Kapan PSE Lingkup Privat wajib melakukan pendaftaran menurut PP 71/2019?

Menurut Pasal 6 ayat (1) dan (2) PP 71/2019, pendaftaran PSE wajib dilakukan sebelum sistem elektronik mulai digunakan oleh pengguna.

Apakah aturan umum lokasi data di Pasal 21 PP 71/2019 meniadakan aturan khusus sektor kesehatan?

Tidak. Pasal 21 PP 71/2019 mengatur ketentuan umum bagi PSE lingkup privat. Sementara itu, Fasilitas pelayanan kesehatan tetap wajib mematuhi aturan penyimpanan data kesehatan sektoral di PP 28/2024 dan Permenkes 24/2022.

Apa yang diatur PP 71/2019 tentang penyelenggara sistem elektronik lingkup privat?

Q: Apa saja sanksi administratif bagi PSE yang melanggar kewajiban pendaftaran atau keamanan data di PP 71/2019?

Menurut Pasal 100 ayat (1). Selain itu, (2) PP 71/2019, sanksi administratif berupa teguran tertulis, denda administratif, penghentian sementara, pemutusan akses, dan/atau dikeluarkan dari tanda daftar PSE.

PP 71/2019 mengatur kriteria Penyelenggara Sistem Elektronik (PSE) Lingkup Privat, mewajibkan pendaftaran sebelum sistem digunakan pengguna. Selain itu, Membebankan kewajiban keandalan, keamanan, rekam jejak audit, uji kelaikan, dan pelindungan data pribadi.

PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mengatur pihak swasta yang menjalankan sistem elektronik, yang disebut penyelenggara sistem elektronik (PSE) lingkup privat. PP ini menentukan siapa yang termasuk PSE lingkup privat, mewajibkan pendaftaran sebelum sistem dipakai, serta membebankan kewajiban atas keandalan, keamanan, dan pelindungan data pribadi.

Siapa yang termasuk

Pasal 1 angka 6 mendefinisikan PSE Lingkup Privat sebagai penyelenggaraan sistem elektronik oleh orang, badan usaha, dan masyarakat. Pasal 2 ayat (5) merincinya dalam dua kelompok. Kelompok pertama adalah PSE yang diatur atau diawasi kementerian atau lembaga. Kelompok kedua adalah PSE yang memiliki portal, situs, atau aplikasi daring untuk kegiatan seperti perdagangan barang atau jasa, layanan transaksi keuangan. Selain itu, Pemrosesan data pribadi untuk melayani masyarakat terkait transaksi elektronik. Penjelasan pasal itu menyebutkan bahwa yang dimaksud adalah sistem yang dipakai dan/atau ditawarkan di wilayah Indonesia.

Portal pendaftaran daring milik klinik yang memproses data pasien dapat termasuk kelompok kedua. PP ini tidak menyebut fasilitas kesehatan secara khusus, sehingga aturan sektor kesehatan tetap perlu diperiksa berdampingan.

Kewajiban mendaftar

Pasal 6 ayat (1) dan (2) mewajibkan PSE mendaftar sebelum sistemnya dipakai pengguna. Pendaftaran diajukan kepada Menteri yang membidangi komunikasi dan informatika melalui perizinan berusaha terintegrasi secara elektronik (ayat (3)). Permenkominfo 5/2020 merinci formulirnya, antara lain data pribadi yang diproses serta lokasi pengelolaan, pemrosesan, dan penyimpanan (Pasal 3 ayat (4) huruf g dan h). Peraturan itu juga memasukkan data dan informasi kesehatan ke dalam Data Pribadi Spesifik (Pasal 1 angka 21).

Kewajiban selama sistem berjalan

Sistem harus andal dan aman, serta PSE bertanggung jawab atas pengoperasiannya (Pasal 3 ayat (1)). Persyaratan minimumnya antara lain mampu menampilkan kembali informasi sesuai masa retensi dan menjaga kerahasiaannya (Pasal 4).
Pemrosesan data pribadi wajib mengikuti prinsip pelindungan data pribadi (Pasal 14 ayat (1)). Jika pelindungannya gagal, pemilik data wajib diberi tahu secara tertulis (Pasal 14 ayat (5)). UU 27/2022 Pasal 46 mengatur pemberitahuan tertulis ini paling lambat 3 x 24 jam kepada subjek data dan lembaga pelindungan data pribadi.
PSE wajib menyediakan rekam jejak audit (Pasal 22 ayat (1)) dan melakukan uji kelaikan sistem (Pasal 34 ayat (1)).
Bila terjadi gangguan serius akibat perbuatan pihak lain, PSE wajib mengamankan informasi elektroniknya. Selain itu, Segera melapor kepada aparat penegak hukum serta kementerian atau lembaga terkait (Pasal 24 ayat (3)).
Informasi yang tidak relevan wajib dihapus atas permintaan orang yang bersangkutan (Pasal 15 ayat (1)), kecuali wajib disimpan menurut peraturan (Pasal 16 ayat (2)).

Lokasi data, pengawasan, dan sanksi

Pasal 21 ayat (1) membolehkan PSE lingkup privat mengelola, memproses, dan menyimpan sistem serta data elektronik di dalam dan/atau di luar wilayah Indonesia. Jika di luar negeri, PSE wajib memastikan pengawasan dan penegakan hukum tetap efektif (ayat (2)). Di mana pun datanya disimpan, PSE wajib memberi akses ke sistem dan data untuk pengawasan dan penegakan hukum (ayat (3)). Sementara itu, kewajiban penempatan di Indonesia dalam PP 71/2019 dibebankan kepada PSE lingkup publik (Pasal 20 ayat (2)). Untuk data kesehatan, aturan sektoral di PP 28/2024 dan Permenkes 24/2022 mengatur syarat lokasi penyimpanan tersendiri yang wajib diperiksa terpisah.

Pelanggaran atas Pasal 6 ayat (1), Pasal 14 ayat (1) dan (5), serta Pasal 21 ayat (2). Selain itu, (3) dikenai sanksi administratif berupa teguran tertulis, denda administratif, penghentian sementara, pemutusan akses, dan/atau dikeluarkan dari daftar (Pasal 100 ayat (1) dan (2)). Klinik yang mendaftar sebagai PSE perlu melaporkan lokasi pengelolaan, pemrosesan, dan penyimpanan datanya sesuai dokumen tata kelola vendor di Trust Center.

Dasar hukum

PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik: Pasal 1 angka 6. Selain itu, 39, Pasal 2 ayat (5), Pasal 3, 4, 6, 14, 15. 16 ayat (2), 20, 21, 22, 24 ayat (3), 34, 35, dan 100.
Permenkominfo 5/2020: Pasal 1 angka 21 dan Pasal 3 ayat (4).
UU 27/2022 tentang Pelindungan Data Pribadi: Pasal 46 ayat (1).