LEXmedia. Kasus kebocoran data nasabah bank kian marak terjadi seiring digitalisasi layanan perbankan di Indonesia. Nasabah kerap tidak menyadari bahwa data pribadinya, mulai dari nomor identitas hingga riwayat transaksi, tersimpan dalam sistem elektronik yang rentan terhadap serangan siber. Oleh karena itu, memahami perlindungan hukum kebocoran data nasabah bank menjadi kebutuhan mendesak, baik bagi nasabah maupun bagi bank selaku pengendali data pribadi.
Artikel ini menyajikan panduan hukum mengenai kerangka regulasi yang berlaku, kewajiban bank, hak nasabah, serta langkah kepatuhan yang perlu diterapkan pelaku usaha jasa keuangan.
Mengapa Kebocoran Data Nasabah Bank Berisiko Tinggi?
Data pribadi nasabah bank tergolong sensitif karena mencakup identitas, kondisi keuangan, dan pola transaksi. Selain itu, data tersebut sering menjadi target peretasan karena bernilai ekonomis tinggi di pasar gelap. Akibatnya, kebocoran data nasabah bank dapat memicu penipuan, pencurian identitas, hingga kerugian finansial langsung bagi korban.
Di sisi lain, bank yang gagal melindungi data nasabahnya berpotensi kehilangan kepercayaan publik. Reputasi yang runtuh jauh lebih sulit dipulihkan dibandingkan kerugian materiil semata. Karena itu, aspek hukum kebocoran data nasabah bank tidak dapat dipandang sebelah mata oleh manajemen perbankan.
Dasar Hukum Perlindungan Data Nasabah Bank
Kerangka hukum perlindungan hukum kebocoran data nasabah bank tersebar dalam beberapa peraturan perundang-undangan. Berikut uraiannya secara ringkas dan sistematis.
UU No. 10 Tahun 1998 tentang Perbankan
Undang-Undang Perbankan mengatur prinsip kerahasiaan bank atau bank secrecy. Bank wajib merahasiakan data nasabah penyimpan dan simpanannya, kecuali dalam kondisi tertentu yang diatur secara limitatif. Ketentuan ini menjadi fondasi awal kewajiban bank menjaga informasi nasabah sebelum era digital berkembang pesat.
Namun demikian, prinsip kerahasiaan bank saja belum cukup menjawab tantangan kebocoran data di era teknologi informasi. Oleh sebab itu, regulasi yang lebih spesifik mengenai data pribadi dan sistem elektronik menjadi pelengkap penting.
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
Undang-Undang Pelindungan Data Pribadi merupakan payung hukum utama yang mengatur kewajiban pengendali data pribadi, termasuk bank, dalam memproses data nasabah. Bank sebagai pengendali data wajib menerapkan langkah teknis dan organisatoris yang memadai untuk mencegah kebocoran. Apabila terjadi insiden kebocoran, pengendali data pribadi wajib melaporkannya secara tertulis kepada otoritas pengawas dan subjek data dalam waktu maksimal 3×24 jam.
Selain itu, UU PDP mengenal sanksi administratif berjenjang, mulai dari peringatan tertulis hingga denda administratif. Bahkan, pelanggaran tertentu dapat berujung pada ketentuan pidana. Dengan demikian, UU PDP memperkuat posisi hukum nasabah selaku subjek data pribadi.
UU No. 1 Tahun 2024 tentang Perubahan Kedua UU ITE
Undang-Undang Informasi dan Transaksi Elektronik hasil perubahan kedua ini turut memperkuat kerangka hukum kebocoran data nasabah bank melalui penguatan pengawasan terhadap penyelenggara sistem elektronik. Selain mengatur identitas digital dan perlindungan anak di ruang siber, aturan ini menegaskan peran pemerintah dalam mengawasi pelindungan data pribadi pada layanan elektronik, termasuk layanan perbankan digital.
Sebagai hasilnya, bank selaku penyelenggara sistem elektronik dituntut memastikan keandalan sistem keamanan informasinya. Kegagalan menjaga sistem elektronik dapat menimbulkan konsekuensi hukum tersendiri di luar rezim UU PDP.
POJK No. 11/POJK.03/2022
Peraturan Otoritas Jasa Keuangan ini secara khusus mengatur penyelenggaraan teknologi informasi oleh bank umum. Bank diwajibkan menerapkan manajemen risiko teknologi informasi secara menyeluruh, mencakup keamanan siber, pengelolaan insiden, dan audit sistem secara berkala. Ketentuan ini menjadi acuan teknis operasional bagi bank dalam mencegah kebocoran data nasabah.
Selain itu, POJK ini mewajibkan bank melaporkan insiden siber kepada OJK sesuai jangka waktu yang ditentukan. Oleh karena itu, kepatuhan terhadap POJK 11/2022 menjadi indikator utama penilaian tata kelola teknologi informasi bank oleh regulator.
POJK No. 22 Tahun 2023
Peraturan Otoritas Jasa Keuangan ini menetapkan tujuh prinsip perlindungan konsumen, salah satunya adalah perlindungan aset, privasi, dan data konsumen. Bank selaku pelaku usaha jasa keuangan wajib menerapkan prinsip tersebut dalam seluruh aktivitas operasionalnya. Namun, POJK 22/2023 tidak berdiri sendiri karena tetap harus dibaca bersama UU PDP dan POJK 11/2022 dalam konteks kebocoran data.
Sebagai hasilnya, nasabah memiliki dasar hukum untuk mengajukan pengaduan kepada bank maupun OJK apabila haknya atas privasi data dilanggar.
Kewajiban Bank Saat Terjadi Kebocoran Data Nasabah
Ketika insiden kebocoran data nasabah bank terjadi, bank memiliki sejumlah kewajiban hukum yang harus segera dipenuhi.
Pertama, bank wajib melakukan mitigasi teknis untuk menghentikan atau membatasi dampak insiden.
Kedua, bank wajib menyampaikan notifikasi kepada otoritas pengawas dan nasabah terdampak dalam batas waktu yang ditentukan peraturan.
Selain itu, bank wajib melakukan investigasi internal guna mengidentifikasi penyebab kebocoran. Hasil investigasi tersebut kemudian menjadi dasar perbaikan sistem keamanan informasi ke depan.
Dengan demikian, kepatuhan prosedural ini tidak hanya memenuhi kewajiban hukum, tetapi juga membangun kembali kepercayaan nasabah.
Hak Nasabah Ketika Data Pribadinya Bocor
Nasabah sebagai subjek data pribadi memiliki sejumlah hak yang dapat digunakan ketika mengalami kebocoran data. Nasabah berhak memperoleh informasi mengenai insiden yang terjadi secara transparan. Selain itu, nasabah berhak mengajukan pengaduan kepada bank maupun kepada OJK sebagai otoritas pengawas sektor jasa keuangan.
Lebih lanjut, nasabah berhak menuntut ganti rugi apabila kebocoran data menimbulkan kerugian materiil maupun immateriil. Oleh karena itu, penting bagi nasabah mendokumentasikan bukti kerugian sebagai dasar pengajuan klaim ganti rugi kepada bank yang bersangkutan.
Sanksi Hukum Bagi Bank yang Lalai Melindungi Data Nasabah
Bank yang terbukti lalai menjaga keamanan data nasabah dapat dikenakan sanksi administratif oleh OJK, mulai dari teguran tertulis hingga pembatasan kegiatan usaha. Selain itu, UU PDP membuka ruang sanksi denda administratif yang dihitung berdasarkan persentase pendapatan tahunan pelaku usaha.
Dalam kondisi tertentu, unsur kesengajaan atau kelalaian berat dapat membawa konsekuensi pidana bagi pihak yang bertanggung jawab. Oleh sebab itu, manajemen bank perlu memahami bahwa perlindungan hukum kebocoran data nasabah bank bukan sekadar formalitas administratif, melainkan kewajiban hukum yang berdampak langsung pada keberlangsungan usaha.
Rekomendasi Kepatuhan Hukum
Berdasarkan uraian di atas, perlindungan hukum kebocoran data nasabah bank menuntut sinergi antara ketentuan sektoral perbankan dan rezim perlindungan data pribadi. Bank disarankan menunjuk pejabat pelindungan data pribadi, memperbarui kebijakan privasi secara berkala, serta melakukan audit keamanan siber sesuai POJK 11/2022. Selain itu, bank perlu menyusun prosedur tanggap insiden yang selaras dengan tenggat waktu pelaporan pada UU PDP.
Bagi nasabah, kewaspadaan digital tetap menjadi langkah pencegahan utama. Namun demikian, ketersediaan kerangka hukum yang kuat memberikan jaminan bahwa hak nasabah tetap terlindungi apabila insiden kebocoran data benar-benar terjadi.
FAQ (Frequently Asked Questions)
1. Apa yang dimaksud dengan kebocoran data nasabah bank?
Kebocoran data nasabah bank adalah insiden terungkap, tersebar, atau diaksesnya data pribadi nasabah oleh pihak tidak berwenang tanpa persetujuan. Insiden ini dapat terjadi akibat serangan siber, kelalaian sistem, maupun kesalahan manusia dalam pengelolaan data di lingkungan bank.
2. Berapa lama batas waktu bank melapor jika terjadi kebocoran data?
Berdasarkan UU PDP, pengendali data termasuk bank wajib melaporkan insiden kebocoran data kepada otoritas pengawas dan subjek data paling lambat 3×24 jam sejak insiden diketahui. Keterlambatan pelaporan berpotensi menambah risiko sanksi administratif bagi bank.
3. Apa hak nasabah jika datanya bocor akibat kelalaian bank?
Nasabah berhak memperoleh informasi transparan mengenai insiden, mengajukan pengaduan kepada bank atau OJK, serta menuntut ganti rugi atas kerugian yang timbul. Hak ini didasarkan pada UU PDP dan POJK 22/2023 tentang perlindungan konsumen sektor jasa keuangan.
4. Apakah bank bisa dikenai sanksi pidana akibat kebocoran data nasabah?
Bank atau pihak yang bertanggung jawab dapat dikenai sanksi pidana apabila kebocoran terbukti disebabkan oleh kesengajaan atau kelalaian berat yang melanggar ketentuan UU PDP. Namun, sanksi administratif oleh OJK umumnya menjadi langkah penegakan hukum yang lebih dulu ditempuh.
5. Bagaimana cara nasabah melaporkan dugaan kebocoran data pribadinya?
Nasabah dapat melaporkan dugaan kebocoran data melalui layanan pengaduan resmi bank terlebih dahulu. Apabila tidak ditindaklanjuti secara memadai, nasabah dapat meneruskan pengaduan kepada OJK atau lembaga pengawas pelindungan data pribadi yang berwenang.
