Analytics, Cookie, dan UU PDP: Yang Wajib Diperhatikan

Apakah website company profile atau toko online kecil juga terkena Undang-Undang Pelindungan Data Pribadi? Jawabannya ya, sejauh website itu memproses data yang bisa mengidentifikasi seseorang. Formulir kontak yang meminta nama dan nomor WhatsApp jelas termasuk. Alat analytics dan cookie bisa termasuk, tergantung data apa yang dikumpulkan dan bagaimana caranya.

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) diundangkan 17 Oktober 2022. Pasal 74 memberi masa penyesuaian paling lama dua tahun sejak diundangkan, jadi masa itu sudah lewat. Artikel ini membahas langkah praktis untuk pemilik website, bukan nasihat hukum. Untuk kasus yang rumit, misalnya data kesehatan atau data anak, konsultasikan dengan ahli hukum.

Kapan data analytics menjadi data pribadi?

Pasal 1 UU PDP mendefinisikan data pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, secara langsung maupun tidak langsung, sendiri atau dikombinasikan dengan informasi lain.

Kata kuncinya "dapat diidentifikasi" dan "dikombinasikan". Jumlah kunjungan per halaman yang sudah teragregasi bukan data pribadi. Tetapi ID pengunjung yang tersimpan di cookie, digabung dengan riwayat halaman dan lokasi, apalagi dengan email dari formulir, bisa mengarah ke orang tertentu. UU PDP tidak membuat aturan khusus berlabel "cookie"; ukurannya tetap apakah datanya bisa mengidentifikasi seseorang.

Langkah menyesuaikan website dengan UU PDP

Langkah 1: Petakan data yang dikumpulkan

Buat daftar sederhana: formulir apa saja yang ada dan isiannya, alat analytics yang terpasang, piksel iklan (Meta, Google Ads, TikTok), chat widget, dan plugin yang menyimpan data pengunjung. Banyak pemilik website terkejut menemukan tag lama yang masih aktif dari kampanye tahun lalu.

Langkah 2: Tentukan dasar pemrosesan

Pasal 20 mewajibkan pengendali data punya dasar pemrosesan. Persetujuan eksplisit yang sah untuk tujuan tertentu adalah salah satunya. Dasar lain antara lain pemenuhan perjanjian, kewajiban hukum, dan kepentingan yang sah. Formulir permintaan penawaran, misalnya, bisa berdasar pada permintaan calon pelanggan itu sendiri, sedangkan piksel iklan untuk remarketing lebih aman memakai persetujuan.

Bila memakai persetujuan, Pasal 22 menyebut persetujuan harus tertulis atau terekam, boleh secara elektronik. Persetujuan yang tidak memenuhi syarat dinyatakan batal demi hukum. Artinya kotak centang yang sudah tercentang dari awal atau "dengan melanjutkan Anda dianggap setuju" sulit dipertahankan sebagai persetujuan eksplisit.

Langkah 3: Pasang banner persetujuan yang benar-benar bekerja

Banner hanya berguna bila tag benar-benar menunggu jawaban pengunjung. Untuk tag Google, ada consent mode dengan jenis persetujuan seperti analytics_storage, ad_storage, ad_user_data, dan ad_personalization.

Menurut Google, ada dua cara penerapan. Pada mode basic, tag Google tidak dimuat sama sekali sampai pengunjung berinteraksi dengan banner, sehingga tidak ada data yang terkirim bila pengunjung menolak. Pada mode advanced, tag dimuat sejak awal dengan status default ditolak, lalu mengirim pengukuran tanpa cookie untuk pemodelan. Mode basic lebih sederhana dari sisi privasi, mode advanced memberi data pemodelan yang lebih rinci. Pilih dengan sadar, jangan hanya mengikuti pengaturan bawaan plugin.

Pastikan juga tombol "Tolak" sama mudahnya dengan "Setuju", dan pengunjung bisa mengubah pilihannya nanti.

Langkah 4: Tulis kebijakan privasi yang jujur

Pasal 21 menyebut informasi yang wajib disampaikan saat meminta persetujuan, antara lain tujuan pemrosesan, jenis dan relevansi data, masa retensi, dan hak subjek data. Jadikan itu kerangka kebijakan privasimu:

• Siapa pengelola website dan cara menghubunginya.
• Data apa yang dikumpulkan, lewat formulir, cookie, atau alat pihak ketiga.
• Untuk apa data dipakai, dan dasar pemrosesannya.
• Pihak ketiga yang menerima data (penyedia analytics, iklan, email).
• Berapa lama data disimpan.
• Cara meminta akses, koreksi, atau penghapusan data.

Hindari menyalin kebijakan privasi website lain. Isinya harus sesuai dengan tag dan formulir yang benar-benar kamu pakai.

Langkah 5: Atur masa simpan data

Pasal 42 dan 43 mengatur bahwa pemrosesan diakhiri dan data dihapus antara lain saat masa retensi berakhir, tujuan tercapai, atau subjek data memintanya. Di GA4, menurut dokumentasi Google per 4 November 2026, retensi data tingkat pengguna untuk properti standar bisa diatur 2 atau 14 bulan. Pengaturan ini memengaruhi laporan Explorations dan funnel, sedangkan laporan standar yang teragregasi tidak terpengaruh. Pilih yang sesuai kebutuhan, lalu tuliskan di kebijakan privasi.

Jangan lupa data di luar analytics: isian formulir di email, spreadsheet, dan CRM juga perlu jadwal pembersihan.

Langkah 6: Siapkan prosedur bila terjadi kebocoran

Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga bila terjadi kegagalan pelindungan data pribadi. Tentukan dari sekarang siapa yang memutuskan, siapa yang menulis pemberitahuan, dan di mana daftar kontak pelanggan disimpan. Tanda-tanda website diretas dan langkah awalnya ada di tanda website diretas.

Bagaimana dengan analytics tanpa cookie?

Alat seperti Plausible dan Umami dirancang tanpa cookie dan tanpa menyimpan data pribadi, sehingga beban kepatuhannya lebih ringan. Perbandingannya ada di alternatif Google Analytics. Tetap cantumkan alat itu di kebijakan privasi, karena transparansi tetap prinsip dasar.

Sanksi administratif dalam Pasal 57 bisa berupa denda hingga 2 persen dari pendapatan tahunan terkait pelanggaran. Angka itu cukup menjadi alasan untuk merapikan hal-hal dasar di atas, terutama bagi bisnis yang mengumpulkan data pelanggan dalam jumlah besar.

Ringkasan pasal yang paling relevan untuk pemilik website: