“Ini kenapa aplikasi pinjaman minta akses kontak gue?”
Fani menanyakan itu dari sofa.
Rizky yang sedang memperbaiki charger menoleh.
“Aplikasi apa?”
Fani menyebut nama.
“Legal?”
“Katanya.”
“Katanya siapa?”
“Webnya.”
Rizky menghela napas.
“Cek OJK dulu.”
Mereka tidak sedang membahas bunga.
Tidak sedang membahas tenor.
Tidak sedang menghitung cicilan.
Mereka membahas sesuatu yang sering dianggap sebagai formalitas ketika orang butuh uang cepat: permission atau izin akses perangkat.
Pada pinjaman daring, data pribadi bukan detail sampingan.
Data dipakai untuk identifikasi, penilaian risiko, pencegahan fraud, credit scoring, komunikasi, dan proses lain yang sah.
Tetapi akses ke perangkat tidak boleh dianggap bebas tanpa batas.
Dalam SEOJK 19/SEOJK.06/2025 tentang LPBBTI, OJK menegaskan bahwa penyelenggara dalam menjalankan kegiatan usaha hanya dapat mengakses kamera, lokasi, dan mikrofon pada gawai pengguna.
Aturan yang sama juga menyatakan kontak darurat hanya ditujukan untuk konfirmasi keberadaan penerima dana dan bukan untuk penagihan kepada kontak darurat.
Jadi kalau aplikasi pinjaman meminta akses yang jauh lebih luas, pengguna perlu berhenti dan memeriksa.
Fani melihat layar lagi.
“Berarti kontak nggak boleh?”
“Kalau ini benar LPBBTI yang tunduk aturan itu, akses perangkat yang disebut OJK cuma kamera, lokasi, mikrofon.”
“Terus kenapa dia minta?”
“Nah. Jangan lanjut sebelum tahu.”
Tekan Allow bukan sekadar melewati layar
Kita sudah terbiasa menekan Allow.
Aplikasi foto minta kamera.
Peta minta lokasi.
Meeting app minta mikrofon.
Karena begitu sering, permission berubah menjadi tombol administratif.
Masalahnya, setiap izin membuka jenis data atau kemampuan tertentu.
Kalau pengguna memberi akses tanpa memahami, dia mungkin menyerahkan lebih banyak daripada yang dibutuhkan.
Pada aplikasi finansial, standar kehati-hatian seharusnya lebih tinggi.
Sebelum tekan setuju, tanyakan:
Izin apa yang diminta?
Untuk fungsi apa?
Apakah masuk akal?
Apakah aplikasi legal dan resmi?
Apakah permission itu sesuai dengan ketentuan regulator?
Apakah ada kebijakan privasi yang bisa dibaca?
Apakah data dibagikan kepada pihak lain?
Bagaimana cara menghapus atau mencabut izin?
Tidak semua pengguna akan membaca dokumen privasi 30 halaman.
Tapi setidaknya jangan melewati layar permission seperti iklan.
Rizky bertanya, “Lo butuh pinjam sekarang banget?”
Fani mengangguk.
“Makanya gue takut kalau kebanyakan mikir malah nggak cair.”
“Justru kalau lagi butuh, orang paling gampang tekan semua.”
Tekanan finansial menurunkan standar privasi
Ini sisi yang jarang dibahas.
Saat orang santai, dia bisa skeptis.
Saat butuh uang untuk sewa, biaya medis, sekolah, atau menutup kebutuhan lain, prioritas berubah.
Yang dicari adalah pencairan.
Cepat.
Mudah.
Tidak ribet.
Scammer dan penyedia ilegal memanfaatkan kondisi itu.
Mereka tahu pengguna mungkin bersedia memberikan kontak, galeri, SMS, bahkan akses lain karena merasa tidak punya pilihan.
Padahal data pribadi punya nilai.
Sekali tersebar, ia tidak selalu bisa ditarik kembali.
Nomor keluarga.
Teman kantor.
Foto KTP.
Alamat.
Riwayat komunikasi.
Informasi pekerjaan.
Kalau jatuh ke pihak yang salah, risikonya tidak berhenti di pinjaman.
Bisa jadi bahan intimidasi.
Penipuan.
Pencurian identitas.
Social engineering.
Itulah kenapa legalitas penyedia harus dicek sebelum memasukkan data.
Bukan setelah pencairan.
Penyelenggara legal punya batas akses
Fani membuka halaman OJK.
Mereka mencari direktori LPBBTI.
Nama aplikasi pertama tidak ditemukan.
Rizky berkata, “Stop.”
Fani terlihat kecewa.
“Padahal prosesnya gampang.”
“Gampang bukan indikator aman.”
Mereka mencari alternatif yang statusnya bisa diverifikasi.
Di sinilah perbedaan penting antara penyelenggara legal dan ilegal.
OJK mengatur penyelenggara LPBBTI melalui POJK 40 Tahun 2024 dan SEOJK 19 Tahun 2025.
Di antara ketentuannya ada mitigasi risiko, informasi risiko, manfaat ekonomi, pengelolaan data, batas akses perangkat, dan penggunaan kontak darurat.
Regulasi tidak menghilangkan semua risiko kredit.
Tetapi memberi kerangka pelindungan yang tidak dimiliki aplikasi ilegal.
Kalau sebuah aplikasi menyebut “terdaftar” atau “diawasi” tanpa bukti yang bisa diverifikasi, jangan percaya logo di halaman.
Cek sumber resmi OJK.
Nama perusahaan bisa berbeda dengan nama aplikasinya, jadi cocokkan dengan teliti.
Kontak darurat bukan target penagihan
Fani bertanya, “Kalau diminta kontak darurat gimana?”
“Beda sama akses seluruh contact list.”
Ini pembedaan penting.
SEOJK 19/2025 menyatakan penggunaan kontak darurat hanya untuk konfirmasi keberadaan penerima dana, bukan untuk penagihan kepada kontak darurat.
Artinya, orang yang kita masukkan sebagai kontak darurat tidak otomatis menjadi penanggung utang.
Mereka juga tidak semestinya dijadikan sasaran penagihan hanya karena nomor mereka tercantum.
Pengguna sebaiknya memberi tahu orang yang dijadikan kontak darurat.
Jangan masukkan nomor orang tanpa pengetahuan mereka kalau bisa dihindari.
Dan kalau terjadi penagihan yang menyimpang, dokumentasikan.
Simpan pesan.
Nomor.
Waktu.
Isi komunikasi.
Gunakan kanal pengaduan resmi penyelenggara dan OJK bila diperlukan.
Data yang sudah diberikan tetap perlu dikelola setelah pinjaman cair
Banyak orang berhenti memikirkan privasi setelah pinjaman disetujui.
Padahal hubungan datanya belum tentu selesai.
Aplikasi masih terpasang.
Permission masih aktif.
Akun masih ada.
Dokumen masih tersimpan pada sistem penyedia sesuai kebijakan dan kewajiban hukum yang berlaku.
Pengguna perlu tahu cara mengelola izin.
Di Android maupun iOS, permission aplikasi bisa ditinjau ulang melalui pengaturan perangkat.
Kalau suatu izin tidak lagi diperlukan, pengguna dapat mengecek apakah bisa dicabut tanpa mengganggu fungsi yang sah.
Jangan asal menghapus data atau akun ketika masih punya kewajiban aktif tanpa memahami konsekuensinya.
Tetapi jangan juga membiarkan aplikasi punya akses lebih luas hanya karena dulu pernah menekan Allow.
Privasi bukan keputusan satu kali.
Ia perlu direview.
“Jadi habis lunas gue hapus aplikasinya?”
“Bisa, tapi cek dulu akun, data, dan kewajiban. Jangan asal.”
Rizky benar.
Menghapus aplikasi dari ponsel tidak otomatis menghapus data dari server.
Kalau ingin memahami retensi atau penghapusan data, baca kebijakan privasi dan mekanisme yang disediakan penyelenggara.
Jangan kirim KTP lewat chat pribadi admin
Ada lagi risiko yang berbeda.
Kadang pengguna sudah memakai aplikasi resmi, tetapi kemudian dihubungi akun yang mengaku customer service.
“Verifikasi ulang lewat WhatsApp.”
“Kirim selfie KTP.”
“Kirim foto kartu.”
“Kirim OTP.”
Ini harus dipisahkan dari proses aplikasi.
Jangan memberikan data sensitif melalui kanal yang tidak terverifikasi hanya karena orang tersebut mengetahui bahwa kita punya pinjaman.
Masuk kembali ke aplikasi resmi.
Hubungi customer service dari kanal yang tercantum di situs atau aplikasi resmi.
Jangan klik nomor pertama di hasil pencarian.
Jangan percaya akun media sosial hanya karena memakai logo yang sama.
Data pribadi sering dicuri bukan dari sistem canggih.
Tapi dari pengguna yang sedang diburu waktu.
Baca juga kebijakan pemrosesan data, bukan cuma permission perangkat
Permission menjawab apa yang bisa diakses aplikasi dari ponsel.
Kebijakan privasi menjawab pertanyaan yang lebih luas.
Data apa yang dikumpulkan?
Untuk tujuan apa?
Berapa lama disimpan?
Siapa yang dapat menerima data sesuai ketentuan?
Apa hak pengguna?
Bagaimana mekanisme pengaduan?
Fani membuka kebijakan privasi penyedia yang sedang dia pertimbangkan.
“Panjang.”
“Cari bagian pengumpulan data.”
Mereka membaca perlahan.
Tidak semua istilah mudah.
Tapi proses itu membuat Fani sadar bahwa perlindungan data bukan hanya soal kontak atau kamera.
Data transaksi dan data keuangan juga sensitif.
PADK BNPL 2026 bahkan secara eksplisit menempatkan pengelolaan data pribadi, data transaksi, dan data keuangan sebagai bagian dari pengaturan penyelenggaraan BNPL perusahaan pembiayaan.
Dalam layanan kredit digital, hubungan pengguna dengan data memang melekat pada produk.
Karena itu, pilih penyedia yang bisa diverifikasi, baca informasi penting, dan jangan memberikan data di luar kanal resmi hanya karena seseorang mengaku membantu proses pencairan.
Ada satu kebiasaan lain yang membantu: pisahkan data yang memang dibutuhkan dalam proses resmi dari data yang diminta lewat komunikasi tambahan.
Fani pernah menerima chat setelah mengisi formulir.
“Untuk percepatan, kirim foto KTP lewat sini.”
Dia tidak langsung mengirim.
Dia membuka aplikasi resmi dan menghubungi kanal bantuan yang tercantum.
Ternyata instruksi tersebut tidak cocok dengan alur yang dia lihat.
Rizky berkata, “Nah, permission app bisa benar, tapi orang di luar app masih bisa nipu.”
Keamanan data memang tidak berhenti pada instalasi.
Ada phishing.
Impersonation.
Link palsu.
Customer service palsu.
Formulir tiruan.
Karena itu, setiap kali diminta mengirim data sensitif di luar aplikasi, pengguna perlu kembali ke sumber resmi.
Kalau proses resmi memang membutuhkan dokumen tambahan, konfirmasi melalui kanal yang dapat diverifikasi.
Jangan biarkan kata “percepatan” menghapus kehati-hatian.
Data yang dikirim salah kanal tidak bisa ditarik kembali hanya karena pinjamannya batal.
Fani kemudian menyimpan screenshot halaman legalitas dan kanal resmi penyedia yang dia gunakan.
Bukan sebagai ritual.
Sebagai referensi kalau suatu hari ada nomor asing menghubungi dan mengaku admin.
Dia tidak perlu mencari ulang saat sedang panik.
Sedikit persiapan sebelum transaksi bisa mengurangi banyak keputusan improvisasi sesudahnya.
Sebelum setuju, baca empat lapis
Fani akhirnya membuat aturan sendiri.
“Gue cek empat hal.”
“Apa?”
“Legalitas. Total biaya. Permission. Kebijakan data.”
Rizky mengangguk.
“Kurang satu.”
“Apa?”
“Kemampuan bayar.”
“Harusnya itu nomor satu.”
Mereka tertawa.
Lima hal itu sebenarnya saling terkait.
Legalitas menjawab siapa penyedianya.
Biaya menjawab berapa kewajibannya.
Permission menjawab akses perangkat.
Kebijakan data menjawab bagaimana informasi diproses.
Kemampuan bayar menjawab apakah pinjaman itu masuk akal untuk kondisi kita.
Kalau salah satu tidak jelas, jangan buru-buru menekan setuju.
Pinjaman yang cair lima menit lebih cepat tidak sebanding dengan data yang tersebar bertahun-tahun.
Malamnya, Fani akhirnya mengajukan melalui penyelenggara yang bisa diverifikasi.
Dia membaca layar permission lebih lama dari biasanya.
Kamera.
Lokasi.
Mikrofon.
Ketika muncul sesuatu yang tidak sesuai ekspektasi, dia berhenti dan mengecek.
Tidak semua pertanyaan langsung punya jawaban.
Tapi sekarang dia tidak menganggap setiap tombol sebagai formalitas.
Rizky lewat.
“Udah cair?”
“Belum.”
“Kesel?”
“Sedikit.”
“Terus?”
Fani meletakkan ponsel.
“Setidaknya gue tahu apa yang gue kasih.”
Itu perubahan yang penting.
Dalam pinjaman digital, kita tidak hanya menukar uang hari ini dengan pembayaran masa depan.
Kita juga masuk ke hubungan data.
Identitas.
Perangkat.
Riwayat.
Informasi keuangan.
Semua itu perlu diperlakukan serius.
Kalau sebuah aplikasi membuat kita merasa harus menyerahkan apa pun demi pencairan cepat, jangan biarkan kebutuhan hari ini membuat data pribadi jadi biaya yang baru terasa bertahun-tahun kemudian.