Privacy-Enhancing Technologies: Melindungi Data Tanpa Menghilangkan Nilai Bisnis

Di tengah berkembangnya kecerdasan buatan, analitik prediktif, layanan digital, dan kolaborasi lintas organisasi, data telah menjadi aset strategis. Namun, semakin besar nilai data, semakin tinggi pula risiko pelanggaran privasi, penyalahgunaan, dan akses tidak sah.

Pertanyaan penting bagi organisasi bukan lagi sekadar, “Bagaimana mengamankan basis data?”, tetapi juga:

Bagaimana organisasi tetap memperoleh nilai dari data tanpa membuka identitas individu di dalamnya?

Di sinilah Privacy-Enhancing Technologies atau PETs menjadi relevan.

PETs merupakan sekumpulan teknologi yang membantu organisasi meminimalkan penggunaan data pribadi, memperkuat keamanan informasi, dan tetap memungkinkan analisis atau pertukaran data secara terkendali. Teknologi ini mencakup differential privacy, federated learning, synthetic data, homomorphic encryption, secure multiparty computation, private set intersection, dan trusted execution environments.

PETs Bukan Sekadar Membeli Teknologi

Adopsi PETs tidak dapat dimulai hanya dengan membeli aplikasi atau memilih algoritma. Dalam salah satu panel SDF, dipaparkan sebuah framework bernama PETs Adoption Journey yang menggambarkan enam tahapan kritis dalam penerapannya.

1. Business Value and Economics

Organisasi harus menentukan masalah bisnis yang hendak diselesaikan, nilai data yang ingin dipertahankan, biaya implementasi, serta return on investment.

PETs perlu menjawab kebutuhan nyata, seperti mendeteksi fraud, melakukan penelitian kesehatan, membangun personalisasi layanan, atau melatih model AI tanpa memusatkan seluruh data mentah.

Biaya implementasi juga harus dibandingkan dengan manfaatnya, seperti penurunan risiko kebocoran, peningkatan kepercayaan pelanggan, peluang kolaborasi data, dan pengurangan potensi sanksi. Ketidakjelasan biaya, manfaat, tingkat kematangan teknologi, dan use case masih menjadi hambatan utama adopsi PETs di banyak organisasi.

2. Technical Feasibility

Tahap berikutnya adalah menilai apakah teknologi PETs dapat diintegrasikan dengan arsitektur, kualitas data, kapasitas komputasi, aplikasi lama, serta kebutuhan kinerja organisasi.

Tidak semua teknologi cocok untuk setiap kebutuhan. Differential privacy dapat digunakan untuk menghasilkan statistik agregat, sedangkan federated learning lebih sesuai ketika model perlu dilatih menggunakan data yang tersebar pada banyak perangkat atau lokasi.

Pemilihan teknologi harus berdasarkan use case dan risiko, bukan sekadar mengikuti tren.

3. Privacy Assurance

Organisasi harus membuktikan bahwa teknik yang dipilih benar-benar menurunkan risiko identifikasi ulang.

Pengujian tidak boleh berhenti pada klaim vendor. Organisasi perlu menilai parameter privasi, threat modelling, kemungkinan serangan, kualitas anonimisasi, dokumentasi teknis, serta efektivitas kontrol dari waktu ke waktu.

PETs tidak otomatis membuat data menjadi anonim atau menghilangkan seluruh risiko privasi. Konfigurasi yang salah tetap dapat menghasilkan data yang dapat dikaitkan kembali dengan individu.

4. Regulatory Acceptance

Penggunaan PETs harus diselaraskan dengan UU PDP, GDPR, dan regulasi sektoral.

PETs bukan jalan pintas untuk menghapus kewajiban hukum. Organisasi tetap harus menentukan tujuan dan dasar pemrosesan, menerapkan transparansi, mengelola retensi, memenuhi hak subjek data, serta menunjukkan akuntabilitas.

GDPR mewajibkan penerapan data protection by design and by default dengan mempertimbangkan perkembangan teknologi, biaya implementasi, tujuan pemrosesan, dan tingkat risiko. GDPR juga menyebut pseudonimisasi dan enkripsi sebagai contoh tindakan teknis yang dapat diterapkan.

5. Operational Readiness

Teknologi yang baik tetap dapat gagal apabila organisasi tidak siap mengoperasikannya.

Dibutuhkan prosedur, kompetensi, pemilik proses, monitoring, respons insiden, serta koordinasi antara fungsi privasi, keamanan informasi, data, teknologi, legal, manajemen risiko, dan bisnis.

Organisasi juga perlu menetapkan siapa yang boleh mengubah parameter, mengakses hasil, menyetujui use case, dan mengevaluasi efektivitas kontrol.

6. Ecosystem and Organizational Adoption

Tahap terakhir adalah memastikan PETs tidak berhenti sebagai proyek percontohan.

PETs harus diintegrasikan ke dalam arsitektur perusahaan, data governance, pengadaan teknologi, pengembangan sistem, pengelolaan vendor, dan kolaborasi dengan mitra.

Contoh PETs dalam Google Maps

Fitur Popular Times di Google Maps menunjukkan bagaimana data lokasi dapat menghasilkan insight tanpa menampilkan riwayat perjalanan individu.

Google menjelaskan bahwa fitur tersebut menggunakan data Location History yang telah diagregasi dan dianonimkan dari pengguna yang mengaktifkan pengaturan itu. Differential privacy diterapkan agar informasi tingkat keramaian tidak dapat digunakan untuk mengidentifikasi pengguna tertentu. Apabila data tidak mencukupi untuk menghasilkan rekomendasi yang akurat dan anonim, informasi keramaian tidak ditampilkan.

Pendekatan lain terlihat pada Google Maps Timeline. Data kunjungan dan perjalanan disimpan pada perangkat pengguna. Pengguna juga dapat memilih untuk menyimpan salinan cadangan terenkripsi pada server Google. Pendekatan ini memberikan kontrol lebih besar kepada pengguna dan mengurangi ketergantungan pada penyimpanan riwayat lokasi secara terpusat.
Baca artikel : 6 Dasar Hukum Wajib Sebelum Memproses Data Pribadi: Panduan Pasal 20 UU PDP dan Perbandingannya dengan GDPR

Trusted Execution Environment: Melindungi Data Saat Diproses

Enkripsi umumnya melindungi data saat disimpan dan dikirim. Namun, data juga perlu dilindungi ketika sedang digunakan.

Trusted Execution Environment atau TEE menyediakan lingkungan berbasis perangkat keras yang aman dan terisolasi. Lingkungan tersebut membatasi akses atau modifikasi tidak sah terhadap aplikasi dan data selama proses komputasi berlangsung.

Konsep ini sejalan dengan prinsip:

Memindahkan komputasi menuju data, bukan memindahkan data mentah secara bebas menuju banyak pihak.

Dengan pendekatan tersebut, pihak-pihak yang berkolaborasi dapat memperoleh hasil analisis tanpa harus saling membuka keseluruhan data sensitif.

Gboard: Model Belajar Tanpa Memusatkan Semua Ketikan

Contoh lain terdapat pada Google Keyboard atau Gboard.

Google menggunakan federated learning dan differential privacy dalam pelatihan model bahasa Gboard. Pemrosesan dilakukan dengan memanfaatkan pembaruan model dari perangkat, kemudian hasilnya diagregasi dengan perlindungan privasi.

Penelitian Google menyebutkan bahwa lebih dari 20 model bahasa Gboard telah diterapkan dengan jaminan formal differential privacy. Dengan demikian, model tetap dapat meningkatkan kemampuan prediksi kata tanpa harus memperlakukan setiap kontribusi pengguna sebagai data yang dapat ditelusuri secara individual.
Baca Artikel : Kebijakan Privasi Ditulis untuk Disetujui, Bukan untuk Dibaca dan Itu Adalah Masalah yang Menguntungkan Perusahaan, Bukan Kamu

Dari Kepatuhan Menuju Privacy by Design

PETs membuktikan bahwa organisasi tidak harus memilih antara inovasi bisnis dan hak privasi individu. Keduanya dapat berjalan beriringan apabila teknologi ditempatkan dalam tata kelola yang tepat.

UU PDP menempatkan pelindungan data pribadi sebagai keseluruhan upaya untuk melindungi data sepanjang rangkaian pemrosesan. Artinya, perlindungan tidak cukup diterapkan pada tahap penyimpanan, tetapi harus dipertimbangkan sejak pengumpulan, penggunaan, pengungkapan, hingga penghapusan data.

Adopsi PETs sebaiknya dimulai dengan pemetaan tujuan pemrosesan, aliran data, risiko privasi, DPIA, kebutuhan bisnis, serta kesiapan teknologi. Setelah itu, organisasi dapat memilih teknologi yang proporsional, menguji jaminan privasinya, dan mengintegrasikannya ke dalam sistem manajemen.

Privacy by Design bukan sekadar slogan. Ini merupakan keputusan arsitektural mengenai siapa yang dapat mengakses data, untuk tujuan apa, dalam kondisi bagaimana, dan sejauh mana data tersebut benar-benar perlu digunakan.

Mitra Berdaya Optima siap membantu organisasi melakukan DPIA, membangun privacy architecture, serta mengintegrasikan UU PDP, ISO/IEC 27001, dan ISO/IEC 27701 ke dalam proses bisnis dan teknologi. Mitra Berdaya Optima mendampingi organisasi dalam membangun Sistem Manajemen Keamanan Informasi berbasis ISO 27701:2025 yang memastikan pemenuhan hak subjek data dapat dieksekusi secara operasional mulai dari pemetaan data pribadi, desain mekanisme pemenuhan hak akses, koreksi, penghapusan dan keberatan, pelatihan awareness tim internal, hingga pendampingan audit kepatuhan UU PDP. 

Jika perusahaan Anda memerlukan arahan dari seorang konsultan ISO dan training ISO dalam proses implementasi ISO, PT Mitra Berdaya Optima siap membantu Anda dengan setulus hati. Konsultan kami memiliki pengalaman bekerja dengan 500+ klien dari berbagai sektor industri. Segera hubungi kami dengan mengklik link berikut untuk konsultasi gratis dan dapatkan proses sertifikasi yang menyenangkan.