POJK 40/2024: LPBBTI dan pengelolaan sistem/data

Aturan penyelenggara LPBBTI

POJK 40/2024 tentang Layanan Pendanaan Bersama Berbasis Teknologi Informasi ditetapkan 24 Desember 2024, diundangkan dan mulai berlaku 27 Desember 2024. Tanggal publikasi halaman OJK berbeda dari tanggal berlakunya naskah.

LPBBTI mempunyai pengaturan tersendiri. Halaman ini berfokus pada Bab XIII, sistem elektronik dan data. Persyaratan kelembagaan, izin, pendanaan, penagihan, kesehatan serta pelaporan lain perlu dibaca dari bagian dan ketentuan pelaksanaannya; bukan ditentukan dari checklist TI ini.

Peta Pasal 160–165

Pasal	Fokus yang benar
160	Penggunaan, kepemilikan, penguasaan, pengendalian dan pendaftaran sistem; batas sistem/alamat situs sesuai bunyinya.
161	Kerahasiaan, keutuhan, ketersediaan, autentikasi/verifikasi, penggunaan data dan pemberitahuan kegagalan pelindungan.
162	Rekam jejak audit seluruh kegiatan pada sistem dan pemeliharaan log transaksi sesuai kebijakan retensi/aturan.
163	Prosedur/sistem pengamanan, pengelolaan celah, sertifikat manajemen keamanan informasi dengan cakupan menyeluruh.
164	Persetujuan beserta pengecualian sesuai aturan, akses/salinan dan hak pemilik data.
165	Penyimpanan data pribadi, mekanisme/syarat penghapusan serta kaitannya dengan aturan PDP.

Pasal 164 bukan ketentuan lokasi pusat data. Jangan menyimpulkan seluruh persyaratan lokasi/pemulihan dari daftar pasal ini; periksa ketentuan yang memang mengatur kegiatan dan sistemnya.

Sertifikat mempunyai cakupan dan pemicu

Pasal 163 ayat (4)–(5) mewajibkan sertifikat sistem manajemen keamanan informasi dengan cakupan menyeluruh, paling lama enam bulan setelah izin usaha OJK. Catat tanggal izin, sistem yang dicakup, sertifikat serta gap yang harus diselesaikan. Sertifikat vendor cloud belum membuktikan sertifikat penyelenggara memenuhi cakupan tersebut.

Bukti praktis juga mencakup akses, penanganan celah, log dan pengamanan sesuai pasal. Sertifikat tidak menggantikan pelaksanaan kewajiban-kewajiban itu.

Retensi dan permintaan pengguna harus dibaca bersama

Pasal 165 ayat (1) menetapkan data pribadi disimpan paling singkat lima tahun sejak hubungan usaha berakhir. Ayat berikutnya mengatur permintaan, mekanisme serta syarat penghapusan dengan hubungan ke aturan pelindungan data pribadi. Jangan memakai satu ayat sebagai izin menyimpan semua data tanpa tujuan atau menolak setiap permintaan secara otomatis.

Pasal 164 mengatur akses/salinan dan pemenuhan hak tertentu melalui permohonan tertulis. Siapkan catatan verifikasi pemohon, kategori data, keputusan beralasan serta bukti respons. Contoh alur teknis tersedia pada panduan LPBBTI.

Pasal 187 dicabut melalui POJK 8/2026

POJK 8/2026 Pasal 33 mencabut hanya Pasal 187 POJK 40/2024 sejak aturan tersebut mulai berlaku. Ini perubahan yang sudah berlaku, berbeda dari rancangan pada bagian berikut. Ketentuan sistem/data Pasal 160–165 yang dibahas di sini tidak dicabut oleh Pasal 33 tersebut. Gunakan panduan pelaporan LPBBTI untuk kewajiban pelaporan dan peralihan yang baru.

Rancangan perubahan belum menjadi dasar kewajiban di sini

OJK memublikasikan permintaan tanggapan RPOJK perubahan POJK 40/2024 pada 16 September 2026. Artikel ini tidak memperlakukan naskah rancangan itu sebagai perubahan yang sudah berlaku. Periksa sumber resmi kembali sebelum mengambil keputusan; bila perubahan final terbit, pemetaan pasal dan peralihan perlu diperbarui.

Lanjutkan ke peta kewajiban layanan keuangan untuk mencatat peran, pasal, pemicu dan bukti. Daftar ini bukan keseluruhan kewajiban LPBBTI.