Uji Coba CCPA: Permintaan Data Pribadi Justru Berujung Penghapusan Akun

Telset.id – Permintaan akses data pribadi yang diajukan seorang jurnalis WIRED kepada lebih dari 100 perusahaan di California justru berujung pada kesalahan fatal: akun pengguna dihapus, permintaan ditolak, dan proses verifikasi yang berbelit-belit. Kejadian ini mengungkap celah serius dalam implementasi California Consumer Privacy Act (CCPA) yang seharusnya melindungi hak konsumen atas data pribadi mereka.

Seorang jurnalis WIRED mengajukan permintaan akses data pribadi ke McDonald’s pada awal bulan ini dan menerima laporan setebal 515 halaman yang merinci interaksi aplikasi secara detail. Berbekal hak legal berdasarkan CCPA, ia kemudian mengajukan lebih dari 100 permintaan akses data ke berbagai perusahaan besar selama seminggu berikutnya.

CCPA yang berlaku sejak 2020 memberikan tiga hak utama kepada konsumen: hak untuk menolak penjualan informasi pribadi, hak untuk menghapus informasi tersebut, dan hak untuk meminta salinan data. Jurnalis tersebut berfokus pada permintaan akses untuk memahami data apa saja yang dikumpulkan perusahaan. Sebagian besar perusahaan wajib menyediakan dua cara pengajuan, baik melalui formulir web, nomor telepon, atau alamat email yang tercantum dalam kebijakan privasi mereka. Perusahaan memiliki waktu 45 hari untuk memproses permintaan.

Pengalaman tersebut sangat memakan waktu, mulai dari menemukan metode pengajuan yang tepat hingga verifikasi identitas berulang kali. Masalah paling menjengkelkan muncul ketika perusahaan merespons permintaan akses dengan pesan tentang penghapusan informasi, yang secara eksplisit tidak diminta, atau menolak memproses permintaan melalui metode yang tercantum dalam kebijakan privasi mereka.

Ben Winters, direktur AI dan privasi di Consumer Federation of America, menyatakan kekesalannya atas penanganan permintaan tersebut. “Itu gila. Itu bukan status quo yang dapat diterima,” ujarnya. Winters melihat contoh-contoh ini sebagai kelemahan kerangka kebijakan yang mengandalkan perusahaan untuk bertindak secara bertanggung jawab dan dengan itikad baik.

Salah satu kesalahan pertama datang dari Crunchbase, perusahaan database startup teknologi. Permintaan akses dikirim melalui email pada 17 Agustus dengan pesan yang menjelaskan hak yang ingin digunakan, termasuk permintaan langsung untuk tidak menghapus apa pun: “Saya tidak meminta penghapusan saat ini. Mohon jangan perlakukan ini sebagai permintaan penghapusan.” Dua hari kemudian, perwakilan dukungan Crunchbase merespons bahwa akun telah dihapus secara permanen. Perwakilan tersebut menulis, “Terima kasih atas kesabaran Anda. Akun Anda telah dihapus secara permanen dari Crunchbase. Beri tahu saya jika Anda membutuhkan hal lain!”

Setelah jurnalis tersebut menindaklanjuti, Crunchbase menjelaskan bahwa akun pengguna memang dihapus, tetapi data lain yang berada di Crunchbase tidak dihapus. Jika ingin memiliki akun Crunchbase, ia harus mendaftar ulang. Pihak Crunchbase kemudian mengakui kesalahan tersebut sebagai “kesalahan pemrosesan” dan menyatakan akan melanjutkan permintaan akses asli. Juru bicara juga mengklaim respons yang salah klasifikasi berasal dari “seseorang di tim kesuksesan pelanggan kami”, bukan alat AI generatif.

Interaksi dengan BeenVerified, database publik yang dapat ditelusuri, juga menggambarkan pengalaman penuh hambatan. Permintaan akses dikirim ke alamat email kepatuhan CCPA pada 19 Agustus dengan penjelasan bahwa pengaju adalah penduduk California yang mengajukan permintaan akses, bukan penghapusan. Dua hari kemudian, perwakilan BeenVerified merespons tentang penghapusan informasi. “Tampaknya laporan pribadi Anda telah dihapus dari hasil Person Search kami,” demikian isi respons awal. “Selain itu, kami telah menghapus nomor telepon dan alamat email yang diminta dari hasil pencarian kami. Perubahan ini akan tercermin dalam 24 jam.”

Saat jurnalis tersebut menjelaskan bahwa ia mengajukan permintaan akses, bukan penghapusan, perwakilan dukungan membantah klaim tersebut dan menyatakan tidak dapat memverifikasi identitas. Hal ini membingungkan karena perusahaan sebelumnya berhasil menemukan detail pengguna dalam utas pesan. Respons berikutnya kembali menyebutkan pemrosesan permintaan opt-out dan penghapusan informasi dari situs web mereka.

Elina van Kempen, mahasiswa PhD di UC Irvine dan penulis bersama laporan Consumer Beware! Exploring Data Brokers’ CCPA Compliance, mengaku pernah mengalami kesalahan klasifikasi serupa saat mengajukan permintaan akses ke lebih dari 500 data broker. “Terkadang saya membuat permintaan akses, dan jawaban otomatisnya adalah ‘Kami akan meng-opt-out Anda’ atau ‘Kami akan menghapus data Anda’,” katanya. Sementara beberapa data broker menindaklanjuti dengan koreksi, lainnya tidak memberikan resolusi apa pun.

Greg Hammond, penasihat senior dan direktur kepatuhan di perusahaan induk BeenVerified, mengklaim bahwa agen dukungan menerima pelatihan privasi tahunan, termasuk cara memproses permintaan CCPA. “Sayangnya, meskipun ada pelatihan, agen yang menangani masalah ini keliru dan salah memahami jenis permintaan,” tulisnya. Hammond menyatakan perusahaan berencana memberikan pelatihan penyegaran dan mengaudit pekerjaan terbaru.

Upaya mengajukan permintaan akses ke Cash App, layanan pengiriman uang milik Block, juga sama frustrasinya. Kebijakan privasi perusahaan dengan tegas menyatakan penduduk California dapat mengajukan permintaan akses melalui situs web Cash App atau panggilan telepon bebas pulsa. Namun, saat menghubungi nomor telepon tersebut dan menjelaskan ingin mengajukan permintaan akses, penelepon ditempatkan dalam mode tunggu beberapa kali sebelum disuruh memeriksa kebijakan privasi dan menghubungi nomor yang tertera di sana.

Interaksi dengan agen dukungan berikutnya juga memberatkan. Setelah ditempatkan dalam mode tunggu, penelepon diminta menelepon kembali nanti agar tim dukungan punya lebih banyak waktu untuk meninjau sumber daya mereka dan memahami cara menangani panggilan. Juru bicara Cash App menyatakan bahwa pelanggan dapat mengakses atau menghapus informasi pribadi mereka langsung melalui aplikasi, yang memungkinkan verifikasi identitas lebih cepat sebelum memberikan akses ke informasi akun keuangan. Namun, juru bicara tidak menjawab pertanyaan lanjutan mengapa nomor telepon secara eksplisit tercantum dalam kebijakan privasi sebagai cara konsumen menjalankan hak data mereka.

Mayu Tobin-Miyaji, rekan hukum di Electronic Privacy Information Center, mempertanyakan apakah perusahaan cukup berupaya untuk mematuhi hukum. “Ini menunjukkan betapa sedikitnya sumber daya yang mungkin dialokasikan perusahaan untuk kepatuhan dan memastikan orang dapat mengakses data mereka,” ujarnya.

Winters dan Tobin-Miyaji sama-sama menyebut pendekatan “data minimization” sebagai jalan keluar yang lebih baik. Pendekatan ini berarti perusahaan hanya dapat mengumpulkan data yang mereka butuhkan untuk menjalankan operasi bisnis standar. Sebagai contoh, menyimpan informasi kartu kredit untuk pembelian di masa depan mungkin diizinkan, tetapi mengumpulkan informasi demografis pribadi untuk dijual ke broker mungkin diblokir.

Data minimization adalah pendekatan yang lebih holistik yang mengalihkan beban dari konsumen yang saat ini dipaksa melewati rintangan birokrasi hanya untuk melihat apa yang perusahaan ketahui tentang mereka. Dengan membatasi apa yang dapat dikumpulkan perusahaan sejak awal, konsumen dapat memiliki ketenangan pikiran tanpa melalui proses yang memusingkan. Ke depan, pengalaman ini menjadi pelajaran penting bagi konsumen Indonesia yang semakin sadar akan hak privasi data mereka, terutama di tengah meningkatnya penggunaan layanan digital yang mengumpulkan data pengguna secara masif.