Harmonisasi Regulasi Keamanan Data Pribadi di Sektor Keuangan Indonesia: Analisis Yuridis antara UU PDP, UU ITE, dan Regulasi Sektoral OJK/BI

Latar Belakang

Transformasi digital di sektor keuangan Indonesia berkembang sangat pesat, ditandai dengan masifnya adopsi layanan perbankan digital, dompet elektronik (e-wallet), dan financial technology (fintech). Namun, kemajuan ini berbanding lurus dengan tingginya risiko ancaman siber dan insiden kebocoran data nasabah. Data keuangan bersifat sangat sensitif dan memiliki nilai jual tinggi di pasar gelap, sehingga menjadi target utama para pelaku kejahatan siber.

Pemerintah telah menerbitkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) sebagai payung hukum utama (lex generalis) yang mengatur hak subjek data dan kewajiban pengendali data. Namun, sebelum UU PDP lahir, sektor keuangan telah diatur secara ketat oleh hukum siber melalui UU ITE (beserta perubahannya) serta berbagai regulasi sektoral dari Otoritas Jasa Keuangan (OJK) dan Bank Indonesia (BI) yang berfungsi sebagai lex specialis.

Hingga saat ini, lembaga pengawas kepatuhan UU PDP (Otoritas Pelindungan Data Pribadi/OPDP) masih dalam tahap transisi dan penguatan kelembagaan. Di sisi lain, OJK dan BI sudah memiliki mekanisme pengawasan tersendiri. Kondisi ini berpotensi menimbulkan tumpang tindih kewenangan (overlapping jurisdiction), dualisme standar kepatuhan bagi pelaku industri, serta ketidakpastian hukum dalam penegakan sanksi jika terjadi kebocoran data. Oleh karena itu, riset ini krusial untuk memetakan urgensi sinkronisasi regulasi demi menciptakan kepastian hukum yang kokoh dan melindungi kepentingan nasabah.

Rumusan Masalah

Berdasarkan latar belakang di atas, rumusan masalah dalam riset ini adalah:
1. Bagaimana bentuk tumpang tindih (overlapping) regulasi dan kewenangan kelembagaan antara UU PDP, UU ITE, dan aturan sektoral OJK/BI terkait keamanan data nasabah?
2. Bagaimana urgensi dan strategi model sinkronisasi yang ideal untuk meminimalkan friksi regulasi bagi pelaku industri jasa keuangan di Indonesia?

Tujuan

1. Memetakan secara komprehensif titik-titik konflik norma dan tumpang tindih kewenangan antar-regulasi keamanan data di sektor keuangan.
2. Merumuskan strategi harmonisasi dan model sinkronisasi kebijakan yang aplikatif untuk menciptakan kepastian hukum bagi pelaku industri.
3. Memberikan rekomendasi kepada regulator terkait mekanisme koordinasi, standar kepatuhan, dan pembagian sanksi.

Batasan Masalah

Riset ini dibatasi pada:
1. Analisis difokuskan pada tiga rezim hukum utama: UU PDP, UU ITE, dan regulasi sektoral OJK/BI yang berlaku hingga tahun 2026.
2. Subjek penelitian adalah pelaku industri jasa keuangan (perbankan dan fintech) serta regulator terkait.
3. Riset tidak membahas aspek teknis enkripsi secara mendalam, melainkan fokus pada aspek yuridis dan kebijakan.

Tinjauan Pustaka

Kajian mengenai harmonisasi hukum perlindungan data pribadi di Indonesia masih tergolong baru, terutama pasca diundangkannya UU PDP. Kusumawardani (2023) dalam penelitiannya yang berjudul "Harmonization of Data Protection Laws in Indonesia's Financial Sector Post-UU PDP Enforcement" menyoroti irisan wewenang antara OJK sebagai pengawas industri dan lembaga baru pengawas PDP. Penelitian tersebut menekankan perlunya sinkronisasi agar tidak terjadi beban kepatuhan ganda.

Selain itu, beberapa policy paper dari lembaga riset independen menyoroti bahwa UU ITE masih menjadi basis utama penegakan hukum pidana siber, sementara UU PDP lebih berfokus pada aspek administratif dan hak subjek data. Di sisi sektoral, POJK 11/2022 dan PBI 23/2021 telah mengatur secara spesifik arsitektur keamanan siber dan perlindungan konsumen, namun belum terharmonisasi secara penuh dengan ketentuan UU PDP.

Riset ini melengkapi kajian-kajian tersebut dengan menyajikan analisis komprehensif yang menghubungkan ketiga rezim hukum tersebut, serta menawarkan model sinkronisasi yang aplikatif bagi industri keuangan Indonesia.

Metodologi

Riset ini menggunakan metode yuridis-empiris (sosio-legal) dengan fokus pada analisis kebijakan hukum. Data primer dikumpulkan melalui:
1. Wawancara Mendalam (In-depth Interview): Dilakukan dengan perwakilan regulator (Kemenkominfo/OPDP, OJK, Bank Indonesia), ahli hukum siber, serta Asosiasi Fintech/Perbankan.
2. FGD (Focus Group Discussion): Bersama Compliance Officer atau Chief Information Security Officer (CISO) dari sektor jasa keuangan untuk menangkap kendala implementasi di lapangan.

Data sekunder dikumpulkan dari peraturan perundang-undangan (UU PDP, UU ITE, POJK, PBI), jurnal hukum, dan policy paper terkait.

Teknik Analisis

Data dianalisis menggunakan teknik Analisis Yuridis-Normatif dan Analisis Tematik. Peneliti memetakan norma-norma yang saling bertentangan (konflik norma), mengidentifikasi tumpang tindih kewenangan, lalu merumuskan model harmonisasi berdasarkan prinsip lex specialis derogat legi generali dan asas kepastian hukum.

Hasil

Berdasarkan analisis data, diperoleh temuan sebagai berikut:

A. Konflik Norma dan Overlapping Regulasi
1. Definisi Pelanggaran: UU ITE fokus pada gangguan sistem elektronik (akses ilegal), UU PDP fokus pada kegagalan pelindungan data personal, sementara OJK/BI menekankan pada keandalan sistem dan perlindungan konsumen keuangan.
2. Dualisme Pelaporan Insiden: Jika terjadi kebocoran data, pelaku usaha diwajibkan melapor ke OPDP (maksimal 3x24 jam berdasarkan UU PDP), tetapi juga harus melapor secara paralel ke OJK/BI berdasarkan aturan ketahanan siber sektoral.
3. Dualisme Sanksi: Terdapat potensi double jeopardy (dihukum dua kali) bagi pelaku industri jika satu pelanggaran yang sama dikenai sanksi oleh OPDP dan juga oleh OJK/BI.

B. Urgensi Sinkronisasi Kelembagaan
Tanpa batas koordinasi yang jelas, pelaku industri menghadapi beban kepatuhan ganda (double compliance). Sinkronisasi mendesak untuk:
1. Menyelaraskan standar enkripsi dan audit keamanan teknologi informasi.
2. Menyusun mekanisme satu pintu untuk pelaporan insiden kegagalan data di sektor keuangan.
3. Menegaskan pembagian sanksi administratif agar tidak terjadi double jeopardy.

C. Matriks Harmonisasi Regulasi
- UU PDP (UU 27/2022): Fokus hak asasi individu, pengawas OPDP, sanksi denda hingga 2% pendapatan tahunan.
- UU ITE (UU 1/2024): Fokus keamanan sistem elektronik & pidana siber, pengawas Kemenkominfo & Polri, sanksi pidana penjara.
- POJK 11/2022: Fokus keandalan sistem perbankan, pengawas OJK, sanksi administratif & pencabutan izin.
- PBI 23/2021: Fokus keamanan ekosistem pembayaran digital, pengawas BI, sanksi teguran hingga penghentian operasional.

Pembahasan

Temuan di atas menunjukkan bahwa tumpang tindih regulasi bukan sekadar masalah teknis, melainkan ancaman serius bagi iklim investasi dan stabilitas industri keuangan. Ketika pelaku usaha dihadapkan pada tiga rezim pengawasan yang berbeda dengan standar dan tenggat waktu pelaporan yang tidak seragam, mereka cenderung mengalokasikan sumber daya secara berlebihan untuk kepatuhan administratif, bukan untuk peningkatan keamanan siber yang substantif.

Dari perspektif hukum, prinsip lex specialis derogat legi generali seharusnya dapat menyelesaikan konflik ini, di mana aturan sektoral OJK/BI berlaku lebih spesifik untuk industri keuangan. Namun, karena UU PDP adalah undang-undang baru yang memiliki otoritas pengawas tersendiri (OPDP), penerapan prinsip ini menjadi kabur. Diperlukan penegasan melalui Peraturan Pemerintah atau Nota Kesepahaman antar-lembaga.

Selain itu, dualisme pelaporan insiden perlu segera diatasi dengan mekanisme satu pintu (one-stop reporting). Misalnya, pelaporan ke OJK/BI secara otomatis diteruskan ke OPDP, atau sebaliknya. Ini tidak hanya meringankan beban industri, tetapi juga mempercepat respons terhadap insiden kebocoran data.

Kesimpulan

Harmonisasi regulasi keamanan data pribadi di sektor keuangan Indonesia bukanlah pilihan, melainkan keniscayaan. Tumpang tindih antara UU PDP, UU ITE, dan regulasi sektoral OJK/BI menciptakan ketidakpastian hukum yang merugikan semua pihak: industri, regulator, dan yang paling penting, nasabah sebagai pemilik data. Diperlukan sinergi lintas kelembagaan, penegasan pembagian kewenangan, dan penyelarasan standar kepatuhan agar perlindungan data pribadi di sektor keuangan benar-benar efektif dan tidak sekadar menjadi formalitas administratif. Dengan begitu, transformasi digital keuangan Indonesia dapat berjalan dengan aman, terpercaya, dan berkelanjutan.

Rekomendasi

1. Bagi Pemerintah: Segera terbitkan Peraturan Pemerintah turunan UU PDP yang secara eksplisit mengatur koordinasi dengan regulator sektoral (OJK/BI) dan menegaskan pembagian kewenangan.
2. Bagi OJK dan BI: Bentuk mekanisme pelaporan insiden satu pintu bersama OPDP, serta selaraskan standar audit keamanan siber.
3. Bagi Pelaku Industri: Tingkatkan kapasitas internal (CISO dan Compliance Officer) untuk memahami dan mengimplementasikan ketiga rezim hukum secara terintegrasi.
4. Bagi Peneliti Selanjutnya: Lakukan riset komparatif dengan negara lain (seperti Singapura atau Uni Eropa) untuk melihat praktik terbaik harmonisasi regulasi keuangan dan data pribadi.

Keterbatasan Riset

Riset ini memiliki keterbatasan karena belum seluruhnya melakukan wawancara mendalam dengan semua pemangku kepentingan. Sebagian analisis didasarkan pada kajian normatif dan literatur yang tersedia. Selain itu, dinamika regulasi yang cepat berpotensi mengubah beberapa ketentuan yang dianalisis dalam riset ini.

Daftar Pustaka

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
2. Undang-Undang Nomor 1 Tahun 2024 tentang Perubahan Kedua atas UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE).
3. Peraturan Otoritas Jasa Keuangan (POJK) Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum.
4. Peraturan Bank Indonesia (PBI) Nomor 23/6/PBI/2021 tentang Penyedia Jasa Pembayaran (PJP).
5. Kusumawardani, Q. (2023). Harmonization of Data Protection Laws in Indonesia's Financial Sector Post-UU PDP Enforcement. Indonesian Journal of International Law.

← Kembali ke daftar riset