Kalau Data Pasien Bocor, Berapa Lama Waktu untuk Memberi Tahu?

Paling lambat 3 x 24 jam (72 jam). Pemberitahuan tersebut harus tertulis dan ditujukan kepada pasien yang datanya terdampak serta kepada lembaga pelaksana pelindungan data pribadi (Lembaga PDP). Kewajiban ini diatur dalam Pasal 46 ayat (1) UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP). Selain itu, Dibebankan kepada Pengendali Data Pribadi, yang dalam praktiknya adalah pihak klinik atau rumah sakit.

Siapa yang wajib memberi tahu dan cakupan kegagalan data

Kewajiban ini jatuh kepada Pengendali Data Pribadi yang menentukan tujuan dan mengendalikan pemrosesan data (Pasal 1 angka 4). Data kesehatan tergolong Data Pribadi Spesifik (Pasal 4 ayat (2) huruf a).

Vendor penyedia aplikasi atau komputasi awan bertindak sebagai Prosesor Data Pribadi. Pemrosesan data oleh vendor atas perintah fasilitas kesehatan tetap menjadi tanggung jawab fasilitas selaku pengendali (Pasal 51 ayat (3)). Pasal 52 tidak membebankan kewajiban lapor Pasal 46 kepada prosesor. Karena itu, fasilitas kesehatan wajib memberi tahu pasien dan Lembaga PDP, sedangkan perjanjian kerja sama harus mewajibkan vendor segera melapor ke fasilitas bila insiden terjadi.

Menurut Penjelasan Pasal 46 ayat (1), "kegagalan Pelindungan Data Pribadi" mencakup kegagalan menjaga kerahasiaan, keutuhan, atau ketersediaan data, baik disengaja maupun tidak. Kegagalan ini meliputi kehilangan, perusakan, perubahan, pengungkapan, atau akses tidak sah, sehingga cakupannya jauh lebih luas daripada sekadar peretasan (hacking).

Tiga muatan minimal pemberitahuan (Pasal 46 ayat (2))

Pasal 46 ayat (2) mewajibkan pemberitahuan tertulis paling sedikit memuat:

1. data pribadi apa saja yang terungkap;

2. kapan dan bagaimana data pribadi tersebut terungkap. serta

3. upaya penanganan dan pemulihan atas terungkapnya data oleh pengendali.

Dalam hal tertentu, pengendali juga wajib mengumumkan kebocoran data kepada masyarakat umum (Pasal 46 ayat (3)), seperti saat insiden mengganggu pelayanan publik atau berdampak luas. Pasal 50 mengecualikan kewajiban pemberitahuan kepada subjek data hanya untuk kepentingan penyelenggaraan negara tertentu seperti pertahanan nasional dan penegakan hukum.

Ketentuan sektor kesehatan dan konsekuensi hukum

UU 17/2023 Pasal 351 ayat (5) mewajibkan penyelenggara sistem informasi kesehatan memberi tahu pemilik data bila terjadi kegagalan pelindungan data kesehatan individu. PP 28/2024 Pasal 791 ayat (1) dan Pasal 792 ayat (1) juga mengharuskan fasilitas kesehatan menerapkan sistem manajemen keamanan informasi. Selain itu, Merespons insiden siber secara cepat.

Pelanggaran Pasal 46 dikenai sanksi administratif berupa peringatan tertulis hingga denda maksimal 2 persen pendapatan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (2) dan (3)). Pasien juga berhak menggugat ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya (Pasal 12 ayat (1)). Masa penyesuaian dua tahun (Pasal 74) telah berakhir pada Oktober 2024.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 1 angka 4. Pasal 4 ayat (2) huruf a. Pasal 12 ayat (1). Pasal 46 beserta Penjelasannya. Pasal 50. Pasal 51 ayat (3) dan (6). Pasal 52. Pasal 57. Pasal 58. dan Pasal 74.
• Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 351 ayat (5).
• Peraturan Pemerintah Nomor 28 Tahun 2024 tentang Peraturan Pelaksanaan Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 791 ayat (1) dan Pasal 792 ayat (1).