Saya mau bertanya apakah bolehmerchantmencatat nomor kartu debit/kredit konsumen? Praktik ini lazim dilakukan sebagianmerchantjika konsumen membayar dengan kartu debit/kredit, terlebih yang saya tahu nomor kartu debit/kredit adalah data pribadi spesifik jika mengacu kepadaUU Pelindungan Data Pribadi, sertamerchanttidak menjelaskan keperluan dari pencatatan nomor kartu debit/kredit konsumen, data tersebut akan disimpan berapa lama, dan langkah untuk mengamankan data tersebut serta apa yang akan dilakukan jika data tersebut bocor.
Daftar Isi
INTISARI JAWABAN
ULASAN LENGKAP
Terima kasih atas pertanyaan Anda.
Artikel dibawah ini adalah pemutakhiran dari artikel dengan judul sama yang pertama kali dipublikasikan pada 16Juli 2025.
Menurut UU PDP, data berupa nomor kartu kredit/debit dikategorikan sebagai data pribadi yang bersifat spesifik dengan jenis data keuangan pribadi, yang termasuk namun tidak terbatas kepada data jumlah simpanan pada bank termasuk tabungan, deposito, dan kartu kredit.[1]
Kemudian, khusus untuk data nomor kartu debit milik nasabah merupakan rahasia bank karena merupakan keterangan mengenai nasabah penyimpan dan simpanannya. Sebagaimana diatur dalam Pasal 2 ayat (1) POJK 44/2024. Perlu diingat, walaupun data nomor kartu kredit bukan merupakan rahasia bank. Tapi, bank tetap harus menjaga kerahasiaannya sesuai dengan UU PDP dan peraturan pelaksananya PP 33/2026, serta POJK 22/2023 tentang pelindungan konsumen dan masyarakat di sektor jasa keuangan.[2]
Belajar Hukum Secara Online dari Pengajar Berkompeten Dengan Biaya Terjangkau
Mulai DariRp. 149.000
Namun, ketentuan tersebut dikecualikan untuk beberapa hal antara lain untuk kepentingan peradilan dalam perkara perdata antara bank dan nasabah, nasabah dan nasabah, dan terkait dengan nasabah, kepentingan peradilan dalam perkara pidana, tukar menukar informasi antar-bank dan lain sebagaimana yang diatur dalam Pasal 3 POJK 44/2024.
Mengingat nomor kartu kredit/debit termasuk data pribadi, maka berlaku asas kerahasiaan, yaitu bahwa data pribadi terlindungi dari pihak yang tidak berhak dan/atau dari kegiatan pemrosesan data pribadi yang tidak sah.[3] Maka dari itu, dalam melakukan pemrosesan data pribadi, pengendali data pribadi wajib menjaga kerahasiaan data pribadi.[4]
Dengan demikian, nomor kartu kredit/debit adalah termasuk data pribadi yang bersifat spesifik, sehingga dalam pemrosesannya wajib mengikuti ketentuan peraturan perundang-undangan yang berlaku dan wajib untuk dijaga kerahasiaannya.
Bolehkah Merchant Mencatat Nomor Kartu Debit/Kredit Konsumen?
Menjawab pertanyaan Anda, merchant pada dasarnya tidak diperbolehkan untuk mencatat nomor kartu kredit/debit dari konsumen tanpa dasar pemrosesan data pribadi yang sah.
Merchant wajib untuk dapat menjelaskan kepada pemilik kartu mengenai tujuan pencatatan nomor kartu debit/kartu kredit. Hal ini merupakan prinsip dari pemrosesan data pribadi yaitu dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, termasuk kegagalan pelindungan data pribadi.[5]
Lebih lanjut, merchant selaku pengendali data pribadi dalam melakukan pemrosesan wajib memenuhi dasar pemrosesan data pribadi yang didapatkan sebelum pengendali data pribadi melakukan pemrosesan data pribadi.[6] Adapun dasar-dasar pemrosesan data pribadi, meliputi:[7]
persetujuan yang sah secara eksplisit dari subjek data pribadi;
pemenuhan kewajiban perjanjian;
pemenuhan kewajiban hukum dari pengendali data pribadi;
pemenuhan pelindungan kepentingan vital subjek data pribadi;
pelaksanaan tugas dalam rangka kepentingan umum, pelayanan publik, atau pelaksanaan kewenangan pengendali data pribadi; dan/atau
pemenuhan kepentingan yang sah lainnya.
Apabila pemrosesan dilakukan berdasarkan persetujuan secara eksplisit dari pemilik kartu debit/kredit selaku subjek data pribadi, persetujuan tersebut harus diberikan secara bebas, sadar, spesifik, dan tidak ambigu.[8] Selain itu merchant harus menyampaikan informasi mengenai:[9]
legalitas dari pemrosesan data pribadi;
tujuan dari pemrosesan data pribadi;
jenis dan relevansi data pribadi yang akan diproses;
jangka waktu retensi dokumen yang memuat data pribadi;
rincian mengenai informasi yang dikumpulkan;
jangka waktu pemrosesan data pribadi; dan
hak subjek data pribadi.
Dalam hal ini, Anda sebagai subjek data pribadi berhak untuk:
Mendapatkan informasi terkait dengan kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, serta akuntabilitas pihak yang meminta data pribadi;[10]
Menarik kembali persetujuan pemrosesan data pribadi yang telah diberikan.[11]
Kemudian, dalam melakukan pencatatan nomor kartu kredit/debit, merchant juga wajib melindungi keamanan data pribadi dari pengaksesan, pengungkapan dan pengubahan yang tidak sah, penyalahgunaan, perusakan dan/atau penghilangan data pribadi.[12]
Pada tahap pencegahan, pengendali data pribadi wajib mencegah data pribadi diakses secara tidak sah yang dilakukan dengan menggunakan sistem keamanan terhadap data pribadi yang diproses dan/atau memproses data pribadi menggunakan sistem elektronik secara andal, aman, dan bertanggung jawab.[13]
Apabila pencatatan nomor kartu kredit/debit dilakukan tidak menggunakan sistem keamanan yang baik, berisiko terjadi kebocoran data yang dapat menimbulkan kerugian finansial yang besar. Risiko yang terjadi atas kebocoran data bisa berbentuk penyalahgunaan data pribadi, penipuan dan phishing, penggunaan data tanpa izin (unauthorized use), eksploitasi data, hingga serangan siber (cyberattacks).[14]
Jika terjadi kebocoran data pribadi, merchant wajib menyampaikan pemberitahuan secara tertulis kepada subjek data pribadi dan lembaga paling lambat 3 x 24 jam sejak kebocoran tersebut diketahui secara pasti, patut, dan wajar.[15] Pemberitahuan paling sedikit memuat data pribadi yang terungkap, kapan dan bagaimana data pribadi terungkap, dan upaya penanganan dan pemulihan bocornya data pribadi oleh pengendali data pribadi.[16]
Kemudian, berdasarkan keterangan Anda, merchant juga tidak memberitahukan mengenai jangka waktu penyimpanan. Hal ini melanggar Pasal 62 ayat (1) huruf d dan (4) PP 33/2026 dimana merchant wajib menyampaikan informasi mengenai masa retensi kepada anda bahkan sebelum pemrosesan data pribadi dilakukan.
Sanksi Merchant yang Mencatat Nomor Kartu Debit/Kredit Secara Tidak Sah
Apabila merchant tidak dapat memberikan penjelasan terkait dengan dasar dari pencatatan nomor kartu kredit/debit serta syarat-syarat yang kami sebutkan di atas, maka patut diduga pemrosesan yang dilakukan oleh merchant dilakukan secara tidak sah dan tidak sesuai dengan tujuan pemrosesan data pribadi.
Atas pelanggaran pemrosesan data pribadi tersebut, subjek data pribadi atau pemilik kartu kredit/debit berhak menggugat dan menerima ganti rugi.[17]
Selain itu, pemrosesan data pribadi yang tidak sah berpotensi untuk dijatuhi sanksi sebagai berikut:
Sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran;[18]
Sanksi pidana jika memenuhi unsur Pasal 67 UU PDP jo. Pasal II ayat (5) huruf d UU 1/2026 sebagai berikut:[19]
Pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta,[20] apabila pengumpulan data pribadi dilakukan secara sengaja dan melawan hukum dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi;
Pidana penjara paling lama 4 tahun dan/atau pidana denda paling kategori IV, yaitu sebesar Rp200 juta,[21] apabila terdapat pengungkapan data pribadi yang bukan miliknya secara sengaja dan melawan hukum;
Pidana penjara paling lama 5 tahun dan/atau pidana denda paling banyak kategori IV, yaitu sebesar Rp200 juta,[22] apabila terdapat penggunaan data pribadi yang bukan miliknya secara sengaja dan melawan hukum.
[14] Naufal Akbar, et,al. Perlindungan Hukum Terhadap Data Diri Konsumen dalam Transaksi Digital. Indonesian Journal of Law, Vol. 2 No. 1, 2025, hal. 16 – 17
