KYC Adalah: Dasar Hukum Tiap Langkah Onboarding Digital

KYC (Know Your Customer) adalah kewajiban lembaga jasa keuangan untuk mengidentifikasi dan memverifikasi calon nasabah sebelum membuka hubungan usaha, lalu memantaunya selama hubungan itu berjalan. Dasar hukum untuk sektor jasa keuangan adalah POJK No. 8 Tahun 2023 (ditetapkan dan berlaku 14 Juni 2023). Yang jarang dibahas: dari sebelas langkah dalam alur onboarding digital, hanya empat yang wajib bagi semua lembaga, tiga wajib hanya bila Anda memilih kanal elektronik tanpa tatap muka, dan POJK itu tidak pernah menyebut kata "liveness".

Artikel ini ditulis untuk Head of Digital atau CIO bank, perusahaan asuransi, sekuritas dan multifinance yang memiliki funnel onboarding, dengan petugas kepatuhan yang membaca dari belakang bahunya. Definisi KYC cukup satu paragraf di atas. Sisanya soal keputusan: langkah mana yang tidak bisa dihapus, langkah mana yang Anda pilih sendiri, dan di mana tuas funnel yang sah secara hukum.

KYC dan CDD dalam dua kalimat

KYC adalah rangkaian identifikasi dan verifikasi identitas calon nasabah. CDD (customer due diligence) adalah bagian KYC yang menilai risiko: Pasal 1 angka 12 POJK 8/2023 mendefinisikannya sebagai identifikasi, verifikasi dan pemantauan untuk memastikan transaksi sesuai dengan profil, karakteristik dan pola transaksi nasabah. Pasal 1 angka 14 mendefinisikan EDD sebagai CDD yang lebih mendalam untuk nasabah berisiko tinggi, termasuk PEP.

Satu temuan yang mengubah cara membaca funnel

Urutan yang dipakai hampir semua aplikasi (cek NIK, liveness dan face match, dokumen, penilaian risiko CDD, tanda tangan elektronik, rekening aktif) adalah desain produk, bukan urutan hukum. Pasal 21 ayat (2) POJK 8/2023 memberi lembaga keuangan tiga mekanisme verifikasi, dan boleh dipilih salah satu atau gabungannya: "pertemuan tatap muka secara langsung", "pertemuan tatap muka secara elektronik", dan/atau "tidak tatap muka secara elektronik". Satu-satunya urutan yang dikunci hukum adalah verifikasi harus selesai sebelum hubungan usaha dibuka, dengan satu pengecualian yang dibahas di bawah.

Pendapat kami: tim produk terlalu sering menjawab pemeriksa dengan "begitulah alur dari vendor". Itu bukan jawaban. Yang diminta adalah alasan Anda memilih urutan itu, dan alasan itu harus bisa Anda tunjuk ke pasalnya atau ke kebijakan risiko Anda sendiri.

Dasar hukum tiap langkah, bernomor

Tabel berikut memetakan sebelas langkah ke pasalnya. "Wajib" berarti hukum mewajibkan, "pilihan produk" berarti Anda yang memutuskan. Semua rujukan adalah POJK 8/2023 kecuali disebut lain. NIK adalah nomor induk kependudukan 16 digit; Dukcapil adalah Direktorat Jenderal Kependudukan dan Pencatatan Sipil, Kementerian Dalam Negeri.

#	Langkah funnel	Wajib atau pilihan	Dasar
1	Kumpulkan data identitas dan dokumen identitas	Wajib. Untuk WNI: KTP atau identitas kependudukan digital	Pasal 21 ayat (1) huruf a; Pasal 25 ayat (1) huruf a (termasuk "nama gadis ibu kandung"); Pasal 26 ayat (2) huruf a
2	Cek NIK ke data kependudukan (Dukcapil)	Wajib bila Anda memilih kanal tidak tatap muka secara elektronik. Teks untuk kanal video call tidak memuatnya	Pasal 21 ayat (5) huruf c
3	Faktor biometrik "ciri khas calon nasabah" (face match)	Wajib sebagai kelas faktor di kanal yang sama. Teknik spesifiknya, termasuk liveness pasif atau aktif, pilihan produk	Pasal 21 ayat (5) huruf c angka 1 dan Penjelasannya
4	Faktor kedua "sesuatu yang dimiliki": KTP disertai OTP, tanda tangan digital atau yang setara	Wajib di kanal yang sama	Pasal 21 ayat (5) huruf c angka 2 dan Penjelasannya
5	Memakai pihak ketiga (vendor) untuk verifikasi	Pilihan, tetapi syaratnya wajib: perjanjian kerja sama tertulis; vendor berbentuk PT atau koperasi yang terdaftar, berizin atau disetujui OJK; vendor punya perjanjian sendiri dengan kementerian urusan kependudukan; lembaga keuangan tetap bertanggung jawab atas hasilnya	Pasal 22 ayat (1), (2) huruf a-b, (4)
6	Selesaikan verifikasi sebelum membuka hubungan usaha	Wajib. Boleh dibuka lebih dulu bila prosedur manajemen risiko sudah ada, dan verifikasi harus tuntas paling lama 3 hari kerja	Pasal 30 ayat (5), (6), (7)
7	Penilaian tingkat risiko (CDD)	Wajib: nasabah dikelompokkan berdasarkan tingkat risiko TPPU, TPPT dan PPSPM	Pasal 20 ayat (1)-(2)
8	CDD sederhana untuk risiko rendah	Pilihan produk. Bila Anda memakai kriteria sendiri, OJK harus diberi tahu	Pasal 45 ayat (1), (6)
9	EDD untuk risiko tinggi dan PEP	Wajib bila nasabah berisiko tinggi atau PEP. PEP memerlukan persetujuan pejabat senior	Pasal 35 ayat (3); Pasal 37 ayat (1) huruf c
10	Tanda tangan elektronik pengganti spesimen basah	Pilihan produk, dengan syarat memenuhi peraturan tanda tangan elektronik	Pasal 26 ayat (3)
11	Penyimpanan dokumen	Wajib: paling singkat 5 tahun, dan harus sampai ke OJK dalam 3 hari kerja sejak diminta	Pasal 63 ayat (1) huruf a, (4)

Hitungannya: langkah 1, 6, 7 dan 11 wajib bagi semua. Langkah 2, 3 dan 4 wajib bila kanalnya elektronik tanpa tatap muka. Langkah 5 dan 9 membawa kewajiban bersyarat, yaitu bila vendor dipakai atau bila nasabah berisiko tinggi atau PEP. Langkah 8 dan 10 murni pilihan produk. Empat, tiga, dua, dua: sebelas.

Empat hal dari tabel yang sering salah dibaca

1. Tidak ada aturan yang mewajibkan liveness

Pasal 21 ayat (5) huruf c menuntut pemanfaatan data kependudukan dan paling sedikit 2 faktor keaslian: sesuatu yang menjadi ciri khas calon nasabah, dan sesuatu yang dimilikinya. Penjelasannya memberi contoh biometrik berupa wajah (facial recognition), sidik jari dan pola retina. "Liveness" tidak muncul sebagai istilah hukum. Itu kontrol milik vendor untuk mencegah foto atau video rekaman lolos. Kami tetap menyarankan memasangnya, karena risiko pemalsuan itu nyata. Tetapi dasarnya kebijakan risiko Anda sendiri, dan itu menentukan apa yang harus Anda jelaskan kepada pemeriksa.

2. Ayat (5) huruf c bersifat kumulatif

Data kependudukan dan dua faktor, bukan salah satunya. Aplikasi yang hanya mencocokkan NIK dengan nama belum memenuhi huruf c, apa pun kata vendornya.

3. Verifikasi boleh menyusul, tetapi hanya 3 hari kerja

Pasal 30 ayat (5) mewajibkan verifikasi tuntas sebelum hubungan usaha dibuka. Ayat (6) dan (7) membuat pengecualian: bila prosedur manajemen risiko sudah diterapkan, hubungan usaha boleh dimulai lebih dulu, dan verifikasi harus selesai "paling lama 3 (tiga) hari kerja sejak terjadinya hubungan usaha". Ini satu-satunya tuas hukum bagi pemilik funnel untuk memangkas gesekan di langkah awal. Harganya risiko operasional selama maksimal 3 hari kerja. Pasal 23 ayat (2) huruf b menutup sisi sebaliknya: hubungan usaha tidak boleh dibuka bila identitas atau kelengkapan dokumen diragukan.

4. Vendor tidak memindahkan tanggung jawab

Pasal 22 ayat (2) huruf b mensyaratkan vendor punya perjanjian kerja sama sendiri dengan kementerian urusan kependudukan, dan ayat (4) menyatakan lembaga keuangan "wajib bertanggung jawab atas hasil verifikasi" serta kerahasiaan datanya. Saat memilih vendor, pertanyaan pertama komite bukan akurasi. Pertanyaannya: apakah perjanjian dengan Dukcapil itu ada, dan atas nama siapa.

Apa yang dikembalikan verifikasi Dukcapil

Akses data kependudukan diatur Peraturan Menteri Dalam Negeri (Permendagri) No. 102 Tahun 2019 tentang pemberian hak akses dan pemanfaatan data kependudukan. Permendagri No. 17 Tahun 2023 mengubahnya; entri basis data peraturan BPK untuk Permendagri 17/2023 mencatat statusnya mengubah 102/2019. Kami belum membaca teks pasal dari kedua peraturan itu untuk artikel ini, jadi kami tidak mengutip nomor pasalnya dan tidak menyebut ketentuan mana yang diubah pada 2023. Pegangan desain Anda adalah perjanjian kerja sama dengan Dukcapil dan teks terkonsolidasi yang berlaku. Minta penasihat hukum membacanya sebelum integrasi dispesifikasikan.

Satu-satunya contoh respons yang dipublikasikan ada di siaran pers Dukcapil 15 Juni 2020: mitra mengirim NIK, nama dan tanggal lahir, dan hasilnya "SESUAI" atau "TIDAK SESUAI". Dalam contoh itu, nama yang berbeda dengan NIK dan tanggal lahir yang sama tidak menghasilkan "Sesuai". Dukcapil menyatakan mitra mendapat hak akses untuk verifikasi, bukan datanya.

Dua batas perlu dicatat. Pertama, siaran pers itu ditulis untuk mitra pinjaman peer-to-peer pada 2020, jadi kami tidak menggeneralisasikannya ke semua lembaga: format respons di perjanjian bank Anda bisa lebih kaya. Kedua, spesifikasi teknis per lembaga (field respons, biaya per panggilan, skor atau ambang face match) tidak dipublikasikan, dan kami tidak menemukan sumber primer untuknya. Angka tarif yang beredar di artikel pihak ketiga tidak kami kutip.

Sisi pelindungan data: biometrik adalah data spesifik

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (diundangkan 17 Oktober 2022) menggolongkan data biometrik sebagai data pribadi yang bersifat spesifik (Pasal 4 ayat (2) huruf b), dan Pasal 34 mewajibkan penilaian dampak bila pemrosesan berisiko tinggi, termasuk pemrosesan data spesifik. Bacaan kami atas teks, bukan pernyataan regulator: Pasal 20 ayat (2) huruf c menjadikan kewajiban hukum pengendali data sebagai dasar pemrosesan, sehingga langkah KYC yang wajib tidak bergantung pada persetujuan. Penolakan otomatis oleh face match mungkin masuk kategori keputusan otomatis dalam Pasal 34, tetapi itu juga inferensi kami. Peraturan pelaksana UU PDP tidak kami periksa untuk artikel ini.

Tanda tangan elektronik: sah, tetapi syaratnya ada

Pasal 26 ayat (3) POJK 8/2023 hanya mengharuskan tanda tangan elektronik yang memenuhi peraturan perundang-undangan. PP No. 71 Tahun 2019 (ditetapkan 4 Oktober 2019) memberi kekuatan hukum pada tanda tangan elektronik yang memenuhi enam persyaratan (Pasal 59 ayat (3)), dan membedakan yang tersertifikasi, yang memakai penyelenggara sertifikasi elektronik (PSrE) Indonesia, dari yang tidak tersertifikasi. POJK tidak mewajibkan jenis tersertifikasi untuk onboarding. Dokumen tertentu, misalnya perjanjian kredit atau yang memerlukan meterai elektronik, bisa punya syarat tambahan dari UU ITE. Itu bahasan artikel Jumat dalam rangkaian ini, dan belum kami periksa di sini.

Biaya drop-off per langkah: yang tidak bisa kami tunjukkan

Pertanyaan yang paling ingin dijawab pemilik funnel: berapa persen pelamar hilang di tiap langkah? Kami mencari di OJK, Bank Indonesia, Dukcapil, PPATK dan Komdigi, dan tidak ada sumber primer yang menerbitkan angka konversi atau drop-off per langkah onboarding. Angka dari blog vendor tidak kami pakai sebagai fakta. Karena itu tabel di atas tidak punya kolom persentase.

Yang bisa dikatakan dari teks hukum adalah letak tuas, bukan besarnya. Tiga langkah menambah gesekan dan tidak bisa dihapus bila kanal elektronik dipilih (2, 3, 4). Satu keputusan desain mengurangi gesekan di muka: Pasal 30 ayat (6)-(7), dengan harga risiko operasional selama maksimal 3 hari kerja. Dua keputusan murni pilihan: CDD sederhana (langkah 8) dan tanda tangan elektronik (langkah 10). Ukur drop-off Anda sendiri per langkah dari log aplikasi, pisahkan penolakan karena risiko dari kegagalan teknis, dan jadikan itu dasar membandingkan kanal.

Apa artinya bagi komite Anda

• Head of Digital / CIO: pilih kanal verifikasi dulu (Pasal 21 ayat (2)); kanal itulah yang menentukan langkah 2-4 wajib atau tidak. Urutan di layar bebas Anda atur, kecuali verifikasi sebelum pembukaan hubungan usaha.
• Kepatuhan / SKAI: dokumentasikan alasan memilih teknik liveness tertentu sebagai keputusan risiko, karena POJK tidak mewajibkannya. Siapkan arsip yang bisa sampai ke OJK dalam 3 hari kerja.
• CISO: klasifikasikan foto wajah dan hasil biometrik sebagai data spesifik menurut UU PDP, dan pastikan perjanjian vendor dengan kementerian kependudukan dapat ditunjukkan.

Posisi WEBARQ dan batas bukti kami

WEBARQ tidak menjual layanan identitas: kami tidak punya produk e-KYC, liveness atau PSrE, sehingga tidak ada vendor yang kami untungkan dalam tabel di atas. Pengalaman kami adalah membangun sisi depan aplikasi untuk lembaga teregulasi, antara lain Mirae Asset Sekuritas, Forsa UKME Eximbank, Sequis Apps Online, web app PT Bank Mandiri, PT Asuransi FPG Indonesia dan MNC Leasing. Pada proyek-proyek itu logika KYC berada di sistem milik klien. Kami tidak mengklaim pengalaman langsung membangun integrasi Dukcapil atau KSEI dalam artikel ini. Seluruh isi bersandar pada teks regulasi yang dikutip, dan artikel ini disusun dengan bantuan AI. POJK 8/2023 adalah versi yang kami lihat berlaku per 5 Oktober 2026; kami tidak menemukan perubahannya, yang bukan bukti bahwa tidak ada.

Untuk membangun alur onboarding yang tahan pemeriksaan, lihat layanan pengembangan aplikasi mobile dan pengembangan website kami untuk lembaga keuangan.