Kebijakan privasi adalah pernyataan atau dokumen hukum (dalam hukum privasi) yang mengungkapkan beberapa atau semua cara suatu pihak mengumpulkan, menggunakan, mengungkapkan, dan mengelola data pelanggan atau klien. Informasi pribadi dapat berupa apa saja yang dapat digunakan untuk mengidentifikasi seseorang, tidak terbatas pada nama, alamat, tanggal lahir, status perkawinan, informasi kontak, masalah ID, dan tanggal kedaluwarsa, catatan keuangan, informasi kredit, riwayat kesehatan, di mana seseorang melakukan perjalanan, dan niat untuk memperoleh barang dan jasa.^[1] Dalam kasus bisnis, seringkali ini merupakan HELLO WORLD pernyataan yang menyatakan kebijakan suatu pihak tentang cara mengumpulkan, menyimpan, dan melepaskan informasi pribadi yang dikumpulkannya. Ini memberi tahu informasi klien spesifik apa yang dikumpulkan, dan apakah itu dirahasiakan, dibagikan dengan mitra, atau dijual ke perusahaan lain.^[2] Kebijakan privasi biasanya mewakili perlakuan yang lebih luas dan lebih umum, dibandingkan dengan pernyataan penggunaan data, yang cenderung lebih rinci dan spesifik.

Isi pasti dari kebijakan privasi tentu akan bergantung pada hukum yang berlaku dan mungkin perlu menangani persyaratan lintas batas geografis dan yurisdiksi hukum. Sebagian besar negara memiliki undang-undang dan pedoman mereka sendiri tentang siapa yang dicakup, informasi apa yang dapat dikumpulkan, dan untuk apa informasi itu dapat digunakan. Secara umum, undang-undang perlindungan data di Eropa mencakup sektor swasta, serta sektor publik. Undang-undang privasi mereka berlaku tidak hanya untuk operasi pemerintah tetapi juga untuk perusahaan swasta dan transaksi komersial.^[3]

Kode Bisnis dan Profesi California, Internet Privacy Requirements (CalOPPA) mengamanatkan bahwa situs web yang mengumpulkan Informasi Identitas Pribadi (PII) dari penduduk California harus memasang kebijakan privasi mereka secara mencolok.^[4] (Lihat juga Undang-Undang Perlindungan Privasi Online)

Pada tahun 1968, Dewan Eropa mulai mempelajari pengaruh teknologi terhadap hak asasi manusia, mengenali ancaman baru yang akan ditimbulkan oleh teknologi komputer yang dapat menghubungkan dan mengirimkan dengan cara yang sebelumnya tidak tersedia secara luas. Pada tahun 1969, Organisasi untuk Kerja Sama dan Pembangunan Ekonomi mulai meneliti implikasi informasi pribadi yang meninggalkan negara tersebut. Semua ini membuat dewan merekomendasikan agar kebijakan dikembangkan untuk melindungi data pribadi yang dipegang oleh sektor swasta dan publik, yang mengarah ke Konvensi 108. Pada tahun 1981, Konvensi untuk Perlindungan Individu yang berkaitan dengan Pemrosesan Otomatis Data Pribadi (Konvensi 108) diperkenalkan. Salah satu undang-undang privasi pertama yang diberlakukan adalah Undang-Undang Data Swedia pada tahun 1973, diikuti oleh Undang-Undang Perlindungan Data Jerman Barat pada tahun 1977 dan Undang-undang Prancis tentang Informatika, Bank Data, dan Kebebasan pada tahun 1978.^[3]

Di Amerika Serikat, kekhawatiran atas kebijakan privasi yang dimulai sekitar akhir 1960-an dan 1970-an mengarah pada pengesahan Undang-Undang Pelaporan Kredit yang Adil. Meskipun undang-undang ini tidak dirancang sebagai undang-undang privasi, undang-undang tersebut memberi konsumen kesempatan untuk memeriksa berkas kredit mereka dan memperbaiki kesalahan. Ini juga membatasi penggunaan informasi dalam catatan kredit. Beberapa kelompok studi kongres pada akhir 1960-an meneliti semakin mudahnya informasi pribadi otomatis dapat dikumpulkan dan dicocokkan dengan informasi lain. Salah satu kelompok tersebut adalah komite penasihat dari Departemen Kesehatan dan Layanan Kemanusiaan Amerika Serikat, yang pada tahun 1973 menyusun kode prinsip yang disebut Praktik Informasi yang Adil. Pekerjaan komite penasihat mengarah pada Privacy Act pada tahun 1974. Amerika Serikat menandatangani pedoman Organisasi untuk Kerja Sama dan Pembangunan Ekonomi pada tahun 1980.^[3]

Di Kanada, Komisaris Privasi Kanada didirikan berdasarkan Undang-Undang Hak Asasi Manusia Kanada pada tahun 1977. Pada tahun 1982, pengangkatan Privasi Komisaris merupakan bagian dari Privacy Act yang baru. Kanada menandatangani pedoman OECD pada tahun 1984.^[3]

Ada perbedaan signifikan antara perlindungan data Uni Eropa dan undang-undang privasi data Amerika serikat. Standar ini harus dipenuhi tidak hanya oleh bisnis yang beroperasi di Uni Eropa tetapi juga oleh organisasi mana pun yang mentransfer informasi pribadi yang dikumpulkan terkait warga Uni Eropa. Pada tahun 2001 Departemen Perdagangan Amerika Serikat bekerja untuk memastikan kepatuhan hukum untuk organisasi Amerika Serikat di bawah Program Safe Harbor opt-in. FTC telah menyetujui TRUSTe untuk mengesahkan kepatuhan efisien dengan Safe Harbor Amerika Serikat-Uni Eropa.

Banyak kritikus menyerang keefektifan dan legitimasi kebijakan privasi yang ditemukan di Internet. Ada kekhawatiran tentang efektivitas kebijakan privasi yang diatur industri. Misalnya, laporan FTC 2000 tentang Privasi Daring: Praktik Informasi yang Adil di Pasar Elektronik menemukan bahwa meskipun sebagian besar situs web yang disurvei memiliki beberapa cara pengungkapan privasi, sebagian besar tidak memenuhi standar yang ditetapkan dalam Prinsip FTC. Selain itu, banyak organisasi memiliki hak tersurat untuk mengubah ketentuan kebijakan mereka secara sepihak. Pada bulan Juni 2009 situs web EFF TOSback mulai melacak perubahan tersebut pada 56 layanan internet populer, termasuk memantau kebijakan privasi Amazon, Google dan Facebook .^[5]

Ada juga pertanyaan tentang apakah konsumen memahami kebijakan privasi dan apakah mereka membantu konsumen membuat keputusan yang lebih tepat. Sebuah laporan tahun 2002 dari Stanford Persuasive Technology Lab menyatakan bahwa desain visual situs web memiliki pengaruh yang lebih besar daripada kebijakan privasi situs web ketika konsumen menilai kredibilitas situs web tersebut.^[6] Sebuah studi tahun 2007 oleh Universitas Carnegie Mellon mengklaim "ketika tidak disajikan dengan informasi privasi yang menonjol ..." konsumen "... cenderung melakukan pembelian dari vendor dengan harga terendah, terlepas dari kebijakan privasi situs itu".^[7] Namun, studi yang sama juga menunjukkan bahwa ketika informasi tentang praktik privasi disajikan dengan jelas, konsumen lebih memilih pengecer yang melindungi privasi mereka dengan lebih baik dan beberapa bersedia "membayar mahal untuk membeli dari situs web yang lebih melindungi privasi". Lebih lanjut, sebuah studi tahun 2007 di University of California, Berkeley menemukan bahwa "75% konsumen berpikir selama sebuah situs memiliki kebijakan privasi, itu berarti situs tersebut tidak akan berbagi data dengan pihak ketiga," mengacaukan keberadaan kebijakan privasi dengan perlindungan privasi ekstensif.

Kebijakan privasi umumnya kurang tepat, terutama jika dibandingkan dengan bentuk Pernyataan Penggunaan Data yang muncul. Jika pernyataan privasi memberikan gambaran umum yang lebih umum tentang pengumpulan dan penggunaan data, pernyataan penggunaan data menunjukkan perlakuan yang jauh lebih spesifik. Akibatnya, kebijakan privasi mungkin tidak memenuhi permintaan transparansi yang meningkat dari pernyataan penggunaan data.

Kritikus juga mempertanyakan apakah konsumen bahkan membaca kebijakan privasi atau dapat memahami apa yang mereka baca. Sebuah studi 2001 oleh Privacy Leadership Initiative mengklaim hanya 3% konsumen membaca kebijakan privasi dengan cermat, dan 64% sekilas melihat, atau tidak pernah membaca, kebijakan privasi.^[8] Pengguna situs web rata-rata setelah membaca pernyataan privasi mungkin memiliki lebih banyak ketidakpastian tentang kepercayaan situs web daripada sebelumnya.^[9][10] Salah satu masalah yang mungkin adalah panjang dan kompleksitas kebijakan. Menurut penelitian Carnegie Mellon 2008, panjang rata-rata kebijakan privasi adalah 2.500 kata dan membutuhkan rata-rata 10 menit untuk membaca. Studi tersebut menyebutkan bahwa "Kebijakan privasi sulit dibaca" dan, akibatnya, "jarang dibaca".^[11] Namun, setiap upaya untuk membuat informasi lebih rapi akan menyederhanakan informasi sampai-sampai tidak menyampaikan sejauh mana data pengguna dibagikan dan dijual.^[12] Ini dikenal sebagai 'paradoks transparansi'.

Dipercaya juga bahwa agar privasi yang layak ditawarkan oleh penyedia layanan, tidak cukup dengan memaksakan transparansi melalui regulasi, tetapi juga penting untuk memiliki alternatif yang layak, sehingga pasar layanan Internet (seperti jaringan sosial) dapat beroperasi seperti pasar bebas di mana pilihan dapat dibuat oleh konsumen.^[13]

• Gazaleh, Mark (2008) Online trust and perceived utility for consumers of web privacy statements, WBS London, 35pp.
• Cavoukian, Ann (1995). Who Knows: Safeguarding Your Privacy in A Networked Worldwide (paperback). Random House of Canada: Random House. ISBN 0-394-22472-8.