Data pribadi di dokumen keuangan wajib dihapus ketika sudah tidak diperlukan, tetapi di sebagian dokumen justru wajib disimpan hingga 10 tahun.
Dua kewajiban ini datang dari aturan yang berbeda: UU Pelindungan Data Pribadi (UU PDP) mengatur kapan data pribadi harus dihapus atau dimusnahkan, sedangkan aturan perpajakan dan UU Dokumen Perusahaan mengatur berapa lama dokumen pembukuan harus disimpan.
Karena itu, perusahaan perlu menyusun kebijakan retensi data yang menetapkan kapan harus menghapus data pribadi, kapan harus menyamarkannya, dan mana dokumen yang harus disimpan.
Pertanyaan ini makin mendesak karena aturan pelaksana UU PDP, yaitu PP Nomor 33 Tahun 2026, mulai berlaku 16 Januari 2027 dan mengatur tata cara penghapusan data secara rinci.
Artikel ini membahas jenis data pribadi yang ada di dokumen keuangan, aturan yang mengikatnya, serta langkah menghapus data dengan aman yang bisa Anda terapkan di perusahaan Anda.
Data Pribadi Apa Saja yang Ada di Dokumen Keuangan?
Data pribadi tidak hanya tersimpan di berkas HR, tapi juga di hampir setiap dokumen bisnis
Contoh dokumen yang memuat data pribadi adalah:
- Faktur pajak dan invoice, yang memuat nama, NIK atau NPWP, dan alamat pembeli.
- Slip gaji dan daftar gaji, berisi nomor rekening, besaran gaji, potongan BPJS, sampai cicilan pinjaman karyawan.
- Bukti potong PPh 21, yang mencantumkan NIK dan status PTKP. Dari status PTKP, orang bisa tahu status perkawinan dan jumlah tanggungan karyawan.
- Formulir pendaftaran vendor, yang biasanya dilampiri fotokopi KTP, NPWP, dan buku tabungan.
- Kuitansi reimbursement berobat, lengkap dengan diagnosis atau resep.
Dari daftar dokumen di atas, yang perlu Anda beri perhatian lebih adalah slip gaji dan kuitansi untuk pengobatan. Pasal 4 ayat (2) UU PDP memasukkan data keuangan pribadi (seperti gaji dan nomor rekening) serta data kesehatan (seperti diagnosis dan resep) ke dalam kategori data pribadi yang bersifat spesifik.
Artinya, kedua dokumen ini memuat data yang perlindungannya lebih ketat dibanding data pribadi umum seperti nama atau alamat.
Baca Juga: Accounting Cybersecurity: Tips Menjaga Data Keuangan Bisnis
Mengapa Data Pribadi di Dokumen Keuangan Berisiko Tinggi?
Kebocoran data pribadi dalam dokumen keuangan berisiko tinggi karena dapat memicu kerugian finansial, penipuan, masalah hukum, hingga hilangnya kepercayaan pelanggan dan mitra bisnis.
Dokumen seperti invoice, bukti transfer, slip gaji, laporan pengeluaran, dan rekening koran sering memuat informasi yang dapat dimanfaatkan pihak tidak bertanggung jawab.
Berikut beberapa risikonya:
1. Menjadi celah penipuan dan kejahatan finansial
Dokumen keuangan biasanya memuat nama, nomor rekening, informasi transaksi, identitas pelanggan, atau detail pembayaran. Jika informasi tersebut jatuh ke tangan yang salah, pelaku dapat menggunakannya untuk menyamar sebagai pihak tertentu, memalsukan invoice, atau mengirim instruksi pembayaran palsu kepada pelanggan dan pemasok.
2. Membuka informasi sensitif tentang bisnis
Dokumen keuangan tidak hanya berisi data pribadi, tetapi juga dapat mengungkap informasi internal perusahaan. Contohnya, laporan pengeluaran dapat menunjukkan struktur biaya, invoice mengungkap harga dan syarat pembayaran, sedangkan laporan penggajian memperlihatkan informasi kompensasi karyawan.
Jika informasi tersebut diakses pesaing atau pihak yang tidak berwenang, perusahaan berisiko menghadapi konflik internal atau mengalami kerugian.
3. Menimbulkan risiko hukum dan kepatuhan
Perusahaan yang mengumpulkan dan mengelola data pribadi memiliki tanggung jawab untuk melindungi informasi tersebut sesuai ketentuan yang berlaku, termasuk UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
Jadi, kebocoran data bisa menimbulkan konsekuensi hukum apabila perusahaan terbukti melanggar kewajibannya.
4. Merusak kepercayaan pelanggan dan mitra bisnis
Pelanggan mempercayakan informasi pembayaran dan identitas mereka kepada perusahaan dengan harapan data tersebut dikelola secara aman. Jika data itu bocor, pelanggan bisa saja enggan kembali melanjutkan hubungan bisnis.
5. Menambah biaya operasional dan mengganggu aktivitas bisnis
Ketika terjadi kebocoran, perusahaan perlu melakukan investigasi, mengamankan sistem, memulihkan akses, memeriksa transaksi, dan memberi tahu pihak terdampak sesuai kewajiban yang berlaku.
Artinya, pekerjaan tim keuangan akan bertambah dan berpotensi mengurangi produktivitas serta mengganggu operasional.
Karena itu, perusahaan perlu membatasi akses dokumen, menggunakan sistem penyimpanan yang aman, menerapkan autentikasi yang kuat, dan memastikan dokumen hanya dibagikan kepada pihak yang berwenang
Baca Juga: Pembahasan Lengkap Key Activities dalam Business Model Canvas
Apa Aturan yang Mengatur Data Pribadi di Dokumen Keuangan?
5 aturan yang banyak mengatur data pribadi dalam dokumen keuangan adalah UU 27/2022 (UU PDP) dan PP 33/2026, UU KUP Pasal 28 ayat (11), UU 8/1997 tentang Dokumen Perusahaan Pasal 11, POJK 22/2023, dan UU 8/2010 tentang TPPU Pasal 21.
| Aturan | Isi yang relevan |
|---|---|
| UU 27/2022 (UU PDP) dan PP 33/2026 | Kapan data wajib dihapus atau dimusnahkan, kewajiban punya jadwal retensi, berita acara, dan pemberitahuan ke pemilik data |
| UU KUP Pasal 28 ayat (11) | Buku, catatan, dan dokumen dasar pembukuan, termasuk versi elektronik, wajib disimpan 10 tahun di Indonesia |
| UU 8/1997 tentang Dokumen Perusahaan Pasal 11 | Catatan, bukti pembukuan, dan data pendukung administrasi keuangan disimpan 10 tahun sejak akhir tahun buku |
| POJK 22/2023 | Pelaku usaha jasa keuangan (bank, perusahaan pembiayaan, fintech, dan sejenisnya) wajib melindungi data konsumen dan menjaga keamanan sistemnya |
| UU 8/2010 tentang TPPU Pasal 21 | Pihak pelapor wajib menyimpan dokumen identitas pengguna jasa paling singkat 5 tahun setelah hubungan usaha berakhir |
Baca Juga: Statistik Bisnis: Pengertian, Jenis, dan Manfaatnya dalam Bisnis
Kapan Data Pribadi di Dokumen Keuangan Harus Dihapus atau Disamarkan?
Perusahaan perlu menghapus data pribadi ketika tidak lagi memiliki dasar untuk menyimpan atau memprosesnya. Namun, perusahaan tidak harus menghapus semua dokumen yang memuat data pribadi.
Dalam kondisi tertentu, perusahaan cukup menyamarkan identitas pemilik data agar informasi keuangan tetap bisa digunakan tanpa membuka informasi yang tidak diperlukan.
Merujuk Pasal 43 dan Pasal 44 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), penghapusan atau pemusnahan data berlaku dalam kondisi tertentu.
Sementara itu, penyamaran data menjadi langkah yang relevan ketika perusahaan masih membutuhkan informasi tersebut, tetapi tidak memerlukan identitas lengkap pemiliknya.
1. Tujuan Penggunaan Data Sudah Selesai
Perusahaan perlu menghapus data pribadi ketika tujuan pengumpulannya sudah tercapai dan tidak ada kewajiban atau dasar lain untuk menyimpannya.
Contohnya, perusahaan dapat menghapus data pelamar yang tidak diterima atau data calon vendor yang batal bekerja sama setelah memastikan tidak ada kebutuhan bisnis maupun hukum untuk menyimpannya.
Namun, perusahaan tidak boleh langsung menghapus invoice atau bukti transaksi hanya karena transaksi sudah selesai. Pasal 28 UU No. 8 Tahun 1997 tentang Dokumen Perusahaan mewajibkan perusahaan menyimpan catatan, bukti pembukuan, dan data pendukung administrasi keuangan selama 10 tahun sejak akhir tahun buku yang bersangkutan.
Setelah masa simpan berakhir, perusahaan perlu menilai apakah ada kewajiban lain yang mengharuskan dokumen tetap disimpan sebelum memusnahkannya.
2. Pemilik Data Meminta Penghapusan atau Menarik Persetujuan
Perusahaan perlu menindaklanjuti permintaan penghapusan data atau penarikan persetujuan sesuai dasar pemrosesan dan ketentuan yang berlaku. Misalnya, pelanggan menarik persetujuan penggunaan nomor telepon untuk promosi. Perusahaan perlu menghentikan pemrosesan untuk tujuan promosi tersebut jika tidak memiliki dasar lain yang sah.
Namun, permintaan itu tidak otomatis mengharuskan perusahaan menghapus seluruh dokumen transaksi pelanggan. Perusahaan tetap dapat menyimpan invoice yang wajib dipertahankan untuk pembukuan atau kepatuhan hukum, selama memiliki dasar yang sah untuk melakukannya.
Sebelum mengambil tindakan, perusahaan perlu memverifikasi identitas pemohon, memeriksa tujuan pemrosesan, dan memastikan apakah ada kewajiban penyimpanan yang masih berlaku.
3. Data Diperoleh atau Diproses secara Melawan Hukum
Perusahaan harus menangani data pribadi yang diperoleh atau diproses secara melawan hukum sesuai ketentuan UU PDP, termasuk menghapus atau memusnahkannya apabila kondisi hukum yang relevan terpenuhi.
Contohnya, perusahaan membeli database calon pelanggan dari sumber yang tidak jelas tanpa dapat memastikan legalitas perolehan dan pemrosesannya.
Menyimpan data semacam ini demi memperluas pemasaran justru dapat menambah risiko hukum. Karena itu, perusahaan perlu memeriksa asal-usul data, dasar pemrosesan, serta pihak yang memiliki akses sebelum menggunakan data untuk kegiatan bisnis.
4. Dokumen Dibagikan kepada Pihak yang Tidak Membutuhkan Identitas Lengkap
Perusahaan sebaiknya menyamarkan data pribadi ketika membagikan dokumen keuangan untuk analisis, presentasi, atau pelatihan yang tidak memerlukan identitas lengkap.
Misalnya, laporan gaji untuk presentasi kepada investor dapat menggunakan kode karyawan, sedangkan sampel transaksi untuk konsultan dapat menyembunyikan nomor rekening dan informasi identitas pelanggan.
Perusahaan tetap dapat mempertahankan isi dokumen tanpa mengungkap data yang tidak relevan, seperti menampilkan hanya sebagian nomor identitas karyawan sebagai 3201********0003, sementara nama karyawan diganti dengan kode seperti Karyawan A.
Baca Juga: Analisis Data Pelanggan: Manfaat, Jenis, dan Tekniknya
Kapan Data Pribadi Tidak Boleh Dihapus dari Dokumen Keuangan?
Data pribadi tidak boleh dihapus selama dokumennya masih wajib disimpan menurut aturan lain atau masih dibutuhkan dalam proses hukum.
Ada tiga kelompok dokumen yang perlu Anda tahan:
- Dokumen pembukuan dan pajak, seperti invoice, faktur pajak, daftar gaji, bukti potong, rekening koran, dan bukti transaksi lainnya. Masa simpannya 10 tahun sejak akhir tahun buku. Faktur bertanggal Maret 2026 dengan tahun buku yang berakhir Desember 2026, misalnya, baru boleh dimusnahkan setelah akhir 2036.
- Dokumen identitas pengguna jasa, khusus bagi pihak pelapor TPPU. Selain bank dan lembaga keuangan, kelompok ini mencakup agen properti, dealer kendaraan bermotor, serta pedagang perhiasan dan logam mulia. Masa simpannya paling singkat 5 tahun setelah hubungan usaha berakhir.
- Dokumen yang berkaitan dengan sengketa atau perkara, misalnya sengketa PHK atau gugatan tagihan. Pasal 44 UU PDP mengecualikan data yang masih terkait penyelesaian proses hukum.
Contohnya saat mantan karyawan meminta seluruh datanya dihapus. Slip gaji dan bukti potongnya tetap harus disimpan. Kuitansi berobat yang pernah ia ajukan juga, karena kuitansi itu menjadi bukti pengeluaran reimbursement.
Yang bisa dihapus adalah CV, foto, nomor kontak darurat, salinan KTP di grup chat, dan akun aplikasi internalnya.
Baca Juga: Pentingnya Data Pelanggan untuk Meningkatkan Profit Bisnis di Era Digital
Bagaimana Cara Menghapus Data Pribadi dari Dokumen Keuangan dengan Aman?
PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP menegaskan bahwa perusahaan harus menghapus atau memusnahkan data pribadi setelah masa retensinya berakhir, kecuali ada ketentuan hukum lain yang mengharuskan penyimpanan.
Berikut langkah-langkah menghapusnya:
1. Susun Jadwal Retensi Dokumen
Tentukan berapa lama perusahaan perlu menyimpan setiap jenis dokumen keuangan. Cantumkan jenis dokumen, masa simpan, dasar hukum, dan penanggung jawabnya dalam jadwal retensi.
2. Periksa Semua Lokasi Penyimpanan dan Salinan Data
Pastikan perusahaan mengetahui lokasi setiap salinan dokumen sebelum memulai penghapusan. Data keuangan mungkin tersimpan di software akuntansi, folder bersama, email, percakapan WhatsApp, laptop karyawan, sistem cadangan (backup), atau layanan pihak ketiga.
Buat daftar lokasi tersebut dan tentukan siapa yang bertanggung jawab menghapus setiap salinan. Jika perusahaan menggunakan vendor payroll atau konsultan yang memproses data atas namanya, periksa juga kewajiban penghapusan dalam perjanjian dan ketentuan yang berlaku.
3. Batasi Akses Selama Masa Penyimpanan
Batasi akses dokumen keuangan berdasarkan tugas dan tanggung jawab setiap karyawan. Staf yang tidak menangani penggajian, misalnya, tidak perlu melihat detail gaji seluruh karyawan.
Perusahaan dapat menggunakan software akuntansi dengan pengaturan hak akses untuk mengurangi penyebaran file dan mempermudah pengendalian data.
Kledo, misalnya, menyediakan pengaturan hak akses pengguna sehingga perusahaan dapat menyesuaikan akses sesuai kebutuhan kerja. Pengaturan ini membantu melindungi data selama masa penyimpanan.
4. Musnahkan Dokumen dengan Metode yang Tepat
Musnahkan semua dokumen agar pihak yang tidak berwenang tidak dapat membaca atau memulihkan data dengan mudah. Misalnya, jika dokumennya berbentuk fisik, gunakan mesin penghancur kertas. Jika berupa file digital, hapus file dari lokasi penyimpanan dan cegah pemulihan data.
5. Dokumentasikan Proses Pemusnahan
Buat berita acara atau catatan pemusnahan untuk membuktikan bahwa perusahaan telah menjalankan prosedur secara bertanggung jawab. Catat jenis dokumen, periode, jumlah atau cakupan data, metode pemusnahan, tanggal pelaksanaan, dan pihak yang bertanggung jawab.
Dokumentasi ini membantu perusahaan menjawab pertanyaan auditor, menelusuri pelaksanaan kebijakan retensi, dan membuktikan bahwa pemusnahan tidak dilakukan secara sembarangan.
Baca Juga: Customer Data Platform (CDP): Pengertian, Cara Kerja, Manfaat, Fitur, dan Implementasinya
Kesimpulan
Menghapus data pribadi dari dokumen keuangan membutuhkan prosedur yang jelas, mulai dari penentuan masa retensi hingga pemusnahan dan dokumentasi.
Perusahaan juga perlu membatasi akses selama data masih disimpan agar informasi sensitif tidak digunakan oleh pihak yang tidak berwenang.
Untuk mendukung proses tersebut, bisnis dapat menggunakan software akuntansi seperti Kledo yang menyediakan pengaturan hak akses pengguna. Dengan mengatur akses sesuai tanggung jawab masing-masing karyawan, perusahaan dapat mengendalikan siapa yang dapat melihat data keuangan dan mengurangi risiko penyebaran informasi sensitif.
Coba Kledo sekarang lewat tautan ini.
*Artikel ini hasil kerjasama AdaptistConsulting dan Kledo
- Kapan Data Pribadi di Dokumen Keuangan Harus Dihapus atau Disamarkan? - 15 Oktober 2026
- Gantikan Skema Delta, DJP Terapkan Skema Replace di Coretax - 13 Oktober 2026
- Siklus Utang Usaha: Tahapan, Jurnal, dan Cara Mengelolanya - 12 Oktober 2026