Privasi data alamat sering diabaikan karena alamat dianggap keterangan biasa yang bisa ditemukan di buku telepon. Kenyataannya alamat menunjuk tempat seseorang berada, dan bila digabungkan dengan nama, nomor telepon, atau catatan transaksi, ia menjadi keterangan yang cukup untuk menemukan orangnya. Karena itu pemakaian alamat di lingkungan pengujian memerlukan aturan yang jelas.
Artikel ini membahas mengapa alamat termasuk data pribadi, prinsip umum yang dipakai di banyak aturan perlindungan data, dan kebiasaan praktis yang membuat tim pengembang tetap bisa bekerja tanpa memindahkan data pelanggan ke lingkungan yang kurang terkendali.
Mengapa alamat termasuk data pribadi
Data pribadi adalah keterangan yang dapat dikaitkan dengan orang tertentu, baik secara langsung maupun melalui penggabungan. Alamat memenuhi syarat itu, terutama karena ia jarang berdiri sendiri: di dalam basis data, alamat selalu menempel pada nama, surel, atau riwayat pesanan.
Risikonya berbeda dari data yang tampak lebih sensitif, tetapi tetap nyata. Alamat dapat dipakai untuk mengetahui keberadaan seseorang, memetakan kebiasaan belanja, atau menyusun profil wilayah. Bagi sebagian orang, misalnya korban kekerasan atau orang yang menyembunyikan lokasi karena pekerjaan, alamat adalah keterangan yang paling perlu dilindungi.
Selain itu, alamat sering tersimpan di banyak tempat tanpa disadari: di basis data utama, di berkas ekspor untuk analisis, di layanan pihak ketiga untuk pengiriman, dan di salinan cadangan lama. Setiap tempat itu adalah kemungkinan kebocoran yang perlu diperhitungkan sendiri.
Berapa lama alamat perlu disimpan?
Prinsip umumnya adalah menyimpan selama benar-benar diperlukan untuk tujuan yang sah, lalu menghapus atau menyamarkannya. Untuk pesanan, masa simpan biasanya ditentukan oleh kewajiban administrasi dan kebutuhan penanganan keluhan, bukan oleh keinginan mengumpulkan sebanyak mungkin.
Yang sering terjadi bukan penyimpanan yang terlalu lama di basis data utama, melainkan penyimpanan tanpa batas di tempat lain. Salinan untuk pengujian, berkas ekspor untuk laporan, dan catatan galat yang memuat isi permintaan sering terlupakan, padahal isinya memuat alamat lengkap dan bertahan bertahun-tahun.
Karena itu jadwalkan peninjauan berkala, dan catat alasan setiap tempat menyimpan alamat. Tempat yang tidak punya alasan jelas sebaiknya dihapus, bukan disimpan karena khawatir nanti dibutuhkan.
Menyamarkan sebagian sering tidak cukup
Penyamaran adalah cara menampilkan data tanpa memperlihatkan nilai penuhnya, misalnya dengan mengganti sebagian karakter dengan penanda. Tujuannya mengurangi paparan bagi orang yang tidak memerlukan data itu, misalnya staf dukungan atau pengembang yang sedang memperbaiki tampilan.
Yang perlu dipahami, penyamaran di tampilan tidak mengurangi risiko di penyimpanan. Data aslinya masih ada, masih bisa diekspor, dan masih bisa terbaca oleh siapa pun yang punya akses ke basis data. Penyamaran juga tidak benar-benar anonim bila tidak dapat dibalik, karena gabungan beberapa keterangan yang tersisa sering sudah cukup untuk mengenali pemiliknya.
Karena itu penyamaran adalah alat pengendalian tampilan, bukan alat anonimisasi. Untuk keperluan pengujian dan pelatihan, cara yang benar-benar aman adalah memakai data yang memang dibuat, bukan data nyata yang disamarkan. Alamat sintetis dari halaman alat kami menghasilkan bentuk yang sah menurut negara yang dipilih tetapi tidak menunjuk penerima nyata, dan itulah sifat yang membuatnya layak dipakai sebagai bahan uji.
Apakah menghapus nama sudah membuat data aman?
Biasanya belum. Alamat lengkap sering sudah cukup untuk mengenali rumah tertentu, sehingga menghapus nama tidak menghilangkan sifat pribadinya. Orang yang mengenal suatu kawasan bisa menebak penghuninya hanya dari nama jalan dan nomor rumah.
Pendekatan yang lebih aman adalah menurunkan tingkat kerincian: menyimpan kota atau wilayah saja untuk keperluan analisis, dan tidak menyimpan nomor rumah bila angka itu tidak diperlukan. Untuk keperluan pengujian, ganti nilai aslinya dengan nilai yang dibuat, dan pastikan penggantinya tidak diambil dari kumpulan data pelanggan yang sudah ada.
Perlu diingat pula bahwa data yang sudah digabungkan sulit dipisahkan kembali. Sekali salinan berisi alamat lengkap dipindahkan ke lingkungan pengujian atau dikirim ke pihak ketiga, tidak ada cara menariknya kembali sepenuhnya. Karena itu keputusan untuk memakai data asli sebaiknya diambil sebelum salinan dibuat, bukan sesudah masalahnya muncul.
Hal yang sama berlaku untuk data yang muncul di catatan galat dan berkas rekaman aktivitas. Isi permintaan yang gagal sering memuat seluruh alamat, dan catatan seperti itu biasanya disimpan lebih lama serta dibaca oleh lebih banyak orang daripada basis data utama. Saring bidang yang sensitif sebelum catatan itu ditulis, bukan sesudah.
Memisahkan lingkungan uji dari produksi
Tabel berikut merangkum pemisahan yang biasanya diperlukan.
| Lingkungan | Boleh berisi alamat pelanggan asli | Bahan yang dipakai |
|---|---|---|
| Produksi | Ya, sebatas yang diperlukan | Data pelanggan dengan kendali akses ketat |
| Pengujian | Tidak | Data yang dibuat, seperti hasil pembangkit alamat |
| Pengembangan | Tidak | Data yang dibuat dengan pola serupa |
| Pelaporan dan analisis | Sebisa mungkin tidak | Wilayah saja, tanpa nomor rumah |
Pemisahan ini perlu disertai kendali teknis, bukan hanya kesepakatan. Batasi akses ke salinan produksi, catat siapa yang membukanya, dan tetapkan masa berlaku untuk izin sementara. Bila akses istimewa diberikan tanpa batas waktu, ia akan tetap dipakai jauh setelah keperluannya selesai.
Catatan untuk pengembang: minimalkan, pisahkan, catat
Terapkan tiga kebiasaan saat merancang fitur yang menyentuh alamat. Kurangi jumlah bidang yang benar-benar perlu disimpan, dan tanyakan untuk setiap bidang apakah ada gunanya. Pisahkan lingkungan dan hak akses sejak awal, karena menambahkan pemisahan setelah data menumpuk jauh lebih sulit. Catat pemakaian data alamat, termasuk siapa yang mengaksesnya dan untuk keperluan apa.
Untuk logika validasi dan normalisasi, uji dengan data sintetis dan jangan memakai salinan produksi sebagai bahan perbandingan. Rincian penyusunan data uji yang bebas dari data pribadi ada di panduan data alamat untuk pengujian, sedangkan batas pemakaian layanan alamat sewaan dibahas di panduan alamat virtual.
Perlu dicatat, ketentuan perlindungan data berbeda antarnegara dan berubah dari waktu ke waktu. Prinsip di atas adalah kebiasaan baik yang berlaku umum, bukan nasihat hukum, dan bukan pernyataan bahwa sistem Anda sudah memenuhi aturan tertentu. Untuk keputusan yang berdampak, rujuk ketentuan yang berlaku di wilayah Anda dan libatkan orang yang berwenang menilainya.
Langkah berikutnya
Daftar hari ini semua tempat yang menyimpan alamat pelanggan, termasuk berkas ekspor, catatan galat, dan salinan cadangan. Setelah itu, ganti kebutuhan data pengujian Anda dengan alamat yang dibuat di generator alamat agar salinan produksi tidak lagi diperlukan untuk keperluan itu.