Sejak 1 Juli 2026, membeli dan mengaktifkan kartu SIM prabayar baru di Indonesia tidak lagi cukup dengan mengetik Nomor Induk Kependudukan (NIK) dan nomor Kartu Keluarga (KK). Kini setiap pelanggan baru wajib melewati verifikasi biometrik berupa pemindaian wajah (face recognition) yang dicocokkan langsung dengan basis data kependudukan. Aturan ini kembali ditegaskan oleh Menteri Komunikasi dan Digital Meutya Hafid dalam OJK Banking Forum 2026 di Jakarta pada Selasa, 14 Juli 2026, saat ia mengungkapkan bahwa sepanjang Januari hingga Juli 2026 sudah 6,8 juta warga melakukan registrasi biometrik.
Bagi kita di industri teknologi dan keamanan siber, perubahan ini bukan sekadar urusan konsumen membeli nomor baru. Ini adalah pergeseran fundamental dalam tata kelola identitas digital nasional yang berdampak langsung pada perusahaan, khususnya dalam hal kepatuhan (compliance) dan perlindungan data.
Apa yang Sebenarnya Berubah?
Landasan hukumnya adalah Peraturan Menteri Komunikasi dan Digital Nomor 7 Tahun 2026 tentang Registrasi Pelanggan Jasa Telekomunikasi Melalui Jaringan Bergerak Seluler, yang mulai berlaku 19 Januari 2026 dengan masa transisi enam bulan. Aturan ini mencabut ketentuan registrasi lama dan menempatkan validitas identitas berbasis biometrik sebagai dasar aktivasi nomor.
Penting dicatat: pemerintah menegaskan operator seluler tidak menyimpan data biometrik pelanggan. Dalam forum 14 Juli, Meutya Hafid menyatakan seluruh data "harus melalui cross-checking dengan Dukcapil dan tidak boleh sama sekali melakukan penyimpanan data pelanggan" — operator hanya menerima hasil "cocok/tidak cocok". Regulasi juga mewajibkan operator memenuhi standar keamanan informasi ISO 27001 dan standar deteksi serangan (liveness detection) ISO/IEC 30107-3 untuk teknologi pengenalan wajah, guna mencegah pemalsuan dengan foto atau deepfake.
Mengapa Pemerintah Menempuh Jalan Ini?
Alasannya berakar pada masalah lama: kebocoran data. Dalam forum yang sama, Meutya Hafid menyatakan kebocoran data besar, termasuk dari sektor perbankan, sudah terjadi 5–10 tahun lalu, dan data itu "tidak serta-merta hilang" — masih dipakai pelaku untuk mendaftarkan kartu SIM dengan NIK milik orang lain, lalu digunakan untuk penipuan, spam, dan judi online. Data OJK melalui Indonesia Anti-Scam Center (IASC) yang dikutip Komdigi mencatat 548.093 laporan penipuan hingga April 2026 dengan potensi kerugian menembus Rp9,5 triliun. Dengan mengunci setiap nomor pada wajah pemilik sahnya, pemerintah berharap memutus anonimitas palsu di titik pendaftaran.
Data awal menunjukkan sistem mulai berjalan. Direktur Pengendalian Ekosistem Digital Komdigi, Dany Suwardany, pada 7 Juli 2026 menyebut tingkat keberhasilan (success rate) registrasi biometrik mencapai 83 persen; sisanya 17 persen gagal, sebagian besar justru karena upaya seseorang mendaftar menggunakan wajah yang bukan pemilik NIK — persis skenario penyalahgunaan yang ingin dicegah.
Sisi yang Wajib Dipahami Perusahaan
Di sinilah relevansi untuk bisnis. Berdasarkan aturan baru, nomor seluler yang digunakan pegawai suatu badan hukum wajib diregistrasikan menggunakan identitas masing-masing individu, bukan atas nama perusahaan secara kolektif. Sementara itu, nomor untuk keperluan Machine-to-Machine (M2M), Internet of Things (IoT), dan layanan korporat diregistrasikan menggunakan identitas penanggung jawab badan usaha, dan wajib dilakukan di gerai resmi operator. Batas kepemilikan tiga nomor per identitas per operator dikecualikan untuk kebutuhan M2M, IoT, dan keperluan tertentu badan hukum — kabar baik bagi perusahaan yang mengoperasikan armada perangkat IoT.
Bagi bisnis yang mengandalkan banyak kartu SIM untuk sensor, kendaraan, mesin EDC, atau perangkat lapangan, ini berarti proses onboarding dan tata kelola aset SIM perlu ditinjau ulang agar sesuai ketentuan.
Risiko dan Kritik yang Perlu Jujur Disampaikan
Kebijakan ini tidak tanpa perdebatan. Data biometrik dikategorikan sebagai data pribadi bersifat spesifik dalam UU No. 27/2022 tentang Perlindungan Data Pribadi (UU PDP), sehingga menuntut perlindungan lebih ketat. Wahyudi Djafar dari Raksha Initiatives mengingatkan bahwa berbeda dari kata sandi, wajah tidak bisa diganti — jika data biometrik bocor atau diambil alih, subjek data kehilangan kontrol seumur hidup.
Pakar keamanan siber Pratama Persadha (Chairman CISSReC) menilai biometrik memang faktor autentikasi yang jauh lebih kuat daripada NIK/KK yang sudah banyak beredar. Namun ia menegaskan keberhasilannya bergantung pada tata kelola data: prinsip privacy by design, enkripsi kuat saat transit maupun disimpan, pembatasan akses (least privilege), autentikasi multifaktor bagi administrator, audit keamanan berkala, serta liveness detection. Ada pula isu biaya: Asosiasi Telekomunikasi Seluler Indonesia (ATSI) menyoroti tarif verifikasi yang ditanggung operator dan mengusulkan diturunkan. Kelompok rentan seperti lansia dan masyarakat di daerah 3T juga berpotensi menghadapi kegagalan verifikasi karena kualitas foto e-KTP lama.
Apa yang Bisa Dilakukan Bisnis Anda
- Inventarisasi seluruh kartu SIM perusahaan, terutama untuk M2M/IoT, dan pastikan registrasinya sesuai aturan baru.
- Tetapkan penanggung jawab (PIC) yang jelas untuk registrasi nomor korporat.
- Jika perusahaan Anda mengelola data biometrik pelanggan (misalnya fintech dengan proses KYC), terapkan enkripsi kuat, liveness detection sesuai ISO/IEC 30107-3, dan lakukan Data Protection Impact Assessment (DPIA) sesuai UU PDP.
- Terapkan prinsip least privilege dan MFA untuk akses ke basis data sensitif.
- Lakukan audit keamanan dan penetration testing berkala.
- Edukasi karyawan bahwa nomor pribadi mereka kini terikat identitas biometrik — waspadai penyalahgunaan NIK dan laporkan nomor mencurigakan ke operator.
Registrasi SIM biometrik adalah langkah maju untuk membersihkan ekosistem digital dari nomor anonim. Namun keamanannya hanya sekuat tata kelola data di baliknya. Di sinilah Siberindo dapat membantu bisnis Indonesia — mulai dari pengembangan perangkat lunak dan infrastruktur TI yang aman, analitik berbasis AI, big data, hingga solusi IoT dan keamanan siber yang dirancang dengan prinsip privacy by design. Membangun kepercayaan digital dimulai dari melindungi aset yang paling tidak tergantikan: identitas itu sendiri.
