Apa yang diatur UU 27/2022 (PDP) tentang pengendali data pribadi?

Pengendali data pribadi adalah pihak yang menentukan tujuan pemrosesan data pribadi dan mengendalikan pemrosesannya. Klinik atau rumah sakit yang memutuskan data pasien apa yang dikumpulkan dan untuk apa data itu dipakai termasuk pengendali menurut definisi ini. UU 27/2022 mewajibkan pengendali memiliki dasar pemrosesan, menjaga keamanan data, melayani permintaan pasien dalam tenggat 3 x 24 jam. Selain itu, Tetap bertanggung jawab atas pemrosesan oleh vendor.

Siapa yang disebut pengendali data pribadi

Menurut Pasal 1 angka 4, pengendali adalah setiap orang, badan publik, atau organisasi internasional yang menentukan tujuan dan melakukan kendali pemrosesan data pribadi. Setiap orang mencakup perseorangan maupun korporasi, baik berbadan hukum maupun tidak (Pasal 1 angka 7 dan 8). Data dan informasi kesehatan digolongkan sebagai data pribadi yang bersifat spesifik (Pasal 4 ayat (2) huruf a).

Kewajiban pokok pengendali data pribadi

• Dasar pemrosesan yang sah (Pasal 20): Pengendali wajib memiliki dasar pemrosesan data pribadi. Enam dasar yang diakui meliputi persetujuan eksplisit, pemenuhan perjanjian, kewajiban hukum, pelindungan kepentingan vital, tugas kepentingan umum, dan kepentingan yang sah.
• Transparansi persetujuan (Pasal 21 dan 22): Bila memakai dasar persetujuan, pengendali wajib menyampaikan tujuan pemrosesan, jenis data, masa simpan, dan hak subjek data. Bukti persetujuan tertulis atau terekam wajib didokumentasikan (Pasal 24).
• Prinsip pembatasan dan akurasi (Pasal 27–29, 31): Pemrosesan dilakukan secara terbatas, akurat, dan terekam dalam rekam kegiatan pemrosesan data pribadi.
• Penilaian dampak (Pasal 34): Pemrosesan berisiko tinggi terhadap data spesifik kesehatan wajib didahului dengan penilaian dampak pelindungan data pribadi (DPIA).
• Keamanan dan kerahasiaan (Pasal 35–37): Pengendali wajib menjaga keamanan sistem dan mengawasi setiap pihak yang memproses data di bawah kendalinya.

Tenggat respons 3 x 24 jam dan hubungan dengan vendor

Pengendali wajib melayani permohonan hak subjek data. Batas waktunya paling lambat 3 x 24 jam sejak diterima, meliputi perbaikan data (Pasal 30), pemberian akses (Pasal 32), penghentian pemrosesan (Pasal 40 ayat (2)). Selain itu, Penundaan pemrosesan (Pasal 41 ayat (1)). Jika terjadi kegagalan pelindungan data pribadi, pengendali wajib memberi tahu subjek data. Selain itu, Lembaga PDP secara tertulis dalam waktu paling lambat 3 x 24 jam (Pasal 46 ayat (1)).

Vendor sistem informasi atau AI bertindak sebagai prosesor data pribadi (Pasal 1 angka 5). Pemrosesan oleh vendor atas perintah pengendali tetap menjadi tanggung jawab pengendali (Pasal 51 ayat (1) dan (3)). Vendor yang memproses data di luar perintah pengendali bertanggung jawab sendiri atas pemrosesan tersebut (Pasal 51 ayat (6)).

Sanksi administratif dan masa transisi

Pelanggaran kewajiban pengendali dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara, pemusnahan data. Dan/atau denda maksimal 2 persen dari pendapatan tahunan terhadap variabel pelanggaran (Pasal 57 ayat (2) dan (3)). Masa penyesuaian dua tahun sejak 17 Oktober 2022 (Pasal 74) telah berakhir pada 17 Oktober 2024.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 1 angka 4, 5, 7, dan 8. Pasal 4 ayat (2) huruf a. Pasal 20 sampai 22. Pasal 24. Pasal 27 sampai 29. Pasal 31. Pasal 34 sampai 37. Pasal 30, 32, 40, 41, 43, 46. Pasal 51. Pasal 56. Pasal 57 ayat (2) dan (3). serta Pasal 74.