Selasa, 6 Oktober 2026, DPR mengesahkan RUU Satu Data Indonesia menjadi undang-undang di Rapat Paripurna ke-9. Isinya 20 bab dan 141 pasal. Selama ini Satu Data berjalan di atas Peraturan Presiden Nomor 39 Tahun 2019. Sekarang dasarnya naik kelas jadi undang-undang, lengkap dengan sanksi administratif dan ketentuan pidana.

Kalau Anda memimpin BPR atau bank, wajar kalau reaksi pertamanya: ini kan urusan kementerian dan pemda. Sebagian benar. Berita yang terbit sejauh ini menyebut produsen datanya adalah kementerian, lembaga, pemerintah daerah, sampai pemerintah desa. Tapi cara negara mengatur datanya sendiri biasanya jadi patokan cara orang menilai data di tempat lain, termasuk di bank. Artikel ini membahas apa yang sebenarnya diatur, lalu apa yang masuk akal untuk dibenahi dari sekarang.

Apa yang sebenarnya diatur

Menurut ringkasan Antara, Satu Data bukan berarti semua data dipindah ke satu gudang. Yang diseragamkan adalah standarnya: standar data, metadata, dan kode referensi, supaya data dari instansi yang berbeda bisa saling terhubung. Wakil Ketua Baleg DPR Sturman Panjaitan menyebut akibat data yang dikelola buruk dengan lugas: bantuan yang salah sasaran dan program yang tumpang tindih.

Beberapa poin lain yang perlu dicatat:

  • Data Dasar Nasional (DDN) dikuasai negara dan jadi rujukan perencanaan pembangunan, kebijakan fiskal, penganggaran, dan penyaluran bantuan sosial. Menurut Liputan6, DDN dibagi dalam enam klaster.
  • Klasifikasi data terbagi tiga: terbuka, terbatas, dan tertutup, dengan perlakuan akses yang berbeda.
  • Keamanan mencakup standar keamanan data, infrastruktur kriptografi, manajemen sertifikat digital, audit keamanan, dan audit kedaulatan data.
  • Insiden keamanan data wajib dilaporkan paling lambat 1 x 24 jam.
  • Akses dan transfer data tertutup ke luar yurisdiksi Indonesia wajib mendapat persetujuan DPR.
  • Dibentuk Penyelenggara SDI yang bertanggung jawab langsung kepada Presiden.
Grid empat poin UU Satu Data Indonesia: standar data yang sama, tiga kelas data, keamanan yang bisa diaudit, dan batas lapor insiden 1 x 24 jam

Kenapa direksi BPR perlu ikut membaca

Ada tiga alasan, dan tidak satu pun bergantung pada apakah bank disebut langsung di pasal-pasalnya.

Pertama, bank hidup dari data yang juga dipegang negara. NIK, alamat, dan kode wilayah nasabah adalah data yang sama dengan yang diatur standarnya lewat Satu Data. Begitu instansi pemerintah memakai kode referensi yang seragam, data bank yang formatnya berantakan akan makin terasa beda saat dicocokkan atau dipertukarkan.

Kedua, jam lapor makin pendek. UU Pelindungan Data Pribadi (UU 27 Tahun 2022) Pasal 46 sudah mewajibkan pengendali data pribadi memberi tahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data. UU Satu Data mewajibkan penyelenggara melapor insiden paling lambat 1 x 24 jam. Memang yang terikat 1 x 24 jam itu penyelenggara data pemerintah, bukan bank. Tapi arahnya jelas: ukuran "cepat" dalam menangani insiden data sedang bergeser.

Ketiga, auditor dan pengawas membaca berita yang sama. Setelah ada undang-undang yang menyebut klasifikasi data, audit keamanan, dan audit kedaulatan data, pertanyaan seperti "data ini kelasnya apa" dan "siapa saja yang bisa membukanya" akan makin sering muncul di ruang rapat. Lebih enak kalau jawabannya sudah ada sebelum ditanya.

Empat lapis yang perlu dicek di bank Anda

Cara paling sederhana membaca kesiapan data adalah sebagai tumpukan. Lapis atas tidak akan kuat kalau lapis bawahnya rapuh.

Empat lapis kesiapan data di BPR: inventaris data sebagai fondasi, standar dan kode referensi, klasifikasi dan akses, lalu respons insiden

Inventaris data adalah fondasinya. Banyak bank bisa menyebut sistem yang dipakai, tapi kesulitan menjawab data apa saja yang tersimpan di mana dan siapa pemiliknya. Data nasabah bisa tersebar di core banking, aplikasi kredit, spreadsheet bagian pemasaran, sampai grup WhatsApp petugas lapangan.

Standar dan kode referensi datang berikutnya. Kalau satu nasabah ditulis dengan tiga format alamat berbeda di tiga sistem, rekonsiliasi dan pelaporan akan selalu makan waktu lebih lama dari seharusnya.

Klasifikasi dan akses memastikan data nasabah, data internal, dan data publik tidak diperlakukan sama. Setiap akses ke data sensitif sebaiknya tercatat, supaya saat ada pertanyaan Anda bisa menunjukkan jejaknya, bukan hanya menjelaskan prosedurnya.

Respons insiden ada di paling atas. Siapa yang mendeteksi, siapa yang memutuskan, dan berapa jam sampai laporan siap dikirim. Tanpa tiga lapis di bawahnya, tim akan sibuk mencari data saat jam sudah berjalan.

Pekerjaan rumah yang bisa dimulai minggu ini

Tidak perlu menunggu aturan turunan untuk mulai. Sebagian besar langkah di bawah ini tetap berguna apa pun isi rincian teknisnya nanti.

  1. Petakan data. Buat daftar data yang dipegang bank, sistem tempat menyimpannya, dan unit yang bertanggung jawab. Mulai dari data nasabah dan data kredit.
  2. Samakan format. Pilih satu format untuk NIK, alamat, dan kode wilayah, lalu pakai yang sama di core banking, sistem kredit, dan laporan.
  3. Kelaskan data. Tentukan mana yang terbuka, terbatas, dan tertutup, lalu atur ulang hak akses sesuai kelasnya.
  4. Latih jam lapor. Buat simulasi insiden sederhana dan hitung berapa jam yang benar-benar dibutuhkan sampai laporan tertulis siap. Kalau hasilnya lebih dari 3 x 24 jam, itu sudah masalah hari ini, bukan nanti.
  5. Pantau rincian. Ikuti aturan pelaksana UU Satu Data dan sesuaikan prosedur begitu terbit.
Lima langkah pembenahan data: petakan data, samakan format, kelaskan data, latih jam lapor, dan pantau rincian aturan turunan

Langkah keempat sering dilewati karena terasa seperti latihan kebakaran. Justru di situ biasanya ketahuan bahwa log akses tidak lengkap, atau tidak ada yang tahu persis siapa yang berwenang menandatangani laporan.

Yang belum jelas

Perlu jujur soal batasnya. Berita yang terbit sejauh ini belum merinci aturan pelaksana, tenggat penerapan, maupun pihak swasta mana yang terikat langsung. Rincian sanksinya juga belum dijabarkan di pemberitaan. Jadi angka 1 x 24 jam sebaiknya dibaca sebagai sinyal arah, bukan kewajiban yang otomatis berlaku untuk bank besok pagi. Yang sudah pasti mengikat bank hari ini tetap UU PDP dan aturan pengawas sektor keuangan.

Menteri PPN/Kepala Bappenas Rachmat Pambudy menyebut pengesahan ini tonggak sejarah baru. Untuk bank, tonggaknya bukan di gedung DPR, tapi di seberapa rapi data Anda saat ada yang bertanya.

Butuh teman untuk mengecek kesiapan data?

XETUP membantu bank dan perusahaan menata data dan membangun sistem custom yang sesuai dengan cara kerja mereka: dari memetakan data yang tercecer, menyamakan format antarsistem, sampai mencatat setiap akses supaya mudah diaudit. Kalau Anda ingin mengecek kesiapan data atau sistem di bank Anda, ngobrol langsung dengan tim kami lewat WhatsApp +62 823 1499 5005.