LAMPUNG — Investigasi terhadap 14 situs layanan keuangan di Eropa dan Amerika Serikat menemukan 9 di antaranya mengirim data nasabah ke pihak ketiga tanpa persetujuan yang sah. Kebocoran mencakup nomor pajak, nominal pinjaman, hingga sidik jari perangkat yang dikirim ke Google Analytics dan Meta Pixel. Temuan ini menyoroti celah antara janji privasi di banner cookie dan perilaku skrip pelacak yang berjalan di halaman sensitif.
Dari 14 situs yang diperiksa, sembilan di antaranya melakukan pengiriman data tanpa pilihan persetujuan yang valid. Pola kegagalannya terbagi ke dalam tiga kategori, dan perbedaan di antara ketiganya punya implikasi hukum yang berbeda.
Sejumlah tag pelacak dilaporkan menyala sebelum pengguna menjawab banner cookie sama sekali. Kasus ini ditemukan pada situs manajemen kekayaan, perbankan investasi, dan penyedia layanan pembayaran.
Dalam kerangka ePrivacy Directive Uni Eropa, perilaku tersebut tidak pernah punya dasar hukum. Regulasi mewajibkan persetujuan sebelum apa pun disimpan di perangkat atau dibaca dari perangkat pengguna.
Pada satu situs, pelacakan berlanjut meski pengguna sudah secara aktif menolak cookie. Google Ads dan DoubleClick tetap menerima email pengguna yang telah di-hash di URL permintaan, berbarengan dengan sinyal consent-denied.
Artinya, penolakan tercatat sebagai sinyal ditolak, tetapi panggilan pelacakan tetap dijalankan. Persetujuan yang diminta di awal tidak berdampak apa pun pada praktik pengumpulan data di belakangnya.
Kebocoran data finansial terjadi terlepas dari status persetujuan pengguna. Dalam satu aplikasi kredit personal, nominal pinjaman sebesar 2.500 euro, tenor 12 bulan, dan pilihan asuransi sampai ke Google Analytics.
Di sebuah bank Portugal, nama, usia, dan nomor pajak nasabah dikirim ke Evergage dalam bentuk teks Base64 di URL permintaan saat pembukaan rekening. Sementara di situs perbankan Belanda, skrip first-party menggabungkan fingerprinting browser dengan permintaan gambar ke 127.0.0.1 pada port 7070 dan 5938 — port yang diasosiasikan dengan AnyDesk dan TeamViewer — untuk mendeteksi apakah perangkat pengunjung menjalankan software akses jarak jauh.
Meta dan TikTok sebelumnya menunjuk operator situs sebagai pihak yang mengendalikan data apa yang dikumpulkan. Meta merujuk pada kontrol privasi dan kebijakannya soal larangan berbagi data sensitif. TikTok menyatakan pengiklan yang menentukan event dan parameter apa yang dikirim, dan platform hanya menerima apa yang sengaja dikonfigurasi mitra.
Framing tersebut menempatkan tanggung jawab sepenuhnya pada operator situs, dan hanya berlaku jika pengumpulan data memang sengaja dinyalakan. Sering kali tidak demikian. Fitur Automatic Advanced Matching pada Meta Pixel aktif secara default, dan dalam kondisi default itu fitur tersebut menangkap serta meng-hash data formulir kontak tanpa langkah konfigurasi terpisah dari pemilik situs.
Seorang engineer bank yang menambahkan snippet pelacakan standar tidak sedang memilih mengirim email dan nomor telepon pemohon KPR ke Meta. Pixel melakukannya secara default. Kebijakan yang melarang pengumpulan data sensitif sulit direkonsiliasi dengan fitur yang mengumpulkannya secara default.
Tanggung jawab bank sendiri tidak hilang. Bank memilih vendor mana yang dipasang, menempatkan banner persetujuan di depan nasabah, dan menerbitkan kebijakan cookie yang seharusnya menyebut setiap entitas penerima data. Kedua sisi menanggung sebagian kesalahan: platform merilis default yang memaksimalkan pengumpulan data, sementara bank memasang default tersebut ke alur paling sensitif tanpa memvalidasi perilakunya saat berjalan.
Skrip pihak ketiga yang tidak terkelola di alur yang berhadapan langsung dengan nasabah bersinggungan dengan persyaratan consent GDPR dan ePrivacy. Untuk entitas keuangan yang diatur, aturan risiko pihak ketiga dan ketahanan operasional DORA juga berlaku, sementara PSD2 menambah kewajiban keamanan tersendiri untuk alur pembayaran.
Di Amerika Serikat, institusi keuangan terikat pada Safeguards Rule di bawah Gramm-Leach-Bliley Act, dan semakin banyak pula pada hukum negara bagian seperti CCPA/CPRA. Terlepas dari eksposur regulasi, persoalan ini pada dasarnya adalah higiene operasional.
Perbaikan dimulai dengan memverifikasi perilaku skrip saat berjalan, bukan mengasumsikan bahwa perilakunya sesuai konfigurasi. Validasi perlu dilakukan di halaman pembukaan rekening, KPR, pinjaman, dan simulasi yang aktif — bukan berhenti di homepage — karena halaman-halaman itu membawa data bernilai paling tinggi.
Pengawasan juga perlu mencakup tag yang mulai mengumpulkan lebih banyak data dari yang awalnya dikonfigurasi, atau yang disebut scope creep. Visibilitas harus berujung pada kontrol. Tim keamanan perlu punya kemampuan menghentikan skrip pihak ketiga membaca kolom formulir sensitif, dan memblokir transfer data tak sah — termasuk teknik umum menyembunyikan identifier dan detail finansial di URL permintaan alih-alih di body permintaan, yang menjadi jalur kebocoran dalam riset ini.
Persetujuan harus bermakna dalam praktik, bukan hanya di atas kertas. Penolakan semestinya menghentikan data keluar dari browser, bukan sekadar dicatat sebagai sinyal ditolak sementara panggilan pelacakan tetap menyala. Pilihan itu juga perlu ikut terbawa bersama nasabah ke iframe atau subdomain mana pun yang disentuh alur tersebut, bukan ter-reset di batas pertama yang dilewati.
Fitur seperti Automatic Advanced Matching yang meng-hash dan mengirim data kontak secara default sebaiknya dimatikan kecuali pengumpulan itu didokumentasikan, diungkapkan, dan sah. Kode first-party layak mendapat pengawasan yang sama dengan tag pihak ketiga: fingerprinting dan probing port lokal untuk pencegahan penipuan bisa jadi kontrol yang sah, tetapi membangunnya sendiri tidak menghapus kewajiban pengungkapan dan persetujuan.
Tak satu pun dari langkah ini menuntut bank meninggalkan analitik atau personalisasi. Yang dituntut adalah memperlakukan skrip di halaman sensitif sebagai bagian dari permukaan risiko institusi, ditinjau pada siklus yang sama dengan vendor lain, bukan dikonfigurasi sekali lalu dibiarkan. Sembilan dari 14 situs yang diperiksa mengirim data melalui kanal yang menurut banner persetujuannya sendiri sudah tertutup.