BI siapkan aturan data pembayaran—fintech menghadapi pagar PDP

Dalam siaran pers 21 Oktober 2026, Bank Indonesia menyatakan tengah menyiapkan Peraturan Bank Indonesia (PBI) tentang Pengaturan Data Sistem Pembayaran sebagai dasar hukum pertukaran data yang sesuai dengan Undang-Undang Pelindungan Data Pribadi (UU PDP). Penyiapan infrastruktur dan aturan itu masuk agenda mulai triwulan IV 2026. Bagi pelaku fintech pembayaran, pengumuman tersebut berarti rancangan pertukaran data harus dibaca bersama kewajiban pelindungan data pribadi yang sudah berlaku.

Kontan mencatat rencana penerapan aturan data pembayaran itu dalam laporannya dari Jakarta pada 21 Oktober 2026. BI belum merinci elemen data yang akan dapat dipertukarkan, pihak yang memperoleh akses, ataupun syarat tiap penggunaan. Pertanyaan terdekat bagi penyelenggara pembayaran dan mitranya adalah bagaimana membedakan data yang diperlukan untuk suatu layanan dari data pribadi yang tidak perlu diteruskan.

Aturan industri yang berlaku sudah menjangkau mitra pembayaran

Ringkasan resmi PBI Nomor 10 Tahun 2025 menyebut aturan industri sistem pembayaran itu berlaku sejak 31 Maret 2026. Cakupannya meliputi Penyelenggara Jasa Sistem Pembayaran (PSP), penyelenggara penunjang, peserta infrastruktur, Pihak Terhubung, serta pihak yang bekerja sama dengan PSP dan peserta. Dengan demikian, pembahasan pertukaran data tidak terbatas pada perusahaan yang aplikasinya dipakai langsung oleh konsumen.

Dalam aturan industri tersebut, ruang lingkup pengaturan mencakup infrastruktur data, tata kelola, manajemen risiko, data atau informasi sistem pembayaran, dan pengawasan. BI ditempatkan sebagai penyelenggara infrastruktur data dengan fungsi mengidentifikasi calon pengguna dan pengguna jasa secara unik, mengidentifikasi serta mengukur integritas transaksi, mempertukarkan dan menyimpan data pembayaran, serta menyediakan layanan data lainnya. Pihak Terhubung dapat mencakup BI, PSP, dan pihak lain. Rangkaian fungsi ini menjelaskan mengapa batas akses akan berpengaruh pada hubungan antara penyelenggara utama, peserta, dan mitra penunjangnya.

Aturan yang sudah berlaku juga memuat contoh pertukaran yang lebih spesifik dalam praktik pasar. PSP dan peserta dapat saling bertukar data atau informasi mengenai mitra dan pengguna jasa yang melakukan tindakan merugikan, berpotensi merugikan, tidak sesuai dengan peruntukan pemrosesan pembayaran, atau melanggar ketentuan. Mereka dapat pula mengusulkan pencantuman nama pihak terkait pada daftar hitam. Ruang pertukaran untuk tujuan tersebut tidak berarti semua informasi tentang pengguna dapat dibuka kepada setiap peserta infrastruktur.

Jenis data dan tujuan pertukarannya perlu dibedakan

Kerangka industri menjelaskan kegiatan pemrosesan, mulai dari memperoleh dan mengumpulkan data, mengolah serta menganalisisnya, menyimpan dan memperbarui, hingga mentransfer, mengungkapkan, menghapus, atau memusnahkannya. Data dapat diperoleh melalui laporan kepada BI ataupun koneksi antarsistem. Uraian kegiatan itu memberi gambaran tentang alur yang diatur, tetapi belum menjadi daftar elemen data yang boleh diminta oleh fintech untuk setiap produk atau kerja sama.

Perbedaannya penting dalam operasi pembayaran. Identitas dipakai untuk mengenali pengguna secara unik, data transaksi dapat diteruskan untuk menjalankan pembayaran, sedangkan informasi mengenai integritas transaksi berkaitan dengan penilaian atas transaksi tersebut. Ketiganya muncul dalam fungsi yang disebut aturan industri, tetapi tujuan pemrosesannya tidak otomatis sama. Bila satu mitra hanya menjalankan penerusan transaksi, kebutuhan aksesnya harus dapat dibedakan dari pihak yang menjalankan fungsi identifikasi atau penilaian integritas.

PBI yang sedang disiapkan akan menjadi penentu bagi rincian pertukaran melalui infrastruktur data BI: kategori informasi, mekanisme permintaan dan pemberian akses, serta hubungan antarpihak yang terhubung. Sampai ketentuan itu terbit, pengumuman agenda kebijakan belum dapat dipakai sebagai izin umum untuk memperluas pembagian data pribadi. Batas yang sudah jelas adalah arah kebijakannya: pertukaran data pembayaran harus memiliki dasar hukum yang selaras dengan UU PDP.

Matriks kesiapan menghubungkan alur pembayaran dengan PDP

Bagi fintech, pekerjaan persiapan yang paling konkret adalah mencocokkan alur data yang telah berjalan dengan tujuan, penerima, dan bukti pengendaliannya. Matriks berikut merangkum pertanyaan operasional yang timbul dari fungsi infrastruktur BI dan kebutuhan pelindungan data pribadi. Ini merupakan kerangka persiapan internal, bukan rincian kewajiban baru yang telah diumumkan dalam PBI data pembayaran.

• Dasar pemrosesan: untuk setiap alur, catat tujuan penggunaan data pribadi dan dasar pemrosesan yang dipakai. Hubungkan catatan itu dengan pihak yang mengumpulkan, mengirim, dan menerima data, sehingga tujuan awal tetap terlihat setelah informasi berpindah.
• Klasifikasi data: pisahkan elemen identitas pengguna, informasi transaksi, dan data yang digunakan untuk menilai integritas transaksi. Pemetaan per elemen membantu menjelaskan mengapa penerima memerlukan informasi tertentu, alih-alih memperoleh seluruh isi catatan pembayaran.
• Retensi: tetapkan alasan serta jangka penyimpanan pada sistem sendiri dan sistem mitra. Pemetaan ini perlu mencakup salinan yang timbul dari transfer, juga cara memperbaiki atau menghapus data ketika tujuan pemrosesan telah selesai.
• Akses Pihak Terhubung: identifikasi badan usaha dan peran yang boleh meminta, melihat, memakai, atau meneruskan data. Catat bagaimana hak tersebut berubah ketika fungsi layanan atau hubungan kerja sama berubah.
• Jejak audit: simpan catatan permintaan, keputusan pemberian akses, penerima, transfer, perubahan, dan penghapusan data. Catatan yang dapat ditelusuri menghubungkan suatu pertukaran dengan tujuan dan pihak yang bertanggung jawab.

Matriks tersebut juga memperjelas pembagian pekerjaan. PSP perlu mengetahui data yang dihasilkan dan digunakan dalam layanan pembayarannya; penyelenggara penunjang perlu menjelaskan pemrosesan yang dilakukan dalam fungsi pendukungnya; pihak penerima akses perlu mengetahui batas penggunaan setelah data diterima. Jika peran di atas kertas berbeda dari alur dalam sistem, dasar pemrosesan dan kendali akses akan sulit dijelaskan secara konsisten.

Keputusan berikutnya yang ditunggu industri adalah penerbitan PBI khusus data pembayaran. Rincian mengenai klasifikasi informasi, mekanisme pertukaran, dan hak akses Pihak Terhubung akan menentukan seberapa jauh matriks tersebut harus diterapkan pada koneksi ke infrastruktur BI dan kerja sama antarpelaku.

Baca juga:

• Clerky bergabung dengan Stripe—dokumen hukum masuk ke mesin distribusi fintech
• G20 menyepakati Carolina Principles—aturan AI baru bukan pilihan utama
• Email muncul di kebocoran data—ganti sandi saja belum cukup