Privasi nyata vs tampak: pertanyaan yang sebaiknya diajukan

Perbedaan antara privasi arsitektural dan privasi deklaratif

Sepanjang tujuh artikel sebelumnya dari siklus ini, kami telah menelusuri berbagai lapisan dari satu persoalan yang sama. Hukum transfer internasional dengan Schrems II. Gagasan matematis tentang hash kriptografi yang menyegel setiap Cuaderno. Pilihan arsitektural kill switch dan penangkapan institusional yang hampir selalu menyertainya. Mekanisme enkripsi end-to-end dan pertanyaan operasional tentang di mana kunci berada. Penyelarasan insentif menurut model bisnis. Identitas kriptografi yang berdaulat sendiri. Self-hosting sebagai strategi yang proporsional. Setiap artikel menangani satu sudut. Yang ini, yang terakhir dalam siklus, menyatukan semuanya dalam sebuah kuesioner.

Pembedaan yang sebaiknya diingat itu sederhana: ada layanan yang privasinya bersifat arsitektural dan ada layanan yang privasinya bersifat deklaratif. Yang pertama tertanam dalam desain teknis: pelanggaran tertentu terhadap komitmen privasi secara teknis sulit atau mustahil karena arsitektur tidak mengizinkannya. Yang kedua diletakkan dalam teks pemberitahuan hukum: pelanggaran tertentu akan dapat dikenai sanksi kontraktual jika terjadi, tetapi secara teknis tidak ada yang mencegahnya. Kedua model dapat memenuhi GDPR; tetapi yang satu melindungi berdasarkan konstruksi dan yang lain melindungi berdasarkan janji, dan perbedaannya secara operasional sangat besar.

Pertanyaan-pertanyaan berikut dirancang untuk membedakan satu kasus dari yang lain. Ini bukan pertanyaan teknis tingkat lanjut. Ini adalah pertanyaan yang dapat dijawab oleh penyedia jujur mana pun dalam dokumentasi publiknya. Kualitas dan ketepatan jawaban berkata sebanyak yang dikatakan jawaban itu sendiri tentang produknya. Pertanyaan-pertanyaan dikelompokkan dalam enam lapisan; sebaiknya semuanya diajukan sebelum mengadopsi layanan untuk data sensitif, bukan hanya yang diidentifikasi oleh naluri pertama.

Lapisan 1: arsitektur

Sebelum melanjutkan, mari kita tetapkan satu istilah. Yang kami maksud dengan operator adalah perusahaan yang menyediakan layanan: entitas yang mengendalikan server dan perangkat lunak, bukan orang tertentu. Setelah itu jelas, pertanyaan arsitektural mendasarnya adalah: apa yang dilakukan operator terhadap konten antara pengirim dan penerima? Ada tiga kemungkinan jawaban dan ada baiknya bisa membedakannya, karena ketiganya kadang diiklankan dengan kosakata yang serupa.

• Yang pertama: konten melewati server operator dalam bentuk terbuka, di mana operator dapat membacanya meskipun ia berjanji tidak akan melakukannya.
• Yang kedua: konten melewati server operator dalam keadaan terenkripsi, di mana operator tidak dapat membacanya jika kunci berada secara eksklusif di perangkat para pengguna.
• Yang ketiga: konten tidak melewati server operator mana pun, karena tidak ada server operator dalam alur spesifik tersebut.

Perbedaan antara ketiganya bukan perbedaan derajat: melainkan perbedaan jenis.

Pertanyaan pelengkapnya — yang sudah dirumuskan dalam Cuaderno tentang enkripsi — adalah: siapa yang memegang kunci kriptografi yang memungkinkan membaca konten? Jika pengguna yang memegangnya dan hanya pengguna, enkripsi itu nyata. Jika operator juga memegangnya dalam bentuk apa pun — bahkan dengan nama „pemulihan akun“ atau „sinkronisasi antarperangkat“ — enkripsi itu bersifat nominal. Pertanyaan ini tidak menerima jawaban antara yang jujur.

Lapisan 2: model bisnis

Pertanyaan tentang model bisnis sama pentingnya dengan pertanyaan arsitektural, dan karena alasan substantif yang sama: insentif menghasilkan, seiring waktu, produk yang secara sistematis berbeda meski dengan tujuan yang dinyatakan identik. Bagaimana operator menghasilkan uang hari ini? Satu sumber, dua, campuran? Jika pembiayaan mencakup iklan atau monetisasi data, data apa yang dimonetisasi dan atas dasar hukum GDPR apa hal itu dilakukan? Apakah tujuan yang dinyatakan dalam pemberitahuan hukum mencakup data pihak ketiga yang hendak dipercayakan profesional kepada layanan?

Dan pertanyaan tingkat kedua, yang tidak selalu dirumuskan: bagaimana situasi keuangan operator dalam perspektif tiga atau lima tahun? Sebuah perusahaan dalam fase modal ventura beroperasi di bawah tekanan yang berbeda dari perusahaan dengan profitabilitas yang stabil. Perubahan model pembiayaan, berulang kali, adalah momen ketika kontrak implisit dengan pengguna ditulis ulang tanpa negosiasi.

Lapisan 3: yurisdiksi

Bagi profesional Eropa, pertanyaan tentang yurisdiksi bukanlah retoris. Di yurisdiksi mana operator didirikan? Di negara mana server yang memproses data berada secara fisik? Apakah jawaban atas dua pertanyaan sebelumnya sama atau berbeda, dan jika berbeda, undang-undang mana yang berlaku? Sebuah region Eropa yang dioperasikan oleh perusahaan Amerika Serikat, untuk keperluan Schrems II, bukanlah jawaban Eropa: perusahaan itu tunduk pada FISA 702 terlepas dari di mana server berada.

Pertanyaan pelengkap yang operasional adalah: jika besok datang sebuah perintah intelijen yang sah di yurisdiksi operator yang meminta penyerahan data saya atau data klien-klien saya, apa yang akan terjadi? Jika jawaban jujurnya dimulai dengan „perusahaan akan berkewajiban menyerahkannya“, layanan itu tidak melindungi terhadap perintah tersebut sekuat apa pun iklan menyiratkan sebaliknya. Jika jawaban jujurnya dimulai dengan „perusahaan tidak akan dapat menyerahkannya karena tidak memilikinya dalam bentuk terbuka“, layanan itu memang melindungi; dan perbedaannya hampir sepenuhnya bergantung pada dua lapisan pertama, bukan pada kualitas kebijakan privasi.

Lapisan 4: operator dan kill switch

Kapasitas teknis apa yang dipertahankan operator untuk menangguhkan, memblokir, menghapus, atau menurunkan kualitas layanan dari jarak jauh? Pertanyaan ini bukan paranoid: ini operasional. Platform digital telah berulang kali menggunakan kapasitas itu dalam beberapa tahun terakhir — terkadang atas inisiatif sendiri, kadang atas perintah Pemerintah, kadang setelah perubahan kepemilikan atau kebijakan. Jika kapasitas itu ada, sebaiknya diketahui dalam asumsi mana yang dinyatakan secara kontraktual kapasitas itu digunakan, dan menyisakan ruang untuk asumsi tak terdeklarasi yang ditunjukkan oleh praktik beberapa tahun terakhir sama relevannya: perintah pengadilan tak terduga, sanksi internasional, perubahan tata kelola perusahaan, akuisisi oleh entitas dengan kebijakan lain.

Pertanyaan saudaranya adalah tentang rencana keberlanjutan: jika operator menggunakan kapasitas itu terhadap profesional — atas alasan apa pun, adil atau tidak — berapa lama waktu aktivitas yang tetap tersedia, prosedur ekspor data apa yang ada, dan ke penyedia alternatif mana migrasi dapat dilakukan? Jika jawabannya dimulai dengan „seharusnya tidak terjadi“, itu bukan jawaban operasional; itu sebuah janji.

Lapisan 5: identitas dan akses

Siapa yang mengontrol kredensial akses ke layanan? Jika operator dapat mengatur ulang akses pengguna tanpa partisipasi pengguna — prosedur yang biasanya disebut „pemulihan akun“ — operator secara teknis adalah penjaga akun dan dapat pula menyerahkannya kepada siapa pun yang memintanya melalui prosedur yang sesuai. Jika operator tidak dapat mengatur ulang akses karena identitas secara kriptografis berada di perangkat pengguna, operator juga tidak dapat menyerahkannya, bahkan di bawah perintah sekalipun. Kedua modalitas itu sah tergantung pada konteks; tetapi, sekali lagi, keduanya berbeda, dan sebaiknya diketahui yang mana yang sedang diadopsi.

Apa yang terjadi pada data profesional jika profesional kehilangan akses? Apakah ada mekanisme pemulihan — akun, arsip, sesi — yang bergantung pada operator? Apakah mekanisme itu kompatibel dengan deontologi profesional sektor tersebut jika operator dipaksa untuk menggunakannya?

Lapisan 6: masa depan

Lapisan terakhir ini sering diabaikan karena menuntut proyeksi. Apa yang akan terjadi jika layanan diakuisisi oleh perusahaan lain? Hampir semua akuisisi disertai tinjauan terhadap ketentuan layanan dalam bulan-bulan berikutnya. Apa yang akan terjadi jika tuntutan regulasi berubah? Hukum Eropa telah meningkatkan kewajiban penghapusan dan pemblokiran sejak 2022, bukan menguranginya. Apa yang akan terjadi jika operator menghilang? Sebagian besar layanan cloud tidak memiliki rencana keluar yang terdokumentasi untuk skenario penutupan operator; profesional menemukan masalah itu ketika sudah tidak ada waktu lagi untuk mempersiapkannya.

Ada satu rumusan yang sebaiknya diingat untuk lapisan ini: arsitektur yang kurang bergantung pada operator lebih tangguh terhadap perubahan operator. Self-hosting dalam bentuk apa pun, identitas kriptografi yang berdaulat sendiri, komunikasi tanpa server di tengah, semuanya mengurangi permukaan risiko masa depan melalui prosedur mengurangi permukaan ketergantungan saat ini. Itu tidak menghilangkannya; itu menguranginya.

Perbedaan antara struktur dan janji

Jika kami harus menyuling siklus ini menjadi satu kalimat, kalimat itu adalah: jawaban struktural tetap bertahan meski operator, administrasi, atau peraturan berubah; jawaban berbasis janji bertahan selama pihak yang berjanji mampu dan mau mempertahankannya. Keduanya bisa benar pada saat diadopsi. Hanya salah satu dari keduanya yang bertahan terlepas dari berlalunya waktu dan perubahan keadaan.

Ini tidak berarti bahwa setiap profesional harus menuntut jawaban struktural dari semua layanan yang diadopsinya. Proporsionalitas tetap sah: sebuah lembar kerja untuk pembukuan internal tidak memerlukan jawaban yang sama seperti rekam klinis seorang pasien. Yang dimaksud adalah bahwa profesionalisme berarti mengetahui jenis jawaban apa yang telah diterima dalam setiap kasus, dan telah memutuskan secara sadar bahwa jenis jawaban itu proporsional dengan data yang konkret.

Kuesioner, yang tersusun rapi

Dua belas pertanyaan konkret yang menyintesiskan siklus ini, disusun agar jawaban atas masing-masing menjadi masukan bagi pertanyaan berikutnya:

1. Apakah konten melewati server operator? Jika melewati: dalam bentuk terbuka, terenkripsi dengan kunci operator, atau terenkripsi dengan kunci eksklusif pengguna?
2. Jika enkripsi end-to-end diklaim, di mana kunci kriptografi berada? Apakah operator mengetahui atau menyimpan sebagian darinya dalam bentuk apa pun, termasuk „pemulihan“?
3. Metadata apa yang dihasilkan dan disimpan layanan ini? Berapa lama? Kepada siapa metadata itu terlihat?
4. Bagaimana operator dibiayai? Jika pembiayaan mencakup iklan atau monetisasi data, apakah tujuan yang dinyatakan mencakup data pihak ketiga yang dipercayakan oleh profesional?
5. Bagaimana situasi keuangan operator dalam perspektif tiga atau lima tahun? Apakah ada faktor yang menunjukkan perubahan model yang akan segera terjadi (penawaran umum perdana yang tertunda, putaran pendanaan yang menipis, akuisisi yang mungkin terjadi)?
6. Di yurisdiksi mana operator didirikan? Di negara mana server berada secara fisik? Jika berbeda, undang-undang nasional mana yang berlaku untuk pemrosesan?
7. Apa yang akan terjadi jika sebuah perintah intelijen yang sah di yurisdiksi operator meminta penyerahan data saya? Dapatkah perusahaan memenuhinya secara teknis?
8. Kapasitas teknis apa yang dipertahankan operator untuk menangguhkan, memblokir, atau menghapus layanan? Dalam asumsi kontraktual apa? Dalam asumsi non-kontraktual apa yang terdokumentasi secara historis?
9. Rencana keluar apa yang ada jika operator menggunakan kapasitas itu terhadap saya, secara adil atau tidak adil? Apakah ada prosedur terdokumentasi untuk mengekspor data ke penyedia alternatif?
10. Siapa yang mengontrol kredensial akses? Dapatkah operator mengaturnya ulang tanpa partisipasi saya? Apakah itu melindungi saya atau justru mengekspos saya?
11. Apakah ada alternatif yang bersifat Eropa, self-hosted, atau tanpa server di tengah untuk fungsi spesifik ini? Berapa biaya nyatanya, dibandingkan dengan risiko yang dinilai?
12. Jika keputusan hari ini diperiksa dalam lima tahun ke depan oleh seorang inspektur, auditor, atau klien yang terdampak oleh suatu pelanggaran, apakah pilihan saat ini dapat dipertahankan dengan argumen yang tersedia hari ini, ataukah memerlukan permintaan maaf karena tidak mengajukan pertanyaan yang wajar?

Pertanyaan-pertanyaan ini tidak mengharapkan jawaban yang sempurna. Mereka mengharapkan jawaban yang jujur, yang operator jujur tahu cara memberikannya dan operator yang kurang jujur menghindari untuk merumuskannya dengan tepat. Perbedaan operasional antara kedua jenis operator, kami katakan tanpa dramatisasi, biasanya terlihat dengan membaca perlahan jawaban yang mereka berikan secara sukarela, bahkan sebelum harus meminta lebih banyak.

---

Dengan artikel ini kami menutup siklus kedua Cuadernos Lacre. Kami mulai dengan kewajiban editorial yang diwarisi dari Schrems II dan mengakhiri dengan kuesioner operasional. Sepanjang jalan kami telah menelusuri konsep-konsep — hash, enkripsi, identitas — dan analisis terapan — kill switch, model bisnis, self-hosting. Niat editorial yang dinyatakan dari publikasi ini bukanlah membanjiri pembaca dengan daftar masalah yang lengkap, melainkan memberinya alat agar ia dapat membedakan, di hadapan layanan baru apa pun, jenis jawaban seperti apa yang ia terima. Pembedaan itu — antara arsitektur dan janji — adalah alatnya. Selebihnya, setiap profesional akan menerapkannya demi data yang ia anggap, dalam praktiknya, layak untuk pertanyaan tersebut.