Mengganti nama dengan penanda pengganti adalah langkah awal yang baik. Menurut GDPR, langkah ini saja tidak membuat data menjadi anonim. Artikel ini menjelaskan isi peraturan tersebut, keputusan Mahkamah Kehakiman Uni Eropa pada September 2025, dan tindakan yang dapat dilakukan.
Jawaban singkat
Ya, secara umum. GDPR menyatakan bahwa data pribadi yang telah mengalami pseudonimisasi dan dapat dikaitkan dengan seseorang menggunakan informasi tambahan merupakan informasi tentang orang yang dapat diidentifikasi. Jika Anda memegang kunci yang menghubungkan "Person_1" kembali ke nama asli, teks yang Anda ganti tetap merupakan data pribadi di tangan Anda, dan pemrosesannya oleh Anda tercakup dalam GDPR.
Jawaban yang lebih cermat adalah bahwa hal itu bergantung pada siapa yang memegang data dan sarana apa yang secara wajar dapat mereka gunakan untuk mengidentifikasi orang tersebut. Di sinilah keputusan pengadilan tahun 2025 menjadi penting.
Isi GDPR
Pasal 4(5) mendefinisikan pseudonimisasi sebagai:
"pemrosesan data pribadi sedemikian rupa sehingga data pribadi tersebut tidak lagi dapat dikaitkan dengan subjek data tertentu tanpa menggunakan informasi tambahan, dengan ketentuan bahwa informasi tambahan tersebut disimpan secara terpisah dan dikenai langkah-langkah teknis dan organisasional untuk memastikan bahwa data pribadi tersebut tidak dikaitkan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi"
Resital 26 menyatakan bahwa data pribadi yang telah mengalami pseudonimisasi dan dapat dikaitkan dengan orang perseorangan menggunakan informasi tambahan harus dianggap sebagai informasi tentang orang perseorangan yang dapat diidentifikasi. Untuk menentukan apakah seseorang dapat diidentifikasi, perlu dipertimbangkan semua sarana yang secara wajar mungkin digunakan, seperti identifikasi khusus, baik oleh pengendali maupun orang lain, termasuk biaya dan waktu yang diperlukan serta teknologi yang tersedia.
Ada dua hal praktis yang dapat disimpulkan dari rumusan ini. Kunci harus disimpan secara terpisah, dengan langkah-langkah teknis dan organisasional. Selain itu, "dapat diidentifikasi" dinilai berdasarkan sarana yang realistis, bukan berdasarkan apakah identifikasi secara teoretis mungkin dilakukan.
Tambahan dari Mahkamah pada 2025
Pada 4 September 2025, Mahkamah Agung Uni Eropa memutuskan perkara EDPS v SRB (Perkara C-413/23 P). Perkara ini menyangkut komentar yang diteruskan oleh otoritas perbankan kepada sebuah perusahaan konsultan setelah identitas penulisnya diganti dengan kode. Perkara ini diputus berdasarkan Peraturan 2018/1725, yang berlaku bagi lembaga-lembaga UE, tetapi definisi data pribadi dan pseudonimisasi di dalamnya sama dengan yang ada dalam GDPR.
Mahkamah menyatakan bahwa data yang dipseudonimkan tidak boleh dianggap sebagai data pribadi "dalam semua kasus dan bagi setiap orang". Apakah data merupakan data pribadi bagi penerima tertentu bergantung pada keadaan, termasuk apakah penerima tersebut memiliki sarana yang secara wajar mungkin digunakan untuk mengidentifikasi ulang orang-orang yang terkait. Pihak yang melakukan pseudonimisasi dan memegang informasi tambahan berada dalam posisi yang berbeda dari penerima yang tidak memiliki cara untuk menghubungkan kode dengan siapa pun.
Ini merupakan perkembangan hukum yang masih ditelaah oleh para spesialis. Jangan menafsirkannya sebagai izin untuk mengirim data klien yang dipseudonimkan ke mana saja. Putusan itu menyatakan bahwa persoalan ini dinilai dari sisi penerima, bukan bahwa persoalannya tidak lagi ada.
Artinya bagi chatbot AI
- Anda tetap menjadi pengendali atas data asli dan kuncinya. Kewajiban GDPR Anda sendiri berlaku atas tindakan Anda terhadap dokumen tersebut, termasuk penggantian informasi.
- Apakah penyedia AI menerima data pribadi merupakan pertanyaan yang jawabannya bergantung pada fakta spesifik. Konteks dapat mengidentifikasi seseorang meskipun namanya tidak tercantum: pekerjaan yang langka, kota kecil, atau peristiwa yang tidak biasa. Jika seseorang secara realistis dapat mengetahui siapa yang dibicarakan dalam teks tersebut, perlakukan teks itu sebagai data pribadi.
- Jangan mendasarkan posisi kepatuhan Anda pada anggapan bahwa penanda pengganti membuat teks menjadi anonim. Rencanakan seolah-olah data itu mungkin masih merupakan data pribadi, dan perlakukan penanda pengganti sebagai salah satu dari beberapa perlindungan.
Pseudonimisasi tetap bermanfaat, dan GDPR menyatakannya demikian. Pasal 32(1)(a) mencantumkan pseudonimisasi sebagai salah satu langkah keamanan yang dapat digunakan pengendali. Resital 28 dan 78 menyatakan bahwa pseudonimisasi dapat mengurangi risiko bagi subjek data serta mendukung perlindungan data berdasarkan desain dan secara default. Peraturan tersebut memperlakukannya sebagai perlindungan, bukan sebagai jalan keluar dari peraturan.
Tindakan praktis
- Minimalkan terlebih dahulu. Kirim hanya bagian yang diperlukan untuk tugas tersebut. Lihat cara menggunakan alat AI dengan dokumen klien.
- Ganti setiap pengenal, bukan hanya nama. Nomor rekening, nomor ID, dan tanggal lahir juga merupakan pengenal. Lihat daftar periksa untuk daftar lengkapnya.
- Simpan kunci di pihak Anda, terpisah dari teks yang Anda kirim, lalu hapus setelah urusan selesai.
- Periksa ketentuan penyedia dan paket yang Anda gunakan. Paket bisnis dengan perjanjian pemrosesan data berbeda kondisinya dengan akun pribadi gratis. Lihat isi pengaturan data.
- Mintalah saran untuk kasus berisiko tinggi: data kesehatan, data anak-anak, kategori khusus, atau apa pun yang kebocorannya dapat menimbulkan dampak serius.
Istilah-istilah ini digunakan secara longgar dalam percakapan sehari-hari. Anonimisasi, pseudonimisasi, dan penyamaran membandingkan ketiganya.
Pertanyaan yang sering diajukan
Apakah data yang dipseudonimkan sama dengan data anonim?
Tidak. Resital 26 menyatakan bahwa prinsip perlindungan data tidak berlaku untuk informasi anonim, yaitu informasi yang tidak berkaitan dengan orang yang dapat diidentifikasi, atau data yang dijadikan anonim sehingga orang tersebut tidak lagi dapat diidentifikasi. Data yang dipseudonimkan dan dapat ditautkan kembali merupakan kategori yang berbeda.
Apakah GDPR melarang penggunaan alat AI dengan data pribadi?
Tidak. GDPR mewajibkan adanya dasar hukum, minimisasi, keamanan, serta kontrak yang sesuai dengan penyedia. Penggunaan penanda pengganti membantu minimisasi.
Apakah ini berlaku di luar UE?
Inggris memiliki versinya sendiri, dan banyak negara memiliki aturan serupa. GDPR juga dapat berlaku bagi bisnis di luar UE yang melayani orang-orang di dalam UE.
ClientSafe menyimpan di PC Anda tabel yang menghubungkan penanda pengganti dengan nama asli. Teks yang Anda salin ke alat AI hanya memuat penanda pengganti. Tinjau terlebih dahulu hasil deteksinya, karena tidak ada alat yang dapat menemukan semuanya.
Informasi umum, bukan nasihat hukum. Mintalah saran dari penasihat perlindungan data yang berkualifikasi mengenai situasi Anda sendiri.