Data pribadi dan pinjaman online: hak Anda menurut UU PDP 27/2022 dan langkah bila data disebar

Data yang Anda serahkan ke aplikasi pinjaman, mulai dari KTP, swafoto, nomor ponsel, sampai lokasi, dilindungi UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan ketentuan OJK. Anda berhak mengetahui data apa yang diproses, memperoleh salinannya, memperbaikinya, menarik persetujuan, dan meminta penghapusan sesuai ketentuan. Mengungkapkan data pribadi orang lain secara melawan hukum dapat dipidana penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar (Pasal 67 ayat 2). Bila data atau foto Anda disebar penagih, simpan bukti, laporkan ke polisi, dan adukan ke penyelenggara serta OJK.

Panduan ini bagian dari kesalahan umum saat mengambil pinjaman online.

Status UU PDP pada 2026

UU PDP diundangkan pada 17 Oktober 2022 dan mulai berlaku pada tanggal itu. Undang-undang ini memberi masa penyesuaian paling lama 2 tahun bagi pengendali data (Pasal 74), sehingga sejak Oktober 2024 seluruh pengendali data, termasuk penyelenggara pindar, bank, dan platform paylater, wajib mematuhinya. UU PDP juga mengamanatkan pembentukan lembaga penyelenggara pelindungan data pribadi yang ditetapkan Presiden (Pasal 58). Untuk status kelembagaan dan peraturan pelaksanaannya, cek pengumuman pemerintah terbaru.

Hak Anda sebagai subjek data

Hak	Dasar dalam UU PDP	Contoh penggunaan
Mendapat informasi tentang pemrosesan	Bab IV (hak subjek data)	Menanyakan data apa yang diambil aplikasi dan untuk apa
Akses dan salinan data	Pasal 7	Meminta salinan data diri yang disimpan penyelenggara
Mengakhiri pemrosesan, menghapus, memusnahkan	Pasal 8	Setelah lunas dan akun ditutup, meminta penghapusan data yang tidak lagi wajib disimpan
Menarik persetujuan	Pasal 9	Mencabut persetujuan pemasaran
Keberatan atas keputusan otomatis	Pasal 10	Meminta penjelasan atas penolakan berdasarkan penilaian otomatis

Hak ini dilaksanakan "sesuai dengan ketentuan peraturan perundang-undangan". Lembaga jasa keuangan mungkin wajib menyimpan data tertentu untuk jangka waktu tertentu, misalnya untuk pelaporan, sehingga penghapusan tidak selalu bisa dilakukan seketika.

Batas akses aplikasi pindar

SEOJK 19/SEOJK.06/2025 membatasi akses aplikasi pindar pada kamera, mikrofon, dan lokasi. POJK 22/2023 juga mewajibkan lembaga jasa keuangan menjaga kerahasiaan dan keamanan data konsumen. Bila aplikasi meminta akses kontak, galeri, SMS, atau log panggilan, perlakukan itu sebagai tanda bahaya dan baca ciri pinjol ilegal.

Cara mengecek di ponsel: buka pengaturan, pilih aplikasi, lalu lihat bagian izin. Cabut izin yang tidak perlu. Cara ini juga berguna untuk aplikasi belanja dan dompet digital.

Larangan dan ancaman pidana dalam UU PDP

UU PDP melarang setiap orang secara melawan hukum memperoleh, mengumpulkan, mengungkapkan, atau menggunakan data pribadi yang bukan miliknya (Pasal 65). Ancaman pidananya (Pasal 67):

Perbuatan	Pidana penjara paling lama	Denda paling banyak
Memperoleh atau mengumpulkan data orang lain untuk keuntungan, yang merugikan subjek data	5 tahun	Rp5 miliar
Mengungkapkan data orang lain	4 tahun	Rp4 miliar
Menggunakan data orang lain	5 tahun	Rp5 miliar
Membuat data palsu atau memalsukan data (Pasal 68)	6 tahun	Rp6 miliar

Penyebaran foto KTP, swafoto, atau daftar kontak Anda ke grup atau media sosial untuk mempermalukan Anda masuk dalam jenis perbuatan yang dilarang. Selain UU PDP, perbuatan seperti pengancaman atau pemerasan juga dapat dijerat dengan ketentuan pidana lain, termasuk UU tentang Informasi dan Transaksi Elektronik. Penilaian pasal yang tepat untuk kasus Anda adalah wewenang penyidik dan sebaiknya dibicarakan dengan advokat atau lembaga bantuan hukum.

Langkah bila data Anda disebar atau disalahgunakan

Simpan bukti sebelum apa pun dihapus: tangkapan layar pesan, unggahan, nomor pengirim, tanggal dan jam, serta tautan.
Minta orang yang menerima pesan meneruskan tangkapan layar kepada Anda dan tidak menyebarkannya lagi.
Adukan ke penyelenggara (bila berizin) secara tertulis, dengan permintaan agar penyebaran dihentikan dan data dihapus dari pihak penagih.
Adukan ke OJK melalui Kontak OJK 157 atau portal pengaduan konsumen. Bila penyelenggaranya ilegal, laporan diteruskan ke Satgas PASTI.
Laporkan ke polisi dengan membawa bukti tercetak dan digital.
Laporkan konten ke platform tempat data disebar, menggunakan fitur laporan privasi atau pelecehan.

Langkah pengaduan rinci ada di cara mengadu ke OJK, AFPI, dan LAPS SJK.

Bila ada pinjaman atas nama Anda yang tidak pernah Anda ajukan

Ini bisa terjadi bila foto KTP dan swafoto Anda bocor. Langkahnya:

Minta iDeb di cek SLIK OJK untuk melihat fasilitas apa saja yang tercatat.
Hubungi penyelenggara yang tercantum, sampaikan bahwa Anda tidak pernah mengajukan, dan minta bukti pengajuan.
Laporkan ke polisi sebagai dugaan penyalahgunaan data dan penipuan; mintalah surat tanda penerimaan laporan.
Ajukan pengaduan ke OJK dengan melampirkan laporan polisi.

Cara mengurangi risiko sejak awal

Jangan mengirim foto KTP lewat chat kepada pihak yang mengaku "agen pinjaman".
Beri tanda air (watermark) bertuliskan tujuan dan tanggal pada salinan KTP yang terpaksa Anda kirim.
Jangan pernah membagikan kode OTP, PIN, atau kata sandi.
Hapus akun aplikasi yang sudah tidak dipakai setelah semua kewajiban lunas.

Contoh surat permintaan akses dan penghapusan data

Gunakan saluran resmi penyelenggara (email layanan pelanggan atau menu bantuan). Contoh isi yang bisa disesuaikan:

"Kepada [nama penyelenggara]. Saya, [nama, NIK, nomor ponsel terdaftar], sebagai subjek data pribadi berdasarkan UU 27/2022, mengajukan permintaan berikut: (1) informasi jenis data pribadi saya yang diproses, tujuan, dan pihak yang menerimanya; (2) salinan data pribadi saya; (3) penghentian pemrosesan data untuk keperluan pemasaran; dan (4) penghapusan data yang tidak lagi wajib disimpan menurut peraturan, karena seluruh kewajiban saya telah lunas pada [tanggal]. Mohon konfirmasi tertulis atas setiap permintaan."

Simpan bukti pengiriman. Bila penyelenggara menyatakan sebagian data wajib disimpan, mintalah penjelasan dasar dan jangka waktunya. Permintaan seperti ini juga berguna setelah Anda berhenti memakai aplikasi paylater atau belanja yang menyimpan foto KTP Anda.

Pertanyaan yang sering diajukan

Apakah penyelenggara pindar boleh menyimpan data saya setelah lunas?

Penyelenggara dapat diwajibkan menyimpan data tertentu untuk keperluan pelaporan dan pengawasan. Anda tetap berhak bertanya data apa yang disimpan, untuk apa, dan sampai kapan.

Kontak darurat yang saya isi saat mendaftar dihubungi penagih. Apakah boleh?

POJK 22/2023 melarang penagihan kepada pihak selain konsumen. SEOJK 19/SEOJK.06/2025 menegaskan bahwa kontak darurat hanya untuk mengonfirmasi keberadaan peminjam, bukan untuk menagih, dan pemilik kontak harus dikonfirmasi serta memberi persetujuan lebih dulu.

Apakah saya bisa menuntut ganti rugi?

UU PDP memberi hak kepada subjek data untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data. Untuk gugatan, mintalah nasihat advokat atau lembaga bantuan hukum.

Sumber resmi

Pasal.id — naskah UU 27/2022 tentang Pelindungan Data Pribadi dan POJK 22/2023
Otoritas Jasa Keuangan (OJK) — pengaduan konsumen dan Kontak OJK 157
Indonesia Anti-Scam Centre (IASC) — pelaporan bila data dipakai untuk penipuan transaksi
Lapor (SP4N-LAPOR!) — kanal aspirasi dan pengaduan pelayanan publik