Pengaturan Data Sistem Pembayaran Berdasarkan PBI 10/2026

Pendahuluan

Pada 29 Oktober 2026, Bank Indonesia (“BI”) menetapkan Peraturan Bank Indonesia Nomor 10 Tahun 2026 tentang Pengaturan Data Sistem Pembayaran (“PBI 10/2026”). PBI 10/2026 bertujuan untuk menjadi acuan bagi BI, Penyelenggara Jasa Sistem Pembayaran (“PSP”), Pihak Terhubung, dan pihak lainnya dalam melakukan pemrosesan data sistem pembayaran. Selain itu, PBI 10/2026 menjadi pedoman bagi penyelenggaraan Infrastruktur Data Sistem Pembayaran yang dikelola oleh BI serta menjadi dasar bagi penyusunan ketentuan teknis BI dan ketentuan industri terkait pemrosesan data sistem pembayaran.

Penerbitan PBI 10/2026 didasarkan pada kebutuhan BI untuk memperkuat tata kelola pemrosesan dan pertukaran data sistem pembayaran seiring dengan semakin meluasnya penggunaan layanan ekonomi dan keuangan digital. Perkembangan tersebut mendorong peningkatan volume dan kecepatan transaksi pembayaran, yang turut meningkatkan risiko siber, fraud (kecurangan), serta ancaman terhadap integritas transaksi. Sejalan dengan Blueprint Sistem Pembayaran Indonesia 2030, BI mengembangkan Infrastruktur Data Sistem Pembayaran untuk memperkuat manajemen risiko industri dan menjaga integritas transaksi guna mewujudkan struktur industri pembayaran yang berdaya tahan. 

Ketentuan Penting

Subjek yang Terikat dan Ruang Lingkup Pengaturan

Sebagaimana diatur dalam Pasal 4, PBI 10/2026 berlaku bagi BI, PSP, Pihak Terhubung, dan pihak lain. Penjelasan Pasal 4 huruf d menyebut "pihak lain" antara lain kementerian, lembaga, dan otoritas terkait. Pasal 1 angka 8 mendefinisikan Pihak Terhubung sebagai pihak yang telah memperoleh persetujuan untuk tersambung dengan Infrastruktur Data Sistem Pembayaran milik BI. Pasal 5 menegaskan bahwa BI memproses data sistem pembayaran, yang mencakup data pengguna jasa dan data lain terkait penyelenggaraan sistem pembayaran, serta berwenang menggabungkan (mengagregasi) data tersebut. Adapun Pasal 6 merinci enam ruang lingkup pengaturan:

1.     elemen data sistem pembayaran;

2.     tata kelola pemrosesan data;

3.     pertukaran data;

4.     Infrastruktur Data Sistem Pembayaran;

5.     koordinasi dan kerja sama; dan

6.     pelaporan, pengawasan, dan pemantauan.

Sumber Data dan Kewajiban Menyampaikan Data kepada BI

Pasal 7 ayat (1) menetapkan bahwa data sistem pembayaran dapat bersumber dari BI, PSP, dan pihak lain. Menurut Pasal 7 ayat (2), BI memperoleh data tersebut melalui Infrastruktur Data Sistem Pembayaran, infrastruktur sistem pembayaran BI (misalnya data transaksi lintas batas, sesuai penjelasannya), penyampaian laporan, atau mekanisme lain yang ditetapkan BI. Pasal 7 ayat (3) sampai ayat (5) memberi BI wewenang meminta data kepada PSP dan pihak lain. Pihak yang diminta wajib menyampaikannya dan bertanggung jawab penuh atas kebenaran seluruh data yang disampaikan.

Klasifikasi Data Pengguna Jasa

Pasal 8 membagi data pengguna jasa menjadi data orang perseorangan dan data korporasi. Penjelasan Pasal 8 menambahkan bahwa data ini dapat dilengkapi metadata, yaitu keterangan yang memudahkan pencarian dan pengelolaan data. Pasal 9 ayat (1) memberi BI wewenang menetapkan klasifikasi data pengguna jasa. Berdasarkan Penjelasan Pasal 9, ketiga klasifikasi itu dibedakan menurut tujuan dan dasar pertukarannya:

Pasal 9 ayat (2) memungkinkan BI menyesuaikan klasifikasi tersebut berdasarkan pertimbangan tertentu, antara lain untuk mendukung kebijakan ekonomi dan keuangan nasional.

Tata Kelola Pemrosesan Data oleh PSP

Pasal 11 mengatur kewenangan BI dalam menetapkan kebijakan tata kelola pemrosesan data pengguna jasa oleh PSP, yang mencakup legalitas pemrosesan, mekanisme pemberian dan penarikan persetujuan, standar kontrak, serta pelindungan hak pemilik data. PSP juga wajib memastikan mitra kerja samanya mematuhi ketentuan tersebut. Apabila BI belum menetapkan kebijakan, PSP wajib menyusun kebijakan sendiri berdasarkan peraturan perundang-undangan dan/atau ketentuan teknis SRO.

Selanjutnya, Pasal 12 mewajibkan setiap Pengendali Data memastikan pemrosesan data memiliki dasar yang sah, yaitu:

• pelaksanaan kepentingan umum (public task);

• pemenuhan kewajiban hukum (legal obligation);

• pelindungan kepentingan vital (vital interest);

• pemenuhan kepentingan yang sah (legitimate interest);

• persetujuan pemilik data (consent); dan/atau

• pelaksanaan perjanjian (contract).

Mekanisme dan Tahapan Pemrosesan Data

Pasal 21 mensyaratkan pemrosesan data dilakukan sesuai tujuannya, secara elektronik dan/atau nonelektronik. Pasal 22 merinci tiga tahapan pemrosesan:

Jenis Fraud dan Kewajiban Pengelolaan Fraud oleh PSP

Pasal 24 ayat (2) menetapkan empat jenis fraud dalam sistem pembayaran:

1. transaksi pembayaran yang tidak sah (unauthorised payment transactions);

2. manipulasi terhadap pembayar agar melakukan pembayaran, misalnya membujuk korban mentransfer dana ke rekening pelaku (manipulation of payers to issue payment);

3. fraud yang menyasar PSP melalui penyalahgunaan data nasabah atau sistem pembayaran; dan

4. fraud yang berkaitan dengan produk lain dari PSP.

PSP berwenang menetapkan suatu perbuatan sebagai fraud dan menentukan pelakunya dengan mempertimbangkan tipologi fraud serta kerugian yang ditimbulkan. Selanjutnya, berdasarkan Pasal 25, PSP wajib:

• menyusun dan menerapkan kebijakan pengelolaan fraud yang mencakup pencegahan, deteksi, investigasi dan pelaporan, pemantauan dan evaluasi, serta edukasi; dan

• menerapkan manajemen risiko melalui pengawasan aktif direksi dan dewan komisaris, kebijakan dan prosedur yang memadai, serta struktur organisasi dan akuntabilitas yang jelas.

Selain itu, Pasal 26 mewajibkan PSP mengelola transaksi terkait pencegahan pencucian uang, pendanaan terorisme, pendanaan proliferasi senjata pemusnah massal, serta transaksi lain yang dilarang berdasarkan peraturan perundang-undangan..

Penilaian Dampak Pemrosesan Data

Pasal 28 mewajibkan PSP dan Pihak Terhubung melakukan penilaian dampak sebelum memproses data pengguna jasa untuk mengidentifikasi potensi risiko dan menentukan langkah mitigasi guna melindungi hak pemilik data. Penilaian tersebut menjadi dasar untuk menentukan kelayakan pemrosesan data dan paling sedikit mencakup:

• deskripsi kegiatan dan tujuan pemrosesan;

• penilaian kebutuhan dan tujuan pemrosesan;

• penilaian risiko; dan

• langkah mitigasi risiko.

Pertukaran Data Sistem Pembayaran

Pasal 30 memberikan kewenangan kepada BI untuk menetapkan cakupan pertukaran data sistem pembayaran, baik antara BI dengan PSP atau pihak lain maupun antar-PSP, termasuk pertukaran data lintas batas. Berdasarkan Pasal 32, pertukaran data dapat dilakukan melalui atau di luar Infrastruktur Data Sistem Pembayaran dengan persyaratan sebagai berikut:

• Melalui infrastruktur: Pasal 33 mensyaratkan adanya dokumen dasar (underlying) dan narahubung (contact person), serta persyaratan tambahan apabila ditetapkan BI.

• Di luar infrastruktur: Pasal 35 mewajibkan PSP memenuhi standar minimum kontrak dan menunjuk narahubung. Kontrak tersebut paling sedikit memuat ruang lingkup dan tujuan pertukaran data, kewajiban para pihak, penyelesaian sengketa, tata cara transfer data, serta hak dan upaya hukum pemilik data.

Selain itu, Pasal 36 mengatur dokumen dasar pertukaran data, yang dapat berupa nota kesepahaman, perjanjian keterhubungan, dan/atau perjanjian kerja sama. Pasal 37 memungkinkan pembentukan joint task force untuk mengoordinasikan pertukaran data antara BI dan kementerian atau lembaga, sedangkan Pasal 38 mengatur pengecualian kewajiban dokumen dasar untuk pertukaran data di sektor tertentu sepanjang diatur dalam undang-undang.

Fungsi Infrastruktur Data Sistem Pembayaran

Pasal 41 menetapkan BI sebagai penyelenggara Infrastruktur Data Sistem Pembayaran, yang dapat menunjuk pihak lain untuk dan atas nama BI. Pasal 42 ayat (1) mengatur lima fungsi infrastruktur tersebut, yaitu:

1. mengidentifikasi calon pengguna jasa dan pengguna jasa secara unik;

2. mengidentifikasi dan mengukur integritas transaksi pembayaran, antara lain melalui deteksi fraud pada tingkat akun dan transaksi serta analisis pola transaksi yang sedang berjalan;

3. melakukan pertukaran data, antara lain melalui penyediaan riwayat transaksi pembayaran (payment history) pengguna jasa;

4. menyimpan data untuk mendukung pelaksanaan tugas BI; dan

5. menyediakan layanan data lainnya.

Infrastruktur ini dapat terhubung dengan infrastruktur sistem pembayaran BI lainnya. Pasal 42 ayat (2) dan (3) mengatur bahwa BI akan menetapkan ketentuan lebih lanjut mengenai jenis layanan, pihak terhubung, mekanisme pertukaran, dan akses data.

Layanan Identifikasi Unik Pengguna Jasa

Pasal 47 ayat (1) mengatur bahwa BI membentuk dan mengelola identitas unik bagi setiap calon pengguna jasa dan pengguna jasa. Untuk mendukung layanan tersebut, Pasal 47 ayat (2) mewajibkan PSP yang menjadi Pihak Terhubung untuk menyediakan data calon pengguna jasa dan pengguna jasa kepada BI serta mengelola identitas unik tersebut. Pengelolaan ini meliputi pencatatan identitas unik dan pemberitahuannya kepada pengguna jasa.

Penahanan Transaksi yang Terindikasi Fraud

Pasal 48 ayat (2) mewajibkan PSP yang menjadi Pihak Terhubung untuk melaporkan data pengguna jasa terkait integritas transaksi, termasuk data pelaku fraud yang telah ditetapkan oleh PSP, ke Infrastruktur Data Sistem Pembayaran.

Selanjutnya, Pasal 49 ayat (1) mewajibkan PSP memeriksa transaksi yang terindikasi fraud. Selama pemeriksaan, Pasal 49 ayat (2) memberikan kewenangan kepada PSP untuk melakukan salah satu tindakan berikut:

1. menunda pengkreditan dana; atau

2. tidak memproses transaksi dari dan ke rekening atau akun penerima dana, termasuk transfer keluar, kecuali pendebitan biaya yang menjadi kewajiban pemilik rekening.

Pasal 49 ayat (3) sampai dengan ayat (5) mewajibkan PSP memberitahukan tindakan tersebut kepada pengguna jasa secara tertulis, baik melalui surat maupun sarana elektronik, paling sedikit satu kali. Penahanan transaksi dapat dilakukan paling lama 5 hari kerja sejak tanggal pemeriksaan. Pada hari kerja kelima, PSP wajib mengambil keputusan untuk:

1. melanjutkan transaksi apabila pengguna jasa tidak ditetapkan sebagai pelaku fraud; atau

2. tidak meneruskan transaksi apabila pengguna jasa ditetapkan sebagai pelaku fraud.

Selain itu, Pasal 49 ayat (6) mewajibkan PSP mencatat hasil pemeriksaan, yang paling sedikit memuat identitas pengirim dan penerima, tanggal dan nominal transaksi, serta alasan pemeriksaan.

Pengguna Jasa yang Tercatat dalam Data Integritas Transaksi

Pasal 50 ayat (1) mewajibkan PSP melakukan pemantauan berkelanjutan secara lebih ketat terhadap pengguna jasa yang tercatat dalam data integritas transaksi serta memperbarui data transaksinya. Pasal 50 ayat (3) juga mensyaratkan penerapan uji tuntas nasabah (customer due diligence) dan/atau uji tuntas lanjutan (enhanced due diligence).

Selanjutnya, Pasal 51 ayat (1) mewajibkan PSP tidak meneruskan transaksi pengguna jasa yang tercatat tersebut dengan memperhatikan status terkini pengguna jasa dalam Infrastruktur Data Sistem Pembayaran. Pasal 51 ayat (2) sampai dengan ayat (4) mewajibkan PSP memberitahukan secara tertulis alasan penolakan transaksi dan tindak lanjut yang dapat ditempuh oleh pengguna jasa, serta mencatat dokumen transaksi terkait.

Pengguna jasa yang keberatan atas pencatatannya dapat mengajukan keberatan beserta dokumen pendukung kepada PSP yang melakukan penetapan. Berdasarkan Pasal 52, PSP wajib menindaklanjuti keberatan tersebut sesuai dengan ketentuan pelindungan konsumen.

Selain itu, Pasal 53 mengatur bahwa BI akan menetapkan masa retensi dan jangka waktu pencatatan seseorang dalam data integritas transaksi, yang wajib diterapkan oleh PSP.

Layanan Pertukaran Data dan Standardisasi Data

Pasal 54 ayat (2) mewajibkan PSP yang menjadi Pihak Terhubung untuk menyediakan dan menggunakan data sesuai dengan mekanisme yang ditetapkan BI, termasuk mekanisme persetujuan pemilik data.

Selain itu, Pasal 57 ayat (2) mewajibkan PSP memenuhi standardisasi data yang ditetapkan BI. Berdasarkan penjelasan Pasal 57 ayat (1), standardisasi tersebut meliputi metadata, format pesan berbasis ISO 20022, dan komunikasi data melalui standar application programming interface (API). Dengan demikian, PSP perlu menyesuaikan sistem dan teknologi yang digunakan untuk memenuhi standar tersebut.

Pengakhiran Hak Akses

Pasal 55 mengatur bahwa BI dapat mengakhiri hak akses Pihak Terhubung atas permintaan sendiri, sebagai tindak lanjut pengawasan atau pemantauan, atau sebagai bentuk pengenaan sanksi administratif. Pengakhiran hak akses dilakukan setelah Pihak Terhubung menyelesaikan seluruh kewajibannya. BI juga dapat mengumumkan pengakhiran hak akses tersebut melalui laman resminya.

Penerapan Bertahap dan Kewajiban Menjadi Pihak Terhubung

Pasal 59 mengatur bahwa penerapan Infrastruktur Data Sistem Pembayaran dilakukan secara bertahap berdasarkan jadwal, ruang lingkup, dan mekanisme yang ditetapkan BI. Berdasarkan Pasal 59 ayat (3), BI dapat mewajibkan PSP untuk menjadi Pihak Terhubung. Pihak Terhubung wajib mematuhi tahapan penerapan tersebut sebagaimana diatur dalam Pasal 59 ayat (4).

Dalam menetapkan tahapan penerapan, Pasal 59 ayat (5) mengatur bahwa BI mempertimbangkan kesiapan layanan, infrastruktur pendukung, serta kesiapan Pihak Terhubung dan PSP.

Pelaporan, Pengawasan, dan Pemantauan

Pasal 64 ayat (2) mewajibkan PSP dan Pihak Terhubung menyampaikan laporan implementasi kepada BI, baik secara berkala maupun sewaktu-waktu, apabila diminta oleh BI.

Pasal 66 mengatur bahwa BI melakukan pengawasan terhadap PSP dengan pendekatan berbasis risiko dan kepatuhan. Sementara itu, Pasal 68 mengatur pemantauan terhadap Pihak Terhubung terkait kepatuhan dalam penyelenggaraan Infrastruktur Data Sistem Pembayaran.

Berdasarkan hasil pengawasan dan pemantauan tersebut, Pasal 70 memberikan kewenangan kepada BI untuk meminta pihak yang diawasi melakukan atau menghentikan tindakan tertentu, membatasi kegiatan, menghentikan pemrosesan data, hingga memutus hak akses. BI juga dapat mengumumkan tindak lanjut tersebut melalui laman resminya.

Penutup

PBI 10/2026 memperkuat tata kelola pemrosesan dan pertukaran data sistem pembayaran melalui penyelenggaraan Infrastruktur Data Sistem Pembayaran oleh BI, yang antara lain bertujuan meningkatkan integritas transaksi dan memperkuat pencegahan serta penanganan fraud.

Bagi PSP, ketentuan ini menimbulkan kewajiban untuk menyesuaikan tata kelola, prosedur, sistem, dan teknologi, termasuk dalam pemenuhan standardisasi serta pertukaran data. Oleh karena itu, PSP perlu mencermati ketentuan teknis dan tahapan penerapan yang akan ditetapkan BI serta mempersiapkan pemenuhan kewajiban sebagai Pihak Terhubung.