GDPR Consent — esensi, persyaratan dan memperoleh persetujuan

Apa itu GDPR Consent?

GDPR Consent — adalah dasar hukum untuk pemrosesan data pribadi, sebagaimana didefinisikan dalam Pasal 4(11) dan Pasal 7 Peraturan Umum Perlindungan Data Uni Eropa. Peraturan ini mulai berlaku pada 25 Mei 2018 dan menggantikan Petunjuk 95/46/EC yang sudah usang, menetapkan standar perlindungan data yang seragam untuk semua negara anggota UE.

Menurut GDPR, persetujuan harus bebas — pengguna harus memiliki pilihan nyata tanpa konsekuensi negatif jika menolak. Jika penolakan persetujuan menyebabkan penolakan akses ke layanan yang tidak memerlukan pemrosesan data, persetujuan semacam itu dianggap dipaksakan dan tidak sah. Pasal 7(4) secara langsung menyatakan bahwa persyaratan kontrak terkait tidak dapat menjadikan pelaksanaan kontrak bergantung pada diperolehnya persetujuan untuk pemrosesan data yang tidak diperlukan untuk kontrak ini.

Berdasarkan informasi — elemen kunci kedua: subjek data harus memahami data apa yang dikumpulkan, untuk tujuan apa, siapa yang akan memprosesnya, dan berapa lama data akan disimpan. Dewan Perlindungan Data Eropa (EDPB) dalam pedoman 05/2020 menekankan bahwa informasi harus diberikan dalam bahasa yang dapat dipahami, tanpa rumusan hukum yang rumit. Praktik menunjukkan bahwa persetujuan dianggap tidak sah jika kebijakan privasi mengandung rumusan yang ambigu atau umum.

Ketidakambiguan berarti persetujuan harus dinyatakan dengan tindakan aktif — mencentang kotak, menekan tombol, atau menandatangani formulir. Tidak bertindak, diam, atau kotak centang yang sudah dicentang sebelumnya tidak memenuhi persyaratan ketidakambiguan. Dalam putusan perkara Planet49 GmbH (C-673/17), Pengadilan Uni Eropa menegaskan bahwa persetujuan tidak dapat disimpulkan dari ketidakaktifan pengguna.

Data apa saja yang termasuk dalam GDPR

Data pribadi menurut GDPR — adalah informasi apa pun yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi. Ini tidak hanya mencakup pengidentifikasi yang jelas — nama, alamat, email, telepon — tetapi juga alamat IP, pengidentifikasi cookie, pengidentifikasi iklan perangkat (IDFA, GAID), data biometrik, geolokasi, dan informasi genetik.

Pasal 9 GDPR menyoroti kategori khusus data yang pemrosesannya dilarang tanpa persetujuan tegas: asal usul ras atau etnis, pandangan politik, keyakinan agama, keanggotaan serikat pekerja, data genetik dan biometrik, data kesehatan, dan orientasi seksual. Untuk kategori semacam itu diperlukan bentuk persetujuan yang paling ketat — terpisah, terperinci, dan tidak dapat disimpulkan dari konteks umum.

Kapan GDPR Consent wajib

GDPR Consent diperlukan ketika pemrosesan data tidak dapat didasarkan pada dasar hukum lain: kebutuhan kontraktual (Pasal 6(1)(b)), kepentingan sah (Pasal 6(1)(f)), atau pemenuhan kewajiban hukum (Pasal 6(1)(c)). Dalam praktiknya, persetujuan diperlukan untuk pengiriman pemasaran, pelacakan untuk tujuan periklanan, pengumpulan data yang tidak wajib, dan penggunaan file cookie yang tidak sepenuhnya diperlukan untuk berfungsinya layanan.

Menurut data penelitian IAPP-EY Annual Governance Report (2024), 67% perusahaan menggunakan persetujuan sebagai dasar hukum utama untuk pemrosesan data di aplikasi seluler, meskipun ada tren pertumbuhan peralihan ke kepentingan sah di mana memungkinkan. Hal ini disebabkan oleh fakta bahwa persetujuan memberikan hubungan yang paling transparan dengan pengguna, tetapi pada saat yang sama membebankan kewajiban maksimum dalam hal pencatatan dan pengelolaan persetujuan.

Persyaratan utama GDPR untuk persetujuan

Pasal 7 GDPR menetapkan enam kondisi keabsahan persetujuan, yang masing-masing harus dipenuhi secara bersamaan. Pelanggaran setidaknya satu kondisi membuat persetujuan tidak sah, dan pemrosesan data menjadi ilegal. Mari kita bahas setiap kondisi secara rinci dengan mempertimbangkan pedoman EDPB dan praktik peradilan.

Kebebasan persetujuan dilanggar ketika ada ketidakseimbangan kekuasaan antara pengontrol dan subjek data. EDPB secara langsung menyatakan bahwa pengusaha tidak dapat mengandalkan persetujuan karyawan karena ketergantungan dalam hubungan kerja. Demikian pula, otoritas publik tidak dapat meminta persetujuan dari warga negara saat memberikan layanan publik.

Kekhususan memerlukan persetujuan terpisah untuk setiap tujuan pemrosesan. Jika aplikasi mengumpulkan data untuk analitik, personalisasi iklan, dan peningkatan layanan — untuk setiap tujuan diperlukan kotak centang terpisah. Menggabungkan beberapa tujuan dalam satu persetujuan melanggar persyaratan kekhususan dan membuat persetujuan tidak sah.

Pembuktian — persyaratan yang paling menantang secara teknologi. Pasal 7(1) secara langsung menyatakan bahwa pengontrol memikul beban pembuktian diperolehnya persetujuan. Dalam praktiknya, ini berarti perlunya menyimpan log semua tindakan pengguna: siapa, kapan, untuk tujuan apa memberikan persetujuan, versi kebijakan privasi apa yang ditampilkan, dan bagaimana pengguna menariknya.

Bagaimana menerapkan pengumpulan persetujuan di aplikasi seluler

Penerapan GDPR Consent di aplikasi seluler memerlukan pendekatan komprehensif yang menggabungkan persyaratan hukum dengan implementasi teknis. Alat utama — Platform Manajemen Persetujuan (CMP), yang mengelola siklus hidup persetujuan: menampilkan permintaan, mencatat pilihan, menyimpan data, dan menyinkronkan dengan SDK periklanan dan analitik.

Menggunakan Google UMP SDK

Google menyediakan User Messaging Platform (UMP) SDK untuk Android dan iOS, yang terintegrasi dengan AdMob, Google Analytics, dan layanan Google lainnya. UMP SDK secara otomatis menentukan perlunya menampilkan persetujuan berdasarkan geolokasi pengguna dan persyaratan GDPR. Mari kita lihat integrasi di Kotlin untuk Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Setelah formulir persetujuan dimuat, formulir tersebut perlu ditampilkan kepada pengguna. UMP SDK mendukung dua jenis formulir: untuk memperoleh persetujuan untuk iklan yang dipersonalisasi dan untuk mengelola pilihan di masa mendatang. Pemrosesan hasil harus mempertimbangkan semua hasil yang mungkin — pengguna dapat memberikan persetujuan, menolak, atau menutup formulir tanpa membuat pilihan.

Penyimpanan dan verifikasi persetujuan

Untuk memenuhi persyaratan pembuktian, perlu menyimpan tidak hanya fakta persetujuan, tetapi juga konteks perolehannya. Set data minimal untuk disimpan mencakup: pengidentifikasi pengguna atau perangkat, stempel waktu dengan zona waktu, versi kebijakan privasi, tujuan pemrosesan spesifik, dan mekanisme persetujuan yang digunakan.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Dewan Perlindungan Data Eropa (EDPB) dalam rekomendasi 01/2023 menekankan bahwa catatan persetujuan harus disimpan selama seluruh periode pemrosesan data dan hingga tiga tahun setelah penghentiannya. Untuk aplikasi seluler, ini berarti perlunya penyimpanan catatan di server, tidak hanya secara lokal, karena pengguna dapat menginstal ulang aplikasi atau mengganti perangkat.

Apa perbedaan GDPR dengan regulator privasi lainnya

GDPR — bukan satu-satunya regulator privasi di dunia, tetapi telah menjadi model bagi banyak undang-undang perlindungan data nasional. Memahami perbedaan antara GDPR dan regulator lainnya sangat penting bagi pengembang aplikasi internasional yang bekerja dengan pengguna dari berbagai yurisdiksi.

CCPA (California Consumer Privacy Act) pada dasarnya berbeda dari GDPR: ia bekerja dengan model opt-out, bukan opt-in. Menurut CCPA, perusahaan wajib memberikan hak kepada pengguna untuk menolak penjualan data mereka, tetapi tidak wajib memperoleh persetujuan awal untuk pengumpulan. Namun, dengan diadopsinya CPRA (California Privacy Rights Act) pada tahun 2023, persyaratan persetujuan untuk data sensitif menjadi lebih mendekati GDPR.

Petunjuk ePrivacy (Petunjuk tentang privasi dalam komunikasi elektronik) melengkapi GDPR dalam hal cookie dan pemasaran elektronik. Berbeda dengan GDPR yang mengatur semua data pribadi, ePrivacy berfokus pada data komunikasi. Persyaratan untuk memperoleh persetujuan untuk cookie yang tidak wajib berasal dari ePrivacy, bukan dari GDPR, meskipun mekanisme persetujuannya sama.

LGPD Brasil hampir sepenuhnya menyalin struktur GDPR dengan perubahan kecil: usia persetujuan dinaikkan menjadi 18 tahun, dan pemrosesan data orang yang meninggal memerlukan persetujuan ahli waris. PIPL Cina, sebaliknya, memperkenalkan persyaratan yang lebih ketat: lokalisasi data wajib, penilaian dampak perlindungan data (DPIA) untuk semua keputusan otomatis, dan pemberitahuan transfer data ke luar negeri.

Kesalahan umum dalam menerapkan GDPR Consent

Analisis denda dan perintah otoritas pengawas Eropa untuk periode 2018-2024 menunjukkan pelanggaran berulang dalam penerapan persetujuan. Menurut data Enforcement Tracker (CMS Law, 2024), lebih dari 40% dari semua denda terkait GDPR terkait dengan perolehan dan pengelolaan persetujuan yang tidak benar. Mari kita lihat kesalahan yang paling umum.

Kotak centang yang sudah dicentang sebelumnya dan persetujuan pasif

Kesalahan paling umum — menggunakan kotak centang yang sudah dicentang sebelumnya (pre-ticked checkboxes) untuk memperoleh persetujuan. Putusan Pengadilan UE dalam perkara Planet49 GmbH (C-673/17) dengan tegas menetapkan bahwa persetujuan tidak dapat disimpulkan dari ketidakaktifan pengguna. Meskipun demikian, banyak aplikasi terus menggunakan opsi yang sudah dicentang sebelumnya, terutama untuk spanduk cookie, yang menyebabkan denda dan perintah langsung.

Komisi Nasional Informatika dan Kebebasan Prancis (CNIL) pada tahun 2024 mendenda sebuah perusahaan induk periklanan RTB besar sebesar 250 juta euro karena menggunakan kotak centang yang sudah dicentang sebelumnya dan memberikan informasi yang tidak cukup transparan kepada pengguna. Ini adalah denda terbesar berdasarkan pasal yang terkait dengan persetujuan, yang menunjukkan prioritas kontrol persetujuan bagi regulator Eropa.

Menggabungkan tujuan dalam satu persetujuan

Banyak aplikasi meminta satu persetujuan umum untuk semua jenis pemrosesan: analitik, personalisasi, periklanan, transfer ke pihak ketiga. Ini secara langsung melanggar persyaratan kekhususan (pembatasan tujuan). EDPB dalam pedoman 05/2020 menekankan: jika satu tujuan dapat dicapai tanpa tujuan lainnya, pengguna harus memiliki kemampuan untuk menyetujui setiap tujuan secara terpisah.

Komisi Perlindungan Data Irlandia (DPC) dalam keputusannya dalam perkara Meta Platforms Ireland (2023) menyatakan bahwa menggabungkan personalisasi iklan dan peningkatan layanan dalam satu persetujuan merupakan pelanggaran. Meta diwajibkan untuk menerapkan mekanisme persetujuan terpisah untuk tujuan pemrosesan yang berbeda di Facebook dan Instagram.

Penarikan persetujuan yang sulit atau tidak mungkin

GDPR mensyaratkan bahwa penarikan persetujuan semudah pemberiannya. Jika pengguna memberikan persetujuan dengan satu kali tekan tombol, penarikan tidak boleh memerlukan pengisian formulir, mengirim email, atau menelepon dukungan. Dalam praktiknya, banyak aplikasi menyembunyikan mekanisme penarikan jauh di dalam pengaturan atau memerlukan beberapa langkah untuk melakukannya.

Praktik yang direkomendasikan — menambahkan layar manajemen persetujuan terpisah di pengaturan aplikasi dengan kemampuan untuk menarik setiap persetujuan secara terpisah dengan satu sakelar. UMP SDK dari Google menyediakan mekanisme bawaan untuk menampilkan ulang formulir persetujuan, yang dapat dipanggil pengguna dari pengaturan aplikasi kapan saja.

Tidak adanya bukti perolehan persetujuan

Banyak pengembang mengandalkan persetujuan lisan atau tidak menyimpan catatan perolehan persetujuan. Ini membuat tidak mungkin untuk memenuhi persyaratan pembuktian (akuntabilitas) berdasarkan Pasal 5(2) GDPR. Saat pemeriksaan, otoritas pengawas akan meminta tidak hanya kebijakan privasi, tetapi juga log perolehan persetujuan untuk seluruh periode pemrosesan data.

Solusi untuk masalah ini — menggunakan Platform Manajemen Persetujuan (CMP) dengan pencatatan otomatis semua peristiwa: tampilan formulir, pilihan pengguna, versi dokumen, stempel waktu. CMP populer untuk aplikasi seluler termasuk Usercentrics, OneTrust, dan ConsentManager — semuanya mendukung pencatatan audit persetujuan otomatis.