Regulasi Face Recognition di Indonesia untuk Bisnis

Regulasi face recognition di Indonesia bertumpu pada UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang menggolongkan gambar wajah sebagai data biometrik, yaitu data pribadi yang bersifat spesifik. Karena itu, bisnis wajib punya dasar pemrosesan yang sah dan melakukan penilaian dampak (DPIA). Sektor keuangan juga tunduk pada POJK 8/2023, sedangkan pelanggaran bisa berujung sanksi denda administratif sampai 2% dari pendapatan tahunan (Pasal 57).

Apa Itu Regulasi Face Recognition?

Regulasi face recognition adalah kumpulan aturan hukum yang menentukan kapan dan bagaimana sebuah organisasi boleh mengambil, mencocokkan, dan menyimpan data wajah seseorang. Indonesia belum punya undang-undang khusus untuk teknologi ini.

Aturannya justru tersebar di beberapa lapis. UU PDP menjadi payung untuk semua sektor. Di atasnya ada aturan sektoral, misalnya POJK 8/2023 untuk lembaga jasa keuangan dan Permenkomdigi 7/2026 untuk registrasi kartu SIM. Sementara itu, PP 33 Tahun 2026 sebagai aturan pelaksana UU PDP mulai berlaku 16 Januari 2027.

Artinya, satu sistem face recognition bisa terkena dua atau tiga aturan sekaligus. Bank yang memakai verifikasi wajah saat pembukaan rekening, misalnya, wajib memenuhi UU PDP dan POJK 8/2023 secara bersamaan.

Status Data Wajah Menurut UU PDP

Pasal 4 ayat (2) UU PDP memasukkan data biometrik ke kelompok data pribadi yang bersifat spesifik, sejajar dengan data kesehatan, data genetika, dan data keuangan pribadi. Penjelasan pasal itu bahkan menyebut contohnya secara langsung, yaitu gambar wajah dan data daktiloskopi atau sidik jari.

Mengapa status ini penting? Menurut penjelasan Pasal 4, pemrosesan data spesifik bisa berdampak lebih besar bagi pemiliknya, termasuk diskriminasi dan kerugian yang lebih berat. Selain itu, orang tidak bisa mengganti wajahnya seperti kata sandi, sehingga data wajah yang bocor akan bocor selamanya.

Status itu juga membawa konsekuensi praktis. Pemrosesan data spesifik otomatis masuk kategori berisiko tinggi menurut Pasal 34, sehingga DPIA menjadi wajib. Pemahaman dasar tentang jenis dan cara kerja data biometrik membantu tim menilai risiko ini sejak awal.

Dasar Hukum Memproses Data Wajah

Banyak bisnis mengira persetujuan selalu menjadi satu-satunya jalan. Kenyataannya, Pasal 20 ayat (2) UU PDP menyediakan enam dasar pemrosesan:

1. persetujuan yang sah secara eksplisit untuk tujuan tertentu;
2. pemenuhan kewajiban perjanjian;
3. pemenuhan kewajiban hukum pengendali;
4. pelindungan kepentingan vital subjek data;
5. pelaksanaan tugas untuk kepentingan umum atau pelayanan publik;
6. pemenuhan kepentingan sah lainnya yang seimbang dengan hak subjek data.

Jadi, pilihan dasar hukum bergantung pada tujuan. Untuk e-KYC di lembaga keuangan, dasarnya adalah kewajiban hukum, sebab POJK 8/2023 mengharuskan bank dan fintech mengenali serta memverifikasi setiap nasabah. Sebaliknya, fitur login wajah di aplikasi belanja biasanya memakai persetujuan, karena pengguna masih bisa memilih kata sandi.

Bila memakai persetujuan, Pasal 22 meminta bukti yang tertulis atau terekam, dalam format elektronik ataupun kertas. Jadi, tombol “Setuju” yang menjelaskan tujuan pemindaian wajah secara spesifik lebih kuat daripada pemberitahuan umum di syarat dan ketentuan.

Kewajiban Bisnis yang Memakai Face Recognition

Setelah dasar hukumnya jelas, pengendali data masih memikul serangkaian kewajiban. Berikut yang paling relevan untuk sistem pengenalan wajah.

Kewajiban	Dasar Pasal UU PDP	Arti untuk Sistem Wajah
Penilaian dampak (DPIA)	Pasal 34	Wajib, karena data biometrik termasuk data spesifik dan sering memakai teknologi baru
Keamanan data	Pasal 35	Langkah teknis sesuai risiko, misalnya enkripsi template wajah dan kontrol akses
Penghapusan dan pemusnahan	Pasal 43 dan 44	Hapus data saat tujuan selesai, subjek menarik persetujuan, atau ada permintaan sah
Notifikasi kebocoran	Pasal 46	Kabari subjek data dan lembaga pengawas secara tertulis dalam 3 x 24 jam
Pejabat pelindungan data	Pasal 53	Wajib bila kegiatan inti memproses data spesifik dalam skala besar
Pengawasan vendor	Pasal 51	Vendor verifikasi wajah hanya memproses data sesuai perintah pengendali
Transfer ke luar negeri	Pasal 56	Negara tujuan harus punya pelindungan setara atau ada pengamanan memadai

Pasal 34 ayat (2) menyebut tujuh kondisi berisiko tinggi. Sistem face recognition biasanya memenuhi lebih dari satu, yaitu data spesifik, pencocokan data, teknologi baru, dan kerap juga skala besar.

Face Recognition di Tempat Umum: Batas Pasal 17

Pasal ini sering terlewat. Pasal 17 ayat (1) UU PDP mengatur alat pemroses atau pengolah data visual, seperti kamera, yang berada di tempat umum atau fasilitas pelayanan publik.

Ada tiga syarat. Pertama, kamera hanya boleh untuk keamanan, pencegahan bencana, atau pengaturan informasi lalu lintas. Kedua, harus ada informasi di area yang dipantau. Ketiga, pemilik kamera tidak boleh memakai rekamannya untuk mengidentifikasi seseorang.

Pengecualian hanya berlaku untuk pencegahan tindak pidana dan penegakan hukum, sesuai Pasal 17 ayat (2). Akibatnya, bisnis akan sulit membenarkan pengenalan wajah pengunjung secara otomatis di ruang publik untuk tujuan pemasaran. Karena itu, bisnis ritel dan properti perlu kajian hukum sebelum menyalakan fitur identifikasi pada CCTV.

Aturan Sektor: OJK, Bank Indonesia, dan Komdigi

Di sektor keuangan, POJK Nomor 8 Tahun 2023 menjadi rujukan utama. Pasal 21 ayat (2) mengakui verifikasi tanpa tatap muka secara elektronik. Untuk cara ini, Pasal 21 ayat (5) mensyaratkan pemakaian data kependudukan plus sedikitnya dua faktor keaslian. Biometrik wajah dan perangkat nasabah adalah contoh kombinasinya.

Pasal 22 lalu mengatur pihak ketiga. Jadi, bila bank atau fintech memakai pihak ketiga untuk verifikasi, pihak itu harus punya perjanjian kerja sama dengan Ditjen Dukcapil. Kemudian, Pasal 63 menetapkan masa simpan dokumen nasabah minimal 5 tahun sejak hubungan usaha selesai.

Sementara itu, penyelenggara jasa pembayaran dan pihak lain di bawah pengawasan Bank Indonesia tunduk pada PBI Nomor 10 Tahun 2024 tentang program anti pencucian uang dan pencegahan pendanaan terorisme. Di luar keuangan, Permenkomdigi Nomor 7 Tahun 2026 mewajibkan registrasi kartu SIM pelanggan baru memakai pengenalan wajah sejak 1 Juli 2026.

Pada kedua sektor, keaslian wajah sama pentingnya dengan kecocokan wajah. Pemeriksaan liveness detection memastikan wajah di depan kamera benar-benar milik orang yang hadir, bukan foto, video, atau deepfake.

Sanksi Pelanggaran Regulasi Face Recognition

Adapun sanksi UU PDP terbagi dua. Pada sisi administratif, Pasal 57 mengenal empat bentuk sanksi: peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan denda sampai 2% dari pendapatan atau penerimaan tahunan.

Pada sisi pidana, ancamannya tertuju pada penyalahgunaan data. Sejak 2 Januari 2026, besaran dendanya mengikuti penyesuaian UU Nomor 1 Tahun 2026:

• Pasal 67: memperoleh, mengungkapkan, atau memakai data pribadi orang lain secara melawan hukum, ancaman penjara 4 hingga 5 tahun dan/atau denda maksimal Rp200 juta.
• Pasal 68: membuat data pribadi palsu atau memalsukannya, penjara paling lama 6 tahun dan/atau denda paling banyak Rp500 juta.
• Pasal 70: bila pelakunya korporasi, pidana denda bisa mencapai 10 kali lipat dari maksimum denda.

Ringkasnya, pelanggaran prosedur seperti DPIA yang terlewat umumnya berujung sanksi administratif. Pidana lebih dekat ke penyalahgunaan, misalnya menjual atau membocorkan data wajah dengan sengaja.

Perbandingan dengan GDPR dan EU AI Act

Bisnis dengan pengguna di Eropa perlu memahami perbedaannya, karena standar Uni Eropa lebih rinci untuk biometrik.

Aspek	Indonesia (UU PDP)	Uni Eropa
Status data wajah	Data pribadi spesifik (Pasal 4)	Kategori khusus bila berfungsi untuk identifikasi unik (GDPR Article 9)
Dasar pemrosesan	Enam dasar (Pasal 20)	Larangan umum, kecuali ada pengecualian seperti persetujuan eksplisit (Article 9)
Penilaian dampak	Wajib untuk risiko tinggi (Pasal 34)	Wajib untuk risiko tinggi (Article 35)
Denda maksimum	2% pendapatan tahunan	EUR 20 juta atau 4% omzet global, mana yang lebih besar
Otoritas pengawas	Lembaga PDP (Pasal 58), masih dalam pembentukan	Otoritas perlindungan data tiap negara
Aturan khusus AI	Belum ada	EU AI Act melarang antara lain pengumpulan gambar wajah secara massal dari internet atau CCTV sejak 2 Februari 2025

Checklist Kepatuhan Face Recognition

1. Petakan setiap titik pengambilan wajah, mulai dari onboarding hingga absensi.
2. Tetapkan satu dasar pemrosesan untuk tiap tujuan, lalu dokumentasikan.
3. Jalankan DPIA sebelum sistem aktif dan ulangi saat ada perubahan besar.
4. Simpan template wajah terenkripsi, bukan foto mentah, bila memungkinkan.
5. Tentukan masa retensi, termasuk 5 tahun untuk dokumen nasabah sesuai POJK 8/2023.
6. Pastikan kontrak vendor mengatur instruksi pemrosesan, keamanan, dan lokasi data.
7. Pasang liveness detection agar foto atau deepfake tidak bisa menembus verifikasi.
8. Latih tim untuk melaporkan insiden kebocoran dalam batas 3 x 24 jam.

Untuk konteks karyawan, prinsipnya pun sama. Panduan teknis penerapan di kantor tersedia di artikel absensi face recognition.

Pertanyaan Umum tentang Regulasi Face Recognition

Apakah data wajah termasuk data sensitif menurut UU PDP?

UU PDP tidak memakai istilah data sensitif. Data wajah termasuk data biometrik, yang menurut Pasal 4 ayat (2) tergolong data pribadi yang bersifat spesifik, sehingga pemrosesannya membutuhkan dasar hukum yang sah dan penilaian dampak.

Apakah toko ritel boleh memakai face recognition di CCTV?

Pasal 17 UU PDP membatasi kamera di tempat umum untuk tujuan pengamanan, pencegahan bencana, dan lalu lintas, serta melarang pemakaian rekamannya untuk mengidentifikasi seseorang, kecuali untuk pencegahan tindak pidana dan penegakan hukum. Identifikasi wajah pengunjung untuk pemasaran perlu kajian hukum lebih dulu.

Apakah absensi wajah karyawan butuh persetujuan?

Perusahaan wajib punya salah satu dasar pemrosesan di Pasal 20 UU PDP. Karena posisi karyawan tidak setara dengan pemberi kerja, perusahaan yang menyediakan cara absensi alternatif lebih mudah membuktikan bahwa persetujuan karyawan adalah pilihan bebas.

Berapa lama bisnis boleh menyimpan data wajah?

UU PDP tidak menetapkan angka pasti. Namun, Pasal 43 mewajibkan pengendali menghapus data saat tujuan pemrosesannya sudah selesai. Khusus bank dan fintech, POJK 8/2023 Pasal 63 menetapkan masa simpan minimal 5 tahun sejak hubungan usaha dengan nasabah selesai.

Apakah DPIA wajib sebelum memakai face recognition?

Ya. Pasal 34 UU PDP mewajibkan penilaian dampak untuk pemrosesan berisiko tinggi, termasuk pemrosesan data pribadi yang bersifat spesifik seperti data biometrik wajah.

Siapa yang mengawasi kepatuhan UU PDP?

Menurut Pasal 58 UU PDP, Presiden menetapkan lembaga khusus untuk tugas ini. Hingga Oktober 2026 lembaga itu belum terbentuk, sementara regulator sektor seperti OJK tetap mengawasi kepatuhan lembaga di bawahnya.

Patuh Sejak Desain Sistem

Regulasi face recognition di Indonesia memang belum terpusat di satu aturan. Namun, kewajiban intinya sudah jelas: dasar hukum yang tepat, DPIA, keamanan template wajah, dan batas retensi.

Karena itu, bisnis paling hemat memenuhi semuanya saat merancang sistem, bukan setelah audit. Pelajari cara kerja Face Recognition Verihubs, atau diskusikan alur verifikasi Anda bersama tim kami.