UU PDP dan data pembayaran pelanggan: kewajiban merchant QRIS, EDC, dan toko online

Merchant yang menerima pembayaran non-tunai ikut mengolah data pribadi pelanggan: nama pengirim di notifikasi QRIS, nomor telepon dan alamat untuk pesanan daring, nama di struk kartu, bahkan rekaman CCTV kasir. Menurut UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), pihak yang menentukan tujuan dan mengendalikan pemrosesan data adalah pengendali data pribadi, dan merchant sering berperan sebagai pengendali untuk data yang ia kumpulkan sendiri. Kewajiban pokoknya: kumpulkan seperlunya, jaga keamanannya (UU PDP Pasal 35–39), hapus bila tidak lagi diperlukan (Pasal 16 ayat 2 huruf g dan Pasal 43), dan beri tahu pelanggan serta lembaga bila terjadi kegagalan pelindungan data, paling lambat 3 × 24 jam (Pasal 46). Peraturan pelaksananya, PP 33/2026, diundangkan 16 Juli 2026 dan menurut ringkasan yang beredar berlaku 16 Januari 2027. Data kartu lengkap sebaiknya tidak pernah Anda simpan sendiri.

Panduan ini bagian dari panduan risiko pembayaran non-tunai UMKM.

Data pembayaran apa yang biasanya dipegang merchant

Data	Sumber	Perlu disimpan?	Catatan
Nama pengirim QRIS atau transfer	Notifikasi aplikasi merchant	Cukup di laporan penyedia	Jangan diteruskan ke grup chat
Nomor referensi transaksi	Laporan penyedia	Ya, untuk rekonsiliasi dan pajak	Bukan data pribadi yang sensitif bila berdiri sendiri
Nama, telepon, alamat pembeli daring	Formulir pesanan	Selama diperlukan untuk pengiriman, garansi, dan kewajiban hukum	Batasi akses karyawan
Nomor kartu (terpotong) di struk EDC	Struk	Simpan struk sebagai bukti, bukan foto kartu	Struk biasanya hanya menampilkan sebagian nomor
Nomor kartu lengkap, CVV, PIN	—	Tidak	Biarkan diproses oleh EDC atau halaman payment gateway
Rekaman CCTV kasir	Kamera	Sesuai kebutuhan keamanan dan sengketa	Tentukan masa simpan
Data biometrik (misalnya pembayaran dengan wajah)	Perangkat tertentu	Hanya bila benar-benar perlu	Data biometrik termasuk data pribadi yang bersifat spesifik (UU PDP Pasal 4)

Peran merchant dan penyedia

Penyedia jasa pembayaran memproses data pembayaran untuk menjalankan transaksi. Untuk data yang ia kumpulkan dan proses sendiri, penyedia memiliki kewajiban PDP-nya sendiri, serta ketentuan keamanan dari Bank Indonesia.
Merchant bertanggung jawab atas data yang ia kumpulkan dan simpan sendiri, misalnya daftar pelanggan, data pesanan daring, foto, dan rekaman.
Pihak ketiga yang Anda pakai, seperti aplikasi kasir atau toko daring, bisa berperan sebagai prosesor data atas instruksi Anda. Perjanjian dengan mereka sebaiknya mengatur keamanan dan penghapusan data.

Baca bagian data pribadi dalam perjanjian merchant: data pelanggan apa yang dibagikan penyedia kepada Anda, dan untuk apa boleh dipakai.

Kebiasaan yang perlu dihentikan

Mengirim foto kartu, struk, atau notifikasi pembayaran ke grup chat karyawan atau grup keluarga.
Mencatat nomor kartu lengkap untuk "pesanan lewat telepon". Gunakan tautan pembayaran atau virtual account.
Memakai satu akun aplikasi merchant untuk semua karyawan dengan kata sandi yang sama.
Menyimpan daftar pelanggan di spreadsheet yang dibagikan terbuka.
Memakai data pembayaran untuk promosi tanpa dasar pemrosesan yang sah, misalnya tanpa persetujuan.

Langkah keamanan sederhana untuk UMKM

Batasi akses. Buat akun terpisah per karyawan di aplikasi merchant bila tersedia, dengan hak akses sesuai tugas.
Aktifkan verifikasi dua langkah di aplikasi merchant dan email usaha.
Kunci perangkat kasir dan ponsel penerima notifikasi.
Tentukan masa simpan. Misalnya, data pengiriman disimpan selama masa garansi dan kebutuhan pembukuan, lalu dihapus. Laporan transaksi untuk pajak tetap disimpan 10 tahun, tetapi tidak perlu disertai data pribadi yang berlebihan.
Hapus dengan benar. Ponsel dan perangkat lama dihapus datanya sebelum dijual atau dibuang.
Catat siapa yang boleh mengakses data apa.

Bila terjadi kebocoran

Contoh: ponsel kasir yang berisi daftar pelanggan dan foto struk hilang, atau spreadsheet pesanan terbuka untuk umum.

Hentikan kebocoran. Ganti kata sandi, cabut akses, hapus tautan publik.
Nilai dampaknya. Data siapa saja, jenis data apa, berapa banyak.
Beri tahu. UU PDP Pasal 46 mewajibkan pengendali menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 × 24 jam bila terjadi kegagalan pelindungan data. Hingga Oktober 2026 lembaga PDP dilaporkan belum terbentuk sepenuhnya, dan Komdigi menjalankan fungsi pengawasan sementara. Cek kanal pelaporan terbaru di situs Komdigi.
Beri tahu penyedia pembayaran bila akun merchant atau data transaksi ikut terdampak. Lihat jalur pengaduan ke penyedia, BI, dan OJK.
Laporkan ke polisi bila ada pencurian atau peretasan. Pesan palsu yang meminta OTP setelah kebocoran adalah pola yang sering muncul; lihat QRIS palsu dan modus penipuan.
Catat kejadian dan perbaikannya.

Biaya pencegahan dibanding risiko (ilustrasi)

Untuk toko kecil dengan lima karyawan, langkah dasar hampir tidak berbiaya: akun terpisah di aplikasi merchant, verifikasi dua langkah, dan aturan larangan foto struk. Pengelola kata sandi berbayar, misalnya Rp50.000 per pengguna per bulan (ilustrasi), untuk lima pengguna setahun = 5 × Rp50.000 × 12 = Rp3.000.000. Bandingkan dengan sanksi administratif menurut UU PDP, yang dapat berupa denda sampai 2% dari pendapatan tahunan (Pasal 57), ditambah kehilangan kepercayaan pelanggan.

Pertanyaan yang sering diajukan

Apakah warung kecil juga terkena UU PDP?

UU PDP berlaku bagi setiap orang dan badan yang memproses data pribadi, dengan beberapa pengecualian, misalnya pemrosesan untuk kegiatan pribadi atau rumah tangga. Usaha kecil yang mengumpulkan data pelanggan tetap perlu berhati-hati, meskipun kewajibannya disesuaikan dengan skala dan risiko pemrosesan.

Bolehkah menyimpan nomor telepon pembeli dari pesanan daring untuk promosi?

Memakai data untuk tujuan baru seperti promosi memerlukan dasar pemrosesan yang sah, misalnya persetujuan. Mintalah persetujuan yang jelas dan sediakan cara berhenti.

Apakah saya harus punya pejabat pelindungan data?

Kewajiban itu berlaku untuk kondisi tertentu, misalnya pemrosesan berskala besar atau data spesifik. Kebanyakan usaha mikro tidak termasuk, tetapi cek ketentuan PP 33/2026.

Bagaimana dengan rekaman CCTV yang memperlihatkan layar ponsel pembeli?

Arahkan kamera agar tidak merekam layar ponsel atau PIN. Pasang pemberitahuan adanya CCTV.

Sumber resmi

pasal.id — UU 27/2022 tentang Pelindungan Data Pribadi (Pasal 4, 16, 35–39, 43, 46, 57)
JDIH Kementerian Sekretariat Negara — PP 33/2026, bila salinan resmi sudah tersedia
Kementerian Komunikasi dan Digital — pengawasan PDP sementara dan kanal pelaporan
Bank Indonesia — ketentuan keamanan sistem pembayaran