Keamanan Data Pasien di Rumah Sakit: Kewajiban Hukum dan Praktik Terbaik

Data pasien termasuk data yang paling sensitif: diagnosis, riwayat penyakit, hasil laboratorium, hingga identitas. Kebocoran data ini merugikan pasien secara langsung dan dapat membawa konsekuensi hukum bagi rumah sakit.

Artikel ini merangkum kewajiban hukum utama yang berkaitan dengan keamanan data pasien di Indonesia, membedakannya dari praktik terbaik yang sebaiknya diterapkan, dan memberi langkah pengamanan yang praktis. Artikel ini bukan nasihat hukum, jadi konsultasikan penerapannya dengan tim legal Anda.

Baca Juga: Rekam Medis Elektronik: Manfaat dan Fitur Pentingnya bagi Rumah Sakit

Undang-Undang Pelindungan Data Pribadi (UU PDP)

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menggolongkan data dan informasi kesehatan sebagai data pribadi yang bersifat spesifik (Pasal 4). Beberapa kewajiban pengendali data pribadi yang relevan bagi rumah sakit:

• Pasal 35: melindungi dan memastikan keamanan data pribadi melalui langkah teknis operasional dengan tingkat keamanan yang disesuaikan dengan risiko data.
• Pasal 39: mencegah akses tidak sah dengan sistem elektronik yang andal, aman, dan bertanggung jawab.
• Pasal 34: melakukan penilaian dampak pelindungan data pribadi (DPIA) untuk pemrosesan berisiko tinggi, termasuk pemrosesan data spesifik.
• Pasal 46: memberitahukan kegagalan pelindungan data secara tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga terkait, memuat data apa yang terungkap, kapan dan bagaimana, serta upaya penanganan dan pemulihannya.

Pasal 53 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi untuk pemrosesan tertentu, termasuk layanan publik dan pemrosesan data spesifik dalam skala besar. Rumah sakit besar kemungkinan termasuk kategori ini, tetapi hal itu adalah interpretasi kami, jadi konfirmasikan kepada penasihat hukum Anda.

Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda administratif paling tinggi 2 persen dari pendapatan tahunan. Selain itu, pemberitaan menyebut peraturan pemerintah pelaksana UU PDP telah diterbitkan pada pertengahan 2026 dan badan pengawas PDP masih dalam proses pembentukan. Cek status terbarunya sebelum menyusun kebijakan.

Permenkes 24 Tahun 2022 tentang Rekam Medis

Regulasi ini memuat ketentuan yang sangat konkret untuk rekam medis elektronik:

• Pasal 20: penyimpanan harus menjamin keamanan, keutuhan, kerahasiaan, dan ketersediaan; media dapat berupa server atau cloud yang tersertifikasi; sistem cadangan (backup) wajib berada di lokasi berbeda dan dijalankan berkala sesuai SOP.
• Pasal 22: penyedia sistem elektronik pihak ketiga wajib menyimpan data di dalam negeri, memerlukan rekomendasi Kemenkes, dan menandatangani perjanjian kerahasiaan atau pakta integritas.
• Pasal 29 dan 30: prinsip kerahasiaan, integritas, dan ketersediaan; hak akses (input, perbaikan, melihat) ditetapkan pimpinan fasilitas dan diatur dalam SOP.
• Pasal 32: isi rekam medis wajib dijaga kerahasiaannya oleh semua pihak yang terlibat, bahkan setelah pasien meninggal.
• Pasal 39: data rekam medis elektronik disimpan paling singkat 25 tahun sejak kunjungan terakhir pasien.
• Pasal 42: sanksi berupa teguran tertulis dan/atau rekomendasi pencabutan akreditasi.

UU Kesehatan Nomor 17 Tahun 2023

UU ini menjamin hak pasien atas kerahasiaan data dan informasi kesehatan pribadinya (Pasal 4 ayat (1) huruf i), dengan pengecualian tertentu yang diatur undang-undang. Pasal 301 mewajibkan tenaga medis dan tenaga kesehatan menjaga rahasia kesehatan pasien. Untuk pasal sanksi atas pelanggaran kerahasiaan, kami tidak mencantumkan rincian karena belum terverifikasi pada teks resmi.

Kewajiban Hukum vs Praktik Terbaik

Langkah Praktis Mengamankan Data Pasien

1. Petakan data. Ketahui di mana data pasien disimpan dan siapa yang mengaksesnya.
2. Atur hak akses per peran dan tinjau secara berkala, terutama saat petugas pindah unit atau berhenti.
3. Aktifkan jejak audit agar setiap akses dan perubahan data tercatat.
4. Jalankan backup terjadwal di lokasi berbeda dan uji pemulihannya.
5. Enkripsi data yang tersimpan maupun yang dikirim antar sistem.
6. Siapkan prosedur respons insiden yang memungkinkan notifikasi dalam 3 x 24 jam.
7. Latih seluruh petugas tentang kerahasiaan dan bahaya rekayasa sosial seperti phishing.

Peran Vendor SIMRS

Pengamanan yang baik memerlukan dukungan sistem. Saat memilih atau mengevaluasi SIMRS, lihat checklist memilih vendor SIMRS yang memuat pertanyaan terkait lokasi data, backup, dan hak akses. Sekawan Media mengembangkan aplikasi rumah sakit (SIMRS) dengan kontrol akses berjenjang dan jejak audit. Hubungi tim kami untuk berdiskusi.

Kesimpulan

Keamanan data pasien adalah kewajiban hukum sekaligus fondasi kepercayaan pasien. Pahami kewajiban dalam UU PDP dan Permenkes 24 Tahun 2022, terapkan praktik terbaik seperti audit trail dan enkripsi, dan siapkan prosedur respons insiden. Regulasi di bidang ini masih berkembang, jadi pantau pembaruannya secara berkala.

FAQ