SEOJK 18/SEOJK.02/2017 — TATA KELOLA DAN MANAJEMEN RISIKO TEKNOLOGI INFORMASI PADA LAYANAN PINJAM MEMINJAM UANG BERBASIS TEKNOLOGI INFORMASI
Status regulasi: Berlaku
Bunyi dan keterangan
Keadaan: berlaku. Tingkat: Status diverifikasi advokat SPP.
1. Penyelenggara dilarang untuk menyebarkan data dan informasi pribadi Pengguna kepada pihak lainnya.2. Data dan informasi pribadi Pengguna sebagaimana dimaksud pada angka 1 paling sedikit meliputi:a. data dan informasi yang melekat dan dapat diidentifikasi:1) perseorangan seperti:a. nama;b. alamat domisili;c. kartu identitas (KTP, SIM, Paspor);d. Nomor Pokok Wajib Pajak (NPWP);e. tanggal lahir dan/atau umur;f. alamat email;g. IP address;h. nomor telepon;i. nomor rekening;j. nama ibu kandung;k. nomor kartu kredit;l. identitas digital (Biometrik);m. tanda tangan;n. riwayat pendidikan;o. riwayat pekerjaan;p. rekening koran;q. daftar harta kekayaan;r. data dan informasi terkait lainnya;2) korporasi:a) nama korporasi;b) alamat;c) nomor telepon;d) susunan direksi dan komisaris termasuk dokumen identitas berupa KTP/Paspor/izin tinggal;e) susunan pemegang saham;f) nomor rekening;g) rekening koran;h) daftar aset;i) dokumen perusahaan;j) data dan informasi terkait lainnya;b. data dan informasi non-publik yang bersifat material:1) laporan keuangan;2) kinerja usaha;3) keputusan manajemen;4) jumlah pelanggan;5) data dan informasi terkait lainnya;c. data dan informasi terkait transaksi keuangan; dand. data dan informasi terkait kontrak/perjanjian.3. Larangan sebagaimana dimaksud pada angka 1 dikecualikan dalam hal:a. Pengguna memberikan persetujuan tertulis; dan/ataub. diwajibkan oleh peraturan perundang-undangan yang berlaku.4. Dalam hal Pengguna memberikan persetujuan tertulis sebagaimana dimaksud pada angka 3 huruf a, Penyelenggara dapat memberikan data dan/atau informasi pribadi Pengguna dan memastikan pihak ketiga dimaksud tidak memberikan dan/atau menggunakan data dan/atau informasi pribadi Pengguna untuk tujuan selain yang disepakati antara Penyelenggara dengan pihak lainnya.5. Tata cara persetujuan tertulis dari Pengguna dapat dinyatakan dalam bentuk antara lain:a. pilihan setuju atau tidak setuju; ataub. memberikan tanda persetujuan,dalam dokumen dan/atau perjanjian produk dan/atau layanan.6. Data dan informasi sebagaimana dimaksud pada angka 2 harus diamankan melalui metode yang dapat memastikan proses pembacaan data dilakukan oleh pihak yang terotorisasi.7. Data dan informasi Pengguna yang diperoleh dan dimanfaatkan oleh Penyelenggara harus memenuhi kriteria sebagai berikut:a. penyampaian batasan pemanfaatan data dan informasi kepada Pengguna serta memperoleh persetujuan dari Pengguna;b. penyampaian setiap perubahan tujuan pemanfaatan data dan informasi kepada Pengguna (apabila ada); danc. media dan metode yang dipergunakan dalam memperoleh data dan informasi terjamin kerahasiaan, keamanan serta keutuhannya.8. Data atau informasi Pengguna yang dimusnahkan oleh Penyelenggara harus memenuhi kriteria sebagai berikut:a. memperhatikan aspek retensi berdasarkan peraturan perundang-undangan yang berlaku dan kepentingan audit serta pemeriksaan dari otoritas pengawas dan pengatur sektor; danb. memastikan tidak ada data dan informasi yang tertinggal, terkorelasi dan dapat dimanfaatkan kembali.9. Penyelenggara mencegah adanya akses yang tidak sah terhadap data dan informasi.10. Penyelenggara wajib menjaga kerahasiaan, keutuhan, dan ketersediaan data pribadi, data transaksi, dan data keuangan yang dikelolanya sejak data diperoleh hingga data tersebut dimusnahkan.