Di tengah pesatnya peningkatan kesadaran akan pentingnya pelindungan data pribadi yang komprehensif di Indonesia, sektor perbankan tengah berada di persimpangan penafsiran norma yang tidak sederhana. Hal tersebut mengemuka dalam berbagai diskusi, baik dalam ruang internal kantor bank masing-masing maupun pertemuan di antara pelaku pelindungan data pribadi di sektor ini.
Persimpangan ini terkait adanya perbedaan pemahaman mengenai dasar pemrosesan yang diatur dalam undang-undang dengan yang diatur dalam aturan sektoral perbankan. Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) sendiri telah membangun dasar pemrosesan yang majemuk sebagai fondasi legitimasi yang kontekstual. Dasar tersebut adalah persetujuan, pelaksanaan kontrak, kewajiban hukum, kepentingan vital, tugas publik, dan kepentingan yang sah. Sementara itu regulasi sektoral dalam POJK No.11 Tahun 2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum (POJK 11/2022) dan pengaturan teknisnya dalam PADK 1 Tahun 2026 (PADK 1/2026), persetujuan tampil, atau dapat seolah-olah ditafsirkan, sebagai satu-satunya basis legitimasi pemrosesan.
Ketegangan yang ada bukan sekadar persoalan perbedaan redaksional, melainkan sebuah reduksi ontologis yang membawa risiko terhadap kegiatan operasional bank. Jika tidak dipahami dengan baik hal tersebut dapat menggeser cara kita melihat legitimasi pemrosesan data: dari konstruksi yang majemuk dan kontekstual menjadi fondasi tunggal yang bersifat administratif. Tulisan ini tidak dimaksudkan untuk mempertentangkan norma, tetapi untuk menelaah ulang arsitektur kepatuhan data di sektor perbankan yang seharusnya.
Persetujuan dalam Habitat Normatifnya
Dalam POJK 11/2022, kewajiban memperoleh persetujuan muncul dalam konteks yang masih dapat dipahami secara sistematis, terutama ketika bank memberikan data nasabah kepada pihak ketiga. Pasal 45 POJK ini menyatakan bawah pertukaran data pribadi dilakukan dengan memperhatikan persetujuan nasabah dan/atau calon nasabah yang dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan. Di sini, persetujuan berfungsi sebagai instrumen legitimasi tambahan yang memperkuat prinsip kerahasiaan bank sebagaimana diatur dalam Undang-Undang Perbankan dan POJK 44 Tahun 2024 tentang Rahasia Bank (POJK 44/2024).
Pasal 2 ayat (1) POJK 44/2024 mewajibkan Bank dan Pihak Terafiliasi merahasiakan informasi mengenai Nasabah Penyimpan dan Simpanannya dan/atau Nasabah Investor dan Investasinya. Sementara itu, Pasal 3.d POJK 44/2024 menyatakan bahwa kewajiban merahasiakan informasi mengenai Nasabah Penyimpan dan Simpanannya dan/atau Nasabah Investor dan Investasinya tidak berlaku untuk permintaan, persetujuan, atau kuasa dari Nasabah Penyimpan dan/atau Nasabah Investor yang dibuat secara tertulis.
Oleh karenanya selain meningkatkan kontrol nasabah atas diseminasi datanya, instrumen ini memitigasi risiko hukum dan reputasi dalam industri yang bertumpu pada kepercayaan. Dalam konstruksi ini, persetujuan tidak menggantikan dasar pemrosesan lain yang secara inheren telah melekat pada aktivitas perbankan. Relasi kontraktual antara bank dan nasabah, kewajiban hukum dan pelaporan kepada regulator, serta penerapan prinsip kehati-hatian tetap merupakan legitimasi yang berdiri sendiri secara hukum. Persetujuan berada dalam habitat normatif yang tepat: bukan sebagai fondasi, tetapi sebagai instrumen.
Ketika Instrumen Berubah Menjadi Prasyarat Umum
Berbeda halnya dengan PADK 1/2026 yang merupakan aturan pelaksanaan dari POJK 11/2022. Formulasi dalam PADK 1/2026 yang mensyaratkan persetujuan eksplisit sebelum pemrosesan data pribadi dilakukan menciptakan pergeseran yang lebih bersifat struktural daripada teknis. Bab VII.B.1 dari pedoman penyelenggaraan dalam PADK 1/2026 menyatakan bahwa sebelum pemrosesan data pribadi nasabah dilaksanakan Bank harus terlebih dahulu memperoleh persetujuan nasabah dan atau calon nasabah. Hal ini membuat persetujuan tidak lagi menjadi salah satu dasar pemrosesan yang hanya relevan dalam situasi tertentu, tetapi menjadi pintu masuk bagi seluruh aktivitas pemrosesan. Di titik inilah terjadi reduksi terhadap konstruksi dasar pemrosesan yang sah yang telah dirancang secara sadar oleh UU PDP.
