Rumah sakit itu pengendali atau prosesor data pribadi, dan apa peran vendornya?

Rumah sakit adalah pengendali data pribadi. Menurut PP 28/2024, setiap penyelenggara sistem informasi kesehatan, termasuk fasilitas pelayanan kesehatan, adalah pengendali data pribadi (Pasal 946 ayat (1) huruf c dan Pasal 962). Vendor umumnya berperan sebagai prosesor selama memproses data atas nama rumah sakit (UU PDP Pasal 1 angka 5). Vendor yang menyelenggarakan sistem informasi kesehatannya sendiri juga dapat menjadi pengendali (PP 28/2024 Pasal 946 ayat (1) huruf d. Selain itu, Ayat (6) huruf c, serta Pasal 962). Karena itu, peran vendor perlu dinilai per kasus.

UU PDP sendiri tidak mengatur siapa "pemilik" data. Pasien adalah Subjek Data Pribadi (Pasal 1 angka 6), bukan pengendali. Untuk rekam medis, dokumennya merupakan milik fasilitas pelayanan kesehatan (PP 28/2024 Pasal 784 ayat (1)), sedangkan peran dalam pemrosesan data diatur UU PDP. PP 28/2024 sendiri menyebut orang yang datanya diproses sebagai "pemilik data" (Pasal 963).

Data kesehatan termasuk data pribadi yang bersifat spesifik (Pasal 4 ayat (2) huruf a). Pemrosesannya tergolong berpotensi risiko tinggi, sehingga rumah sakit wajib melakukan penilaian dampak pelindungan data pribadi (Pasal 34 ayat (1) dan ayat (2) huruf b).

Untuk transfer data ke luar negeri. Rumah sakit wajib memastikan negara tempat kedudukan penerima memiliki tingkat pelindungan yang setara dengan atau lebih tinggi daripada UU PDP. Bila syarat itu tidak terpenuhi, rumah sakit wajib memastikan ada pelindungan yang memadai dan mengikat. Bila keduanya tidak terpenuhi, rumah sakit wajib mendapat persetujuan pasien (UU PDP Pasal 56 ayat (2) sampai ayat (4)). Untuk data kesehatan, PP 28/2024 Pasal 972 menambah syarat: transfer dilakukan untuk tujuan spesifik. Selain itu, Terbatas menurut ayat (2), mendapat izin Menteri, dan memenuhi syarat transfer UU PDP di atas (ayat (3)). PP 28/2024 mewajibkan penyelenggara sistem informasi kesehatan menyimpan data kesehatan pada pusat data di wilayah Indonesia (Pasal 966 ayat (1) dan (2)).

Menurut UU PDP Pasal 51, prosesor memproses berdasarkan perintah pengendali, tetapi pemrosesan itu tetap menjadi tanggung jawab pengendali (ayat (1) dan (3)). Sebelum melibatkan prosesor lain, vendor wajib mendapat persetujuan tertulis dari rumah sakit (ayat (4) dan (5)). Bila vendor memproses di luar perintah dan tujuan yang ditetapkan rumah sakit, pemrosesan itu menjadi tanggung jawab vendor (ayat (6)). Kewajiban akurasi, perekaman, keamanan, kerahasiaan, dan pengawasan juga mengikat prosesor (Pasal 52, merujuk Pasal 29, Pasal 31, dan Pasal 35 sampai 39).

Rumah sakit wajib mengawasi setiap pihak yang terlibat dalam pemrosesan di bawah kendalinya (Pasal 37). Pihak tersebut juga wajib Bertanggung jawab atas pemrosesan serta menunjukkan pertanggungjawabannya (Pasal 47). Bila terjadi kegagalan pelindungan data, rumah sakit wajib memberi tahu pasien. Selain itu, Lembaga pelaksana pelindungan data pribadi secara tertulis paling lambat 3 x 24 jam (Pasal 46 ayat (1)).

Pelanggaran sejumlah kewajiban UU PDP, baik oleh rumah sakit maupun vendor, dapat dikenai sanksi administratif (Pasal 57 ayat (1). Antara lain untuk Pasal 34 ayat (1), 37, 46 ayat (1), 47, 51 ayat (1) dan (5), serta 52). Sanksinya dapat berupa denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (2) huruf d dan ayat (3)).