Collection Limitation Principle dalam Beragam Perspektif

Salah satu prinsip dalam Fair Information Practice Principles (FIPPs) adalah Collection Limitation Principle, prinsip ini mengatur bahwa pengumpulan data pribadi tidak boleh dilakukan secara bebas tanpa batas, melainkan harus memenuhi persyaratan tertentu untuk melindungi hak dan privasi individu sebagaimana dirumuskan oleh Organisation for Economic Co-operation and Development (OECD) dalam The Guidelines on the Protection of Privacy and Transborder Flows of Personal Data tahun 1980 sebagai berikut, “There should be limits to the collection of personal data and any such data should be obtained by lawful and fair means and, where appropriate, with the knowledge or consent of the data subject.”

Prinsip Collection Limitation kemudian diadopsi dalam berbagai ketentuan pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pengumpulan data pribadi diakui sebagai bagian dari kegiatan pemrosesan data[1] yang harus dilakukan secara terbatas dan spesifik, sah secara hukum, serta transparan[2] dan dilakukan dengan persetujuan yang sah dan eksplisit dari subjek data untuk satu atau beberapa tujuan tertentu.[3]

Rumusan tersebut menunjukkan bahwa Collection Limitation Principle tidak hanya menekankan adanya pembatasan terhadap jumlah atau jenis data yang dikumpulkan, tetapi juga mengatur bagaimana data tersebut diperoleh. Dengan demikian, fokus utama prinsip ini adalah memastikan bahwa kegiatan pengumpulan data dilakukan secara bertanggung jawab sejak awal siklus pemrosesan data.

Dalam Explanatory Memoranda OECD dijelaskan bahwa seluruh prinsip dalam FIPPs saling berkaitan dan tidak dapat dipisahkan secara kaku. Meskipun demikian, Collection Limitation Principle secara khusus mengatur dua aspek utama, yaitu:

1. pembatasan terhadap pengumpulan data pribadi (limits to the collection of data which, because of the manner in which they are to be processed, their nature, the context in which they are to be used or other circumstances, are regarded as specially sensitive); dan
2. persyaratan mengenai metode pengumpulan (requirements concerning data collection methods). 

OECD sendiri tidak menetapkan daftar universal mengenai kategori data yang selalu dianggap sensitif. Perbedaan pendekatan antarnegara menjadi salah satu alasannya. Beberapa negara memilih mengidentifikasi secara eksplisit data sensitif, seperti halnya di Indonesia. Di Indonesia, data pribadi dibagi menjadi dua kategori sebagaimana diatur dalam Pasal 4 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yaitu data pribadi yang bersifat spesifik (seperti: informasi kesehatan, biometrik, genetika, catatan kejahatan, anak, keterangan pribadi; dan/atau lainnya) dan data pribadi yang bersifat umum (seperti nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang). Sensitivitas terkait data pribadi tercermin pada Pasal 34 Undang-Undang a quo yang menyebutkan bahwa pemrosesan data pribadi yang bersifat spesifik memiliki potensi risiko tinggi. Sedangkan ada pula negara yang berpendapat bahwa sensitivitas suatu data sangat bergantung pada konteks penggunaan dan tujuan pemrosesannya. Oleh karena itu, OECD memilih menggunakan pendekatan yang lebih fleksibel dengan menekankan bahwa setiap negara perlu menetapkan batasan yang sesuai terhadap pengumpulan data pribadi. Melalui pendekatan tersebut, Collection Limitation Principle pada dasarnya bertujuan mencegah praktik pengumpulan data secara berlebihan (indiscriminate collection of personal data). Pengumpulan data hanya dapat dilakukan sepanjang memang diperlukan untuk tujuan yang sah, dilakukan dengan cara yang adil, serta tetap memperhatikan hak-hak subjek data.

Selain membatasi ruang lingkup pengumpulan data, OECD juga menekankan bahwa metode pengumpulan data harus dilakukan secara terbuka dan tidak menyesatkan. Praktik seperti penggunaan alat perekam tersembunyi atau memperoleh informasi melalui tipu muslihat dipandang bertentangan dengan prinsip ini. Pada umumnya, subjek data setidaknya harus mengetahui bahwa datanya sedang dikumpulkan, dan dalam keadaan tertentu diperlukan persetujuan sebelum pengumpulan dilakukan. Meskipun demikian, OECD mengakui adanya pengecualian yang didasarkan pada alasan praktis maupun kepentingan publik, misalnya dalam kegiatan penyidikan tindak pidana atau pembaruan rutin daftar alamat.

Uraian di atas menunjukkan bahwa Collection Limitation Principle tidak hanya mengatur mengenai pembatasan pengumpulan data pribadi, tetapi juga menetapkan standar mengenai cara data tersebut diperoleh. Oleh karena itu, untuk memahami penerapan prinsip ini secara komprehensif, perlu dianalisis lebih lanjut setiap unsur yang terkandung dalam rumusan OECD, yaitu lawful and fair means, serta knowledge or consent of the data subject.

Lawful and Fair Means

Salah satu unsur utama dalam Collection Limitation Principle adalah bahwa pengumpulan data pribadi harus dilakukan melalui lawful and fair means. Frasa ini menunjukkan bahwa pembatasan pengumpulan data pribadi tidak hanya berkaitan dengan apa yang dikumpulkan, tetapi juga bagaimana data tersebut diperoleh. Dengan demikian, suatu pengumpulan data tidak cukup hanya memiliki dasar hukum (lawful), tetapi juga harus dilakukan dengan cara yang adil, terbuka, dan menghormati hak-hak subjek data (fair).

Dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, konsep tersebut tercermin dalam Pasal 16 ayat (2) yang mengatur bahwa pengumpulan Data Pribadi harus dilakukan secara terbatas dan spesifik, sah secara hukum, dan transparan. Penjelasan Pasal 16 ayat (2) menerangkan bahwa yang dimaksud dengan “sah secara hukum” adalah pemrosesan Data Pribadi yang dilakukan sesuai dengan ketentuan peraturan perundang-undangan. Meskipun UU PDP tidak menggunakan istilah fair means, prinsip tersebut pada dasarnya tercermin melalui kewajiban transparansi serta penghormatan terhadap hak-hak subjek data selama proses pengumpulan.

OECD sendiri tidak memberikan definisi khusus mengenai istilah lawful maupun fair. Namun, perkembangan praktik perlindungan data di berbagai negara memberikan penjelasan mengenai makna kedua unsur tersebut. Salah satunya terdapat dalam Australian Privacy Principles (APP) Guidelines yang menjelaskan bahwa lawful berkaitan dengan kepatuhan terhadap ketentuan hukum, sedangkan fair berkaitan dengan kewajaran cara memperoleh data dengan mempertimbangkan seluruh keadaan yang melingkupinya.

Berdasarkan Australian Privacy Principles Guidelines, suatu pengumpulan data dianggap dilakukan secara lawful apabila tidak bertentangan dengan ketentuan hukum yang berlaku. Sebaliknya, pengumpulan data tidak memenuhi unsur lawful apabila dilakukan melalui cara-cara yang melanggar hukum, seperti memperoleh data melalui peretasan komputer, penyadapan tanpa kewenangan, meminta informasi untuk tujuan diskriminatif, melakukan perbuatan melawan hukum terhadap individu, atau bertentangan dengan putusan pengadilan.

Sementara itu, unsur fair menekankan bahwa sekalipun suatu pengumpulan data dilakukan berdasarkan dasar hukum yang sah, cara memperoleh data tersebut juga harus menghormati hak dan kepentingan subjek data. Pengumpulan data tidak dapat dianggap fair apabila dilakukan melalui intimidasi, penipuan, manipulasi, atau cara-cara yang secara tidak wajar mengganggu privasi individu. Penilaian mengenai apakah suatu cara pengumpulan bersifat fair dilakukan dengan mempertimbangkan seluruh keadaan, termasuk tingkat transparansi kepada subjek data, ekspektasi yang wajar mengenai penggunaan data, potensi risiko yang ditimbulkan, serta kondisi kerentanan subjek data.

Dengan demikian, unsur lawful and fair means merupakan dua persyaratan yang saling melengkapi. Kepatuhan terhadap hukum memastikan bahwa pengumpulan data memiliki dasar yang sah, sedangkan unsur fair memastikan bahwa proses pengumpulan dilakukan secara etis, transparan, proporsional, dan menghormati hak-hak subjek data. Kedua unsur tersebut menjadi landasan agar pengumpulan data pribadi tidak dilakukan secara sewenang-wenang meskipun secara formal memiliki dasar hukum. 

Knowledge or Consent of The Data Subject

Sebagai bagian dari Collection Limitation Principle, OECD menghendaki agar pengumpulan data pribadi dilakukan melalui lawful and fair means, dengan pengetahuan (knowledge) atau persetujuan (consent) dari subjek data. Ketentuan ini mencerminkan bahwa pengumpulan data pribadi pada dasarnya harus melibatkan subjek data, baik melalui pemberian informasi maupun melalui persetujuan, sehingga individu tetap memiliki kendali terhadap data pribadinya. 

Dalam Explanatory Memoranda, OECD menegaskan bahwa pengetahuan atau persetujuan subjek data merupakan unsur yang penting dalam proses pengumpulan data. Di antara keduanya, pengetahuan (knowledge) diposisikan sebagai standar minimum yang harus dipenuhi. Artinya, pada prinsipnya subjek data harus mengetahui bahwa data pribadinya sedang dikumpulkan. Adapun persetujuan (consent) tidak selalu menjadi persyaratan mutlak karena terdapat kondisi tertentu yang, atas dasar pertimbangan praktis atau kepentingan publik, memungkinkan pengumpulan data dilakukan tanpa terlebih dahulu memperoleh persetujuan. Oleh sebab itu, OECD menggunakan frasa where appropriate untuk memberikan fleksibilitas dalam penerapan prinsip ini. 

Meskipun OECD tidak memberikan definisi mengenai knowledge, konsep tersebut ditemukan dalam International Organization for Migration (IOM) Data Protection Principles. Menurut IOM, knowledge merupakan kemampuan seseorang untuk memahami secara utuh tujuan tertentu yang mendasari pengumpulan dan pemrosesan data pribadinya. Dengan demikian, knowledge tidak hanya dimaknai sebagai kesadaran bahwa data sedang dikumpulkan, tetapi juga mencakup pemahaman mengenai alasan pengumpulan, tujuan penggunaan, dan proses pengolahan data tersebut.

Sedangkan, konsep consent memperoleh pengaturan yang lebih rinci dalam General Data Protection Regulation (GDPR). GDPR menempatkan persetujuan sebagai salah satu dari enam dasar hukum yang dapat digunakan untuk melakukan pemrosesan data pribadi. Selain persetujuan, pemrosesan juga dapat didasarkan pada pelaksanaan kontrak, pemenuhan kewajiban hukum, perlindungan kepentingan vital subjek data, pelaksanaan tugas untuk kepentingan umum, maupun kepentingan yang sah (legitimate interests). Hal ini menunjukkan bahwa persetujuan bukan merupakan satu-satunya dasar yang melegitimasi pemrosesan data pribadi.

Agar mempunyai kekuatan hukum, persetujuan menurut GDPR harus memenuhi empat karakteristik utama, yaitu diberikan secara bebas (freely given), untuk tujuan yang spesifik (specific), berdasarkan informasi yang memadai (informed), dan dinyatakan secara tegas (unambiguous). Persetujuan harus lahir dari pilihan yang benar-benar bebas tanpa adanya paksaan, tekanan, ataupun penyalahgunaan posisi dominan. Oleh karena itu, GDPR memandang bahwa dalam situasi tertentu, seperti hubungan antara pemberi kerja dan pekerja, persetujuan belum tentu mencerminkan kehendak yang bebas karena adanya ketimpangan posisi tawar. GDPR juga melarang praktik yang menjadikan persetujuan sebagai syarat untuk memperoleh layanan apabila pemrosesan data tersebut sebenarnya tidak diperlukan untuk pelaksanaan layanan atau kontrak.

Selain diberikan secara bebas, persetujuan juga harus didasarkan pada informasi yang memadai. Sebelum menyatakan persetujuan, subjek data harus memperoleh penjelasan mengenai identitas pengendali data, jenis data yang akan diproses, tujuan pemrosesan, cara penggunaan data, serta hak untuk menarik kembali persetujuannya. Dalam kondisi tertentu, pengendali data juga wajib menjelaskan penggunaan sistem pengambilan keputusan otomatis maupun risiko yang timbul apabila data dipindahkan ke negara yang belum memiliki tingkat pelindungan data yang setara.

GDPR juga mensyaratkan agar persetujuan diberikan melalui tindakan afirmatif yang jelas. Oleh karena itu, persetujuan tidak dapat diasumsikan hanya karena subjek data bersikap pasif, tidak memberikan tanggapan, atau menggunakan kotak centang yang telah dipilih sebelumnya (pre-ticked boxes). Meskipun tidak diwajibkan dalam bentuk tertentu, persetujuan secara tertulis maupun elektronik lebih disarankan karena memudahkan pembuktian bahwa persetujuan tersebut benar-benar telah diberikan.

Dalam konteks Indonesia, konsep knowledge or consent of the data subject tercermin dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 20 ayat (2) huruf a mengatur bahwa persetujuan sebagai dasar pemrosesan harus diberikan secara sah dan eksplisit oleh subjek data untuk satu atau beberapa tujuan tertentu yang telah disampaikan oleh Pengendali Data Pribadi. Di sisi lain, sebagaimana OECD maupun GDPR, Undang-Undang a quo juga tidak menjadikan persetujuan sebagai satu-satunya dasar pemrosesan data pribadi. Pengaturan tersebut menunjukkan bahwa pendekatan UU PDP sejalan dengan prinsip OECD, yaitu memberikan ruang bagi pemrosesan data tanpa persetujuan dalam keadaan tertentu sepanjang didasarkan pada dasar hukum yang sah dan tetap menjamin pelindungan terhadap hak-hak subjek data.

Pustaka:

1. GDPR-Info. “Consent.” Accessed July 28, 2026. https://gdpr-info.eu/issues/consent/.
2. International Organization for Migration. IOM Data Protection Principles. Instruction No. IN/00138. Geneva: International Organization for Migration, 2009.
3. Office of the Australian Information Commissioner. Australian Privacy Principles Guidelines: Chapter 3 – APP 3 Collection of Solicited Personal Information. Accessed July 28, 2026. https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-3-app-3-collection-of-solicited-personal-information.
4. Organisation for Economic Co-operation and Development. OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data. Paris: OECD, 1980.
5. Organisation for Economic Co-operation and Development. Explanatory Memoranda of the OECD Privacy Guidelines. OECD Digital Economy Papers No. 360. Paris: OECD, 2023.
6. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the Protection of Natural Persons with Regard to the Processing of Personal Data and on the Free Movement of Such Data, and Repealing Directive 95/46/EC (General Data Protection Regulation). Official Journal of the European Union L119 (May 4, 2016): 1–88.
7. Republik Indonesia. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.