Pahami Aspek Pelindungan Data Pribadi dalam POJK 11/2022
“Diatur dalam POJK ini bahwa prinsip pelindungan data pribadi oleh Bank dilakukan salah satunya dengan menetapkan pengklasifikasian data yang merupakan data pribadi.”
Baru-baru ini, Otoritas Jasa Keuangan (OJK) menerbitkan pengaturan mengenai penyelenggaraan teknologi informasi bank umum yang dituangkan dalam Peraturan OJK Nomor 11 Tahun 2022. Salah satu aspek yang diatur dalam POJK ini adalah terkait pelindungan data pribadi dalam kegiatan pertukaran data bank umum.
“Bank wajib melaksanakan prinsip pelindungan data pribadi dalam melakukan pemrosesan data pribadi,” bunyi Pasal 44 POJK 11/2022.
Diatur dalam POJK ini bahwa prinsip pelindungan data pribadi oleh bank dilakukan salah satunya dengan menetapkan pengklasifikasian data yang merupakan data pribadi. Jika melihat dari perspektif pengaturan General Data Protection Regulation (GDPR), data pribadi dibedakan menjadi dua, yaitu data pribadi biasa dan data pribadi sensitif.
Data pribadi biasa ialah data pribadi yang informasinya berkaitan dengan suatu individu tertentu, tetapi sistem keamanan penjagaannya tidak terlalu tinggi, seperti nama, tempat tanggal lahir, jenis kelamin, dan kode pos. Sedangkan, data pribadi sensitif, atau biasa disebut kategori spesial, adalah data yang informasinya memerlukan pelindungan lebih dalam sistem keamanan karena informasi di dalam data ini bersifat sensitif dan bisa mengganggu privasi pemilik data pribadi. Contoh dari data pribadi sensitif adalah asal ras atau etnis, keyakinan politik, keyakinan agama, dan data genetik atau biometrik.
Kemudian, diatur pula dalam POJK ini bahwa bank harus mendapat persetujuan nasabah dan/atau calon nasabah yang dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan dalam melakukan pertukaran data.
“Pertukaran data pribadi sebagaimana dimaksud pada ayat (1) dilakukan dengan memperhatikan persetujuan nasabah dan/atau calon nasabah yang dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan,” Pasal 45 ayat (2) POJK 11/2022.
Hal ini sejatinya sejalan dengan ketentuan prinsip perlindungan data pribadi dalam Pasal 4 ayat (11) GDPR, yaitu consent atau persetujuan. Jika mengacu kepada GDPR, Permintaan consent pemilik data kepada pemroses data harus diberikan secara bebas, spesifik, diberitahukan, dan tidak ambigu.
Selain itu, permintaan consent juga harus disajikan dengan cara yang jelas dan ringkas. Hal ini perlu dilakukan sehingga pemilik data dapat dengan mudah memahami informasi yang terdapat dari permintaan tersebut.
Sebagai informasi, terdapat sanksi yang dapat diterima oleh bank apabila tidak menerapkan ketentuan perlindungan data pribadi sebagaimana diatur dalam POJK ini. Berdasarkan POJK 11/2022 ini, bank yang melanggar ketentuan pengelolaan data hingga perlindungan data pribadi dikenai sanksi administratif berupa teguran tertulis.
Adapun apabila diketahui bank tetap belum memenuhi ketentuan sebagaimana diatur dalam POJK tersebut, maka bank dapat dikenakan beberapa sanksi yang diantaranya: larangan untuk menerbitkan produk Bank baru; pembekuan kegiatan usaha tertentu; dan/atau penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan bank.
AA
