SNAP BI dan PADG 23/15/2021: Sembilan Berkas Pemeriksa

Kewajiban SNAP tidak lahir dari PBI 10/2025 dan tidak berubah pada 31 Maret 2026. Dasarnya tetap PADG No. 23/15/PADG/2021 tentang Implementasi Standar Nasional Open Application Programming Interface Pembayaran, ditetapkan di Jakarta pada 16 Agustus 2021 dan berlaku pada tanggal ditetapkan juga (Pasal 34). Seluruh tenggatnya sudah tutup: empat tanggal, dua belas kewajiban, yang terakhir 30 Juni 2025. Untuk Direktur Kepatuhan dan SKAI pada 2026, pertanyaannya bukan lagi kapan harus patuh. Pertanyaannya apakah berita acara pengujian fungsionalitas, prosedur Pasal 19, surat rekomendasi SRO, dan surat komitmen bertanda tangan direksi benar-benar ada di map ketika pemeriksa memintanya. Spesifikasi endpoint sudah dipublikasikan ASPI, BCA dan NICEPAY. Daftar dokumen yang membuktikan kepatuhan tidak dipublikasikan di mana pun, dan daftar itulah isi tulisan ini.

Yang berubah pada 31 Maret 2026, dan yang tidak

PBI No. 10 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran ditetapkan 24 Desember 2025 dan berlaku 31 Maret 2026 (Pasal 186). Pasal 185-nya mencabut tepat satu peraturan: PBI 22/23/PBI/2020. SNAP tidak ada di dalamnya. Pasal 184 justru menyatakan kebalikannya:

Peraturan Bank Indonesia Nomor 23/11/PBI/2021 tentang Standar Nasional Sistem Pembayaran … termasuk peraturan pelaksanaannya, dinyatakan masih tetap berlaku sepanjang tidak bertentangan dengan ketentuan dalam Peraturan Bank Indonesia ini.

Di sinilah kebanyakan tulisan tentang SNAP keliru. PADG 23/15/PADG/2021 mencantumkan tiga PBI dalam klausul Mengingat-nya: 22/23/PBI/2020, 23/6/PBI/2021 dan 23/11/PBI/2021. Yang pertama dicabut pada 31 Maret 2026 oleh Pasal 185. Dua sisanya justru dipertahankan Pasal 184 huruf a dan huruf c. Jadi PADG SNAP memang bertahan — tetapi bertahan lewat Pasal 184, dan membawa syarat sepanjang tidak bertentangan, bukan sebagai aturan yang berdiri sendiri. Kalau kertas kerja kepatuhan Anda masih menyandarkan SNAP pada PBI 22/23/PBI/2020, perbaiki sebelum pemeriksa yang menemukannya. Sekalian satu hal kecil: blok tanda tangan PADG itu berbunyi "Ditetapkan di Jakarta pada tanggal 16 Agustus 2021", sementara sumber sekunder beredar dengan tanggal 15, 17 dan 20 Agustus. Pakai PDF yang bertanda tangan.

Yang benar-benar berubah pada 31 Maret 2026 ada di sisi pengawasan, bukan di isi standarnya. PADG No. 32 Tahun 2025 Pasal 239 hanya mencabut PADG 24/7/PADG/2022, dan Pasal 240 menetapkan berlakunya 31 Maret 2026. Tiga ketentuannya mengubah cara sebuah pembangunan Open API disetujui:

• TIKMI menjadi dasar persetujuan. Pasal 1 angka 16 mendefinisikan TIKMI — transaksi, interkoneksi, kompetensi, manajemen risiko, dan infrastruktur teknologi informasi — sebagai kriteria yang diacu dalam penyelenggaraan Sistem Pembayaran. Pasal 64 ayat (2) huruf d menjadikannya dasar pertimbangan persetujuan atas pengembangan aktivitas, pengembangan produk, dan/atau kerja sama: persis persetujuan yang dibutuhkan pembangunan Open API. Pasal 236 menetapkan hasil penilaian TIKMI pertama kali oleh Bank Indonesia paling lambat 1 April 2027, dengan mempertimbangkan self-assessment penyelenggara sendiri.
• Account linkage SNAP masuk kategori kompleks. Pasal 124 ayat (1) membelah pengembangan menjadi kompleks dan standar; ayat (2) huruf a menempatkan "pengembangan aktivitas, Sumber Dana, dan akses ke Sumber Dana" di sisi kompleks. Penjelasan atas huruf itu memuat sembilan contoh, dan nomor 8 berbunyi "account linkage dengan Standar Nasional Open API Pembayaran (SNAP)". Menyambungkan akun lewat SNAP bukan perubahan TI internal; ia jatuh di kategori dengan jalur persetujuan yang lebih berat.
• Standarnya milik Bank Indonesia. Pasal 194 ayat (1) mewajibkan PJP, PIP dan Peserta memenuhi kebijakan penerapan standar nasional. Ayat (3) memberi BI kewenangan menugaskan SRO menyusun dan mengelola standar itu; ayat (4) menegaskan kepemilikannya tetap di BI, "untuk melindungi kepentingan publik". Pasal 196 huruf a menyebut pemberian rekomendasi sebagai bagian dari pengelolaan tersebut — surat rekomendasi ASPI yang Anda kejar kini punya dasar di dua peraturan sekaligus. ASPI menjalankan SNAP sehari-hari; kepatuhannya tetap terutang kepada Bank Indonesia.

Siapa yang terikat, termasuk yang cuma memakai API bank

Pasal 1 membangun empat istilah, dan tiga di antaranya rutin dikutip keliru. Ini teks aslinya.

Istilah	Pasal 1	Definisi, verbatim	Artinya
Penyedia Layanan	angka 5	"PJP yang menyediakan layanan Open API Pembayaran berbasis SNAP"	PJP berizin di sisi penyedia — bank atau gateway yang menerbitkan API
Pengguna Layanan	angka 6	"PJP atau pihak selain PJP yang menggunakan layanan Open API Pembayaran berbasis SNAP"	Istilah payung untuk siapa pun yang memakai API itu
PJP Pengguna Layanan	angka 7	"PJP yang menggunakan layanan Open API Pembayaran berbasis SNAP untuk kepentingan konsumennya dan/atau dirinya sendiri"	PJP berizin yang memakai SNAP milik pihak lain — untuk konsumennya atau untuk dirinya sendiri
Non-PJP Pengguna Layanan	angka 8	"pihak selain PJP yang menggunakan layanan Open API Pembayaran berbasis SNAP untuk kepentingan konsumennya"	Pemakai API yang tidak berizin — hanya untuk kepentingan konsumennya

Asimetri antara angka 7 dan angka 8 itu yang penting. Hanya pengguna berizin yang mendapat frasa "dan/atau dirinya sendiri"; Non-PJP dikurung pada "untuk kepentingan konsumennya". Perusahaan asuransi yang menagih premi dari pemegang polisnya sendiri lewat API SNAP sebuah bank duduk tepat di angka 8. Tetapi treasury korporasi yang memindahkan uangnya sendiri lewat API yang sama tidak tercakup ketentuan itu sama sekali — percakapan lain dengan bank Anda, dan klausul kontrak yang lain.

Pasal 28 menutup celah dari sisi sebaliknya: ketentuan yang mengikat PJP Pengguna Layanan berlaku mutatis mutandis terhadap Non-PJP Pengguna Layanan. Pasal 14 ayat (2) lalu menaruh penegakannya di bank Anda, yang wajib memastikan Non-PJP Pengguna Layanan menerapkan SNAP dan mematuhi seluruh ketentuan yang berlaku bagi Pengguna Layanan (huruf a), serta memastikan kontrak Open API dengan Anda sesuai standar kontrak pada pedoman tata kelola (huruf b). Jadi ketika bank mitra minta kontraknya dirombak dan minta melihat bukti penerapan Anda, itu bukan permintaan komersial. Menolak berarti memindahkan risiko sanksi ke pihak mereka, dan itu berakhir di pemutusan kerja sama.

Seluruh tenggat Pasal 26: dua belas kewajiban, empat tanggal, semuanya tutup

Pasal 26 biasanya diringkas menjadi tiga tanggal. Isinya empat, tersebar di tujuh ayat dan dua belas kewajiban, ditambah satu lagi di Pasal 33. Sebelas dari dua belas itu punya tanggalnya sendiri dan masuk ke tabel di bawah; yang kedua belas, ayat (5), meminjam tanggal dari ayat-ayat lain dan dijelaskan setelah tabel. Tidak satu pun masih terbuka pada September 2026; yang terakhir tutup lebih dari 14 bulan lalu.

Batas waktu	Pihak	Kewajiban	Dasar
30 Juni 2022	Calon Penyedia Layanan yang terlibat penyusunan SNAP	Menerapkan SNAP pada Open API yang sudah digunakan sebelum PADG ini berlaku	26(1)a
30 Juni 2022	Pihak yang sama	Memastikan calon Pengguna Layanan berupa Non-PJP yang terlibat penyusunan SNAP menerapkan SNAP	26(1)b
30 Juni 2022	Pihak yang sama	Mengintegrasikan calon Pengguna Layanan yang terlibat penyusunan SNAP, PJP maupun Non-PJP	26(1)c
30 Juni 2022	Calon Pengguna Layanan berupa PJP yang terlibat penyusunan SNAP	Menerapkan SNAP pada Open API yang sudah digunakan sebelum PADG ini berlaku	26(2)
31 Desember 2022	Calon Penyedia Layanan lainnya	Menerapkan SNAP pada Open API yang sudah digunakan sebelum PADG ini berlaku	26(3)a
31 Desember 2022	Calon Pengguna Layanan berupa PJP lainnya	Kewajiban yang sama	26(4)
31 Desember 2022	Calon Penyedia Layanan yang mengajukan perizinan dan/atau persetujuan atas pengembangan aktivitas, pengembangan produk, dan/atau kerja sama yang menggunakan API setelah PADG ini berlaku	Menerapkan SNAP	26(7)
31 Desember 2022	Calon Penyedia Layanan yang telah mengajukan atau sedang dalam proses perizinan/persetujuan saat PADG ini mulai berlaku	Menerapkan SNAP	Pasal 33
30 Juni 2024	Calon Penyedia Layanan yang terlibat penyusunan SNAP	Mengintegrasikan seluruh calon Pengguna Layanan PJP dan Non-PJP selain yang di 26(1)c	26(1)d
30 Juni 2024	Calon Penyedia Layanan lainnya	Mengintegrasikan seluruh calon Pengguna Layanan yang bekerja sama dengannya	26(3)b
30 Juni 2025	Calon Penyedia Layanan yang terlibat penyusunan SNAP	Mengintegrasikan seluruh Pengguna Layanan berupa usaha mikro, kecil dan menengah serta lembaga nirlaba	26(1)e
30 Juni 2025	Calon Penyedia Layanan lainnya	Kewajiban yang sama	26(3)c

Tiga syarat yang hampir selalu hilang di tulisan lain. Keempat kewajiban "menerapkan SNAP" dibatasi pada "Open API Pembayaran yang sudah digunakan sebelum Peraturan Anggota Dewan Gubernur ini berlaku" — API yang sudah jalan pada 16 Agustus 2021, bukan yang dibangun sesudahnya. Pasal 26 ayat (5) menambah rider yang paling sering lolos dari action plan: calon Penyedia Layanan wajib memastikan calon Pengguna Layanannya menerapkan SNAP berupa pedoman tata kelola menurut Pasal 3 ayat (3) huruf b, pada tanggal 26(1)c, (1)d, (1)e dan 26(3)b, (3)c yang sama. Pedoman tata kelolanya, bukan cuma spesifikasi teknisnya. Dan menurut Pasal 26 ayat (6), Bank Indonesia memberitahukan batas waktu itu secara tertulis kepada masing-masing calon Penyedia Layanan dan calon PJP Pengguna Layanan yang terlibat penyusunan SNAP — jadi tanggal yang mengikat institusi Anda ada di surat itu, bukan di tabel di atas. Pasal 27 memberi BI ruang menetapkan kebijakan tertentu di sini, dengan mempertimbangkan kesiapan penerapan, perkembangan inovasi dan model bisnis, serta arah kebijakan ekonomi dan keuangan nasional.

Sanksi, dan cara dendanya ditagih

Pasal 31 ayat (1) menyebut pelanggarannya satu per satu: Pasal 11 ayat (4) huruf f; Pasal 14; Pasal 15 ayat (1), (2), (5) dan (6); Pasal 16 ayat (1), (3) dan (4); Pasal 20 ayat (2); Pasal 21 ayat (1) dan (5); Pasal 22 ayat (1); Pasal 24 ayat (2) dan (3); Pasal 25 ayat (3); Pasal 26 ayat (1), (2), (3), (4), (5) dan (7); Pasal 29 ayat (2) dan (3); serta Pasal 33. Perhatikan yang tidak ada di daftar itu: Pasal 26 ayat (6), karena ayat tersebut mengikat Bank Indonesia dan bukan penyelenggara. Sanksinya bertingkat dari teguran, ke penghentian sementara, sebagian, atau seluruh kegiatan termasuk pelaksanaan kerja sama, sampai pencabutan izin sebagai PJP. Keterlambatan laporan berkala triwulanan (Pasal 23 ayat (5) atau (6)) dikenai denda, dan bagi penyelenggara yang punya rekening giro di Bank Indonesia, Pasal 31 ayat (4) huruf a menagihnya dengan mendebit rekening giro itu langsung.

Sembilan berkas yang diminta pemeriksa

Pasal 16 sampai 23 terbaca sebagai daftar dokumen, bukan daftar fitur. Susun map pemeriksaan Anda persis dalam urutan ini.

#	Berkas	Isi minimum	Dasar
1	Hasil pengujian di Developer Site SNAP	Paling sedikit 1 kali untuk setiap Open API yang dikembangkan, meliputi skenario positif dan negatif; hasilnya dapat diunduh dari Developer Site	16(1)a, 17(1), 17(2)
2	Berita acara hasil pengujian fungsionalitas	Skenario dan hasil pengujian disertai dokumen pendukung; seluruh komponen sistem diuji end-to-end, internal maupun Penyedia Layanan dengan Pengguna Layanan, masing-masing termasuk pengujian keamanan sistem	18(1)–18(4)
3	Prosedur dan dokumentasi pengembangan, perubahan, dan pemeliharaan sistem	Delapan aspek: analisis kebutuhan dan dampak; desain; pengembangan; pengujian fungsionalitas internal; pengujian dengan pihak yang bekerja sama; pengujian aspek keamanan sistem; implementasi; pemeliharaan preventif dan korektif	16(1)c, 19
4	Pengajuan permintaan verifikasi kepada SRO	Melampirkan berkas 1, 2 dan 3, ditambah dokumen lain yang dibutuhkan SRO	20(3)
5	Surat pernyataan komitmen menerapkan SNAP	Ditandatangani direksi	21(2)a, 21(3)a
6	Surat rekomendasi SRO	Terbit setelah verifikasi; syarat sebelum Pengguna Layanan baru boleh diintegrasikan	21(2)b, 23(2), 23(4)
7	SOP asesmen kelayakan Pengguna Layanan	Prosedur milik Penyedia Layanan untuk menilai kelayakan pihak yang akan disambungkan	21(2)c
8	Rencana tindak (action plan) dan analisis mitigasi risiko	Bagi PJP yang sudah berizin: target waktu pengintegrasian tiap Pengguna Layanan dan target waktu penyesuaian kontrak sesuai pedoman tata kelola	21(3)e, 21(3)f, 21(4)
9	Laporan berkala triwulanan	Realisasi pengintegrasian Pengguna Layanan dan penambahan Pengguna Layanan baru	23(5), 23(6)

Dua baris gagal lebih sering dari sisanya. Berkas 2, karena berita acara yang ada biasanya hanya memuat skenario positif — padahal Pasal 18 ayat (2) menuntut skenario positif dan negatif di dua lapis, internal dan Penyedia Layanan dengan Pengguna Layanan, masing-masing ditambah pengujian keamanan sistem. Dan berkas 8, karena tim proyek menutup action plan begitu integrasi teknis selesai, sementara penyesuaian kontrak yang diminta Pasal 21 ayat (4) huruf b masih menganga. Satu jebakan lagi: Pasal 21 ayat (5) mewajibkan pengajuan persetujuan menyertakan paling sedikit 1 calon Pengguna Layanan pada setiap Open API Pembayaran, jadi persetujuan yang diajukan tanpa lawan transaksi tidak akan bergerak.

Direktori Publikasi membuktikan lebih sedikit daripada yang terlihat

Kami membaca Direktori Publikasi di Developer Site SNAP pada 2 September 2026 dan menghitung 15 entitas: Bank Central Asia, Bank Negara Indonesia, Bank Rakyat Indonesia, Bank Mandiri, CIMB Niaga, Permata, Bank DKI, BPD Jambi, Espay Debit Indonesia Koe (DANA), Visionet Internasional (OVO), GDC Multi Sarana, Harsya Remitindo, Sarana Pasar Digital, Jatelindo, dan Lippo Karawaci.

Angka itu bukan jumlah institusi yang patuh SNAP. Pasal 1 angka 12 menyebut Direktori Publikasi sebagai bagian Developer Site yang mempublikasikan pihak yang telah menerapkan standar berdasarkan hasil verifikasi; pencantumannya sendiri pendaftaran terpisah, dan yang terdaftar bisa meminta dihapus. Pernyataan yang lebih sempit justru lebih berguna di ruang rapat: satu-satunya direktori SNAP yang bisa diperiksa publik hari ini berisi 15 nama, dua di antaranya bank pembangunan daerah, dan tidak ada satu pun perusahaan asuransi atau multifinance.

Kontrol keamanan wajib, dan satu yang kami ukur sendiri

Pasal 3 ayat (1) menaruh empat aspek dalam ruang lingkup SNAP — interkoneksi dan interoperabilitas, standar keamanan sistem informasi, tata kelola, dan manajemen risiko — yang menurut ayat (4) diterapkan pada lima kategori API: registrasi, informasi saldo, informasi riwayat transaksi, transfer kredit, dan transfer debit, ditambah kategori lain yang ditetapkan Bank Indonesia. Standarnya sendiri terbit di Developer Site SNAP. Per pembacaan kami pada 2 September 2026, isinya menuntut:

• Tanda tangan asimetris SHA256withRSA pada permintaan token akses B2B, dengan header wajib Content-Type, X-TIMESTAMP, X-CLIENT-KEY dan X-SIGNATURE. Skema B2B2C menambahkan Authorization-Customer dan X-DEVICE-ID, keduanya mandatory.
• Tanda tangan simetris HMAC_SHA512 dan enkripsi AES-256 dengan client secret sebagai kunci.
• Masa berlaku token akses 900 detik — contoh respons di standar itu sendiri memuat "expiresIn":"900".
• Retensi data dan log 10 tahun, backup basis data harian, mingguan dan bulanan, plus backup transaction log.
• DRC panas untuk infrastruktur API management, RTO dan RPO sama-sama di bawah 1 jam, replikasi mengikuti SLA yang sama.
• Audit berkala oleh auditor independen atas implementasi SNAP, di sisi Penyedia Layanan maupun Pengguna Layanan. Dari enam butir ini, inilah yang akan kami minta lebih dulu: satu-satunya yang menuntut mata anggaran, bukan perubahan kode, dan karena itu yang paling gampang tidak masuk rencana kerja audit tahunan.

Pengukuran kami: TLS pada 15 host API pembayaran Indonesia, 2 September 2026

Standar itu mensyaratkan TLS 1.3 dan memberi batas waktu pada kemundurannya. Kalimatnya: penggunaan TLS 1.2 dengan modul enkripsi minimum yang ditentukan "hanya dapat diterapkan oleh Penyedia Layanan dan Pengguna Layanan sampai dengan tanggal 30 Juni 2026". Tanggal itu lewat 70 hari sebelum tulisan ini terbit, dan kami belum menemukan satu pun halaman berbahasa Indonesia yang menyebutnya.

Metode. Dari server WEBARQ sendiri di Jakarta (AS396982, 34.50.126.151), OpenSSL 3.5.5, openssl s_client dengan SNI dan penguncian versi -tls1_3 lalu -tls1_2, diulang dua kali pada 2 September 2026. Yang diuji adalah host API publik yang dipublikasikan penyelenggaranya sendiri, ditambah Developer Site SNAP milik ASPI.

Host	Penyelenggara	TLS 1.3	TLS 1.2 masih diterima
apidevportal.aspi-indonesia.or.id	Developer Site SNAP (ASPI)	Tidak	Ya
api.bankmandiri.co.id	Bank Mandiri	Ya	Tidak
sandbox.bca.co.id	BCA	Ya	Ya
partner.api.bri.co.id	BRI	Ya	Ya
api.permatabank.com	Bank Permata	Ya	Ya
api.cimbniaga.co.id	Bank CIMB Niaga	Ya	Ya
api, dev, staging dan www .nicepay.co.id (4 host)	NICEPAY	Ya	Ya
api.doku.com	DOKU	Ya	Ya
api.midtrans.com	Midtrans	Ya	Ya
api.xendit.co	Xendit	Ya	Ya
api.klikbca.com	BCA	Koneksi direset sebelum handshake (errno 104)
api.bni.co.id	BNI	Koneksi timeout

Dari 13 host yang menyelesaikan handshake, 12 masih menerima TLS 1.2 lebih dari dua bulan setelah tanggal yang ditetapkan standarnya. Satu-satunya yang menolak — membalas dengan TLS alert nomor 70, protocol version — adalah api.bankmandiri.co.id.

Baris paling tidak nyaman ada di urutan pertama. Developer Site SNAP milik ASPI sendiri tidak melayani TLS 1.3. Kami menguji empat versi: TLS 1.0, 1.1 dan 1.3 ditolak; hanya TLS 1.2 yang bernegosiasi, dengan ECDHE-RSA-AES256-GCM-SHA384. Itu situs tempat Pasal 16 ayat (1) huruf a mewajibkan setiap Penyedia Layanan dan PJP Pengguna Layanan melakukan pengujian.

Empat syarat, karena pengukuran tanpa syarat bukan bukti. TLS cuma satu kontrol dari banyak: lulus tidak membuktikan kepatuhan, gagal adalah deviasi pada satu kontrol yang kebetulan bisa diukur dari luar. Endpoint produksi umumnya duduk di balik whitelisted IP — yang justru diwajibkan standar yang sama — sehingga host publik belum tentu host yang melayani mitra berkontrak, dan reset pada api.klikbca.com konsisten dengan pembatasan IP, bukan temuan kepatuhan. Klausul TLS-nya mengikat Penyedia Layanan serta Pengguna Layanan, sedangkan pengelola Developer Site adalah pengelola standar, bukan pihak dalam transaksi. Dan bahwa penerimaan TLS 1.2 setelah 30 Juni 2026 adalah deviasi terhadap standar itu pembacaan kami atas klausulnya — kami tidak menemukan pernyataan penegakan dari Bank Indonesia maupun ASPI. Satu titik pandang, satu tanggal: ulangi dari jaringan Anda sendiri sebelum memakainya di kertas kerja.

Lima jam yang berjalan saat insiden, semuanya 3x24

Pedoman Tata Kelola SNAP v1.0 (Agustus 2021) memuat tenggat operasional yang tidak muncul di halaman mana pun yang membahas SNAP hari ini. Empat di antaranya jam pemberitahuan tertulis, semuanya 3x24 jam sejak kejadian diketahui; yang kelima jam pencabutan persetujuan konsumen dengan panjang yang sama.

Pemicu	Yang dituntut jamnya	Kepada siapa
Konsumen mencabut persetujuan	Pencabutan berlaku efektif paling lambat 3x24 jam sejak permintaan diterima dan diverifikasi	Antara Penyedia Layanan dan PJP Pengguna Layanan; permintaan bisa masuk dari salah satu sisi
Kegagalan pelindungan data	Pemberitahuan tertulis, elektronik atau non-elektronik, paling lambat 3x24 jam setelah kejadian diketahui, plus laporan insidental ke satuan kerja pengawasan sistem pembayaran BI	Konsumen terdampak; pihak yang bekerja sama dalam layanan Open API Pembayaran; dan/atau otoritas berwenang
Fraud atau transaksi tidak wajar yang berdampak signifikan pada kelangsungan pemrosesan atau merugikan konsumen langsung	Laporan insidental ke BI, lalu pemberitahuan tertulis paling lambat 3x24 jam	Tiga pihak yang sama
Indikasi transaksi tidak wajar terpantau Penyedia Layanan	Hentikan sementara layanan Open API, sampaikan laporan insidental, beritahukan dalam 3x24 jam	Tiga pihak yang sama
Indikasi transaksi tidak wajar terpantau PJP Pengguna Layanan	Tiga langkah yang sama	Tiga pihak yang sama; Non-PJP Pengguna Layanan melapor melalui Penyedia Layanannya

Jam kebocoran data itu bertemu kembarannya di UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, diundangkan 17 Oktober 2022, yang di Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan kepada lembaga; masa transisi dua tahun di Pasal 74 berakhir 17 Oktober 2024. Satu integrasi API, dua otoritas, jam yang sama. Pedoman itu juga menuntut fungsi pelindungan data atau seorang Data Protection Officer, dan membatasi penyelesaian pengaduan konsumen pada 20 hari kerja plus satu perpanjangan 20 hari kerja.

Pedoman yang sama menetapkan klausul minimum kontrak layanan Open API Pembayaran — sembilan klausul, dari Para Pihak sampai Penyelesaian Perselisihan — ditambah klausul opsional seperti SLA transaksi, biaya dan pajak layanan, serta rekonsiliasi data. Itulah yang dimaksud Pasal 21 ayat (4) huruf b dengan penyesuaian kontrak. Kalau perjanjian Anda dengan bank mitra ditandatangani sebelum 2021 dan belum pernah dibuka lagi, di situlah temuannya.

Satu keputusan arsitektur rutin diperlakukan sebagai konfigurasi. Pasal 15 ayat (5) mewajibkan Penyedia Layanan menghentikan pemrosesan transaksi dan/atau pengaksesan data apabila otorisasi menurut ayat (1) atau persetujuan konsumen menurut ayat (3) gagal. Sistem yang meneruskan transaksi dengan status persetujuan "tidak diketahui" melanggar ayat itu, dan itu terbaca di log.

Yang perlu dikerjakan Direktur Kepatuhan dan SKAI kuartal ini

1. Minta map berisi sembilan berkas di atas dari tim yang memegang integrasi pembayaran. Kalau berkas 2 dan 3 tidak bisa ditunjukkan dalam satu hari, itu sendiri sudah temuannya.
2. Cari surat pemberitahuan tertulis dari Bank Indonesia yang dimaksud Pasal 26 ayat (6). Tanggal di surat itu yang mengikat institusi Anda, bukan tabel di atas.
3. Periksa apakah action plan Pasal 21 ayat (4) huruf b — penyesuaian kontrak, bukan integrasi teknis — sudah ditutup untuk setiap Pengguna Layanan.
4. Masukkan audit berkala oleh auditor independen atas implementasi SNAP ke rencana kerja SKAI tahun ini kalau belum ada.
5. Uji sendiri posisi TLS endpoint Anda dan endpoint mitra, lalu simpan hasilnya bertanggal.

Satu hal perlu dinyatakan terang. WEBARQ tidak pernah menerapkan SNAP untuk klien mana pun, dan tidak ada catatan proyek kami yang menyebut SNAP, BI-FAST atau QRIS. Yang bisa kami tunjukkan adalah pekerjaan di sebelahnya: pada CGS International, pembukaan rekening efek daring dengan OCR pada formulir web, verifikasi lewat panggilan video dan verifikasi mandiri, menyambungkan bank, CGS-CIMB, KSEI dan DUKCAPIL dengan kepatuhan sebagai kriteria penerimaan; pada MSIG, e-polis otomatis yang tersambung ke sistem keuangan inti untuk penjualan polis dan penagihan premi — dan versi Indonesia studi kasus itu memuat satu tantangan yang tidak ada di versi Inggrisnya, yaitu mengintegrasikan sistem utama ke sistem situs tanpa mengganggu layanan yang sudah berjalan. Persis bentuk masalah migrasi SNAP di institusi yang sudah beroperasi. Itu bukan pengalaman SNAP, dan kami tidak akan menyebutnya begitu.

Untuk rel mana yang membawa pembayaran apa, lihat perbandingan payment gateway Indonesia dengan BI-FAST, QRIS dan virtual account. Untuk lapisan layanan yang menopang API semacam ini: aplikasi cloud-native, pengembangan cloud native application dan pengembangan website.

Seluruh kutipan peraturan dibaca langsung dari dokumen penerbitnya di bi.go.id dan peraturan.bpk.go.id pada 2 September 2026, dan standar teknis serta keamanan SNAP dari Developer Site ASPI pada tanggal yang sama. Pengukuran TLS dijalankan sendiri hari itu juga; metode dan batasnya dinyatakan di atas. Riset dan penyusunan artikel ini dibantu AI, diverifikasi terhadap sumber primer oleh tim WEBARQ.