Data Pelanggan dan AI: Aturan UU PDP untuk Bisnis

Menurut UU PDP (Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi), bisnis yang memproses data pelanggan, termasuk lewat chatbot atau alat AI, wajib punya dasar pemrosesan yang sah, menjaga keamanan data, mengawasi vendor yang ikut memproses, dan memberi tahu pelanggan jika terjadi kebocoran. Tanggung jawab itu tetap ada pada bisnis Anda, bukan pada alat AI-nya.

Banyak pemilik bisnis mulai memakai AI untuk membalas chat, merekap pesanan, atau membuat laporan. Semua itu menyentuh data pribadi: nama, nomor WhatsApp, alamat, riwayat pembelian. Artikel ini merangkum kewajiban pokoknya dalam bahasa sederhana. Ini bukan nasihat hukum, jadi untuk kasus spesifik tetap konsultasikan dengan ahli hukum.

Sejak kapan UU PDP berlaku penuh?

UU PDP diundangkan pada 17 Oktober 2022. Pasal 74 memberi masa penyesuaian paling lama dua tahun, sehingga sejak Oktober 2024 semua pihak yang memproses data pribadi wajib sudah menyesuaikan diri. Teks lengkapnya bisa dibaca di JDIH BPK.

UU ini berlaku untuk "setiap orang", termasuk badan usaha dan perorangan yang memproses data pribadi. Jadi, ukuran bisnis tidak membuat Anda otomatis bebas dari kewajibannya.

Data apa saja yang dilindungi UU PDP?

Pasal 4 membagi data pribadi menjadi dua jenis:

• Data pribadi umum: nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan data yang bila digabung bisa mengenali seseorang. Nomor WhatsApp dan alamat pelanggan umumnya masuk di sini.
• Data pribadi spesifik: data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.

Data spesifik butuh kehati-hatian lebih. Klinik yang memakai chatbot untuk jadwal pasien, sekolah yang mengolah data siswa, atau bisnis yang menyimpan data rekening pelanggan perlu memastikan data itu tidak masuk ke alat AI tanpa perlindungan yang memadai.

Apa dasar yang sah untuk memproses data pelanggan?

Pasal 20 mewajibkan pengendali data punya dasar pemrosesan. Untuk bisnis, dasar yang paling sering relevan adalah:

1. Persetujuan yang sah secara eksplisit dari pelanggan untuk tujuan tertentu yang sudah disampaikan.
2. Pemenuhan kewajiban perjanjian, misalnya memproses alamat untuk mengirim pesanan.
3. Kepentingan yang sah lainnya, dengan memperhatikan keseimbangan antara kepentingan bisnis dan hak pelanggan.

Dalam praktik, memakai nomor WhatsApp untuk membalas pertanyaan pelanggan yang menghubungi Anda lebih dulu umumnya berkaitan dengan permintaan mereka sendiri. Namun memakai daftar kontak yang sama untuk broadcast promosi adalah tujuan berbeda, dan sebaiknya ada persetujuan yang jelas.

Siapa yang bertanggung jawab jika AI dipakai lewat vendor?

Di UU PDP, bisnis Anda berperan sebagai pengendali data, sedangkan penyedia alat AI atau vendor chatbot biasanya berperan sebagai prosesor data yang memproses atas perintah Anda.

Pasal 51 menyatakan pemrosesan oleh prosesor tetap termasuk tanggung jawab pengendali. Pasal 37 juga mewajibkan pengendali mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendalinya. Artinya, alasan "itu kesalahan aplikasinya" tidak menghapus tanggung jawab bisnis Anda.

Karena itu, sebelum memilih alat AI, cek beberapa hal:

• Apakah data yang Anda masukkan dipakai untuk melatih model? Misalnya, OpenAI menjelaskan percakapan di paket perorangan dapat dipakai untuk pelatihan kecuali opsi itu dimatikan, sedangkan paket bisnis dan API tidak dipakai untuk pelatihan secara bawaan.
• Di mana data disimpan dan berapa lama?
• Siapa saja di pihak vendor yang bisa mengakses data?
• Apakah vendor punya perjanjian pemrosesan data yang jelas?

Untuk WhatsApp, ketentuan WhatsApp Business Platform dari Meta juga melarang data platform dipakai untuk melatih model AI ketika bisnis memakai penyedia AI sebagai mitra teknis.

Apa kewajiban keamanan dan saat terjadi kebocoran?

Pasal 35 mewajibkan pengendali melindungi dan memastikan keamanan data pribadi, termasuk menyusun langkah teknis operasional dan menentukan tingkat keamanan sesuai sifat serta risiko datanya. Pasal 36 menambahkan kewajiban menjaga kerahasiaan.

Jika terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada pelanggan yang terdampak dan kepada lembaga pengawas. Pemberitahuan itu minimal memuat data apa yang terungkap, kapan dan bagaimana, serta upaya penanganannya.

Langkah praktis yang bisa Anda terapkan saat memakai AI:

• Jangan menempel data pelanggan lengkap ke chatbot umum. Ganti nama dengan inisial jika hanya butuh bantuan menulis.
• Batasi siapa di tim yang punya akses ke akun alat AI dan riwayat percakapannya.
• Aktifkan verifikasi dua langkah di akun yang terhubung ke data pelanggan.
• Simpan data seperlunya, dan hapus yang sudah tidak dibutuhkan.
• Siapkan prosedur singkat jika terjadi kebocoran: siapa yang memeriksa, siapa yang menghubungi pelanggan, dan apa isi pemberitahuannya.

Apa sanksinya jika melanggar?

Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan data, dan/atau denda administratif paling tinggi 2% dari pendapatan tahunan. Selain itu, ada ancaman pidana untuk perbuatan tertentu. Misalnya, Pasal 67 mengatur pidana bagi orang yang dengan sengaja dan melawan hukum mengumpulkan, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya.

Bagi bisnis kecil, risiko terbesar sering bukan denda, melainkan hilangnya kepercayaan. Pelanggan yang datanya bocor jarang kembali.

Bagaimana menerapkannya tanpa repot?

Anda tidak perlu menyusun dokumen setebal buku untuk memulai. Untuk bisnis yang baru memakai AI, mulailah dari daftar ini:

1. Catat data pelanggan apa saja yang Anda kumpulkan dan untuk apa.
2. Tandai data yang masuk ke alat AI atau vendor.
3. Tulis kebijakan privasi sederhana di website yang menjelaskan data apa yang dikumpulkan dan cara menghubungi Anda.
4. Minta persetujuan yang jelas sebelum memakai kontak untuk promosi.
5. Tinjau pengaturan data di setiap alat AI yang dipakai tim.

Untuk poin ketiga, kebijakan privasi tidak harus panjang. Cukup jelaskan data apa yang dikumpulkan (misalnya nama, nomor WhatsApp, alamat pengiriman), untuk apa dipakai, pihak lain yang ikut memprosesnya (misalnya layanan pengiriman atau penyedia chatbot), berapa lama disimpan, dan cara pelanggan meminta datanya dihapus. Tulis dengan bahasa yang dipahami pelanggan, bukan bahasa hukum yang membingungkan.

Ingat juga karyawan. Kebocoran bisa terjadi bukan hanya karena peretasan, tetapi juga karena akun dipakai bersama, kata sandi ditulis di grup, atau data pelanggan disalin ke perangkat pribadi.

Jika Anda memakai ChatGPT untuk pekerjaan harian, panduan cara menggunakan ChatGPT untuk bisnis membahas pengaturan data yang perlu dicek.

Langkah berikutnya

Luangkan satu jam minggu ini untuk membuat daftar data pelanggan dan alat yang memprosesnya. Dari daftar itu, Anda akan melihat titik paling berisiko, misalnya data kesehatan di chatbot atau kontak pelanggan di akun AI pribadi karyawan.

Saat memasang chatbot untuk website, perlindungan data perlu dirancang sejak awal, bukan ditambahkan belakangan. Detail layanan kami ada di halaman Chatbot AI. Kalau ingin dibantu, tim kami bisa diskusikan lewat WhatsApp.