Apa yang diatur Permenkominfo 5/2020 tentang penyelenggara komputasi awan?

Permenkominfo 5/2020 menggolongkan penyelenggara komputasi awan (cloud) sebagai penyelenggara sistem elektronik (PSE) lingkup privat. Karena itu, penyedia layanan awan wajib mendaftar sebelum sistemnya digunakan oleh pengguna di Indonesia. Pasal 12 menetapkan dua kewajiban khusus: menyusun tata kelola informasi elektronik dan menyerahkan data pengguna untuk kepentingan pengawasan serta penegakan hukum. Pasal 42 menambahkan kewajiban pemberian akses kepada aparat penegak hukum dalam situasi darurat tertentu.

Siapa yang disebut penyelenggara komputasi awan

Pasal 1 angka 9 mendefinisikan komputasi awan sebagai penyediaan akses jaringan berdasarkan permintaan ke sumber daya komputasi bersama seperti server, penyimpanan, dan aplikasi. Penyelenggaranya adalah PSE lingkup privat yang menyediakan, mengelola, atau mengoperasikan layanan tersebut (Pasal 1 angka 10).

Sebagai PSE lingkup privat, penyedia komputasi awan wajib mendaftar sebelum layanannya dipakai pengguna (Pasal 2 ayat (1) dan (3)). Formulir pendaftaran wajib memuat lokasi pengelolaan, pemrosesan, dan penyimpanan data (Pasal 3 ayat (4) huruf h). Penyedia asing tetap wajib mendaftar bila memberi layanan atau menawarkan sistemnya di Indonesia (Pasal 4 ayat (1)). Dengan ancaman sanksi pemutusan akses bila tidak mendaftar (Pasal 7 ayat (2)).

Kewajiban khusus dan akses penegakan hukum

• Tata kelola informasi (Pasal 12 ayat (1) dan (2)): Penyedia wajib memiliki tata kelola informasi dan dokumen elektronik. Tata kelola ini minimal mengatur hak dan kewajiban pengguna, hak dan kewajiban operasional penyedia, serta pertanggungjawaban pengguna atas informasi yang disimpan di awan.
• Data pengguna untuk pengawasan (Pasal 12 ayat (3)): Penyedia wajib memberikan informasi. Selain itu, Data elektronik yang dikuasainya tentang pengguna layanan untuk kepentingan pengawasan dan penegakan hukum.
• **Akses darurat aparat (Pasal 42 ayat (1) dan (2)). Penyedia awan wajib memberi aparat penegak hukum akses ke sistem dan/atau data elektronik, namun terbatas pada situasi darurat. Situasi darurat ini meliputi terorisme, pornografi anak, perdagangan orang, kejahatan terorganisasi, atau keadaan yang mengancam nyawa dan menimbulkan cedera fisik.
• **Rekam jejak audit dan sanksi (Pasal 43, 44, dan 46). Penyedia yang menolak memberi akses darurat menurut Pasal 42 atau tidak memiliki rekam jejak audit penggunaan akses dikenai teguran tertulis dan/atau pencabutan tanda daftar PSE.

Hal yang dapat diperiksa klinik dan rumah sakit

• Status pendaftaran PSE: Periksa apakah penyedia komputasi awan tercantum dalam daftar PSE lingkup privat pada laman resmi kementerian (Pasal 6 ayat (2)).
• Ketentuan kontrak layanan: Pastikan syarat layanan mengatur hak dan kewajiban kedua pihak serta pertanggungjawaban atas data yang disimpan (Pasal 12 ayat (2)).
• Penanganan Data Pribadi Spesifik: Periksa prosedur penyedia saat menghadapi permintaan aparat atas data kesehatan yang tergolong Data Pribadi Spesifik (Pasal 1 angka 21. Pasal 36 ayat (4) dan (5)).
• Kesesuaian dengan perubahan aturan: Permenkominfo 5/2020 telah diubah dengan Permenkominfo 10/2021, sehingga pasal yang dikutip perlu dicocokkan dengan perubahan tersebut.

Dasar hukum

• Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat (sebagaimana diubah dengan Permenkominfo 10/2021). Pasal 1 angka 9, 10, dan 21. Pasal 2 ayat (1) dan (3). Pasal 3 ayat (4) huruf h. Pasal 4 ayat (1). Pasal 6 ayat (2). Pasal 7 ayat (2). Pasal 12. Pasal 32 sampai 34. Pasal 36 ayat (4) dan (5). serta Pasal 42 sampai 46.