situs, aplikasi, dan media sosial.
2. Tulis tujuan, penerima, dan lama simpan untuk tiap jenis data.
3. Tunjuk satu orang yang menangani permintaan pemilik data.
4. Susun kebijakan memakai kerangka di atas dengan kalimat pendek.
5. Pasang tautan kebijakan di halaman pendaftaran, pembayaran, dan footer situs.
6. Siapkan tombol persetujuan yang terpisah untuk promosi dan data sensitif.
7. Latih staf: jangan membagikan data pelanggan lewat grup percakapan.
8. Tinjau ulang kebijakan paling tidak setahun sekali atau saat ada layanan baru.

Menjawab permintaan pemilik data

Kebijakan privasi akan diuji ketika ada pelanggan yang meminta sesuatu. Siapkan alur sederhana agar usaha tidak panik.

1. Terima permintaan lewat kanal resmi dan catat tanggalnya.
2. Pastikan pemohon memang pemilik data, misalnya dengan mencocokkan surel atau nomor telepon yang terdaftar.
3. Cari data pemohon di semua tempat: sistem kasir, spreadsheet, aplikasi percakapan, dan arsip kertas.
4. Putuskan permintaan: dipenuhi, dipenuhi sebagian, atau ditolak dengan alasan hukum, misalnya data masih harus disimpan untuk pembukuan.
5. Jawab tertulis dalam waktu yang wajar dan simpan bukti jawaban.

Dengan alur seperti ini, kebijakan privasi bukan sekadar halaman di situs, melainkan bagian dari kerja harian usaha.

Daftar pelengkap

• Daftar inventaris data (siapa, apa, di mana, berapa lama).
• Formulir permintaan hak pemilik data.
• Kebijakan cookie bila ada situs.
• Perjanjian dengan penyedia sistem atau prosesor data.
• Rencana tanggap kebocoran data.
• Syarat dan ketentuan toko yang menaut ke kebijakan privasi, seperti dalam contoh syarat dan ketentuan toko online.

Kesalahan umum

Contoh: Sebuah toko roti rumahan menerima pesanan lewat aplikasi percakapan dan menyimpan nama, alamat, serta nomor telepon pelanggan di buku catatan digital. Pemiliknya menulis kebijakan privasi satu halaman: data dipakai untuk mengantar pesanan, dibagikan hanya kepada kurir, disimpan satu tahun, lalu dihapus. Ia menambahkan satu alamat surel untuk permintaan penghapusan. Ketika seorang pelanggan meminta datanya dihapus, pemilik toko dapat menjawabnya dengan tertib dan mencatat prosesnya.

Kapan perlu notaris atau advokat

Kebijakan privasi tidak perlu dibuat di depan notaris. Namun advokat atau konsultan pelindungan data sebaiknya dilibatkan bila:

• usaha mengolah data kesehatan, biometrik, keuangan, atau data anak;
• data dikirim ke luar negeri, misalnya ke penyedia penyimpanan awan di negara lain;
• usaha memakai pemantauan, pelacakan, atau pembuatan profil pengguna;
• jumlah data yang dikelola besar;
• sudah ada keluhan atau kebocoran data.

Perjanjian dengan penyedia sistem juga perlu diperiksa. Pengendali data tetap bertanggung jawab atas data yang diolah pihak ketiga atas namanya.

Perubahan aturan yang perlu Anda ketahui

UU PDP adalah aturan yang relatif baru. Masa penyesuaian dua tahun sejak diundangkan telah berlalu. Peraturan pelaksana dan lembaga pengawas masih menjadi perhatian, dan lembaga pengawas belum terbentuk per September 2026. Karena itu, pantau teks resmi terbaru. Pada sisi pidana, KUHP baru (UU No. 1 Tahun 2023) berlaku sejak 2 Januari 2026, dan KUHAP baru (UU No. 20 Tahun 2025) berlaku pada tanggal yang sama. Bila terjadi penyalahgunaan data yang berujung perkara pidana, nomor pasal perlu diperiksa pada teks resmi, dan nominal sanksi dalam undang-undang di luar KUHP dapat berubah.

Pertanyaan yang sering diajukan

Apakah usaha kecil wajib punya kebijakan privasi? UU PDP berlaku bagi pengendali data, termasuk perorangan dan usaha, yang mengolah data pribadi. Tidak ada pengecualian umum bagi usaha kecil. Kebijakan tertulis membantu membuktikan itikad baik dan memenuhi kewajiban memberi informasi.

Apakah cukup menulis "dengan memakai layanan ini Anda setuju"? Kalimat itu saja sering dianggap lemah. Persetujuan lebih kuat bila pengguna diberi informasi jelas dan tindakan nyata, seperti mencentang kotak.

Bolehkah menyimpan salinan KTP pelanggan? Hanya bila ada tujuan sah yang jelas, dasar hukum, dan pengamanan yang memadai. Bila tidak perlu, jangan simpan.

Ringkasan

• Kebijakan privasi menjelaskan data apa dikumpulkan, untuk apa, kepada siapa dibagikan, berapa lama disimpan, dan hak pengguna.
• Dasar utamanya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.
• Tulis sesuai praktik nyata, bukan salinan situs lain.
• Siapkan jalur permintaan hak pengguna dan rencana bila data bocor.
• Lembaga pengawas belum terbentuk per September 2026, tetapi kewajiban tetap berlaku.
• Kerangka dalam artikel ini harus disesuaikan dengan keadaan usaha Anda.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen
• UU No. 1 Tahun 2023 tentang Kitab Undang-Undang Hukum Pidana

Baca juga

• Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Membuat Kebijakan Privasi dan Syarat Layanan untuk Aplikasi Kecil
• Toko Online Wajib Lindungi Data Pembeli: Kewajiban Penjual Daring
• Data Pribadi Spesifik dan Umum menurut UU PDP: Perbedaan dan Dampaknya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.