Apakah mobil listrik atau mobil berbasis sistem konektivitas yang Anda beli tahun ini sudah punya kontrak diam-diam dengan perusahaan asuransi, pemasar, atau biro kredit — tanpa sepengetahuan Anda?
Ya. Bukan lewat surat perjanjian, tapi lewat end-user license agreement (EULA) yang panjangnya rata-rata 12.000 kata — dan hanya 0,3% konsumen yang membacanya sampai tuntas, menurut studi University of Michigan tahun 2022. General Motors (GM) baru-baru ini terkena sanksi oleh Federal Trade Commission (FTC) AS: larangan lima tahun menjual data pelanggan ke biro kredit dan broker data pihak ketiga. Sanksi ini tidak hanya teguran administratif — ini adalah hukuman pertama kalinya dalam sejarah FTC yang secara eksplisit menyasar praktik komersialisasi data dari mobil cerdas.
Dilansir The Verge, FTC menemukan bahwa GM selama bertahun-tahun mengumpulkan dan memonetisasi data sensitif seperti frekuensi kecepatan tinggi, pola berkendara malam hari, durasi penggunaan fitur navigasi, bahkan lokasi parkir rutin pengguna. Semua itu dikirim ke server pusat melalui koneksi seluler bawaan, lalu dialihkan ke mitra komersial — termasuk perusahaan penilai risiko kredit dan platform iklan berbasis perilaku. Data ini tidak dienkripsi end-to-end, dan tidak ada mekanisme opt-in eksplisit dari pengguna saat pembelian mobil.
Baca juga: iPhone 16 dan AI: Saat Apple Akhirnya Buka Pintu untuk Mesin
Apa yang Hilang dari Kebijakan Perlindungan Data Kendaraan di Indonesia?
Di Indonesia, tidak ada regulasi spesifik yang mengatur hak kepemilikan atas data kendaraan. UU Perlindungan Data Pribadi (UU No. 27/2022) memang berlaku umum, tapi juga pasal 4 ayat (1) menyatakan bahwa perlindungan hanya berlaku untuk data pribadi yang 'diproses secara elektronik'. Sementara banyak produsen mobil — seperti Toyota, Hyundai, dan BYD — menggunakan modul telematika yang mengirim data ke server global tanpa transparansi teknis kepada konsumen lokal. Tidak ada klausul wajib dalam Surat Izin Usaha Perdagangan (SIUP) importir mobil yang mewajibkan pemberitahuan eksplisit soal aliran data ini. Bahkan, Kemenperin belum menerbitkan panduan teknis tentang batasan pengumpulan data kendaraan untuk keperluan pembaruan perangkat lunak (OTA) versus keperluan komersial.
Baca juga: iPhone Bisa Bagikan Lokasi Hanya Saat Dibutuhkan — Tapi Apa Risiko Privasinya?
Bagaimana Produsen Mobil Membenarkan Praktik Ini?
Produsen biasanya mengklaim bahwa semua data dikumpulkan untuk 'peningkatan layanan' dan 'pengembangan fitur keselamatan'. Namun, laporan internal GM yang bocor ke The Verge menunjukkan bahwa divisi data mereka — GM Financial — secara aktif mengintegrasikan profil pengemudi ke dalam model penilaian kelayakan kredit. Artinya, kebiasaan mengemudi bisa langsung memengaruhi skor kredit seseorang ; tanpa prosedur verifikasi independen, tanpa hak sanggah, dan tanpa akses konsumen ke data tersebut. Di Jakarta, misalnya, pengemudi yang sering melintas di Jalan Sudirman pada jam 17.00–19.00 bisa dikategorikan sebagai 'berisiko tinggi' karena diasumsikan sering terjebak macet dan potensial menunda cicilan , padahal faktanya ia bekerja di gedung pencakar langit di sana dan membayar tepat waktu.
Ini bukan soal teknologi yang buruk, tapi soal desain sistem yang tidak seimbang: produsen mendapat keuntungan ganda — dari penjualan mobil dan dari moneterisasi data pengguna — sementara konsumen tidak mendapat imbalan apa-apa, bahkan tidak tahu data apa yang dikumpulkan. Di Bandung, sebuah startup otomotif lokal sempat mencoba membuat aplikasi open-source untuk memantau aliran data dari mobil Toyota Camry 2023. Mereka menemukan 17 endpoint eksternal aktif ; 11 di antaranya mengarah ke server di Singapura dan Jepang, tanpa penjelasan fungsi di manual pengguna.
Regulasi harus mengejar teknologi, bukan menunggu korban datang satu per satu. Di Eropa, GDPR sudah mengharuskan 'data minimisation' dan 'purpose limitation' — artinya, data hanya boleh dikumpulkan untuk tujuan eksplisit dan dibatasi jumlahnya. Di Indonesia, kita masih berada di tahap dasar: belum ada daftar resmi 'jenis data kendaraan yang bersifat pribadi', belum ada badan pengawas khusus untuk telematika otomotif, dan belum ada mekanisme audit independen terhadap klaim 'data digunakan untuk keselamatan'.
Rangkuman dampak langsung dari sanksi FTC terhadap GM adalah tiga hal konkret: pertama, produsen mobil global kini harus merevisi kebijakan privasi kendaraan mereka di semua pasar — termasuk Indonesia; kedua, konsumen Indonesia mulai berhak meminta akses ke data kendaraan mereka melalui jalur UU PDP, meski prosedurnya belum diatur teknis. Ketiga, Kemenkominfo dan Otoritas Jasa Keuangan perlu segera membentuk kelompok kerja lintas-sektor untuk menetapkan standar minimal perlindungan data kendaraan — sebelum praktik jual-beli data mobil menjadi norma tak tertulis di industri otomotif nasional.