Apa yang Terjadi pada PDF-mu Setelah Menekan 'Pilih File'

Kamis sore, dan agen properti minta berkas pengajuan sewa dikirim sebagai satu file saja: kontrak kerja, dua slip gaji terakhir, laporan SLIK OJK, dan hasil scan KTP. Kamu mengetik "gabung PDF" di kolom pencarian, mengeklik hasil teratas, menyeret empat file ke dalam kotak, menunggu lima detik, mengunduh hasilnya, lalu menutup tab.

Apa yang terjadi dalam lima detik itu nyaris tak pernah dibaca siapa pun. Padahal sebagian besar informasinya tersedia secara terbuka — kamu hanya perlu tahu di mana mencarinya. Dan tempatnya jarang sekali berupa halaman dengan ikon gembok dan kata "aman".

Artikel ini sengaja tidak menyebut nama layanan mana pun. Sebagai gantinya, ia menunjukkan cara menilai sendiri layanan apa pun dalam hitungan menit — termasuk kami.

Perjalanan sebuah file

Ketika alat online berbasis server memproses PDF-mu, pemrosesannya tidak terjadi di browser. Ia terjadi di sebuah pusat data, dan file-mu harus sampai ke sana dulu. Rutenya biasanya seperti ini:

Browser mengemas file dan mengirimkannya lewat HTTPS ke sebuah load balancer, yang meneruskannya ke node pemrosesan. Di sana file mendarat — tergantung arsitekturnya — di RAM, di disk sementara, atau langsung di object storage seperti Amazon S3. Sebuah proses worker menjalankan operasi yang sebenarnya. Hasilnya disimpan lagi, biasanya di balik URL yang dibuat acak, supaya bisa kamu unduh. Sementara itu, web server, load balancer, dan aplikasi menulis file log masing-masing. Object storage mereplikasi data ke beberapa lokasi. Backup berjalan menurut jadwalnya sendiri.

Ini bukan kritik, melainkan rekayasa yang solid — memang begitulah cara membangun layanan yang skalabel. Tapi ini menjelaskan mengapa "dihapus" adalah kata dengan lebih banyak makna daripada yang tampak saat dibaca. Perintah hapus memang andal mengenai file utamanya. Apakah ia juga menjangkau setiap replika, setiap backup, dan setiap baris log — itu soal implementasi, dan hal semacam itu tidak pernah tertulis di kebijakan privasi.

Cara membaca janji penghapusan

Inilah bagian paling berguna dari artikel ini, dan ia hanya butuh lima menit per layanan.

Di halaman depan, artikel bantuan, dan bagian FAQ tertera angka-angka seperti "dihapus setelah satu jam". Itu teks marketing. Yang mengikat secara hukum adalah kebijakan privasinya. Saat menyandingkan keduanya, perhatikan lima hal:

1. Apakah angkanya saling berbeda? Cari bagian tentang masa retensi di kebijakan privasi dan bandingkan dengan yang tertulis di halaman produk. Dari pengalaman, perbandingan ini hampir selalu membuahkan sesuatu.

2. Apakah hitungannya dimulai sejak upload atau sejak akses terakhir? Bedanya besar sekali. Batas waktu "sejak terakhir dibuka" bukanlah jam, melainkan timer yang di-reset ulang setiap kali file diakses.

3. Apakah batas waktunya sama dengan dan tanpa akun? Banyak orang sengaja tidak membuat akun agar meninggalkan lebih sedikit jejak. Periksa apakah dalam kasusmu itu benar-benar berarti penyimpanan yang lebih singkat atau justru lebih lama — jawabannya tidak selalu seperti yang diduga.

4. Adakah pengecualian untuk alat tertentu? Tanda tangan elektronik, misalnya, menuntut penyimpanan lebih lama demi kepentingan pembuktian; itu memang wajar, tapi sering hanya tercantum di catatan kecil layanan yang bersangkutan.

5. Kapan dokumen itu terakhir diperbarui? Kalau kebijakan privasinya jauh lebih tua daripada fitur-fitur terbaru di menu — misalnya alat AI untuk merangkum atau menerjemahkan — layak ditanyakan subprosesor mana saja yang ditambahkan untuk itu.

Poin kelima adalah yang paling mutakhir. Fitur AI hampir selalu membutuhkan penyedia layanan tambahan di belakang layar. Kalau ingin tahu ke mana dokumenmu benar-benar pergi, jawabannya ada di daftar subprosesor — tidak pernah di halaman produk.

Ironi alat-alat yang paling sensitif

Coba amati daftar alat yang umum ditawarkan. Dua fungsi muncul hampir di mana-mana, dan pada keduanya pendekatan upload melahirkan logika yang janggal:

"Redaksi PDF." Kamu menghitamkan bagian-bagian tertentu karena dokumen itu, dalam bentuk aslinya, tidak boleh jatuh ke tangan orang lain. Untuk mencapainya, kamu mengirimkan dokumen itu dalam bentuk aslinya kepada pihak ketiga.

"Hapus password PDF." Kamu punya file terenkripsi — rekening koran, polis asuransi, slip gaji. Untuk melepas perlindungannya, kamu mengirimkan file itu beserta password-nya.

Ini bukan tuduhan kepada siapa pun; secara teknis, di sisi server memang tidak ada cara lain. Tapi justru dua kasus inilah yang paling layak diberi tiga detik untuk berpikir ulang.

Metadata juga data

Kebijakan privasi kerap membedakan antara file dan metadatanya — nama file, ukuran file, jenis file. Metadata sering tunduk pada aturan yang lebih longgar, misalnya boleh dianalisis untuk perbaikan produk.

Kedengarannya tidak berbahaya, sampai kamu ingat nama-nama file yang sungguhan tersimpan di hard disk orang. PHK_Budi_final.pdf. Diagnosa_onkologi_2024.pdf. Draf_kesepakatan_cerai_v3.pdf. Isinya tetap terkunci; judulnya tidak.

Bahwa ini bukan masalah teoretis bisa dilihat di basis data Have I Been Pwned. Pada entri tentang sebuah layanan PDF besar yang diretas pada 2020, di antara kategori data yang bocor tercantum — di samping nama dan hash password — secara eksplisit juga judul-judul dokumen yang pernah dikonversi.

Tiga insiden yang terdokumentasi

Kasus-kasus berikut terdokumentasi secara publik dan dapat diverifikasi lewat sumber yang disebutkan. Semuanya hanya menyangkut layanan yang digambarkan di sana dan tidak bisa dijadikan dasar untuk menyimpulkan apa pun tentang penyedia lain.

September 2020 — skalanya awalnya dikecil-kecilkan. Sebuah penyedia layanan PDF yang tercatat di bursa melaporkan kepada otoritas pasar modalnya sebuah insiden keamanan berdampak kecil; data pelanggan disebut tidak terdampak. Beberapa bulan kemudian, sebuah kelompok peretas ternama mempublikasikan basis datanya secara utuh: 14 GB, sekitar 77 juta record. Sebelumnya, sebuah paket berisi basis data itu ditambah sekitar satu terabyte dokumen sempat ditawarkan dengan harga pembukaan 80.000 dolar AS. (Terdokumentasi di BleepingComputer dan Have I Been Pwned.)

Juli 2024 — storage-nya dibiarkan terbuka begitu saja. Tim riset Cybernews menemukan dua layanan PDF yang penyimpanan Amazon S3-nya bisa diakses dari internet tanpa pembatasan apa pun. Pada saat laporan diterbitkan, sekitar 89.000 file terbuka bebas, di antaranya paspor, SIM, kontrak, dan ijazah. Menurut laporan itu, berbagai upaya para peneliti untuk menghubungi penyedianya tidak berbalas — sementara dokumen-dokumen baru terus saja diunggah. (Terdokumentasi di Cybernews.)

Maret 2025 — konverter palsu. Kantor lapangan FBI di Denver mengeluarkan peringatan publik tentang situs-situs konversi tipuan. Situs-situs ini benar-benar mengerjakan tugas yang dijanjikan — hanya saja dokumen yang dikembalikan mengandung kode berbahaya. Menurut FBI, sebagian layanan ini juga memindai file yang diunggah untuk mencari data pribadi, data perbankan, dan data mata uang kripto. Seorang juru bicara kantor itu mengatakan kepada media bahwa yang paling rentan adalah orang yang mengetik "free online file converter" di mesin pencari, karena posisi teratas kerap ditempati iklan berbayar. (Siaran pers FBI Denver Field Office, Maret 2025.)

Kasus ketiga adalah yang paling penting untuk keseharian, karena ia sama sekali tidak berkaitan dengan kelalaian perusahaan yang serius. Ia menggambarkan layanan yang sejak awal memang dibangun sebagai jebakan — dan yang di mata pengguna tampak persis seperti semua layanan lainnya.

Studi kasus dari Jerman: dua kewajiban, bukan satu

Menarik untuk melihat bagaimana kebiasaan upload ini diperlakukan di salah satu wilayah dengan regulasi perlindungan data paling ketat di dunia: Jerman dan Uni Eropa. Bagi individu, di sana pun ini soal pertimbangan pribadi. Tapi bagi perusahaan dan profesi tertentu, ini murni persoalan hukum. Paparan berikut menggambarkan hukum yang berlaku di sana dan bukan nasihat hukum untuk kasus konkret.

Pemrosesan atas dasar perjanjian. Di bawah GDPR, regulasi perlindungan data Uni Eropa, perusahaan yang menyerahkan dokumen berisi data pribadi ke layanan eksternal dianggap mengalihdayakan sebuah pemrosesan data. Kamar dagang dan industri München dan Bayern Hulu (IHK) merumuskannya tanpa ambigu dalam panduannya tentang perlindungan data di situs web: kegiatan seperti konversi data pun terhitung sebagai pemrosesan atas dasar perjanjian dalam pengertian GDPR — dan itu mewajibkan kontrak menurut Pasal 28 GDPR. Kewajiban ini baru gugur jika sama sekali tidak ada data pribadi yang diproses. Tanpa kontrak, pelanggaran tetap terjadi meskipun si penyedia bekerja tanpa cela; ancaman dendanya mencapai 10 juta euro atau dua persen omzet tahunan global (Pasal 83 ayat 4 GDPR).

Banyak penyedia mapan memang menyediakan kontrak semacam itu. Hanya saja, praktis tidak ada yang menandatanganinya kalau tujuannya cuma cepat-cepat menggabungkan dua halaman.

Profesi pemegang rahasia. Bagi advokat, dokter, konsultan pajak, notaris, dan psikoterapis di Jerman, masih ada lapisan kedua: § 203 KUHP Jerman (StGB) mengancam pembocoran rahasia profesi dengan pidana. Sampai 2017 situasinya pelik — setiap penyerahan ke penyedia TI eksternal bisa dianggap sebagai "membuka rahasia". Undang-undang yang berlaku sejak 9 November 2017 menciptakan kategori "pihak lain yang turut terlibat" dan membolehkan pengungkapan kepada mereka sejauh diperlukan untuk memakai jasanya. Tapi ada kaitnya di ayat 4: sang profesional wajib mengikat penyedia jasa pada kewajiban kerahasiaan dan memberitahukan ancaman pidananya. Siapa yang lalai, ikut terjerat pidana. Kontrak pemrosesan data menurut GDPR tidak menuntaskan kewajiban ini — ia mengatur perlindungan data, bukan hukum pidana. Ini dua kewajiban yang terpisah, dan yang kedua rutin terlewat.

Jadi, pengacara di Jerman yang iseng melewatkan berkas kliennya melalui konverter online gratis kemungkinan besar tidak memenuhi satu pun dari keduanya.

Indonesia kini punya kerangka dengan arah serupa: UU Pelindungan Data Pribadi (UU PDP) mengenal konsep pengendali dan prosesor data pribadi beserta kewajiban di antara keduanya. Detailnya berbeda dari Eropa, tapi arah pertanyaannya sama — begitu dokumen berisi data pribadi orang lain diunggah ke layanan pihak ketiga, urusannya bukan lagi sekadar kenyamanan.

Alternatifnya: memproses file di tempat ia berada

Alasan mengapa pemrosesan PDF secara historis terjadi di server bersifat teknis. PDF bukan format teks, melainkan struktur biner dengan tabel referensi silang, font tertanam, dan pohon objek. Untuk membongkar dan menulis ulangnya dengan rapi dibutuhkan pustaka yang serius — dan selama puluhan tahun pustaka semacam itu ditulis dalam C atau C++ dan tidak berjalan di browser.

WebAssembly mengubah keadaan itu. Pustaka yang sama kini bisa dikompilasi ke sebuah format biner yang dijalankan browser dengan kecepatan mendekati native. Alurnya menjadi seperti ini:

1. Kamu memilih sebuah file. Browser menyerahkannya lewat File API sebagai ArrayBuffer ke kode JavaScript — tanpa lalu lintas jaringan.
2. Sebuah modul WebAssembly — biasanya di dalam Web Worker agar antarmuka tetap responsif — memproses byte-nya di memori tab.
3. Hasilnya dibuat sebagai Blob dan ditawarkan untuk diunduh lewat sebuah object URL.
4. Kamu menutup tab. Memorinya dibebaskan.

Tidak ada satu titik pun di mana file meninggalkan perangkatmu. Perkakasnya nyata dan sudah matang: PDF.js dari Mozilla telah bertahun-tahun merender PDF di Firefox. pdf-lib membuat dan mengubah dokumen dalam JavaScript murni. MuPDF.js dari Artifex membawa mesin MuPDF secara lengkap ke browser sebagai WebAssembly. Tesseract.js memungkinkan pengenalan teks (OCR) secara lokal. Dan untuk kasus tersulit — Word atau Excel ke PDF — sejak November 2024 ada ZetaOffice dari allotropia, sebuah build LibreOffice sebagai WebAssembly lengkap dengan antarmuka JavaScript.

Yang, jujur saja, masih sulit di sisi klien

Artikel yang hanya mendaftar keunggulan adalah iklan. Jadi, inilah hitungan sebaliknya:

Memori. wasm32 yang umum dipakai hanya bisa mengalamati maksimal 4 GB — dan itu bukan batas lunak, melainkan seluruh ruang alamat sebuah pointer 32-bit. Sejak WebAssembly 3.0 (September 2025) tersedia pengalamatan 64-bit, tapi browser membatasinya di 16 GB, ia memakan kinerja, dan dukungannya belum merata di mana-mana. Dalam praktiknya: scan 400 megabyte berisi 800 halaman bisa membuat tab mati di smartphone tua. Server tidak punya masalah itu.

Waktu muat. Modul WebAssembly dengan tumpukan PDF lengkap berukuran beberapa megabyte. Pada kunjungan pertama ia harus diunduh dulu — setelah itu ia tersimpan di cache dan halamannya bahkan berfungsi offline, tapi kesan pertamanya lebih lambat daripada alat berbasis server.

Dan poin terpenting, yang juga berlaku bagi kami sendiri: sisi klien tidak otomatis berarti ramah privasi. Situsnya tetap tahu alamat IP-mu. Skrip analytics, pencatat error, dan jaringan iklan bekerja terlepas dari di mana PDF diproses. Layanan yang menghitung secara lokal tapi sekaligus memasang lima tracker baru menyelesaikan separuh masalah. Karena itu, jangan hanya bertanya apakah file-mu tetap di tempatnya, tapi juga apa lagi yang mengalir keluar — dan tanyakan itu pada setiap penyedia, termasuk yang satu ini.

Tes 30 detik yang bisa kamu lakukan sendiri

Kamu tidak perlu percaya pada siapa pun. Dua pemeriksaan yang berfungsi di situs mana pun:

Tes jaringan. Buka developer tools (F12 atau Ctrl+Shift+I, di Mac Cmd+Option+I), pindah ke tab "Network", dan saring ke "Fetch/XHR". Lalu proseslah sebuah file. Alat berbasis server akan memunculkan di sana sebuah permintaan POST yang volume datanya kira-kira sebesar ukuran file-mu. Pada pemrosesan lokal, tidak terjadi apa-apa di sana.

Tes offline. Lebih sederhana lagi, dan tidak bisa dibantah: muat halamannya, lalu matikan Wi-Fi atau nyalakan mode pesawat — dan lanjutkan bekerja. Apa pun yang berfungsi tanpa koneksi internet dijamin tidak mengirimkan apa-apa.

Silakan lakukan kedua tes itu di halaman ini juga. Kami justru berharap kamu melakukannya.

Satu aturan praktis sebagai bekal

Sebelum mengeklik "Pilih file", ajukan satu pertanyaan saja pada dirimu: Maukah aku mengirim dokumen ini lewat e-mail kepada orang asing yang berjanji akan menghapusnya setelah dua jam?

Untuk daftar menu acara warga: tentu saja. Untuk presentasi direksi, rekam medis, berkas klien, scan KTP: sebaiknya jangan.

Dan kalau jawabannya "sebaiknya jangan", kabar baiknya adalah kamu tidak harus memilih antara kepraktisan dan kehati-hatian. Browser kini sudah bisa mengerjakannya sendiri.

Per Juli 2026. Artikel ini menjelaskan mekanisme teknis umum dan lanskap hukum; ia tidak menilai penyedia tertentu dan bukan merupakan nasihat hukum. Untuk menilai sebuah layanan konkret, silakan periksa sendiri kebijakan privasinya yang paling mutakhir.