Data Nasabah Tak Cukup Dilindungi dengan Persetujuan, Ini Tanggung Jawab Baru Bank di Era Digital

Ia juga menyoroti pentingnya Record of Processing Activities (ROPA) dan Data Protection Impact Assessment (DPIA). Kedua instrumen tersebut tidak seharusnya hanya menjadi dokumen untuk memenuhi kewajiban administratif, tetapi digunakan untuk memahami aktivitas pemrosesan sekaligus mengidentifikasi dan mengurangi risiko.

ROPA membantu organisasi memetakan data yang dikumpulkan, tujuan pemrosesan, serta pihak-pihak yang terlibat. Sementara DPIA digunakan untuk menilai potensi risiko tinggi terhadap hak dan kepentingan individu.

Dari Penggunaan AI hingga Pihak Ketiga, Apa yang Harus Dilakukan Bank?

Tantangan perlindungan data semakin kompleks ketika informasi nasabah digunakan dalam ekosistem teknologi yang melibatkan banyak pihak. Yosea Iskandar, Ketua Asosiasi FINDANET, menekankan pentingnya pendekatan beyond consent atau melampaui persetujuan semata.

Menurutnya, akuntabilitas harus mengikuti seluruh perjalanan data dalam ekosistem keuangan, mulai dari pengumpulan hingga pemanfaatannya oleh berbagai pihak. Prinsip obligation follows the information menjadi penting agar kewajiban perlindungan tetap berjalan ketika informasi berpindah atau digunakan oleh pihak lain.

Yosea juga mengingatkan risiko penggunaan AI, terutama ketika data pribadi dimanfaatkan untuk melatih model atau mendukung proses pengambilan keputusan. Pengawasan tidak boleh berhenti ketika teknologi mulai diterapkan. Proses bisnis dan hasil keluaran AI tetap perlu dievaluasi agar tidak mengabaikan hak maupun kepentingan individu.

Pandangan ini sejalan dengan panduan ICO di Inggris mengenai penggunaan AI. Lembaga tersebut menekankan bahwa organisasi harus mengidentifikasi risiko terhadap individu, mendokumentasikan keputusan, serta melakukan penilaian dampak sebelum dan selama sistem digunakan. Apabila risiko tidak dapat dikelola sesuai ketentuan, penerapan sistem AI perlu ditinjau kembali.

Pada sesi operasional, Satriyo Wibowo, Fellow of Information Privacy dan anggota IAPP Asia Advisory Board, menyoroti pentingnya prosedur pemenuhan hak subjek data dan penanganan kegagalan pelindungan data. Bank perlu memiliki alur kerja yang jelas, mulai dari menerima dan memverifikasi permintaan, berkoordinasi antarunit, melakukan eskalasi, hingga memastikan penyelesaiannya.

Ia juga mengingatkan pentingnya memperhatikan batas waktu 3 x 24 jam dalam pemenuhan kewajiban, termasuk perhitungan waktu setelah proses verifikasi dan penilaian oleh pengendali data pribadi.