noyb Menang Gugat Fnac Darty, Denda €7 Juta Gara-Gara Pelanggaran GDPR

Kabar baik buat kamu yang peduli soal hak data pribadi: organisasi advokasi privasi noyb (None of Your Business) yang didirikan Max Schrems baru saja mencatat kemenangan signifikan di Prancis. Retailer elektronik raksasa Fnac Darty dikena denda €7 juta oleh CNIL — otoritas perlindungan data Prancis — setelah terbukti melanggar beberapa pasal kunci GDPR. Kasus ini dimulai dari pengaduan noyb soal praktik pengumpulan dan pemrosesan data pelanggan yang tidak transparan, serta tidak ada legal basis yang jelas untuk sebagian besar aktivitas tracking dan profiling yang dilakukan perusahaan.

Inti persoalannya sih classic tapi sering diabaikan banyak perusahaan: Fnac Darty mengumpulkan data pelanggan lewat program loyalitas, aplikasi mobile, dan website tanpa consent yang valid dan spesifik. GDPR mewajibkan consent harus freely given, informed, specific, dan unambiguous — tapi praktiknya, Fnac Darty pakai pre-ticked boxes, buried clauses di terms of service yang panjang banget, dan dark patterns yang bikin user sulit menolak tracking. CNIL menilai ini pelanggaran pasal 5 (prinsip transparansi), pasal 6 (legal basis), pasal 7 (consent), dan pasal 25 (data protection by design).

Kenapa denda ini cukup gede buat standar Prancis

€7 juta kedengaran tidak sebanding dengan omzet Fnac Darty yang mencapai miliaran euro, tapi ini salah satu denda terbesar yang pernah dikeluarkan CNIL untuk kasus consent dan transparency murni. Sebelumnya, denda besar biasanya jatuh ke big tech seperti Google (€150 juta) atau Amazon (€746 juta). Fakta CNIL memilih Fnac Darty — retailer tradisional yang baru transformasi digital — mengirim sinyal kuat: GDPR tidak pilih-pilih target. Perusahaan apa pun yang memproses data skala besar wajib comply, bukan cuma platform digital native. Denda ini dihitung berdasarkan 2% dari global turnover Fnac Darty, yang merupakan batas maksimum untuk pelanggaran kategori ini di bawah pasal 83 GDPR.

Yang bikin kasus ini menarik buat dipelajari: noyb tidak cuma ngaduin satu titik, tapi mengajukan comprehensive complaint yang mencakup seluruh ekosistem data Fnac Darty — dari website, app, loyalty program, hingga in-store data collection. Pendekatan holistic ini memaksa CNIL mengevaluasi compliance end-to-end, bukan cuma patching satu fitur. Hasilnya, CNIL memerintahkan Fnac Darty untuk overhaul seluruh consent management platform (CMP), redesign user journey biar consent benar-benar granular dan withdrawable kapan saja, serta implementasi privacy by design di semua produk digital baru. Deadline compliance cuma 3 bulan — timeline yang agresif buat organisasi sebesar Fnac Darty.

Pelajaran buat startup dan bisnis lokal soal consent management

Buat kamu yang ngelola produk digital atau punya bisnis yang ngumpulin data user, kasus ini case study yang wajib dipelajari. Pertama: jangan pernah pakai pre-ticked boxes atau assumed consent. GDPR dan ePrivacy Directive (Cookie Law) jelas: consent harus active opt-in. Kedua: consent harus granular — user harus bisa pilih mana saja kategori processing yang disetujui (analytics, marketing, personalization, third-party sharing) bukan cuma accept all atau reject all. Ketiga: withdraw consent harus se-gampang give consent. Kalau user klik accept cuma 1 klik, tapi mau withdraw harus lewat 5 langkah menu settings — itu dark pattern dan ilegal.

Keempat: audit third-party vendors yang akses data user lewat tag, pixel, SDK, atau API. Banyak startup lupa kalau mereka tetap bertanggung jawab sebagai data controller atas apa yang dilakukan processor mereka. Fnac Darty kena denda juga gara-gara sharing data ke partner advertising tanpa legal basis yang valid dan tanpa transparency ke user. Kelima: document everything. Article 30 GDPR mewajibkan Record of Processing Activities (ROPA) yang detail. Kalau CNIL audit dan kamu nggak bisa tunjukkan legal basis untuk setiap processing activity — siap aja kena denda. Praktik terbaik: bangun privacy compliance into product development lifecycle (shift left), bukan bolt-on di akhir.

Peran noyb jadi watchdog yang bikin tekanan regulator bergerak

Perlu dicatat: noyb bukan regulator, tapi NGO yang punya standing untuk mengajukan complaint atas nama data subject. Strategi mereka cerdas: pilih kasus yang representatif, well-documented, dan punya dampak sistemik. Max Schrems dan timnya sering melakukan technical investigation dulu — audit cookie, network request, data flow — sebelum filing complaint. Ini bikin regulator seperti CNIL, DPC Ireland, atau Hamburg Commissioner lebih gampang bertindak karena bukti sudah lengkap. Dari 2018, noyb sudah filing ratusan complaint di seluruh EU, dengan success rate yang cukup tinggi. Kemenangan ini menambah track record mereka dan memperkuat deterrence effect: perusahaan sadar kalau pelanggaran GDPR nggak cuma risiko audit acak, tapi bisa jadi target investigasi mendalam oleh organisasi yang punya expertise teknis tinggi.

Buat konteks Indonesia: meski kita punya UU PDP (Undang-Undang Perlindungan Data Pribadi) yang baru disahkan 2022 dan akan full enforce Oktober 2024, prinsip-prinsipnya mirip GDPR — consent, transparency, purpose limitation, accountability. Kasus Fnac Darty ini preview bagus apa yang bisa terjadi kalau perusahaan Indonesia nggak siapin compliance sejak sekarang. KPPN (Komisi Perlindungan Data Pribadi) nanti akan punya wewenang mirip CNIL: investigasi, denda administratif (maksimal 2% pendapatan tahunan), hingga penghentian pemrosesan data. Jadi, jangan nunggu regulasi baru enforce baru panik. Mulai audit data flow sekarang, bangun consent management yang proper, dan treat privacy as competitive advantage bukan compliance burden.