Cara membuat kebijakan privasi website dan aplikasi

Mulai dari cara layanan menggunakan data

Periksa formulir, akun, pembayaran, layanan pelanggan, analitik, iklan, serta alat dari pihak lain. Catat data yang diterima setiap alat dan untuk apa. Jangan menyalin kebijakan situs lain karena penerima data, tujuan, dan masa simpannya bisa berbeda.

UU PDP mengatur hak atas informasi dan pemrosesan yang transparan (Pasal 5, 16, dan 27). Untuk pemrosesan berdasarkan persetujuan, Pasal 21 merinci informasi yang harus disampaikan. Sebutan “kebijakan privasi” adalah cara umum menyajikan penjelasan; menerbitkan satu halaman tidak otomatis memenuhi semua kewajiban.

Informasi apa yang perlu dijelaskan?

Gunakan susunan berikut sebagai kerangka kerja, lalu sesuaikan dengan kegiatan bisnis:

1. Siapa yang mengelola data. Sebutkan identitas pengendali dan kontak yang benar-benar bisa digunakan.
2. Data dan sumbernya. Jelaskan data yang diisi pengguna, diterima otomatis, atau diperoleh dari pihak lain.
3. Tujuan dan dasar pemrosesan. Pisahkan tujuan seperti menyelesaikan pesanan, menjaga keamanan akun, dan mengirim promosi.
4. Pihak yang menerima atau mengakses. Jelaskan fungsi penyedia pembayaran, pengiriman, hosting, atau pihak lain yang relevan. Periksa juga transfer ke luar Indonesia.
5. Masa simpan. Berikan periode atau kriteria yang dapat dijelaskan; cocokkan dengan tujuan dan kewajiban penyimpanan.
6. Hak pengguna dan cara mengajukannya. Jelaskan saluran permintaan serta syarat dan pengecualian yang berlaku.
7. Perubahan pemberitahuan. Cantumkan tanggal pembaruan dan cara memberi tahu perubahan yang relevan.

Khusus ketika memakai persetujuan, cocokkan lagi dengan daftar Pasal 21: legalitas, tujuan, jenis dan relevansi data, retensi dokumen, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, dan hak subjek data. Jangan menganggap kerangka di atas menggantikan pemeriksaan pasal tersebut.

Menjelaskan penggunaan data bukan meminta persetujuan

Membaca kebijakan privasi tidak dengan sendirinya berarti memberi persetujuan untuk semua penggunaan data. Jika dasar yang dipilih adalah persetujuan, Pasal 22 mengatur bentuk tertulis atau terekam, pemisahan yang jelas dari hal lain, serta bahasa yang mudah dipahami. Pasal 24 mewajibkan bukti persetujuan.

Tidak semua pemrosesan harus memakai persetujuan. Pasal 20 menyediakan dasar lain, misalnya kebutuhan kontrak. Tentukan dasar per tujuan sebelum mendesain formulir atau kotak centang.

Contoh kalimat yang lebih jelas

Contoh ilustrasi, bukan teks siap terbit: “Kami menggunakan nama, alamat, dan nomor telepon untuk memproses pesanan dan mengatur pengiriman. Penyedia pengiriman menerima data yang diperlukan untuk mengantar pesanan Anda.”

Kalimat itu menjelaskan kegiatan tertentu. Tetap lengkapi dengan identitas pengendali, dasar yang sesuai, penerima sebenarnya, masa simpan, hak, dan kontak. Hindari janji seperti “data selalu aman” atau “kami tidak membagikan data” jika layanan memakai vendor yang menerima data.

Periksa tampilan dan alur permintaan

Letakkan tautan dekat tempat pengumpulan data, misalnya formulir akun atau pemesanan, agar informasi mudah ditemukan. Ini saran penyajian. Uji di ponsel dan pastikan kontak permintaan berfungsi serta ada orang yang menanganinya.

Baca kembali bersama tim teknis dan operasional. Pernyataan seperti “data dihapus setelah akun ditutup” harus cocok dengan cadangan, sistem vendor, dan kewajiban retensi yang berlaku.

Untuk toko online, baca juga informasi produk dan ketentuan transaksi. Kebijakan privasi tidak menggantikan informasi untuk pembeli tersebut.

Setelah jalur permintaan ditulis di kebijakan privasi, siapkan alur penanganan hak data pribadi agar petugas dapat menjalankannya.

Untuk formulir dan pilihan pengguna, baca panduan persetujuan pemrosesan data. Jika website memakai alat pengukuran atau iklan, cocokkan penjelasan dengan pemeriksaan cookie, analytics dan pixel.