Teknologi & Pelacakan

Evolusi Cookie: Dari Pelacakan Dasar ke Kepatuhan Ketat

7 Juli 2026 · 16 min baca

Jawaban Singkat

Cookie browser dimulai pada tahun 1994 sebagai solusi sederhana untuk mempertahankan status keranjang belanja di seluruh sesi web, tetapi evolusi cookie dari pelacakan dasar ke kepatuhan ketat telah mengubahnya menjadi salah satu teknologi yang paling diatur dalam sejarah digital. Saat ini, menerapkan cookie tanpa persetujuan eksplisit pengguna dapat mengekspos organisasi pada sanksi regulasi yang signifikan di bawah kerangka kerja termasuk GDPR dan CCPA. Memahami evolusi ini sangat penting bagi pemilik situs web, pengembang, atau profesional privasi data yang beroperasi di tahun 2026.

Poin Penting

Cookie ditemukan oleh Lou Montulli di Netscape pada tahun 1994 untuk menyelesaikan masalah HTTP tanpa status, bukan untuk melacak pengguna
Cookie pihak ketiga memungkinkan profil perilaku lintas situs, memicu respons regulasi global sejak pertengahan 2000-an
GDPR (2018) dan CCPA (2020) secara fundamental mengubah cara situs web harus memperoleh dan mendokumentasikan persetujuan cookie
Penghapusan cookie pihak ketiga oleh Google di Chrome telah mempercepat adopsi alternatif yang menjaga privasi termasuk strategi data pihak pertama dan analitik sisi server
Platform Manajemen Persetujuan (CMP) sekarang menjadi persyaratan kepatuhan, bukan peningkatan opsional, untuk sebagian besar situs web komersial
Cookie pihak pertama tetap sah dan fungsional; beban kepatuhan terutama jatuh pada cookie pelacakan dan iklan
Banner persetujuan cookie harus memenuhi standar hukum tertentu: kotak yang dicentang sebelumnya, persetujuan terbundel, dan pola gelap dilarang di bawah GDPR
Pengguna dapat menghapus cookie kapan saja, tetapi melakukannya mempengaruhi personalisasi, ketahanan login, dan akurasi analitik

Apa Itu Cookie dan Bagaimana Cara Kerjanya?

Cookie adalah file teks kecil yang diperintahkan oleh server web untuk disimpan secara lokal di perangkat pengguna. Ketika pengguna mengunjungi kembali situs yang sama, browser mengirimkan cookie yang disimpan kembali ke server, memungkinkan server untuk mengenali sesi, mengingat preferensi, atau mengasosiasikan perilaku di seluruh halaman.

Secara teknis, cookie terdiri dari pasangan nama-nilai ditambah atribut opsional: tanggal kedaluwarsa, cakupan domain, jalur, dan bendera keamanan seperti HttpOnly dan Secure. Cookie sesi kedaluwarsa ketika browser ditutup; cookie persisten tetap ada hingga tanggal kedaluwarsa yang ditentukan atau hingga pengguna menghapusnya. [8]

Jenis cookie utama berdasarkan fungsi:

Tipe	Tujuan	Umur Tipikal
Sesi	Mempertahankan status login	Sesi browser
Persisten	Mengingat preferensi	Hari hingga tahun
Pihak pertama	Ditetapkan oleh domain yang dikunjungi	Bervariasi
Pihak ketiga	Ditetapkan oleh domain eksternal	Sering 1-2 tahun
Analitik	Mengukur perilaku lalu lintas	13-26 bulan
Pemasaran/Pelacakan	Membangun profil iklan	Hingga 2 tahun

Sejarah Cookie di Browser Web

Evolusi cookie dari pelacakan dasar ke kepatuhan ketat dimulai dengan masalah rekayasa yang sederhana. Pada tahun 1994, Lou Montulli, seorang insinyur di Netscape Communications, membutuhkan cara untuk menerapkan keranjang belanja virtual tanpa menyimpan data sesi di sisi server. Solusinya adalah cookie HTTP, yang berasal dari konsep Unix yang sudah ada yang disebut "magic cookie." [7]

Browser Netscape diluncurkan dengan dukungan cookie pada tahun 1994, dan Internet Explorer mengadopsi standar tersebut pada tahun 1995. Pada tahun 1997, IETF telah memformalkan spesifikasi dalam RFC 2109. [8] Apa yang dimulai sebagai solusi protokol tanpa status dengan cepat menjadi tulang punggung personalisasi, otentikasi, dan, yang paling penting, periklanan.

Tonggak sejarah utama dalam sejarah cookie:

1994: Lou Montulli menciptakan cookie HTTP di Netscape [5]
1996: Financial Times menerbitkan salah satu peringatan publik pertama tentang pelacakan berbasis cookie [7]
2000-an: Jaringan iklan menerapkan cookie pihak ketiga untuk membangun profil perilaku lintas situs
2011: Arahan Cookie UE mengharuskan persetujuan yang diinformasikan untuk cookie yang tidak penting
2018: GDPR secara dramatis meningkatkan standar kepatuhan, mengharuskan persetujuan eksplisit dan terperinci
2020: CCPA memberikan hak kepada konsumen California untuk menolak penjualan data berbasis cookie
2024: Google mulai menghapus cookie pihak ketiga secara bertahap di Chrome [10]

Cookie Pihak Pertama vs. Cookie Pihak Ketiga: Apa Bedanya?

Cookie pihak pertama ditetapkan oleh domain yang sedang aktif dikunjungi pengguna. Cookie pihak ketiga ditetapkan oleh domain yang berbeda, biasanya jaringan iklan, penyedia analitik, atau platform media sosial yang tertanam di halaman.

Perbedaan ini sangat penting untuk fungsionalitas dan kepatuhan. Cookie pihak pertama umumnya dianggap berisiko lebih rendah karena pengguna memiliki hubungan langsung dengan domain yang menetapkan. Cookie pihak ketiga, sebaliknya, memungkinkan satu entitas periklanan untuk melacak perilaku pengguna di ribuan situs web yang tidak terkait, membangun profil perilaku yang mendetail tanpa kesadaran yang berarti dari pengguna. [6]

"Cookie pihak ketiga menjadi mesin ekonomi pengawasan, bukan karena dirancang untuk tujuan itu, tetapi karena arsitektur teknisnya membuat pelacakan lintas situs sangat mudah diterapkan secara besar-besaran."

Sebagian besar regulasi privasi modern secara khusus menargetkan cookie pelacakan pihak ketiga, meskipun persyaratan persetujuan berlaku untuk semua cookie yang tidak penting terlepas dari asalnya.

Apa Itu GDPR dan Bagaimana Pengaruhnya Terhadap Cookie?

Regulasi Perlindungan Data Umum (GDPR), yang mulai berlaku pada Mei 2018, memperlakukan pengidentifikasi cookie sebagai data pribadi ketika dapat digunakan untuk mengidentifikasi atau memprofil individu. Di bawah GDPR, situs web yang melayani penduduk UE harus memperoleh persetujuan yang diberikan secara bebas, spesifik, diinformasikan, dan tidak ambigu sebelum menempatkan cookie yang tidak penting. [2]

Persyaratan kepatuhan cookie GDPR meliputi:

Persetujuan harus diperoleh sebelum cookie diatur, bukan setelahnya
Pengguna harus dapat menolak persetujuan dengan mudah seperti mereka dapat menerimanya
Kotak persetujuan yang dicentang sebelumnya secara eksplisit dilarang
Persetujuan harus terperinci: pengguna dapat menerima cookie analitik tetapi menolak cookie iklan
Catatan persetujuan harus disimpan dan dapat diaudit
Pengguna harus dapat menarik persetujuan kapan saja

Pelanggaran dapat dikenakan denda hingga 4% dari omset tahunan global atau EUR 20 juta, mana yang lebih besar. Penegakan regulasi telah meningkat sejak 2020, dengan otoritas perlindungan data di Prancis, Irlandia, Italia, dan Spanyol mengeluarkan denda substansial untuk banner persetujuan yang tidak mematuhi. [4]

Persyaratan Kepatuhan Cookie CCPA

California Consumer Privacy Act (CCPA), yang mulai berlaku pada Januari 2020 dan diperkuat oleh California Privacy Rights Act (CPRA) pada 2023, mengambil pendekatan yang berbeda tetapi saling melengkapi. Alih-alih mengharuskan persetujuan opt-in untuk semua cookie pelacakan, CCPA memberikan hak kepada konsumen untuk menolak "penjualan" atau "pembagian" informasi pribadi mereka, yang mencakup data perilaku berbasis cookie yang dikirimkan ke platform iklan pihak ketiga.

Kewajiban CCPA untuk penggunaan cookie meliputi:

Tautan "Jangan Jual atau Bagikan Informasi Pribadi Saya" harus ditampilkan dengan jelas
Bisnis harus menghormati sinyal Global Privacy Control (GPC) sebagai mekanisme opt-out yang valid
Kebijakan privasi harus mengungkapkan kategori data pribadi yang dikumpulkan melalui cookie
Konsumen memiliki hak untuk meminta penghapusan data yang dikumpulkan melalui cookie

Bisnis yang tunduk pada CCPA yang juga melayani pengguna UE harus menyelaraskan kedua kerangka kerja, biasanya dengan menerapkan solusi manajemen persetujuan yang mampu menangani set aturan spesifik yurisdiksi.

Cara Mendapatkan Persetujuan Pengguna untuk Cookie

Mendapatkan persetujuan cookie yang valid memerlukan lebih dari sekadar menempatkan banner di halaman. Persetujuan harus memenuhi standar hukum yurisdiksi yang berlaku sebelum cookie yang tidak penting diaktifkan.

Alur persetujuan yang mematuhi mengikuti langkah-langkah ini:

Blokir semua cookie yang tidak penting dari aktif hingga persetujuan dicatat
Tampilkan pemberitahuan persetujuan yang jelas dan menggunakan bahasa yang sederhana yang menjelaskan cookie apa yang digunakan dan mengapa
Tawarkan opsi terima dan tolak yang nyata pada tingkat prominensi yang sama
Sediakan kontrol kategori yang terperinci (analitik, pemasaran, preferensi)
Catat peristiwa persetujuan dengan cap waktu, versi, dan pengidentifikasi pengguna
Hormati penarikan persetujuan segera dan sebarkan perubahan ke semua tag aktif

Platform seperti Biscotti CMP dirancang untuk menangani alur kerja ini, mengelola pengumpulan persetujuan, penyimpanan, dan distribusi sinyal ke alat pemasaran dan analitik hilir di berbagai yurisdiksi.

Praktik Terbaik untuk Banner Persetujuan Cookie

Banner persetujuan yang dirancang dengan buruk adalah risiko kepatuhan itu sendiri. Regulator secara khusus menargetkan pola gelap, termasuk desain yang membuat penolakan sulit, menyembunyikan opsi tolak di balik beberapa klik, atau menggunakan kontras warna untuk mendorong pengguna menuju penerimaan.

Karakteristik banner persetujuan yang mematuhi:

Bobot visual yang sama untuk tombol terima dan tolak
Tidak ada toggle yang dipilih sebelumnya untuk kategori yang tidak penting
Bahasa yang jelas tanpa jargon hukum
Mekanisme yang persisten untuk mengunjungi kembali dan mengubah preferensi persetujuan
Tata letak responsif seluler yang tidak menghalangi konten halaman

Desain banner persetujuan harus diuji terhadap panduan spesifik yang dikeluarkan oleh otoritas perlindungan data yang relevan. CNIL Prancis, misalnya, telah menerbitkan rekomendasi teknis terperinci tentang format banner yang dapat diterima yang melampaui teks dasar GDPR. [9]

Apa yang Menggantikan Cookie Pihak Ketiga Setelah Google Menghapusnya?

Penghapusan cookie pihak ketiga oleh Google di Chrome, yang dimulai secara serius pada tahun 2024, telah mempercepat pencarian alternatif fungsional. Tidak ada pengganti tunggal yang telah mencapai adopsi universal, tetapi beberapa pendekatan telah mendapatkan daya tarik. [10]

Alternatif cookie terkemuka di tahun 2026:

Strategi data pihak pertama: Mengumpulkan data perilaku langsung melalui properti yang dimiliki dan sesi yang terautentikasi
Analitik sisi server: Memindahkan eksekusi tag ke server untuk mengurangi ketergantungan cookie sisi klien
API Privacy Sandbox: Kumpulan API berbasis browser Google (Topics API, Protected Audience API) yang dirancang untuk memungkinkan periklanan berbasis minat tanpa pengidentifikasi lintas situs
Periklanan kontekstual: Menargetkan berdasarkan konten halaman daripada riwayat pengguna
Ruang bersih data: Lingkungan yang menjaga privasi di mana dataset pihak pertama dari beberapa pihak dapat dicocokkan tanpa pertukaran data mentah
ID universal: Pengidentifikasi berbasis email yang di-hash yang dibagikan di seluruh jaringan penerbit dengan persetujuan pengguna

Setiap alternatif membawa implikasi persetujuan dan kepatuhan tersendiri. Periklanan kontekstual tidak memerlukan data pengguna; solusi ID terautentikasi masih memerlukan persetujuan eksplisit di bawah GDPR.

Apakah Cookie Aman dan Apa Risiko Privasinya?

Cookie itu sendiri bukan kode yang dapat dieksekusi dan tidak dapat menginstal malware. Namun, mereka membawa risiko privasi yang berarti, terutama ketika digunakan untuk pelacakan lintas situs atau ketika disadap melalui koneksi yang tidak aman.

Risiko privasi utama yang terkait dengan cookie:

Profiling lintas situs: Cookie pihak ketiga memungkinkan profil perilaku yang mendetail tanpa kesadaran pengguna
Pembajakan sesi: Cookie yang dikirimkan melalui HTTP yang tidak terenkripsi dapat disadap oleh penyerang di jaringan bersama
Sinkronisasi cookie: Jaringan iklan berbagi pengidentifikasi cookie satu sama lain, memperluas jangkauan pelacakan di luar satu platform
Cookie zombie: Beberapa teknologi pelacakan berusaha untuk merekonstruksi cookie yang dihapus menggunakan sidik jari browser atau penyimpanan lokal

Bendera HttpOnly dan Secure mengurangi beberapa vektor serangan, tetapi tidak mengatasi risiko privasi struktural dari pelacakan perilaku. [8]

Bagaimana Cara Memeriksa Cookie Apa yang Digunakan Sebuah Situs Web?

Pengguna atau pengembang mana pun dapat mengaudit cookie situs web menggunakan alat bawaan browser. Di Chrome atau Firefox, membuka Alat Pengembang (F12) dan menavigasi ke tab Aplikasi atau Penyimpanan mengungkapkan semua cookie yang saat ini diatur untuk domain aktif, termasuk nama, nilai, domain, tanggal kedaluwarsa, dan bendera keamanan mereka.

Untuk audit yang lebih terstruktur, alat yang menjelajahi situs dan mengkategorikan cookie berdasarkan jenis dan tujuan memberikan gambaran yang lebih lengkap, yang sangat berguna untuk dokumentasi kepatuhan. Situs web harus melakukan audit cookie secara berkala karena skrip pihak ketiga yang ditambahkan melalui pengelola tag dapat memperkenalkan cookie baru tanpa tinjauan eksplisit.

Bagaimana Cookie Mempengaruhi Kinerja Situs Web?

Cookie memiliki dampak yang dapat diukur tetapi biasanya kecil pada kinerja pemuatan halaman. Setiap permintaan HTTP ke domain mencakup semua cookie yang diatur untuk domain tersebut dalam header permintaan, yang menambah overhead yang proporsional dengan jumlah dan ukuran cookie yang ada.

Implikasi kinerja yang lebih signifikan berasal dari JavaScript yang mengatur cookie: skrip tag pihak ketiga, platform manajemen persetujuan, dan pustaka analitik semuanya menambah berat halaman dan waktu eksekusi. Implementasi tag yang dikelola dengan buruk dapat menambah ratusan milidetik pada Waktu hingga Byte Pertama (TTFB) dan Lukisan Konten Terbesar (LCP), yang keduanya mempengaruhi skor Core Web Vitals.

Praktik terbaik adalah memuat skrip yang tidak penting secara asinkron, menggunakan sistem manajemen tag untuk mengontrol urutan pemicu, dan secara teratur mengaudit skrip cookie pihak ketiga untuk redundansi.

Dapatkah Pengguna Menghapus Cookie dan Apa yang Terjadi?

Ya, pengguna dapat menghapus cookie kapan saja melalui pengaturan browser, dan melakukannya adalah segera dan lengkap untuk cookie yang disimpan. Konsekuensinya tergantung pada jenis cookie yang dihapus.

Menghapus cookie sesi mengeluarkan pengguna dari sesi aktif
Menghapus cookie preferensi mengatur ulang pengaturan yang disimpan seperti bahasa atau pilihan tampilan
Menghapus cookie analitik mengatur ulang identifikasi pengunjung, menyebabkan pengguna yang kembali muncul sebagai pengunjung baru di platform analitik
Menghapus cookie iklan menghapus profil penargetan iklan, meskipun pelacakan berbasis sidik jari mungkin sebagian tetap ada

Pengguna yang menghapus cookie tetapi tidak menyesuaikan preferensi persetujuan mereka biasanya akan di-cookied kembali pada kunjungan berikutnya, karena catatan persetujuan itu sendiri mungkin disimpan sebagai cookie. Beberapa CMP menggunakan penyimpanan persetujuan sisi server untuk mengatasi masalah ini.

Can Users Delete Cookies and What Happens?

Kesimpulan: Menavigasi Masa Depan Kepatuhan Cookie

Evolusi cookie dari pelacakan dasar ke kepatuhan ketat mencerminkan penilaian yang lebih luas tentang bagaimana infrastruktur digital dibangun tanpa perlindungan privasi yang memadai. Apa yang dimulai sebagai solusi rekayasa 30 baris pada tahun 1994 menjadi fondasi ekosistem periklanan bernilai triliun dolar, dan kemudian menjadi salah satu teknologi yang paling banyak dipersengketakan dalam sejarah regulasi. [1]

Langkah-langkah yang dapat diambil untuk pemilik situs web dan pengembang di tahun 2026:

Lakukan audit cookie lengkap untuk situs web Anda, termasuk semua skrip pihak ketiga yang dimuat melalui pengelola tag
Terapkan Platform Manajemen Persetujuan seperti Biscotti CMP untuk menangani pengumpulan dan dokumentasi persetujuan yang memperhatikan yurisdiksi
Tinjau banner persetujuan Anda terhadap panduan regulasi saat ini, khususnya memeriksa pola gelap dan opsi terima/tolak yang seimbang
Kembangkan strategi data pihak pertama untuk mengurangi ketergantungan pada cookie pelacakan pihak ketiga
Atur pengingat kalender berulang untuk melakukan audit cookie setiap kuartal, karena skrip pihak ketiga sering berubah
Pastikan kebijakan privasi Anda mencerminkan dengan akurat kategori dan tujuan semua cookie yang digunakan

Lanskap kepatuhan akan terus berkembang. Regulasi privasi semakin meluas secara geografis, penegakan semakin intensif, dan vendor browser membangun pembatasan tambahan langsung ke dalam platform mereka. Organisasi yang memperlakukan tata kelola cookie sebagai disiplin operasional yang berkelanjutan daripada proyek implementasi satu kali akan berada dalam posisi terbaik untuk mempertahankan kepercayaan pengguna dan status regulasi.

FAQ

Apa perbedaan antara cookie sesi dan cookie persisten? Cookie sesi dihapus ketika browser ditutup dan digunakan untuk mempertahankan status selama satu kunjungan, seperti menjaga pengguna tetap masuk. Cookie persisten memiliki tanggal kedaluwarsa yang ditentukan dan tetap ada di perangkat antara sesi, digunakan untuk preferensi, analitik, dan periklanan.

Apakah semua cookie memerlukan persetujuan di bawah GDPR? Tidak. Cookie yang sangat diperlukan, seperti yang diperlukan untuk otentikasi login atau fungsionalitas keranjang belanja, dibebaskan dari persyaratan persetujuan di bawah GDPR. Semua cookie yang tidak penting, termasuk cookie analitik dan iklan, memerlukan persetujuan eksplisit sebelumnya.

Apa itu Platform Manajemen Persetujuan (CMP)? CMP adalah alat perangkat lunak yang mengelola pengumpulan, penyimpanan, dan penegakan persetujuan cookie pengguna. Ini menyajikan banner persetujuan, mencatat pilihan pengguna, dan memberi sinyal pilihan tersebut kepada tag pemasaran dan analitik hilir. Biscotti CMP (www.biscotti-cmp.com) adalah salah satu platform yang dibangun untuk kepatuhan multi-yurisdiksi.

Dapatkah sebuah situs web berfungsi tanpa cookie? Ya, tetapi dengan batasan signifikan. Fungsionalitas inti seperti ketahanan login, keranjang belanja, dan konten yang dipersonalisasi biasanya bergantung pada cookie pihak pertama. Fungsi analitik dan periklanan dapat sebagian digantikan oleh alternatif tanpa cookie, tetapi dengan presisi yang berkurang.

Apa itu pola gelap dalam banner persetujuan cookie? Pola gelap adalah teknik desain yang memanipulasi pengguna untuk menerima cookie yang mungkin mereka tolak. Contohnya termasuk membuat tombol "Terima Semua" menonjol dan berwarna-warni sementara menyembunyikan "Tolak Semua" di balik beberapa menu, atau menggunakan kotak centang yang dicentang sebelumnya untuk kategori yang tidak penting.

Berapa lama catatan persetujuan harus disimpan? Di bawah GDPR, catatan persetujuan harus disimpan selama aktivitas pemrosesan berlangsung, ditambah periode yang wajar untuk menunjukkan kepatuhan dalam hal penyelidikan regulasi. Banyak organisasi menyimpan log persetujuan selama minimal tiga tahun.

Apa itu Global Privacy Control (GPC)? GPC adalah sinyal tingkat browser yang secara otomatis mengkomunikasikan preferensi opt-out pengguna kepada situs web. Di bawah CCPA/CPRA, bisnis di California diwajibkan untuk menghormati sinyal GPC sebagai opt-out yang valid dari penjualan atau pembagian data pribadi.

Apakah cookie analitik dianggap sebagai data pribadi di bawah GDPR? Umumnya ya. Cookie analitik yang menetapkan pengidentifikasi unik untuk browser dapat digunakan untuk memprofil perilaku individu dari waktu ke waktu, yang merupakan pemrosesan data pribadi di bawah GDPR, memerlukan dasar hukum seperti persetujuan.

Apa yang terjadi jika sebuah situs web gagal mematuhi aturan cookie GDPR? Otoritas perlindungan data dapat mengeluarkan peringatan, teguran, dan denda. Denda GDPR untuk pelanggaran cookie berkisar dari puluhan ribu hingga ratusan juta euro, tergantung pada tingkat keparahan, durasi, dan jumlah individu yang terpengaruh.

Apakah persetujuan implisit (melanjutkan untuk menjelajah) sah di bawah GDPR? Tidak. Pengadilan Uni Eropa dan beberapa otoritas perlindungan data telah mengonfirmasi bahwa melanjutkan penjelajahan tidak merupakan persetujuan yang sah. Persetujuan harus merupakan tindakan afirmatif yang tidak ambigu.