JAKARTA, LITERASIHUKUM.COM – Selama berpuluh-puluh tahun, hukum Indonesia di bidang transaksi dan perlindungan konsumen dikenal dengan prinsip "caveat emptor" bahasa Latin yang berarti "biar pembeli yang berhati-hati". Prinsip ini lahir dari asumsi bahwa pembeli memiliki posisi yang lebih lemah tetapi tetap harus aktif melindungi dirinya sendiri. Namun, di era digital yang diselimuti oleh arus data pribadi yang deras, paradigma tersebut dianggap usang bahkan berbahaya.

Hadirnya Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) membawa angin segar sekaligus revolusi hukum yang sunyi tetapi dahsyat. UU ini secara eksplisit maupun implisit menggeser pusat gravitasi tanggung jawab dari konsumen (subjek data pribadi) ke penyedia layanan atau korporasi (pengendali data pribadi). Pergeseran ini tidak lain adalah perubahan dari caveat emptor menuju caveat venditor berarti "biar penjual yang bertanggung jawab".

Apa makna mendasar perubahan ini bagi masyarakat, pelaku usaha, dan aparat penegak hukum di Indonesia? Artikel ini akan mengupas tuntas pergeseran paradigma tersebut, lengkap dengan landasan hukum, studi kasus, serta tantangan implementasinya.

Memahami Dua Paradigma yang Bertolak Belakang

Caveat Emptor: Warisan Hukum Romawi yang Mulai Ditinggalkan

Caveat emptor berakar dari hukum Romawi kuno yang mengedepankan kebebasan berkontrak (pacta sunt servanda) dengan asumsi kedua belah pihak memiliki posisi tawar yang setara. Dalam praktiknya, prinsip ini menyatakan bahwa pembeli membeli suatu barang atau jasa "dalam keadaan apa adanya". Jika setelah transaksi ditemukan cacat tersembunyi, pembeli tidak dapat menuntut penjual kecuali ada perjanjian khusus sebelumnya.

Dalam konteks pelindungan data pribadi, penerapan caveat emptor berarti: pengguna layanan digital dianggap bertanggung jawab penuh atas keamanan data mereka sendiri. Platform digital hanya perlu menyediakan syarat dan ketentuan yang panjang dan rumit, lalu pengguna dianggap "setuju" dengan mengklik tombol "Saya Setuju". Jika terjadi kebocoran data, pengguna (pembeli) disalahkan karena dianggap tidak cukup berhati-hati, misalnya menggunakan kata sandi yang lemah atau mengakses Wi-Fi publik.

Contoh klasik sebelum UU PDP yaitu ketika terjadi kebocoran data pelanggan e-commerce, perusahaan sering kali hanya mengeluarkan permintaan maaf dan menyarankan pengguna untuk mengganti kata sandi secara mandiri. Gugatan hukum dari konsumen hampir selalu kandas di tengah jalan karena penggugat tidak mampu membuktikan unsur kelalaian perusahaan secara teknis.