PTA dibuat dibuat sebelum Pengendali Data akan melaksanakan proyek atau menerapkan kebijakan baru yang melibatkan pengolahan Data Pribadi dari Subjek Data.

·         Deskripsi dari proyek atau kebijakan baru atau modifikasi

·         Tujuan pengolahan data

·         Jenis Data Pribadi yang dikumpulkan

·         Risiko terhadap privasi

·         Tindakan mitigasi risiko

·         Pihak yang terlibat dalam pengolahan

·         Evaluasi dampak

Contoh Kalimat:

“PTA ini mengidentifikasi risiko terhadap privasi yang terkait penambahan fitur baru pada aplikasi Sehat Bersama dan menetapkan langkah-langkah mitigasi, termasuk enkripsi data dan pembatasan akses.”

(Pasal 34 UU PDP)

DPIA dibuat apabila hasil dari PTA menyatakan bahwa diperlukan adanya DPIA sebelum organisasi atau perusahaan meluncurkan sistem, program atau rencana bisnis baru atau melakukan penyesuaian tertentu yang didalamnya mencakup pemrosesan pribadi yang sifatnya sensitif dan/atau massif, seperti misalnya:  

·     pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data,

·     pemrosesan atas Data Pribadi yang bersifat spesifik,

·     pemrosesan Data Pribadi dalam skala besar;

·     pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data;

·     pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data,

·     penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/ atau

·     pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data.

·     Deskripsi pengolahan data

·     Tujuan pengolahan data

·     Jenis data dikumpulkan

·     Risiko terhadap privasi

·     Tindakan pengurangan risiko

·     Evaluasi kepatuhan terhadap Prinsip Pelindungan Data Pribadi dan peraturan perundang-undangan terkait.

Contoh Kalimat:

“DPIA ini mengidentifikasi risiko pengolahan data pasien sehubungan dengan penambahana fitur ‘Gabung Uji Klinis’ dalam aplikasi Sehat Bersama yang didalamnya mengharuskan penginputan data rekam medis subjek data dan menyarankan penggunaan kontrol akses ketat serta audit untuk memitigasi risiko kebocoran data”

Privacy Policy wajib dibuat sebelum pengumpulan data pribadi dimulai dan harus diperbarui secara berkala jika ada perubahan dalam cara data diproses atau peraturan yang berlaku.

·     Tujuan pengolahan data

·     Jenis data dikumpulkan

·     Pihak yang memproses data

·     Hak Subjek data

·     Keamanan Data

·     Pengungkapan kepada Pihak Ketiga

·     Masa Retensi

Contoh Kalimat:

“Pengumpulan data kesehatan dari calon pasien harus dilakukan sesuai ketentuan Pengumpulan dan Pemrosesan Data Pribadi sebagaiman diatur dalam Kebijakan Data Privasi ini”

(Pasal 15 UU PDP)

Privacy Notice harus disampaikan kepada pasien pada saat pertama kali data pribadi mereka dikumpulkan.

·     Tujuan pengolahan data

·     Jenis data dikumpulkan

·     Hak-hak Subjek Data

·     Penyimpanan dan keamanan data

·     Penyebaran ke Pihak Ketiga

·     Kontak terkait pernyataan dan keluhan

Contoh Kalimat:

“Kami mengumpulkan informasi pribadi Anda hanya untuk tujuan  pengobatan dan administrasi rumah sakit. Data Anda akan disimpan dalam sistem yang aman dan hanya dapat diakses oleh staf yang berwenang.”

(Pasal 22 UU PDP)

Perusahaan atau organisasi harus memperoleh Consent Forms tersebut sebelum pengolahan data pribadi dilakukan, misalnya, sebelum melakukan pemeriksaan medis atau mengakses data medis pasien.

·     Pernyataan persetujuan

·     Jenis data dikumpulkan

·     Tujuan pengolahan data

·     Hak untuk menarik persetujuan

·     Durasi persetujuan

·     Pernyataan kerahasiaan dan keamanan

Contoh Kalimat:

“Dengan ini saya memberikan persetujuan kepada rumah sakit untuk mengumpulkan, mengolah, dan menyimpan data medis saya untuk tujuan pengobatan dan perawatan kesehatan yang diperlukan.”

(Pasal 31 UU PDP)

Waktu Pembuatan:

ROPA harus dibuat segera setelah pengolahan data pribadi dimulai dan harus diperbarui secara berkala, setiap ada perubahan dalam proses pengolahan data.

·     Tujuan pengolahan data pribadi

·     Deskripsi jenis data pribadi yang diproses

·     Pihak yang dapat mengakses data pribadi

·     Jangka waktu penyimpanan data pribadi

·     Tindakan keamanan yang diterapkan

·     Pengungkapan kepada pihak ketiga

·     Prosedur penanganan pelanggaran data

·     Penyimpanan data yang aman

·     Hak Subjek Data

·     Deskripsi Jenis Data Pribadi

·     Deskripsi Proses Pengolahan Data

·     Tujuan Pengolahan Data

·     Jenis Data yang Diproses

·     Pihak yang terlibat dalam pengolahan

·     Periode penyimpanan data

·     Pengamanan data

Contoh Kalimat:

“ROPA ini mencatat pengolahan data medis pasien dalam sistem rekam medis elektronik, yang mencakup tujuan pengobatan dan administrasi rumah sakit, serta siapa yang memiliki akses ke data tersebut.”

(Pasal 6 jo. 32 UU PDP)

DSAR dapat diajukan kapan saja oleh Subjek Data, tetapi perusahaan/organisasi harus memiliki prosedur yang sudah siap sejak data pribadi pasien dikumpulkan, agar bisa dengan cepat menangani permintaan akses, koreksi, atau penghapusan data.

Kebijakan DSAR harus mengikuti ketentuan dalam Privacy Policy dan sebelumnya telah disampaikan kepada Subjek Data dalam Policy Notice.

·     Informasi identitas Subjek Data

·     Deskripsi permintaan

·     Periode data diminta

·     Bukti identitas

·     Pernyataan dan persetujuan

·     Tanda tangan Subjek Data

·     Tanggal Permintaan

Contoh Kalimat:

“Saya mengajukan permintaan untuk mengakses data pribadi saya yang disimpan dalam sistem rumah sakit, termasuk riwayat medis saya, serta meminta koreksi atas informasi yang tidak akurat.”