Kebijakan privasi website yang baik adalah dokumen yang menjelaskan secara jelas bagaimana sebuah situs mengumpulkan, memakai, dan melindungi data pribadi pengunjungnya, bukan sekadar teks hukum yang disalin dari situs lain. Dokumen ini menjadi bukti tertulis pertama yang dilihat pengunjung sebelum mereka memutuskan mempercayakan datanya.
Mahkamah Konstitusi baru saja menegaskan pentingnya keterbukaan ini lewat Putusan Nomor 284/PUU-XXIII/2025 pada 2 Maret 2026, yang menolak uji materi terhadap ketentuan persetujuan eksplisit dalam UU PDP. Putusan itu menegaskan bahwa pengendali data wajib menyampaikan informasi transparan sebelum data pribadi diproses, dan kebijakan privasi adalah wadah utama tempat informasi itu disampaikan.
Masalahnya, kebijakan privasi website yang baik sering disamakan dengan kebijakan privasi yang sekadar ada. Artikel ini membedah elemen wajib yang harus ada di dalamnya, ciri penulisan yang baik, dan cara menyusunnya dari awal.
7 Informasi Wajib dalam Kebijakan Privasi Website Menurut UU PDP
Pasal 21 ayat (1) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi merinci 7 informasi yang wajib disampaikan pengendali data saat pemrosesan data pribadi didasarkan pada persetujuan. Ketujuh informasi ini seharusnya menjadi kerangka dasar setiap kebijakan privasi website, bukan sekadar pelengkap.
1. Legalitas Pemrosesan Data Pribadi
Bagian ini menjelaskan dasar hukum pemrosesan data, apakah berdasarkan persetujuan pengguna, pemenuhan kontrak, atau kewajiban hukum lain. Tanpa penjelasan ini, pengunjung tidak tahu atas dasar apa datanya boleh diproses.
2. Tujuan Pemrosesan Data Pribadi
Bagian ini menjelaskan untuk apa data pribadi dikumpulkan, misalnya untuk memproses transaksi, mengirim newsletter, atau menganalisis perilaku pengguna. Tujuan yang disebutkan secara spesifik mencegah data dipakai di luar konteks yang sudah disetujui pengguna.
3. Jenis dan Relevansi Data Pribadi
Bagian ini mencantumkan jenis data yang dikumpulkan, seperti nama, email, nomor telepon, atau data lokasi, beserta alasan kenapa data tersebut relevan dikumpulkan. Mencantumkan data yang tidak relevan dengan layanan yang diberikan justru menimbulkan pertanyaan dari pengunjung yang teliti.
4. Jangka Waktu Retensi Dokumen
Bagian ini menyebutkan berapa lama data pribadi akan disimpan sebelum dihapus atau dimusnahkan. Poin ini paling sering hilang dari kebijakan privasi yang disalin dari template umum, padahal jelas diwajibkan Pasal 21.
5. Rincian Informasi yang Dikumpulkan
Bagian ini menjelaskan lebih detail bentuk konkret data yang dikumpulkan, termasuk data yang terkumpul secara otomatis lewat cookie atau log aktivitas. Rincian ini melengkapi poin jenis data dengan konteks bagaimana data tersebut sebenarnya terkumpul.
6. Jangka Waktu Pemrosesan Data Pribadi
Bagian ini menjelaskan sampai kapan data akan terus diproses secara aktif, yang bisa berbeda dari jangka waktu retensi penyimpanannya. Data bisa saja berhenti diproses lebih cepat meski belum waktunya dihapus dari sistem.
7. Hak Subjek Data Pribadi
Bagian ini mencantumkan hak pengunjung atas datanya sendiri, termasuk hak mengakses, mengoreksi, menghapus, dan menarik persetujuan yang sudah diberikan. Hak ini perlu disertai cara konkret untuk menggunakannya, bukan hanya disebutkan sebagai daftar istilah.
Ciri Kebijakan Privasi Website yang Ditulis dengan Baik
Kelengkapan hukum saja belum cukup, karena aturan turunan UU PDP menegaskan bahwa informasi kepada subjek data harus disampaikan secara ringkas dan tepat. Berikut 5 ciri yang membedakan kebijakan privasi yang benar-benar berguna dari yang hanya memenuhi syarat administratif.
- Ditulis dengan bahasa yang mudah dipahami orang awam, bukan hanya rangkaian istilah hukum yang kaku.
- Terstruktur dengan judul bagian yang jelas, bukan satu paragraf panjang tanpa jeda yang membuat pembaca menyerah di tengah jalan.
- Mencantumkan tanggal pembaruan terakhir, sehingga pengunjung tahu seberapa terkini informasi yang mereka baca.
- Mudah ditemukan dari halaman utama website, bukan disembunyikan di footer dengan ukuran huruf yang kecil.
- Diperbarui setiap kali ada perubahan nyata pada praktik pemrosesan data, bukan dibiarkan sama selama bertahun-tahun.
Sebagai gambaran, kebijakan privasi Pasal.id mencerminkan sebagian besar ciri di atas: ada daftar isi dengan tautan langsung ke tiap bagian, tanggal efektif dicantumkan jelas, dan jangka waktu retensi datanya spesifik.
Misalnya “data dihapus dalam 30 hari setelah akun ditutup” alih-alih kalimat umum seperti “data disimpan sesuai kebutuhan”. Detail seperti ini yang membedakan kebijakan privasi yang benar-benar bisa dijadikan pegangan dari yang hanya formalitas.
5 Langkah Menyusun Kebijakan Privasi Website
Menyusun kebijakan privasi website yang baik mengikuti 5 langkah berurutan: inventarisasi data yang dikumpulkan, petakan dasar hukum dan tujuannya, susun draf sesuai elemen wajib, uji keterbacaan, lalu publikasikan dengan mekanisme pembaruan. Penjelasan tiap langkah ada di bawah ini.
1. Inventarisasi Semua Data yang Dikumpulkan Lewat Website
Telusuri semua titik pengumpulan data di website, mulai dari formulir pendaftaran, kolom komentar, sampai cookie analitik pihak ketiga. Banyak kebijakan privasi gagal lengkap karena penyusunnya tidak menyadari ada data yang terkumpul secara otomatis di luar formulir yang terlihat jelas.
2. Petakan Dasar Hukum dan Tujuan Tiap Jenis Data
Untuk setiap jenis data yang teridentifikasi, tentukan dasar hukum dan tujuan pemrosesannya sebelum dituangkan ke dalam kebijakan. Langkah ini memastikan setiap kalimat dalam kebijakan privasi punya dasar yang bisa dipertanggungjawabkan, bukan asumsi penyusunnya.
3. Susun Draf Mengikuti 7 Elemen Wajib Pasal 21
Gunakan ketujuh elemen wajib yang sudah dibahas sebagai kerangka bab, lalu isi tiap bagian dengan detail spesifik perusahaan Anda. Draf yang mengikuti kerangka ini otomatis lebih sulit kehilangan informasi wajib dibanding menulis bebas dari nol.
4. Uji Keterbacaan dengan Orang di Luar Tim Legal
Minta orang yang tidak terlibat penyusunan membaca draf dan menjelaskan kembali dengan kata-katanya sendiri. Jika mereka kesulitan menjelaskan, kemungkinan besar pengunjung website juga akan kesulitan memahaminya.
5. Publikasikan dengan Mekanisme Pembaruan yang Jelas
Tempatkan kebijakan privasi di lokasi yang mudah diakses, lalu tetapkan jadwal peninjauan ulang setiap kali ada perubahan proses bisnis yang melibatkan data pribadi. Kebijakan yang tidak pernah ditinjau ulang cepat kehilangan relevansi begitu layanan atau vendor baru ditambahkan.
Kesalahan Umum dalam Kebijakan Privasi Website
Setidaknya ada 5 kesalahan yang membuat kebijakan privasi website gagal berfungsi sebagaimana mestinya. Mengenali polanya membantu perusahaan menghindari celah yang sama.
- Menyalin kebijakan privasi dari website lain tanpa menyesuaikan dengan praktik pemrosesan data yang sebenarnya berjalan.
- Menulis kebijakan yang terlalu umum sehingga tidak benar-benar menjelaskan praktik spesifik perusahaan.
- Tidak mencantumkan jangka waktu retensi data secara eksplisit, meski jelas diwajibkan Pasal 21.
- Membiarkan kebijakan privasi tidak berubah meski praktik pemrosesan data perusahaan sudah lama berubah.
- Menyembunyikan hak subjek data di bagian akhir dokumen yang jarang dibaca sampai selesai.
Kesimpulan
Kebijakan privasi website yang baik bukan dokumen yang selesai begitu ketujuh elemen wajib Pasal 21 tercantum di dalamnya, karena cara penyampaiannya sama pentingnya dengan kelengkapannya. Bahasa yang jelas, struktur yang mudah diikuti, dan pembaruan yang konsisten adalah yang membedakan kebijakan privasi yang benar-benar dibaca dari yang hanya dilewati begitu saja.
Menyusun kebijakan ini dari awal memang butuh koordinasi antara tim legal, produk, dan teknis yang memahami data apa saja yang sebenarnya dikumpulkan. Hasil akhirnya sepadan, karena kebijakan privasi yang baik ikut membangun kepercayaan pengunjung terhadap cara perusahaan memperlakukan data mereka.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
Wajib bagi website yang memproses data pribadi berdasarkan persetujuan pengguna, karena Pasal 21 mengatur informasi yang harus disampaikan sebelum persetujuan diperoleh.
Berbeda. Kebijakan privasi menjelaskan pemrosesan data pribadi, sementara syarat dan ketentuan mengatur aturan penggunaan layanan secara umum.
Setiap kali ada perubahan nyata pada praktik pemrosesan data, seperti penambahan vendor baru atau fitur yang mengumpulkan data tambahan. Tanpa perubahan berarti, peninjauan tahunan sudah cukup sebagai jaring pengaman.
Sebaiknya tidak, karena informasi wajib dalam UU PDP perlu disampaikan dengan cara yang benar-benar dipahami subjek data. Menyediakan versi Bahasa Indonesia mengurangi risiko dianggap tidak transparan.
Perusahaan berisiko dianggap melanggar prinsip transparansi UU PDP, terlepas dari seberapa rapi dokumennya terlihat. Ketidaksesuaian ini juga yang paling sering terungkap saat terjadi audit atau insiden data.
