30
BAB III
HASIL PENELITIAN DAN PEMBAHASAN
A. Pengaturan Mengenai Perlindungan Hukum Nasabah Atas Penjualan Bebas Data Pribadi Nasabah Untuk Kepentingan Pemasaran Produk Perbankan
Kerugian yang berdampak pada kegiatan perbankan yang dinilai tidak profesional, memicu pemerintah untuk mengatasinya dengan tindakan preventif maupun tindakan represif. Apabila dilihat secara normatif, kegiatan di sektor perbankan diatur dalam UU perbankan dan peraturan – peraturan lainnya (Johannes Ibrahim dan Hassanain Haykal, 2017: 44).
1. Bentuk Regulasi Pemerintah atas penjualan bebas data pribadi nasabah sebagai berikut:
a. Undang – Undang Dasar Negara Republik Indonesia Tahun 1945 b. Undang – Undang Nomor 39 Tahun 1999 tentang Hak Asasi
Manusia
c. Undang – Undang Nomor 10 Tahun 1998 perubahan atas Undang – Undang Nomor 7 Tahun 1992 tentang Perbankan
d. Undang – Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan
e. Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi Dan Transaksi Elektronik
f. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem Dan Transaksi Elektronik
g. Peraturan Otoritas Jasa Keuangan Nomor 1/POJK 07/2013 tentang Perlindungan Konsumen Sektor Jasa Keuangan
h. Peraturan Bank Indonesia Nomor 16/ 1 /Pbi/2014 tentang Perlindungan Konsumen Jasa Sistem Pembayaran
i. Surat Edaran Otoritas Jasa Keuangan Nomor 14/SEOJK 07/2014 tentang Kerahasiaan dan Keamanan Data dan/atau Informasi Pribadi Konsumen
j. Rancangan Undang – Undang Perlindungan Data Pribadi
Berdasarkan Undang – Undang Dasar Republik Indonesia Tahun 1945 Pasal 28 G ayat (1) yang berbunyi “Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda yang di bawah kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi’’.
Negara menjamin hak konstitusional terhadap perlindungan diri pribadi sebagai bagian dari hak privasi setiap warga negara termasuk dalam berbagai bidang.
Salah satunya di bidang perbankan dimana data pribadi nasabah merupakan hak privasi nasabah yang bersifat rahasia mencangkup identitas nasabah yang wajib diberikan keamanan dan kerahasiaannya.
Menurut UU HAM yang terdapat pada Pasal 29 yang menyatakan bahwa
“Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan hak miliknya’’. Peraturan ini menjelaskan adanya hak warga negara dalam memperoleh perlindungan hak pribadi, keluarga, kehormatan, martabat, dan hak miliknya. Konteks yang dimaksud ini tidak hanya memberikan perlindungan secara hubungan langsung, tetapi juga tentang perlindungan atas informasi atau data pribadinya. Selain itu juga terdapat pengaturan mengenai adanya perlindungan terkait kerahasiaan dalam bentuk surat menyurat melalui sarana elektronik. Aturan tersebut terdapat Pasal 32 yang menyatakan bahwa
“Kemerdekaan dan rahasia dalam hubungan surat-menyurat termasuk hubungan komunikasi melalui sarana elektronik tidak boleh diganggu, kecuali atas perintah hakim atau kekuasaan lain yang sah sesuai dengan ketentuan peraturan perundang-undangan”. Konteks yang dimaksud ini tidak hanya memberikan perlindungan secara hubungan langsung, tetapi juga tentang perlindungan atas informasi atau data pribadinya. Hal tersebut merupakan wujud dari menjamin kemerdekaan rahasia terhadap hubungan surat – menyurat dengan menggunakan
sarana elektronik, kecuali karena perintah hakim ataupun kekuasaan yang sah sesuai dengan peraturan perundang – undangan. Sebenarnya secara tersirat, UU HAM melindungi kerahasiaan segala bentuk informasi atau data pribadi terkait surat – menyurat dalam bidang apapun yang menggunakan sarana elektronik.
Seperti halnya dalam bidang perbankan terkait data pribadi nasabah dalam penggunaan kegiatan perbankan khususnya menggunakan internet banking.
Secara yuridis sebagaimana diamanatkan UU Perbankan terkait rahasia bank memberikan pengertian yang tercantum dalam bahwa Pasal 1 angka 28 UU Perbankan: “Rahasia Bank adalah segala sesuatu yang berhubungan dengan keterangan mengenai nasabah penyimpan dan simpanannya”. Maka, pihak bank memberikan perlindungan hukum kepada nasabah sesuai dengan prinsip kehati – hatian dan menjamin kerahasian nasabah sebagaimana yang telah disebutkan dalam Pasal 29 ayat (2) dan Pasal 40 yang memuat tentang:
Pasal 29 ayat (2)
“Bank wajib memelihara tingkat kesehatan bank sesuai dengan ketentuan kecukupan modal, kualitas aset, kualitas manajemen, likuiditas, rentabilitas, solvabilitas, dan aspek lain yang berhubungan dengan usaha bank, dan wajib melakukan kegiatan usaha sesuai dengan prinsip kehati-hatian”.
Pasal 40
(1) Bank wajib merahasiakan keterangan mengenai Nasabah Penyimpan dan simpanannya ,kecuali dalam hal sebagaimana dimaksud dalam pasal 41 , pasal 41 A, Pasal 42, Pasal 43, Pasal 44 dan Pasal 44 A.
(2) Ketentuan sebagaimana dimaksud dalam ayat (1) berlaku pula bagi pihak terafiliasi.
Pengaturan tersebut memberikan adanya jaminan perlindungan hukum kepada nasabah sehingga nasabah memiliki kepercayaan untuk menghimpun dananya di bank dan juga bagi pihak bank menciptakan reputasi yang baik terkait pelayanan perbankan.
Selain itu didukung adanya sumber lain mengenai perlindungan hukum bagi nasabah. Perlindungan hukum bagi nasabah dapat dilakukan dengan 2 (dua) cara, sebagai berikut:
1) Perlindungan secara implisit (implicit deposit protection), merupakan perlindungan yang dilakukan dengan cara mengawasi dan memberikan pembinaan yang efektif agar terhindar dari kebangkrutan bank melalui:
a) Peraturan perundang – undangan perbankan;
b) Bank Indonesia memberikan perlindungan dengan memberikan pengawasan dan pembinaan;
c) Secara khusus sebagai lembaga, berupaya dalam menjaga kelangsungan kegiatan bank dan secara umum memberikan perlindungan dalam sistem perbankan;
d) Melakukan pemeliharaan terhadap tingkat kesehatan bank;
e) Menerapkan prinsip kehati – hatian dalam kegiatan perbankan;
f) Memberikan pelayanan informasi risiko pada bank ((Lukmanul Hakim, 2018: 7).
2) Perlindungan secara eksplisit (eksplisit deposit protection), merupakan perlindungan dengan membentuk lembaga untuk melindungi simpanan nasabah apabila terjadi kebangkrutan dengan cara mengganti simpanan dari nasabah. Pemberian perlindungan hukum bagi nasabah dapat dilakukan oleh bank yaitu:
a) Penggunaan teknologi Secure Socket Layer (SSL) 128 bit digunakan untuk memberikan perlindungan komunikasi terhadap server bank dengan komputer nasabah dengan menggunakan metode time out apabila dalam waktu 10 (sepuluh) menit secara otomatis tertutup apabila tidak ada kegiatan akses dari nasabah ke server bank.
b) Kerahasiaan data pengguna internet banking terhadap akses informasi hanya boleh dilakukan oleh orang tertentu dan digunakan sesuai dengan prosedur (pihak pegawai
bank juga harus memegang prinsip untuk menjaga kerahasiaan nasabah). Dengan demikian, tidak diperbolehkan dari pihak bank untuk menjual data informasi kepada pihak lain.
c) Pengumpulan informasi data pengunjung internet banking tidak serta merta dilakukan secara otomatis oleh bank.
d) Bentuk informasi umum yang digunakan dan dikumpulkan yaitu:
(1) Hari, tanggal, dan waktu;
(2) Browser;
(3) Internet banking;
(4) Jenis rekening;
(5) Domain untuk mengakses internet.
e) Dalam menjamin keamanan nasabah pengguna internet banking, dilakukan input data seperti user ID dan PIN serta apabila transaksi bersifat finansial maka dimasukkan kembali PIN tersebut.
f) Penggunaan internet banking untuk saat ini dilakukan dengan menggunakan Microsoft explorer 5.01 atau netscape communicator 4.7 (Lukmanul Hakim, 2018: 8).
Pada dasarnya, sebelum bank memberikan perlindungan hukum terhadap nasabah akibat terjadinya pencurian data, maka pihak bank dapat terlebih dahulu memberikan upaya – upaya yang harus dilakukan, seperti:
(a) Pihak bank wajib mengenali identitas nasabah dalam kegiatan di sektor perbankan;
(b) Pihak bank khususnya manajemen bank wajib mengetahui segala transaksi sesuai dengan kode etik perbankan dan peraturan perundangan – undangan lainnya seperti UU ITE;
(c) Pelaksanaan kerahasiaan bank juga membutuhkan peran serta aparat penegak hukum dalam memberikan perlindungan terhadap nasabah (Lukmanul Hakim, 2018:
7).
Sejak adanya Undang – Undang Nomor 24 Tahun 2004 tentang Lembaga Penjamin Simpanan yang kemudian mengalami perubahan dengan Undang – Undang Nomor 7 Tahun 2009 tentang Penetapan Peraturan Pemerintah Pengganti Undang – Undang Nomor 3 Tahun 2008 tentang Perubahan Atas Undang – Undang Nomor 24 Tahun 2004 tentang Lembaga Penjamin Simpanan Menjadi Undang – Undang yang selanjutnya disebut UU LPS. Dalam undang – undang tersebut menyebutkan bahwa Lembaga Penjamin Simpanan (LPS) merupakan lembaga independen yang mengatur mengenai penjaminan nasabah yang bersifat terbatas. LPS itu sendiri memiliki tujuan dalam sektor perbankan yaitu:
(1) Memberikan perlindungan terhadap simpanan nasabah kecil;
(2) Meningkatkan pertumbuhan disiplin pasar dan mengurangi moral hazard;
(3) Memberikan batasan terhadap beban keuangan negara;
(4) Melaksanakan mekanisme terhadap penyelesaian bank gagal dan likuidasi bank (Lukmanul Hakim, 2018: 4-5).
Adanya pembentukan LPS juga dapat memberikan perlindungan hukum bagi nasabah sebagai pihak yang mewakili nasabah apabila bank tersebut mengalami likuidasi, kesulitan usaha, atau dicabut izin usaha sehingga memberikan penjaminan terhadap dana simpanan (Lukmanul Hakim, 2018: 5).
Menurut UU Adminduk dijelaskan adanya pengertian data pribadi yang terdapat pada Pasal 1 butir 22 yang menyebutkan bahwa “Data Pribadi adalah data perseorangan tertentu yang disimp dirawat, dan dijaga kebenaran serta dilindungi kerahasiaannya”. Hal ini, yang termasuk ke dalam hak yang dimiliki penduduk dalam memperoleh perlindungan hukum agar dilindungi oleh negara adalah sesuai dengan Pasal 2, yang menjelaskan bahwa:
Pasal 2:
Setiap Penduduk mempunyai hak untuk memperoleh:
a. Dokumen Kependudukan;
b. pelayanan yang sama dalam Pendaftaran Penduduk dan Pencatatan Sipil;
c. perlindungan atas Data Pribadi;
d. kepastian hukum atas kepemilikan dokumen;
e. informasi mengenai data hasil Pendaftaran Penduduk dan Pencatatan Sipil atas dirinya dan/atau keluarganya; dan
f. ganti rugi dan pemulihan nama baik sebagai akibat kesalahan dalam Pendaftaran Penduduk dan Pencatatan Sipil serta penyalahgunaan Data Pribadi oleh Instansi Pelaksana.
Selain itu di dalam UU tersebut juga menjelaskan apa saja yang mendapat perlindungan terhadap data pribadi penduduk yang tertuang dalam Pasal 84 ayat (1) UU Adminduk, bahwa:
Pasal 84 ayat (1)
Data Pribadi Penduduk yang harus dilindungi memuat:
a. keterangan tentang cacat fisik dan/atau mental;
b. sidik jari;
c. iris mata;
d. tanda tangan; dan
e. elemen data lainnya yang merupakan aib seseorang.
Dengan demikian dapat disimpulkan bahwa informasi yang disebutkan di atas merupakan bagian dari sebuah data pribadi penduduk yang wajib mendapat perlindungan sebagaimana yang terdapat dalam Pasal 85.
Pasal 85:
(1) Data Pribadi Penduduk sebagaimana dimaksud dalam Pasal wajib disimpan dan dilindungi oleh negara.
(2) Ketentuan lebih lanjut mengenai penyimpanan dan perlindungan terhadap Data Pribadi Penduduk sebagaimana dimaksud pada ayat (1) diatur dalam Peraturan Pemerintah.
(3) Data Pribadi Penduduk sebagaimana dimaksud pada ayat harus dijaga kebenarannya dan dilindungi kerahasiaannya oleh Penyelenggara dan Instansi Pelaksana sesuai dengan ketentuan Peraturan Perundang- undangan.
UU Adminduk memberikan pengakuan terhadap data pribadi sebagai data perseorangan yang wajib dilindungi informasi kerahasiaan datanya, dirawat, dijaga kebenarannya oleh negara. Data pribadi penduduk yang harus dilindungi meliputi keterangan tentang cacat fisik dan/atau mental, sidik jari, iris mata, tanda tangan serta elemen data lainnya yang merupakan aib seseorang. Keterkaitan mengenai perlindungan data pribadi di bidang perbankan salah satunya adalah tanda tangan dimana dalam setiap kegiatan perbankan baik sebagai calon nasabah maupun nasabah yang akan melakukan kegiatan perbankan lainnya selalu disertakan dengan tanda tangan nasabah. Hal tersebut menegaskan bahwa UU Adminduk juga memberikan perlindungan terhadap data pribadi penduduk. UU ini juga menerapkan sanksi bagi setiap orang yang tanpa hak menyalahgunakan data pribadi dengan menyebarluaskannya dapat dikenai sanksi. Bentuk regulasi terkait sanksi yang diberikan terdapat dalam Pasal 95A UU Adminduk yang memuat tentang:
Pasal 95A
“Setiap orang yang tanpa hak menyebarluaskan Data Kependudukan sebagaimana dimaksud dalam Pasal 79 ayat (3) dan Data Pribadi sebagaimana dimaksud dalam Pasal 86 ayat (1a) dipidana dengan pidana penjara paling lama 2 (dua) tahun dan/atau denda paling banyak Rp25.000.000,00 (dua puluh lima juta rupiah)”.
Sehingga, perlindungan terhadap data pribadi penduduk bertujuan menjamin pelaksanaan UU ini dari terjadinya pelanggaraan baik administratif maupun ketentuan materiil yang bersifat pidana.
Berdasarkan UU ITE dapat memberikan perlindungan untuk dijadikan sebagai sarana meningkatkan keamanan dan kenyamanan dalam kegiatan di sektor perbankan, karena semua data yang yang dijadikan sebagai data pribadi nasabah merupakan data yang terdiri dari informasi elektronik dan dokumen elektronik, dimana data tersebut disimpan melalui sistem elektronik. Walaupun peraturan tersebut tidak diatur secara eksplisit, akan tetapi informasi elektronik dan dokumen elektronik juga dapat menjadi objek spesifik dari data pribadi.
Dengan demikian, apabila terjadi penyalahgunaan data pribadi oleh pihak lain
tanpa seijin pemilik, maka dapat dimintai pertanggung jawaban dan setiap orang yang menyalahgunakan dengan muatan informasi elektronik atau dokumen elektronik dapat dikenakan sanksi administratif. UU ITE dalam Pasal 26 ayat (1) dan (2) menyebutkan bahwa:
Pasal 26 ayat (1) dan (2)
(1) Kecuali ditentukan lain oleh peraturan perundang-undangan, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan Orang yang bersangkutan.
(2) Setiap Orang yang dilanggar haknya sebagaimana dimaksud pada ayat (1) dapat mengajukan gugatan atas kerugian yang ditimbulkan berdasarkan Undang-Undang ini.
Selain juga pada Pasal 26 ayat (1) UU ITE mengandung makna mengenai hak pribadi, dengan penjelasan. Dalam pemanfaatan Teknologi Informasi, perlindungan data pribadi merupakan salah satu bagian dari hak pribadi (privacy rights). Hak pribadi mengandung pengertian sebagai berikut:
1) Hak pribadi merupakan hak untuk menikmati kehidupan pribadi dan bebas dari segala macam gangguan.
2) Hak pribadi merupakan hak untuk dapat berkomunikasi dengan Orang lain tanpa tindakan memata-matai.
3) Hak pribadi merupakan hak untuk mengawasi akses informasi tentang kehidupan pribadi dan data seseorang (Rosalinda Elsina Latumahina. 2014: 18).
Seseorang atau korporasi yang dengan sengaja mengakses sistem elektronik dengan tujuan untuk memperoleh informasi atau dokumen elektronik menggunakan cara melanggar sistem pengamanan dianggap sebagai tindak pidana. Hal tersebut tertuang dalam Pasal 32 jo Pasal 48 UU ITE. Dengan maksud seperti:
Pasal 32
(1) Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum dengan cara apapun mengubah, menambah, mengurangi, melakukan transmisi, merusak, menghilangkan, memindahkan,
menyembunyikan suatu Informasi Elektronik dan/atau Dokumen Elektronik milik Orang lain atau milik publik.
(2) Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum dengan cara apapun memindahkan atau mentransfer Informasi Elektronik dan/atau Dokumen Elektronik kepada Sistem Elektronik Orang lain yang tidak berhak.
(3) Terhadap perbuatan sebagaimana dimaksud pada ayat (1) yang mengakibatkan terbukanya suatu Informasi Elektronik dan/atau Dokumen Elektronik yang bersifat rahasia menjadi dapat diakses oleh publik dengan keutuhan data yang tidak sebagaimana mestinya.
Pasal 48
(1) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (1) dipidana dengan pidana penjara paling lama 8 (delapan) tahun dan/atau denda paling banyak Rp2.000.000.000,00 (dua miliar rupiah).
(2) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (2) dipidana dengan pidana penjara paling lama 9 (sembilan) tahun dan/atau denda paling banyak Rp3.000.000.000,00 (tiga miliar rupiah).
(3) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (3) dipidana dengan pidana penjara paling lama 10 (sepuluh) tahun dan/atau denda paling banyak Rp5.000.000.000,00 (lima miliar rupiah).
Perlindungan Hukum bagi Nasabah terhadap terjadinya jual beli data ataupun terjadi cracking yang mengakibatkan data tersebut hilang atau bocor yang sifatnya rahasia, maka UU ITE memberikan perlindungan hukum apabila terindikasi pengaksesan atau jual beli data secara ilegal. Cracking adalah peretasan dengan menggunakan sistem elektronik.
Selanjutnya, untuk mengatur lebih spesifik mengenai beberapa ketentuan dalam UU ITE, maka dibentuk PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem Dan Transaksi Elektronik yang selanjutnya disebut PP PSTE. Berdasarkan PP PSTE, secara implisit bank merupakan penyelenggara sistem elektronik privat karena memiliki otoritas pengatur dan pengawas sektor keuangan dimana memiliki kapasitas dalam melakukan pemrosesan data pribadi dalam rangka melakukan kegiatan operasional perbankan untuk melayani masyarakat dalam kegiatan transaksi elektronik yang tercantum dalam Pasal 2 ayat (2) dan (5) yang menyebutkan bahwa:
PP PSTE Pasal 2 ayat (2)
“Penyelenggara Sistem Elektronik sebagaimana dimaksud pada ayat (1) meliputi:
a. Penyelenggara Sistem Elektronik Lingkup Publik; dan b. Penyelenggara Sistem Elektronik Lingkup Privat”.
PP PSTE Pasal 2 ayat (5)
“Penyelenggara Sistem Elektronik Lingkup Privat sebagaimana dimaksud pada ayat (2) huruf b meliputi:
a. Penyelenggara Sistem Elektronik yang diatur atau diawasi oleh Kementerian atau Lembaga berdasarkan ketentuan peraturan perundang-undangan; dan
b. Penyelenggara Sistem Elektronik yang memiliki portal, situs, atau aplikasi dalam jaringan melalui internet yang dipergunakan untuk:
1. menyediakan, mengelola, dan/atau mengoperasikan penawaran dan/atau perdagangan barang dan/atau jasa
2. menyediakan, mengelola, dan/atau mengoperasikan layanan transaksi keuangan;
3. pengiriman materi atau muatan digital berbayar melalui jaringan data baik dengan cara unduh melalui portal atau situs, pengiriman lewat surat elektronik, atau melalui aplikasi lain ke perangkat pengguna;
4.menyediakan, mengelola, dan/atau mengoperasikan layanan komunikasi meliputi namun tidak terbatas pada pesan singkat, panggilan suara, panggilan video, surat elektronik, dan percakapan dalam jaringan dalam bentuk platform digital, layanan jejaring dan media sosial;
5. layanan mesin pencari, layanan penyediaan Informasi Elektronik yang berbentuk tulisan, suara, gambar, animasi, musik, video, film, dan permainan atau kombinasi dari sebagian dan/atau seluruhnya;
dan/ata
6.pemrosesan Data Pribadi untuk kegiatan operasional melayani masyarakat yang terkait dengan aktivitas Transaksi Elektronik”.
Bank memiliki kewajiban memberikan perlindungan data pribadi nasabah untuk melindungi keamanan dan kerahasiaan data pribadi dari penyalahgunaan oleh pihak yang tidak berwenang. Menurut peraturan ini, apabila pihak penyelenggara sistem elektronik terjadi kegagalan dalam perlindungan terhadap data pribadi maka wajib memberikan pemberitahuan secara tertulis terhadap pemilik data. Berikut adalah Pasal yang mengatur tentang perlindungan data pribadi. Ditegaskan kembali pada Pasal 14 ayat (2) dan (5) terkait perlindungan data pribadi pengaturannya terletak dalam hal penyelenggara sistem elektronik
dimana mengalami kegagalan dalam melindungi data pribadi yang dikelola, maka PP tersebut mempunyai kewajiban untuk menyampaikan pemberitahuan tertulis kepada pemilik data tersebut. Namun, kegagalan yang dimaksud pada PP tersebut tidak dijelaskan secara terperinci.
PP PSTE Pasal 14 ayat (1)
“Penyelenggara Sistem Elektronik wajib melaksanakan prinsip perlindungan Data Pribadi dalam melakukan pemrosesan Data Pribadi meliputi:
a. pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, adil, dengan sepengetahuan dan persetujuan dari pemilik Data Pribadi;
b. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya;
c. pemrosesan Data Pribadi dilakukan dengan menjamin hak pemilik Data Pribadi;
d. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dapat dipertanggungjawabkan, dan memperhatikan tujuan pemrosesan Data Pribadi;
e. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari kehilangan, penyalahgunaan, Akses dan pengungkapan yang tidak sah, serta pengubahan atau perusakan Data Pribadi;
f. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan pengumpulan, aktivitas
g. pemrosesan, dan kegagalan perlindungan Data Pribadi; dan pemrosesan Data Pribadi dimusnahkan dan/atau dihapus kecuali masih dalam masa retensi sesuai dengan kebutuhan berdasarkan ketentuan peraturan perundang-undangan”.
PP PSTE Pasal 14 ayat (5)
“Jika terjadi kegagalan dalam perlindungan terhadap Data Pribadi yang dikelolanya, Penyelenggara Sistem Elektronik wajib memberitahukan secara tertulis kepada pemilik Data Pribadi tersebut”.
Adanya pengaturan mengenai kewajiban kepada penyelenggaraan sistem elektronik yang tercantum pada Pasal 32, bahwa:
PP PSTE Pasal 32
(1) Setiap orang yang bekerja di lingkungan penyelenggaraan Sistem Elektronik wajib mengamankan dan melindungi sarana dan
prasarana Sistem Elektronik atau informasi yang disalurkan melalui Sistem Elektronik.
(2) Penyelenggara Sistem Elektronik wajib menyediakan, mendidik, dan melatih personil yang bertugas dan bertanggung jawab terhadap pengamanan dan perlindungan sarana dan prasarana Sistem Elektronik.
Selain itu, adanya pemberian sanksi terhadap penyalahgunaan data pribadi yang terdapat dalam Pasal 32 berupa:
PP PSTE Pasal 32
Sanksi administratif sebagaimana dimaksud pada ayat (1) dapat berupa:
a. teguran tertulis;
b. denda administratif;
c. penghentian sementara;
d. pemutusan Akses; dan/atau e. dikeluarkan dari daftar
Berdasarkan Peraturan Otoritas Jasa Keuangan Nomor 1/POJK 07/2013 tentang Perlindungan Konsumen Sektor Jasa Keuangan yang selanjutnya disebut POJK menyebutkan bahwa pelaku usaha jasa keuangan yang salah satunya adalah bank dilarang untuk tidak memberikan data/informasi konsumen terhadap pihak ketiga dan wajib melakukan pengendalian internal seperti pelaksanaan prinsip – prinsip perlindungan konsumen serta monitoring pengaduan konsumen yang tercantum dalam Pasal 31 yang menjelaskan bahwa:
Pasal 31
(1) Pelaku Usaha Jasa Keuangan dilarang dengan cara apapun, memberikan data dan/atau informasi mengenai Konsumennya kepada pihak ketiga.
(2) Larangan sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal:
a. Konsumen memberikan persetujuan tertulis; dan/atau b. Diwajibkan oleh peraturan perundang-undangan.
(3) Dalam hal Pelaku Usaha Jasa Keuangan memperoleh data dan/atau informasi pribadi seseorang dan/atau sekelompok orang dari pihak lain dan Pelaku Usaha Jasa Keuangan akan menggunakan data dan/atau informasi tersebut untuk melaksanakan kegiatannya, Pelaku Usaha Jasa Keuangan wajib memiliki pernyataan tertulis bahwa pihak lain dimaksud telah memperoleh persetujuan tertulis dari seseorang dan/atau sekelompok orang tersebut untuk memberikan data dan/atau informasi pribadi dimaksud kepada pihak manapun, termasuk Pelaku Usaha Jasa Keuangan.
(4) Pembatalan atau perubahan sebagian persetujuan atas pengungkapan data dan atau informasi sebagaimana dimaksud pada ayat (2) huruf a dilakukan secara tertulis oleh Konsumen dalam bentuk surat pernyataan.
Selain itu, Otoritas Jasa Keuangan memiliki kewajiban melakukan pengawasan terhadap kepatuhan bank dalam penerapan perlindungan konsumen.
Sebagaimana yang tercantum dalam Pasal 50 ayat (1) bahwa“Pelaku Usaha Jasa Keuangan wajib memiliki sistem pengendalian internal terkait dengan perlindungan Konsumen”
Sehingga, apabila bank melanggar dalam penyalahgunaan data/informasi konsumen dapat dikenai sanksi administratif seperti peringatan, denda, pembatasan kegiatan usaha, pembekuan kegiatan usaha, serta pencabutan izin usaha. Hal ini tercantum dalam Pasal 53 ayat (1)
Pasal 53 ayat (1)
(1) Pelaku Usaha Jasa Keuangan dan/atau pihak yang melanggar ketentuan dalam Peraturan Otoritas Jasa Keuangan ini dikenakan sanksi administratif, antara lain berupa:
a. Peringatan tertulis;
b. Denda yaitu kewajiban untuk membayar sejumlah uang tertentu;
c. Pembatasan kegiatan usaha;
d. Pembekuan kegiatan usaha; dan e. Pencabutan izin kegiatan usaha
Berdasarkan Peraturan Bank Indonesia Nomor 16/ 1 /Pbi/2014 tentang Perlindungan Konsumen Jasa Sistem Pembayaran yang selanjutnya disebut PBI memberikan pengaturan tentang Penyelenggara jasa sistem pembayaran adalah bank dimana bank wajib memberikan perlindungan dan kerahasiaan data/informasi konsumen sesuai dengan prinsip – prinsip perlindungan konsumen.
Hal ini memiliki kewajiban bagi bank untuk melaksanakan mekanisme pengaduan bagi konsumen dan memiliki sistem pengendalian internal yang tercantum dalam Pasal 10, Pasal 14, Pasal 15 ayat (1), Pasal 16 ayat (1).
Pasal 10
“Penyelenggara wajib bertanggung jawab kepada Konsumen atas kerugian yang timbul akibat kesalahan pengurus dan pegawai Penyelenggara”.
Pasal 14
(1) Penyelenggara wajib menjaga kerahasiaan data dan/atau informasi Konsumen.
(2) Dalam rangka menjaga kerahasiaan data dan/atau informasi Konsumen sebagaimana dimaksud pada ayat (1), Penyelenggara wajib memiliki dan melaksanakan kebijakan perlindungan data dan/atau informasi Konsumen.
Pasal 15 ayat (1)
“Penyelenggara dilarang memberikan data dan/atau informasi Konsumen kepada pihak lain”.
Pasal 16 ayat (1)
“Penyelenggara wajib memiliki dan melaksanakan mekanisme penanganan pengaduan bagi Konsumen”.
Bank dapat dimintai pertanggungjawaban atas kerugian yang timbul akibat terjadi kesalahan yang dilakukan oleh pengurus dan pegawai bank serta dapat dikenakan sanksi administratif seperti teguran, dendam penghentian sementara atau seluruh kegiatan sistem pembayaran dan pencabutan izin. Bank dapat dimintai pertanggungjawaban atas kerugian yang timbul akibat terjadi kesalahan yang dilakukan oleh pengurus dan pegawai bank serta dapat dikenakan sanksi administratif seperti teguran, dendam penghentian sementara atau seluruh kegiatan sistem pembayaran dan pencabutan izin. Bank wajib memberikan kompensasi bagi nasabah yang mengalami kerugian akibat kesalahan bank (Pujiyono, dkk, 2020: 162).
Hal ini tercantum dalam Pasal 29 ayat (1). Yang memuat isinya sebagai berikut:
Pasal 29 ayat (1)
Penyelenggara yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 5, Pasal 6, Pasal 7, Pasal 8, Pasal 9, Pasal 10, Pasal 11, Pasal 12, Pasal 13, Pasal 14, Pasal 15, Pasal 16, Pasal 17, Pasal 18, Pasal 19, Pasal 21 ayat (1) huruf b, Pasal 21 ayat (1) huruf c, Pasal 22, Pasal 24, Pasal 25, dan Pasal 26 dikenakan sanksi administratif berupa:
a. teguran tertulis;
b. denda;
c. penghentian sementara sebagian atau seluruh kegiatan jasa Sistem Pembayaran; dan/atau
d. pencabutan izin penyelenggaraan kegiatan jasa Sistem Pembayaran.
Surat Edaran Otoritas Jasa Keuangan Nomor 14/SEOJK 07/2014 tentang Kerahasiaan dan Keamanan Data dan/atau Informasi Pribadi Konsumen juga menegaskan terkait melakukan kegiatan perbankan, secara tegas bank dilarang memberikan data/informasi pribadi kepada pihak ketiga kecuali atas persetujuan konsumen dan diwajibkan oleh peraturan perundang – undangan. Selain itu, bank harus membuat kebijakan terkait penggunaan data/informasi pribadi secara tertulis.
RUU PDP memberikan perlindungan kepada setiap pemilik data pribadi dengan membagi ke dalam 2 (dua) kategori, yaitu data pribadi yang bersifat umum dan data pribadi yang bersifat khusus. RUU PDP ini berlaku untuk setiap orang, badan publik, pelaku usaha, dan organisasi/institusi. Hal ini dapat dikaitkan dalam sektor perbankan terkait data pribadi nasabah sebagai data yang bersifat khusus, dimana didalamnya mengandung unsur kerahasiaan data. Selain itu, RUU tersebut juga menekankan adanya sanksi bagi yang menyalahgunakan data pribadi nasabah.
Menurut penulis dalam pengaturan terhadap RUU PDP masih terdapat adanya kekurangan dan ketidaksesuaian peraturan di dalamnya. Beberapa hal terkait adanya ketidaksesuaian mengenai ketentuan pidana yang dimaksud dalam pengaturan tersebut adalah hanya orang saja yang dapat diancam pidana, tidak termasuk yang dilakukan oleh korporasi. Sehingga pengaturan mengenai ancaman pidana yang dilakukan oleh korporasi kurang jelas. Selain itu, perlu adanya pengaturan mengenai pemulihan nama baik bagi pihak yang dirugikan atau korban akibat penyalahgunaan data pribadi. Terkait penjelasan pasal juga perlu lebih rinci menjelaskan pasal demi pasal. Maka, diharapkan pemerintah segera mengesahkan terkait peraturan perundang-undangan perlindungan data pribadi.
Beberapa negara maju, masalah perlindungan data pribadi sudah dianggap sebagai bagian dari hak asasi manusia yang harus dilindungi dan oleh karenanya telah dituangkan dalam peraturan perundangan tersendiri. Eropa misalnya, sudah
memiliki peraturan tentang perlindungan data pribadi selama lebih dari satu dekade. Dalam penelitian ini akan diberikan tiga contoh negara maju yang telah memiliki pengaturan yang komprehensif terkait perlindungan data pribadi. Inggris mengatur tentang perlindungan data pribadi dalam Data Protection Act 1998 yang mulai berlaku sejak tahun 2000. Act ini merupakan pengganti dari peraturan sebelumnya (Data Protection Act 1984). Di Inggris terdapat suatu badan pelaksana yaitu The Data Protection Commissioner yang bertugas mengawasi semua pengguna data yang menguasai data pribadi. Perlindungan terhadap hak privasi individual dibuktikan dalam ketentuan Data Protection Act 1998 yang memungkinkan subjek data untuk mendapatkan informasi tentang pengolahan data pribadinya dan untuk mencegah beberapa jenis pengolahan data yang berlangsung bila dianggap akan membahayakan kepentingannya. Data juga hanya boleh digunakan sepanjang diperlukan dan tidak boleh disimpan lebih lama dari seharusnya. Begitu kuatnya perlindungan terhadap data pribadi, Act ini bahkan melarang data pribadi ditransfer ke negara di luar Eropa kecuali apabila negara yang bersangkutan dapat menjamin perlindungan data yang serupa. Beberapa prinsip penting dari Data Protection Act adalah sebagai berikut:
(1) Personal data shall be obtained only for one or more specified and lawful purposes, and shall not be further processed in any manner incompatible with that purpose or those purposes.
(2) Personal data processed for any purpose or purposes shall not be kept for longer than is necessary for that purpose or those purposes (Data Protection Principles, http:
//ico.org.uk/for_organisations/data_protection/the_guide/the_prin ciple s.).
Maka dapat disimpulkan bahwa kedudukan bank sebagai menghimpun dana dari masyarakat sejalan dengan upaya memberikan perlindungan data pribadi atas data yang dikumpulkan atau digunakan dalam sistem transaksi perbankan. Selain itu, juga diperketat dengan mencantumkan persyaratan – persyaratan tertentu guna memberikan perlindungan terhadap pengguna layanan
internet banking. Tetapi fakta yang ada di masyarakat, masih terdapat kejahatan cyber crime di bidang perbankan. Perkembangan teknologi yang mengubah pola kebiasaan masyarakat dari konvensional menjadi modern menjadi penyebab dari kejahatan cyber dengan dipermudah menggunakan fasilitas yaitu internet.
Sehingga mengubah pola interaksi masyarakat dari nyata (real) menjadi virtual (cybernetics) (Akbar Karunia Putra, 2016: 26).
Aturan-aturan yang telah disebutkan tidak mengesampingkan pengaturan mengenai Keterbukaan Informasi Publik yang tercantum dalam Undang-Undang Nomor 14 Tahun 2008 dimana informasi publik tidak serta merta dapat diakses maupun dipindahtangankan secara bebas. Adanya batasan dalam membuka atau tidak membuka informasi tercantum dalam Pasal 17 UU KIP yang menyebutkan bahwa informasi publik yang dikecualikan dibuka ke publik yang memiliki sifat ketat, terbatas, dan rahasia. Hal ini menjelaskan adanya alasan mengapa informasi publik tidak boleh dibuka sesuai Undang- Undang tersebut, diantaranya:
(1) Informasi tersebut dapat menghambat proses penegakan hukum;
(2) Informasi tersebut mengganggu kekayaan hak intelektual dan persaingan usaha yang sehat;
(3) Informasi tersebut membahayakan keamanan dan pertahanan negara;
(4) Informasi yang mengungkapkan kekayaan alam Indonesia;
(5) Informasi tersebut merugikan tatanan ekonomi Indonesia;
(6) Informasi yang membahayakan hubungan diplomatik;
(7) Informasi yang berisi data pribadi masyarakat.
Jadi, data pribadi secara mutlak merupakan data yang bersifat rahasia dan dilindungi oleh Undang-Undang bukan merupakan sebagai informasi publik.
Ada beberapa hambatan bagi bank dalam menjamin perlindungan bagi nasabahnya di antaranya :
a) Adanya kesulitan nasabah dalam memperoleh bukti transkrip yang digunakan untuk klaim kepada bank akibat mengalami kejahatan
terhadap layanan elektronik dari pihak yang tidak bertanggung jawab;
b) Adanya kesulitan jaringan komunikasi atau biasa disebut dengan Jaringan Vertikal Satelit (VST) yang sering kali bekerja tidak secara optimal sehingga menghambat kenyamanan nasabah.
Misalnya, nasabah mengalami gagal log in;
c) Kurangnya optimalisasi terhadap sumber daya manusia dalam hal ini penggunaan terhadap fasilitas internet banking yang dilakukan oleh nasabah. Misalnya, kesalahan dalam mentransfer dana;
d) Masih minimumnya peran aktif dari bank maupun Lembaga Perlindungan Konsumen yang memberikan perlindungan terhadap nasabah;
e) Dengan adanya perkembangan era digital yang pesat dan semakin maraknya pencurian data nasabah, diperlukan adanya aturan khusus mengenai undang – undang tentang internet banking yang mana akan semakin mempermudah dalam memberikan perlindungan sesuai dengan prinsip kehati – hatian (Lukmanul Hakim, 2018: 10).
Tabel Peraturan Perlindungan Hukum Data Pribadi
NO PERATURAN BENTUK
PERLINDUNGAN
PASAL YANG MENGATUR 1. Undang –
Undang Dasar Negara Republik Indonesia Tahun 1945
Negara menjamin hak konstitusional terhadap perlindungan diri pribadi sebagai bagian dari hak privasi setiap warga negara termasuk dalam berbagai bidang. Salah satunya dibidang perbankan dimana data pribadi nasabah merupakan hak privasi nasabah yang bersifat rahasia mencangkup identitas nasabah yang wajib diberikan
keamanan dan
kerahasiaannya,
UUD 1945 Pasal 28 G ayat (1)
“Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda
yang di bawah
kekuasaannya, serta berhak atas rasa aman dan perlindungan dari ancaman ketakutan untuk berbuat atau tidak berbuat sesuatu yang merupakan hak asasi’’.
2. Undang –
Undang Nomor 39 Tahun 1999 tentang Hak Asasi Manusia
UU HAM menjelaskan adanya hak warga negara dalam memperoleh perlindungan hak pribadi, keluarga, kehormatan, martabat, dan hak miliknya.
Konteks yang dimaksud ini tidak hanya memberikan perlindungan secara hubungan langsung, tetapi juga tentang perlindungan atas informasi atau data pribadinya. Hal tersebut merupakan wujud
UU HAM Pasal 29
“Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan hak miliknya’’.
UU HAM Pasal 32
“Kemerdekaan dan rahasia dalam hubungan surat- menyurat termasuk hubungan komunikasi melalui sarana elektronik
dari menjamin kemerdekaan rahasia terhadap hubungan surat – menyurat dengan menggunakan sarana elektronik, kecuali karena perintah hakim ataupun kekuasaan yang sah sesuai dengan peraturan perundang – undangan. Sebenarnya secara tersirat, UU HAM melindungi kerahasiaan segala bentuk informasi atau data pribadi terkait surat – menyurat dalam bidang apapun yang menggunakan sarana elektronik. Seperti halnya dalam bidang perbankan terkait data pribadi nasabah dalam penggunaan kegiatan perbankan khususnya menggunakan internet banking.
tidak boleh diganggu, kecuali atas perintah hakim atau kekuasaan lain yang sah sesuai dengan ketentuan peraturan perundang- undangan”.
3. Undang –
Undang Nomor 10 Tahun 1998 tentang
Perbankan
Pengaturan tersebut memberikan perlindungan hukum kepada nasabah sesuai dengan prinsip kehati – hatian dan menjamin kerahasian nasabah memberikan adanya jaminan perlindungan hukum
Pasal 1 angka 28
“Rahasia Bank adalah segala sesuatu yang berhubungan dengan keterangan
mengenai nasabah
penyimpan dan
simpanannya”.
kepada nasabah sehingga
nasabah memiliki
kepercayaan untuk menghimpun dananya di bank dan juga bagi pihak bank menciptakan reputasi yang baik terkait pelayanan perbankan
Perlindungan hukum bagi nasabah dapat dilakukan dengan 2 (dua) cara, sebagai berikut:
a) Perlindungan secara implisit (implicit deposit protection), merupakan perlindungan yang dilakukan dengan cara
mengawasi dan
memberikan pembinaan yang efektif agar
terhindar dari
kebangkrutan bank melalui:
(1) Peraturan
perundang – undangan
perbankan;
(2) Bank Indonesia memberikan
Pasal 29 ayat (2)
“Bank wajib memelihara tingkat kesehatan bank sesuai dengan ketentuan kecukupan modal, kualitas aset, kualitas manajemen, likuiditas, rentabilitas, solvabilitas, dan aspek lain yang berhubungan dengan usaha bank, dan wajib melakukan kegiatan usaha sesuai dengan prinsip kehati- hatian”.
Pasal 40
(1) Bank wajib
merahasiakan
keterangan mengenai Nasabah Penyimpan dan simpanannya ,kecuali dalam hal sebagaimana dimaksud dalam pasal 41 , pasal 41 A, Pasal 42, Pasal 43, Pasal 44 dan Pasal 44 A.
(2) Ketentuan
sebagaimana dimaksud dalam ayat (1) berlaku
perlindungan dengan memberikan
pengawasan dan pembinaan;
(3) Secara khusus sebagai lembaga, berupaya dalam menjaga
kelangsungan kegiatan bank dan secara umum memberikan
perlindungan dalam sistem perbankan;
(4) Melakukan pemeliharaan terhadap tingkat kesehatan bank;
(5) Menerapkan
prinsip kehati – hatian dalam kegiatan
perbankan;
(6) Memberikan pelayanan
informasi risiko
pada bank
pula bagi pihak terafiliasi.
Pasal 47
(1) Barang siapa tanpa membawa perintah tertulis atau izin dari Pimpinan Bank Indonesia sebagaimana dimaksud dalam Pasal 41, Pasal 41A, dan Pasal 42, dengan sengaja memaksa bank atau Pihak Terafiliasi untuk memberikan keterangan
sebagaimana dimaksud dalam Pasal 40, diancam dengan pidana penjara sekurang- kurangnya 2 (dua) tahun dan paling lama 4 (empat) tahun serta denda sekurang-
kurangnya Rp
10.000.000.000,00 (sepuluh miliar rupiah) dan paling banyak Rp 200.000.000.000,00
(Lukmanul Hakim, 2018: 7).
b) Perlindungan secara eksplisit (explicit deposit protection), merupakan
perlindungan dengan membentuk lembaga untuk melindungi simpanan nasabah apabila terjadi kebangkrutan dengan cara mengganti simpanan dari nasabah. Pemberian perlindungan hukum bagi nasabah dapat dilakukan oleh bank yaitu:
(1) Penggunaan teknologi Secure Socket Layer (SSL)
128 bit
digunakan untuk memberikan perlindungan komunikasi
(dua ratus miliar rupiah).
(2) Anggota Dewan Komisaris, Direksi, pegawai bank atau Pihak Terafiliasi lainnya yang sengaja memberikan
keterangan yang wajib dirahasiakan menurut Pasal 40, diancam dengan pidana penjara sekurang-kurangnya 2 (dua) tahun serta denda sekurang-kurangnya Rp 4.000.000.000,00 (empat miliar rupiah) dan paling banyak Rp 8.000.000.000,00 (delapan miliar rupiah).
Pasal 52
(1) Dengan tidak mengurangi ketentuan pidana sebagaimana dimaksud dalam Pasal 47, Pasal 47A, Pasal 48, Pasal 49, dan Pasal 50A, Bank Indonesia dapat menetapkan
terhadap server bank dengan komputer nasabah dengan menggunakan metode time out apabila dalam waktu 10 (sepuluh) menit secara otomatis tertutup
apabila tidak ada kegiatan akses dari nasabah ke server bank;
(2) Kerahasiaan data pengguna internet
banking
terhadap akses informasi hanya boleh dilakukan oleh orang tertentu dan digunakan sesuai dengan
sanksi administratif kepada bank yang tidak memenuhi
kewajibannya
sebagaimana dimaksud dalam Undang-Undang ini, atau Pimpinan Bank Indonesia dapat mencabut izin usaha
bank yang
bersangkutan.
(2) Sanksi administratif sebagaimana dimaksud dalam ayat (1), antara lain adalah:
a. denda uang;
b. teguran tertulis;
c. penurunan tingkat kesehatan bank;
d. larangan untuk turut serta dalam kegiatan kliring;
e. pembekuan kegiatan usaha tertentu, baik untuk kantor cabang tertentu maupun untuk bank secara keseluruhan;
prosedur (pihak pegawai bank juga harus
memegang prinsip untuk menjaga
kerahasiaan nasabah).
Dengan
demikian, tidak diperbolehkan dari pihak bank untuk menjual data informasi kepada pihak lain;
(3) Pengumpulan informasi data pengunjung internet
banking tidak serta merta dilakukan secara otomatis oleh bank;
(4) Bentuk informasi umum yang
f. pemberhentian pengurus bank dan selanjutnya
menunjuk mengangkat
pengganti sementara sampai Rapat Umum Pemegang Saham atau Rapat Anggota Koperasi mengangkat
pengganti yang tetap dengan persetujuan Bank Indonesia;
g. pencantuman
anggota, pengurus, pegawai bank, pemegang saham dalam daftar orang tercela di bidang Perbankan.
(3) Pelaksanaan lebih lanjut mengenai sanksi administratif
ditetapkan oleh Bank Indonesia."
digunakan dan dikumpulkan yaitu:
(a) Hari, tanggal, dan waktu;
(b) Browser;
(c) Internet banking;
(d) Jenis rekening;
(e) Domain untuk mengakse s internet.
(5) Dalam menjamin keamanan nasabah pengguna internet banking, dilakukan input data seperti user ID dan PIN serta apabila
transaksi bersifat
financial maka dimasukkan kembali PIN tersebut;
(6) Penggunaan internet
banking untuk saat ini dilakukan dengan menggunakan Microsoft explorer 5.01 atau netscape communicator 4.7 (Lukmanul Hakim, 2018:
8).
4 Undang –
Undang Nomor 24 Tahun 2013 tentang
Perubahan Atas
Undang –
Undang Nomor 23 Tahun 2006 tentang
Administrasi Kependudukan
UU Adminduk memberikan pengakuan terhadap data pribadi sebagai data perseorangan yang wajib dilindungi informasi kerahasiaan datanya, dirawat, dijaga kebenarannya oleh negara. Data pribadi penduduk yang harus dilindungi meliputi keterangan tentang cacat fisik dan/atau mental, sidik jari, iris
Pasal 2
Setiap Penduduk
mempunyai hak untuk memperoleh:
a. Dokumen Kependudukan;
b. pelayanan yang sama dalam Pendaftaran
Penduduk dan
Pencatatan Sipil;
mata, tanda tangan serta elemen data lainnya yang merupakan aib seseorang.
Keterkaitan mengenai perlindungan data pribadi di bidang perbankan salah satunya adalah tanda tangan dimana dalam setiap kegiatan perbankan baik sebagai calon nasabah maupun nasabah yang akan melakukan kegiatan perbankan lainnya selalu disertakan dengan tanda tangan nasabah. Hal tersebut menegaskan bahwa UU Adminduk juga memberikan perlindungan terhadap data pribadi penduduk. UU ini juga menerapkan sanksi bagi setiap orang yang tanpa hak menyalahgunakan data pribadi dengan menyebarluaskannya dapat dikenai sanksi.
c. perlindungan atas Data Pribadi;
d. kepastian hukum atas kepemilikan dokumen;
e. informasi mengenai data hasil Pendaftaran
Penduduk dan
Pencatatan Sipil atas dirinya dan/atau keluarganya; dan
f. ganti rugi dan pemulihan nama baik sebagai akibat kesalahan dalam Pendaftaran Penduduk dan Pencatatan Sipil serta penyalahgunaan Data Pribadi oleh Instansi Pelaksana.
Pasal 84 UU Adminduk (1) Data Pribadi Penduduk
yang harus dilindungi memuat:
a. keterangan tentang cacat fisik dan/atau mental;
b. sidik jari;
c. iris mata;
d. tanda tangan; dan
e. elemen data lainnya yang merupakan aib seseorang
Pasal 95A
“Setiap orang yang tanpa hak menyebarluaskan Data Kependudukan sebagaimana dimaksud dalam Pasal 79 ayat (3) dan Data Pribadi sebagaimana dimaksud dalam Pasal 86 ayat (1a) dipidana dengan pidana penjara paling lama 2 (dua) tahun dan/atau denda paling banyak Rp25.000.000,00 (dua puluh lima juta rupiah).
5. Undang –
Undang Nomor 19 Tahun 2016 tentang
Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi Dan Transaksi
Elektronik
UU ITE dapat memberikan perlindungan untuk dijadikan sebagai sarana meningkatkan keamanan dan kenyamanan dalam kegiatan di sektor perbankan, karena semua data yang yang dijadikan sebagai data pribadi nasabah merupakan data yang terdiri dari informasi elektronik dan dokumen elektronik, dimana data tersebut disimpan melalui
Pasal 26 ayat (1) dan (2) (1) Kecuali ditentukan lain
oleh peraturan perundang-undangan, penggunaan setiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan Orang yang bersangkutan.
sistem elektronik. Walaupun peraturan tersebut tidak diatur secara eksplisit, akan tetapi informasi elektronik dan dokumen elektronik juga dapat menjadi objek spesifik dari data pribadi. Dengan demikian, apabila terjadi penyalahgunaan data pribadi oleh pihak lain tanpa seijin pemilik, maka dapat dimintai pertanggung jawaban dan setiap orang yang menyalahgunakan dengan
muatan informasi
elektronik/dokumen
elektronik dapat dikenakan sanksi administratif.
(2) Setiap Orang yang dilanggar haknya sebagaimana dimaksud pada ayat (1) dapat mengajukan gugatan atas kerugian yang ditimbulkan
berdasarkan Undang- Undang ini.
Pasal 32 jo Pasal 48 Pasal 32
(1) Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum dengan cara apapun mengubah, menambah, mengurangi,
melakukan transmisi, merusak,
menghilangkan, memindahkan, menyembunyikan suatu Informasi Elektronik dan/atau Dokumen Elektronik milik Orang lain atau milik publik.
(2) Setiap Orang dengan sengaja dan tanpa hak
atau melawan hukum dengan cara apapun memindahkan atau mentransfer Informasi Elektronik dan/atau Dokumen Elektronik kepada Sistem Elektronik Orang lain yang tidak berhak.
(3) Terhadap perbuatan sebagaimana dimaksud pada ayat (1) yang mengakibatkan
terbukanya suatu Informasi Elektronik dan/atau Dokumen Elektronik yang bersifat rahasia menjadi dapat diakses oleh publik dengan keutuhan data yang tidak sebagaimana mestinya.
Pasal 48
(1) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (1) dipidana dengan pidana
penjara paling lama 8 (delapan) tahun dan/atau denda paling banyak
Rp2.000.000.000,00 (dua miliar rupiah).
(2) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (2) dipidana dengan pidana penjara paling lama 9 (sembilan) tahun dan/atau denda paling banyak
Rp3.000.000.000,00 (tiga miliar rupiah).
(3) Setiap Orang yang memenuhi unsur sebagaimana dimaksud dalam Pasal 32 ayat (3) dipidana dengan pidana penjara paling lama 10 (sepuluh) tahun dan/atau denda paling banyak
Rp5.000.000.000,00 (lima miliar rupiah).
6 Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraa n Sistem Dan Transaksi
Elektronik Pasal 14
Berdasarkan PP PSTE, secara implisit bank merupakan penyelenggara sistem elektronik privat karena memiliki otoritas pengatur dan pengawas sektor keuangan dimana memiliki kapasitas dalam melakukan pemrosesan data pribadi dalam rangka melakukan kegiatan operasional perbankan untuk melayani masyarakat dalam kegiatan transaksi elektronik.
Bank memiliki kewajiban memberikan perlindungan data pribadi nasabah untuk melindungi keamanan dan kerahasiaan data pribadi dari penyalahgunaan oleh pihak yang tidak berwenang.
Menurut peraturan ini, apabila pihak penyelenggara sistem elektronik terjadi kegagalan dalam perlindungan terhadap data pribadi maka wajib memberikan pemberitahuan
PP PSTE Pasal 2 ayat (2)
“Penyelenggara Sistem Elektronik sebagaimana dimaksud pada ayat (1) meliputi:
c. Penyelenggara Sistem Elektronik Lingkup Publik; dan
d. Penyelenggara Sistem Elektronik Lingkup Privat”.
PP PSTE Pasal 2 ayat (5)
“Penyelenggara Sistem Elektronik Lingkup Privat sebagaimana dimaksud pada ayat (2) huruf b
meliputi:
a. Penyelenggara Sistem Elektronik yang diatur atau diawasi oleh Kementerian atau Lembaga berdasarkan ketentuan peraturan perundang-undangan;
dan
b. Penyelenggara Sistem Elektronik yang
secara tertulis terhadap pemilik data.
memiliki portal, situs, atau aplikasi dalam jaringan melalui internet yang dipergunakan untuk:
1. menyediakan,
mengelola, dan/atau mengoperasikan penawaran dan/atau perdagangan barang dan/atau jasa;
2. menyediakan,
mengelola, dan/atau mengoperasikan layanan transaksi keuangan;
3. pengiriman materi atau muatan digital berbayar melalui jaringan data baik dengan cara unduh melalui portal atau situs, pengiriman
lewat surat
elektronik, atau melalui aplikasi lain ke perangkat pengguna;
4. menyediakan,
mengelola, dan/atau mengoperasikan layanan komunikasi meliputi namun tidak terbatas pada pesan singkat, panggilan suara, panggilan video, surat elektronik, dan percakapan dalam jaringan dalam bentuk platform digital, layanan jejaring dan media sosial;
5. layanan mesin pencari, layanan penyediaan
Informasi Elektronik yang berbentuk tulisan, suara, gambar, animasi, musik, video, film, dan permainan atau kombinasi dari sebagian dan/atau seluruhnya; dan/atau
6. pemrosesan Data Pribadi untuk kegiatan operasional melayani masyarakat yang terkait
dengan aktivitas Transaksi
Elektronik”.
PP PSTE Pasal 14 Pasal 14 ayat (1)
“Penyelenggara Sistem
Elektronik wajib
melaksanakan prinsip perlindungan Data Pribadi
dalam melakukan
pemrosesan Data Pribadi meliputi:
a. pengumpulan Data Pribadi dilakukan secara terbatas dan spesifik, sah secara hukum, adil, dengan sepengetahuan dan persetujuan dari pemilik Data Pribadi;
b. pemrosesan Data Pribadi dilakukan sesuai dengan tujuannya;
c. pemrosesan Data Pribadi dilakukan dengan
menjamin hak pemilik Data Pribadi;
d. pemrosesan Data Pribadi dilakukan secara akurat, lengkap, tidak menyesatkan, mutakhir, dapat
dipertanggungjawabkan, dan memperhatikan tujuan pemrosesan Data Pribadi;
e. pemrosesan Data Pribadi dilakukan dengan melindungi keamanan Data Pribadi dari kehilangan,
penyalahgunaan, Akses dan pengungkapan yang tidak sah, serta pengubahan atau perusakan Data Pribadi;
f. pemrosesan Data Pribadi dilakukan dengan memberitahukan tujuan pengumpulan, aktivitas g. pemrosesan, dan
kegagalan perlindungan Data Pribadi; dan pemrosesan Data Pribadi
dimusnahkan dan/atau dihapus kecuali masih dalam masa retensi sesuai dengan kebutuhan berdasarkan ketentuan peraturan perundang- undangan”.
PP PSTE Pasal 14 Pasal 14 ayat (5)
“Jika terjadi kegagalan dalam perlindungan terhadap Data Pribadi yang dikelolanya, Penyelenggara Sistem Elektronik wajib memberitahukan secara tertulis kepada pemilik Data Pribadi tersebut”.
PP PSTE Pasal 32
(1) Setiap orang yang bekerja di lingkungan penyelenggaraan Sistem Elektronik wajib mengamankan dan melindungi sarana dan prasarana Sistem Elektronik atau informasi yang disalurkan melalui Sistem Elektronik.
(2) Penyelenggara Sistem Elektronik wajib menyediakan,
mendidik, dan melatih personil yang bertugas dan bertanggung jawab terhadap pengamanan dan perlindungan sarana dan prasarana Sistem Elektronik.
PP PSTE Pasal 100 ayat 2 Sanksi administratif sebagaimana dimaksud pada ayat (1) dapat berupa:
a. teguran tertulis;
b. denda administratif;
c. penghentian sementara;
d. pemutusan Akses;
dan/atau
e. dikeluarkan dari daftar 7 Peraturan
Otoritas Jasa Keuangan Nomor 1/POJK 07/2013 tentang Perlindungan Konsumen Sektor Jasa Keuangan
Peraturan ini menyebutkan bahwa pelaku usaha jasa keuangan yang salah satunya adalah bank dilarang untuk
tidak memberikan
data/informasi konsumen terhadap pihak ketiga dan
wajib melakukan
pengendalian internal seperti
Pasal 31
(1) Pelaku Usaha Jasa Keuangan dilarang dengan cara apapun, memberikan data dan/atau informasi mengenai
Konsumennya kepada pihak ketiga.
pelaksanaan prinsip – prinsip perlindungan konsumen serta monitoring pengaduan konsumen. Selain itu, Otoritas Jasa Keuangan memiliki kewajiban melakukan pengawasan terhadap kepatuhan bank dalam penerapan perlindungan konsumen. Sehingga, apabila bank melanggar dalam penyalahgunaan
data/informasi konsumen dapat dikenai sanksi administratif seperti peringatan, denda, pembatasan kegiatan usaha, pembekuan kegiatan usaha, serta pencabutan izin usaha.
(2) Larangan sebagaimana dimaksud pada ayat (1) dikecualikan dalam hal:
a. Konsumen memberikan persetujuan tertulis; dan/atau b. diwajibkan oleh
peraturan perundang- undangan.
(3) Dalam hal Pelaku Usaha Jasa Keuangan memperoleh data dan/atau informasi pribadi seseorang dan/atau sekelompok orang dari pihak lain dan Pelaku Usaha Jasa Keuangan akan menggunakan data dan/atau informasi tersebut untuk melaksanakan
kegiatannya, Pelaku Usaha Jasa Keuangan wajib memiliki pernyataan tertulis
bahwa pihak lain dimaksud telah memperoleh
persetujuan tertulis dari seseorang dan/atau sekelompok orang tersebut untuk memberikan data dan/atau informasi pribadi dimaksud kepada pihak manapun, termasuk Pelaku Usaha Jasa Keuangan.
(4) Pembatalan atau perubahan sebagian persetujuan atas pengungkapan data dan atau informasi sebagaimana dimaksud pada ayat (2) huruf a dilakukan secara tertulis oleh Konsumen dalam bentuk surat pernyataan.
Pasal 50 ayat (1)
“Pelaku Usaha Jasa Keuangan wajib memiliki sistem pengendalian
internal terkait dengan perlindungan Konsumen”
Pasal 53 ayat (1)
(1) Pelaku Usaha Jasa Keuangan dan/atau pihak yang melanggar ketentuan dalam Peraturan Otoritas Jasa
Keuangan ini
dikenakan sanksi administratif, antara lain berupa:
a. Peringatan tertulis;
b. Denda yaitu kewajiban untuk membayar
sejumlah uang tertentu;
c. Pembatasan kegiatan usaha;
d. Pembekuan
kegiatan usaha;
dan
e. Pencabutan izin kegiatan usaha 8 Peraturan Bank
Indonesia
Nomor 16/ 1 /Pbi/2014
PBI memberikan pengaturan tentang Penyelenggara jasa sistem pembayaran adalah bank dimana bank wajib
Pasal 10
“Penyelenggara wajib bertanggung jawab kepada Konsumen atas kerugian
tentang Perlindungan Konsumen Jasa Sistem
Pembayaran
memberikan perlindungan dan kerahasiaan data/informasi konsumen sesuai dengan prinsip – prinsip perlindungan konsumen. Hal ini memiliki kewajiban bagi bank untuk melaksanakan mekanisme pengaduan bagi konsumen dan memiliki sistem pengendalian internal. Bank dapat dimintai pertanggungjawaban atas kerugian yang timbul akibat terjadi kesalahan yang dilakukan oleh pengurus dan pegawai bank serta dapat dikenakan sanksi administratif seperti teguran, dendam penghentian sementara atau seluruh kegiatan sistem pembayaran dan pencabutan izin.
yang timbul akibat kesalahan pengurus dan pegawai Penyelenggara”.
Pasal 14
(1) Penyelenggara wajib menjaga kerahasiaan data dan/atau informasi Konsumen.
(2) Dalam rangka menjaga kerahasiaan data dan/atau informasi Konsumen
sebagaimana dimaksud pada ayat (1), Penyelenggara wajib
memiliki dan
melaksanakan
kebijakan perlindungan data dan/atau informasi Konsumen.
Pasal 15 ayat (1)
“Penyelenggara dilarang memberikan data dan/atau informasi
Konsumen kepada pihak lain”.
Pasal 16 ayat (1)
“Penyelenggara wajib memiliki dan melaksanakan mekanisme
penanganan pengaduan bagi Konsumen”.
Pasal 29 ayat (1)
Penyelenggara yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 5, Pasal 6, Pasal 7, Pasal 8, Pasal 9, Pasal 10, Pasal 11,
Pasal 12, Pasal 13, Pasal 14, Pasal 15, Pasal 16, Pasal 17, Pasal 18, Pasal 19, Pasal 21 ayat (1) huruf b, Pasal 21 ayat (1) huruf c, Pasal 22, Pasal 24, Pasal 25, dan Pasal 26 dikenakan sanksi administratif
berupa:
a. teguran tertulis;
b. denda;
c. penghentian sementara sebagian atau seluruh kegiatan jasa Sistem Pembayaran; dan/atau d. pencabutan izin
penyelenggaraan
kegiatan jasa Sistem Pembayaran.
9 Surat Edaran Otoritas Jasa Keuangan Nomor 14/SEOJK 07/2014 tentang Kerahasiaan dan Keamanan Data dan/atau
Informasi Pribadi Konsumen
Dalam melakukan kegiatan perbankan, secara tegas bank dilarang memberikan data/informasi pribadi kepada pihak ketiga kecuali atas persetujuan konsumen dan diwajibkan oleh peraturan perundang – undangan. Selain itu, bank harus membuat kebijakan terkait penggunaan data/informasi pribadi secara tertulis.
10. . RUU PDP RUU PDP memberikan perlindungan kepada setiap pemilik data pribadi dengan membagi ke dalam 2 (dua) kategori, yaitu data pribadi yang bersifat umum dan data pribadi yang bersifat khusus.
RUU PDP ini berlaku untuk setiap orang, badan publik, pelaku usaha, dan organisasi/institusi. Hal ini
dapat dikaitkan dalam sektor perbankan terkait data pribadi nasabah sebagai data yang bersifat khusus, dimana didalamnya mengandung unsur kerahasiaan data. Selain itu, RUU tersebut juga menekankan adanya sanksi bagi yang menyalahgunakan data pribadi nasabah
B. Tanggung Jawab Perbankan atas Penjualan Bebas Data Pribadi Nasabah Untuk Kepentingan Pemasaran Produk Perbankan
1. Tanggung Jawab Pidana
Lahirnya nilai-nilai Pancasila dan UUD 1945 yang mengutamakan pada forum mediasi dan asas musyawarah, merupakan tindakan yang baik dan menguntungkan kedua belah pihak dengan mengesampingkan penyelesaian melalui jalur hukum atau pengadilan. Hal ini juga dapat dilakukan dalam penyelesaian pelanggaran hak nasabah (Lukman Santoso Az, 2011: 126).
Kedudukan bank sebagai pelaku usaha dalam mengupayakan peningkatan dan pemberdayaan nasabah, maka bank wajib memiliki infrastruktur dan layanan masyarakat terkait pengaduan yang disampaikan oleh nasabah. Bentuk mekanisme penyelesaian ini harus berlaku secara efektif dan efisien sesuai dengan ketentuan standar waktu dan pelayanan (Joice Irma Runtu Thomas, 2013: 128-129).
Menurut Epstein, tanggung jawab pidana dapat berlaku bagi pelaku tindak pidana tertentu, tanpa harus memberikan pembuktian unsur kesalahan, cukup dengan actus reus dapat diberikan penjatuhan pidana.
Penerapan tersebut juga diberlakukan di Indonesia khususnya dalam lingkup hukum lingkungan dan hukum perlindungan konsumen yang lazimnya disebut tanggung jawab absolut (Pujiyono dan Sugeng Riyanta, 2020: 6).
Berdasarkan ketentuan dalam UU Perbankan, pihak bank memiliki tanggung jawab terhadap nasabah atas terjadinya kerugian dalam memberikan fasilitas internet banking maupun adanya kebocoran data nasabah karena kelalaian pihak bank. Dengan begitu seperti pada Pasal 42 ayat (1) dan Pasal 47. Pasal 42 ayat (1), bahwa: “Untuk kepentingan dalam perkara pidana Menteri dapat memberi izin kepada polisi, jaksa, atau hakim untuk memperoleh keterangan dari bank tentang keadaan keuangan tersangka / terdakwa pada bank.“ Berikut adalah bentuk tanggung jawab
pidana terhadap pelaku yang menyalahgunakan atau menjual data pribadi yang tercantum dalam Pasal 47 sebagai berikut:
Pasal 47, bahwa:
(1) Barang siapa tanpa membawa perintah tertulis dari Menteri kepada bank sebagaimana dimaksud dalam Pasal 41 atau tanpa izin Menteri sebagaimana dimaksud dalam Pasal 42 dengan sengaja memaksa bank atau pihak terafiliasi untuk memberikan keterangan sebagaimana dimaksud dalam Pasal 40, diancam dengan pidana penjara paling lama 3 (tiga) tahun dan denda paling banyak Rp.
3.000.000.000,00 (tiga miliar rupiah).
(2) Anggota Dewan Komisaris, Direksi, pegawai bank, atau Pihak Terafiliasi lainnya dengan sengaja memberikan keterangan yang wajib dirahasiakan menurut Pasal 40, diancam dengan pidana penjara paling lama 2 (dua) tahun dan denda paling banyak Rp.
2.000.000.000,00 (dua miliar rupiah).
Pegawai bank yang telah disebutkan diatas merupakan salah satu pihak terafiliasi yang mempunyai kewajiban menjaga kerahasiaan bank.
Adanya jual beli data pribadi nasabah oleh pihak yang tidak bertanggung jawab memberikan kesempatan untuk mendapatkan keuntungan pribadi dan tersebar luasnya data pribadi tersebut ke masyarakat. Tanpa adanya kesepakatan terlebih dahulu mengenai pembukaan rahasia bank seperti data pribadi milik nasabah yang dirugikan yang akan dapat meniadakan kewajiban rahasia bank.
Bentuk pelanggaran rahasia bank yang dilakukan oleh pegawai bank adalah ketika pegawai bank tanpa persetujuan tertulis dari nasabah membocorkan data pribadi kepada pihak ketiga. Hal ini termasuk dalam konsep hukum tentang kewajiban hukum mengenai tanggung jawab hukum.
Adanya diterapkan untuk menjaga kepercayaan nasabah untuk menghindari penyalahgunaan dan kerugian nasabah diperlukan pengaturan mengenai manajemen risiko perbankan yang dapat digunakan untuk mengendalikan resiko, mengukur, dan memantau kegiatan operasional bank. Pengaturan tersebut diatur dalam Peraturan Bank
Indonesia Nomor 5/8/PBI/2003 yang isinya mengatur resiko – resiko perbankan meliputi:
a. Resiko Kredit;
b. Resiko Pasar;
c. Resiko Likuiditas;
d. Resiko Operasional;
e. Resiko Hukum;
f. Resiko Reputasi;
g. Resiko Strategik h. Resiko Kepatuhan
Perkembangan sengketa bank dan nasabah masih sering terjadi sehingga banyak nasabah yang mengalami kesulitan dalam mendapatkan ganti kerugian melalui pengadilan. Sebenarnya, bank Indonesia telah mengatur terkait bentuk kewajiban bank untuk melayani pengaduan nasabah. Peraturan tersebut tercantum dalam Peraturan Bank Indonesia No. 7/PBI/2005 tentang Penyelesaian Pengaduan Nasabah (Joice Irma Runtu Thomas, 2013: 130).
Peraturan tersebut menjamin secara efektif penanganan yang memadai dalam penyelesaian masalah perbankan. Walaupun, pada kondisi yang ada nasabah tidak mencapai kepuasan karena tuntutannya tidak terpenuhi.
Semenjak kewenangan pengawasan perbankan menjadi kewenangan OJK, makan terkait manajemen resiko OJK juga menerbitkan ketentuan Peraturan Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko Penggunaan Teknologi Informasi Oleh Bank Umum. Pengaturan tersebut menjelaskan dalam penggunaan sistem teknologi informasi, pihak bank untuk lebih aktif melakukan pengawasan meliputi pengawasan direksi dan komisaris, prosedur penggunaan teknologi informasi, kecukupan proses identifikasi, kecukupan kebijakan,
