Ketentuan tersebut kemudian diperkuat dalam berbagai regulasi sektoral, salah satunya Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan. Dalam regulasi ini, pelaku usaha jasa keuangan diwajibkan menjaga kerahasiaan dan keamanan data konsumen serta hanya dapat memproses data berdasarkan persetujuan atau kewajiban hukum.
Lebih lanjut, POJK 22/2023 juga melarang penggunaan data konsumen di luar tujuan awal, termasuk terhadap data calon konsumen yang ditolak atau konsumen yang telah mengakhiri hubungan kontraktual. Ketentuan ini mencerminkan prinsip purpose limitation dan pembatasan retensi dalam rezim pelindungan data pribadi.
Selain itu, dalam Peraturan OJK Nomor 3 Tahun 2024 tentang Penyelenggaraan Inovasi Teknologi Sektor Keuangan, ditegaskan bahwa penyelenggara wajib menjaga keutuhan, kerahasiaan, dan ketersediaan data sejak diperoleh hingga dimusnahkan. Kewajiban tersebut juga mencakup tanggung jawab terhadap pihak ketiga yang mengelola data.
Pengaturan serupa terdapat dalam POJK Nomor 46 Tahun 2024 tentang Pengembangan dan Penguatan Perusahaan Pembiayaan, Perusahaan Pembiayaan Infrastruktur, dan Perusahaan Modal Ventura, yang mewajibkan perusahaan pembiayaan memperoleh persetujuan pemilik data dalam setiap pemrosesan serta memberikan hak kepada subjek data untuk mengakses, memperbaiki, hingga menghapus data pribadi.
Meski demikian, Rizal menegaskan bahwa pelindungan data pribadi tidak bersifat mutlak. Dia merujuk pada Pasal 50 UU PDP yang membuka ruang pengecualian terhadap kewajiban pelindungan data dalam kondisi tertentu.
“Pelindungan data pribadi itu tidak mutlak. Sepanjang ada kepentingan pengawasan di sektor jasa keuangan, penegakan hukum, atau kepentingan negara, itu bisa dilakukan sesuai ketentuan,” ujarnya.
Ketentuan tersebut, kata dia, memungkinkan otoritas untuk mengakses data dalam rangka penegakan hukum maupun pengawasan sektor keuangan tanpa harus selalu bergantung pada persetujuan subjek data. Namun demikian, pelaksanaannya tetap harus berdasarkan ketentuan peraturan perundang-undangan.
