Permintaan KTP dan foto wajah saat memasuki gedung kantor atau fasilitas publik tidak selalu aman dari sisi hukum. Jika pengelola mengambil data yang tidak benar-benar diperlukan, praktik itu dapat berbenturan dengan prinsip pelindungan data pribadi.
Masalah utamanya bukan sekadar soal kebiasaan di lapangan, melainkan soal batas kebutuhan data. Dalam konteks akses gedung, pengelola tetap harus bisa menjaga keamanan tanpa otomatis meminta identitas lengkap atau foto wajah pengunjung.
Peneliti Lembaga Studi & Advokasi Masyarakat, Parasurama Pamungkas, menegaskan bahwa pengumpulan data pribadi harus memiliki tujuan yang spesifik, terbatas, dan relevan. Menurut dia, KTP maupun foto wajah tidak bisa diminta begitu saja jika tidak ada dasar sah yang mendasarinya.
Parasurama juga menyoroti kewajiban pengendali data untuk memiliki landasan hukum yang jelas sebelum memproses data pribadi. Jika data sudah diambil lalu dipakai untuk tujuan lain, maka penggunaan tersebut bisa kehilangan dasar yang semestinya.
Dalam praktiknya, permintaan data yang berlebihan justru bisa menimbulkan persoalan baru. Data yang dikumpulkan untuk membuka akses gedung seharusnya tidak melebar menjadi bahan yang diproses di luar kebutuhan awal.
Prinsipnya, bukan semua data boleh diminta
Di banyak lokasi, tamu sering dianggap wajar jika diminta menunjukkan KTP dan difoto untuk alasan keamanan. Namun, standar perlindungan data menuntut lebih dari sekadar alasan umum, karena yang dinilai adalah apakah data itu benar-benar diperlukan.
Parasurama menekankan bahwa pembatasan ini penting agar pengumpulan data tidak melampaui tujuan semula. Ketika data dikumpulkan terlalu banyak, peluang penyalahgunaan juga ikut terbuka.
Hal itu menjadi relevan karena akses fisik ke gedung atau area terbatas tetap bisa dibuat aman dengan cara yang tidak terlalu invasif. Artinya, keamanan tidak otomatis harus dibangun dengan mengumpulkan data sensitif dari setiap pengunjung.
Kerangka hukum sudah ada, tetapi penerapannya belum kuat
Indonesia sebenarnya telah memiliki Undang-Undang Pelindungan Data Pribadi sejak 2022. Aturan ini mengakui hak warga sebagai pemilik data pribadi dan memuat sanksi bagi perusahaan maupun institusi pemerintah yang lalai menjaga data.
Meski begitu, penerapannya disebut belum berjalan optimal. Salah satu sebabnya adalah belum terbentuknya badan pengawas pelindungan data pribadi sebagaimana diperintahkan dalam undang-undang.
Batas pembentukan badan itu semestinya jatuh satu tahun setelah undang-undang diterbitkan, yakni pada 17 Oktober 2024. Karena pengawasan belum kuat, praktik pengumpulan data di lapangan masih kerap berjalan tanpa evaluasi yang ketat.
Kondisi itu ikut menjelaskan mengapa meminta KTP dan memotret wajah pengunjung masih sering ditemukan. Padahal, langkah tersebut seharusnya dinilai lebih jauh, terutama dari sisi kesesuaian tujuan dan dasar hukumnya.
Ada risiko lain saat data terkumpul
Pakar Keamanan Siber Vaksincom, Alfons Tanujaya, mengingatkan bahwa foto selfie dan KTP bukan alat identifikasi yang diakui menurut Dukcapil. Karena itu, dua data tersebut tidak otomatis menyelesaikan persoalan identifikasi.
Ia menekankan bahwa risiko terbesar justru muncul dari cara data disimpan. Jika sistem keamanan lemah, kebocoran bisa terjadi dan data yang sudah terkumpul berpotensi disalahgunakan pihak yang tidak berwenang.
Alfons juga mengingatkan bahwa foto wajah dan selfie dapat dimanfaatkan lagi dengan bantuan teknologi lain. Dalam situasi seperti itu, data yang awalnya diminta untuk keamanan gedung justru bisa berubah menjadi sumber risiko baru bagi pengunjung.
Pengelola diminta mencari alternatif yang lebih aman
Parasurama memandang pengelola gedung seharusnya menyiapkan pilihan akses yang lebih aman bagi pengunjung. Dengan begitu, orang tidak dipaksa menyerahkan data pribadi yang sebenarnya tidak diperlukan untuk masuk ke lokasi.
Ia juga menilai perlindungan privasi idealnya sudah dipikirkan sejak sistem dibuat. Prinsip ini membuat keamanan dan privasi berjalan bersama, bukan menunggu muncul masalah terlebih dulu.
Pendekatan seperti yang biasa ditemui dalam layanan digital, yakni memberi pilihan sesuai konsekuensi privasi, dinilai bisa diterapkan dalam pengelolaan akses fisik. Selama keamanan tetap terjaga, hak pengunjung atas kendali data pribadinya tetap perlu dihormati.
Pada akhirnya, praktik meminta KTP dan memotret wajah saat orang masuk gedung memang tampak sederhana. Namun tanpa pembatasan tujuan, dasar hukum yang jelas, dan pengelolaan data yang aman, kebiasaan itu justru bisa berhadapan dengan UU Pelindungan Data Pribadi.