Cyberthreat.id – Kebijakan Privasi terbaru Tokopedia, bisa dianggap batal berdasarkan Undang-undang Perlindungan Konsumen.

Ketua Komunitas Konsumen Indonesia, David Tobing, mengatakan berdasarkan Undang-undang Perlindungan Konsumen No. 8 tahun 1999 pasal 18, kebijakan privasi baru Tokopedia seharusnya tidak berlaku bagi pengguna lama.

“Kebijakan privasi elektronik, itu menjadi masalah ketika dibuat baru dan diberlakukan untuk pelanggan yang lama. Berdasarkan UU konsumen pasal 18 tentang larangan pencantuman klausa baru dinyatakan batal demi hukum,” kata David kepada Cyberthreat.id, Kamis (25 Februari 2021).

Menurut David, jika melihat pada pasal tersebut, pelaku usaha (dalam hal ini marketplace) dilarang membuat klausa baku baru dan memaksa konsumen atau pengguna lama tunduk pada aturan barunya. Namun, kebijakan privasi baru itu hanya bisa dikenakan pada pengguna baru (yang baru menginstal apikasi Tokopedia pada saat kebijakan privasi itu diberlakukan).

“Ini tidak bisa diberlakukan pada pengguna lama, hanya bisa dikenakan pada pengguna baru. Jadi bisa dikatakan kebijakan itu batal secara hukum untuk pengguna lama Tokopedia,” kata David yang menggugat Tokopedia karena kebocoran data penggunanya.

Pasal 18 ayat 1 berbunyi, "pelaku usaha dalam menawarkan barang dan/atau jasa yang ditujukan untuk diperdagangkan dilarang membuat atau mencantumkan klausula baku pada setiap dokumen dan/atau perjanjian."

Pada pasal 18 ayat 3 disebutkan,"setiap klausula baku yang telah ditetapkan oleh pelaku usaha pada dokumen atau perjanjian yang memenuhi ketentuan sebagaimana dimaksud pada ayat (1) dan ayat (2) dinyatakan batal demi hukum."

“Jika melihat pasal 18 tersebut dapat disimpulkan kebijakan privasi tersebut batal,” tegas David.

Sementara itu, dari sisi PP No. 80 tahun 2019 dalam pasal 59 tentang perdagangan sistem elektronik, mewajibkan setiap penyelenggara sistem elektronik, agar data pribadi dimiliki hanya untuk satu tujuan atau lebih yang dideskripsikan secara spesifik dan sah serta tidak boleh diproses lebih lanjut dengan cara yang tidak sesuai dengan tujuan tersebut. Selain itu, data pribadi harus diproses sesuai dengan tujuan perolehan dan peruntukannya serta tidak boleh dikuasai lebih lama dari waktu yang diperlukan.

Dalam proses pengelolaannya sendiri, data pribadi harus diproses sesuai dengan hak subyek pemilik data sebagaimana diatur dalam peraturan perundang-undangan, dan data pribadi tidak boleh dikirim ke negara atau wilayah lain di luar Indonesia kecuali jika negara atau wilayah tersebut oleh Menteri dinyatakan memiliki standar dan tingkat perlindungan yang sama dengan Indonesia.

“Jika melihat pada bab XI pada PP NO 80 tahun 2019, tentang perlindungan data, tentu pengelolaan kebijakan privasi harus menjunjung peraturan.”

David menambahkan, setiap pengumpulan dan pemrosesan data untuk tujuan apapun, harus melalui persetujuan dari pemilik data. Jika Tokopedia mengubah sepihak dan tidak memberikan pilihan kepada pengguna, artinya tidak ada persetujuan dari pelanggan lama, maka dianggap melanggar hukum.

“Harus ada satu mekanisme dimana pelanggan itu setuju atau tidak pada ketentuan baru, dengan tidak memaksa,” kata David.

David menegaskan, kebijakan privasi baru yang diterapkan Tokopedia dianggap tidak sah, karena sama seperti mengubah aturan yang sebelumnya dan memaksa pengguna lama untuk menuruti kebijakan tersebut.

Pengguna lama yang tidak menerima ini bisa melakukan penuntutan pidana terhadap pelaku usaha dan/atau pengurusnya dengan pidana penjara paling lama 5 (lima) tahun atau pidana denda paling banyak Rp 2.000.000.000,00 (dua miliar rupiah).

“Di sinilah peran dari kominfo dan kementerian perdagangan karena terkait dengan penyelenggaraan sistem elektronik untuk perdagangan elektronik harus bertindak tegas untuk melindungi konsumen,” kata David.

Seperti diketahui, Tokopedia baru-baru ini memperbaharui kebijakan privasinya. Salah satu poinnya adalah Tokopedia dapat membagikan dan menjual data penggunanya kepada pihak ketiga.

Meskipun dibalut dengan kalimat "Tokopedia menjamin tidak ada pengungkapan, penjualan, pengalihan, distribusi dan/atau peminjaman data pribadi penguna kepada pihak ketiga lain, tanpa persetujuan dari pengguna", namun Tokopedia membuat pengecualian dalam 9 hal yaitu:

a] Dibutuhkan adanya pengungkapan data pribadi pengguna kepada mitra atau pihak ketiga lainnya yang membantu Tokopedia dalam menyajikan layanan di situsnya termasuk memproses transaksi, verifikasi pembayaran, promosi, dan pengiriman produk.

b] Tokopedia dapat menyediakan data pribadi pengguna kepada mitra usaha termasuk aplikasi atau situs lain yang terkoneksi lewat API.

c] Tokopedia dapat menyediakan data pribadi pengguna kepada vendor, konsultan, mitra pemasaran, firma/lembaga riset, atau penyedia layanan sejenis untuk kegiatan pemasaran oleh pihak ketiga maupun untuk kepentingan pemasaran Tokopedia.

d] Tokopedia dapat membagikan data pribadi pengguna kepada anak perusahaan dan afiliasinya untuk membantu memberikan layanan atau melakukan pengolahan data utuk dan atas nama Tokopedia.

e] Tokopedia dapat mengungkapkan dan/atau memberikan data pribadi pengguna kepada pihak-pihak yang berkepentingan untuk tujuan analisis kelayakan kredit Pengguna.

f] Tokopedia mengungkapkan data pribadi pengguna dalam upaya mematuhi kewajiban hukum dan/atau adanya permintaan dari aparat penegak hukum atau instansi penyelenggara negara yang berwenang.

g] Tokopedia dapat membagikan data pribadi pengguna kepada anak perusahaan dan afiliasinya untuk membantu memberikan layanan atau melakukan pengolahan data untuk dan atas nama Tokopedia.

h] Tokopedia dapat mengungkapkan dan/atau memberikan data pribadi pengguna kepada pihak-pihak yang berkepentingan dalam rangka pelaksanaan analisis kelayakan kredit pengguna.

i] Tokopedia mengungkapkan data pribadi pengguna dalam upaya mematuhi kewajiban hukum dan/atau adanya permintaan yang sah dari aparat penegak hukum atau instansi penyelenggara negara yang berwenang.

Saat dikonfirmasi oleh Cyberthreat.id, External Communication Senior Lead Tokopedia, Ekhel Chandra Wijaya mengakui bahwa dalam kebijakan privasinya mencantumkan “pengungkapan data pengguna kepada mitra bisnisnya.”

Ada tiga alasan Tokopedia melakukan hal tersebut, (1) memberikan layanan di situs web/aplkasi Tokopedia, (2) riset/pengembangan situs web/aplikasi, dan (30 menyajikan konten yang sesuai dengan kebutuhan pengguna.

“Hal ini sejalan dengan salah satu DNA Tokopedia, yaitu focus on consumer,” tutur External Communication Senior Lead Tokopedia, Ekhel Chandra Wijaya dalam pernyataan tertulisnya kepada Cyberthreat.id, Senin (22 Februari 2021).

Namun, Ekhel tak menjawab pertanyaan Cyberthreat.id tentang klausul penjualan data pengguna. (Lihat: Ditanya soal Kebijakan Penjualan Data Pengguna, Tokopedia Bungkam)

Padahal, di kebijakan privasi terbarunya tersebut, Tokopedia mencantumkan kata “penjualan” di Pasal C tentang “Pengungkapan Data Pribadi Pengguna”.[]

Editor: Yuswardi A. Suud