Apakah Merchant Boleh Mencatat Nomor Kartu Debit atau Kredit Konsumen

Penggunaan kartu debit dan kartu kredit sebagai alat pembayaran semakin umum dalam transaksi sehari-hari. Namun, konsumen perlu memahami bagaimana data kartu mereka diperlakukan oleh merchant atau pedagang, terutama ketika nomor kartu dicatat atau disimpan setelah transaksi berlangsung.

Pada dasarnya, merchant tidak boleh mengambil atau menggunakan data kartu debit maupun kredit secara sembarangan. Pencatatan data harus memperhatikan tujuan yang sah, ketentuan sistem pembayaran, dan pelindungan data pribadi. Bahkan, Bank Indonesia secara khusus melarang praktik double swipe, yaitu pengambilan data kartu melalui mesin kasir di pedagang untuk tujuan selain pemrosesan pembayaran. [1]

Meski demikian, perlu dibedakan antara pencatatan nomor kartu melalui praktik yang dilarang dan penyimpanan data yang memang diperlukan untuk tujuan tertentu serta dilakukan sesuai ketentuan. Karena itu, penilaian hukumnya bergantung pada jenis data yang dicatat, tujuan penggunaannya, cara penyimpanannya, dan aturan yang berlaku.

Aturan Bank Indonesia tentang Pencatatan Data Kartu Pembayaran

Bank Indonesia menjelaskan bahwa penyalahgunaan data nasabah maupun informasi transaksi pembayaran di luar tujuan pemrosesan pembayaran merupakan tindakan yang dilarang. Salah satu contoh yang disebutkan adalah pengambilan nomor kartu, card verification value (CVV), tanggal kedaluwarsa, dan service code kartu debit atau kredit melalui mesin kasir di merchant. Praktik tersebut dikenal sebagai double swipe. [1]

Larangan ini penting karena data kartu pembayaran dapat disalahgunakan apabila dikumpulkan tanpa kebutuhan yang sah. Dalam transaksi di toko, konsumen sebaiknya memastikan kartu hanya digunakan pada perangkat pembayaran yang semestinya dan tidak diserahkan kepada pihak lain untuk diproses melalui perangkat yang tidak berkaitan dengan pembayaran.

Bank Indonesia juga mengingatkan masyarakat agar tidak memberikan informasi pribadi maupun informasi kartu kepada pihak yang tidak berwenang, termasuk nomor kartu, PIN, dan kode keamanan di belakang kartu. Konsumen dianjurkan segera menghubungi bank penerbit apabila menemukan transaksi yang tidak pernah dilakukan. [2]

Dengan demikian, merchant tidak dapat menganggap bahwa setiap data kartu boleh dicatat hanya karena konsumen menggunakannya untuk membayar. Pengambilan data melalui cara yang dilarang tetap tidak dibenarkan, sekalipun terjadi ketika transaksi berlangsung.

Nomor Kartu Debit dan Kredit dalam Perspektif Pelindungan Data Pribadi

Selain ketentuan sistem pembayaran, pencatatan nomor kartu juga perlu ditinjau berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).

UU PDP mendefinisikan data pribadi sebagai data mengenai orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara langsung maupun tidak langsung, melalui sistem elektronik ataupun nonelektronik. Data keuangan pribadi termasuk kategori data pribadi yang bersifat spesifik. Oleh karena itu, informasi kartu yang berkaitan dengan seseorang perlu ditangani secara hati-hati, terutama apabila dikombinasikan dengan informasi lain yang dapat mengidentifikasi pemiliknya. [3]

Dalam pemrosesan data pribadi, pengendali data wajib mempunyai dasar pemrosesan yang sah. Pasal 20 UU PDP mengatur sejumlah dasar pemrosesan, yaitu persetujuan yang sah secara eksplisit, pemenuhan kewajiban perjanjian, pemenuhan kewajiban hukum, pelindungan kepentingan vital, pelaksanaan tugas untuk kepentingan umum atau kewenangan berdasarkan peraturan perundang-undangan, serta pemenuhan kepentingan sah lainnya dengan mempertimbangkan tujuan, kebutuhan, dan keseimbangan kepentingan para pihak. [3]

Artinya, persetujuan bukan satu-satunya dasar pemrosesan data pribadi. Namun, merchant tetap harus dapat menunjukkan dasar yang sesuai dengan kegiatan yang dilakukan. Apabila pemrosesan didasarkan pada persetujuan, persetujuan tersebut harus diberikan secara sah dan eksplisit untuk tujuan yang telah disampaikan kepada pemilik data.

Pasal 21 UU PDP juga mewajibkan pengendali data memberikan informasi mengenai legalitas pemrosesan, tujuan, jenis dan relevansi data yang diproses, jangka waktu retensi dokumen, rincian informasi yang dikumpulkan, jangka waktu pemrosesan, serta hak subjek data pribadi. Ketentuan tersebut menjadi penting ketika merchant bermaksud menyimpan informasi kartu setelah pembayaran selesai. [3]

Merchant karena itu perlu menjelaskan mengapa data kartu dibutuhkan, data apa yang akan disimpan, berapa lama penyimpanannya, dan bagaimana informasi tersebut digunakan. Pencatatan tanpa penjelasan atau dasar pemrosesan yang sesuai dapat menimbulkan persoalan kepatuhan terhadap UU PDP.

Apakah Merchant Boleh Menyimpan Nomor Kartu Setelah Transaksi?

Jawabannya tidak dapat ditentukan hanya dari fakta bahwa nomor kartu dicatat. Perlu diperiksa tujuan penyimpanan dan aturan khusus yang mengatur jenis data tersebut.

Dalam standar keamanan pembayaran internasional PCI DSS, sebagian data pemegang kartu dapat disimpan apabila benar-benar diperlukan untuk tujuan bisnis yang sah dan dilindungi dengan pengamanan yang sesuai. Namun, kode keamanan kartu seperti CVV/CVC, data lengkap pita magnetik, serta PIN dan blok PIN tidak boleh disimpan setelah otorisasi transaksi selesai. Larangan penyimpanan data autentikasi sensitif tersebut tetap berlaku meskipun data dienkripsi. [4]

Standar PCI DSS bukan pengganti hukum Indonesia, tetapi dapat menjadi rujukan teknis untuk memahami praktik pengamanan data pembayaran. Merchant yang perlu menangani data kartu sebaiknya menggunakan sistem pembayaran yang memenuhi standar keamanan, membatasi akses terhadap data, dan menghindari penyimpanan informasi yang sebenarnya tidak dibutuhkan.

Sebagai langkah yang lebih aman, merchant dapat memanfaatkan penyedia pemrosesan pembayaran yang sesuai ketentuan atau teknologi tokenisasi. Dengan tokenisasi, sistem menggunakan token pengganti sehingga merchant tidak harus menyimpan nomor kartu asli untuk kebutuhan transaksi berulang tertentu. PCI Security Standards Council juga menyarankan pelaku usaha agar tidak menyimpan data kartu jika penyimpanan tersebut tidak diperlukan. [4][5]

Kewajiban Merchant Menjaga Keamanan Data Konsumen

UU PDP mewajibkan pengendali data pribadi melindungi data dari pemrosesan yang tidak sah. Pasal 39 juga mengatur kewajiban mencegah akses tidak sah melalui sistem keamanan terhadap data yang diproses dan/atau penggunaan sistem elektronik yang andal, aman, dan bertanggung jawab. [3]

Dalam praktiknya, merchant yang memang mempunyai dasar sah untuk memproses data perlu menerapkan langkah pengamanan yang sepadan dengan risiko, antara lain:

1. Membatasi pengumpulan data kartu hanya pada informasi yang benar-benar diperlukan.
2. Tidak mencatat PIN atau kode keamanan kartu untuk disimpan setelah transaksi.
3. Membatasi akses terhadap data hanya kepada petugas atau sistem yang berwenang.
4. Menggunakan sistem penyimpanan yang aman dan menerapkan pengamanan teknis yang relevan.
5. Menetapkan masa retensi dan menghapus data ketika tidak lagi diperlukan sesuai ketentuan.
6. Memastikan pihak ketiga yang membantu pemrosesan pembayaran juga menjalankan kewajiban keamanan yang relevan.

Langkah-langkah tersebut dapat mengurangi risiko penyalahgunaan data, penipuan, dan transaksi tanpa izin. Konsumen pun sebaiknya tidak membagikan foto kartu, PIN, atau kode CVV melalui pesan maupun formulir yang tidak jelas keperluannya.

Apa yang Dapat Dilakukan Jika Merchant Mencatat Nomor Kartu Tanpa Penjelasan?

Apabila konsumen mengetahui bahwa nomor kartu debit atau kreditnya dicatat tanpa penjelasan yang memadai, konsumen dapat meminta merchant menjelaskan tujuan, dasar pemrosesan, pihak yang dapat mengakses data, serta jangka waktu penyimpanannya.

Jika pencatatan dilakukan melalui praktik double swipe atau terdapat dugaan penyalahgunaan dalam pemrosesan pembayaran, konsumen dapat menyampaikan pengaduan kepada bank penerbit kartu dan Bank Indonesia. Simpan bukti transaksi, komunikasi dengan merchant, serta informasi mengenai kapan dan bagaimana pencatatan tersebut dilakukan. Hindari menyebarkan nomor kartu lengkap atau kode keamanan ketika mengumpulkan bukti.

Apabila persoalannya berkaitan dengan pemrosesan data pribadi yang diduga melanggar UU PDP, konsumen dapat mempertimbangkan langkah hukum sesuai fakta dan bukti yang tersedia. Pasal 12 UU PDP memberikan hak kepada subjek data pribadi untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi sesuai ketentuan hukum. [3]

Namun, pencatatan nomor kartu saja tidak otomatis membuktikan bahwa seluruh unsur pelanggaran administratif atau pidana telah terpenuhi. Penilaiannya harus melihat tujuan, cara memperoleh data, penggunaan setelah pencatatan, kerugian yang terjadi, dan unsur hukum yang relevan.

Sanksi atas Pemrosesan Data Pribadi yang Melanggar Hukum

UU PDP mengatur sanksi administratif bagi pelanggaran terhadap kewajiban tertentu, berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan sesuai variabel pelanggaran. Penerapan sanksi harus mengikuti ketentuan dan kewenangan yang berlaku. [3]

Selain itu, perbuatan tertentu yang memenuhi unsur larangan dalam Pasal 65 UU PDP dapat berimplikasi pidana berdasarkan Pasal 67. Setelah penyesuaian melalui Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana, ancaman pidana untuk perbuatan yang diatur dalam Pasal 67 ayat (1) adalah penjara paling lama lima tahun dan/atau denda paling banyak kategori IV; untuk ayat (2), penjara paling lama empat tahun dan/atau denda kategori IV; sedangkan ayat (3) mengatur penjara paling lama lima tahun dan/atau denda kategori IV. [6][7]

Ketentuan pidana tersebut tidak berarti setiap kasus pencatatan nomor kartu langsung dapat dikenai hukuman tersebut. Harus dibuktikan terlebih dahulu bahwa tindakan yang dilakukan memenuhi unsur tindak pidana yang dimaksud.

Perlu diperhatikan pula bahwa Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP telah ditetapkan pada Juli 2026, tetapi baru mulai berlaku pada Januari 2027. Karena itu, ketentuan PP tersebut yang belum berlaku tidak tepat diperlakukan seolah-olah sudah efektif pada Oktober 2026. Untuk menilai kewajiban yang berlaku saat ini, UU PDP dan ketentuan lain yang sudah efektif tetap perlu menjadi acuan. [8]

Kesimpulan

Merchant tidak boleh mengambil atau menggunakan nomor kartu debit maupun kredit secara sembarangan. Bank Indonesia secara tegas melarang praktik double swipe untuk mengambil data kartu melalui mesin kasir pedagang di luar tujuan pemrosesan pembayaran. Di sisi lain, UU PDP mengharuskan setiap pemrosesan data pribadi memiliki dasar yang sah dan dilakukan dengan perlindungan yang memadai.

Penyimpanan data kartu untuk kebutuhan tertentu tidak otomatis dilarang dalam semua keadaan, tetapi harus mengikuti ketentuan yang berlaku, termasuk pembatasan terhadap data autentikasi sensitif. Konsumen yang mendapati nomor kartunya dicatat tanpa penjelasan sebaiknya meminta klarifikasi, menghubungi bank penerbit apabila ada risiko penyalahgunaan, dan menyampaikan pengaduan kepada otoritas yang berwenang apabila diperlukan.

Daftar Referensi

1. Bank Indonesia. Larangan Praktik Double Swipe, Gesek Tunai dan Surcharge.
   https://www.bi.go.id/id/edukasi/Pages/Larangan-Praktik-Double-Swipe-Gesek-Tunai-dan-Surcharge.aspx
2. Bank Indonesia. Tips dan Transaksi Aman.
   https://www.bi.go.id/id/edukasi/Pages/Tips-dan-Transaksi-Aman.aspx
3. JDIH Kementerian Komunikasi dan Digital. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
   https://jdih.komdigi.go.id/produkhukum/view/id/832/t/crc32/
4. PCI Security Standards Council. Are Merchants Allowed to Request Card-Verification Codes/Values from Cardholders?
   https://www.pcisecuritystandards.org/faqs/are-merchants-allowed-to-request-card-verification-codes-values-from-cardholders/
5. PCI Security Standards Council. Data Security Essentials for Small Merchants: Guide to Safe Payments.
   https://www.pcisecuritystandards.org/documents/SmallMerchantGuidetoSafePayments.pdf
6. JDIH BPK RI. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana.
   https://peraturan.bpk.go.id/Details/337869
7. JDIH BP2MI. Undang-Undang Nomor 1 Tahun 2026 tentang Penyesuaian Pidana (naskah undang-undang).
   https://jdih.bp2mi.go.id/uploads/20260310/20260310124650889000746UUNomor1Tahun2026compressed.pdf
8. Hukumonline. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP.
   https://www.hukumonline.com/pusatdata/detail/lt6a9164bf1e96a/peraturan-pemerintah-nomor-33-tahun-2026/