Berapa Harga Satu Data Kita? Ekonomi Pengawasan di Balik Aplikasi Gratis

Suatu pagi pada Mei 2024, sejumlah warganet membuka media sosial dan menemukan bahwa nomor telepon, alamat surel, hingga nomor induk kependudukan mereka beredar di sebuah forum daring. Data itu bocor dari layanan yang pernah mereka gunakan bertahun-tahun lalu, entah aplikasi pinjaman, situs e-commerce, atau layanan publik, dan ketiganya menyimpan data mereka jauh lebih lama dari yang seharusnya. Tidak ada pemberitahuan resmi. Kebanyakan dari mereka baru tahu setelah membaca unggahan orang lain.

Peristiwa semacam ini telah berulang cukup sering sehingga kehilangan daya kejutnya. Padahal di balik setiap kebocoran ada pertanyaan yang lebih mendasar: berapa sebenarnya harga data pribadi kita, dan siapa yang selama ini membayarnya? Ketika sebuah aplikasi bisa diunduh gratis, biaya operasionalnya tetap harus ditutup. Pertanyaannya adalah dengan apa, dan jawabannya sering kali adalah data penggunanya sendiri.

Ketika "gratis" menjadi harga yang dibayar

Ekonomi di balik layanan digital gratis sudah lama menjadi bahan kajian akademik. Shoshana Zuboff, guru besar emerita di Harvard Business School, memperkenalkan istilah surveillance capitalism dalam bukunya The Age of Surveillance Capitalism (2019). Ia menggambarkan bagaimana perusahaan digital mengumpulkan data perilaku manusia, mulai dari apa yang diklik, berapa lama dilihat, di mana berada, hingga dengan siapa berkomunikasi, lalu mengolahnya menjadi prediksi tentang perilaku masa depan. Prediksi itulah yang dijual kepada pengiklan, perusahaan asuransi, dan pihak lain yang ingin memengaruhi keputusan seseorang.

Dalam kerangka ini, pengguna berperan sebagai sumber bahan mentah, sedangkan aplikasi gratis menjadi alat pengumpul data yang dibungkus sebagai layanan. Semakin lama seseorang menggunakan aplikasi, semakin kaya profil yang terbentuk, dan profil itulah yang diolah menjadi prediksi yang dijual kepada pengiklan, perusahaan asuransi, dan pihak lain yang berkepentingan atas keputusan seseorang. Inilah sebabnya mengapa banyak aplikasi bersaing keras untuk mendapatkan waktu layar pengguna, bukan untuk memungut biaya berlangganan.

Mekanismenya bekerja dalam beberapa lapis. Lapis pertama adalah data yang diberikan secara sadar: nama, tanggal lahir, alamat surel saat mendaftar. Lapis kedua adalah data yang terekam tanpa disadari: lokasi GPS, daftar kontak, riwayat pencarian, dan pola penggunaan aplikasi lain di perangkat yang sama. Lapis ketiga adalah data yang disimpulkan: preferensi politik, kondisi kesehatan, tingkat pendapatan, hingga prediksi kehamilan atau masalah keuangan. Lapis ketiga inilah yang paling berharga dan paling jarang disadari penggunanya.

Izin aplikasi yang jauh melampaui kebutuhan

Di Indonesia, persoalan ini terlihat dari izin akses yang diminta aplikasi seluler. Sebuah aplikasi senter sederhana tidak memerlukan akses ke kontak, lokasi, dan mikrofon. Namun pemeriksaan yang dilakukan berbagai lembaga riset keamanan digital berulang kali menemukan aplikasi dengan fungsi terbatas meminta izin yang berlebihan. Praktik ini dikenal sebagai over-permission, yaitu meminta akses lebih banyak daripada yang dibutuhkan agar aplikasi bisa berfungsi.

Kementerian Komunikasi dan Informatika, yang kini bertransformasi menjadi Kementerian Komunikasi dan Digital (Komdigi), telah beberapa kali menurunkan aplikasi dari toko aplikasi resmi karena melanggar ketentuan perlindungan data. Namun pengawasan izin aplikasi masih bergantung pada pelaporan pengguna dan pemeriksaan berkala, bukan pada mekanisme yang sistematis. Pengguna yang ingin memeriksa izin aplikasinya sendiri harus menelusuri menu pengaturan yang tidak selalu mudah ditemukan.

Persoalan bertambah ketika data dikumpulkan oleh aplikasi yang kemudian dijual atau berganti pemilik. Pengguna memberikan izin kepada satu perusahaan, tetapi data itu bisa berpindah ke entitas lain melalui akuisisi, kerja sama bisnis, atau perjanjian yang tertulis dalam bahasa hukum sulit dipahami. Persetujuan yang diberikan bertahun-tahun lalu tetap berlaku, meski konteksnya sudah berubah sama sekali.

Kebocoran yang menjadi rutinitas

Indonesia termasuk negara dengan insiden kebocoran data yang cukup sering dilaporkan. Laporan tahunan lembaga riset keamanan siber internasional dan catatan Komdigi menunjukkan puluhan insiden kebocoran data berskala besar dalam beberapa tahun terakhir. Insiden tersebut menyasar berbagai jenis lembaga: platform e-commerce, perusahaan telekomunikasi, lembaga keuangan, hingga instansi pemerintah. Jumlah record yang bocor bervariasi, dari ribuan hingga ratusan juta, meski angka pastinya sering diperdebatkan karena tidak semua lembaga mengungkap secara transparan.

Skala kebocoran bukan satu-satunya hal yang mengkhawatirkan, sebab pola penanganannya pun memperlihatkan masalah yang sama di hampir setiap kasus. Banyak lembaga baru mengumumkan kebocoran setelah data beredar luas di forum daring. Investigasi internal sering berjalan lama tanpa hasil yang dipublikasikan. Korban jarang mendapat kompensasi, bahkan sering tidak diberi tahu secara langsung bahwa data mereka terdampak. Mereka hanya mengetahui dari berita atau unggahan orang lain.

Data yang bocor memiliki nilai pasar gelap. Nomor induk kependudukan, nomor telepon, dan alamat surel dijual dalam paket di forum-forum tertentu. Data itu digunakan untuk penipuan, pembukaan rekening tanpa izin, pengajuan pinjaman daring atas nama korban, hingga kampanye penipuan bertarget. Bagi pelaku, data pribadi adalah bahan baku yang murah dan berlimpah. Bagi korban, dampaknya bisa berlangsung bertahun-tahun.

UU PDP: payung yang sudah ada, penegakan yang belum penuh

Indonesia sebenarnya telah memiliki instrumen hukum yang cukup progresif. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi disahkan pada Oktober 2022 dan mulai berlaku penuh dua tahun kemudian, pada Oktober 2024. UU ini mengatur hak subjek data, kewajiban pengendali data, mekanisme transfer data lintas negara, serta sanksi administratif dan pidana bagi pelanggar.

Salah satu ketentuan yang paling sering dikutip adalah sanksi administratif berupa denda maksimal 2 persen dari pendapatan tahunan pengendali data, angka yang sengaja dipatok pada persentase pendapatan agar besarannya ikut membesar seiring skala usaha sebuah perusahaan. Selain denda, UU ini memberi kewenangan kepada lembaga pengawas untuk menghentikan pemrosesan data, menghapus data, hingga mencabut izin usaha. Sanksi pidana juga diatur, termasuk pidana penjara bagi mereka yang sengaja mengungkap data yang bukan miliknya.

Namun implementasi menghadapi beberapa kendala. Lembaga pengawas independen yang diamanatkan UU hingga kini belum sepenuhnya terbentuk dan beroperasi dengan kapasitas penuh. Tanpa lembaga pengawas yang kuat, kewajiban dalam UU sulit ditegakkan secara konsisten. Peraturan pelaksana juga masih dalam tahap penyelesaian, sementara pelaku industri menunggu kejelasan teknis sebelum menyesuaikan sistem mereka.

Selain itu, penegakan sanksi memerlukan kapasitas penyidikan digital yang mumpuni, tenaga ahli forensik, dan koordinasi antarlembaga. Di banyak kasus, korban kebocoran data tidak memiliki jalur pengaduan yang jelas dan cepat. Mereka bisa melapor ke Komdigi atau kepolisian, tetapi prosesnya panjang dan hasilnya tidak selalu memuaskan. Ketika biaya penegakan lebih tinggi daripada nilai data yang bocor, insentif untuk melindungi data menjadi lemah.

Harga yang tidak pernah ditagihkan

Kembali ke pertanyaan awal: berapa harga satu data kita? Tidak ada angka tunggal yang bisa menjawabnya. Nilainya bergantung pada jenis data, kelengkapannya, dan siapa yang membeli. Data demografis dasar mungkin bernilai sangat kecil per record. Tetapi data keuangan, kesehatan, atau lokasi yang lengkap bisa bernilai jauh lebih tinggi bagi pihak yang ingin menargetkan pesan atau menilai risiko.

Yang lebih penting adalah siapa yang menanggung biayanya. Perusahaan digital menanggung biaya infrastruktur, tetapi biaya sosial dari data yang bocor, mulai dari penipuan, kehilangan privasi, hingga ketidakpercayaan publik, ditanggung oleh masyarakat luas. Inilah yang oleh para ekonom disebut sebagai eksternalitas negatif: biaya yang tidak masuk ke dalam perhitungan laba perusahaan, tetapi nyata dirasakan orang lain.

UU PDP berupaya menginternalisasi biaya itu melalui sanksi dan kewajiban transparansi. Namun selama penegakannya belum konsisten, biaya itu tetap berada di luar neraca. Perusahaan yang ceroboh menangani data belum tentu merugi sebanding dengan kerugian yang ditimbulkan. Sebaliknya, perusahaan yang berinvestasi besar dalam keamanan data justru menghadapi biaya lebih tinggi dibanding pesaing yang mengabaikannya.

Literasi data sebagai pertahanan pertama

Di tingkat individu, ada beberapa langkah yang bisa dilakukan tanpa menunggu perubahan aturan apa pun, yaitu memeriksa izin aplikasi secara berkala, menghapus akun yang tidak lagi digunakan, menolak memberikan data sensitif kepada layanan yang tidak jelas identitasnya, dan mengaktifkan autentikasi dua faktor. Langkah-langkah ini tidak menyelesaikan masalah struktural, tetapi mengurangi permukaan serangan.

Di tingkat kebijakan, prioritasnya adalah memastikan lembaga pengawas data benar-benar beroperasi, menyelesaikan peraturan pelaksana, dan membangun mekanisme pelaporan yang mudah diakses korban. Transparansi juga penting, sehingga lembaga yang mengalami kebocoran wajib mengumumkan secara terbuka dalam tenggat waktu tertentu, bukan menunggu data beredar di forum.

Masyarakat juga perlu memahami bahwa data pribadi lebih dari sekadar informasi administratif. Data itu adalah jejak kehidupan seseorang, lengkap dengan kebiasaan, hubungan, kelemahan, dan rencananya. Ketika jejak itu diperlakukan sebagai komoditas, yang diperdagangkan adalah kemampuan seseorang untuk menentukan hidupnya sendiri, dan angka-angka di dalamnya hanya menandai sebagian kecil dari harga itu.

Setiap kali kita mengunduh aplikasi gratis dan menekan tombol "setuju" tanpa membaca, kita sedang menandatangani kontrak yang isinya belum sepenuhnya kita pahami. Kontrak itu tidak berakhir ketika aplikasi dihapus. Datanya tetap ada, berpindah tangan, dan mungkin suatu hari muncul di tempat yang tidak pernah kita bayangkan. Harga satu data kita mungkin kecil di pasar. Tetapi nilainya bagi kehidupan kita jauh lebih besar daripada yang tercantum di sana.