Kepatuhan UU PDP untuk perbankan dan jasa keuangan Indonesia

Sektor keuangan Indonesia berada di persimpangan dua rezim regulasi yang berlapis: UU PDP yang mengatur perlindungan data pribadi, dan POJK 11 yang mengatur keamanan siber lembaga jasa keuangan. Keduanya mewajibkan, tetapi cakupannya tidak sepenuhnya tumpang tindih. Bank, multifinance, fintech, dan asuransi harus memenuhi keduanya secara bersamaan.

Mengapa sektor keuangan punya kewajiban berlapis

Lembaga jasa keuangan memproses kategori data pribadi yang paling sensitif: data keuangan, data identitas lengkap, riwayat transaksi, dan dalam banyak kasus data biometrik. UU PDP mengkategorikan data keuangan dan data biometrik sebagai data pribadi spesifik dengan perlindungan tertinggi.

Pemetaan kewajiban untuk lembaga keuangan

Data pribadi spesifik dalam layanan keuangan

UU PDP menetapkan kategori data yang memerlukan perlindungan lebih tinggi. Hampir semua lembaga keuangan memproses sebagian besar dari daftar ini.

Pemrosesan data spesifik memerlukan dasar hukum yang lebih kuat dari sekadar kepentingan bisnis biasa, dan sanksi pidana untuk pelanggarannya lebih tinggi: Pasal 68 UU PDP mengancam pidana penjara hingga 5 tahun dan denda Rp 5 miliar.

Implementasi praktis: langkah prioritas

1. 1

   Pemetaan data (data mapping)

   Identifikasi semua data pribadi yang diproses: dari mana asalnya, disimpan di mana, siapa yang mengaksesnya, dan berapa lama dipertahankan. Tanpa peta data yang akurat, tidak ada program kepatuhan yang bisa dibangun.

2. 2

   Audit mekanisme persetujuan

   Review formulir pendaftaran, perjanjian kredit, dan syarat layanan digital. Apakah persetujuan untuk penggunaan data marketing, scoring kredit oleh pihak ketiga, dan berbagi data dengan mitra diperoleh secara eksplisit dan terpisah?

3. 3

   Implementasi hak subjek data

   Bangun mekanisme bagi nasabah untuk mengakses, mengoreksi, atau meminta penghapusan data mereka. UU PDP mewajibkan respons dalam 30 hari. Untuk bank dengan jutaan nasabah, ini membutuhkan sistem otomatis.

4. 4

   Review kontrak pihak ketiga

   Semua vendor yang memproses data nasabah memerlukan addendum perjanjian perlindungan data sesuai Pasal 56 UU PDP. Ini termasuk cloud provider internasional yang memproses data nasabah Indonesia.

5. 5

   Penunjukan DPO dan pembentukan fungsi

   Tentukan apakah lembaga Anda wajib menunjuk DPO berdasarkan kriteria Pasal 53. Jika ya, tentukan apakah DPO internal atau outsourced lebih sesuai dengan kapasitas dan anggaran yang tersedia.

Posisi OJK terhadap UU PDP

OJK mengakui bahwa lembaga jasa keuangan di bawah pengawasannya tunduk pada UU PDP di samping regulasi OJK sendiri. Dalam beberapa peraturan terbaru, OJK semakin menyelaraskan persyaratannya dengan UU PDP, termasuk dalam POJK 34/2025 untuk Bank Perkreditan Rakyat.

Kepatuhan terhadap UU PDP bukan sekadar kewajiban hukum tambahan. Ia adalah bagian dari tata kelola data yang diharapkan OJK dari lembaga keuangan yang beroperasi di era digital.

Alpha Code mendukung lembaga jasa keuangan Indonesia dalam membangun program kepatuhan UU PDP yang terintegrasi dengan kerangka keamanan siber POJK yang sudah ada.