Kepatuhan Pengelolaan Data Pribadi di Sektor Perbankan dan Asuransi: Tantangan, Pelanggaran, dan Praktik Terbaik

Ivan Irawan

PENDAHULUAN

Data sebagai Aset sekaligus Tanggung Jawab

Di era digital, data pribadi nasabah adalah aset paling berharga sekaligus paling berisiko bagi industri perbankan dan asuransi. Mulai dari data identitas, riwayat transaksi, informasi kesehatan, hingga kebiasaan belanja — semua informasi ini menjadi dasar penyusunan produk, penilaian risiko, hingga pelayanan kepada nasabah. Namun, di samping nilai ekonomisnya, data pribadi juga dilindungi oleh hukum, dan setiap penyalahgunaan atau kelalaian dapat berakibat kerugian besar bagi nasabah maupun reputasi perusahaan.

Di Indonesia, landasan hukum utama pengelolaan data pribadi adalah Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP). Sektor keuangan juga diatur oleh peraturan khusus dari Otoritas Jasa Keuangan (OJK), antara lain Peraturan OJK No. 22 Tahun 2023 tentang Perlindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan (yang memperbarui POJK No. 6/POJK.07/2022 dan POJK terdahulu), serta Surat Edaran OJK tentang Manajemen Risiko Teknologi Informasi. Di tingkat internasional, banyak perusahaan yang beroperasi lintas negara juga wajib mematuhi Peraturan Perlindungan Data Umum (GDPR) Uni Eropa atau serupa di yurisdiksi lain.

Bagi perbankan dan asuransi, kepatuhan bukan sekadar memenuhi kewajiban hukum — melainkan fondasi kepercayaan nasabah. Jika kepercayaan ini runtuh, nasabah akan menarik dana, memutuskan polis, dan menyebarkan informasi negatif yang merusak citra perusahaan. Oleh karena itu, pengelolaan data pribadi harus dipandang sebagai bagian tak terpisahkan dari tata kelola perusahaan (Corporate Governance), bukan sekadar urusan teknis tim teknologi informasi.

Prinsip Dasar Pengelolaan Data Pribadi

Baik UU PDP maupun GDPR menetapkan prinsip serupa yang harus dipatuhi oleh penyelenggara jasa keuangan:

1. Keterbukaan & Kesesuaian: Data dikumpulkan untuk tujuan yang jelas, sah, dan diinformasikan kepada pemilik data.
2. Pembatasan Tujuan: Tidak boleh dipakai untuk hal lain tanpa persetujuan baru.
3. Minimisasi Data: Hanya ambil apa yang benar-benar dibutuhkan untuk memproses layanan.
4. Akurasi: Data harus terkini dan diperbaiki jika terdapat kekeliruan.
5. Pembatasan Penyimpanan: Tidak disimpan lebih lama dari yang diperlukan atau melampaui masa retensi hukum.
6. Integritas & Kerahasiaan: Dilindungi dari akses tanpa izin, kebocoran, penyalahgunaan, atau kerusakan fisik/digital.
7. Pertanggungjawaban (Accountability): Perusahaan harus dapat membuktikan kepatuhannya secara akuntabel.

SALAH PENERAPAN DAN KASUS PELANGGARAN NYATA

Banyak pelanggaran tidak bermaksud jahat, melainkan lahir dari pemahaman yang kurang lengkap, budaya organisasi yang abai, atau kebiasaan kerja yang tidak disesuaikan dengan aturan baru. Berikut beberapa bentuk kesalahan penerapan dan kasus nyata:

1. Bentuk Salah Penerapan yang Sering Terjadi

• Mengumpulkan data berlebihan – Meminta foto KTP, kartu keluarga, slip gaji, hingga catatan medis yang tidak relevan dengan produk yang diajukan. Hal ini melanggar asas efisiensi komparatif data.
• Persetujuan yang tidak sah – Mencantumkan izin pengolahan data sebagai bagian tak terpisahkan dari syarat pembukaan rekening (bundled consent), sehingga nasabah tidak punya pilihan menolak tanpa membatalkan seluruh permohonan. Aturan mewajibkan persetujuan bebas, spesifik, dan dapat ditarik kembali.
• Berbagi data tanpa izin – Bagian pemasaran mengirim atau menjual data nasabah ke pihak ketiga (mitra/afiliasi) untuk penawaran produk komersial lain tanpa opsi opt-out yang jelas bagi konsumen.
• Penyimpanan tidak aman – Mengirim data sensitif nasabah lewat aplikasi pesan instan tak terenkripsi, menyimpan salinan dokumen di perangkat pribadi, atau mengabaikan pembaruan kata sandi sistem internal.
• Tidak ada prosedur penghapusan – Data nasabah yang sudah menutup rekening atau mengakhiri kontrak polis tetap disimpan tanpa batas waktu tanpa proses enkripsi atau pemusnahan massal.

1. Analisis Kasus Pelanggaran Nyata
2. Kebocoran Data di Perbankan Akibat Kelemahan Sistem

Sebuah institusi perbankan diketahui memiliki celah keamanan pada sistem pelaporan pelanggan (customer log) yang dapat dieksploitasi pihak luar. Akibatnya, data ribuan nasabah — termasuk nama, nomor KTP, nomor rekening, dan saldo — terekspos ke publik. Investigasi menemukan perusahaan menunda mitigasi siber selama berbulan-bulan karena alasan efisiensi biaya operasional. Konsekuensinya: pengenaan denda administratif berat, penyelidikan khusus dari OJK, gelombang penutupan rekening secara masif, serta pembengkakan biaya recovery sistem yang jauh melampaui biaya pemeliharaan preventif awal.

2. Perusahaan Asuransi Menggunakan Data Kesehatan untuk Profiling Komersial

Sebuah perusahaan asuransi mengumpulkan data medis terperinci saat nasabah mengajukan polis kesehatan. Namun, data tersebut kemudian dianalisis tanpa izin untuk melakukan profiling risiko sekunder guna menawarkan produk asuransi jiwa dengan premi yang jauh lebih tinggi kepada kelompok konsumen rentan. Ini merupakan bentuk pelanggaran berat penyalahgunaan tujuan pengumpulan data (purpose limitation violation). Otoritas menjatuhkan sanksi denda ratusan juta rupiah serta kewajiban menyampaikan permohonan maaf secara terbuka di media nasional.

3. Pelanggaran Berulang: Pelajaran dari Pengawasan Internasional

Salah satu korporasi jasa keuangan global yang beroperasi di Eropa tercatat mendapat sanksi berturut-turut dari komisi pengawas data setempat karena gagal mengisolasi data nasabah secara aman. Pelanggaran pertama dipicu oleh lemahnya hak akses (access control); meskipun telah diberikan nota peringatan, perbaikan yang dilakukan hanya bersifat superfisial (permukaan). Pengawas menegaskan bahwa residivisme atau pelanggaran berulang mencerminkan kegagalan sistemik pada ranah tata kelola kepemimpinan (tone at the top). Denda kedua yang dijatuhkan berlipat ganda, membuktikan bahwa penanganan kepatuhan tidak boleh sekadar bersifat reaktif.

SUDUT PANDANG KONSUMEN DAN KONSENSUS AHLI JASA KEUANGAN

1. Perspektif Konsumen: Antara Kebutuhan Layanan dan Asimetri Informasi

Dari sudut pandang konsumen, penyerahan data pribadi sering kali dirasa sebagai posisi yang dilematis dan asimetris. Konsumen membutuhkan layanan finansial, namun mereka dipaksa tunduk pada perjanjian baku (standard contract) yang panjang dan sulit dipahami. Berdasarkan survei dan aduan perlindungan konsumen, terdapat tiga perhatian utama masyarakat terhadap keamanan data mereka:

1. Hilangnya Kendali atas Data: Konsumen kerap merasa cemas setelah membuka rekening atau polis karena tiba-tiba menerima puluhan panggilan telepon penawaran dari pihak ketiga (telemarketing) yang tidak pernah mereka kenal.
2. Respons Krisis yang Lambat: Saat terjadi kebocoran data, lembaga keuangan sering kali lambat memberikan notifikasi resmi, memicu ketidakpastian dan kerugian material akibat risiko kejahatan siber lanjutan seperti phising atau social engineering.
3. Kekhawatiran Diskriminasi Algoritma: Adanya kekhawatiran bahwa data pribadi, terutama data kesehatan pada asuransi atau data riwayat kredit pada bank, digunakan secara sepihak untuk menolak klaim atau membatasi hak proteksi konsumen tanpa proses klarifikasi yang adil.
4. Opini Ahli Jasa Keuangan dan Praktisi Hukum

Para ahli tata kelola keuangan dan hukum perlindungan data menekankan bahwa kepatuhan terhadap data pribadi di industri keuangan harus bergeser dari sekadar pendekatan legal-formal (tick-the-box compliance) menjadi budaya manajemen risiko yang terintegrasi. Berikut beberapa pokok pikiran utama para praktisi:

Para ahli juga menyoroti pentingnya penerapan Financial Customer Cybersecurity Education, di mana bank dan asuransi secara aktif mengedukasi nasabah agar tidak terjebak fraud. Jadi perlindungan bersifat dua arah: sistem internal yang kokoh dari sisi korporasi, dan literasi digital yang memadai dari sisi pengguna jasa.

PRAKTIK TERBAIK: MEMBANGUN SISTEM PERLINDUNGAN DATA YANG KOKOH

Kepatuhan bukan proyek satu kali selesai, melainkan proses berkelanjutan yang melibatkan seluruh elemen perusahaan. Berikut langkah-langkah praktik terbaik yang diterapkan perusahaan-perusahaan terdepan:

1. Menetapkan Kepemimpinan dan Tanggung Jawab yang Jelas. Tunjuk Pejabat Perlindungan Data Pribadi (DPO) yang memiliki kompetensi hukum dan teknologi informasi. Pejabat ini harus memiliki akses laporan langsung ke jajaran direksi/komisaris guna menjamin objektivitas pengawasan. Perlindungan data juga harus diintegrasikan ke dalam Key Performance Indicators (KPI) manajemen.
2. Menerapkan Prinsip ‘Perlindungan Data sejak Awal dan Secara Bawaan’. Saat merancang sistem, aplikasi, atau produk finansial baru, prinsip minimalisasi data dan privasi harus diadopsi sejak awal (Privacy by Design). Akses terhadap data nasabah diatur berdasarkan hak akses minimum (Principle of Least Privilege); staf lini depan tidak boleh memiliki akses penuh terhadap data medis atau portofolio investasi mendalam nasabah kecuali dibutuhkan secara langsung.
3. Membangun Keterbukaan dan Mengakui Hak Nasabah. Menyusun ringkasan kebijakan privasi (Privacy Notice) yang ringkas, komunikatif, dan bebas dari jargon hukum yang membingungkan. Perusahaan wajib menyediakan dasbor atau kanal digital mandiri (self-service portal) yang memudahkan nasabah melaksanakan haknya, seperti memperbarui data, menarik persetujuan pemasaran, atau mengajukan penghapusan data secara permanen.
4. Mengelola Risiko Secara Proaktif melalui DPIA dan Pelatihan. Melakukan Data Protection Impact Assessment (DPIA) secara berkala sebelum meluncurkan teknologi baru (seperti adopsi kecerdasan buatan atau komputasi awan). Selain itu, pelatihan siber rutin wajib diberikan kepada seluruh karyawan untuk menekan risiko kelalaian manusia (human error) yang menjadi pemicu utama insiden kebocoran.
5. Mengawasi dan Mengaudit Ekosistem Pihak Ketiga. Melakukan audit keamanan siber (security assessment) dan menyepakati klausul perlindungan data yang ketat (Data Processing Agreement) dengan vendor, agen, atau pihak ketiga yang bekerja sama dalam ekosistem perusahaan. Perusahaan induk tetap memegang tanggung jawab hukum utama atas setiap kebocoran di tingkat eksternal.

PENUTUP

Pengelolaan data pribadi yang patuh bukanlah beban regulasi yang menyulitkan atau pusat biaya (cost center), melainkan investasi strategis yang menjaga keberlangsungan usaha dalam jangka panjang. Sektor perbankan dan asuransi berdiri tegak di atas pilar kepercayaan nasabah — dan kepercayaan itu tumbuh subur ketika nasabah memiliki keyakinan penuh bahwa informasi paling sensitif milik mereka dihormati, dijaga, dan dikelola secara bertanggung jawab.

Perbedaan mendasar antara institusi yang sekadar patuh (compliant) dan institusi yang unggul (excellent) terletak pada cara pandangnya: lembaga yang sekadar patuh menerapkan aturan demi menghindari sanksi dan denda finansial; sedangkan lembaga yang unggul menempatkan perlindungan data sebagai bagian integral dari janji mutu pelayanan kepada konsumen. Di tengah kompetisi pasar keuangan digital yang kian ketat, tata kelola data yang aman adalah diferensiator utama penentu reputasi dan kesuksesan bisnis masa depan.

DAFTAR PUSTAKA

Indonesia. (2022). Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi. Lembaran Negara Republik Indonesia Tahun 2022 Nomor 196. Jakarta.

Otoritas Jasa Keuangan. (2023). Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Perlindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan. Jakarta: OJK.

European Union. (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council (General Data Protection Regulation – GDPR). Official Journal of the European Union, L 119, 1-88.

Sutedi, A. (2014). Good Corporate Governance di Sektor Perbankan dan Jasa Keuangan. Jakarta: Sinar Grafika.

Saraswati, N. M. A., & Budiartha, I. N. P. (2023). Perlindungan Hukum terhadap Data Pribadi Nasabah Perbankan Berdasarkan UU PDP. Jurnal Konstruksi Hukum, 4(2), 241-248.

Ramli, T. S., & Ramli, A. M. (2021). Aspek Hukum Perlindungan Data Pribadi di Sektor Fintech dan Perbankan Digital. Jurnal Hukum Teknologi dan Informasi, 8(1), 12-25.