Ditinjau oleh Banyak bisnis digital ragu meminta foto KTP dari penggunanya entah karena takut terlihat mencurigakan, takut kena masalah hukum kalau ada yang salah, atau sekadar tidak yakin harus menjawab apa kalau pengguna bertanya “ini aman nggak sih data saya?”
Kebanyakan penyedia layanan verifikasi identitas juga tidak menjawab pertanyaan itu secara langsung. Mereka lebih sering menjual fitur daripada menjelaskan risikonya.
Menyerahkan foto KTP itu sendiri bukan hal yang berbahaya karena yang menentukan aman atau tidaknya adalah bagaimana proses di baliknya dijalankan, siapa yang bisa mengakses data itu, dan untuk apa data itu dipakai. Artikel ini membahas bagian mana yang perlu kamu perhatikan.
Risiko Nyata Kalau Verifikasi Dilakukan Sembarangan
Risiko baru muncul ketika prosesnya longgar. Beberapa pola yang sering terjadi:
- Foto KTP disimpan mentah sebagai file gambar, bisa diakses siapa saja yang punya akses ke folder atau storage tersebut.
- Dikirim lewat channel yang tidak seharusnya, misalnya email biasa antar staf atau grup chat internal tanpa kontrol akses.
- Disimpan lebih lama dari yang diperlukan, tanpa kejelasan kapan data itu dihapus.
Bagi pengguna, konsekuensinya nyatanya adalah data KTP yang bocor bisa dipakai untuk pengajuan pinjaman online ilegal atas nama mereka, atau penipuan identitas lainnya. Bagi bisnis, konsekuensinya juga nyata bahwa kehilangan kepercayaan pengguna begitu insiden itu terungkap, dan potensi masalah hukum kalau prosesnya memang tidak sesuai aturan. Sumber risikonya bukan tindakan meminta foto KTP itu sendiri, melainkan cara data itu diproses sesudahnya.
Lalu, bagaimana cara membedakan verifikasi mana yang aman dan mana yang sembarang gimana caranya? Proses verifikasi yang lebih bertanggung jawab biasanya punya beberapa ciri ini:
- Tujuan pengumpulan data jelas dan dikomunikasikan ke pengguna sebelum data diminta, bukan sekadar formulir kosong tanpa penjelasan.
- Akses ke data dibatasi hanya untuk pihak yang memang berkepentingan, bukan seluruh staf operasional.
- Data diproses lewat sistem yang terstruktur, bukan sekadar disimpan sebagai file gambar yang bisa dibuka siapa saja yang tahu lokasinya.
- Ada kejelasan soal berapa lama data disimpan, bukan dibiarkan menumpuk tanpa batas waktu.
Bandingkan dengan praktik yang sembarangan, cara mereka jalan biasanya foto KTP disimpan di folder bersama yang bisa diakses banyak orang, dikirim manual antar staf lewat chat pribadi, tanpa jejak siapa yang pernah membuka data itu. Untuk lapisan verifikasi yang lebih ketat, sebagian bisnis juga menambahkan liveness detection dan face match di samping OCR KTP, supaya orang yang menyerahkan foto benar-benar cocok dengan identitas di KTP-nya.
Apa Kata Aturan Perlindungan Data di Indonesia?
Di Indonesia, ada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) yang mengatur bagaimana data pribadi, termasuk data di KTP, boleh diproses. Secara prinsip, aturan ini mewajibkan setiap pihak yang mengumpulkan data pribadi untuk punya dasar hukum yang jelas, membatasi penggunaan data sesuai tujuan awal saat data itu diminta, dan menjaga keamanannya selama diproses.
Pelanggaran terhadap kewajiban ini punya konsekuensi bagi bisnis yang mengumpulkan data, bukan cuma bagi pengguna yang datanya bocor.
Kalau kamu ingin memahami sisi kepatuhannya lebih dalam, termasuk kewajiban apa saja yang berlaku untuk bisnis yang menjalankan proses KYC, baca Regulasi KYC di Indonesia: Panduan Kepatuhan Bisnis Digital.
Tanda Penyedia atau Proses yang Tidak Layak Dipercaya
Kamu tidak perlu jadi ahli hukum atau teknis untuk mengenali proses yang berisiko. Beberapa tandanya:
- Tidak ada penjelasan untuk apa data KTP kamu dipakai.
- Kamu diminta menyerahkan dokumen lain yang tidak relevan dengan tujuan verifikasi.
- Tidak jelas siapa saja yang bisa mengakses data itu setelah kamu kirim.
- Prosesnya manual, mengandalkan staf melihat dan menyalin data satu per satu.
- Tidak ada cara untuk bertanya soal datamu sendiri, misalnya lewat kontak atau kanal support yang jelas.
Kalau satu bisnis punya lebih dari satu tanda ini, itu alasan yang wajar untuk berhati-hati sebelum menyerahkan data.
Bagaimana Data Seharusnya Ditangani?
Cara yang lebih rapi untuk menangani foto KTP adalah lewat proses yang otomatis mengekstrak data yang dibutuhkan dari gambar, bukan menyimpan dan membagikan file foto mentahnya ke banyak pihak.
Sebagai contoh mekanismenya, OCR KTP API dari api.co.id bekerja dengan cara bisnis mengirim foto KTP lewat panggilan API yang diautentikasi dengan API key, lalu menerima kembali data yang sudah terstruktur dari 16 kolom, seperti NIK, nama, dan alamat, dalam format JSON. Bukan sekadar file gambar yang harus disimpan dan dilihat manual satu per satu.
Sebagai pengguna, kamu berhak bertanya ke bisnis yang meminta foto KTP-mu, untuk apa data ini dipakai dan berapa lama akan disimpan. Bisnis yang jujur akan menjawabnya dengan jelas, bukan menghindar.
Sebagai bisnis, evaluasi proses verifikasi yang sedang kamu pakai sekarang. Cek apakah sudah punya ciri-ciri di bagian sebelumnya, atau masih mengandalkan cara manual yang berisiko. Kalau kamu sedang mempertimbangkan penyedia layanan verifikasi identitas, baca Panduan Memilih Penyedia Layanan OCR KTP Di Indonesia untuk kriteria yang lebih lengkap.
Foto KTP secara inheren bukan hal yang berbahaya untuk diserahkan. Yang menentukan aman atau tidaknya adalah bagaimana prosesnya dijalankan, siapa yang punya akses, dan apa yang terjadi pada data itu setelah dikirim. Kalau kamu ingin memahami sisi teknis verifikasi identitas digital lebih jauh, baca eKYC Adalah: Cara Kerja Verifikasi Identitas Digital.
