Belajar IoT Engineer - Privacy & Regulatory IoT

#Pendahuluan

Sepanjang series ini kita mengumpulkan data — suhu ruangan, lokasi, getaran mesin. Episode ini membahas pertanyaan yang sering diabaikan engineer sampai terlambat: data siapa ini, dan apa yang boleh dilakukan padanya?

Mengapa compliance penting bagi IoT Engineer? Karena IoT adalah penghasil data paling intim: perangkat tahu kapan kalian pulang, kapan tidur, bahkan detak jantung. Negara-negara menegakkan regulasi perlindungan data dengan denda besar — di Uni Eropa hingga 4% pendapatan global. Compliance bukan "tugas legal", tapi keputusan desain yang menentukan kelayakan produk.

GDPR (General Data Protection Regulation, EU) adalah standar de facto privasi data. Prinsipnya berlaku juga di Indonesia melalui UU PDP (UU No. 27/2022). Enam prinsip inti:

Prinsip	Arti Praktis untuk IoT
Lawfulness	Ada dasar hukum memproses data (persetujuan/kontrak)
Data minimization	Kumpulkan hanya data yang dibutuhkan
Purpose limitation	Pakai data hanya untuk tujuan yang dijelaskan
Storage limitation	Hapus data yang tidak lagi diperlukan
Security	Lindungi data dengan kontrol teknis
Accountability	Bisa membuktikan kepatuhan (dokumentasi, DPIA)

Untuk IoT, prinsip yang paling berdampak pada desain adalah data minimization: jangan merekam suara 24 jam jika hanya butuh deteksi kata kunci — proses di perangkat (TinyML, episode 13) lalu buang raw-nya.

#Regulasi di Indonesia

Indonesia punya payung hukum sendiri yang relevan untuk produk IoT:

Regulasi	Fokus	Relevansi IoT
UU PDP (No. 27/2022)	Perlindungan data pribadi	Data sensor yang mengarah ke individu
UU ITE (No. 19/2016)	Transaksi & informasi elektronik	Aplikasi & platform IoT
Regulasi SDPPI/Kominfo	Frekuensi & perangkat telekomunikasi	LoRaWAN, radio, sertifikasi tipe
UU Perlindungan Konsumen	Tanggung jawab produk	Keamanan & kualitas produk IoT

UU PDP sudah diberlakukan penuh dan memberi kewajiban serupa GDPR: dasar pemrosesan, hak subjek data, dan kewajiban melaporkan pelanggaran data. Produk IoT yang menjual ke pasar Indonesia harus memperhitungkannya sejak desain.

#Data Minimization dalam Desain

Penerapan paling nyata di tangan kalian sebagai engineer:

Praktik	Contoh
Kumpulkan minimum	Sensor lokasi hanya saat fitur butuh, bukan terus-menerus
Proses lokal	Edge/TinyML di perangkat; raw data tidak keluar
Anonimisasi	Hash device ID untuk analitik
Retensi terbatas	Arsip data otomatis setelah 30/90 hari
Delete on demand	Perangkat bisa dihapus datanya (factory reset)

Contoh keputusan desain: smart home cam menyimpan video lokal di perangkat, dan hanya mengirim event (ada gerakan) plus potongan berenkripsi saat diakses — bukan streaming mentah 24 jam ke cloud.

#Persetujuan dan Hak Pengguna

Pengguna punya hak yang wajib diwujudkan dalam produk:

Hak	Implementasi Produk
Informed consent	Jelaskan data apa yang dikumpulkan, untuk apa, berapa lama
Access	Pengguna bisa melihat data perangkatnya
Erasure	Pengguna bisa menghapus datanya
Portability	Data bisa diunduh/export
Opt-out	Pilihan untuk menonaktifkan pengumpulan data

Untuk IoT, consent punya nuansa: perangkat milik pengguna, tapi data mengalir lewat server kalian. Prinsip user-as-owner: kalian memproses atas nama pengguna, bukan "memiliki" data mereka.

#Praktik: Compliance Checklist

Gunakan checklist ini sebelum produk IoT dirilis:

Compliance checklist produk IoT

1.  Data pribadi apa yang dikumpulkan? Daftar field & sumbernya
2.  Dasar hukum untuk setiap data (consent / kontrak / wajib)
3.  Data minimization: apa yang bisa dikurangi/hapus?
4.  Retensi: kapan data dihapus otomatis?
5.  Enkripsi: data at-rest (storage) & in-transit (TLS)?
6.  Kebijakan privasi: jelas, bahasa manusia, bukan boilerplate
7.  Hak pengguna: akses/hapus/export diimplementasikan?
8.  DPIA: sudah dilakukan untuk data berisiko tinggi (lokasi, biometrik)?
9.  Vendor & cloud: siapa pemroses data, ada DPA (Data Processing Agreement)?
10. Pelanggaran data: prosedur deteksi & pelaporan dalam batas waktu?
11. Regulasi frekuensi/sertifikasi: perangkat lolos SDPPI/POSTEL?
12. Factory reset: data pengguna bisa dihapus sepenuhnya?

Warning

Checklist di atas adalah titik awal, bukan nasihat hukum. Regulasi berubah cepat dan tiap pasar beda — UU PDP Indonesia, GDPR Eropa, CCPA California. Untuk produk komersial, selalu libatkan pihak legal yang memahami pasar target. Tugas kalian sebagai engineer: menyediakan data yang akurat agar keputusan compliance bisa diambil.

#Kesalahan Umum

Mengumpulkan data "siapa tahu berguna" — melanggar data minimization; biaya + risiko.
Retensi tidak terbatas — menyimpan data selamanya adalah pelanggaran storage limitation.
Kebijakan privasi berbentuk legalese panjang — tidak memenuhi informed consent yang bermakna.
Mengabaikan data pelanggaran (breach) — tidak punya prosedur = denda lebih berat.
Vendor cloud tanpa DPA — kalian bertanggung jawab walau data diproses pihak ketiga.
Factory reset tidak menghapus data benar — data tetap di flash = pelanggaran erasure.

#Penutup

Inti yang harus dibawa pulang:

GDPR dan UU PDP Indonesia menetapkan standar privasi: minimalisasi, purpose, storage limitation, dan accountability.
Data minimization adalah keputusan desain: kumpulkan minimum, proses lokal, anonimisasi, retensi terbatas.
Wujudkan hak pengguna: consent, access, erasure, portability, opt-out.
Buat compliance checklist sejak desain, bukan di akhir.
Untuk produk komersial, libatkan legal — engineering menyediakan data, legal mengambil keputusan.

Di episode 21 selanjutnya, kita akan membayangkan skala yang jauh lebih besar: large-scale IoT architecture — mendesain arsitektur untuk jutaan perangkat, scaling data, dan kontrol biaya — plus praktik menyusun keputusan desain untuk sistem skala besar. Dari gudang kecil menuju skala kota pintar!