Cookie consent adalah persetujuan yang wajib diminta situs web kepada pengunjung sebelum menyimpan atau membaca cookie di perangkat mereka, terutama cookie yang bisa mengenali pengunjung tersebut kembali. Kewajiban ini sering diabaikan karena banyak pemilik website menganggap cookie hanya urusan teknis, bukan urusan hukum.
Anggapan itu keliru. Studi akademik yang dipublikasikan Springer mencatat hanya 30,66% situs web yang menyediakan tombol tolak cookie setara dengan tombol terima pada tahun 2024, naik dari sekadar 2,94% pada 2018, yang berarti mayoritas situs di dunia masih belum memenuhi standar persetujuan yang layak.
Di Indonesia, kewajiban serupa berlaku lewat UU PDP meski undang-undang ini tidak menyebut kata cookie secara eksplisit. Artikel ini membahas kapan cookie consent wajib diminta, dasar hukumnya, dan cara membuat banner yang benar-benar sah.
Apa Itu Cookie dan Kenapa Butuh Persetujuan Menurut UU PDP?
Cookie adalah file kecil yang disimpan browser saat seseorang mengunjungi sebuah situs web, berisi informasi seperti preferensi bahasa, riwayat kunjungan, atau identitas perangkat. Sebagian cookie hanya membuat situs berjalan normal, sementara sebagian lain merekam perilaku pengunjung untuk keperluan iklan atau analitik.
UU PDP mendefinisikan Data Pribadi sebagai data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara langsung maupun tidak langsung, melalui sistem elektronik atau nonelektronik.
Cookie yang bisa mengenali perangkat atau kebiasaan seseorang secara tidak langsung sudah masuk kategori ini, sehingga pemrosesannya tunduk pada aturan yang sama dengan data pribadi lainnya.
Baca juga: Customer Consent: Pengertian, Perbedaan, dan Cara Mendapatkannya
Jenis Cookie dan Mana yang Wajib Minta Persetujuan
Tidak semua cookie membutuhkan persetujuan eksplisit, karena kebutuhannya tergantung fungsi cookie itu sendiri. Empat kategori berikut adalah yang paling umum dipakai website beserta status kebutuhan persetujuannya.
| Jenis Cookie | Fungsi | Butuh Persetujuan? |
|---|---|---|
| Cookie esensial | Menjalankan fungsi dasar situs, seperti login atau keranjang belanja | Umumnya tidak, karena diperlukan untuk layanan yang diminta pengguna |
| Cookie fungsional | Mengingat preferensi pengguna, seperti bahasa atau tampilan | Ya, meski risikonya tergolong rendah |
| Cookie analitik | Mencatat perilaku pengunjung untuk mengukur performa situs | Ya, terutama jika datanya dikirim ke pihak ketiga |
| Cookie pemasaran atau iklan | Melacak pengunjung lintas situs untuk menargetkan iklan | Ya, dengan risiko tertinggi karena melibatkan profiling |
Dasar Hukum Cookie Consent Menurut UU PDP
Dasar hukum cookie consent terletak pada Pasal 20 ayat (2) UU PDP, yang mensyaratkan setiap pemrosesan data pribadi punya dasar yang sah, dan persetujuan eksplisit adalah salah satu dari 6 dasar yang diakui. Untuk cookie non-esensial seperti analitik dan pemasaran, persetujuan pengguna praktis menjadi satu-satunya dasar yang relevan, karena cookie semacam ini bukan bagian dari kewajiban kontrak atau kewajiban hukum.
Ketika persetujuan dijadikan dasar pemrosesan, Pasal 21 UU PDP mewajibkan situs mengungkapkan 7 elemen kepada pengunjung, termasuk tujuan pemrosesan dan jangka waktu penyimpanan data. Pasal 22 menambahkan bahwa persetujuan harus tertulis atau terekam dengan bahasa yang sederhana, dan persetujuan yang tidak memenuhi syarat ini dinyatakan batal demi hukum.
Cara Membuat Cookie Banner yang Sah
Membuat cookie banner yang sah berarti memastikan setiap elemen dalam Pasal 21 dan Pasal 22 benar-benar terpenuhi, bukan sekadar menampilkan notifikasi. Lima langkah berikut adalah penerapannya di lapangan.
- Tampilkan pilihan tolak yang setara dengan terima.
Tombol “Tolak Semua” harus sama mudah ditemukan dan diklik dengan tombol “Terima Semua”, tanpa disembunyikan di menu tambahan. Studi Springer di atas menunjukkan banyak situs masih melanggar prinsip dasar ini. - Jangan aktifkan cookie non-esensial sebelum ada persetujuan.
Cookie analitik dan pemasaran baru boleh berjalan setelah pengunjung menekan tombol terima, bukan otomatis aktif sejak halaman dimuat. Mengaktifkan cookie lebih dulu lalu meminta persetujuan belakangan melanggar prinsip persetujuan yang sah. - Sediakan pilihan granular per kategori.
Pengunjung sebaiknya bisa memilih kategori cookie yang disetujui satu per satu, misalnya menyalakan cookie analitik tapi menolak cookie pemasaran. Satu tombol untuk menyetujui semua kategori sekaligus tidak memenuhi syarat spesifik pada Pasal 21. - Gunakan bahasa yang sederhana dan jelas.
Banner cukup menjelaskan jenis cookie yang dipakai dan tujuannya tanpa istilah teknis yang membingungkan pengunjung awam. Ini sejalan dengan syarat bahasa sederhana yang diatur Pasal 22. - Simpan bukti dan izinkan penarikan persetujuan.
Setiap persetujuan sebaiknya tercatat dengan waktu dan versi kebijakan yang berlaku saat itu, dan pengunjung harus bisa mengubah pilihannya kapan saja. Bukti ini penting jika suatu saat regulator meminta pertanggungjawaban.
Risiko Jika Cookie Banner Tidak Sesuai Aturan
Cookie banner yang tidak sesuai aturan membuat perusahaan berisiko dianggap memproses data pribadi tanpa dasar yang sah. Pasal 57 UU PDP mengatur sanksi administratif hingga 2% dari pendapatan tahunan untuk pelanggaran semacam ini.
Skala risiko ini bukan sekadar teori. Otoritas perlindungan data Prancis, CNIL, menjatuhkan denda gabungan €135 juta kepada Google dan Amazon pada Desember 2020 karena cookie iklan otomatis terpasang di perangkat pengunjung sebelum mereka memberi persetujuan.
Investigasi itu turut menemukan tombol tolak yang tidak benar-benar berfungsi, karena satu cookie iklan tetap tersimpan meski pengunjung sudah menonaktifkan personalisasi iklan. Kesalahan teknis sekecil itu cukup membuat regulator menilai keseluruhan mekanisme persetujuannya tidak sah.
Kesimpulan
Cookie consent bukan sekadar formalitas teknis, melainkan kewajiban hukum yang muncul begitu cookie sebuah situs mengumpulkan data yang bisa mengidentifikasi pengunjungnya.
UU PDP memang tidak menyebut kata cookie secara harfiah, tapi definisi data pribadinya sudah cukup luas untuk mencakup cookie non-esensial seperti analitik dan pemasaran.
Memenuhi aturan ini tidak berarti mengorbankan pengalaman pengguna, karena banner yang dirancang dengan pilihan jelas dan bahasa sederhana justru bisa meningkatkan kepercayaan pengunjung. Yang penting adalah memastikan setiap elemen dalam Pasal 21 dan Pasal 22 benar-benar diterapkan, bukan hanya ditampilkan sebagai formalitas.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
Wajib jika situs memakai cookie non-esensial seperti analitik atau pemasaran yang bisa mengidentifikasi pengunjung. Situs yang hanya memakai cookie esensial untuk fungsi dasar biasanya tidak wajib meminta persetujuan eksplisit.
Ya, karena Google Analytics mengirim data perilaku pengunjung ke pihak ketiga dan bisa dipakai untuk mengidentifikasi pengunjung secara tidak langsung. Cookie ini masuk kategori analitik yang wajib mendapat persetujuan lebih dulu.
Tidak disarankan, karena persetujuan yang sah menurut UU PDP mensyaratkan pilihan yang setara antara menerima dan menolak. Banner tanpa opsi tolak berisiko dianggap sebagai persetujuan yang tidak sah.
Berbeda. Kebijakan privasi menjelaskan bagaimana data pengunjung diproses secara keseluruhan, sementara cookie consent adalah mekanisme persetujuan spesifik untuk cookie yang dipasang di perangkat pengunjung.
UU PDP tidak menetapkan durasi pasti, sehingga praktik umumnya mengikuti masa berlaku yang wajar atau saat kebijakan cookie mengalami perubahan besar, mana yang lebih dulu terjadi. Semakin sensitif data yang dikumpulkan, semakin sering persetujuan itu sebaiknya diperbarui.
