YouTuber Spanyol Carles Tamayo kembali membuat heboh dengan gaya khasnya yang santai, lucu, dan tajam. Dalam episode terakhir Se nos ha ido de las manos (“Sudah di luar kendali”), seri dokumenter yang tayang perdana di televisi publik Spanyol pada April 2026, ia menyoroti bagaimana perusahaan membeli dan menjual data pribadi.

Episode berjudul El activo eres tú (“Anda adalah asetnya”) mengangkat pertanyaan yang tidak nyaman: Siapa yang memegang data kita, dan apa yang dilakukan terhadapnya? Dan apa yang bersedia kita lepaskan demi janji sesuatu yang gratis? Setelah menerima panggilan spam dari perusahaan yang tahu terlalu banyak tentangnya, Tamayo mengubah perusahaan produksinya sendiri menjadi broker data untuk melihat dari dalam bagaimana data pribadi dikumpulkan dan diperdagangkan.

Berikut cara kerja bisnis broker data, dan hak apa yang diberikan GDPR (Peraturan Perlindungan Data Umum) kepada Anda.

Apa itu broker data, dan bagaimana mereka menghasilkan uang

Sebuah broker data adalah perusahaan yang mengumpulkan, menganalisis, dan menjual informasi tentang orang dan organisasi. Yang membuat informasi itu bernilai bagi pembeli adalah caranya dapat digabungkan dan dianalisis. Kebiasaan, minat, data lokasi, dan sinyal lain dapat dirangkai bersama, semakin sering dengan bantuan AI, menjadi sesuatu yang dapat digunakan. Broker data menjual bahan mentah yang memungkinkan pembuatan profil hampir siapa saja.

Dalam laporan Tamayo, misalnya, salah satu broker data menawarkan kepadanya informasi tentang orang yang baru saja memiliki bayi. Para orang tua baru itu telah menyerahkan rincian mereka di rumah sakit sebagai imbalan ikut serta dalam undian hadiah produk bayi baru lahir.

Broker data biasanya mengumpulkan alamat email, alamat IP(jendela baru), lokasi perkiraan, pembelian daring, penelusuran internet, minat yang dipilih di dalam aplikasi, dan perangkat yang digunakan seseorang.

Pernah menerima telepon dari perusahaan telepon (atau perusahaan apa pun) dan bertanya-tanya dari mana mereka mendapatkan nomor Anda? Ini lebih sederhana dari yang Anda kira. Kuki, aplikasi seluler, dan formulir daring dapat mengumpulkan informasi Anda dan meneruskannya ke broker data. Sumber luring juga bisa, seperti kartu loyalitas, undian hadiah, dan catatan publik.

Apa itu kuki dan kegunaannya

Anda pernah melihatnya di setiap situs web yang Anda kunjungi: popup kecil yang meminta Anda menerima atau menolak kuki. Anda mungkin membacanya sekilas, menerima kuki(jendela baru) dan lanjut, tanpa pernah bertanya apa sebenarnya kuki itu(jendela baru) atau apa yang baru saja Anda setujui agar perusahaan lakukan dengan data Anda.

Kuki adalah file kecil yang disimpan situs web di peramban Anda untuk mengingat informasi tentang kunjungan Anda. Yang diperhatikan broker data adalah kuki iklan, yang dirancang untuk membuat profil perilaku dan menayangkan iklan yang dipersonalisasi.

Namun kini Anda dapat dilacak dengan metode yang jauh melampaui kuki. Sidik jari peramban, misalnya, membuat tanda tangan unik dari karakteristik perangkat Anda, sementara pelacakan lintas situs mengikuti aktivitas Anda saat berpindah antar situs web. Di seluler, ID iklan melakukan hal serupa dengan mengaitkan perilaku Anda ke pengenal yang persisten.

Menolak kuki meningkatkan privasi Anda, tetapi itu tidak sepenuhnya menjaminnya. Dan begitu Anda mulai bertanya ke mana data Anda pergi, siapa yang memegangnya, dan bagaimana data itu digunakan, Anda pasti akan dihadapkan pada pertanyaan apakah memperdagangkan data Anda sah atau tidak.

Bagaimana GDPR melindungi Anda

GDPR adalah buku aturan Uni Eropa yang mengatur bagaimana organisasi dan perusahaan mengumpulkan, menggunakan, membagikan, dan menyimpan data pribadi siapa pun di UE. Aturan ini juga berlaku bagi perusahaan yang berbasis di luar UE yang menyasar orang di sana. Di Spanyol, kepatuhan diawasi oleh Badan Perlindungan Data Spanyol (AEPD), yang juga menangani pengaduan ketika perusahaan melanggar hak-hak ini.

GDPR menetapkan beberapa hak fundamental:

Hak akses: Cari tahu data pribadi apa yang dimiliki perusahaan tentang Anda, untuk apa data itu digunakan, dengan siapa data itu dibagikan, dan dari mana data itu diperoleh. Anda juga dapat meminta salinannya.

Hak rektifikasi: Minta informasi yang salah atau sudah kedaluwarsa diperbaiki.

Hak penghapusan: Dikenal sebagai “hak untuk dilupakan”, ini memungkinkan Anda meminta data Anda dihapus ketika perusahaan tidak lagi membutuhkannya, ketika Anda menarik persetujuan atau menolak penggunaannya, atau ketika data itu diproses secara melanggar hukum.

Hak untuk menolak: Tolak jenis pemrosesan tertentu, seperti penggunaan data Anda untuk iklan. Untuk pemasaran langsung, hak ini bersifat mutlak: begitu Anda menolak, perusahaan harus berhenti.

Hak portabilitas data: Terima data pribadi yang Anda berikan kepada perusahaan dalam format terstruktur, umum digunakan, dan dapat dibaca mesin agar Anda dapat memindahkannya ke penyedia layanan lain. Ini berlaku ketika perusahaan memproses data Anda berdasarkan persetujuan atau kontrak, dengan cara otomatis.

GDPR memberi orang hak yang dapat ditegakkan, didukung oleh denda, tetapi banyak orang tidak menyadari bahwa mereka dapat menggunakan hak-hak ini tanpa biaya. Perusahaan hanya dapat mengenakan biaya atau menolak jika permintaan tersebut jelas tidak berdasar atau berlebihan.

Seperti yang ditunjukkan laporan Tamayo, ada kesenjangan lebar antara jaminan yang ditawarkan hukum dan apa yang diketahui warga biasa tentang melindungi informasi pribadi mereka. Kesenjangan itu membuat orang lebih sulit menggunakan alat hukum yang tersedia bagi mereka dan mengambil kembali kendali atas data mereka.

Cara menggunakan hak GDPR Anda terhadap broker data

Hak-hak di atas hanya berfungsi jika Anda menggunakannya. Tidak satu pun memerlukan pengacara atau formulir khusus: email ke kontak privasi perusahaan sudah cukup.

Tanyakan dari mana data Anda berasal. Jika perusahaan menghubungi Anda dan Anda tidak pernah memberikan rincian Anda kepadanya, tanyakan sumbernya. Berdasarkan hak akses, perusahaan harus memberi tahu Anda, dan jawaban itu sering kali langsung mengarah ke broker data.

Kirim permintaan akses. Tanyakan kepada perusahaan atau broker data apa yang mereka miliki tentang Anda, untuk apa data itu digunakan, dan dengan siapa data itu dibagikan, lalu minta salinannya. Permintaan itu gratis, dan perusahaan harus membalas dalam satu bulan. Perusahaan dapat memperpanjangnya hingga dua bulan lagi untuk permintaan yang rumit, tetapi harus memberi tahu Anda.

Tolak dan minta penghapusan. Dalam email yang sama, Anda dapat menolak penggunaan data Anda untuk pemasaran dan meminta data itu dihapus. Perusahaan juga harus meneruskan penghapusan kepada siapa pun yang telah menerima data Anda, kecuali jika hal itu tidak mungkin atau memerlukan upaya yang tidak proporsional.

Daftar ke Lista Robinson. Di Spanyol, perusahaan yang mengirim pemasaran langsung harus memeriksa daftar penolakan iklan ini sebelum menghubungi Anda. Pendaftarannya gratis.

Ajukan pengaduan ke AEPD. Jika perusahaan mengabaikan Anda, menolak tanpa alasan yang sah, atau melewati tenggat waktu, Anda dapat mengajukan pengaduan gratis ke Badan Perlindungan Data Spanyol.

Batasi data yang dapat dikumpulkan broker data sejak awal

Hak GDPR Anda membantu merapikan data yang sudah beredar. Beberapa kebiasaan sederhana mengurangi jumlah data baru yang sampai ke broker.

Tinjau izin aplikasi Anda dan matikan akses apa pun yang tidak diperlukan aplikasi untuk berfungsi, terutama yang memiliki akses ke lokasi, kontak, atau foto Anda.

Tolak kuki non-esensial. Di situs web UE, menolak harus semudah menerima, dan itu memblokir kuki iklan yang memasok profil perilaku.

Tetap keluar dari situs web dan layanan saat Anda hanya menjelajah. Saat Anda masuk ke Google, YouTube, Amazon, atau situs berita, semua yang Anda cari, tonton, baca, atau beli terikat pada akun Anda. Menjelajah dalam keadaan keluar membuat perusahaan memiliki lebih sedikit hal untuk dikaitkan dengan Anda.

Gunakan peramban yang berfokus pada privasi seperti Firefox atau Brave, yang memblokir banyak pelacak secara bawaan. Anda juga dapat menjelajahi peramban web alternatif Eropa yang berfokus pada privasi.

Beralih ke Proton Mail, layanan email kami yang pribadi dan aman, yang tidak dapat membaca email Anda dan tidak memindai kotak masuk Anda untuk iklan, pelacakan, atau pengawasan. Layanan ini juga memblokir piksel pelacak, yang biasanya digunakan pemasar untuk melihat kapan Anda membuka pesan (serta indikator lain).

Gunakan VPN(jendela baru) untuk menyembunyikan alamat IP Anda dari situs web, aplikasi, dan jaringan iklan, sehingga mereka tidak dapat menggunakannya untuk memperkirakan lokasi Anda atau menautkan aktivitas Anda di berbagai situs web. Proton VPN juga memiliki fitur bernama NetShield, yang memblokir iklan dan pelacak sebelum dimuat. Layanan ini memiliki kebijakan tanpa log yang diaudit secara independen(jendela baru), sehingga tidak menyimpan catatan tentang apa yang Anda lakukan secara daring.

Gunakan pengelola kata sandi terenkripsi untuk membuat kata sandi yang kuat dan unik, sehingga satu akun yang dibobol tidak membocorkan sisanya. Proton Pass juga memberi Anda alias hide-my-email untuk buletin, undian hadiah, dan toko daring. Jika salah satunya mulai menerima spam, Anda dapat melihat siapa yang mungkin membagikan atau membocorkannya, lalu menonaktifkan alias tersebut.

Seperti yang diperjelas laporan Tamayo, broker data adalah bagian dari model bisnis yang dibangun di atas data kita. Namun GDPR dan alat yang melindungi privasi kita memberi kita cara untuk mengambil kembali kendali. Tujuannya bukan menghilang dari internet, melainkan bersikap sadar tentang siapa yang boleh mengakses data kita dan untuk alasan apa.