Kontrak Aplikasi dan Hak Data Pengguna: Apa yang Sebenarnya Anda Setujui Saat Menekan "Setuju"

Apakah syarat dan ketentuan aplikasi mengikat

Syarat dan ketentuan (S&K) serta kebijakan privasi adalah perjanjian dalam bentuk elektronik. Menurut UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE), informasi dan/atau dokumen elektronik serta hasil cetaknya merupakan alat bukti hukum yang sah (Pasal 5), dan transaksi elektronik yang dituangkan dalam kontrak elektronik mengikat para pihak (Pasal 18). Baca juga perjanjian elektronik dan tanda tangan dan syarat sah perjanjian.

Pada prinsipnya, menekan tombol setuju atau mencentang kotak persetujuan dapat dianggap sebagai tanda persetujuan. Artinya, "saya tidak membaca" bukan pembelaan yang kuat. Namun, kontrak elektronik tetap tunduk pada batasan hukum: syarat sah perjanjian, larangan klausula baku yang merugikan konsumen, serta ketentuan pelindungan data pribadi.

Klausula baku: batasnya

Hampir seluruh aplikasi memakai perjanjian yang dibuat sepihak oleh penyedia, tanpa ruang tawar-menawar. Dalam hukum konsumen ini disebut klausula baku. Baca klausula baku perjanjian.

Pasal 18 ayat (1) UU No. 8 Tahun 1999 tentang Perlindungan Konsumen (UUPK) melarang pelaku usaha yang menawarkan barang dan/atau jasa mencantumkan klausula baku, antara lain yang:

• menyatakan pengalihan tanggung jawab pelaku usaha;
• menyatakan pelaku usaha berhak menolak penyerahan kembali uang yang dibayarkan atas barang dan/atau jasa yang dibeli konsumen;
• memberi kuasa kepada pelaku usaha untuk melakukan tindakan sepihak yang berkaitan dengan barang yang dibeli secara angsuran;
• memberi hak kepada pelaku usaha untuk mengurangi manfaat jasa atau harta kekayaan konsumen;
• menyatakan konsumen tunduk pada aturan baru, tambahan, lanjutan, dan/atau pengubahan lanjutan yang dibuat sepihak oleh pelaku usaha saat konsumen memanfaatkan jasa (huruf g, yang perlu Anda periksa pada teks resmi untuk redaksi lengkap).

Pasal 18 ayat (3) menyatakan klausula baku yang melanggar larangan tersebut batal demi hukum. Ayat (2) melarang klausula baku yang letak atau bentuknya sulit terlihat atau tidak dapat dibaca secara jelas, atau yang pengungkapannya sulit dimengerti. Pelaku usaha wajib menyesuaikan klausula bakunya dengan UUPK.

Jadi, kalau suatu aplikasi menulis "kami tidak bertanggung jawab atas kerugian apa pun" atau "kami dapat mengubah ketentuan kapan saja tanpa pemberitahuan", klausula semacam itu bisa dipersoalkan, bukan otomatis sah hanya karena Anda menyetujuinya. Penilaiannya tetap bergantung pada redaksi dan fakta kasus.

Persetujuan data pribadi tidak boleh asal

Tombol "Setuju" juga sering dipakai sebagai persetujuan pemrosesan data. UU PDP mengatur lebih ketat:

• Pengendali data wajib memiliki dasar pemrosesan, antara lain persetujuan yang sah secara eksplisit dari subjek data untuk satu atau beberapa tujuan tertentu yang telah disampaikan kepada subjek data. Dasar lain mencakup pemenuhan kewajiban perjanjian, kewajiban hukum, dan kepentingan vital (Pasal 20).
• Bila memakai persetujuan, pengendali wajib menyampaikan informasi tentang legalitas, tujuan, jenis dan relevansi data, jangka waktu retensi (lama penyimpanan), rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak Anda (Pasal 21 ayat 1). Perubahan informasi harus diberitahukan sebelum perubahan terjadi (Pasal 21 ayat 2).
• Pemrosesan harus terbatas dan spesifik, sah secara hukum, dan transparan (Pasal 27), serta sesuai tujuannya (Pasal 28).
• Pemrosesan data anak wajib mendapat persetujuan orang tua atau wali (Pasal 25 ayat 2).
• Data yang bersifat spesifik, seperti data kesehatan, biometrik, dan keuangan pribadi, mendapat perhatian khusus (Pasal 4 ayat 2).

Implikasinya, persetujuan yang disembunyikan dalam paragraf panjang atau "dipaketkan" untuk semua tujuan sekaligus layak dipertanyakan. Persetujuan yang baik bersifat spesifik untuk tujuan tertentu dan dapat ditarik kembali.

Hal yang perlu diperiksa sebelum menyetujui

Anda tidak perlu membaca semua halaman. Cari bagian ini:

1. Data apa yang dikumpulkan. Nama dan surel? Atau juga kontak, galeri, lokasi, mikrofon, dan riwayat penelusuran?
2. Untuk apa data dipakai. Hanya untuk layanan, atau juga untuk iklan dan dibagikan ke mitra?
3. Dengan siapa data dibagikan. Cari kata "afiliasi" (perusahaan yang masih satu kelompok), "mitra", "pihak ketiga".
4. Berapa lama data disimpan dan apakah data dihapus saat akun ditutup.
5. Cara menarik persetujuan dan menghapus akun. Apakah ada kanal jelas?
6. Pembatasan tanggung jawab dan siapa yang menanggung bila terjadi kerugian atau kebocoran.
7. Perubahan ketentuan. Apakah Anda akan diberi tahu dan diberi kesempatan menolak?
8. Penyelesaian sengketa. Pengadilan mana atau lembaga mana yang dipilih, dan apakah ada klausula arbitrase (kesepakatan menyelesaikan sengketa lewat lembaga arbitrase, bukan pengadilan).
9. Biaya dan pembaruan otomatis untuk langganan berbayar.
10. Pembatalan dan pengembalian dana. Baca juga refund tiket dan pembatalan layanan.

Izin akses di ponsel: bagian yang sering dilupakan

Selain S&K, aplikasi meminta izin akses saat dipasang atau dibuka. Izin akses ke kontak, kamera, mikrofon, lokasi, dan galeri sebaiknya diberikan hanya bila relevan dengan fungsi aplikasi. Aplikasi senter yang meminta akses kontak patut dicurigai.

Beberapa kebiasaan baik:

• Pilih izin "hanya saat aplikasi dipakai" untuk lokasi.
• Tolak izin yang tidak berkaitan dengan fungsi aplikasi.
• Tinjau secara berkala izin yang pernah Anda berikan di pengaturan ponsel.
• Hapus aplikasi yang tidak lagi dipakai, lalu ajukan penghapusan akun dan data, bukan hanya mencopot aplikasi.
• Hati-hati dengan aplikasi pinjaman daring yang meminta akses kontak. Baca pinjol ilegal dan hak debitur dan doxing dan penyebaran data pribadi.

Hak Anda atas data yang dipegang aplikasi

Berdasarkan UU PDP, sebagai pengguna Anda berhak antara lain:

• mendapat informasi tentang tujuan dan dasar penggunaan data (Pasal 5);
• melengkapi, memperbarui, dan memperbaiki kesalahan data (Pasal 6);
• mengakses dan mendapat salinan data (Pasal 7);
• mengakhiri pemrosesan, menghapus, atau memusnahkan data (Pasal 8);
• menarik kembali persetujuan (Pasal 9);
• mengajukan keberatan atas keputusan yang hanya berdasarkan pemrosesan otomatis, termasuk pemrofilan (penilaian otomatis atas diri Anda berdasarkan data), yang berdampak signifikan (Pasal 10 ayat 1);
• menunda atau membatasi pemrosesan (Pasal 11);
• menggugat dan menerima ganti rugi (Pasal 12);
• mendapat dan menggunakan datanya dalam format yang lazim dan dapat dibaca sistem elektronik (Pasal 13 ayat 1).

Permohonan diajukan secara tercatat kepada pengendali data (Pasal 14). Beberapa batas waktu yang disebut UU: akses diberikan paling lambat 3 x 24 jam (Pasal 32 ayat 2), perbaikan data paling lambat 3 x 24 jam (Pasal 30 ayat 1), dan penghentian pemrosesan setelah penarikan persetujuan paling lambat 3 x 24 jam (Pasal 40 ayat 2). Ada pengecualian atas sebagian hak ini, misalnya untuk kepentingan pertahanan dan keamanan nasional atau penegakan hukum (Pasal 15), sehingga tidak setiap permintaan otomatis dikabulkan.

Langkah bila aplikasi melanggar hak Anda

1. Simpan bukti. Tangkapan layar S&K versi saat Anda mendaftar, bukti pembayaran, notifikasi, dan korespondensi. S&K sering berubah, jadi versi saat Anda menyetujui itu penting.
2. Kirim permohonan tertulis ke alamat resmi penyedia aplikasi: sebutkan hak yang Anda gunakan (misalnya penghapusan akun dan data), dasar hukumnya, dan batas waktu yang Anda harapkan.
3. Gunakan kanal pengaduan internal dan simpan nomor tiket.
4. Adukan ke kanal pemerintah bidang komunikasi dan digital bila penyedia tidak merespons atau ada konten yang melanggar hukum.
5. Adukan sebagai konsumen ke BPSK (Badan Penyelesaian Sengketa Konsumen) atau lembaga perlindungan konsumen untuk sengketa transaksi. Baca hak konsumen dan BPSK.
6. Adukan ke OJK (Otoritas Jasa Keuangan) bila aplikasinya layanan keuangan berizin.
7. Gugat ganti rugi bila terdapat kerugian nyata. Baca perbuatan melawan hukum dan gugatan.
8. Lapor ke polisi bila ada penyalahgunaan data yang berunsur pidana. UU PDP memuat larangan memperoleh, mengungkapkan, dan menggunakan data pribadi secara melawan hukum (Pasal 65), dengan ancaman pidana yang diatur dalam Pasal 67.

Contoh: Pak D memakai aplikasi dompet digital dan menyadari aplikasi itu terus mengirim iklan pihak lain. Ia membuka kebijakan privasi, menemukan kalimat bahwa data dapat dibagikan kepada "mitra pemasaran", lalu mengirim permohonan tertulis untuk menarik persetujuan pemasaran dan meminta daftar pihak penerima data. Ia menyimpan tangkapan layar versi kebijakan dan nomor tiket. Cerita ini fiktif; yang bisa ditiru adalah caranya: temukan klausulnya, tarik persetujuan secara tertulis, minta informasi, dan simpan bukti.

Bila Anda pelaku usaha pembuat aplikasi

Sisi sebaliknya juga penting. Pengembang dan pemilik layanan sebaiknya:

• menyusun S&K yang singkat, jelas, dan mudah dibaca, dengan bagian penting ditonjolkan;
• memisahkan persetujuan layanan dari persetujuan pemasaran agar tidak dipaketkan;
• memberi tahu pengguna sebelum mengubah ketentuan, dan memberi kesempatan menolak;
• menyediakan kanal permintaan akses, koreksi, dan penghapusan yang mudah;
• menyiapkan prosedur penanganan kebocoran data, ingat kewajiban pemberitahuan 3 x 24 jam (Pasal 46 UU PDP);
• menghindari klausula yang mengalihkan seluruh tanggung jawab kepada pengguna.

Kewajiban lain bagi penyelenggara sistem elektronik juga diatur dalam Peraturan Pemerintah (PP) No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (antara lain Pasal 15 sampai 18); periksa ketentuan terbaru bila Anda menjalankan layanan.

Langganan berbayar dan pembaruan otomatis

Banyak aplikasi menawarkan masa percobaan gratis yang berubah menjadi langganan berbayar otomatis. Periksa tanggal berakhirnya masa percobaan, jumlah tagihan, siklus penagihan, dan cara membatalkan. Catat tanggal pembatalan dan simpan konfirmasinya. Bila Anda ditagih padahal sudah membatalkan, ajukan keberatan tertulis kepada penyedia dan, bila perlu, kepada penyelenggara pembayaran atau bank. Syarat yang menyatakan uang yang sudah dibayar tidak dapat dikembalikan dalam keadaan apa pun patut dipersoalkan menurut Pasal 18 ayat (1) UUPK, tergantung redaksi dan faktanya.

Kesalahan yang sering terjadi

• Menekan "Setuju" untuk semua pilihan tanpa memisahkan persetujuan layanan dan pemasaran.
• Tidak menyimpan versi S&K saat mendaftar.
• Mengira mencopot aplikasi sama dengan menghapus data. Data di server tetap tersimpan sampai dihapus.
• Memberi izin akses kontak dan galeri ke aplikasi yang tidak membutuhkannya.
• Mengabaikan email perubahan ketentuan, sehingga dianggap menerima.
• Mengandalkan pengakuan lisan dari layanan pelanggan tanpa bukti tertulis.
• Mengira klausula baku selalu sah karena sudah "disetujui".

Pertanyaan yang sering diajukan

Apakah saya terikat meskipun tidak membaca syarat dan ketentuan? Pada dasarnya persetujuan elektronik dapat mengikat (UU ITE Pasal 18). Namun klausula yang melanggar UUPK, misalnya klausula baku terlarang, dapat batal demi hukum menurut Pasal 18 ayat (3) UUPK. Jadi keterikatan Anda tidak mutlak.

Bisakah saya meminta data saya dihapus? UU PDP memberi hak mengakhiri pemrosesan dan menghapus data (Pasal 8), dan pengendali wajib menghapus data dalam kondisi tertentu (Pasal 43). Ada pengecualian, misalnya kewajiban penyimpanan menurut peraturan lain. Ajukan permintaan tertulis dan minta penjelasan tertulis bila ditolak.

Apa bedanya persetujuan layanan dan persetujuan data? Persetujuan layanan menyangkut perjanjian untuk memakai aplikasi. Persetujuan data menyangkut izin memproses data pribadi untuk tujuan tertentu. Keduanya sebaiknya jelas terpisah supaya Anda bisa menolak pemasaran tanpa kehilangan layanan inti, sepanjang data itu tidak dibutuhkan untuk layanan tersebut.

Ringkasan

Syarat dan ketentuan aplikasi adalah kontrak elektronik yang pada dasarnya mengikat, tetapi tunduk pada UUPK, yang melarang dan membatalkan klausula baku tertentu, serta UU PDP, yang mensyaratkan dasar pemrosesan dan persetujuan eksplisit yang spesifik. Periksa jenis data, tujuan, pembagian ke pihak ketiga, penyimpanan, dan cara menarik persetujuan. Gunakan hak akses, koreksi, penghapusan, dan penarikan persetujuan secara tertulis, simpan bukti, lalu adukan atau gugat bila hak Anda dilanggar.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (antara lain Pasal 4, 5 sampai 15, 20, 21, 25, 27, 28, 30, 32, 40, 43, 46, 65, 67).
• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen, Pasal 18.
• UU No. 11 Tahun 2008 tentang ITE, Pasal 5 dan 18.
• PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (Pasal 15 sampai 18).

Baca juga

• Klausula Baku dalam Perjanjian: Yang Dilarang dan Cara Mengenalinya
• Perjanjian Elektronik dan Tanda Tangan Digital: Apakah Sah?
• Hak Subjek Data Pribadi Menurut UU PDP: Akses, Koreksi, Hapus, dan Gugatan
• Hak Konsumen dan Cara Mengadu ke BPSK
• Data pelanggan yang bocor dari usaha kecil

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.