Data Nasabah Tak Cukup Dilindungi dengan Persetujuan, Ini Tanggung Jawab Baru Bank di Era Digital

tvOnenews.com - Saat membuka rekening, mengajukan pinjaman, atau menggunakan aplikasi perbankan digital, nasabah biasanya diminta menyetujui sejumlah ketentuan terkait penggunaan data pribadi. 

Persetujuan tersebut sering kali menjadi bagian dari proses administrasi yang dilewati agar layanan dapat segera digunakan. Namun, apakah dengan memberikan persetujuan, nasabah otomatis terlindungi dari seluruh risiko penyalahgunaan informasi?

Persoalannya, data pribadi dalam industri keuangan tidak berhenti digunakan setelah dikumpulkan. Informasi identitas, nomor rekening, riwayat transaksi, hingga kebiasaan finansial dapat diproses untuk berbagai kebutuhan, termasuk analisis risiko, pemasaran, pengembangan layanan, dan teknologi kecerdasan buatan (AI). 

Dalam prosesnya, informasi tersebut juga berpotensi melibatkan penyedia teknologi, mitra bisnis, maupun pihak ketiga lainnya.

Praktik perlindungan data di sejumlah negara maju menunjukkan bahwa persetujuan bukan satu-satunya dasar untuk menjaga privasi konsumen. 

Uni Eropa melalui General Data Protection Regulation (GDPR), misalnya, mengatur sejumlah dasar pemrosesan data selain persetujuan, seperti pelaksanaan kontrak dan pemenuhan kewajiban hukum. 

Sementara itu, Inggris melalui Information Commissioner's Office (ICO) menekankan prinsip data protection by design, yakni perlindungan privasi harus diperhitungkan sejak sebuah layanan dirancang. 

Di Amerika Serikat, aturan Safeguards Rule dari Federal Trade Commission (FTC) juga mewajibkan lembaga keuangan menerapkan perlindungan administratif, teknis, dan fisik terhadap informasi nasabah.

Mengapa Persetujuan Nasabah Tidak Cukup Menjamin Keamanan Data?

Dalam praktiknya, nasabah sering kali tidak mengetahui secara terperinci bagaimana informasi mereka diproses setelah diserahkan kepada penyedia layanan keuangan. Padahal, perlindungan data tidak hanya berkaitan dengan izin pengumpulan informasi, tetapi juga tujuan penggunaan, jangka waktu penyimpanan, akses internal, hingga pengalihan kepada pihak lain.

Uni Eropa melalui GDPR memberikan gambaran mengenai pendekatan tersebut. Komisi Eropa menjelaskan bahwa persetujuan merupakan salah satu dari beberapa dasar hukum pemrosesan data pribadi. 

Pemrosesan juga dapat dilakukan untuk memenuhi kontrak, kewajiban hukum, kepentingan vital, kepentingan publik, maupun kepentingan sah dengan sejumlah batasan.

GDPR juga mengenalkan prinsip pembatasan tujuan, minimalisasi data, serta pembatasan masa penyimpanan. Artinya, perusahaan tidak seharusnya mengumpulkan informasi secara berlebihan atau menggunakannya untuk tujuan yang tidak sesuai dengan dasar pemrosesan yang berlaku.

Di Inggris, ICO menerapkan pendekatan serupa melalui prinsip perlindungan data sejak tahap perancangan. 

Perusahaan harus mempertimbangkan risiko privasi sejak awal pengembangan produk, sistem, maupun layanan. Langkahnya mencakup pembatasan akses, penggunaan enkripsi, pemetaan data, serta penilaian dampak terhadap individu.

Sementara di Amerika Serikat, FTC melalui Safeguards Rule mewajibkan lembaga keuangan yang berada dalam cakupan pengawasannya memiliki program keamanan informasi tertulis. 

Tanggung jawab tersebut juga mencakup langkah untuk memastikan afiliasi dan penyedia layanan yang menangani informasi nasabah menerapkan perlindungan memadai.

Ketiga contoh tersebut memperlihatkan bahwa keamanan data membutuhkan sistem pengawasan dan pertanggungjawaban yang berjalan terus-menerus, bukan sekadar persetujuan yang diberikan ketika nasabah pertama kali menggunakan layanan.

PP 33 Tahun 2026 Dorong Akuntabilitas Baru di Industri Perbankan

Kebutuhan memperkuat perlindungan data tersebut menjadi salah satu pembahasan dalam Privacy Day 2026 yang diselenggarakan Eman Achmad & Co Law Firm bersama PT Bank DBS Indonesia di DBS Tower, Jakarta.

Memasuki tahun kedua, forum tersebut mempertemukan praktisi perlindungan data, perwakilan industri keuangan, serta pemangku kepentingan untuk membahas implementasi regulasi terbaru. Mengangkat tema “Membangun Kepercayaan dalam Ekosistem Keuangan Pasca Peraturan Pemerintah Nomor 33 Tahun 2026”, diskusi turut melibatkan Asosiasi Praktisi Pelindungan Data Indonesia (APPDI) dan Financial Industry Data Protection & Privacy Network (FINDANET).

Salah satu perhatian utama adalah terbitnya PP Nomor 33 Tahun 2026 sebagai aturan pelaksanaan Undang-Undang Pelindungan Data Pribadi (UU PDP). Regulasi tersebut memuat sepuluh mandat yang memperjelas sejumlah kewajiban dalam pengelolaan data pribadi.

Pelaku usaha, termasuk sektor perbankan, diberikan waktu enam bulan sejak peraturan diundangkan untuk menyesuaikan ketentuan dan praktik internal. Berdasarkan informasi dalam forum tersebut, batas penyesuaian ditetapkan paling lambat 16 Januari 2027.

Ajeng Risda Rahmadani dari Direktorat Jenderal Pengawasan Ruang Digital Kementerian Komunikasi dan Digital (Komdigi) menjelaskan bahwa implementasi aturan membutuhkan pemahaman terhadap kewajiban pengendali dan prosesor data pribadi, dasar pemrosesan yang sah, pemenuhan hak subjek data, keamanan pemrosesan, serta penanganan kegagalan pelindungan data.

Dari sisi sektor keuangan, Agung Bayu Purwoko, Direktur Kepala Grup Kebijakan dan Strategi Inovasi dan Digitalisasi Data Bank Indonesia, menyebut kepatuhan perlu dibangun melalui tiga pilar, yaitu regulasi, organisasi, dan perangkat pendukung atau tools.

Ia juga menyoroti pentingnya Record of Processing Activities (ROPA) dan Data Protection Impact Assessment (DPIA). Kedua instrumen tersebut tidak seharusnya hanya menjadi dokumen untuk memenuhi kewajiban administratif, tetapi digunakan untuk memahami aktivitas pemrosesan sekaligus mengidentifikasi dan mengurangi risiko.

ROPA membantu organisasi memetakan data yang dikumpulkan, tujuan pemrosesan, serta pihak-pihak yang terlibat. Sementara DPIA digunakan untuk menilai potensi risiko tinggi terhadap hak dan kepentingan individu.

Dari Penggunaan AI hingga Pihak Ketiga, Apa yang Harus Dilakukan Bank?

Tantangan perlindungan data semakin kompleks ketika informasi nasabah digunakan dalam ekosistem teknologi yang melibatkan banyak pihak. Yosea Iskandar, Ketua Asosiasi FINDANET, menekankan pentingnya pendekatan beyond consent atau melampaui persetujuan semata.

Menurutnya, akuntabilitas harus mengikuti seluruh perjalanan data dalam ekosistem keuangan, mulai dari pengumpulan hingga pemanfaatannya oleh berbagai pihak. Prinsip obligation follows the information menjadi penting agar kewajiban perlindungan tetap berjalan ketika informasi berpindah atau digunakan oleh pihak lain.

Yosea juga mengingatkan risiko penggunaan AI, terutama ketika data pribadi dimanfaatkan untuk melatih model atau mendukung proses pengambilan keputusan. Pengawasan tidak boleh berhenti ketika teknologi mulai diterapkan. Proses bisnis dan hasil keluaran AI tetap perlu dievaluasi agar tidak mengabaikan hak maupun kepentingan individu.

Pandangan ini sejalan dengan panduan ICO di Inggris mengenai penggunaan AI. Lembaga tersebut menekankan bahwa organisasi harus mengidentifikasi risiko terhadap individu, mendokumentasikan keputusan, serta melakukan penilaian dampak sebelum dan selama sistem digunakan. Apabila risiko tidak dapat dikelola sesuai ketentuan, penerapan sistem AI perlu ditinjau kembali.

Pada sesi operasional, Satriyo Wibowo, Fellow of Information Privacy dan anggota IAPP Asia Advisory Board, menyoroti pentingnya prosedur pemenuhan hak subjek data dan penanganan kegagalan pelindungan data. Bank perlu memiliki alur kerja yang jelas, mulai dari menerima dan memverifikasi permintaan, berkoordinasi antarunit, melakukan eskalasi, hingga memastikan penyelesaiannya.

Ia juga mengingatkan pentingnya memperhatikan batas waktu 3 x 24 jam dalam pemenuhan kewajiban, termasuk perhitungan waktu setelah proses verifikasi dan penilaian oleh pengendali data pribadi.

Sementara itu, Raditya Kosasih dari APPDI menjelaskan bahwa ROPA dan DPIA harus diperbarui secara berkala. Penilaian risiko melalui DPIA juga perlu berorientasi pada dampak terhadap individu, bukan hanya kemungkinan kerugian yang dialami perusahaan.

Dalam penerapannya, perlindungan data perlu masuk ke berbagai aktivitas perbankan, seperti pembukaan rekening, pemberian kredit, pembayaran, dan penagihan. Bank juga perlu meninjau dasar hukum pemrosesan, memperkuat dokumentasi kepatuhan, menyelaraskan kebijakan internal, serta memperjelas tanggung jawab Data Protection Officer (DPO).

Diskusi Privacy Day 2026 yang dibuka oleh Asa Estheria Vipana, Executive Director PT Bank DBS Indonesia, dan Dr. Eman Achmad dari Eman Achmad & Co Law Firm juga menyoroti kebutuhan penguatan kelembagaan. Dr. Eman Achmad mendorong pembentukan Lembaga Pelindungan Data Pribadi untuk memperkuat pengawasan dan implementasi aturan di Indonesia.

Tantangan utama perbankan bukan sekadar meminta nasabah menyetujui penggunaan data pribadi. Bank harus mampu menjelaskan alasan pengumpulan informasi, membatasi penggunaannya sesuai tujuan, memastikan keamanan ketika data berpindah ke pihak lain, serta bertanggung jawab atas risiko yang muncul dari pemrosesan, termasuk melalui teknologi AI.

Dengan kata lain, kepercayaan nasabah tidak dibangun dari panjangnya kebijakan privasi atau banyaknya persetujuan digital yang diberikan. 

Kepercayaan tumbuh ketika bank mampu membuktikan bahwa informasi pribadi benar-benar dikelola secara aman, transparan, dan bertanggung jawab sepanjang siklus penggunaannya. (udn)