6 Hak Konsumen Asuransi Terhadap Perlindungan Data Pribadi Berdasarkan UU PDP

Era Baru Kedaulatan Data: Mengapa Perlindungan Data Pribadi Sangat Krusial dalam Industri Asuransi

Dalam lanskap industri asuransi modern yang bertransformasi cepat menuju digitalisasi menyeluruh, data nasabah telah menjadi aset paling berharga sekaligus paling rentan. Setiap kali seseorang mengajukan permohonan asuransi jiwa atau kesehatan—baik melalui pengisian formulir fisik Surat Permohonan Asuransi Jiwa (SPAJ), aplikasi digital keagenan PRUForce, portal nasabah PRUServices, hingga pengajuan klaim rawat inap di rumah sakit—ratusan butir informasi yang sangat privat diserahkan kepada perusahaan asuransi.

Informasi yang dikumpulkan oleh penanggung bukan sekadar identitas standar seperti nama dan Nomor Induk Kependudukan (NIK), melainkan mencakup data paling intim dalam kehidupan manusia: riwayat rekam medis dokter, diagnosa penyakit turunan genetik, hasil laboratorium darah, rekam elektrokardiogram jantung, kebiasaan gaya hidup, penghasilan tahunan, hingga mutasi rekening bank dan nomor kartu kredit. Jika data ini jatuh ke tangan pihak ketiga yang tidak bertanggung jawab, nasabah menghadapi ancaman diskriminasi sosial, kerugian finansial, penipuan rekayasa sosial (*social engineering*), hingga intimidasi telemarketing yang merusak privasi hidup.

Menjawab tantangan tersebut, Pemerintah Republik Indonesia mengesahkan tonggak sejarah regulasi privasi melalui Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP). UU PDP menempatkan perusahaan asuransi, pialang, agen, serta Third Party Administrator (TPA) sebagai Pengendali Data Pribadi (*Data Controller*) dan Prosesor Data Pribadi (*Data Processor*) yang memikul tanggung jawab hukum mutlak. Sebagai pemegang polis atau calon tertanggung, Anda memegang status sebagai Subjek Data Pribadi yang dilindungi oleh seperangkat hak asasi digital yang tidak dapat diganggu gugat. Berikut adalah telaah mendalam mengenai 6 hak fundamental konsumen asuransi berdasarkan UU PDP.

"Undang-Undang Perlindungan Data Pribadi No. 27 Tahun 2022 mengakhiri era di mana korporasi dapat memperlakukan data pribadi masyarakat sebagai komoditas bebas. Dalam kontrak asuransi, data medis dan keuangan nasabah adalah hak asasi privasi yang dilindungi oleh ancaman pidana kurungan dan denda miliaran rupiah bagi siapa pun yang menyalahgunakannya." — Amanat Penegakan Hukum Privasi Digital Indonesia.

Klasifikasi Data Nasabah Asuransi Menurut UU PDP: Data Umum vs Data Spesifik

Pasal 16 UU PDP membagi data pribadi menjadi dua kategori tegas yang memiliki standar perlindungan hukum berbeda:

• Data Pribadi yang Bersifat Umum: Meliputi nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, alamat domisili, dan data pribadi yang dikombinasikan untuk mengidentifikasi seseorang.
• Data Pribadi yang Bersifat Spesifik (Sensitif): Meliputi data dan informasi kesehatan pribadi, data biometrik, data genetika, catatan kejahatan, data anak, serta data keuangan pribadi. Data spesifik inilah yang menjadi inti dari transaksi asuransi jiwa dan kesehatan. Pemrosesan data spesifik menuntut standar kepatuhan pengamanan paling ketat (*highest security standards*), enkripsi tingkat lanjut, dan persetujuan tertulis eksplisit.

1. Hak atas Kerahasiaan Riwayat Rekam Medis Pribadi dan Larangan Pengungkapan Tanpa Izin

Berdasarkan Pasal 5 UU PDP, subjek data pribadi berhak mendapatkan kerahasiaan atas data pribadinya. Dalam praktik asuransi, riwayat medis yang Anda buka kepada underwriter pada saat proses seleksi risiko (*underwriting*) atau pengajuan klaim rumah sakit bersifat rahasia mutlak (*strictly confidential*).

Perusahaan asuransi dilarang keras membagikan resume medis, catatan konsultasi psikologis, hasil biopsi kanker, atau diagnosa penyakit menular seksual Anda kepada pihak luar—termasuk atasan tempat Anda bekerja, rekan bisnis, agen pemasaran eksternal, atau lembaga pemeringkat kredit—tanpa persetujuan tertulis eksplisit dari Anda. Klausul surat kuasa medis (*medical release form*) yang Anda tanda tangani saat membeli polis hanya berlaku semata-mata untuk verifikasi kepentingan pembayaran klaim dan penjaminan risiko aktuaria, bukan izin cek kosong (*blank check*) bagi penanggung untuk mengumbar rahasia medis Anda kepada pihak mana pun.

2. Hak Memberikan Persetujuan Eksplisit (Explicit Consent) Sebelum Pemrosesan Data Sensitif

Pasal 20 hingga Pasal 24 UU PDP mewajibkan Pengendali Data untuk memiliki dasar pemrosesan data yang sah. Dalam konteks asuransi, dasar utamanya adalah Persetujuan Sah yang Bersifat Eksplisit (*Explicit and Informed Consent*).

Kepatuhan ini mengubah tata cara pengisian SPAJ di Indonesia:

1. Perusahaan asuransi tidak boleh lagi menyembunyikan persetujuan penggunaan data di dalam klausul cetak kecil (*fine print*) atau kotak persetujuan yang sudah dicentang secara otomatis (*pre-ticked boxes*).
2. Calon nasabah wajib diberikan lembar persetujuan terpisah yang menjelaskan secara terang-benderang: jenis data apa saja yang dikumpulkan, untuk tujuan apa data tersebut diproses, siapa saja mitra penanggung (seperti TPA laboratorium atau perusahaan reasuransi) yang akan mengakses data, dan berapa lama data tersebut disimpan.
3. Jika penanggung ingin menggunakan data nomor telepon Anda untuk tujuan penawaran produk asuransi baru atau promosi produk keuangan grup afiliasi, penanggung wajib menyediakan kotak persetujuan terpisah (*unbundled consent*) yang dapat Anda tolak secara sukarela tanpa membatalkan proses pembelian produk utama.

3. Hak Menarik Kembali Persetujuan (Withdrawal of Consent) dan Penolakan Pemasaran Telemarketing

Pernahkah Anda merasa terganggu oleh serbuan panggilan telepon telemarketing asuransi yang menawarkan produk investasi atau asuransi kecelakaan, di mana staf telemarketing mengetahui nama lengkap, nomor ponsel, bahkan jenis kartu kredit Anda? Berdasarkan Pasal 8 UU PDP, subjek data pribadi memiliki hak mutlak untuk menarik kembali persetujuan (*withdraw consent*) pemrosesan data pribadi yang telah diberikan sebelumnya.

Anda berhak melayangkan surat resmi atau notifikasi elektronik kepada *Data Protection Officer (DPO)* perusahaan asuransi untuk mencabut izin pemanfaatan data kontak Anda untuk kegiatan pemasaran langsung (*direct marketing/telemarketing*). Begitu penarikan persetujuan diajukan, penanggung wajib menghentikan pemrosesan kontak pemasaran Anda paling lambat dalam waktu 3 x 24 jam. Jika mereka tetap melancarkan panggilan agresif, penanggung dapat dilaporkan ke Otoritas Pengawas Perlindungan Data Pribadi dan OJK atas dasar pelanggaran perizinan.

4. Hak Pembaruan, Perbaikan, dan Koreksi Data yang Tidak Akurat (Right to Rectification)

Pasal 6 UU PDP menjamin hak subjek data untuk melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi miliknya. Hak ini sangat krusial dalam mitigasi risiko sengketa klaim asuransi.

Sebagai contoh, jika pada formulir digital terjadi kesalahan pengetikan tanggal lahir, salah penulisan nomor rekening bank pencairan santunan, atau ketidaktepatan pencatatan riwayat alergi obat, nasabah berhak menuntut penanggung untuk segera mengoreksi data tersebut di sistem inti (*core banking / core insurance system*). Berdasarkan Pasal 4 Ayat (3) Huruf e UU PPh, santunan klaim asuransi kematian dan kesehatan berstatus bebas dari objek pajak penghasilan. Namun, keabsahan transfer santunan tersebut kepada rekening ahli waris menuntut akurasi data identitas 100% tanpa ada perbedaan antara KTP, buku polis, dan sistem perbankan. Akses pembaruan data real-time melalui aplikasi mobile seperti PRUServices merupakan perwujudan konkret dari hak koreksi ini.

5. Hak Perlindungan dari Kebocoran Data Digital dan Hak Menerima Notifikasi Pelanggaran Data

Perusahaan asuransi wajib menerapkan enkripsi data end-to-end, firewall tingkat perbankan (*bank-grade security*), dan sertifikasi standar keamanan informasi ISO 27001 pada seluruh aplikasi mobile, portal web, dan pusat data mereka. Namun, apabila terjadi insiden peretasan sistem atau kebocoran data digital (*data breach*), nasabah memiliki hak perlindungan hukum yang sangat tegas.

Berdasarkan Pasal 46 UU PDP, dalam hal terjadi kegagalan perlindungan data pribadi, Pengendali Data Pribadi wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam (72 jam) kepada:

• Subjek Data Pribadi (pemegang polis dan tertanggung yang terdampak); dan
• Lembaga Otoritas Pengawas Perlindungan Data Pribadi.

Pemberitahuan resmi tersebut wajib memuat secara transparan: jenis data pribadi apa saja yang terkompromi (misalnya apakah nomor kartu kredit atau riwayat penyakit ikut bocor), kapan insiden terjadi, dampak risiko bagi nasabah, serta langkah-langkah mitigasi dan pemulihan darurat yang telah diambil penanggung untuk melindungi nasabah.

6. Hak Mengakhiri Pemrosesan, Menghapus, dan Memusnahkan Data Pribadi (Right to Erasure)

Pasal 8 dan Pasal 9 UU PDP memberikan hak kepada nasabah untuk menuntut penghapusan (*erasure*) dan/atau pemusnahan (*destruction*) data pribadi miliknya. Kapan hak ini dapat dieksekusi?

Hak penghapusan data timbul apabila:

1. Data pribadi tidak lagi diperlukan untuk pencapaian tujuan awal pemrosesan (misalnya kontrak asuransi telah berakhir secara tuntas, seluruh klaim telah dibayarkan, dan masa retensi hukum telah kadaluwarsa);
2. Nasabah secara resmi menarik kembali persetujuan pemrosesan data; atau
3. Data pribadi diperoleh atau diproses secara melawan hukum oleh pihak penanggung atau perantaranya.

Meski demikian, hak penghapusan data dalam industri asuransi tetap harus diselaraskan dengan kewajiban retensi dokumen keuangan berdasarkan Undang-Undang Dokumen Perusahaan dan regulasi Anti Pencucian Uang dan Pencegahan Pendanaan Terorisme (APU-PPT) dari PPATK/OJK, yang umumnya mewajibkan penyimpanan data transaksi keuangan selama minimal 5 hingga 10 tahun sejak hubungan usaha berakhir.

Sanksi Berat Pelanggaran Data: Denda Administratif dan Ancaman Pidana Penjara

UU PDP bukan sekadar pedoman etika tanpa gigi, melainkan instrumen hukum represif dengan ancaman sanksi yang sangat dahsyat bagi korporasi maupun perorangan yang melanggar privasi nasabah:

• Sanksi Administratif (Pasal 57 UU PDP): Pengendali data yang lalai menjaga keamanan sistem dapat dijatuhi peringatan tertulis, penghentian sementara pemrosesan data, kewajiban menghapus data, hingga denda administratif maksimal sebesar 2% dari total pendapatan tahunan atau perputaran uang korporasi tersebut.
• Sanksi Pidana Denda & Penjara (Pasal 65 - 67 UU PDP): Setiap orang atau oknum yang sengaja memperoleh, mengumpulkan, atau memperjualbelikan data pribadi yang bukan miliknya dapat dipidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 Miliar. Sementara oknum yang dengan sengaja memalsukan data pribadi nasabah diancam pidana penjara paling lama 6 tahun dan/atau denda paling banyak Rp6 Miliar.

Klasifikasi Data Nasabah Asuransi dan Kewajiban Hukum Pengendali Data menurut UU PDP

Tabel komparasi berikut merangkum kategori data yang dikelola dalam polis asuransi serta standar kepatuhan hukum yang wajib dipenuhi oleh penanggung:

Pertanyaan yang Sering Diajukan (FAQ)

1. Apakah agen asuransi berhak membagikan foto resume medis atau klaim saya di status media sosial sebagai bahan testimoni?

Sangat TIDAK BERHAK dan merupakan pelanggaran berat UU PDP serta kode etik keagenan AAJI! Meskipun nama nasabah dicoret dengan spidol digital (*blur*), foto resume medis, lembar persetujuan klaim, atau rincian biaya pengobatan di rumah sakit tetap mengandung metadata dan konteks privasi yang sensitif. Agen asuransi yang mengunggah dokumen klaim tanpa persetujuan tertulis eksplisit dari nasabah dapat digugat secara hukum perdata, dilaporkan ke kepolisian dengan delik UU PDP, dan terancam pencabutan lisensi keagenan seumur hidup.

2. Bagaimana cara resmi menghentikan panggilan telepon telemarketing penawaran asuransi yang mengganggu?

Anda dapat melakukan tiga langkah tegas: (1) Saat menerima panggilan, nyatakan secara tegas: "Saya mencabut izin pemasaran dan meminta nomor saya dimasukkan ke dalam daftar Do-Not-Call perusahaan Anda sesuai hak Pasal 8 UU PDP No. 27/2022"; (2) Kirimkan email resmi atau surat elektronik ke saluran kontak Customer Care resmi perusahaan asuransi terkait dengan melampirkan identitas diri dan permintaan penarikan persetujuan *direct marketing*; (3) Jika panggilan terus berulang, laporkan nomor penelepon dan nama institusi tersebut ke Kontak OJK 157 atau portal perlindungan konsumen OJK.

3. Apakah perusahaan asuransi boleh mengakses seluruh riwayat rekam medis saya di rumah sakit tanpa persetujuan saya?

Tidak boleh. Rumah sakit dan tenaga medis terikat oleh sumpah dokter, Kode Etik Kedokteran Indonesia, dan UU PDP untuk menjaga kerahasiaan rekam medis pasien. Pihak asuransi hanya dapat meminta resume medis jika Anda telah menandatangani Surat Kuasa Pembukaan Rekam Medis resmi pada SPAJ atau formulir klaim. Akses rekam medis tersebut pun dibatasi hanya untuk riwayat pengobatan yang relevan dengan diagnosa klaim atau penjaminan risiko polis yang bersangkutan.

4. Ke manakah nasabah asuransi dapat mengadu jika mencurigai data pribadinya bocor atau diperjualbelikan?

Nasabah memiliki beberapa saluran pengaduan resmi: Pertama, menyampaikan surat pengaduan formal kepada Pejabat Pelindungan Data Pribadi (*Data Protection Officer* / DPO) internal perusahaan asuransi bersangkutan. Kedua, jika tanggapan internal tidak memuaskan dalam 14 hari kerja, nasabah dapat mengeskalasikan laporan ke Lembaga Pengawas Perlindungan Data Pribadi dan Departemen Perlindungan Konsumen Otoritas Jasa Keuangan (OJK) melalui portal resmi APPK. Ketiga, apabila terdapat unsur pemerasan finansial atau pencurian identitas, laporan pidana dapat dibuat ke Direktorat Tindak Pidana Siber Bareskrim POLRI.

5. Apakah data nasabah di aplikasi digital seperti PRUServices tetap aman dari risiko kebocoran data?

Prudential Indonesia menerapkan standar keamanan siber internasional berlapis (*defence-in-depth*), mencakup enkripsi AES-256 pada database, protokol transmisi data HTTPS terenkripsi SSL tingkat tinggi, otentikasi biometrik wajah/sidik jari pada gawai pengguna, serta audit keamanan siber independen secara periodik. Selain itu, sistem PRUServices tunduk penuh pada regulasi OJK dan UU PDP untuk menjamin bahwa seluruh data polis dan riwayat klaim hanya dapat diakses secara eksklusif oleh pemegang akun yang sah.