Regulasi menyentuh seluruh perbankan dan ekosistem data keuangan, dengan implikasi kepatuhan lintas proses, vendor, dan penggunaan AI — bukan sekadar perubahan administrasi.
- Nama Regulasi
- PP 33/2026
- Penerbit
- Pemerintah
- Perubahan Kunci
-
- ·Kewajiban pengendali dan prosesor data
- ·Dasar pemrosesan yang sah
- ·Pemenuhan hak subjek data
- ·Keamanan pemrosesan data
- ·Penanganan kegagalan pelindungan data pribadi
- ·Pemanfaatan ROPA dan DPIA untuk memetakan aktivitas pemrosesan dan memitigasi risiko
- ·Akuntabilitas sepanjang proses pengelolaan data, termasuk saat informasi nasabah berpindah atau digunakan pihak lain
- Pihak Terdampak
- PerbankanPengendali dan prosesor dataIndustri keuanganSubjek data atau nasabahPihak yang menggunakan AI untuk memproses data pribadi
Ringkasan Eksekutif
Pemerintah memperketat pelindungan data pribadi melalui PP 33/2026. Bagi perbankan, konsekuensinya bukan sekadar menyesuaikan formulir persetujuan, melainkan merombak kebijakan dan proses internal. Ketentuan ini menjadi salah satu bahasan dalam Privacy Day 2026 yang digelar Eman Achmad & Co Law Firm bersama PT Bank DBS Indonesia di Jakarta pada 28 Oktober 2026. Forum bertema 'Membangun Kepercayaan dalam Ekosistem Keuangan Pasca PP No 33/2026' itu melibatkan praktisi pelindungan data pribadi, perwakilan perbankan, serta asosiasi industri. Dalam forum tersebut, perwakilan Direktorat Jenderal Pengawasan Ruang Digital Kementerian Komunikasi dan Digital, Ajeng Risda Rahmadani, menjelaskan bahwa implementasi aturan mencakup kewajiban pengendali dan prosesor data, dasar pemrosesan yang sah, pemenuhan hak subjek data, keamanan pemrosesan, hingga penanganan kegagalan pelindungan data pribadi.
Dari sisi Bank Indonesia, Direktur Kepala Grup Kebijakan dan Strategi Inovasi dan Digitalisasi Data, Agung Bayu Purwoko, menekankan tiga pilar kepatuhan: regulasi, organisasi, dan perangkat pendukung. Instrumen seperti Record of Processing Activities (ROPA) dan Data Protection Impact Assessment (DPIA) perlu dimanfaatkan untuk memetakan aktivitas pemrosesan data serta mengidentifikasi dan memitigasi risiko, bukan sekadar memenuhi dokumentasi administratif. Yang tidak terlihat dari headline ini: beban terbesar bukan pada dokumen kepatuhan, tetapi pada arsitektur data dan akuntabilitas lintas pihak. Ketua Financial Industry Data Protection & Privacy Network (FINDANET), Yosea Iskandar, menyoroti pendekatan beyond consent — pelindungan data tidak berhenti pada persetujuan pengguna. Akuntabilitas perlu diterapkan sepanjang proses pengelolaan data, termasuk ketika informasi nasabah berpindah atau digunakan pihak lain.
Ia juga menyoroti perlunya pengawasan terhadap penggunaan kecerdasan buatan (AI), terutama ketika data pribadi dipakai untuk melatih model atau mendukung pengambilan keputusan. Bagi bank, ini berarti tata kelola data harus masuk ke kontrak vendor, alur kerja layanan, model kredit, dan prosedur penanganan insiden. Bank dengan rantai pihak ketiga yang panjang dan sistem warisan yang kompleks akan menanggung biaya penyesuaian lebih besar. Sebaliknya, bank dengan infrastruktur tata kelola data yang matang dapat menjadikan kepatuhan sebagai pembeda dalam kepercayaan nasabah dan uji tuntas mitra. Dampaknya juga merambat ke pemain yang tidak disebut dalam forum. Penyedia teknologi, penyedia cloud, dan mitra pemrosesan data akan menghadapi permintaan kontrak yang lebih ketat, kewajiban dokumentasi, serta audit alur data.
Lembaga pembiayaan digital dan fintech dengan kapasitas kepatuhan terbatas berisiko tertinggal, sementara bank besar dan grup keuangan dengan fungsi kepatuhan mapan lebih siap menyerap beban awal.
Mengapa Ini Penting
PP 33/2026 mengubah pelindungan data dari urusan legal menjadi persoalan tata kelola operasional dan arsitektur data. Bank yang gagal memetakan aliran data, vendor, dan penggunaan AI berisiko menghadapi celah kepatuhan yang tidak terlihat di dokumen persetujuan. Ini juga menciptakan pembeda kompetitif: kepercayaan nasabah dan uji tuntas mitra akan semakin bergantung pada bukti akuntabilitas data, bukan sekadar pernyataan kepatuhan.
Dampak ke Bisnis
- Perbankan harus menyesuaikan kebijakan dan proses internal, termasuk dasar pemrosesan yang sah, pemenuhan hak subjek data, keamanan pemrosesan, dan penanganan kegagalan pelindungan data. Beban implementasi paling berat ada pada bank dengan sistem warisan dan rantai vendor panjang.
- Penyedia teknologi, penyedia cloud, dan mitra pemrosesan data akan terdampak melalui kontrak yang lebih ketat, kewajiban dokumentasi, dan audit alur data. Lembaga pembiayaan digital serta fintech dengan kapasitas kepatuhan terbatas berisiko tertinggal dari bank besar.
- Penggunaan AI untuk melatih model atau mendukung keputusan menjadi area yang perlu diawasi. Bank perlu memastikan data pribadi yang dipakai dalam model memiliki dasar pemrosesan dan akuntabilitas yang jelas, termasuk ketika data berpindah ke pihak lain. Dampak lanjutan baru terasa saat audit, uji tuntas mitra, atau insiden data terjadi.
Yang Perlu Dipantau
- Yang perlu dipantau: kesiapan bank menyusun ROPA dan DPIA — apakah menjadi peta risiko operasional atau hanya dokumentasi administratif, karena perbedaan ini menentukan efektivitas kepatuhan.
- Risiko yang perlu dicermati: perubahan klausul kontrak vendor dan perjanjian berbagi data — jika bank menunda penyesuaian, celah akuntabilitas melebar saat data nasabah berpindah ke pihak ketiga.
- Sinyal penting: pengawasan penggunaan AI dalam pemrosesan data pribadi — terutama saat data nasabah dipakai untuk melatih model atau mendukung keputusan kredit, karena area ini paling sulit diaudit dan paling rentan menimbulkan sengketa.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.