Toko Online Wajib Lindungi Data Pembeli: Kewajiban Penjual Daring
Isi artikel
Apa itu kewajiban melindungi data pembeli dan siapa yang terkena
Penjual yang berjualan lewat marketplace, media sosial, situs sendiri, atau aplikasi pesan menerima data pembeli. Menurut UU PDP, penjual yang menentukan tujuan dan cara pemrosesan data itu berperan sebagai pengendali data pribadi. Artinya, penjual harus memastikan pemrosesan sah, data aman, dan hak pembeli dihormati. Pembeli yang datanya diproses disebut subjek data pribadi.
Di samping UU PDP, kegiatan berdagang melalui sistem elektronik diatur Peraturan Pemerintah Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik (PP PMSE), yang memuat kewajiban pelaku usaha, termasuk soal data pribadi konsumen. Kewajiban itu bertambah dengan kewajiban umum pelindungan konsumen. Pembahasan kewajiban PMSE lebih lengkap ada di kewajiban pelaku usaha PMSE.
Pengecualian tipis ada untuk pemrosesan pribadi atau rumah tangga. Orang yang menjual barang secara rutin tidak termasuk, walaupun skalanya kecil.
Aturan yang berlaku dalam bahasa sehari-hari
Kewajiban pokok penjual daring terhadap data pembeli:
- Kumpulkan seperlunya. Untuk mengirim barang, penjual perlu nama, alamat, dan kontak. Penjual tidak perlu foto KTP, tanggal lahir, atau nama ibu kandung.
- Pakai sesuai tujuan. Data pesanan dipakai untuk memproses pesanan, bukan untuk menawarkan barang lain ke semua kontak tanpa dasar yang sah.
- Jaga keamanan. Lindungi ponsel, akun, dan berkas pesanan. Jangan membiarkan data tersebar di grup percakapan yang anggotanya banyak.
- Beri tahu. Pembeli berhak tahu data apa dikumpulkan dan untuk apa. Kebijakan privasi singkat di profil toko membantu.
- Hormati hak pembeli. Pembeli dapat meminta akses, koreksi, penghapusan, dan menarik persetujuan pemasaran.
- Hapus bila tidak diperlukan. Setelah masa retensi, termasuk kewajiban simpan catatan transaksi menurut aturan lain, hapus atau anonimkan.
- Beri tahu kebocoran. Bila data bocor, pemberitahuan tertulis dalam 3 x 24 jam kepada pembeli dan lembaga yang berwenang.
Dasar kewajiban umum ada di kewajiban pengendali data pribadi.
Data apa saja yang biasanya dikumpulkan toko online
| Data | Perlu? | Catatan |
|---|---|---|
| Nama dan alamat pengiriman | Ya, untuk pesanan | Tampilkan hanya pada bagian pengiriman |
| Nomor telepon | Ya, untuk kurir | Jangan dibagikan ke pihak lain tanpa dasar |
| Alamat surel | Kadang | Untuk bukti pesanan |
| Foto KTP | Umumnya tidak | Hindari kecuali ada kewajiban hukum |
| Data kartu pembayaran | Jangan simpan | Serahkan kepada penyedia pembayaran |
| Riwayat belanja | Boleh dengan tujuan jelas | Jaga akses |
| Tanggal lahir | Jarang perlu | Hanya untuk promosi ulang tahun dengan persetujuan |
Perubahan aturan yang perlu Anda ketahui
Sebelum UU PDP, pelindungan data konsumen bergantung pada PP PMSE, Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, dan aturan menteri. Sejak masa penyesuaian UU PDP berakhir Oktober 2024, penjual sebagai pengendali menghadapi kewajiban yang lebih rinci, termasuk pemberitahuan kebocoran dan sanksi. Peraturan perdagangan daring juga diperbarui; aturan menteri perdagangan tentang perizinan, periklanan, pembinaan, dan pengawasan pelaku usaha PMSE juga berganti (Peraturan Menteri Perdagangan Nomor 31 Tahun 2023 telah dicabut oleh Peraturan Menteri Perdagangan Nomor 19 Tahun 2026). Periksa teks resmi terbaru untuk memastikan kewajiban yang berlaku bagi skala usaha Anda. Status lembaga pengawas UU PDP perlu dicek pada pengumuman resmi.
Langkah praktis bagi penjual
- Inventarisasi data. Catat di mana data pembeli tersimpan: aplikasi pesan, lembar kerja, marketplace, buku catatan.
- Hentikan kebiasaan berisiko. Jangan mengunggah tangkapan layar pesanan beralamat lengkap di story atau grup. Tutup nama dan alamat sebelum memamerkan testimoni.
- Amankan akun. Aktifkan autentikasi dua langkah di akun toko, marketplace, dan surel. Kata sandi berbeda untuk setiap akun.
- Batasi akses karyawan. Beri akses sesuai tugas dan cabut saat karyawan keluar.
- Tulis kebijakan privasi singkat. Jelaskan data apa dikumpulkan, untuk apa, berapa lama, dan cara menghubungi Anda.
- Kelola pemasaran. Bila ingin mengirim promosi, minta persetujuan dan sediakan cara berhenti.
- Tangani permintaan pembeli. Jawab permintaan akses, koreksi, atau penghapusan secara tertulis.
- Siapkan rencana kebocoran. Siapa yang dihubungi, apa yang dicatat, dan bagaimana memberi tahu pembeli.
Hak pembeli bila data disalahgunakan
Pembeli yang datanya disalahgunakan, misalnya dikirimi pesan penipuan yang menyebut detail pesanan, dapat meminta penjelasan kepada toko dan platform, meminta penghentian pemrosesan, dan meminta penghapusan. Bila kerugian nyata, pembeli dapat menuntut ganti rugi. Pembeli juga dapat mengadu ke platform marketplace dan lembaga perlindungan konsumen. Untuk perkara berat, laporan pidana dapat dibuat. Lihat spam penawaran dan data pribadi bocor dan hak pembeli di marketplace.
Kesalahan umum
| Kesalahan | Akibat | Cara yang lebih baik |
|---|---|---|
| Memamerkan resi dan alamat pembeli | Data terbuka | Tutup data pribadi pada tangkapan layar |
| Meminta KTP untuk pembelian biasa | Pengumpulan berlebih | Kumpulkan seperlunya |
| Menyimpan data kartu pembayaran | Risiko pencurian | Gunakan penyedia pembayaran resmi |
| Menambahkan pembeli ke grup promosi tanpa izin | Pelanggaran persetujuan | Minta izin dan beri opsi keluar |
| Membagikan database pembeli ke teman penjual | Pelanggaran tujuan | Dilarang tanpa dasar sah |
Contoh: Seorang penjual kue membuat grup percakapan dan menambahkan seluruh pembeli tanpa bertanya. Salah satu pembeli, yang tinggal sendirian, merasa tidak nyaman karena nomor teleponnya terlihat oleh anggota grup. Ia meminta dikeluarkan dan nomornya dihapus dari daftar. Penjual kemudian menghapusnya, membuat daftar siaran dengan persetujuan, serta tidak lagi menampilkan nomor pembeli kepada anggota lain.
Jangan menjual atau menukar daftar pembeli untuk keuntungan. Menjual data pribadi dapat dikenai pidana menurut UU PDP, belum lagi risiko gugatan. Lihat sanksi administratif dan pidana UU PDP.
Buat template pesan pesanan yang tidak menampilkan data lengkap pembeli saat dibagikan ke kurir internal. Cukup nama panggilan, kota, dan nomor pesanan di area umum; alamat lengkap hanya pada label pengiriman.
Berjualan lewat aplikasi pesan dan media sosial
Banyak penjual kecil tidak memakai situs, melainkan aplikasi pesan dan media sosial. Data pembeli tersimpan di riwayat percakapan, galeri foto bukti transfer, dan buku kontak. Risikonya khas: ponsel hilang, akun dibajak, atau karyawan membawa pergi kontak. Beberapa kebiasaan yang membantu: pakai ponsel khusus usaha, aktifkan kunci layar dan autentikasi dua langkah, pisahkan kontak pelanggan dari kontak pribadi, dan hapus bukti transfer dari galeri setelah dicatat. Bila akun dibajak, ikuti panduan di akun dibajak dan beri tahu pembeli supaya tidak tertipu pesan palsu atas nama toko Anda.
Bila memakai jasa pihak ketiga
Toko biasanya bekerja sama dengan kurir, penyedia pembayaran, agensi iklan, dan penyedia perangkat lunak toko. Tiap pihak menerima sebagian data pembeli. Beri hanya data yang diperlukan untuk tugasnya. Misalnya, kurir perlu alamat dan nomor telepon penerima, tetapi tidak perlu riwayat belanja. Agensi iklan tidak perlu daftar nama pembeli lengkap tanpa persetujuan. Untuk vendor yang menyimpan data atas nama Anda, buat perjanjian tertulis tentang keamanan dan kebocoran, sebagaimana dijelaskan di pengendali dan prosesor data pribadi.
Mengelola ulasan dan foto pembeli
Penjual sering memajang tangkapan layar ulasan atau foto pembeli sebagai bukti sosial. Foto wajah dan nama pembeli adalah data pribadi. Minta izin sebelum memakainya untuk promosi, samarkan nama bila perlu, dan hapus bila pembeli keberatan. Ulasan yang dibuat pembeli di platform tunduk pada aturan platform, tetapi menyalin dan menyebarluaskannya ke kanal lain adalah pemrosesan baru oleh penjual.
Pengamanan dasar yang realistis untuk penjual kecil
Pengamanan yang baik tidak harus mahal. Penjual dapat memulai dari lima kebiasaan: gunakan kata sandi berbeda untuk setiap akun dan pengelola kata sandi; aktifkan autentikasi dua langkah; pasang pembaruan keamanan pada ponsel dan komputer; cadangkan data usaha secara berkala ke tempat aman; dan jangan membuka tautan atau lampiran dari pengirim tidak dikenal. Untuk berkas pesanan, gunakan lembar kerja dengan hak akses terbatas dan hindari mengirim berkas lewat aplikasi pesan ke banyak orang. Bila memakai komputer bersama di gudang, buat akun terpisah untuk tiap staf. Kebiasaan sederhana ini mengurangi sebagian besar risiko kebocoran yang dialami usaha kecil dan menunjukkan bahwa Anda berupaya wajar mengamankan data.
Pertanyaan yang sering diajukan
Apakah penjual di marketplace tetap bertanggung jawab atas data pembeli? Ya, untuk data yang ia terima dan proses sendiri. Marketplace punya tanggung jawab tersendiri sebagai penyelenggara platform.
Bolehkah saya menyimpan alamat pembeli untuk pesanan berikutnya? Boleh bila ada dasar yang sah dan tujuan jelas, misalnya persetujuan pembeli untuk menyimpan alamat. Beri pilihan menghapusnya.
Bagaimana jika pembeli meminta datanya dihapus tetapi saya masih punya kewajiban simpan nota? Hapus yang tidak wajib disimpan, dan simpan hanya catatan yang diwajibkan aturan lain selama waktu yang ditentukan. Jelaskan alasannya kepada pembeli.
Apakah toko di media sosial wajib mendaftar sebagai PSE? Kewajiban pendaftaran penyelenggara sistem elektronik bergantung pada peran dan jenis layanan. Lihat penyelenggara sistem elektronik wajib daftar.
Ringkasan
- Penjual online yang menerima data pembeli umumnya berperan sebagai pengendali data pribadi.
- Kumpulkan seperlunya, pakai sesuai tujuan, amankan, dan hapus bila tidak diperlukan.
- Beri tahu pembeli dan hormati hak akses, koreksi, penghapusan, serta penarikan persetujuan.
- Kebocoran harus diberitahukan dalam 3 x 24 jam; menjual data dapat dipidana.
- Aturan pelaksana dan lembaga pengawas masih berkembang; periksa teks resmi terbaru.
Artikel ini informasi umum untuk edukasi, bukan nasihat hukum untuk perkara tertentu. Setiap kasus punya fakta dan dokumen yang berbeda, sehingga sebaiknya dikonsultasikan dengan advokat.
- Peraturan BPK: pusat data peraturan perundang-undangan — peraturan.bpk.go.id/
- JDIH Kementerian Komunikasi dan Digital — jdih.komdigi.go.id/
Informasi per Oktober 2026. Peraturan dapat berubah; cek teks resmi di peraturan.go.id atau situs instansi terkait.
Dasar hukum
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
- PP No. 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik
- PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
- UU No. 8 Tahun 1999 tentang Perlindungan Konsumen
Baca juga
- Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
- Kewajiban Pengendali Data Pribadi menurut UU PDP: Panduan bagi Pelaku Usaha
- Hak Pembeli di Marketplace: Retur, Barang Tidak Sesuai, dan Sengketa Belanja Online
- Berjualan Online Wajib Berizin? Kewajiban Pelaku Usaha PMSE dan Dokumen yang Disiapkan
- Spam Penawaran dan Data Pribadi Bocor: Dari Mana Nomor Anda Didapat dan Apa yang Bisa Dilakukan
Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.