Ramai Di Sosmed, Vibecoding Membuat Website Terancam Masuk Penjara

Vibe Coding Mulai Bersentuhan dengan Hukum. Sudahkah Aplikasi Anda Siap Secara Legal? Beberapa hari terakhir, jagat media sosial pengembang aplikasi ramai membahas sebuah kasus yang cukup menarik.

Seorang vibe coder dikabarkan mendapat somasi dari penggunanya (versi berita lain oleh cliennya) setelah aplikasi yang ia bangun mengumpulkan data pribadi tanpa kebijakan privasi yang memadai.

Saya sendiri belum mengikuti secara lengkap bagaimana akhir dari proses hukumnya. Jadi artikel ini bukan bertujuan membahas siapa yang benar atau salah.

Namun, kasus tersebut menjadi pengingat bahwa ketika aplikasi kita mulai digunakan orang lain, kita tidak lagi hanya berurusan dengan coding, database, atau server. Kita juga mulai memasuki wilayah hukum.

Fenomena ini sebenarnya cukup bisa dipahami. Banyak pengembang saat ini lahir dari era AI.

Mereka mampu membuat aplikasi dalam hitungan jam menggunakan ChatGPT, Claude, Cursor, Windsurf, atau tools AI lainnya.

Kemampuan membangun produk meningkat sangat cepat, tetapi pemahaman mengenai aspek legal sering kali tertinggal. Saya pun mengakui masih terus belajar mengenai topik ini.

Artikel ini bukan panduan hukum yang sempurna, melainkan catatan belajar agar kita sama-sama menjadi web developer berbasis ai  yang berusaha lebih bertanggung jawab.

Jika ada pembaca yang memiliki pengalaman atau latar belakang hukum teknologi informasi, saya sangat terbuka apabila ada koreksi maupun tambahan di kolom komentar.

Daftar Isi

• Mengapa Programmer Sekarang Harus Belajar Hukum?
• Data Pribadi Bukan Sekadar Data
• Mengapa Saya Membuat LEGALRULE.md?
• Aturan Dasar yang Sebaiknya Ada di Setiap Project
• Contoh Situasi yang Sering Tidak Disadari
• Checklist Sebelum Aplikasi Go Live
• Penutup

Mengapa Programmer Sekarang Harus Belajar Hukum?

Dulu tantangan seorang programmer lebih banyak berkaitan dengan performa aplikasi, bug, database, atau server.

Sekarang tantangannya bertambah.

Hampir semua aplikasi modern mengumpulkan data pengguna.

Mulai dari nama, alamat email, nomor WhatsApp, lokasi, histori transaksi, alamat IP, cookie, hingga aktivitas pengguna di dalam aplikasi.

Begitu kita mulai mengumpulkan informasi tersebut, secara tidak langsung kita juga ikut bertanggung jawab menjaga data tersebut.

Bahkan di banyak negara, termasuk Indonesia, sudah terdapat regulasi mengenai perlindungan data pribadi.

Apabila aplikasi digunakan oleh pengguna dari negara lain, aturan yang berlaku bisa menjadi lebih kompleks lagi, misalnya GDPR di Uni Eropa atau CCPA di California.

Data Pribadi Bukan Sekadar Data

Banyak programmer berpikir, “Saya hanya menyimpan email dan nomor WhatsApp.”

Padahal dari sudut pandang hukum, email maupun nomor telepon sudah termasuk data pribadi.

Artinya, kita harus mampu menjelaskan kepada pengguna beberapa hal berikut.

• Data apa saja yang dikumpulkan.
• Mengapa data tersebut dikumpulkan.
• Untuk apa data digunakan.
• Di mana data disimpan.
• Siapa yang dapat mengakses data.
• Berapa lama data akan disimpan.
• Bagaimana pengguna dapat meminta penghapusan data.

Apabila pertanyaan-pertanyaan tersebut belum bisa dijawab, kemungkinan besar aplikasi kita juga belum siap secara legal.

Mengapa Saya Membuat LEGALRULE.md?

Sejak mempelajari berbagai praktik terbaik dalam pengembangan software modern pakai ai, saya mulai menyadari bahwa dokumentasi legal tidak kalah penting dibanding dokumentasi teknis.

Karena itu saya mulai menambahkan sebuah dokumen khusus bernama LEGALRULE.md pada setiap repository.

Tujuannya sederhana, yaitu memastikan bahwa baik developer manusia maupun AI Agent memahami bahwa kepatuhan hukum adalah bagian dari kualitas software.

Dokumen tersebut berisi prinsip-prinsip seperti:

• Privacy by Design.
• Security by Default.
• Data Minimization.
• Least Privilege.
• Transparency.
• Password Policy.
• Logging Policy.
• API Security.
• Retention Policy.
• AI Usage Policy.
• Security Review.

Dengan adanya dokumen tersebut, harapannya, setiap project memiliki standar yang sama tanpa harus mengingatnya satu per satu.

Aturan Dasar yang Sebaiknya Ada di Setiap Project

Beberapa yang minimal ada, tentunya kalau websitenya kompleks anda tinggal sesuaikan dengan kebutuhan:

1. Privacy Policy

Jika aplikasi memiliki pengguna publik, sediakan halaman Privacy Policy yang menjelaskan bagaimana data diproses.

2. Terms of Service

Pengguna perlu mengetahui hak dan kewajibannya ketika menggunakan aplikasi.

3. Cookie Policy

Jika menggunakan Google Analytics, Facebook Pixel, atau tracking lain, jelaskan penggunaan cookie tersebut.

4. Password Security

Password harus di-hash menggunakan algoritma yang kuat dan tidak boleh pernah disimpan dalam bentuk asli.

5. API Key

API Key tidak boleh muncul di frontend. Seluruh secret harus berada di server dan menggunakan environment variable.

6. Error Message

Jangan tampilkan error database kepada pengguna. Detail error cukup disimpan di server log.

7. Backup

Backup harus ada dan sesekali diuji proses restore-nya.

8. Data Retention

Tentukan berapa lama data pengguna akan disimpan dan kapan akan dihapus.

Contoh Isian Legalrule.md

Tentu isinya disesuaikan dengan produk masing masing ya, ini contoh saja:

# LEGALRULE.md

# Legal & Compliance Rules

## Tujuan

Project ini mengumpulkan dan memproses data pengguna.

Seluruh proses pengembangan wajib mematuhi hukum yang berlaku terkait perlindungan data pribadi, keamanan informasi, dan hak pengguna.

Kepatuhan hukum memiliki prioritas yang sama pentingnya dengan keamanan dan kualitas software.

Developer maupun AI Agent tidak boleh mengabaikan aturan ini.

---

# Prinsip Umum

1. Privacy by Design

Setiap fitur harus dirancang dengan mempertimbangkan perlindungan data pribadi sejak awal, bukan ditambahkan belakangan.

2. Security by Default

Seluruh konfigurasi default harus memilih opsi yang paling aman.

3. Data Minimization

Hanya kumpulkan data yang benar-benar diperlukan.

Jangan meminta informasi yang tidak memiliki tujuan bisnis yang jelas.

4. Least Privilege

User, Admin, API, Database, dan Service hanya memiliki akses minimum yang dibutuhkan.

5. Transparency

Pengguna harus mengetahui:

- data apa yang dikumpulkan
- tujuan pengumpulan
- bagaimana data digunakan
- siapa yang dapat mengakses
- berapa lama data disimpan

---

# Kepatuhan Regulasi

Project harus dirancang agar dapat memenuhi berbagai regulasi apabila diperlukan, termasuk tetapi tidak terbatas pada:

- Undang-Undang Perlindungan Data Pribadi (UU PDP Indonesia)
- GDPR (Uni Eropa)
- CCPA / CPRA (California)
- Regulasi lain yang berlaku sesuai wilayah operasional.

Walaupun project saat ini hanya digunakan di Indonesia, desain sistem sebisa mungkin mengikuti praktik internasional.

---

# Data Collection Rules

Hanya kumpulkan data yang memang diperlukan.

Contoh:

- nama
- email
- nomor telepon
- alamat
- histori transaksi
- histori login

Jangan mengumpulkan data sensitif tanpa alasan yang sah.

Contoh data sensitif:

- password dalam bentuk asli
- nomor identitas
- data kesehatan
- data biometrik
- data keuangan
- lokasi presisi

Apabila data sensitif diperlukan, wajib memiliki perlindungan tambahan.

---

# Password Rules

Password wajib:

- menggunakan hashing yang kuat
- tidak pernah disimpan dalam bentuk plaintext
- tidak pernah ditampilkan kembali
- tidak pernah dikirim melalui email atau log

---

# API Rules

- Secret Key tidak boleh berada di frontend.
- API Key tidak boleh di-hardcode.
- Secret hanya boleh berada di server.
- Gunakan environment variable.

---

# Logging Rules

Log tidak boleh berisi:

- password
- API key
- access token
- refresh token
- session cookie
- informasi sensitif lainnya

Gunakan masking apabila diperlukan.

---

# Error Handling

User hanya menerima pesan yang aman.

Jangan pernah menampilkan:

- SQL Error
- Stack Trace
- File Path
- Secret
- Environment Variable

Detail error hanya boleh tersimpan pada server log.

---

# Data Storage

Seluruh data pribadi harus disimpan secara aman.

Gunakan:

- HTTPS
- Encryption bila diperlukan
- Backup yang aman
- Akses database yang terbatas

---

# User Rights

Apabila diwajibkan oleh regulasi, sistem harus mendukung:

- melihat data pribadi
- memperbarui data
- menghapus akun
- mengunduh data pribadi

---

# Cookie & Tracking

Apabila menggunakan:

- Analytics
- Pixel
- Tracking
- Marketing Cookies

Project wajib menyediakan informasi yang sesuai kepada pengguna.

---

# Privacy Policy

Project yang memiliki pengguna publik wajib memiliki Privacy Policy.

Minimal menjelaskan:

- data yang dikumpulkan
- tujuan penggunaan
- penyimpanan data
- keamanan data
- hak pengguna
- kontak

---

# Terms of Service

Project publik wajib memiliki Terms of Service yang jelas.

---

# Third Party Services

Seluruh layanan pihak ketiga harus dievaluasi sebelum digunakan.

Contoh:

- OpenAI
- Anthropic
- Google
- Meta
- Cloudflare
- Tripay
- Midtrans

Pastikan data pengguna tidak dikirim tanpa alasan yang jelas.

---

# AI Usage

Apabila menggunakan AI Service:

- jangan kirim data sensitif tanpa kebutuhan
- lakukan anonymization bila memungkinkan
- minimalkan data yang dikirim
- pahami kebijakan penyedia AI

---

# Retention Policy

Data tidak boleh disimpan selamanya tanpa alasan.

Setiap jenis data harus memiliki kebijakan:

- kapan disimpan
- kapan dihapus
- kapan diarsipkan

---

# Security Review

Sebelum production wajib dilakukan minimal:

- Authentication Review
- Authorization Review
- OWASP Review
- Secret Review
- Dependency Review
- Permission Review
- Backup Review

---

# AI Agent Rules

AI Agent tidak boleh:

- membuat shortcut yang melanggar regulasi
- menonaktifkan validasi keamanan
- menyimpan secret ke repository
- menyimpan credential ke source code
- membuat endpoint tanpa autentikasi bila seharusnya dilindungi

Apabila terdapat konflik antara kemudahan implementasi dan kepatuhan hukum, maka kepatuhan hukum harus diprioritaskan.

---

# Final Principle

Build software that users can trust.

Legal compliance is a core feature, not an optional feature.

Contoh Situasi yang Sering Tidak Disadari

Bayangkan Anda membuat aplikasi sederhana untuk pendaftaran seminar.

Di dalam form tersebut Anda meminta:

• Nama.
• Email.
• Nomor WhatsApp.
• Perusahaan.
• Alamat.

Secara teknis aplikasi berjalan dengan baik. Namun beberapa pertanyaan berikut sering terlupakan.

• Apakah pengguna tahu data mereka akan disimpan?
• Apakah ada Privacy Policy?
• Apakah data dikirim menggunakan HTTPS?
• Apakah database memiliki backup?
• Apakah pengguna bisa meminta penghapusan datanya?
• Apakah server berada di Indonesia atau negara lain?
• Apakah ada pihak ketiga yang ikut menerima data tersebut?

Padahal pertanyaan-pertanyaan inilah yang mulai menjadi perhatian banyak regulator di berbagai negara.

Checklist Sebelum Aplikasi Go Live

1. Privacy Policy tersedia.
2. Terms of Service tersedia.
3. Cookie Policy tersedia jika diperlukan.
4. Seluruh API Key berada di server.
5. Password menggunakan hashing.
6. HTTPS aktif.
7. Backup berjalan.
8. Database memiliki kontrol akses.
9. Error sensitif tidak tampil ke pengguna.
10. Log tidak menyimpan password atau token.
11. OWASP Security Review telah dilakukan.
12. Developer memahami data apa saja yang dikumpulkan.
13. Developer mengetahui lokasi penyimpanan data.
14. Terdapat kebijakan penghapusan data pengguna.

Mungkin Anda Bisa Melengkapi

Dulu kualitas software sering diukur dari sedikitnya bug atau cepatnya aplikasi berjalan.

Hari ini ukuran tersebut bertambah.

Aplikasi juga harus mampu melindungi data penggunanya dan mematuhi aturan hukum yang berlaku.

Saya masih terus belajar mengenai bidang ini.

Karena itu, apabila Anda memiliki pengalaman mengenai legal compliance, keamanan aplikasi, atau perlindungan data pribadi, silakan tambahkan masukan di kolom komentar.

Semoga kita sama-sama berkembang menjadi web developer yang tidak hanya mahir membangun aplikasi, tetapi juga bertanggung jawab terhadap pengguna yang mempercayakan datanya kepada kita.

Anjrah Ari Susanto, S.Psi.