Pemusnahan Data Perbankan: Kewajiban POJK & PADK

Setiap bank menyimpan salah satu aset paling sensitif di Indonesia: data pribadi nasabah, riwayat transaksi, dan dokumen keuangan. Namun kewajiban bank tidak berhenti pada mengumpulkan dan mengamankan data. Ketika masa retensi berakhir atau dasar hukum penyimpanan hilang, pemusnahan data perbankan menjadi kewajiban yang diatur secara tegas oleh regulator. Artikel ini menguraikan dasar hukumnya, metode yang diakui, serta langkah praktis membangun program data sanitization yang defensible di industri jasa keuangan.

Mengapa Pemusnahan Data Menjadi Kewajiban Perbankan

Perbankan termasuk sektor paling teregulasi karena mengelola data yang bila bocor dapat menimbulkan kerugian finansial, penipuan identitas, dan hilangnya kepercayaan publik. Otoritas Jasa Keuangan (OJK) memandang keamanan informasi sebagai bagian dari manajemen risiko operasional. Data yang tidak lagi diperlukan tetapi tetap disimpan—baik pada server, laptop, hard disk, maupun media cadangan—adalah liabilitas: memperbesar permukaan serangan sekaligus melanggar prinsip minimalisasi data dalam UU Pelindungan Data Pribadi.

Pemusnahan data yang benar bukan sekadar menekan tombol delete. Menghapus berkas hanya menghilangkan pointer ke data, sementara isinya masih dapat dipulihkan dengan alat forensik. Karena itu regulator dan standar teknis membedakan antara penghapusan biasa dengan sanitasi—proses yang membuat data tidak dapat direkonstruksi kembali.

Dasar Hukum Pemusnahan Data Perbankan

Kewajiban ini bersumber dari beberapa lapisan regulasi yang saling melengkapi. Memahami keterkaitannya penting agar kebijakan internal bank tidak salah menafsirkan ruang lingkupnya.

POJK 11/POJK.03/2022 dan Aturan Pelaksananya (PADK)

Peraturan OJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menjadi payung utama tata kelola TI perbankan. Regulasi ini mewajibkan bank menerapkan manajemen data dan keamanan informasi yang mencakup keseluruhan siklus hidup data—mulai dari perolehan, pemrosesan, penyimpanan, hingga penghapusan atau pemusnahan secara aman. OJK kemudian menerbitkan Peraturan Anggota Dewan Komisioner (PADK) sebagai aturan teknis pelaksana POJK tersebut, yang merinci ekspektasi pengendalian, termasuk pengelolaan aset informasi dan media penyimpanan. Bank diharapkan memiliki kebijakan, prosedur, serta jejak audit yang membuktikan bahwa data dimusnahkan secara terkendali, bukan sekadar dibuang.

UU PDP dan Prinsip Retensi Terbatas

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) memperkuat kewajiban ini dari sisi hak subjek data. Pasal 43 UU PDP mewajibkan pengendali data melakukan penghapusan atau pemusnahan data pribadi, antara lain ketika masa retensi telah berakhir, tujuan pemrosesan telah tercapai, atau persetujuan ditarik. Pelanggaran dapat dikenai sanksi administratif hingga 2% dari pendapatan tahunan sesuai Pasal 57. UU PDP juga sejalan dengan PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik serta UU ITE, yang menempatkan pelindungan data elektronik sebagai kewajiban penyelenggara sistem.

Retensi Wajib Sebelum Pemusnahan

Penting dipahami bahwa pemusnahan tidak boleh dilakukan sembarang waktu. UU Nomor 8 Tahun 1997 tentang Dokumen Perusahaan mewajibkan penyimpanan dokumen keuangan tertentu paling singkat 10 tahun. Artinya, bank harus menyeimbangkan dua kewajiban yang tampak berlawanan: menyimpan selama masa retensi wajib, lalu memusnahkan setelah masa itu lewat. Program data sanitization yang matang selalu didahului oleh kebijakan retensi yang jelas per kategori data.

Metode Pemusnahan Data yang Diakui

Secara hukum, regulasi Indonesia mewajibkan hasilnya—data tidak dapat dipulihkan—tetapi tidak menetapkan satu metode teknis tunggal. Sebagai rujukan praktik terbaik, banyak institusi mengacu pada NIST Special Publication 800-88 Rev.1 (Guidelines for Media Sanitization). Perlu ditegaskan: standar ini adalah referensi teknis, bukan kewajiban hukum di Indonesia. NIST membagi sanitasi menjadi tiga tingkat sebagai berikut.

Pemilihan metode bergantung pada klasifikasi data, tipe media, dan apakah media akan dipakai ulang, dihibahkan, atau dibuang. Data nasabah pada media yang akan dilepas dari kendali bank umumnya menuntut tingkat Purge atau Destroy.

Langkah Praktis Membangun Program Data Sanitization

Agar pemusnahan data perbankan dapat dipertanggungjawabkan saat audit OJK maupun pemeriksaan pelindungan data, bank sebaiknya menempuh langkah berikut:

• Susun kebijakan retensi dan klasifikasi data. Tentukan berapa lama tiap kategori data disimpan dan kapan wajib dimusnahkan, dengan memperhatikan masa retensi wajib menurut peraturan sektoral.
• Inventarisasi seluruh media penyimpanan. Termasuk server, endpoint, media cadangan, arsip cetak, hingga perangkat yang telah dinonaktifkan namun belum disanitasi.
• Pilih metode sesuai klasifikasi. Terapkan Clear, Purge, atau Destroy secara proporsional terhadap sensitivitas data dan tujuan pelepasan media.
• Gunakan perangkat sanitasi tepercaya. Solusi data sanitization yang tersertifikasi memastikan proses menimpa berjalan tuntas dan konsisten di seluruh armada perangkat.
• Terbitkan sertifikat pemusnahan. Setiap tindakan harus menghasilkan bukti yang dapat diaudit—kapan, media apa, metode apa, dan siapa penanggung jawabnya.
• Lakukan verifikasi dan audit berkala. Uji sampel media pasca-sanitasi untuk memastikan data benar-benar tidak dapat dipulihkan.

Risiko Bila Kewajiban Diabaikan

Mengabaikan pemusnahan data yang benar membawa konsekuensi berlapis: sanksi administratif dari OJK atas kelemahan tata kelola TI, sanksi UU PDP hingga 2% pendapatan tahunan, potensi gugatan perdata dari nasabah, serta kerugian reputasi yang jauh lebih mahal daripada biaya kepatuhan. Insiden kebocoran data yang berasal dari perangkat bekas atau media yang “dihapus” secara tidak sempurna adalah pola pelanggaran yang berulang dan sepenuhnya dapat dicegah.

Dengan menempatkan data sanitization sebagai bagian rutin dari siklus hidup data—bukan tindakan darurat saat perangkat pensiun—bank memenuhi ekspektasi POJK dan PADK sekaligus melindungi kepercayaan nasabah yang menjadi fondasi bisnisnya.

Pertanyaan yang sering diajukan

Apakah menghapus file atau memformat drive sudah cukup untuk memenuhi kewajiban?

Belum. Menghapus file biasa maupun format cepat hanya menghilangkan referensi, sementara isi data masih dapat dipulihkan dengan alat forensik. Kewajiban terpenuhi bila data tidak dapat direkonstruksi, yang menuntut metode sanitasi seperti overwrite tuntas, cryptographic erase, atau penghancuran fisik.

Apakah POJK atau PADK mewajibkan metode NIST 800-88 secara spesifik?

Tidak. Regulasi Indonesia menekankan hasil, yaitu data aman dan tidak dapat dipulihkan, serta adanya tata kelola dan jejak audit. NIST SP 800-88 adalah standar teknis internasional yang lazim dijadikan rujukan praktik terbaik, bukan kewajiban hukum di Indonesia.

Kapan bank boleh memusnahkan data nasabah?

Setelah masa retensi wajib terpenuhi dan tidak ada dasar hukum lain untuk menyimpannya. Sebagian dokumen keuangan wajib disimpan minimal 10 tahun menurut UU Dokumen Perusahaan, sehingga pemusnahan harus mengikuti kebijakan retensi per kategori data, bukan dilakukan sembarang waktu.

Bukti apa yang perlu disiapkan untuk audit?

Bank sebaiknya menyimpan kebijakan retensi dan sanitasi, inventaris media, catatan metode yang digunakan, sertifikat pemusnahan per aset, serta hasil verifikasi. Dokumentasi ini menunjukkan bahwa pemusnahan berlangsung terkendali dan dapat dipertanggungjawabkan di hadapan OJK maupun otoritas pelindungan data.