Data Biometrik Wajah dan Sidik Jari di Aplikasi: Hak dan Batasannya

Apa itu data biometrik

Data biometrik adalah data yang berkaitan dengan ciri fisik, fisiologis, atau perilaku seseorang yang memungkinkan identifikasi unik. Contohnya sidik jari, pola wajah, iris mata, suara, dan pola tanda tangan atau cara mengetik.

Perangkat sering mengubah ciri itu menjadi templat, yaitu kode digital yang mewakili ciri tersebut. Templat inilah yang disimpan dan dibandingkan saat Anda membuka aplikasi. Walaupun bukan foto utuh, templat tetap dapat dianggap data pribadi.

Istilah yang perlu dipahami:

• Verifikasi mencocokkan data Anda dengan data yang Anda daftarkan, misalnya membuka ponsel dengan sidik jari.
• Identifikasi mencari tahu siapa Anda dari kumpulan data besar, misalnya pengenalan wajah di keramaian.
• Pengendali data adalah pihak yang menentukan tujuan dan cara pengolahan data.
• Persetujuan adalah pernyataan kehendak yang bebas dan jelas dari pemilik data.

Mengapa biometrik dianggap sensitif

Ada beberapa alasan.

• Tidak dapat diganti. Kata sandi bisa diganti, wajah dan sidik jari tidak.
• Melekat pada tubuh. Data ini dapat dipakai untuk melacak seseorang di berbagai tempat.
• Rawan disalahgunakan. Data wajah dapat dipakai untuk membuka rekening atau pinjaman atas nama orang lain, atau untuk membuat konten palsu.
• Berdampak pada kelompok rentan. Anak dan penyandang disabilitas bisa mengalami kerugian lebih besar bila data bocor.

Karena itu, undang-undang pelindungan data pribadi memperlakukannya lebih ketat daripada data biasa.

Aturan dalam bahasa sehari-hari

Undang-Undang Pelindungan Data Pribadi (UU PDP, UU No. 27 Tahun 2022) membedakan data pribadi yang bersifat umum dan data pribadi yang bersifat spesifik. Data biometrik termasuk data pribadi yang bersifat spesifik, bersama data kesehatan, data genetika, data anak, dan lainnya. Periksa teks resmi untuk nomor pasal dan daftar lengkapnya.

Dalam bahasa sehari-hari, artinya:

• Pengolahan data biometrik memerlukan dasar yang sah dan kehati-hatian lebih besar. Persetujuan eksplisit sering menjadi dasarnya.
• Pengendali data wajib menjelaskan tujuan pengumpulan secara jelas dan memakai data hanya sesuai tujuan itu.
• Pengendali wajib menjaga keamanan dan mencegah akses tidak sah.
• Untuk pemrosesan berisiko tinggi, termasuk data spesifik dalam skala besar, undang-undang mensyaratkan penilaian dampak pelindungan data. Periksa teks resmi untuk rincian kapan kewajiban ini berlaku.
• Pemilik data berhak mengakses, memperbaiki, menarik persetujuan, mengajukan keberatan, dan dalam keadaan tertentu meminta penghapusan data. Lihat hak subjek data pribadi.
• Pengendali wajib memberi tahu bila terjadi kegagalan pelindungan data.

Status pembentukan lembaga pengawas pelindungan data pribadi yang disebut UU PDP perlu diperiksa pada kabar resmi terbaru. Karena itu, mekanisme pengaduan dan penjatuhan sanksi administratif perlu diperiksa pada perkembangan terbaru. Sanksi dalam undang-undang tidak disebut angkanya di sini karena dapat berubah mengikuti penyesuaian pidana yang berlaku sejak 2 Januari 2026.

Selain itu, data biometrik pada dokumen kependudukan, seperti rekaman sidik jari dan iris pada KTP elektronik, diatur dalam ketentuan administrasi kependudukan. Lihat KTP elektronik: perekaman pertama kali.

Di mana biometrik biasa dipakai

Perhatikan perbedaan: biometrik yang tersimpan hanya di ponsel Anda berisiko lebih kecil daripada yang diunggah ke server penyedia aplikasi.

Hak Anda dan cara memakainya

1. Tanyakan tujuan dan dasar hukum. Tanyakan mengapa data wajah atau sidik jari diperlukan dan apakah ada alternatif.
2. Baca kebijakan privasi. Cari informasi tentang tempat penyimpanan, lama penyimpanan, pihak ketiga yang menerima data, dan cara penghapusan.
3. Periksa pengaturan akun. Matikan fitur yang tidak diperlukan dan hapus templat biometrik yang tersimpan bila disediakan.
4. Tarik persetujuan bila Anda tidak ingin biometrik dipakai lagi. Lakukan tertulis lewat kontak pelindungan data pengelola.
5. Minta penghapusan data yang tidak diperlukan lagi, dan simpan bukti permintaannya.
6. Waspadai pemakaian di luar tujuan, seperti iklan atau pembagian ke mitra tanpa izin.
7. Laporkan pelanggaran kepada pengelola, lalu ke kementerian terkait atau kepolisian bila ada dugaan pidana.

Contoh: Bu Tari (nama fiktif) bekerja di sebuah toko yang tiba-tiba mewajibkan absensi dengan pemindai wajah. Ia bertanya kepada pemilik toko di mana data wajah disimpan dan siapa yang mengaksesnya. Pemilik toko menjawab bahwa data disimpan di aplikasi pihak ketiga tanpa kebijakan tertulis. Bu Tari meminta kebijakan itu dibuat dan meminta alternatif absensi bagi karyawan yang keberatan. Pemilik toko akhirnya menyediakan pilihan kartu absensi sambil menyusun kebijakan. Percakapan yang tertib dan tertulis membantu semua pihak.

Bila Anda mengelola aplikasi atau tempat usaha

Pengelola yang mengumpulkan biometrik sebaiknya:

1. Menilai perlunya. Apakah tujuan dapat dicapai dengan cara yang kurang invasif, misalnya kartu atau kata sandi?
2. Menetapkan dasar pemrosesan dan, bila memakai persetujuan, memastikannya jelas dan dapat ditarik.
3. Menyiapkan pilihan alternatif untuk orang yang menolak atau tidak dapat memakai biometrik.
4. Menyimpan seminimal mungkin. Simpan templat terenkripsi, bukan foto mentah, dan hapus bila tujuan selesai.
5. Membatasi akses pada staf yang perlu, dan mencatat akses.
6. Menyusun kebijakan privasi dan memberi tahu pengguna. Lihat membuat kebijakan privasi dan syarat layanan.
7. Memeriksa mitra teknologi. Pastikan perjanjian dengan penyedia sistem mengatur keamanan, lokasi penyimpanan, dan tanggung jawab bila terjadi kebocoran.
8. Menyiapkan rencana insiden. Lihat keamanan siber dan kebocoran data perusahaan.
9. Mempertimbangkan penilaian dampak pelindungan data untuk pemakaian berskala besar.

Untuk lingkungan kerja, lihat data pribadi karyawan dan pemantauan di tempat kerja. Untuk persetujuan dan pelacakan secara umum, lihat persetujuan pengumpulan data, cookie, dan iklan terarah.

Anak dan data biometrik

UU PDP menyebut data anak sebagai data pribadi spesifik, dan pemrosesannya dilakukan dengan memperhatikan kepentingan terbaik anak serta persetujuan orang tua atau wali. Sekolah, tempat bermain, atau aplikasi anak yang meminta data wajah atau sidik jari anak perlu menjelaskan alasan, lama penyimpanan, dan pengamanannya. Orang tua berhak bertanya dan menolak bila tidak ada tujuan yang jelas. Lihat pula anak dan konten media sosial.

Kesalahan umum

• Memberi data wajah atau sidik jari tanpa membaca kebijakan privasi.
• Mengira biometrik di aplikasi pasti hanya tersimpan di ponsel.
• Mengirim swafoto bersama KTP lewat aplikasi pesan kepada pihak tidak dikenal.
• Bagi pengelola: menjadikan biometrik satu-satunya cara tanpa alternatif.
• Bagi pengelola: menyimpan foto wajah mentah tanpa batas waktu.
• Tidak meminta penghapusan setelah berhenti memakai layanan.

Pertanyaan yang sering diajukan

Apakah perusahaan boleh mewajibkan absensi sidik jari? Perusahaan dapat mengatur sistem absensi, tetapi pengumpulan data biometrik harus punya dasar yang sah, tujuan jelas, dan keamanan memadai. Karyawan berhak bertanya dan mengajukan keberatan. Sebaiknya perusahaan menyediakan alternatif dan kebijakan tertulis.

Bisakah saya meminta data wajah saya dihapus dari aplikasi? Anda dapat mengajukan permintaan penghapusan dan menarik persetujuan. Hasilnya bergantung pada dasar pemrosesan dan kewajiban penyimpanan lain, misalnya kewajiban hukum pada layanan keuangan. Ajukan tertulis dan simpan buktinya.

Apakah data wajah di media sosial termasuk biometrik? Foto biasa belum tentu biometrik, tetapi bila diolah menjadi templat untuk mengenali seseorang, ia menjadi data biometrik. Periksa kebijakan platform tentang pengenalan wajah dan pelatihan sistem.

Ringkasan

Data biometrik seperti wajah dan sidik jari termasuk data pribadi spesifik yang mendapat perlindungan lebih ketat menurut UU PDP. Pengolahannya memerlukan dasar yang sah, tujuan jelas, keamanan memadai, dan pada pemrosesan berisiko tinggi penilaian dampak. Pemilik data berhak mengakses, menarik persetujuan, keberatan, dan meminta penghapusan. Pengguna sebaiknya membaca kebijakan dan menolak permintaan yang tidak jelas. Pengelola sebaiknya menyediakan alternatif, menyimpan seminimal mungkin, dan menyiapkan rencana bila terjadi kebocoran.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.
• UU No. 24 Tahun 2013 tentang Perubahan atas UU No. 23 Tahun 2006 tentang Administrasi Kependudukan.
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, sebagaimana telah diubah.

Baca juga

• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Data Pribadi Karyawan dan Pemantauan di Tempat Kerja: Batas dan Hak
• Persetujuan Pengumpulan Data, Cookie, dan Iklan Terarah
• KTP Elektronik Pertama Kali: Perekaman di Usia 17 Tahun dan Dokumen yang Disiapkan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.