Pelaku Usaha Fintech Wajib Terapkan UU Perlindungan Data Pribadi, Meski Aturan Pelaksana Belum Terbit.

Perkembangan industri financial technology (fintech) telah mengubah cara masyarakat mengakses layanan keuangan. Mulai dari pinjaman daring (peer-to-peer lending), pembayaran digital, wealth management, hingga layanan embedded finance, seluruh aktivitas tersebut bergantung pada pemrosesan data pribadi pengguna. Identitas, nomor telepon, alamat, data biometrik, rekening bank, riwayat transaksi, hingga lokasi pengguna menjadi bagian dari data yang diproses setiap hari oleh penyelenggara layanan keuangan digital. Kondisi tersebut menjadikan perlindungan data pribadi sebagai salah satu aspek fundamental dalam menjaga keberlangsungan industri fintech sekaligus membangun kepercayaan masyarakat.

Komitmen Indonesia terhadap perlindungan data pribadi diwujudkan melalui Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP). Undang-undang ini menjadi dasar hukum utama yang mengatur hak subjek data pribadi, kewajiban pengendali dan prosesor data pribadi, mekanisme pemrosesan data, hingga sanksi administratif maupun pidana atas pelanggaran yang dilakukan. Bagi pelaku usaha fintech, keberadaan UU PDP bukan sekadar regulasi tambahan, melainkan bagian dari tata kelola perusahaan yang harus diterapkan dalam seluruh proses bisnis.

Masih terdapat anggapan bahwa penerapan penuh UU PDP dapat ditunda sampai seluruh peraturan pelaksana diterbitkan pemerintah. Pandangan tersebut kurang tepat. Secara hukum, UU Nomor 27 Tahun 2022 telah berlaku sebagai dasar pengaturan perlindungan data pribadi, sehingga kewajiban pokok bagi pengendali data pribadi tetap harus dijalankan. Peraturan pelaksana pada dasarnya berfungsi memberikan rincian teknis, bukan menunda keberlakuan norma yang telah ditetapkan dalam undang-undang. Oleh karena itu, pelaku usaha fintech justru perlu memanfaatkan masa transisi untuk membangun sistem kepatuhan sebelum pengawasan dilakukan secara lebih intensif.

Selain UU PDP, sektor jasa keuangan juga berada dalam pengawasan Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UU P2SK) yang memperkuat transformasi digital sektor keuangan. Ketentuan tersebut kemudian dilengkapi dengan berbagai regulasi Otoritas Jasa Keuangan (OJK) mengenai penyelenggaraan Inovasi Teknologi Sektor Keuangan (ITSK) yang menekankan pentingnya tata kelola teknologi informasi, manajemen risiko, keamanan siber, dan perlindungan konsumen. Dengan demikian, kepatuhan terhadap UU PDP sesungguhnya menjadi bagian yang tidak terpisahkan dari kewajiban tata kelola perusahaan di sektor keuangan digital.

Salah satu langkah pertama yang perlu dilakukan pelaku usaha adalah menunjuk Data Protection Officer (DPO) atau pejabat yang bertanggung jawab terhadap perlindungan data pribadi apabila memenuhi kriteria sebagaimana diatur dalam Pasal 53 UU PDP. Keberadaan DPO bukan hanya untuk memenuhi kewajiban regulasi, tetapi juga menjadi pusat koordinasi dalam memastikan seluruh aktivitas pemrosesan data telah sesuai dengan prinsip-prinsip perlindungan data pribadi. DPO berperan memberikan nasihat kepada manajemen, melakukan pengawasan kepatuhan, menjadi penghubung dengan regulator, serta memberikan edukasi kepada seluruh karyawan mengenai tata kelola data.

Langkah berikutnya adalah menyusun Data Protection Impact Assessment (DPIA) atau penilaian dampak perlindungan data pribadi. Walaupun istilah DPIA lebih dikenal dalam praktik internasional, konsep ini sangat relevan bagi perusahaan fintech yang memproses data dalam jumlah besar atau menggunakan teknologi baru seperti artificial intelligence, machine learning, maupun big data analytics. Melalui DPIA, perusahaan dapat mengidentifikasi potensi risiko terhadap hak pemilik data sebelum suatu sistem atau layanan dijalankan sehingga langkah mitigasi dapat dilakukan sejak awal.

Pelaku usaha juga perlu membangun Record of Processing Activities (ROPA) atau dokumentasi mengenai seluruh aktivitas pemrosesan data pribadi di dalam perusahaan. ROPA memuat informasi mengenai jenis data yang diproses, tujuan pemrosesan, dasar hukum pemrosesan, pihak yang menerima data, jangka waktu penyimpanan, hingga langkah pengamanan yang diterapkan. Dokumentasi tersebut menjadi instrumen penting dalam membuktikan kepatuhan perusahaan apabila sewaktu-waktu dilakukan pemeriksaan oleh regulator maupun ketika terjadi insiden kebocoran data.

Selain itu, perusahaan harus memastikan bahwa setiap pemrosesan data dilakukan berdasarkan persetujuan yang sah atau dasar hukum lain yang diakui UU PDP. Pengumpulan data yang berlebihan (excessive data collection), penggunaan data di luar tujuan awal, maupun pembagian data kepada pihak ketiga tanpa dasar hukum yang jelas berpotensi menimbulkan pelanggaran terhadap ketentuan perlindungan data pribadi. Oleh sebab itu, perusahaan perlu meninjau kembali formulir persetujuan, kebijakan privasi (privacy policy), serta kontrak dengan mitra bisnis agar selaras dengan ketentuan yang berlaku.

Aspek keamanan siber juga menjadi perhatian penting. Fintech merupakan salah satu sektor yang paling sering menjadi sasaran serangan siber karena menyimpan data keuangan dan data identitas pengguna. Oleh karena itu, penerapan enkripsi, autentikasi berlapis (multi-factor authentication), manajemen akses, pemantauan keamanan secara berkala, hingga prosedur penanganan insiden (incident response plan) perlu menjadi bagian dari tata kelola perusahaan. Kepatuhan terhadap UU PDP tidak hanya berkaitan dengan aspek hukum, tetapi juga erat kaitannya dengan kemampuan perusahaan menjaga keamanan sistem informasi.

Dari perspektif bisnis, kepatuhan terhadap UU PDP justru memberikan nilai tambah. Kepercayaan merupakan aset utama dalam industri keuangan digital. Semakin tinggi tingkat perlindungan data yang diberikan perusahaan, semakin besar pula kepercayaan konsumen untuk menggunakan layanan tersebut. Sebaliknya, insiden kebocoran data tidak hanya menimbulkan risiko sanksi hukum, tetapi juga dapat mengurangi reputasi perusahaan, menurunkan loyalitas pengguna, dan menghambat pertumbuhan bisnis.

Menurut Prof. Daniel J. Solove, pakar hukum privasi dari George Washington University, perlindungan data pribadi bukan sekadar persoalan kerahasiaan informasi, tetapi merupakan bentuk perlindungan terhadap hak individu dalam mengendalikan penggunaan datanya. Oleh karena itu, perusahaan harus membangun tata kelola data yang berorientasi pada akuntabilitas, bukan hanya pada kepatuhan administratif.

Pendapat tersebut sejalan dengan Prof. Paul M. Schwartz dari University of California Berkeley yang menjelaskan bahwa regulasi perlindungan data modern menempatkan prinsip accountability sebagai inti kepatuhan. Perusahaan dituntut mampu membuktikan bahwa seluruh proses pemrosesan data telah dilakukan sesuai prinsip hukum, bukan sekadar menyatakan telah mematuhi regulasi.

Sementara itu, Prof. Sinta Dewi Rosadi, Guru Besar Universitas Padjadjaran yang banyak mengkaji hukum siber dan perlindungan data pribadi, menegaskan bahwa keberhasilan implementasi UU PDP sangat bergantung pada kesiapan tata kelola organisasi. Menurutnya, perusahaan tidak cukup hanya menyusun dokumen kebijakan, tetapi juga harus membangun budaya kepatuhan, memperkuat keamanan teknologi informasi, dan meningkatkan kompetensi sumber daya manusia dalam mengelola data pribadi.

Pada akhirnya, penerapan UU Perlindungan Data Pribadi di sektor fintech tidak dapat menunggu terbitnya seluruh peraturan pelaksana. Sebagai industri yang memproses data pribadi dalam skala besar, pelaku usaha justru perlu bergerak lebih cepat membangun sistem kepatuhan melalui penunjukan DPO, penyusunan DPIA, pembentukan ROPA, penguatan tata kelola keamanan informasi, serta evaluasi menyeluruh terhadap proses pemrosesan data pribadi. Langkah tersebut tidak hanya mengurangi risiko hukum, tetapi juga menjadi investasi jangka panjang dalam menjaga kepercayaan publik dan memperkuat daya saing industri fintech Indonesia di era ekonomi digital.

Tidak diterapkannya ketentuan dalam UU Perlindungan Data Pribadi bukan hanya berpotensi menimbulkan pelanggaran administratif, tetapi juga dapat menciptakan risiko bisnis yang signifikan bagi penyelenggara fintech. Dari sisi operasional, kebocoran data pribadi dapat mengakibatkan hilangnya kepercayaan pengguna (loss of trust), meningkatnya angka penghentian penggunaan layanan (customer churn), hingga menurunnya minat investor dan mitra bisnis untuk bekerja sama. Industri fintech sangat bergantung pada kepercayaan masyarakat karena hampir seluruh proses bisnisnya dilakukan secara digital, mulai dari proses onboarding nasabah, know your customer (KYC), analisis kredit, hingga transaksi pembayaran. Oleh karena itu, satu insiden pelanggaran data saja dapat berdampak pada penurunan reputasi perusahaan yang sulit dipulihkan dalam waktu singkat.

Dari aspek hukum, Pasal 20 UU Nomor 27 Tahun 2022 mewajibkan setiap Pengendali Data Pribadi untuk memiliki dasar pemrosesan data yang sah, seperti persetujuan subjek data, pemenuhan kewajiban kontraktual, kewajiban hukum, perlindungan kepentingan vital, pelaksanaan tugas publik, maupun kepentingan yang sah (legitimate interest). Apabila penyelenggara fintech memproses data pribadi tanpa dasar hukum yang jelas, maka seluruh aktivitas pemrosesan tersebut berpotensi dinilai bertentangan dengan ketentuan UU PDP. Selain itu, Pasal 39 mengharuskan Pengendali Data Pribadi menerapkan langkah teknis dan operasional yang memadai untuk melindungi data pribadi dari akses, penggunaan, perubahan, maupun pengungkapan yang tidak sah. Kegagalan memenuhi kewajiban tersebut dapat menjadi dasar pertanggungjawaban apabila terjadi insiden kebocoran data.

Risiko hukum juga semakin besar apabila terjadi insiden keamanan siber. Berdasarkan Pasal 46 UU Nomor 27 Tahun 2022, Pengendali Data Pribadi wajib menyampaikan pemberitahuan secara tertulis kepada subjek data pribadi dan lembaga yang berwenang paling lambat 3 x 24 jam sejak diketahui terjadi kegagalan perlindungan data pribadi. Kewajiban ini bertujuan agar pemilik data dapat segera mengambil langkah mitigasi, seperti mengganti kata sandi, memblokir akun, atau mengantisipasi penyalahgunaan identitas. Apabila kewajiban notifikasi tersebut diabaikan, perusahaan tidak hanya menghadapi potensi sanksi administratif, tetapi juga dapat dianggap lalai dalam memenuhi prinsip akuntabilitas dan transparansi yang menjadi roh pengaturan UU PDP.

Selain itu, Pasal 57 UU Nomor 27 Tahun 2022 mengatur bahwa pelanggaran terhadap kewajiban perlindungan data pribadi dapat dikenai sanksi administratif, berupa teguran tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, hingga denda administratif sesuai ketentuan peraturan perundang-undangan. Khusus bagi perusahaan fintech, penghentian sementara pemrosesan data dapat berdampak langsung terhadap operasional bisnis karena aktivitas utama seperti verifikasi identitas, analisis kredit, pencairan pinjaman, maupun layanan pembayaran digital tidak dapat berjalan secara optimal.

Di samping sanksi administratif, UU PDP juga mengenal ketentuan pidana terhadap perbuatan tertentu yang berkaitan dengan penyalahgunaan data pribadi. Misalnya, Pasal 67 mengancam setiap orang yang dengan sengaja dan melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya untuk menguntungkan diri sendiri atau orang lain dengan pidana penjara dan/atau pidana denda. Selanjutnya, Pasal 68 mengatur ancaman pidana bagi setiap orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi yang bukan miliknya, sedangkan Pasal 69 mengatur sanksi bagi pihak yang menggunakan data pribadi secara melawan hukum. Ketentuan pidana tersebut menunjukkan bahwa perlindungan data pribadi bukan lagi sekadar isu kepatuhan (compliance), melainkan telah menjadi rezim hukum yang memberikan konsekuensi pidana terhadap penyalahgunaan data.

Dengan demikian, kepatuhan terhadap UU Perlindungan Data Pribadi seharusnya dipandang sebagai bagian dari strategi mitigasi risiko (risk management) dan tata kelola perusahaan (good corporate governance), bukan semata-mata kewajiban regulasi. Bagi pelaku usaha fintech, investasi dalam sistem keamanan informasi, penguatan kebijakan internal, pelatihan sumber daya manusia, audit kepatuhan secara berkala, serta penerapan prinsip privacy by design dan privacy by default akan jauh lebih efisien dibandingkan menanggung kerugian akibat gugatan perdata, sanksi administratif, pertanggungjawaban pidana, hilangnya kepercayaan konsumen, maupun kerusakan reputasi perusahaan yang dapat berdampak pada keberlangsungan usaha dalam jangka panjang.

Memahami ketentuan hukum digital sejak awal dapat membantu mencegah terjadinya sengketa di kemudian hari. Jika Anda membutuhkan pendampingan atau konsultasi terkait penarikan oleh lembaga pembiayaan maupun persoalan hukum lainnya, mari kunjungi dampingin.com. Platform ini menyediakan layanan konsultasi berbasis AI serta akses untuk berdiskusi langsung dengan advokat yang sangat berkompeten sehingga Anda dapat memperoleh informasi dan solusi hukum yang lebih tepat sesuai kebutuhan. 

REFERENSI

1. Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi.

2. Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan.

3. Peraturan Otoritas Jasa Keuangan Nomor 3 Tahun 2024 tentang Penyelenggaraan Inovasi Teknologi Sektor Keuangan.

4. Daniel J. Solove, Understanding Privacy.

5. Paul M. Schwartz & Daniel J. Solove, Information Privacy Law.

6. Sinta Dewi Rosadi, Cyber Law: Aspek Data Pribadi Menurut Hukum Nasional, Regional, dan Internasional.

7. ISO/IEC 27701:2019 – Privacy Information Management System (PIMS).