Rawan Digunakan Untuk Tindak Kejahatan Urgensi Pelindungan Data Kesehatan di Indonesia
“Anda dapat membuat atau mencari perawatan medis, menyalahgunakan obat-obatan, mendapatkan resep dokter, melakukan pemerasan, dan lainnya. Rentang penggunaan data kesehatan juga jauh lebih lama dibandingkan kartu kredit.”
Sudah 2 tahun semenjak 2020 pandemi Covid-19 membayangi masyarakat dunia, termasuk Indonesia. Dalam perang melawan pandemi ini, pemerintah tidak hanya disibukkan dengan bagaimana cara memulihkan perekonomian, tetapi juga bagaimana memastikan pelindungan terhadap kesehatan masyarakat, termasuk dalam hal pelindungan data kesehatan masyarakat itu sendiri.
Sebelum berangkat lebih jauh, perlu dipahami apa yang dimaksud dengan data pribadi. Data pribadi adalah data tentang seseorang, baik yang teridentifikasi, maupun yang dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya. Data pribadi merupakan informasi penting yang dapat membedakan satu orang dengan orang lainnya. Dalam hal data pribadi jatuh ke tangan pihak yang tidak bertanggung jawab, maka pemilik data pribadi berisiko mengalami kerugian besar.
Partner BP Lawyers, Sekar Ayu Primandani, mengatakan bahwa pengetahuan mengenai data pribadi dan tata cara pelindungan adalah hal yang perlu untuk dipahami.
“Kita harus pahami terlebih dahulu mengenai data pribadi, dan mengapa data pribadi ini perlu untuk dilindungi. Data pribadi ini unik dan melekat pada seseorang, jadi berdasarkan data ini orang yang memiliki data tersebut dapat teridentifikasi,” ucap Sekar.
Data pribadi dengan tingkat yang paling berbahaya apabila terjadi pencurian adalah data mengenai kesehatan seseorang. Berdasarkan laporan Trustwave, catatan data kesehatan bernilai lebih dari $250 per catatan di black market, dibandingkan dengan data lain, dimana posisi kedua ditempati oleh kartu pembayaran (kartu debit/kredit) yang hanya bernilai $5,40 per catatan. Chief Privacy and Security Officer dan Founder ClearDATA, Chris Bowen, mengatakan bahwa data kesehatan 50 kali lebih berharga dibandingkan kartu kredit.
“Bukan hanya kartu kredit. Anda dapat membangun seluruh persona manusia berdasarkan catatan kesehatan. Anda dapat membuat atau mencari perawatan medis, menyalahgunakan obat-obatan, mendapatkan resep dokter, melakukan blackmail, dan lainnya. Rentang penggunaan data kesehatan juga jauh lebih lama dibandingkan kartu kredit,” ucap Chris.
Di Indonesia, terdapat 6 paturan yang berkaitan dengan pelindungan data kesehatan, yaitu:
- Undang-Undang No. 36 tahun 2009 tentang Kesehatan;
- Undang-Undang No. 44 tahun 2009 Rumah Sakit;
- Undang-Undang No. 29 tahun 2004 Praktik Kedokteran;
- Undang-Undang No. 18 tahun 2014 Kesehatan Jiwa;
- Undang-Undang No. 36 tahun 2014 Tenaga Kesehatan; dan
- Undang-Undang No. 35 tahun 2009 Narkotika.
Pada Pasal 57 Undang-Undang No. 36 tahun 2009 tentang Kesehatan menyatakan:
- Setiap orang berhak atas rahasia kondisi kesehatan pribadinya yang telah dikemukakan kepada penyelenggara pelayanan kesehatan.
- Ketentuan mengenai hak atas rahasia kondisi kesehatan pribadi sebagaimana dimaksud pada ayat (1) tidak berlaku dalam hal:
- perintah undang-undang;
- perintah pengadilan;
- izin yang bersangkutan;
- kepentingan masyarakat; atau
- kepentingan orang tersebut.
Ketentuan lain mengenai data kesehatan juga menegaskan bagi setiap fasilitas pelayanan kesehatan untuk dapat memastikan adanya pelindungan bagi data kesehatan. Namun, efektivitas aturan yang ada masih belum dapat mengakomodasi kebutuhan pelindungan data pada saat ini, termasuk juga dengan sanksi yang tegas terhadap pengendali data pribadi itu. Hal ini ditunjukan dengan banyaknya kasus kebocoran data kesehatan di Indonesia.
Kasus yang pernah terjadi adalah bocornya 1,3 juta data pribadi pengguna Electronic Health Alert Card (eHAC). Aplikasi eHAC ini digunakan untuk kepentingan pelacakan Covid-19, termasuk juga untuk memenuhi administrasi penerbangan. Selain itu kasus kebocoran data peserta Badan Penyelenggara Jaminan Sosial sebanyak 279 juta dengan kerugian material mencapai Rp 600 triliun. Publik juga dikagetkan dengan bocornya data sertifikat vaksin milik Presiden Indonesia, Joko Widodo. Walaupun terdapat banyak kasus kebocoran data yang terjadi, tetapi sulitnya untuk mengakses keadilan dalam penegakan, termasuk dengan ganti rugi, menjadi salah satu concern yang perlu diselesaikan. Hal ini menjadikan perlu adanya penegakan hukum yang kuat atas pelindungan dari data pribadi tersebut.
Data Pribadi Spesifik
Berdasarkan Rancangan Undang-Undang pelindungan Data Pribadi (RUU PDP), data kesehatan termasuk sebagai data pribadi yang bersifat spesifik. Namun, tidak dijelaskan lebih lanjut mengenai apa perbedaan antara data pribadi umum dan data pribadi spesifik, termasuk dengan penegakan hukum yang dilakukan. Sanksi yang tercantum dalam RUU PDP juga hanya sebatas sanksi administratif semata. Sanksi administratif tersebut dapat berupa:
- Peringatan tertulis;
- Penghentian sementara kegiatan pemrosesan data pribadi;
- Penghapusan atau pemusnahan data pribadi;
- Ganti kerugian; dan/atau
- Denda administratif.
Senior Associate AKSET Law Firm, Noor Prayoga Mokoginta, mengatakan bahwa RUU PDP sudah memisahkan mengenai data pribadi umum dan data pribadi spesifik seperti yang diatur dalam General Data Protection Regulation (GDPR) di Uni Eropa.
“Memang betul RUU PDP ini based on the latest draft yang dipublish telah memisahkan data pribadi umum dan data pribadi spesifikseperti di GDPR. Data-data yang spesifik itu jika diproses dapat berpengaruh secara signifikan kepada pemilik data pribadi,” ucap Yoga.
Yoga juga mengatakan bahwa sudah seharusnya pemrosesan data spesifik mengikuti aturan ketat seperti yang ada pada GDPR. Namun, saat ini RUU PDP belum memberikan perbedaan antara data umum dan data spesifik, termasuk kelanjutan pembahasan dua materi tersebut.
“Pemrosesannya memang sepatutnya memiliki strict regime seperti GDPR, tapi berdasarkan sepengetahuan saya dari RUU PDP ini belum terdapat perbedaan antara data spesifik dan data umum. Setelah perbedaan data spesifik dan data umum juga tidak ada lagi penyebutan data spesifik dan data umum untuk membahas hal itu,” lanjut Yoga.
Melihat hal tersebut, sangat disayangkan karena belum adanya pembahasan lebih lanjut mengenai perbedaan antara kedua data tersebut, termasuk dengan bagaimana konsekuensi yang terjadi jika data-data tersebut mengalami kebocoran. Walaupun demikian, patut dipahami bahwa ketentuan mengenai perbedaan data pribadi yang bersifat umum dengan spesifik nantinya bisa saja diatur dalam peraturan sektoral, seperti data kesehatan yang diatur oleh kementerian yang berwenang di bidang kesehatan.
Sejauh ini yang perlu diketahui adalah RUU PDP tidak “menutup mata” atas adanya perbedaan data pribadi yang bersifat umum dengan spesifik, tetapi pengaturan yang jauh lebih rinci besar kemungkinan akan diserahkan kepada peraturan turunannya. Saat ini, best practice yang dapat dijalankan oleh pelaku industri dan sektor usaha lain yang bersinggungan atau melakukan pengendalian atas data pribadi adalah dengan mengikuti standar yang berlaku berdasarkan peraturan perundang-undangan yang ada. Jika pengendali data memilih untuk memastikan pelindungan dengan standar yang lebih baik, maka dapat mengikuti panduan dan arahan yang ada berdasarkan GDPR.
Dengan mengikuti GDPR, pengendali data pribadi telah menjalankan kewajibannya dalam melakukan pelindungan data, salah satunya adalah data kesehatan. Standar dalam GDPR akan memastikan pengendali data pribadi selangkah lebih baik dibandingkan pihak-pihak lain yang hanya tunduk pada aturan perundang-undangan. Kedepannya, pengendali data pribadi tidak akan bersusah payah untuk melakukan adaptasi dan mengganti sistem pelindungan data yang ada jika pemerintah mengeluarkan aturan terbaru karena sebelumnya sudah menjalankan kewajiban berdasarkan aturan yang jauh lebih komprehensif.
FDW
