Kepatuhan PP 33/2026 bagi Fintech dan Pinjol: Prinsip Umum Pengelolaan Data Nasabah

Mengapa sektor ini disorot

Fintech dan pinjol menyimpan identitas, kontak, riwayat transaksi, dan kadang lokasi pengguna. Data semacam itu menarik bagi penipu. Kebocoran dapat berujung pada penipuan, teror penagihan, dan kerugian finansial langsung.

Di situs ini sudah ada artikel tentang data kontak yang disebar pinjol. Artikel ini fokus pada bagaimana PP 33/2026 menurut ulasan dapat diterapkan secara umum.

Karena itu, sektor ini kemungkinan menjadi salah satu yang paling diperhatikan pengawas ketika aturan mulai berlaku, walau hal itu hanyalah dugaan redaksi.

Skala data yang besar membuat satu kelemahan kecil, misalnya basis data tanpa kata sandi, dapat berdampak pada ribuan atau jutaan orang sekaligus. Faktor jumlah korban termasuk yang disebut dalam pertimbangan denda menurut ulasan.

Data yang diproses dan dasar pemrosesan

Data seperti nama, nomor identitas, foto selfie, riwayat pinjaman, dan data keuangan perlu dasar pemrosesan yang sah, misalnya persetujuan atau perjanjian. Pengguna sebaiknya diberi tahu tujuan pemakaiannya dengan bahasa jelas.

Meminta akses ke seluruh daftar kontak ponsel adalah praktik yang patut dipertanyakan karena data pihak ketiga ikut terambil. Ini penilaian redaksi berdasarkan prinsip minimalisasi data, bukan isi pasal PP.

Di sisi lain, nasabah juga perlu waspada terhadap aplikasi yang meminta izin berlebihan sebelum mengunduh.

Prinsip yang berguna bagi tim produk adalah bertanya sebelum menambah kolom isian: apakah data ini benar-benar dibutuhkan untuk layanan? Jika jawabannya hanya mungkin berguna nanti, sebaiknya tidak dikumpulkan.

Persetujuan juga perlu dibedakan dari syarat layanan. Menyatukan semua persetujuan dalam satu tombol setuju membuat persetujuan sulit dianggap bermakna.

• Data identitas
• Data kontak dan perangkat
• Riwayat transaksi
• Data penilaian kredit
• Rekaman wajah atau suara

DPIA untuk pemrosesan berisiko tinggi

Menurut ulasan, DPIA wajib dilakukan sebelum pemrosesan berisiko tinggi, dengan contoh pemrosesan memakai kecerdasan buatan, pembelajaran mesin, dan IoT. Penilaian kelayakan kredit otomatis kemungkinan mendekati kategori itu.

Pedoman DPIA menurut ulasan akan diatur peraturan Lembaga. Sebelum pedoman terbit, usaha dapat memakai kerangka sederhana: tujuan, data, risiko, dan langkah mitigasi.

Hasil DPIA sebaiknya disimpan dan diperbarui ketika model, sumber data, atau mitra berubah. Dokumen yang hidup lebih berguna daripada dokumen sekali jadi.

Pihak ketiga dan prosesor

Fintech biasanya bekerja sama dengan penyedia verifikasi identitas, penagihan, analitik, dan cloud. Pihak ini dapat berstatus prosesor, sehingga kontrak pemrosesan, pembatasan tujuan, dan audit perlu jelas.

Pengendali tetap perlu memastikan prosesor menjaga keamanan data. Kelalaian mitra bisa berdampak pada nama baik dan tanggung jawab pengendali.

Pastikan kontrak dengan mitra menyebut jangka waktu penyimpanan dan kewajiban mengembalikan atau menghapus data saat kerja sama berakhir.

Audit mitra secara berkala juga baik, misalnya meminta laporan keamanan atau sertifikasi yang relevan. Kami tidak menemukan kewajiban audit semacam itu dalam sumber, sehingga ini saran praktik.

Kebocoran dan transfer lintas negara

Menurut ulasan, pemberitahuan kebocoran tertulis paling lambat 3x24 jam, dan diumumkan publik bila berdampak serius. Platform finansial perlu rencana tanggap insiden yang telah diuji.

Transfer data ke server luar negeri punya jenjang syarat menurut ulasan, dari negara dengan perlindungan setara, safeguard mengikat, sampai persetujuan subjek data.

Pengguna juga perlu diberi saluran yang mudah untuk melaporkan dugaan penyalahgunaan data, karena laporan awal sering datang dari mereka.

Sanksi dan pengawas

Ulasan menyebut sanksi administratif berupa peringatan, penghentian sementara, penghapusan data, dan denda maksimal 2 persen pendapatan tahunan. Pengumuman sanksi di media resmi Lembaga dapat memukul kepercayaan nasabah.

Perlu dicatat bahwa pengawasan sektor jasa keuangan oleh otoritas lain tetap berjalan sendiri. Hubungan dengan lembaga pengawas PDP belum dijelaskan sumber kami.

Jangan lupa bahwa pelanggaran juga dapat membuka gugatan perdata dari nasabah yang dirugikan.

Sebelum ada kejelasan lembaga pengawas, sangat mungkin pelaku usaha akan menghadapi lebih dari satu otoritas dengan fokus berbeda. Koordinasi internal antara tim hukum, kepatuhan, dan teknologi menjadi penting.

Langkah praktis

Petakan data dan alirannya, tentukan penanggung jawab, perbarui kebijakan privasi dan persetujuan, tinjau kontrak mitra, dan latih karyawan layanan serta penagihan.

Uji rencana tanggap insiden sekali setahun. Latihan sederhana membuka celah yang tidak terlihat di atas kertas.

Lakukan juga pemeriksaan data lama. Data pengguna yang sudah tidak aktif bertahun-tahun adalah risiko yang tidak perlu.

Contoh kasus

Contoh: Sebuah aplikasi pinjaman daring fiktif meminta akses seluruh kontak ponsel dan memakai mitra penagihan pihak ketiga. Setelah diperiksa internal, aplikasi menyadari kontak tidak diperlukan, menghentikan permintaan itu, menambahkan kontrak pemrosesan dengan mitra, dan menulis DPIA untuk model penilaian kredit otomatis. Langkah ini menunjukkan penerapan prinsip minimalisasi dan akuntabilitas. Kasus ini hanya ilustrasi. Aplikasi tersebut juga menyiapkan formulir sederhana bagi pengguna yang ingin mengakses atau menghapus datanya.

Hal yang sering keliru

• Mengira izin otoritas keuangan otomatis memenuhi PP 33/2026.
• Mengira mitra penagihan sepenuhnya bertanggung jawab atas data.
• Mengumpulkan akses kontak ponsel tanpa kebutuhan jelas.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)

Dalam kategori yang sama

• HRD dan Data Karyawan: Menyiapkan Kepatuhan PP 33/2026 dari Rekrutmen sampai Berhenti Bekerja
• Kepatuhan PP 33/2026 bagi Rumah Sakit dan Klinik: Menjaga Data Pasien dan Data Kesehatan
• Kepatuhan PP 33/2026 bagi Sekolah dan Kampus: Data Siswa dan Mahasiswa Mulai 2027

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.