Penjelasan Undang-Undang Privasi Email: GDPR, CAN-SPAM, CCPA, CASL, dan Hak Anda

30 Oktober 2026 · Baca 24 menit · Oleh Tim Editorial VookMail

Email pemasaran yang sama, dikirim pada saat yang sama oleh perusahaan yang sama, bisa sah ketika sampai ke pembaca di Ohio dan melanggar hukum ketika sampai ke pembaca di Berlin atau Toronto. Isi pesannya tidak perlu diubah sama sekali. Yang berbeda adalah lokasi penerima dan apakah orang itu sudah setuju sebelumnya. Toko di AS umumnya boleh mengirim email ke orang asing tanpa meminta izin dulu, selama jujur dan memberi orang itu cara untuk berhenti, sedangkan di UE dan Kanada pesan yang sama biasanya membutuhkan persetujuan sebelum dikirim.

Perbedaan itulah inti undang-undang privasi email. GDPR dan aturan ePrivacy Eropa serta CASL Kanada bekerja dengan basis opt-in, sedangkan CAN-SPAM Act di AS bekerja dengan basis opt-out. Di samping itu ada undang-undang privasi umum, seperti GDPR dan CCPA California, yang memberi Anda hak atas data yang dipegang perusahaan tentang Anda. Artikel ini berisi informasi umum dan bukan nasihat hukum. Undang-undang berubah dan berbeda di tiap negara, dan penerapannya bergantung pada fakta, jadi periksa panduan regulator yang bersangkutan atau bicaralah dengan pengacara yang berkualifikasi untuk situasi tertentu.

Satu email promosi, empat hasil

Ambil contoh nyata. Sebuah toko online kecil di Texas membeli daftar alamat dan mengirim semua orang di dalamnya email "diskon 20% akhir pekan ini". Pesan itu punya subjek yang jujur, alamat pos, dan tautan berhenti berlangganan. Berikut kira-kira bagaimana nasibnya bagi tiap penerima di tempat berbeda, dengan anggapan bahwa tiap undang-undang berlaku pada kegiatan toko di sana.

Penerima di	Aturan utama	Kemungkinan posisinya dalam contoh ini
Amerika Serikat	CAN-SPAM Act	Persetujuan sebelumnya tidak diwajibkan. Pesan bisa memenuhi aturan jika sesuai dengan ketentuan isi dan opt-out, meski alamat yang diperoleh lewat pemanenan menimbulkan masalah tersendiri
Jerman (UE)	GDPR ditambah aturan ePrivacy nasional, di Jerman Pasal 7 Undang-Undang Persaingan Tidak Sehat (UWG)	Umumnya membutuhkan persetujuan sebelumnya. Alamat yang dibeli tanpa hubungan pelanggan tidak memenuhi pengecualian soft opt-in
Inggris Raya	UK GDPR dan PECR regulasi 22	Umumnya membutuhkan persetujuan sebelumnya untuk pelanggan perorangan, atau soft opt-in yang tidak bisa diklaim toko ini
Kanada	CASL	Membutuhkan persetujuan tegas atau tersirat. Daftar yang dibeli biasanya tidak menyediakan keduanya, dan toko harus bisa membuktikan persetujuan

Ini juga menunjukkan mengapa negara asal pengirim tidak banyak menentukan. Perusahaan Texas yang menyasar pelanggan di UE bisa tunduk pada hukum UE, dan CASL mencakup pesan yang diakses di komputer di Kanada. Tempat perusahaan menjual dan tempat penerimanya berada cenderung lebih penting daripada tempat ia memiliki kantor.

Gambaran singkat undang-undangnya

Undang-undang	Wilayah	Model pemasaran	Ditegakkan oleh	Sanksi maksimum utama
GDPR	UE dan EEA; juga organisasi di tempat lain yang menyasar atau memantau orang di sana	Membutuhkan dasar hukum; dibaca bersama aturan ePrivacy	Otoritas perlindungan data nasional dan pengadilan	Hingga €20 juta atau 4% dari omzet tahunan global, mana yang lebih tinggi
Direktif ePrivacy	UE, lewat hukum nasional tiap negara anggota	Opt-in untuk perorangan, dengan soft opt-in untuk pelanggan yang sudah ada	Regulator nasional, yang berbeda di tiap negara	Ditetapkan oleh hukum nasional
UK GDPR dan PECR	Inggris Raya	Opt-in dengan soft opt-in, mirip model UE	Regulator perlindungan data Inggris	£17,5 juta atau 4% dari omzet global, mana yang lebih tinggi
CAN-SPAM Act	Amerika Serikat	Opt-out	FTC, lembaga federal lain, jaksa agung negara bagian, penyedia akses internet	Lebih dari $50.000 per email yang melanggar, disesuaikan dengan inflasi setiap tahun
CCPA, sebagaimana diubah oleh CPRA	Warga California dan bisnis nirlaba yang tercakup	Tidak ada aturan persetujuan email; mengatur pengumpulan, penjualan, dan pembagian	California Privacy Protection Agency dan Jaksa Agung	Denda per pelanggaran, lebih tinggi untuk pelanggaran yang disengaja dan yang melibatkan anak di bawah umur
CASL	Kanada, termasuk pesan yang dikirim dari luar negeri dan diakses di sana	Persetujuan tegas atau tersirat sebelum mengirim	CRTC, Competition Bureau, Office of the Privacy Commissioner	Hingga C$10 juta per pelanggaran untuk organisasi, C$1 juta untuk perorangan

Apakah alamat email termasuk data pribadi?

Menurut Pasal 4(1) GDPR, data pribadi berarti setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi. Alamat seperti maria.lopez@example.com jelas memenuhi syarat. Alamat yang kurang gamblang seperti ml1987@example.com biasanya juga termasuk, karena milik satu orang dan bisa dikaitkan dengan informasi lain untuk mengidentifikasinya. Alamat bersama seperti info@company.example mungkin sama sekali bukan data pribadi, kecuali bisa dikaitkan dengan seseorang.

Email memuat data pribadi yang jauh lebih banyak daripada alamatnya saja. Ada isi pesan dan lampirannya. Ada metadata, yaitu pengirim, penerima, waktu, subjek, dan alamat IP di header. Ada data keterlibatan, seperti kapan Anda membuka pesan dan tautan mana yang Anda klik. Ada pula profil turunan, seperti segmen minat dan prediksi tentang apa yang mungkin Anda beli berikutnya.

Istilah di AS berbeda. CCPA berbicara tentang "informasi pribadi", yang didefinisikan luas mencakup pengenal seperti alamat email, serta inferensi yang ditarik untuk menyusun profil. CAN-SPAM tidak memakai konsep semacam itu, karena ia sama sekali bukan undang-undang privasi umum. Ia mengatur cara email komersial dikirim, dan tidak memberi Anda hak untuk melihat atau menghapus apa pun yang dipegang perusahaan.

Eropa: dua undang-undang yang bekerja bersama

Banyak artikel menggambarkan pemasaran opt-in sebagai aturan GDPR. Persyaratan persetujuan untuk email pemasaran sebenarnya berasal dari undang-undang lain, Direktif ePrivacy (Direktif 2002/58/EC), sementara GDPR mendefinisikan apa arti persetujuan yang sah dan mengatur apa yang terjadi pada datanya. Karena direktif diterapkan terpisah di tiap negara anggota, rinciannya berbeda di seluruh UE. Prancis dan Jerman, misalnya, punya ketentuan nasional sendiri dan pandangan regulatornya sendiri.

Pasal 13 Direktif ePrivacy

Pasal 13 menetapkan kerangka dasar. Email pemasaran langsung ke perorangan membutuhkan persetujuan sebelumnya. Pengecualian yang sempit, yang biasa disebut soft opt-in, mengizinkan perusahaan yang memperoleh alamat Anda dalam konteks penjualan produk atau layanan untuk memasarkan produk atau layanannya sendiri yang serupa, asalkan Anda diberi kesempatan yang jelas dan mudah untuk menolak ketika data Anda dikumpulkan dan di setiap pesan sesudahnya. Pengirim tidak boleh menyembunyikan atau menyamarkan identitasnya, dan harus memberikan alamat yang valid untuk berhenti.

Aturan untuk mengirim email ke perusahaan beragam. Pasal 13(5) memberi ruang bagi negara anggota untuk memperlakukan badan hukum secara berbeda, sehingga sebagian memperluas opt-in ke alamat perusahaan dan sebagian tidak. Alamat kerja bernama seperti firstname.lastname@company.example tetap merupakan data pribadi menurut GDPR bahkan ketika aturan pemasarannya lebih longgar.

Piksel pelacak

Pasal 5(3) direktif yang sama mewajibkan persetujuan untuk menyimpan atau mengakses informasi di perangkat pengguna, kecuali hal itu benar-benar diperlukan untuk layanan yang diminta pengguna. Pasal ini paling dikenal lewat banner cookie. Pedoman 2/2023 European Data Protection Board tentang cakupan teknis Pasal 5(3) berpandangan bahwa piksel pelacak di email bisa termasuk di dalamnya. Regulator Prancis, CNIL, melangkah lebih jauh dan pada April 2026 menerbitkan rekomendasi yang menjadikan persetujuan sebagai default untuk piksel pelacak email, dengan pengecualian terbatas untuk tujuan seperti keamanan. Perkirakan adanya perbedaan antarnegara, dan periksa posisi regulator Anda sendiri. Cara kerja teknologinya dibahas dalam artikel kami tentang piksel pelacak email.

Apa yang ditambahkan GDPR

General Data Protection Regulation berlaku sejak 25 Mei 2018. Ia mencakup organisasi yang berdiri di UE, dan menurut Pasal 3(2) juga mencakup organisasi di tempat lain yang menawarkan barang atau jasa kepada orang di UE atau memantau perilaku mereka di sana. Recital 23 memberi petunjuk tentang penyasaran: sekadar memiliki situs web yang bisa diakses dari Eropa tidak cukup, sedangkan memakai bahasa atau mata uang suatu negara anggota untuk menawarkan barang di sana mungkin cukup. Islandia, Liechtenstein, dan Norwegia menerapkan GDPR lewat EEA.

Prinsip dan dasar hukum

Pasal 5 menetapkan prinsip-prinsipnya. Alamat yang dikumpulkan untuk mengirim konfirmasi pesanan tidak boleh begitu saja dipakai ulang untuk tujuan yang tidak berkaitan (pembatasan tujuan). Hanya data yang diperlukan yang boleh dikumpulkan (minimisasi data), disimpan tidak lebih lama dari yang dibutuhkan (pembatasan penyimpanan), dan dijaga dengan aman. Organisasi juga harus bisa menunjukkan bahwa ia mematuhinya (akuntabilitas).

Pasal 6 mewajibkan adanya dasar hukum untuk setiap penggunaan. Untuk email, inilah yang biasa dipakai:

Kontrak: mengirim konfirmasi pesanan atau pemberitahuan akun Anda.
Kewajiban hukum: menyimpan faktur untuk keperluan pajak.
Persetujuan: berlangganan buletin.
Kepentingan yang sah: sebagian pencegahan keamanan dan penipuan, dan dalam kasus terbatas pemasaran langsung, tetapi hanya jika aturan ePrivacy mengizinkan pesannya sendiri.

Apa yang membuat persetujuan sah

Pasal 4(11) mendefinisikan persetujuan sebagai diberikan secara bebas, spesifik, terinformasi, dan tidak ambigu, yang ditunjukkan lewat tindakan afirmatif yang jelas. Recital 32 menyatakan diam, kotak yang sudah dicentang, dan ketidakaktifan tidak dihitung, dan Pengadilan Uni Eropa menegaskan hal tentang kotak yang sudah dicentang itu dalam kasus Planet49 tahun 2019 (C-673/17). Pasal 7(3) menyatakan bahwa menarik persetujuan harus semudah memberikannya, jadi langganan sekali klik tidak seharusnya membutuhkan login dan lima halaman untuk membatalkannya. Pasal 7(1) mewajibkan organisasi mampu menunjukkan persetujuan, salah satu alasan pengirim bereputasi memakai email konfirmasi double opt-in, meski GDPR tidak menyebut metode itu.

Penggabungan adalah titik lemah yang umum. Pasal 7(4) bertanya apakah suatu layanan dijadikan bersyarat pada persetujuan yang tidak dibutuhkannya. "Berikan persetujuan pemasaran atau Anda tidak bisa membaca halaman ini" adalah jenis pengaturan yang dicermati regulator, dan jawabannya bisa bervariasi menurut konteks.

Hak Anda

Hak	Pasal	Yang diberikannya kepada Anda	Contoh pada email
Informasi	13, 14	Siapa yang memproses data Anda, mengapa, untuk berapa lama, dan siapa yang menerimanya	Pemberitahuan privasi yang ditautkan saat mendaftar buletin
Akses	15	Salinan data Anda dan rincian penggunaannya, biasanya gratis	Menanyakan kepada toko apa yang disimpannya terkait alamat Anda, termasuk segmen
Perbaikan	16	Koreksi data yang tidak akurat	Memperbaiki nama yang salah eja
Penghapusan	17	Penghapusan dalam kasus yang tercantum, seperti data yang tidak lagi diperlukan atau persetujuan yang ditarik	Menghapus profil Anda dari layanan yang sudah Anda tinggalkan
Pembatasan	18	Jeda penggunaan selama ada sengketa	Menghentikan pemrosesan sementara akurasi diperiksa
Portabilitas	20	Data yang Anda berikan, dalam format yang bisa dibaca mesin, jika pemrosesan didasarkan pada persetujuan atau kontrak	Mengekspor kontak dari penyedia email
Keberatan	21	Menghentikan pemrosesan berdasarkan kepentingan yang sah; mutlak untuk pemasaran langsung	Meminta perusahaan menghentikan semua pemasaran
Pengaduan dan kompensasi	77, 82	Mengadu ke otoritas, dan menuntut ganti rugi atas kerugian	Melaporkan pengirim yang mengabaikan keberatan Anda

Pasal 12(3) memberi organisasi satu bulan untuk menanggapi, bisa diperpanjang dua bulan lagi untuk permintaan yang rumit atau banyak, dan dalam hal itu mereka harus memberi tahu Anda dalam bulan pertama. Mereka boleh meminta bukti identitas yang wajar. Menurut Pasal 12(5), mereka boleh memungut biaya yang wajar atau menolak hanya jika permintaan jelas tidak berdasar atau berlebihan.

Hak untuk menolak pemasaran adalah yang terkuat di antaranya, dan mudah terlewat. Pasal 21(2) dan (3) menyatakan bahwa begitu Anda menolak pemasaran langsung, data Anda tidak boleh lagi diproses untuk tujuan itu. Tidak seperti keberatan lain, tidak ada uji penyeimbangan. Perusahaan boleh menyimpan alamat Anda di daftar penekan agar tidak mengirim email lagi, tetapi tidak boleh terus memasarkan kepada Anda.

Penghapusan, sebaliknya, punya batas. Pasal 17(3) mencantumkan pengecualian, termasuk kewajiban hukum. Toko boleh menyimpan faktur Anda setelah menghapus profil, dan ia seharusnya memberi tahu Anda hal itu ketika Anda bertanya.

Pemberitahuan kebocoran

Pasal 33 mewajibkan organisasi memberi tahu otoritas pengawasnya tentang kebocoran data pribadi dalam 72 jam setelah mengetahuinya, kecuali kebocoran itu kecil kemungkinannya menimbulkan risiko bagi orang. Pasal 34 mewajibkannya memberi tahu orang yang terdampak tanpa penundaan yang tidak semestinya bila risikonya tinggi. Inilah sebabnya Anda kadang mendapat kabar dari layanan yang sudah Anda tinggalkan bertahun-tahun lalu. Jika Anda menerima pemberitahuan, panduan kami tentang apa yang dilakukan setelah kebocoran data email menjelaskan langkah praktisnya.

Perubahan mungkin akan datang. Usulan Digital Omnibus Komisi Eropa, yang diterbitkan pada November 2025, antara lain akan memperpanjang 72 jam menjadi 96 dan membatasi pemberitahuan ke regulator hanya untuk kebocoran berisiko tinggi. Per akhir 2026 itu masih berupa usulan dalam proses legislasi, jadi aturan yang berlaku saat ini tetap dipakai. Periksa teks akhirnya jika Anda perlu mengandalkan hal ini.

Inggris Raya: mirip, dengan pembaruan tersendiri

Setelah Brexit, Inggris mempertahankan GDPR dalam hukum domestik sebagai UK GDPR, di samping Data Protection Act 2018. Privacy and Electronic Communications Regulations 2003 (PECR) membawa aturan ePrivacy, dan regulasi 22 mencerminkan model opt-in dan soft opt-in UE untuk pelanggan perorangan.

Data (Use and Access) Act 2025 mengubah sebagian gambaran ini. Undang-undang itu menaikkan denda maksimum PECR dari £500.000 ke tingkat UK GDPR, yaitu yang lebih tinggi antara £17,5 juta atau 4% dari omzet global, dengan perubahan yang dilaporkan berlaku pada awal 2026. Undang-undang itu juga membuat versi soft opt-in untuk badan amal, yang memungkinkan mereka mengirim email kepada orang yang telah mendukung atau menanyakan tentang kegiatan mereka, dengan syarat termasuk opt-out saat pengumpulan. Regulatornya sendiri sedang dibentuk ulang, dengan Information Commissioner's Office akan digantikan oleh Information Commission, jadi Anda mungkin melihat salah satu namanya. Situs webnya tetap menjadi tempat memeriksa panduan terkini, dan menyediakan alat untuk melaporkan pemasaran yang tidak diinginkan.

CAN-SPAM: apa yang sebenarnya diwajibkan hukum federal AS

CAN-SPAM Act 2003 adalah undang-undang federal utama AS tentang email komersial. Meski namanya begitu, ia tidak melarang pemasaran yang tidak diminta. Ia menetapkan aturan tentang cara email semacam itu harus dikirim, dan memberi penerima hak untuk menghentikannya. Aturan pelaksana FTC ada di 16 CFR Part 316, dan lembaga itu menerbitkan panduan kepatuhan untuk bisnis yang layak dibaca utuh jika Anda mengirim email pemasaran.

Pesan mana yang dihitung

Yang penting adalah tujuan utama sebuah pesan. Pesan komersial mengiklankan atau mempromosikan produk atau layanan dan tercakup sepenuhnya. Pesan transaksional atau hubungan mengonfirmasi transaksi, memberi informasi garansi atau keselamatan, melaporkan perubahan pada akun atau langganan, memberi informasi pekerjaan, atau mengantarkan barang yang sudah dibeli. Pesan ini dikecualikan dari sebagian besar persyaratan tetapi tidak boleh memuat informasi perutean yang palsu atau menyesatkan. Surat yang murni pribadi berada di luar undang-undang ini.

Tidak ada pengecualian untuk email bisnis-ke-bisnis. Pesan promosi ke alamat perusahaan juga harus patuh, yang mengejutkan orang yang terbiasa dengan perlakuan lebih lunak terhadap B2B di sebagian negara.

Persyaratannya

Informasi header harus akurat. From, To, Reply-To, dan data perutean harus mengidentifikasi dengan benar siapa yang memulai pesan.
Baris subjek tidak boleh menyesatkan tentang isinya.
Pesan harus jelas ditandai sebagai iklan, kecuali penerima telah memberi persetujuan afirmatif sebelumnya.
Pesan harus memuat alamat pos fisik yang valid, yang bisa berupa alamat jalan, kotak pos terdaftar, atau kotak surat pribadi terdaftar.
Pesan harus menjelaskan dengan jelas cara berhenti dan menyediakan cara yang berfungsi, seperti alamat balasan atau tautan.
Permintaan berhenti harus dipenuhi dalam 10 hari kerja, dan mekanismenya harus tetap berfungsi setidaknya 30 hari setelah pengiriman. Pengirim tidak boleh memungut biaya, meminta informasi pribadi selain alamat email dan preferensi berhenti, atau mewajibkan langkah apa pun selain membalas atau mengunjungi satu halaman web.
Alamat yang sudah berhenti tidak boleh dijual atau dialihkan, kecuali kepada perusahaan yang disewa untuk membantu kepatuhan.
Perusahaan tetap bertanggung jawab atas siapa pun yang mengirim atas namanya, jadi menyewa agensi tidak memindahkan kewajiban itu ke tempat lain.

Email komersial yang eksplisit secara seksual harus memuat label peringatan "SEXUALLY-EXPLICIT:" di baris subjek menurut aturan FTC yang terpisah.

Praktik yang memberatkan dan penegakan

Undang-undang ini memperlakukan praktik tertentu sebagai faktor pemberat, termasuk memanen alamat dari situs web, membuat alamat lewat "serangan kamus" yang menggabungkan nama dan huruf, dan memakai skrip untuk mendaftarkan akun secara massal demi mengirim spam. Sebagian praktik penipuan merupakan tindak pidana.

Penerima perorangan tidak punya hak gugat pribadi, salah satu hal yang paling sering disalahpahami tentang undang-undang ini. Penegakan menjadi wewenang FTC, lembaga federal lain untuk industri yang diatur, jaksa agung negara bagian, dan penyedia akses internet. Anda bisa melaporkan pelanggaran di ReportFraud.ftc.gov. FTC memang mengajukan kasus: pada 2024 ia mengumumkan penalti $2,95 juta terhadap perusahaan kamera keamanan Verkada, dalam kasus yang menyertakan tuduhan CAN-SPAM. Undang-undang ini juga mengesampingkan sebagian besar undang-undang negara bagian yang secara khusus mengatur email komersial, kecuali yang melarang kepalsuan atau penipuan.

Pesan teks diatur terpisah

SMS pemasaran di AS terutama diatur oleh Telephone Consumer Protection Act, yang umumnya mewajibkan persetujuan tegas sebelumnya untuk SMS pemasaran otomatis. Jadi logika opt-out pada email tidak berlaku untuk nomor telepon Anda, dan formulir checkout yang meminta nomor Anda sedang meminta persetujuan yang terpisah.

California dan negara bagian AS lainnya

California Consumer Privacy Act mulai berlaku pada 2020 dan diubah secara substansial oleh California Privacy Rights Act sejak 2023. Ini adalah undang-undang privasi umum, relevan untuk email karena alamat Anda adalah informasi pribadi dan perusahaan sering membagikannya untuk periklanan.

Undang-undang ini berlaku bagi bisnis nirlaba yang menjalankan usaha di California dan memenuhi setidaknya satu dari tiga ujian: pendapatan kotor tahunan di atas ambang yang disesuaikan dengan inflasi (awalnya $25 juta, dan penyesuaian regulator tahun 2025 menetapkannya di $26.625.000); membeli, menjual, atau membagikan informasi pribadi 100.000 konsumen atau rumah tangga California atau lebih per tahun; atau memperoleh setidaknya separuh pendapatan tahunan dari menjual atau membagikan informasi pribadi.

Bisnis yang tercakup harus menghormati hak-hak ini:

Untuk mengetahui apa yang dikumpulkan, dari mana, mengapa, dan dibagikan dengan kategori pihak ketiga apa.
Untuk menghapus informasi pribadi yang dikumpulkan dari Anda, dengan pengecualian seperti menyelesaikan transaksi atau memenuhi kewajiban hukum.
Untuk memperbaiki informasi pribadi yang tidak akurat.
Untuk menolak penjualan atau pembagian. "Pembagian" secara khusus mencakup pengungkapan untuk periklanan perilaku lintas konteks, yang bisa meliputi mengunggah daftar email pelanggan ke platform iklan.
Untuk membatasi penggunaan informasi pribadi yang sensitif, kategori yang mencakup isi surat, email, dan SMS kecuali bisnis itu adalah penerima yang dituju.
Untuk tidak didiskriminasi karena menggunakan hak-hak ini, meski bisnis boleh menawarkan insentif keuangan yang diungkapkan seperti program loyalitas.

Permintaan untuk mengetahui, menghapus, dan memperbaiki harus mendapat tanggapan dalam 45 hari kalender, bisa diperpanjang 45 hari lagi dengan pemberitahuan. Permintaan berhenti punya batas yang lebih singkat dalam peraturan, paling lama 15 hari kerja. Bisnis juga harus memperlakukan sinyal preferensi opt-out seperti Global Privacy Control, yang dikirim oleh peramban atau ekstensi Anda, sebagai opt-out yang sah dari penjualan dan pembagian.

California Privacy Protection Agency, yang juga dikenal sebagai CalPrivacy, dan Jaksa Agung menegakkan undang-undang ini. Perorangan hanya bisa menggugat atas kebocoran data tertentu yang disebabkan kegagalan menjaga keamanan yang wajar, dengan ganti rugi menurut undang-undang per konsumen per insiden. Warga California juga punya alat terpisah di bawah Delete Act: Delete Request and Opt-out Platform (DROP) memungkinkan mereka mengirim satu permintaan penghapusan ke pialang data terdaftar, dan para pialang dijadwalkan mulai memproses permintaan itu pada Agustus 2026.

Banyak negara bagian lain, termasuk Virginia, Colorado, Connecticut, Texas, dan Oregon, telah mengesahkan undang-undang privasi komprehensif dengan hak yang secara garis besar serupa. Rincian dan ambangnya berbeda, dan kebanyakan tidak menawarkan hak gugat pribadi, jadi periksa halaman jaksa agung di negara bagian Anda sendiri.

CASL: rezim ketat Kanada

Anti-Spam Legislation Kanada sebagian besar sudah berlaku sejak 1 Juli 2014 dan termasuk undang-undang pemasaran email paling ketat di mana pun. Ia mencakup pesan elektronik komersial, termasuk email dan SMS, yang dikirim ke atau diakses di komputer di Kanada.

Pengirim membutuhkan persetujuan tegas atau, dalam situasi tertentu, persetujuan tersirat. Contoh persetujuan tersirat yang paling dikenal adalah hubungan bisnis yang sudah ada, seperti pembelian dalam dua tahun terakhir atau pertanyaan dalam enam bulan terakhir. Setiap pesan harus mengidentifikasi pengirim dan memberi informasi kontak. Setiap pesan juga membutuhkan mekanisme berhenti berlangganan yang tetap berlaku setidaknya 60 hari setelah pengiriman, dan permintaan harus diproses dalam 10 hari kerja.

Sanksinya bisa mencapai C$10 juta per pelanggaran untuk organisasi dan C$1 juta untuk perorangan. Hak gugat pribadi dalam undang-undang ini, yang semula memungkinkan perorangan menggugat, ditangguhkan oleh pemerintah pada 2017 sebelum berlaku. Warga Kanada bisa melaporkan spam lewat Spam Reporting Centre, bagian dari program anti-spam federal.

Di tempat lain secara singkat

Spam Act 2003 Australia mewajibkan persetujuan, identifikasi pengirim, dan fasilitas berhenti berlangganan yang berfungsi, dan permintaan harus dipenuhi dalam lima hari kerja. Australian Communications and Media Authority menegakkannya. LGPD Brasil adalah undang-undang umum ala GDPR, ditegakkan oleh otoritas nasional ANPD, dengan hak akses, koreksi, penghapusan, dan informasi tentang pembagian. Digital Personal Data Protection Act 2023 India memperkenalkan pemrosesan berbasis persetujuan, dan aturannya, yang diberlakukan pada November 2025, diterapkan bertahap selama 18 bulan, sehingga sebagian besar kewajiban operasionalnya belum berlaku. Federal Act on Data Protection Swiss yang telah direvisi berlaku sejak September 2023 dan selaras erat dengan prinsip GDPR.

Jika negara Anda tidak tercantum di sini, mungkin tetap ada undang-undang yang relevan. Otoritas perlindungan data atau konsumen nasional Anda adalah tempat untuk memeriksanya.

Mengapa berhenti berlangganan tidak menghentikan struk Anda

Orang sering bertanya mengapa menolak pemasaran sebuah toko tidak menghentikan email pesanannya. Undang-undang sengaja memisahkan keduanya, dan itu juga alasan pengirim tidak bisa lolos dari aturan pemasaran hanya dengan menyebut sesuatu sebagai pesan layanan.

Jenis	Contoh	GDPR dan ePrivacy	CAN-SPAM	CASL
Transaksional	Struk, pembaruan pengiriman, reset kata sandi, peringatan keamanan	Membutuhkan dasar hukum, biasanya kontrak atau kepentingan yang sah, dan bukan persetujuan pemasaran	Dikecualikan dari sebagian besar aturan; tidak boleh ada informasi perutean yang palsu	Kategori yang tercantum dikecualikan dari persetujuan tetapi tetap membutuhkan isi identifikasi pengirim dan berhenti berlangganan
Pemasaran	Obral, buletin promosi, rekomendasi produk	Persetujuan atau soft opt-in; hak mutlak untuk menolak	Diizinkan tanpa persetujuan; semua persyaratan berlaku	Persetujuan tegas atau tersirat diwajibkan
Campuran	Konfirmasi pesanan dengan banner promosi besar	Bagian promosinya mungkin membutuhkan persetujuan pemasaran	Dinilai dari tujuan utama, dengan melihat baris subjek dan cara isinya ditempatkan	Bisa diperlakukan sebagai komersial jika mempromosikan produk

Tidak setiap aturan yang Anda temui berasal dari lembaga legislatif, juga. Sejak 2024, Google dan Yahoo mewajibkan pengirim massal mendukung berhenti berlangganan sekali klik lewat mekanisme di RFC 8058, dan menindaklanjuti permintaan dalam dua hari. Itu syarat pengiriman yang baik yang ditetapkan penyedia kotak surat, tanpa kekuatan hukum di baliknya, namun dalam praktiknya ia menghentikan sebagian pengirim lebih cepat daripada 10 hari kerja menurut undang-undang.

Menggunakan hak Anda, langkah demi langkah

1. Hentikan pemasarannya

Gunakan tombol berhenti berlangganan yang ditampilkan aplikasi email Anda di samping pengirim, yang mengandalkan header List-Unsubscribe. Jika tidak ada, gunakan tautan di footer pesan yang sah. Lakukan ini hanya dengan pengirim yang Anda kenal, karena tautan di spam yang jelas bisa mengarah ke mana saja, dan melaporkan adalah tanggapan yang lebih baik di sana. Catat tanggalnya. Menurut CAN-SPAM dan CASL, email seharusnya berhenti dalam 10 hari kerja. Di UE dan Inggris, keberatan seharusnya berlaku tanpa penundaan, meski regulator umumnya menerima masa pemrosesan yang singkat.

2. Cari tahu apa yang disimpan perusahaan

Kirim permintaan akses subjek data menurut GDPR, atau permintaan untuk mengetahui menurut CCPA. Banyak perusahaan menyediakan formulir atau portal privasi, dan memakainya bisa mempercepat. Jika tidak, pesan singkat seperti templat ini sudah cukup:

Subjek: Permintaan akses data pribadi
Saya meminta akses ke data pribadi yang Anda simpan tentang saya berdasarkan Pasal 15 GDPR [atau: berdasarkan California Consumer Privacy Act]. Alamat email saya di catatan Anda adalah [alamat]. Mohon berikan salinan data tersebut, tujuan pemrosesan, kategori penerima yang telah menerima data itu dari Anda, berapa lama Anda akan menyimpannya, dan sumber data jika Anda tidak mengumpulkannya dari saya. Saya menantikan tanggapan Anda dalam batas waktu yang ditetapkan hukum.

Kirim dari alamat yang tercatat di perusahaan, ke kontak privasi di kebijakan privasinya, dan simpan salinannya beserta tanggal. Perkirakan adanya pemeriksaan identitas. Itu sah, meski seharusnya proporsional. Toko yang meminta pindaian paspor untuk menjawab permintaan tentang alamat buletin layak dipertanyakan.

3. Minta penghapusan

Jika Anda sudah berhenti memakai suatu layanan, minta penghapusan menurut Pasal 17 GDPR atau penghapusan menurut CCPA. Perusahaan boleh menyimpan catatan yang wajib dipertahankannya, seperti faktur, dan alamat di daftar penekan agar tidak mengirim email kepada Anda secara tidak sengaja. Wajar untuk bertanya apa yang disimpannya dan mengapa.

4. Tolak penjualan dan pembagian di negara bagian AS

Cari tautan seperti "Do Not Sell or Share My Personal Information" atau "Your Privacy Choices", atau aktifkan Global Privacy Control di peramban atau ekstensi yang mendukungnya. Warga California bisa memakai DROP untuk pialang data terdaftar.

5. Naikkan jika tidak ada hasil

UE dan EEA: mengadulah ke otoritas perlindungan data nasional Anda. European Data Protection Board mendaftar semuanya.
Inggris: mengadulah ke regulator perlindungan data Inggris setelah lebih dulu mengajukannya ke organisasi yang bersangkutan, atau laporkan pemasaran yang tidak diinginkan lewat alat daringnya.
AS: laporkan email komersial yang menipu atau tidak patuh di ReportFraud.ftc.gov. Untuk masalah CCPA, ajukan pengaduan ke California Privacy Protection Agency atau Jaksa Agung.
Kanada: lapor ke Spam Reporting Centre.

Jaga bukti Anda tetap sederhana: tanggal permintaan Anda, salinannya, salinan balasan jika ada, dan contoh pesan yang terus datang beserta header lengkapnya. Regulator tidak bisa mengejar setiap pengaduan, jadi pengaduan perorangan mungkin tidak membawa hasil cepat, tetapi ia menambah catatan terhadap pelanggar berulang.

Yang tidak dicakup undang-undang ini

Spam kriminal adalah celah yang paling jelas. Orang yang menjual obat palsu dari server yang dibajak mengabaikan setiap aturan di atas, itulah sebabnya filter spam dan tombol lapor dari penyedia Anda berbuat lebih banyak terhadap email itu daripada undang-undang mana pun. Mengenali dan melaporkan penipuan semacam itu adalah keterampilan praktis, dan tidak ada regulator yang bisa melakukannya untuk Anda.

Korespondensi pribadi Anda juga sebagian besar berada di luar aturan ini. Catatan pribadi kepada teman bukan email komersial, dan GDPR punya pengecualian untuk kegiatan yang murni pribadi atau rumah tangga di bawah Pasal 2(2)(c). Akses penegak hukum ke kotak surat diatur undang-undang terpisah, seperti Stored Communications Act AS dan undang-undang pengawasan nasional, dan itu pantas mendapat penjelasan tersendiri.

Terakhir, sebagian besar undang-undang ini mengikat organisasi jenis tertentu, atau di atas ukuran tertentu. Toko kecil di California di bawah ambang CCPA tetap harus mengikuti CAN-SPAM tetapi tidak punya kewajiban CCPA. Organisasi nirlaba bisa lolos dari CCPA sambil tetap tunduk pada GDPR ketika mengirim email ke orang di Eropa. Selalu lihat siapa pengirimnya sebelum Anda menganggap aturan mana yang berlaku.

Di mana posisi alamat sekali pakai?

Alamat email sekali pakai adalah kotak masuk sementara yang tidak butuh registrasi dan menghapus pesannya setelah waktu singkat. Kami tidak mengetahui adanya undang-undang dalam rezim di atas yang melarang orang memakainya demi privasi mereka sendiri, dan melakukannya sejalan dengan pemikiran di balik kewajiban minimisasi data yang diberlakukan GDPR kepada organisasi. Jika sebuah situs tidak membutuhkan hubungan jangka panjang dengan Anda, Anda bisa memutuskan untuk tidak menawarkannya, selama ketentuannya mengizinkan. Aturan dan ketentuan berbeda-beda, jadi ini pengamatan umum dan bukan jaminan untuk kasus tertentu.

Penggunaan yang lazim mencakup menerima unduhan sekali pakai atau menguji email pendaftaran dan konfirmasi di situs Anda sendiri. VookMail adalah salah satu layanan semacam itu. Alamat sudah siap saat halaman dimuat, Anda bisa menekan Baru untuk mengetik nama pengguna di salah satu dari lebih dari 30 domain atau memakai tombol Acak berwarna kuning untuk alamat acak, dan pesan, lampiran, serta alamat dihapus setelah sekitar satu hari. Cara layanan menangani data diuraikan di kebijakan privasi, dan halaman metodologi menjelaskan bagaimana email untuk domainnya sampai ke penyedia pengiriman lewat rekaman MX dan diteruskan lewat HTTPS.

Beberapa batasan berlaku:

Layanan boleh menolak alamat sekali pakai, dan banyak yang punya alasan baik. Artikel kami tentang mengapa situs web memblokir email sekali pakai menjelaskannya. Ketika situs menolak, hormati itu dan pakai alamat permanen atau alias.
Siapa pun yang tahu atau menebak alamat sementara bisa membuka kotak masuk itu, jadi ia memberi privasi dari daftar surat perusahaan dan tidak ada kerahasiaan bagi pesannya. Alamat acak adalah pilihan yang lebih aman.
Akun perbankan, pemerintah, layanan kesehatan, dan media sosial utama membutuhkan alamat yang selalu Anda kendalikan, karena mengirim pemberitahuan penting secara hukum dan pesan pemulihan.
Penyalahgunaan tidak mendapat perlindungan. Penipuan, pelecehan, peniruan identitas, atau menghindari pemblokiran bisa membawa konsekuensi hukum apa pun alamat yang dipakai, dan syarat dan ketentuan kami melarangnya.
Permintaan hak membutuhkan alamat yang stabil. Perusahaan biasanya memverifikasi Anda lewat alamat yang tercatat, jadi jika kelak Anda mungkin ingin memakai hak GDPR atau CCPA, alamat permanen lebih melayani Anda.

Jika Anda sendiri mengirim email

Buletin atau toko online kecil menempatkan Anda di sisi lain dari semua ini. Jika pembaca Anda internasional, pendekatan praktisnya adalah membangun mengikuti aturan paling ketat yang berlaku bagi audiens Anda. Daftar di bawah adalah dasar, dan tinjauan kepatuhan yang sesungguhnya bergantung pada negara dan pelanggan Anda.

Kumpulkan persetujuan dengan kotak centang yang tidak tercentang sebelumnya atau tindakan pendaftaran yang eksplisit, dan catat kapan dan bagaimana persetujuan diberikan.
Pertimbangkan double opt-in, yang memberi Anda bukti persetujuan dan menyaring salah ketik serta pendaftaran palsu.
Tautkan pemberitahuan privasi yang jelas di setiap tempat Anda mengumpulkan alamat.
Pisahkan aliran transaksional dan pemasaran, dan jangan menyelipkan promosi ke dalam struk.
Cantumkan identitas organisasi Anda dan alamat pos yang valid di setiap email pemasaran.
Dukung berhenti berlangganan sekali klik dengan header List-Unsubscribe dan List-Unsubscribe-Post, dan tindak lanjuti permintaan berhenti dengan cepat.
Simpan daftar penekan agar alamat yang sudah berhenti tidak pernah diimpor ulang.
Jangan membeli daftar. Daftar yang dibeli gagal dalam ujian persetujuan di negara opt-in, dan cenderung mendatangkan keluhan serta pantulan yang merusak pengiriman Anda di mana-mana.
Ungkapkan pelacakan buka dan klik, dan periksa apakah negara pembaca Anda mewajibkan persetujuan untuknya. Prancis kini punya panduan khusus tentang ini.
Tetapkan masa penyimpanan dan hapus data pelanggan tidak aktif yang tidak lagi Anda butuhkan.
Siapkan proses untuk menjawab permintaan akses, penghapusan, dan koreksi dalam satu bulan (GDPR) atau 45 hari (CCPA).
Uji alur pendaftaran dan berhenti berlangganan dengan kotak masuk baru sebelum peluncuran, agar Anda melihat apa yang dilihat pelanggan.

Anggapan yang menimbulkan masalah

"Jika alamat bersifat publik, saya boleh memasarkan ke sana." Dalam sistem opt-in, alamat yang terlihat publik tidak dengan sendirinya memberi persetujuan. Menurut CAN-SPAM, memanen alamat dari situs web adalah faktor pemberat. Publikasi sama sekali tidak menyelesaikan pertanyaannya.

"Berhenti berlangganan hanya mengonfirmasi alamat saya kepada pengirim spam." Ini berlaku untuk spam yang jelas dari pengirim tak dikenal, yang lebih baik dilaporkan. Dengan pengirim yang sah, berhenti berlangganan adalah langkah yang tepat, dan hukum mewajibkan pengirim menghormatinya.

"GDPR hanya berlaku untuk perusahaan UE." Pasal 3(2) menjangkau organisasi di tempat lain yang menyasar atau memantau orang di UE atau EEA. Bagaimana regulator menegakkannya terhadap perusahaan tanpa kehadiran di Eropa adalah soal lain, dan dalam praktiknya bisa sulit.

"CAN-SPAM membolehkan saya menggugat pengirim spam." Ia tidak memberi perorangan hak semacam itu. Undang-undang lain mungkin membantu dalam situasi tertentu, dan undang-undang negara bagian terhadap penipuan mungkin lolos dari pengesampingan, jadi pengacara bisa memberi tahu Anda apakah ada yang berlaku untuk kasus Anda.

"Menghapus akun berarti menghapus semua data saya." Perusahaan secara sah boleh menyimpan sebagian catatan, seperti riwayat transaksi untuk pajak. Mereka seharusnya menjelaskan hal itu ketika Anda bertanya.

"Email transaksional tidak diatur." Mereka lolos dari banyak aturan pemasaran, tetapi tetap membutuhkan dasar hukum menurut GDPR dan tidak boleh menipu.

Jawaban singkat untuk pertanyaan umum

Bolehkah perusahaan mengirim email kepada saya jika saya tidak pernah mendaftar?

Itu tergantung di mana Anda berada. Di AS, umumnya boleh, asalkan mengikuti CAN-SPAM dan berhenti ketika Anda memilih berhenti. Di UE, Inggris, dan Kanada, email pemasaran umumnya membutuhkan persetujuan Anda atau sesuai dengan pengecualian pelanggan yang sudah ada yang sempit.

Apakah perusahaan di luar Eropa harus menjawab permintaan GDPR saya?

Jika ia menawarkan barang atau jasa kepada orang di UE atau EEA, atau memantau perilaku mereka di sana, GDPR bisa berlaku padanya. Pasal 27 juga umumnya mewajibkan perusahaan semacam itu menunjuk perwakilan di UE, yang rinciannya seharusnya tercantum di pemberitahuan privasinya. Apakah Anda bisa menegakkan permintaan itu dalam praktik adalah pertanyaan terpisah.

Apakah saya punya hak CCPA jika tinggal di luar California?

CCPA melindungi warga California. Sebagian perusahaan memperluas pilihan serupa kepada semua orang, dan banyak negara bagian lain punya undang-undang sendiri, jadi tetap layak bertanya.

Seberapa cepat berhenti berlangganan seharusnya berjalan?

Paling lama sepuluh hari kerja menurut CAN-SPAM dan CASL, lima hari kerja di Australia, dan tanpa penundaan yang tidak semestinya di UE dan Inggris dalam praktiknya. Pengirim besar yang memakai Gmail dan Yahoo juga diharapkan bertindak dalam dua hari menurut aturan penyedia tersebut.

Apakah pelacakan buka itu legal?

Di AS, CAN-SPAM tidak membahasnya secara langsung. Di UE, regulator makin sering memperlakukan piksel pelacak email sebagai termasuk dalam Pasal 5(3) Direktif ePrivacy, dan CNIL Prancis kini memperlakukan persetujuan sebagai aturan default. Di tempat lain, itu tergantung hukum nasional.

Di mana saya bisa membaca undang-undangnya sendiri?

GDPR dan Direktif ePrivacy ada di EUR-Lex. FTC menerbitkan panduan kepatuhan CAN-SPAM, regulator California dan Jaksa Agung menerbitkan panduan CCPA, dan Pemerintah Kanada menjalankan situs tentang CASL. Sumber resmi inilah yang patut diandalkan, karena ikhtisar ini hanya bisa mencerminkan hukum sebagaimana yang kami pahami saat ditulis.