Izin dan Larangan Terkait Data Pribadi di Rumah Sakit

Pertama, setiap Orang dilarang secara melawan hukum memperoleh atau mengumpulkan Data Pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian Subjek Data Pribadi (Pasal 65 ayat (1) UU PDP).

Kedua, setiap Orang dilarang secara melawan hukum mengungkapkan Data Pribadi yang bukan miliknya (Pasal 65 ayat (2) UU PDP).

Selanjutnya setiap Orang dilarang secara melawan hukum menggunakan Data Pribadi yang bukan miliknya (pada Pasal 65 ayat (3).

Ketiga, setiap Orang dilarang membuat Data Pribadi palsu atau memalsukan Data Pribadi dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian bagi orang lain (Pasal 66 UU PDP).

Sanksi

Hal yang perlu diwaspadai oleh RS dan layanan kesehatan, yakni UU PDP akan mengenakan sanksi baik pidana maupun administratif di samping terbukanya gugatan perdata.

Sanksi administratif dapat dikenakan bagi pengendali data yang melanggar UU PDP antara lain berupa denda administratif sebesar maksimal 2 persen dari penghasilan tahunan sesuai dengan variabel di samping sanksi administratif lainnya (Pasal 57 ayat (3) UU PDP).

Strategi

Agar data pribadi dapat digunakan dan terlindungi dengan baik, dan RS serta layanan kesehatan terhindar dari risiko hukum, maka harus memiliki ekosistem pemrosesan data pribadi andal.

Ukuran andal selain adanya dukungan teknologi, dukungan manajemen, kepatuhan atas regulasi, juga terpenuhinya standardisasi.

Standardisasi adalah unsur penting dan strategis. Sebagaimana telah saya tulis pada kolom Kompas.com dengan judul "Standardisasi dan Bukti Kepatuhan Hukum Pelindungan Data Pribadi".

Standar berbasis lembaga sertifikasi terpercaya, tidak hanya menciptakan tata kelola data yang baik dan good corporate governance, tetapi juga memberikan keyakinan yang baik bagi pasien, dokter, paramedis, dan pengelola.

Standar juga memberikan reputasi yang baik dan sekaligus bukti kepatuhan regulasi jika suatu ketika RS atau layanan Kesehatan terlilit kasus.

Di samping itu, RS yang memenuhi pasal 53 dan 54 UU PDP wajib memiliki Pejabat Petugas Pelindung Data Pribadi atau yang dikenal sebagai Data Protection Officer (DPO).

Di samping itu juga perlu menata dan melengkapi Chief Data Officer (CDO) eksistingnya dengan menambah fungsi Chief Privacy Officer (CPO).

RS juga perlu meninjau semua kebijakan privasi eksisting, unit organisasi pengelola, peraturan perusahaan, dan tata kelola data pribadi untuk disesuaikan dengan prinsip-prinsip dan materi muatan UU PDP.