Membuat Kebijakan Privasi dan Syarat Layanan untuk Aplikasi Kecil

Dua dokumen yang sering tertukar

Kebijakan privasi menjelaskan bagaimana aplikasi atau situs mengumpulkan, menggunakan, menyimpan, membagikan, dan melindungi data pribadi pengguna. Dokumen ini berkaitan dengan hak pengguna atas datanya.

Syarat layanan (sering disebut syarat dan ketentuan) mengatur hubungan kontraktual antara penyedia layanan dan pengguna: apa yang boleh dan tidak boleh dilakukan, tanggung jawab masing-masing, pembayaran, penghentian layanan, dan penyelesaian sengketa.

Keduanya berbeda, tetapi saling melengkapi. Keduanya perlu mudah ditemukan, ditulis dalam bahasa yang dipahami pengguna, dan konsisten dengan praktik sebenarnya. Kebijakan yang indah di atas kertas tetapi dilanggar sendiri oleh aplikasi justru berisiko lebih besar daripada tidak ada kebijakan.

Dasar hukum yang perlu diketahui

Beberapa peraturan membentuk kerangka kerja bagi pengembang.

• Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). UU ini berlaku sejak diundangkan pada 17 Oktober 2022, dengan masa penyesuaian dua tahun bagi pengendali dan prosesor data, sehingga sejak 17 Oktober 2024 kewajibannya sepenuhnya berlaku. Pengendali data adalah pihak yang menentukan tujuan dan cara pemrosesan data. Prosesor data adalah pihak yang memproses data atas nama pengendali.
• Undang-Undang tentang Informasi dan Transaksi Elektronik (UU ITE) dan peraturan turunannya, yang mengatur penyelenggaraan sistem dan transaksi elektronik, termasuk kontrak elektronik.
• Undang-Undang No. 8 Tahun 1999 tentang Perlindungan Konsumen, terutama ketentuan tentang klausula baku yang tidak boleh berat sebelah.
• PP No. 17 Tahun 2025 (sering disebut PP Tunas) tentang tata kelola penyelenggaraan sistem elektronik dalam pelindungan anak, yang relevan bila aplikasi dapat diakses atau menyasar anak.

Lembaga pengawas pelindungan data pribadi yang dimandatkan undang-undang belum terbentuk per September 2026. Meski demikian, kewajiban dalam UU PDP tetap berlaku bagi pelaku usaha, dan pengguna dapat menuntut haknya melalui jalur hukum yang tersedia. Penyelenggara sistem elektronik juga dapat memiliki kewajiban pendaftaran menurut peraturan kementerian di bidang komunikasi dan digital; periksa ketentuan terbaru.

Isi pokok kebijakan privasi

Kebijakan privasi yang baik menjawab pertanyaan dasar berikut dengan jelas.

1. Siapa Anda. Nama penyelenggara, alamat, dan kontak untuk urusan data pribadi.
2. Data apa yang dikumpulkan. Misalnya nama, nomor telepon, surel, lokasi, kontak, foto, riwayat transaksi, identitas perangkat.
3. Untuk apa data dipakai. Tujuan harus spesifik, bukan "untuk berbagai keperluan".
4. Dasar pemrosesan. UU PDP mensyaratkan dasar pemrosesan, antara lain persetujuan yang sah secara eksplisit, pemenuhan perjanjian, kewajiban hukum, perlindungan kepentingan vital, tugas kepentingan umum, atau kepentingan sah lainnya yang seimbang dengan hak subjek data.
5. Dengan siapa data dibagikan. Penyedia layanan pembayaran, penyimpanan awan, analitik, atau iklan. Sebutkan jenis pihak ketiganya.
6. Berapa lama data disimpan dan kapan dihapus.
7. Bagaimana data dilindungi. Gambaran umum langkah keamanan tanpa membuka detail yang membahayakan sistem.
8. Hak pengguna. Cara mengakses, memperbaiki, menghapus, menarik persetujuan, dan mengajukan keberatan.
9. Data anak. Bagaimana persetujuan orang tua atau wali diperoleh bila ada pengguna anak.
10. Transfer data ke luar negeri. Bila server atau mitra berada di luar negeri.
11. Pemberitahuan perubahan. Cara pengguna diberi tahu bila kebijakan berubah.
12. Cara menghubungi dan mengadu.

Contoh: Sebuah aplikasi pemesanan lapangan olahraga meminta nama, nomor ponsel, lokasi, dan akses kamera. Kebijakan privasinya menyebut bahwa lokasi dipakai hanya untuk menampilkan lapangan terdekat saat aplikasi digunakan, nomor ponsel dipakai untuk konfirmasi pemesanan, dan akses kamera hanya untuk mengunggah foto profil atas pilihan pengguna. Aplikasi tidak meminta akses kontak karena tidak diperlukan. Dengan begitu data yang dikumpulkan sesuai kebutuhan dan pengguna memahami alasannya.

Hak pengguna menurut UU PDP

Subjek data pribadi, yaitu orang yang datanya diproses, memiliki sejumlah hak dalam UU PDP. Secara ringkas, hak-hak itu mencakup:

• mendapat informasi tentang identitas pihak yang meminta data, dasar kepentingan hukumnya, tujuan penggunaan, dan akuntabilitasnya;
• melengkapi, memperbarui, atau memperbaiki data yang keliru;
• mengakses dan memperoleh salinan data pribadinya;
• mengakhiri pemrosesan, menghapus, atau memusnahkan data;
• menarik kembali persetujuan;
• mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis yang berdampak signifikan;
• menunda atau membatasi pemrosesan secara proporsional;
• menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data;
• memperoleh dan memindahkan data dalam format yang dapat dibaca sistem elektronik.

Pengembang sebaiknya menyediakan cara sederhana bagi pengguna untuk mengajukan hak tersebut, misalnya surel khusus atau formulir dalam aplikasi, dan menanggapinya dalam waktu wajar. Rincian batas waktu dan tata cara tergantung peraturan pelaksana, sehingga periksa teks resmi terbaru.

Kebocoran data dan kewajiban memberi tahu

UU PDP mewajibkan pengendali data memberi tahu secara tertulis paling lambat tiga kali dua puluh empat jam kepada subjek data dan lembaga yang berwenang bila terjadi kegagalan pelindungan data pribadi. Pemberitahuan minimal memuat data apa yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihan. Karena lembaga pengawas belum terbentuk, tanyakan kepada kementerian yang berwenang mengenai mekanisme pelaporan sementara. Siapkan rencana tanggap insiden sejak awal: siapa yang bertanggung jawab, bagaimana mengisolasi masalah, dan bagaimana memberi tahu pengguna.

Pelajari kasus sehari-hari yang berhubungan dengan ini pada spam penawaran dan data pribadi bocor.

Isi pokok syarat layanan

Syarat layanan yang adil dan jelas biasanya memuat:

1. Definisi dan ruang lingkup layanan.
2. Syarat pendaftaran dan akun. Usia minimal, kewajiban memberi data benar, dan tanggung jawab menjaga kata sandi.
3. Hak dan kewajiban pengguna. Larangan penyalahgunaan, konten melanggar hukum, dan pelanggaran hak orang lain.
4. Konten pengguna. Siapa pemilik konten yang diunggah dan lisensi apa yang diberikan kepada aplikasi.
5. Pembayaran, pengembalian dana, dan langganan. Harga, jadwal penagihan, cara berhenti berlangganan.
6. Penghentian akun. Kapan akun dapat ditangguhkan atau ditutup, dan bagaimana pengguna dapat keberatan.
7. Batasan tanggung jawab. Penjelasan jujur tentang apa yang tidak dijamin, tanpa meniadakan tanggung jawab yang melekat menurut hukum.
8. Hak kekayaan intelektual. Hak atas aplikasi, merek, dan konten.
9. Perubahan syarat. Cara pemberitahuan dan hak pengguna untuk menolak.
10. Hukum yang berlaku dan penyelesaian sengketa. Musyawarah, mediasi, atau pengadilan yang berwenang.
11. Kontak dan pengaduan.

Perlu dicermati bahwa Undang-Undang Perlindungan Konsumen melarang pelaku usaha mencantumkan klausula baku yang, misalnya, mengalihkan tanggung jawab pelaku usaha secara tidak patut. Klausula yang melanggar larangan itu dinyatakan batal demi hukum. Jadi, menulis "kami tidak bertanggung jawab atas apa pun" belum tentu sah. Bacaan lanjutan: kontrak aplikasi dan hak data pengguna dan transaksi elektronik sah, tanda tangan digital, dan tersertifikasi.

Persetujuan: kotak centang dan tombol "Setuju"

Banyak aplikasi meminta pengguna mencentang kotak "Saya setuju" untuk dua dokumen sekaligus. Hal ini praktis, tetapi persetujuan atas pemrosesan data pribadi sebaiknya dibuat terpisah dan jelas dari persetujuan syarat layanan, terutama untuk penggunaan data di luar kebutuhan layanan, misalnya pemasaran. Prinsipnya:

• persetujuan harus eksplisit, bukan kotak yang sudah tercentang sebelumnya;
• pengguna harus bisa menolak penggunaan data yang tidak diperlukan tanpa kehilangan layanan inti;
• pengguna harus bisa menarik persetujuan dengan mudah;
• catat waktu dan versi dokumen yang disetujui pengguna.

Pencatatan persetujuan berguna sebagai bukti bila terjadi sengketa. Penyimpanan dan pembuktian elektronik dibahas pada alat bukti perdata dan bukti elektronik.

Layanan pihak ketiga dan pembaruan dokumen

Aplikasi kecil hampir selalu memakai layanan pihak ketiga: penyedia pembayaran, penyimpanan awan, analitik, pengiriman surel, atau iklan. Setiap pihak ketiga yang menerima data pengguna perlu tercatat dalam kebijakan privasi, setidaknya berdasarkan jenisnya. Bila pihak ketiga bertindak sebagai prosesor data, buat perjanjian tertulis yang mewajibkannya menjaga keamanan data dan hanya memproses sesuai instruksi Anda. Periksa juga apakah pihak ketiga memakai data untuk kepentingannya sendiri, karena hal itu mengubah peran dan tanggung jawab.

Dokumen juga perlu diperbarui ketika fitur berubah, ada pihak ketiga baru, atau peraturan berubah. Simpan arsip versi lama dengan tanggal berlaku, agar Anda dapat menunjukkan versi mana yang disetujui pengguna pada waktu tertentu. Beri tahu pengguna sebelum perubahan penting berlaku dan, bila perubahan menyangkut penggunaan data baru, minta persetujuan baru.

Aplikasi yang melibatkan anak

Bila aplikasi dapat dipakai oleh anak, perlakuan khusus diperlukan. UU PDP menyatakan pemrosesan data anak diselenggarakan secara khusus dan wajib mendapat persetujuan orang tua atau wali. PP Tunas mengatur lebih lanjut pelindungan anak pada sistem elektronik. Tuliskan batas usia dan cara memverifikasi persetujuan orang tua, dan hindari mengumpulkan data anak yang tidak diperlukan. Persoalan terkait dibahas pada anak top-up game tanpa izin orang tua dan sharenting: foto anak di media sosial.

Kesalahan yang sering terjadi

• Mengumpulkan data jauh melebihi kebutuhan.
• Menyalin kebijakan dari aplikasi lain.
• Menulis tujuan yang terlalu umum.
• Tidak menyebut pihak ketiga yang menerima data.
• Memakai bahasa hukum yang sulit dipahami pengguna.
• Mencantumkan klausul yang meniadakan semua tanggung jawab.
• Tidak mencatat persetujuan pengguna.
• Tidak memperbarui dokumen saat fitur berubah.
• Tidak menyiapkan prosedur bila terjadi kebocoran data.

Pertanyaan yang sering diajukan

Apakah aplikasi kecil wajib punya kebijakan privasi? Bila aplikasi memproses data pribadi, UU PDP menuntut transparansi dan dasar pemrosesan. Di samping itu, toko aplikasi umumnya mensyaratkan tautan kebijakan privasi. Karena itu, kebijakan privasi sebaiknya selalu ada, terlepas dari ukuran aplikasi.

Apakah cukup dengan menyalin template dari internet? Template boleh dijadikan titik awal, tetapi harus disesuaikan dengan data, fitur, dan pihak ketiga yang sebenarnya Anda pakai. Template yang tidak sesuai bisa menyesatkan dan menimbulkan risiko hukum.

Apa yang harus dilakukan bila terjadi kebocoran data? Segera tangani dan isolasi masalahnya, kumpulkan fakta, lalu beri tahu pengguna dan pihak berwenang secara tertulis paling lambat tiga kali dua puluh empat jam sesuai UU PDP. Mintalah nasihat hukum dan teknis.

Ringkasan

Kebijakan privasi menjelaskan bagaimana data pribadi diproses, sedangkan syarat layanan mengatur hubungan kontraktual dengan pengguna. UU PDP menuntut dasar pemrosesan yang sah, menjamin hak pengguna, dan mewajibkan pemberitahuan kebocoran data dalam tiga kali dua puluh empat jam. Syarat layanan tidak boleh memuat klausula baku yang berat sebelah. Petakan data lebih dulu, tulis dokumen sesuai praktik sebenarnya, minta persetujuan yang jelas, perlakukan data anak secara khusus, dan perbarui dokumen secara berkala. Periksa peraturan pelaksana terbaru.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, antara lain Pasal 5 sampai 14 (hak subjek data), Pasal 20, Pasal 25, dan Pasal 46.
• UU No. 8 Tahun 1999 tentang Perlindungan Konsumen, ketentuan klausula baku.
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah terakhir dengan UU No. 1 Tahun 2024.
• PP No. 17 Tahun 2025 tentang Tata Kelola Penyelenggaraan Sistem Elektronik dalam Pelindungan Anak.

Baca juga

• Kontrak Aplikasi dan Hak Data Pengguna: Apa yang Sebenarnya Anda Setujui Saat Menekan "Setuju"
• Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.