Fotokopi KTP: Praktik Normalisasi Kebocoran Data

SETIAP kali menginap di hotel atau mendaftarkan diri ke rumah sakit, kita hampir pasti diminta menyerahkan KTP. Petugas mengambilnya, menaruhnya di mesin fotokopi atau alat pemindai, lalu mengembalikannya.

Proses ini berlangsung begitu biasa sehingga terasa wajar. Padahal, di balik rutinitas itu tersimpan masalah hukum yang selama ini kita abaikan bersama.

Pada 7 Mei 2026, Dirjen Kependudukan dan Pencatatan Sipil Kemendagri Teguh Setyabudi menegaskan bahwa masyarakat tidak harus menyerahkan KTP saat check-in di hotel maupun mengurus administrasi di rumah sakit.

Ia bahkan menyebut bahwa praktik fotokopi KTP berpotensi melanggar Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).

Pernyataan itu seketika ramai diperbincangkan. Namun, apa sesungguhnya dasar hukumnya, dan siapa yang menanggung risiko terbesar?

Larangan yang Sudah Lama Ada

Larangan ini bukan aturan baru. Pasal 79 dan Pasal 84 Undang-Undang Nomor 24 Tahun 2013 tentang Administrasi Kependudukan sudah melarang pihak mana pun menggunakan data kependudukan tanpa hak.

Baca juga: Frasa yang Membuka Celah dalam Aturan Outsourcing Baru

Artinya, sejak lebih dari satu dekade lalu, fotokopi KTP untuk keperluan yang tidak memiliki dasar kewenangan sebenarnya sudah bermasalah secara hukum.

UU PDP kemudian mempertegas larangan itu dengan cakupan yang lebih luas. Pasal 65 ayat (1) melarang setiap orang memperoleh atau mengumpulkan data pribadi yang bukan miliknya secara melawan hukum.

Ayat (2) melarang pengungkapan data tersebut dan ayat (3) melarang penggunaannya.

Sanksinya tidak ringan. Pasal 67 UU PDP mengancam pelanggar dengan pidana penjara hingga 5 tahun, dengan denda yang setelah berlakunya KUHP baru pada Januari 2026, disesuaikan ke dalam sistem kategori.

NIK yang tercetak pada KTP adalah data pribadi. Nama lengkap, alamat, tanggal lahir, jenis kelamin, semuanya termasuk data pribadi.

Ketika selembar fotokopi KTP berpindah tangan tanpa sistem keamanan memadai, ada potensi nyata terjadinya pelanggaran terhadap ketentuan-ketentuan itu.

Persoalan ini tidak tepat jika hanya diarahkan kepada hotel atau rumah sakit saja. Praktik pengumpulan dan penggunaan data kependudukan berlangsung jauh lebih luas dan bersifat struktural.

Dirjen Dukcapil menyebut istilah "lembaga pengguna" untuk merujuk pada semua pihak yang mengumpulkan dan memanfaatkan data kependudukan. Mencakup rumah sakit, klinik, apartemen, perbankan, lembaga keuangan, bahkan instansi pemerintah.

Ironinya, bukan hanya sektor swasta yang masih mengandalkan fotokopi KTP. Banyak lembaga pemerintah juga masih mensyaratkan salinan fisik KTP untuk urusan administrasi sehari-hari.

Jika pemerintah sendiri belum konsisten dalam menerapkan aturan yang dibuatnya, sulit mengharapkan sektor swasta bergerak lebih cepat.

Di sinilah letak kesenjangan yang sesungguhnya. Negara sudah memiliki e-KTP bercip yang dirancang untuk dibaca secara digital melalui card reader.

Negara juga sudah memiliki Identitas Kependudukan Digital yang memungkinkan verifikasi tanpa menyentuh kartu fisik sama sekali.

Namun, infrastruktur verifikasi digital itu belum tersedia di sebagian besar lembaga pengguna data. Akibatnya, fotokopi KTP tetap menjadi solusi paling praktis di lapangan, meskipun tidak sesuai hukum.

Baca juga: Biaya e-Commerce Bukan Tirani

UU PDP membedakan antara subjek data pribadi dan pengendali data pribadi. Pengendali data adalah pihak yang menentukan tujuan dan cara pemrosesan data pribadi.

Dalam konteks ini, setiap lembaga pengguna yang mengumpulkan fotokopi KTP adalah pengendali data, dengan segala kewajiban hukum yang melekat padanya.

Pasal 35 UU PDP mewajibkan pengendali data melindungi data pribadi dari akses yang tidak sah, pengungkapan tanpa izin, hingga kehilangan dan kerusakan.

Pertanyaannya, seberapa banyak rumah sakit yang memiliki prosedur resmi untuk menyimpan, melindungi, dan memusnahkan fotokopi KTP pasien? Seberapa banyak hotel yang memastikan salinan KTP tamu tidak jatuh ke tangan yang salah?

Praktik menyimpan tumpukan fotokopi KTP dalam laci resepsionis, atau membuangnya ke tempat sampah begitu urusan selesai, bukan sekadar kelalaian operasional.

Dalam perspektif UU PDP, itu adalah pelanggaran kewajiban pengendali data yang membuka potensi gugatan ganti rugi dari subjek data yang dirugikan.

Imbauan Tanpa Infrastruktur

Pernyataan Kemendagri bahwa masyarakat bisa menggunakan identitas lain patut diapresiasi sebagai langkah edukasi publik. Namun, imbauan semacam itu akan berhenti sebagai wacana jika tidak disertai tiga hal konkret.

Pertama, harmonisasi regulasi internal. Kementerian dan lembaga yang masih mensyaratkan fotokopi KTP dalam prosedur operasional standarnya harus segera merevisi aturan tersebut.

Tanpa revisi dari dalam, petugas lapangan tidak bisa berbuat apa-apa meski sudah memahami UU PDP.

Kedua, perluasan infrastruktur verifikasi digital. Dukcapil perlu mendorong lebih banyak lembaga pengguna data, baik pemerintah maupun swasta, untuk mengintegrasikan sistem pembacaan data elektronik.

Baca juga: Bayar Pakai QRIS, Mengapa Ada Pembulatan Biaya?

Card reader dan koneksi ke sistem Dukcapil harus menjadi standar layanan, bukan fasilitas eksklusif lembaga tertentu.

Ketiga, pengawasan dan penegakan. UU PDP sudah memberikan kewenangan kepada Lembaga Pelindungan Data Pribadi untuk mengawasi kepatuhan pengendali data dan menjatuhkan sanksi administratif.

Kewenangan itu perlu digunakan secara aktif, bukan hanya menunggu laporan dari masyarakat.

Di tengah perdebatan soal kewajiban lembaga pengguna dan kelambatan birokrasi, ada satu pihak yang sering terlupakan, yaitu kita sebagai subjek data.

UU PDP memberikan sejumlah hak kepada subjek data, antara lain hak untuk mengetahui tujuan pengumpulan data, hak untuk menolak pemrosesan data yang tidak sah, dan hak untuk mendapatkan ganti rugi jika data disalahgunakan.

Secara hukum, kita berhak mempertanyakan mengapa suatu lembaga membutuhkan fotokopi KTP kita, untuk tujuan apa data itu disimpan, dan berapa lama data itu akan disimpan.

Jika lembaga itu tidak bisa menjawab pertanyaan-pertanyaan dasar itu, ada dasar hukum untuk menolak.

Namun, menolak dalam praktiknya tidak mudah. Menolak menyerahkan KTP di rumah sakit bisa berarti pelayanan tertunda. Menolak di lobi hotel bisa berarti gagal menginap.

Ini menunjukkan bahwa selama infrastruktur dan regulasi belum berubah, beban perlindungan data masih tertumpu tidak adil di pundak individu warga negara.

Imbauan Kemendagri adalah pengingat yang tepat waktu, tapi pengingat saja tidak cukup. Indonesia memiliki UU PDP yang kuat di atas kertas.

Tantangannya kini adalah membawa aturan itu turun ke setiap titik layanan yang setiap hari mengumpulkan data pribadi jutaan warga, dari lobi hotel hingga meja administrasi rumah sakit, dari kantor kelurahan hingga kantor kementerian.

Selama kesenjangan antara regulasi dan infrastruktur itu dibiarkan, fotokopi KTP akan terus beredar tanpa kendali.

Di era ekonomi digital, kebocoran data pribadi tidak selalu dimulai dari peretasan yang rumit. Kadang ia bermula dari selembar fotokopi KTP yang berpindah tangan tanpa perlindungan yang memadai.

Tag:  #fotokopi #praktik #normalisasi #kebocoran #data