Ketika berbagai perusahaan dalam satu group memutuskan untuk saling berbagi data demi efisiensi operasional, dasar hukumnya tidak bisa diletakkan pada kewajiban hukum. Legitimate interest berpeluang untuk dapat dipergunakan sebagai dasarnya. Tentunya dengan catatan: harus ada uji keseimbangan, pembatasan tujuan, dan mekanisme akuntabilitas yang jelas.
Dengan demikian tidak semua aktivitas Bank bisa dianggap legal obligation atau kewajiban hukum. Ada wilayah luas yang memang menjadi ranah legitimate interest untuk memberi ruang adaptasi di era digital. Namun, ruang ini berbahaya jika dibiarkan tanpa pengaman, sehingga untuk menggunakannya Bank harus mampu lolos dari uji keseimbangan.
Ada beberapa pertanyaan yang dapat diajukan sebagai batu ujian. Pertama, adalah apakah ada tujuan bisnis yang nyata dan wajar. Kedua, apakah pemrosesan tersebut benar-benar dibutuhkan. Ketiga, apakah hak nasabah sebagai subjek data seimbang dengan kepentingan bank sebagai pengendali. Pertanyaan-pertanyaan ini harus dijawab setiap kali Bank memproses data dengan dasar legitimate interest.
Dengan tolok ukur tersebut kita bisa memetakan kemungkinan pemanfaatan legitimate interest ke dalam tiga kelompok: kepatuhan & keamanan (fraud detection, AML, intragroup sharing), manajemen risiko & kredit (credit scoring, data analytic), dan pelindungan konsumen (notifikasi real-time, komunikasi keamanan). Pemetaan yang jelas akan memperlihatkan bahwa legitimate interest bukan sekadar ruang abu-abu, tetapi kebutuhan nyata perbankan era digital.
Namun, membedakan legitimate interest dan kewajiban hukum bukan perkara semantik. Ia adalah soal tata kelola data yang sehat. Jika semua dianggap kewajiban hukum, bank menjadi kaku dan nasabah kehilangan kesempatan atas layanan perbankan yang maksimal. Semetara jika semua dianggap legitimate interest, Bank berpotensi menghadapi sanksi karena tidak memiliki dasar yang sah dalam pemrosesan data. Jalan tengahnya adalah keberanian untuk mengambil keputusan yang dapat dipertanggungjawabkan, menjalankan uji keseimbangan, dan membangun kepercayaan publik melalui keterbukaan.
Indonesia memang tidak perlu menyalin GDPR mentah-mentah. Tetapi kita bisa meniru semangatnya: menyediakan panduan praktis melalui peraturan pelaksana atau pedoman asosiasi dan regulator sektoral seperti OJK dan BI. Bank juga harus melengkapi diri dengan kebijakan internal, yang dapat berupa daftar kategori dasar pemrosesan, mekanisme uji keseimbangan, dan dokumentasi yang bisa diuji.
Akhirnya, pelindungan data pribadi di sektor perbankan bukanlah soal pemilihan dasar pemrosesan yang aman, melainkan soal membangun ekosistem yang adil bagi masa depan keuangan yang berkelanjutan. Data pribadi bukan sekadar angka, melainkan cermin kehidupan pemilik atau subjek data yang terkait dengannya.
Setiap keputusan Bank untuk memproses data adalah keputusan etis, bukan hanya administratif. Legitimate interest memberi ruang untuk berinovasi, tetapi hanya akan bermanfaat bagi kita semua jika dijalankan dengan transparansi dan tanggung jawab sepenuh hati.
*) Yosea Iskandar, Praktisi Hukum Perbankan
Artikel Kolom ini adalah tulisan pribadi Penulis, isinya tidak mewakili pandangan Redaksi Hukumonline.
