Sejak 17 Oktober 2024, masa transisi dua tahun Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) resmi berakhir. Artinya, seluruh organisasi yang memproses data pribadi warga Indonesia, termasuk penyedia aplikasi credit scoring, kini sepenuhnya tunduk pada kewajiban hukum UU PDP, tanpa ruang toleransi “masih dalam masa adaptasi” seperti sebelumnya. Sanksi yang berlaku pun bukan lagi ancaman di atas kertas: denda administratif dapat mencapai 2 persen dari pendapatan tahunan perusahaan, sementara pelanggaran pidana terkait pengungkapan data pribadi secara tidak sah bisa dikenakan hukuman penjara 4 hingga 5 tahun dan denda hingga Rp5 miliar.

Kewajiban perlindungan data pribadi oleh pelaku usaha berupa perusahaan teknologi penyedia aplikasi credit scoring, dalam kaitannya dengan Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UU P2SK) dan UU PDP, menjadi hal signifikan yang sangat perlu menjadi perhatian pelaku usaha. Di era digital yang semakin maju ini, penggunaan teknologi dalam sektor keuangan semakin meluas. Salah satu teknologi yang telah banyak digunakan adalah aplikasi credit scoring, yang membantu perusahaan dan lembaga keuangan dalam menilai kredit dan risiko keuangan. Namun, penggunaan teknologi ini juga memunculkan kekhawatiran mengenai perlindungan data pribadi pengguna, mengingat aplikasi credit scoring menggunakan data pribadi spesifik dan umum sebagaimana diatur dalam UU PDP, yaitu:

• Data Pribadi Spesifik, mencakup data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan/atau data lainnya.
• Data Pribadi Umum, mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, dan/atau data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.

Kerangka Regulasi yang Kini Semakin Lengkap

Untuk menjaga hak-hak pengguna dan melindungi data pribadi mereka, pemerintah telah menerbitkan beberapa undang-undang dan peraturan yang relevan. UU PDP bertujuan melindungi data pribadi individu dari pengumpulan, penggunaan, pengungkapan, dan pemrosesan yang tidak sah. Perusahaan teknologi penyedia aplikasi credit scoring memiliki kewajiban untuk mematuhi ketentuan undang-undang ini. Mereka harus memastikan bahwa data pribadi yang dikumpulkan dari pengguna hanya digunakan sesuai dengan persetujuan pengguna dan hanya untuk tujuan yang sah.

Dalam kaitannya dengan UU P2SK, perusahaan teknologi penyedia aplikasi credit scoring juga harus mematuhi ketentuan-ketentuan yang terkait dengan perlindungan data pribadi. Undang-undang ini bertujuan memastikan stabilitas dan integritas sektor keuangan, sambil melindungi kepentingan konsumen. Dalam hal ini, perlindungan data pribadi pengguna menjadi bagian penting dari kepentingan konsumen yang perlu dijaga dengan baik.

Yang membedakan lanskap regulasi hari ini dari saat isu ini pertama kali dibahas, OJK kini telah menerbitkan Peraturan OJK Nomor 29 Tahun 2024 tentang Pemeringkat Kredit Alternatif, yang secara resmi mengubah istilah Innovative Credit Scoring (ICS) menjadi Alternative Credit Scoring (ACS) sebagai kategori baru Inovasi Teknologi Sektor Keuangan. Melalui POJK ini, penyedia aplikasi credit scoring yang mengolah data non keuangan seperti data telekomunikasi, e-commerce, hingga aktivitas media sosial untuk menilai kelayakan kredit, kini wajib memperoleh izin usaha resmi dari OJK, bukan lagi sekadar terdaftar di bawah skema regulatory sandbox seperti sebelumnya. Penyelenggara ICS yang sudah terdaftar sebelum POJK ini terbit diwajibkan mengajukan izin usaha ACS ke OJK. Artinya, kepatuhan penyedia credit scoring kini bersifat dua lapis, tunduk pada UU PDP untuk aspek perlindungan data pribadi penggunanya, sekaligus tunduk pada POJK 29/2024 untuk aspek legalitas model bisnisnya sebagai penyelenggara jasa keuangan.

Kesenjangan yang Masih Perlu Diwaspadai

Meski UU PDP telah berlaku penuh, satu tantangan struktural yang masih berlangsung hingga pertengahan 2026 adalah belum terbentuknya secara resmi Lembaga Perlindungan Data Pribadi (Lembaga PDP) yang diamanatkan Pasal 58 UU PDP untuk menjadi otoritas pengawas independen. Untuk sementara, penegakan hukum dijalankan Kementerian Komunikasi dan Digital melalui Direktorat Jenderal Pengawasan Ruang Digital berdasarkan Peraturan Menteri Komdigi 1/2025, sementara rancangan Peraturan Presiden mengenai struktur Lembaga PDP baru memasuki tahap harmonisasi di Kementerian Hukum. Bagi perusahaan penyedia aplikasi credit scoring, kekosongan otoritas pengawas khusus ini bukan alasan untuk menunda kepatuhan, sebab penegakan sanksi tetap berjalan melalui jalur yang ada saat ini, dan risiko hukumnya sepenuhnya nyata sejak Oktober 2024.

Kesimpulan

Perlindungan data pribadi dalam aplikasi credit scoring bukan lagi sekadar praktik baik yang dianjurkan, melainkan kewajiban hukum berlapis yang mengikat penuh sejak berakhirnya masa transisi UU PDP, diperkuat lagi oleh kewajiban perizinan khusus melalui POJK 29/2024 bagi penyelenggara Alternative Credit Scoring. Perusahaan teknologi yang mengelola data pribadi pengguna untuk keperluan penilaian kredit dan pinjaman online perlu memastikan kepatuhannya berjalan di dua jalur sekaligus, yaitu tata kelola data pribadi sesuai UU PDP, dan legalitas model bisnis sesuai kerangka pengawasan OJK, agar tidak menghadapi risiko sanksi administratif, pidana, maupun pencabutan izin usaha di kemudian hari.

Catherine L. Ary, M.H. Corporate Legal Secretary