Pada tahun 2024, Komisi Perlindungan Data Irlandia (DPC) menjatuhkan denda sebesar €310 juta ($336 juta atau sekitar Rp 5,3 triliun) kepada LinkedIn Ireland Unlimited Company. Denda ini diberikan atas pelanggaran General Data Protection Regulation (GDPR) Uni Eropa terkait praktik periklanan LinkedIn. Keputusan ini merupakan hasil dari penyelidikan terhadap pengolahan data pribadi pengguna untuk analisis perilaku dan iklan bertarget.

Kasus ini bermula pada Agustus 2018, ketika sebuah organisasi non-profit Prancis, La Quadrature Du Net, mengajukan keluhan kepada otoritas perlindungan data Prancis (CNIL). Keluhan ini menyoroti kekhawatiran tentang bagaimana LinkedIn menggunakan data pribadi penggunanya dalam praktik periklanan digital.

Penyelidikan bertujuan untuk menilai apakah LinkedIn telah memproses data pribadi penggunanya secara sah, transparan, dan adil. Data yang dipermasalahkan mencakup:

1. Data pertama (first-party data) – data yang diberikan langsung oleh pengguna kepada LinkedIn.
2. Data pihak ketiga – data yang diperoleh LinkedIn dari mitra eksternal terkait dengan penggunanya.

Hasil Temuan Pelanggaran

Setelah penyelidikan mendalam, ditemukan bahwa LinkedIn telah melanggar beberapa ketentuan GDPR, yaitu:

1. Pasal 5 GDPR:
   • Prinsip keadilan dan transparansi dalam pemrosesan data. LinkedIn dinyatakan gagal memastikan bahwa data pribadi diproses secara adil dan transparan.
2. Pasal 6 GDPR:
   • Kewajiban meminta persetujuan formal dari pengguna saat memproses data pihak ketiga. LinkedIn dinilai tidak meminta izin eksplisit dari pengguna saat menggunakan data yang diperoleh dari mitra eksternal untuk periklanan.
3. Pasal 13 dan 14 GDPR:
   • Kewajiban untuk memastikan bahwa pengumpulan data pengguna dilakukan dengan prinsip transparansi dan informasi yang memadai. LinkedIn dinyatakan tidak memberikan informasi yang cukup jelas kepada pengguna tentang bagaimana data mereka digunakan untuk iklan bertarget.

Keputusan dan Tindakan dari DPC

Sebagai otoritas pengawas utama di Uni Eropa untuk LinkedIn, DPC Irlandia menyerahkan draf keputusan kepada mekanisme kerja sama GDPR pada Juli 2024. Setelah draf tersebut divalidasi, DPC menjatuhkan tiga sanksi administratif sebagai berikut:

• Denda total: €310 juta.
• Peringatan resmi kepada LinkedIn.
• Perintah agar LinkedIn memperbaiki proses pemrosesan datanya agar sesuai dengan ketentuan GDPR.

Tanggapan LinkedIn

LinkedIn memberikan pernyataan singkat atas keputusan tersebut. Dalam pernyataannya, LinkedIn mengakui keputusan DPC namun tidak memberikan konfirmasi apakah mereka akan mengajukan banding terhadap denda tersebut. LinkedIn menegaskan bahwa mereka akan bekerja untuk memastikan bahwa praktik iklan mereka mematuhi keputusan DPC dalam batas waktu yang ditentukan.

“Hari ini, DPC Irlandia mengeluarkan keputusan final atas klaim terkait beberapa upaya periklanan digital kami di Uni Eropa sejak tahun 2018. Meskipun kami percaya bahwa praktik kami sudah mematuhi GDPR, kami akan memastikan praktik iklan kami sesuai dengan keputusan ini,” kata LinkedIn.

Kasus ini menyoroti pentingnya kepatuhan terhadap GDPR dalam dunia digital, terutama dalam konteks periklanan yang memanfaatkan data pribadi pengguna. Penggunaan data tanpa persetujuan formal dapat berujung pada denda besar dan kerugian reputasi.

Menurut pakar keamanan siber, penting bagi perusahaan untuk menerapkan prinsip keadilan, transparansi, dan persetujuan eksplisit dalam setiap proses pengolahan data. Kasus ini juga menunjukkan bahwa pengawasan yang ketat oleh regulator seperti DPC tidak hanya melindungi hak-hak pengguna, tetapi juga menekankan pentingnya praktik yang bertanggung jawab dalam industri teknologi.

Perusahaan yang menggunakan data untuk periklanan harus memastikan bahwa mereka tidak hanya memenuhi persyaratan hukum, tetapi juga membangun kepercayaan dengan pengguna. Ketika perusahaan seperti LinkedIn tidak mematuhi aturan privasi, risiko hukuman finansial dan kerusakan reputasi sangat besar. Penting bagi semua organisasi untuk memprioritaskan keamanan dan privasi dalam setiap aspek operasional mereka.

Studi Kasus Serupa

Kasus serupa terjadi pada Meta (Facebook), yang sebelumnya didenda oleh regulator Eropa karena pelanggaran privasi terkait iklan berbasis perilaku. Selain itu, Google juga dikenai sanksi atas kegagalannya dalam memberikan kontrol yang memadai kepada pengguna terkait data yang dikumpulkan untuk periklanan.

Kedua kasus ini, bersama dengan LinkedIn, menggarisbawahi bahwa transparansi dan izin eksplisit adalah kunci utama dalam penggunaan data pribadi di era digital. Perusahaan yang gagal mematuhi standar ini akan menghadapi denda besar dan kerugian reputasi yang signifikan.

Kesimpulan

Kasus denda €310 juta terhadap LinkedIn menunjukkan bahwa regulator seperti DPC Irlandia serius dalam memastikan kepatuhan terhadap GDPR. Selain berdampak finansial, pelanggaran ini juga menurunkan kepercayaan pengguna terhadap perusahaan. Bagi LinkedIn dan perusahaan teknologi lainnya, kepatuhan terhadap peraturan privasi harus menjadi prioritas utama.

Pakar keamanan siber menegaskan bahwa perusahaan perlu secara proaktif mengevaluasi kebijakan privasi dan praktik data mereka agar sesuai dengan peraturan dan ekspektasi publik. Transparansi, persetujuan eksplisit, dan penggunaan data yang etis akan menjadi fondasi dalam menjaga hubungan yang baik antara perusahaan dan pelanggan di masa depan.

Pelajaran yang Bisa Dipetik dari Kasus Denda LinkedIn dan Implikasinya di Indonesia

Kasus denda yang dijatuhkan oleh Komisi Perlindungan Data Irlandia (DPC) kepada LinkedIn memberikan banyak wawasan berharga, terutama terkait kepatuhan terhadap regulasi privasi dan tata kelola data dalam industri teknologi. Ada beberapa poin penting yang bisa dipelajari dan relevan dengan penerapan hukum di Indonesia, terutama dengan adanya Undang-Undang Perlindungan Data Pribadi (UU PDP) yang baru disahkan pada tahun 2022. Berikut ini beberapa pelajaran dan penerapannya dalam konteks Indonesia.

Pelajaran dari Kasus LinkedIn

1. Kepatuhan terhadap Regulasi adalah Kewajiban, Bukan Opsi
   LinkedIn merasa sudah memenuhi regulasi GDPR, tetapi otoritas Irlandia tetap menemukan pelanggaran dalam pengolahan data pribadi. Ini menunjukkan bahwa perusahaan tidak boleh hanya berasumsi bahwa mereka sudah patuh; evaluasi secara berkala dan audit internal harus dilakukan untuk memastikannya.
2. Persetujuan Pengguna yang Jelas dan Transparansi dalam Penggunaan Data
   Salah satu pelanggaran utama LinkedIn adalah tidak adanya persetujuan eksplisit dari pengguna ketika memproses data pihak ketiga. Pelajaran ini menekankan bahwa pengguna harus diberi kendali penuh atas data mereka, dan penggunaan data tersebut harus diinformasikan dengan jelas sejak awal.
3. Konsekuensi Finansial dan Reputasi dari Pelanggaran Privasi
   Selain denda besar, kasus ini memperlihatkan bagaimana pelanggaran privasi bisa merusak reputasi perusahaan. Kepercayaan pelanggan adalah aset yang sangat penting dalam bisnis digital, dan pelanggaran privasi dapat menghancurkan kepercayaan tersebut.
4. Pengawasan Ketat dan Penerapan Kebijakan Berkelanjutan
   Kasus LinkedIn menunjukkan bahwa pengawasan yang ketat oleh regulator memainkan peran penting dalam memastikan perusahaan mematuhi aturan privasi. Perusahaan tidak hanya harus mematuhi regulasi di awal, tetapi juga konsisten dalam penerapannya dengan kebijakan yang diperbarui secara berkala.

Implikasi dalam Konteks Hukum di Indonesia

Di Indonesia, Undang-Undang Perlindungan Data Pribadi (UU PDP) yang disahkan pada 17 Oktober 2022 menjadi dasar hukum untuk melindungi data pribadi masyarakat Indonesia. Berikut beberapa penerapan penting dari pelajaran kasus LinkedIn sesuai dengan regulasi di Indonesia.

1. Prinsip Persetujuan Pengguna dalam UU PDP

UU PDP mengatur bahwa setiap pengumpulan, pengolahan, dan penyimpanan data pribadi harus didasarkan pada persetujuan eksplisit dari pemilik data. Ini serupa dengan prinsip GDPR. Perusahaan yang beroperasi di Indonesia perlu:

• Memberikan informasi yang jelas tentang tujuan pengumpulan data.
• Memastikan bahwa pengguna memberikan persetujuan tanpa paksaan.
• Menyediakan opsi bagi pengguna untuk mencabut persetujuan kapan saja.

Penerapan:
Platform digital di Indonesia harus transparan dalam kebijakan privasi dan mekanisme izin akses data, seperti akses kamera, lokasi, dan kontak pada aplikasi seluler.

2. Sanksi Finansial dan Pemulihan Kerugian

UU PDP mengatur sanksi administratif dan pidana bagi perusahaan yang melanggar, seperti:

• Denda hingga 2% dari pendapatan tahunan.
• Gugatan perdata dari pengguna yang dirugikan oleh pelanggaran data.

Penerapan:
Perusahaan yang memproses data di Indonesia harus menyediakan mekanisme pemulihan bagi korban pelanggaran data dan memitigasi risiko sejak awal dengan melakukan pentesting dan audit privasi secara berkala.

3. Peran Otoritas Pengawas (Lembaga Pengawas PDP)

Indonesia akan membentuk lembaga pengawas independen seperti Komisi Perlindungan Data untuk memastikan kepatuhan UU PDP. Kasus LinkedIn menunjukkan pentingnya keberadaan lembaga pengawas yang efektif dan berperan aktif dalam menangani pelanggaran.

Penerapan:
Perusahaan di Indonesia harus siap menghadapi audit reguler dan pelaporan insiden kepada lembaga pengawas. Selain itu, mereka perlu segera memperbaiki kebijakan privasi dan memastikan semua proses internal selaras dengan peraturan.

4. Penerapan Teknologi dan Audit untuk Kepatuhan Berkelanjutan

Kasus LinkedIn menunjukkan bahwa audit privasi harus menjadi proses berkelanjutan, bukan hanya inisiatif satu kali. UU PDP juga menekankan pentingnya tata kelola data yang baik dan transparansi.

Penerapan:

• Audit dan pentesting secara berkala untuk memastikan keamanan data.
• Penerapan teknologi enkripsi dan autentikasi ganda (MFA) dalam pengolahan data.
• Pelatihan rutin bagi karyawan untuk meminimalkan risiko human error.

Kasus denda terhadap LinkedIn menunjukkan bahwa perusahaan harus serius dalam mematuhi regulasi privasi dan menerapkan kebijakan perlindungan data yang kuat. Di Indonesia, dengan pemberlakuan UU PDP, penting bagi perusahaan untuk memastikan mereka memiliki kebijakan privasi yang jelas, mekanisme persetujuan pengguna yang transparan, dan prosedur audit keamanan yang efektif.

Regulasi seperti GDPR dan UU PDP bukan hanya beban hukum, tetapi juga kesempatan bagi perusahaan untuk membangun kepercayaan pelanggan. Perusahaan yang proaktif dalam melindungi data pribadi tidak hanya menghindari sanksi, tetapi juga meningkatkan loyalitas dan reputasi bisnis. Transparansi dan keamanan harus menjadi prioritas utama setiap organisasi di era digital ini.

Dengan penerapan prinsip-prinsip dari UU PDP, perusahaan di Indonesia dapat mengurangi risiko pelanggaran dan meningkatkan kepercayaan masyarakat terhadap layanan digital. Kasus LinkedIn memberikan peringatan penting bahwa keamanan dan privasi data tidak bisa diabaikan di dunia yang semakin terkoneksi.

sumber berita: https://www.infosecurity-magazine.com/news/irish-data-watchdog-fines-linkedin/