Cyberthreat.id – Tokopedia, situs web belanja daring, pekan lalu mengumumkan perubahan kebijakan privasinya. Salah satu poinnya ialah penegasan penjualan data pribadi pengguna ke mitra bisnisnya.

Menanggapi hal tersebut, Dosen Hukum Telematika FHUI Henny Marlyna berpendapat bahwa Tokopedia atau penyelenggara sistem elektronik (PSE) yang memproses data pengguna harus meminta persetujuan pemilik data jika ingin menjual data pribadi pengguna ke pihak ketiga.

Dalam regulasi yang berlaku saat ini (UU ITE, PP Nomor 71/2019, dan Permenkominfo Nomor 20/2016 ), kata dia, memang tidak ada larangan penjualan data pribadi pengguna oleh PSE.

---

Baca:

• Pakar Hukum Telematika: Tokopedia Tak Bisa Jual Data Pengguna Tanpa Izin Pemilik Data
• 11 Kasus Pelanggaran Data Pengguna Sepanjang 2020
• RUU PDP Perlu Atur Persetujuan Pemilik Data Terkait Merger Perusahaan

---

Namun, jika Tokopedia atau PSE lain mejual data tersebut tidak meminta izin kepada pemilik data, perusahaan dapat dikenai sanksi sesuai ketentuan Pasal 100 ayat 1 PP 71/2019 dan Pasal 36 Permenkominfo 20/2016, kata Henny saat dihubungi Cyberthreat.id, Sabtu (20 Februari 2021).

Berdasarkan PP 71, sanksi yang didapat PSE jika melanggar yaitu bisa berupa teguran tertulis, denda administratif, penghentian sementara, pemutusan akses, dan/atau dikeluarkan dari daftar PSE.

Sementara, sesuai dengan Permenkominfo 20, sanksi tersebut bisa berupa peringatan lisan dan/atau tertulis, penghentian sementara kegiatan; dan/atau pengumuman di situs web dalam jaringan.

Menurut Henny, bagi konsumen yang dilanggar haknya juga dapat mengajukan gugatan perdata atas kerugian yang ditimbulkan sesuai Pasal 26 ayat 2 UU ITE atau kegagalan PSE dalam perlindungan rahasia data pribadi sesuai dengan Pasal 32 Permenkominfo 20.

Penggabungan data

Sementara itu, terkait menggabungkan data yang dimiliki Tokopedia dengan data yang diperoleh dari sumber lain, menurut Henny, hal itu masih diperbolehkan sepanjang diperoleh dengan cara yang sah.

Hal itu tertuang pada Pasal 10 ayat 2 Permenkominfo 20 yang menyebutkan “data pribadi yang diperoleh dan dikumpulkan secara tidak langsung harus diverifikasi berdasarkan hasil olahan berbagai sumber data.”

Selanjutnya, pada ayat 3 disebutkan bahwa sumbe data dalam perolehan dan pengumpulan data pribadi di maksud pada ayat 2 itu harus memiliki dasar hukum yang sah.

Jika data yang diperoleh dari sumber lain itu memang dari sumber terbuka, kata Henny, Tokopedia tidak memerlukan persetujuan sesuai Pasal 13.

Pada 15 Februari 2021, Tokopedia mengumumkan pembaruan kebijakan privasinya. Salah satu poin ialah penegasan dapat menggabungkan data yang diperoleh dari sumber lain dengan data yang dimilikinya. (Baca: Tokopedia Ubah Kebijakan Privasi, Tegaskan Bisa Gabungkan hingga Jual Data Konsumen untuk Mitra).

Tokopedia juga memuat aturan dapat menjual data pengguna untuk pihak ketiga tanpa persetujuan pengguna dalam sembilan hal, di antaranya:

1. Dibutuhkan adanya pengungkapan data pribadi pengguna kepada mitra atau pihak ketiga lainnya yang membantu Tokopedia dalam menyajikan layanan di situsnya termasuk memproses transaksi, verifikasi pembayaran, promosi, dan pengiriman produk.
2. Tokopedia dapat menyediakan data pribadi pengguna kepada mitra usaha termasuk aplikasi atau situs lain yang terkoneksi lewat API.
3. Tokopedia dapat menyediakan data pribadi pengguna kepada vendor, konsultan, mitra pemasaran, firma/lembaga riset, atau penyedia layanan sejenis untuk kegiatan pemasaran oleh pihak ketiga maupun untuk kepentingan pemasaran Tokopedia.
4. Tokopedia dapat membagikan data pribadi pengguna kepada anak perusahaan dan afiliasinya untuk membantu memberikan layanan atau melakukan pengolahan data utuk dan atas nama Tokopedia.
5. Tokopedia dapat mengungkapkan dan/atau memberikan data pribadi pengguna kepada pihak-pihak yang berkepentingan untuk tujuan analisis kelayakan kredit Pengguna.
6. Tokopedia mengungkapkan data pribadi pengguna dalam upaya mematuhi kewajiban hukum dan/atau adanya permintaan dari aparat penegak hukum atau instansi penyelenggara negara yang berwenang.
7. Tokopedia dapat membagikan data pribadi pengguna kepada anak perusahaan dan afiliasinya untuk membantu memberikan layanan atau melakukan pengolahan data untuk dan atas nama Tokopedia.
8. Tokopedia dapat mengungkapkan dan/atau memberikan data pribadi pengguna kepada pihak-pihak yang berkepentingan dalam rangka pelaksanaan analisis kelayakan kredit pengguna.
9. Tokopedia mengungkapkan data pribadi pengguna dalam upaya mematuhi kewajiban hukum dan/atau adanya permintaan yang sah dari aparat penegak hukum atau instansi penyelenggara negara yang berwenang.[]

Redaktur: Andi Nugroho