Webinar Healthcare Data Privacy Web Series IV

 

https://radnet-digital.id/

Manajemen Insiden guna Usaha Mencegah Kegagalan PDP di Sektor Kesehatan 

Pemateri 1 : Eryk Budi Pratama, M.Kom, M.M, CIPM, CIPP/E, FIP

Mengapa Data Pribadi harus dilindungi?

• Rentan terhadap pencurian informasi → Serangan siber
• Dapat merugikan individu pemilik data pribadi
• Data pribadi berisiko disalahgunakan oleh pihak yang tidak berwenang
• Potensi terjadinya tindakan diskriminatif
• Ancaman terhadap keselamatan fisik individu

Dampak Gagalnya Perlindungan Data Pribadi

• Menurunnya kepercayaan dari pasien

• Nama baik perusahaan tercoreng

• Nilai saham mengalami penurunan

• Informasi rahasia perusahaan terekspos

• Terkena hukuman atau denda hukum

• Kerugian dalam bentuk finansial

• Informasi pribadi terbuka ke publik

Risiko di Setiap Tahapan Pengelolaan Data Pribadi

1. Penghapusan (Deletion)

• Data pribadi tetap digunakan meski sudah seharusnya diarsipkan

• Proses penghapusan data tidak dilakukan dengan cara yang aman

• Permintaan penghapusan data dari individu diabaikan

2. Penyajian, Pengumuman, Transfer, Penyebaran, atau Pengungkapan

• Data pribadi diumumkan ke publik tanpa izin

• Pelanggaran aturan saat mentransfer data ke luar negeri

• Data diakses atau diberikan ke pihak yang tidak berwenang

• Proses pengiriman data dilakukan dengan metode yang tidak aman

• Informasi pribadi dibagikan secara berlebihan

3. Koreksi dan Pembaruan

• Tidak ada verifikasi atas permintaan penarikan data

• Perubahan data tidak diverifikasi kebenarannya

• Tidak tersedia akses bagi individu untuk memperbarui datanya

4. Akuisisi dan Pengumpulan

• Tidak memiliki dasar hukum yang sah

• Data yang dikumpulkan melebihi kebutuhan

• Alasan hukum pengumpulan tidak sesuai

• Formulir persetujuan tidak disusun dengan benar

• Tidak tersedia opsi untuk mencabut persetujuan

• Proses pengumpulan tidak dilakukan secara aman

• Tujuan penggunaan data tidak dijelaskan dengan benar

• Tidak ada transparansi mengenai bagaimana data diproses

5. Pemrosesan dan Analisis

• Data digunakan untuk tujuan sekunder yang tidak relevan

• Informasi tidak akurat

• Tidak dilakukan penilaian dampak terhadap perlindungan data (DPIA)

• Pemilik data tidak memiliki mekanisme untuk mengajukan keberatan

• Privasi individu tidak dihormati

• Individu dirugikan akibat proses ini

• Analisis yang dilakukan mengandung kesalahan

• Data digunakan secara tidak semestinya

• Aktivitas pengguna dilacak tanpa izin

6. Penyimpanan (Storage)

• Data disimpan tanpa perlindungan yang memadai

• Risiko pencurian identitas

• Kehilangan data atau penempatan data yang salah

• Perangkat penyimpanan tidak terlindungi

• Informasi login/kredensial diretas

• Terpapar serangan virus atau malware

• Tidak memiliki kebijakan penyimpanan dan penghapusan data (retensi) yang jelas

Sanksi Administratif

Pengendali maupun pemroses data pribadi yang terbukti melakukan pelanggaran administratif terhadap ketentuan perlindungan data pribadi akan dikenakan sanksi administratif.

Jenis Sanksi Administratif:

• Teguran secara tertulis

• Penghentian sementara terhadap kegiatan pemrosesan data

• Penghapusan atau pemusnahan data pribadi yang melanggar

• Pengenaan denda administratif

Kebijakan Pengenaan Sanksi

Pemberian sanksi mempertimbangkan beberapa faktor berikut:

• Tingkat keseriusan serta dampak dari pelanggaran

• Keberlangsungan usaha dari pengendali atau pemroses data

• Tingkat kepatuhan sebelumnya dan riwayat ketaatan terhadap peraturan

• Alasan dan dasar pertimbangan yang objektif dan jelas

Denda Administratif

Jumlah maksimal denda administratif dapat mencapai 2% dari pendapatan tahunan atau penerimaan variabel dari pelanggan.
Faktor yang memengaruhi besaran denda:

• Besarnya dampak negatif akibat pelanggaran

• Lamanya pelanggaran terjadi

• Kategori data pribadi yang terlibat

• Jumlah individu yang terdampak

• Proses ditemukannya pelanggaran

• Tingkat keterbukaan dan kerja sama dalam proses investigasi

• Skala bisnis dari pelaku

• Kemampuan finansial untuk membayar denda

• Kepatuhan pelaku terhadap regulasi

• Faktor relevan lainnya

Prinsip Perlindungan Data Pribadi (PDP): Kewajiban Pelaporan Kegagalan

Jika terjadi kegagalan dalam melindungi data pribadi, wajib dilakukan pelaporan yang mencakup:

• Rincian data yang bocor

• Informasi kontak petugas pelindungan data (DPO/PPDP)

• Dampak dari insiden

• Tindakan penanggulangan yang telah dilakukan

Langkah-Langkah Menangani Kebocoran Data Pribadi

1. Tetap Tenang – Hindari kepanikan dan tangani dengan profesional

2. Identifikasi Waktu – Catat kapan dugaan kebocoran pertama kali diketahui

3. Investigasi – Lakukan penelusuran untuk mengonfirmasi dan menganalisis penyebab kebocoran

4. Mitigasi Dampak – Ambil langkah untuk mengurangi kerugian atau risiko lebih lanjut

5. Pelaporan – Segera laporkan insiden kepada otoritas pengawas perlindungan data

6. Notifikasi – Berikan pemberitahuan kepada individu yang datanya terdampak

Pemberitahuan Kegagalan Perlindungan Data Pribadi

Formulir Laporan Kebocoran Data Pribadi

Rincian Insiden Kebocoran Data Pribadi

• Deskripsi Kejadian: Penjelasan lengkap mengenai insiden kebocoran berdasarkan unsur apa, siapa, kapan, di mana, mengapa, dan bagaimana (5W+1H)

• Jenis Data Pribadi: Kategori data yang terdampak (misalnya data identitas, finansial, kesehatan, dll.)

• Jumlah Subjek Data: Total individu yang datanya terpengaruh

• Jenis Subjek Data: Karakteristik pemilik data, seperti pelanggan, karyawan, mitra bisnis, dll.

• Dampak terhadap Individu: Risiko atau kerugian yang dialami oleh subjek data

• Aspek yang Terpengaruh (CIA):

  • Confidentiality (Kerahasiaan)

  • Integrity (Integritas)

  • Availability (Ketersediaan)

• Dampak terhadap Organisasi: Pengaruh terhadap reputasi, operasional, atau hukum bagi pengendali data

• Estimasi Waktu Pemulihan: Perkiraan durasi pemulihan sistem dan penanganan insiden

• Kesadaran Internal: Tingkat kesiapsiagaan dan pemahaman tim terhadap potensi insiden

• Langkah Pencegahan Sebelumnya: Tindakan pengamanan yang telah diterapkan sebelum insiden terjadi

Upaya Pemulihan dan Komunikasi

• Langkah Perbaikan: Tindakan yang diambil untuk memperbaiki sistem, memperkuat keamanan, dan mencegah kejadian serupa di masa mendatang

• Pemberitahuan: Informasi mengenai proses notifikasi kepada pihak yang terdampak dan/atau otoritas yang berwenang

Informasi tentang Pengendali Data

• Profil Pengendali: Data identitas dan latar belakang dari pihak pengendali data, seperti nama organisasi, jenis usaha, informasi kontak, dan penanggung jawab perlindungan data pribadi

Tanggung Jawab Tenaga Medis Terkait Data Pribadi

• Menyampaikan informasi dan mendapatkan persetujuan dari pasien sebelum melakukan pengumpulan, penggunaan, atau pengungkapan data pribadi mereka.

• Mengumpulkan dan menyimpan data secara terbatas, hanya yang benar-benar diperlukan sesuai prinsip need-to-know.

• Menyiapkan sistem untuk menangani permintaan dari subjek data terkait hak-hak mereka sebagaimana diatur dalam Undang-Undang Perlindungan Data Pribadi, serta memastikan respons diberikan secara tepat waktu.

• Menghapus atau memusnahkan data pribadi dalam bentuk cetak maupun digital setelah melewati masa penyimpanan yang telah ditentukan.

• Menghubungi Petugas Perlindungan Data (DPO) jika ada kebingungan atau ketidakpastian mengenai cara menangani data pribadi.

• Melaporkan kepada tim kepatuhan atau DPO apabila menemukan indikasi kehilangan, penyalahgunaan, atau pelanggaran terhadap informasi pribadi.

Kemungkinan Kegagalan PDP di Rumah Sakit

Pemateri 2 : dr. Tommy P.Sibuea, Sp.PD Ketua Diklat AI PDMI

Mengapa Perlindungan Data Pribadi Pasien Sangat Penting?

• Informasi pasien merupakan aset vital bagi rumah sakit.

• Kewajiban untuk melindungi data pribadi diatur dalam Undang-Undang No. 27 Tahun 2022.

• Gagal melindungi data pribadi dapat menyebabkan kehilangan kepercayaan masyarakat, kerugian keuangan, serta konsekuensi hukum.

Tantangan dalam Pengelolaan Data Pasien

• Banyak potensi kebocoran data di berbagai titik proses.

• Pemahaman staf terhadap keamanan data masih rendah.

• Infrastruktur teknologi informasi belum sepenuhnya aman.

• Ancaman datang baik dari pihak internal maupun eksternal.

Dimana Risiko Kegagalan Perlindungan Bisa Terjadi?

• Insiden kebocoran dapat terjadi di berbagai tahap pengelolaan data.

• Beberapa titik dalam proses memerlukan perhatian khusus sebagai area rawan.

Tahapan Penting dalam Pengelolaan Data Pribadi Pasien

• Legalitas – Pastikan pengolahan data memiliki dasar hukum yang sah.

• Keakuratan – Verifikasi bahwa data yang dicatat benar dan terkini.

• Keamanan – Jaga data dari akses atau intervensi yang tidak sah.

• Pembatasan Akses – Hanya pihak berwenang yang boleh mengakses data.

• Tujuan yang Jelas – Gunakan data sesuai dengan tujuan awal pengumpulan.

• Hak Subjek Data – Hormati hak individu atas data pribadinya.

• Pengamanan Transfer – Lindungi data selama proses pengiriman.

• Retensi Data – Simpan data sesuai durasi yang diperlukan.

• Pemusnahan Data – Hapus data secara permanen jika sudah tidak dibutuhkan.

• Responsif – Tanggap terhadap permintaan akses atau koreksi data.

• Akuntabilitas – Pastikan pertanggungjawaban dalam setiap proses pengelolaan data.

Pelajaran Penting dalam Pengelolaan Data Pribadi

Setiap orang, setiap proses, setiap hari.

• Perlindungan data adalah tanggung jawab kolektif.

• Hal sederhana seperti memperbarui informasi atau memusnahkan perangkat bisa berdampak besar.

• Audit berkala dan pelatihan berkelanjutan adalah kunci pencegahan kebocoran data.

Perlindungan Data = Teknologi + Proses + Disiplin

"Jangan biarkan organisasi kita menjadi korban berikutnya!"