Keamanan dan pengelolaan data penyelenggara LPBBTI

Lingkupnya penyelenggara pendanaan, bukan semua aplikasi

Layanan Pendanaan Bersama Berbasis Teknologi Informasi atau LPBBTI mempunyai aturan khusus. Bab XIII POJK 40/2024 memuat ketentuan sistem elektronik, rekam jejak audit, pengamanan, pusat data/pemulihan, serta data pribadi.

Panduan ini berfokus pada bagian sistem dan data tersebut. Ia tidak membahas seluruh persyaratan pendirian, perizinan, pendanaan, penagihan, atau penilaian kesehatan penyelenggara.

Peta pasal dan bukti kerja

Bagian	Hal yang perlu dipetakan
Pasal 160	Kepemilikan, penguasaan, pengendalian, dan pendaftaran sistem sesuai ketentuan
Pasal 161	Kerahasiaan, integritas, ketersediaan, autentikasi/verifikasi, pemrosesan data, dan pemberitahuan kegagalan pelindungan
Pasal 162	Rekam jejak audit dan pemeliharaan log transaksi
Pasal 163–164	Pengamanan serta ketentuan pusat data dan pusat pemulihan
Pasal 165	Retensi dan mekanisme permintaan penghapusan dengan syaratnya

Baca pasal dan penjelasan secara utuh. Pendaftaran PSE tidak menggantikan perizinan OJK; penggunaan vendor juga tidak otomatis memindahkan tanggung jawab penyelenggara.

Hubungkan akses dengan tindakan yang dapat ditelusuri

Sebagai penerapan teknis, petakan siapa dapat melihat data, mengubah catatan, mengekspor, dan menangani permintaan pengguna. Catat aktivitas yang relevan dengan pengenal serta waktu yang dapat ditelusuri. Batasi akses log dan hindari memasukkan kata sandi atau seluruh isi dokumen identitas ke log umum.

Contoh fiktif: petugas dukungan mengekspor data untuk menyelesaikan pengaduan. Tim memeriksa kebutuhan, batas isi, persetujuan sesuai kewenangan, penerima, dan penghapusan salinan. Adanya tiket dukungan tidak otomatis membenarkan ekspor seluruh portofolio.

Jangan memakai satu aturan hapus untuk semua data

Pasal 165 ayat (1) menetapkan penyimpanan data pribadi paling singkat lima tahun sejak berakhirnya hubungan usaha. Ayat berikutnya mengatur permintaan, mekanisme, syarat penghapusan, dan hubungan dengan aturan PDP. Jangan membaca satu ayat sebagai izin menyimpan setiap data tanpa tujuan atau sebagai larangan absolut melayani hak.

Petakan kategori data, dasar penyimpanan, akhir hubungan usaha, dan keputusan permintaan bersama fungsi yang memahami ketentuan. Rekam alasan dan bukti; jangan hanya mengubah status akun.

Periksa vendor dan pemulihan

Cocokkan kontrak, akses dukungan, lokasi pemrosesan, pihak lanjutan, dan bukti pemulihan dengan ketentuan yang berlaku. Gunakan lembar vendor keuangan serta panduan hak data. Rincian pelaksanaan dan ketentuan OJK lain tetap perlu diperiksa untuk kegiatan sebenarnya.