Kepatuhan PP 33/2026 bagi Rumah Sakit dan Klinik: Menjaga Data Pasien dan Data Kesehatan

Mengapa data pasien istimewa

Riwayat penyakit, hasil laboratorium, dan diagnosis adalah data yang sangat sensitif. UU 27/2022 mengelompokkan data kesehatan sebagai data pribadi spesifik. Bocornya data seperti ini dapat menimbulkan stigma, diskriminasi, dan kerugian yang sulit dipulihkan.

Rumah sakit dan klinik juga memegang data identitas, asuransi, dan pembayaran. Semua itu sering tersimpan di beberapa sistem sekaligus, sehingga risiko tersebar di banyak titik.

Karena data kesehatan melekat pada diri seseorang, kebocorannya tidak dapat diperbaiki seperti mengganti kata sandi. Karena itu pencegahan lebih penting daripada pemulihan.

Fasilitas kesehatan juga berhadapan dengan data pihak ketiga, misalnya data keluarga pasien yang tercatat sebagai penanggung jawab atau kontak darurat.

Siapa saja yang menyentuh data

Dokter, perawat, petugas pendaftaran, kasir, laboratorium, apotek, dan vendor sistem informasi sama-sama menyentuh data pasien. Semakin banyak orang yang mengakses, semakin penting pembatasan hak akses berdasarkan kebutuhan tugas.

Prinsip umumnya: orang hanya boleh melihat data yang diperlukan pekerjaannya. Petugas pendaftaran, misalnya, umumnya tidak perlu melihat hasil laboratorium. Ini analisis redaksi berdasarkan prinsip minimalisasi.

Latih staf non-medis tentang kerahasiaan, termasuk larangan memotret layar atau berkas pasien untuk dibagikan, meski niatnya membantu.

Berkas fisik tidak kalah penting. Rekam medis kertas, formulir pendaftaran, dan hasil cetak harus disimpan di tempat terkunci dan dimusnahkan dengan benar, bukan dibuang begitu saja.

• Pendaftaran dan kasir
• Dokter dan perawat
• Laboratorium dan radiologi
• Apotek
• Vendor sistem informasi

Petugas pelindungan data dan DPIA

Menurut ulasan, petugas pelindungan data wajib bila ada pelayanan publik, pemantauan sistematis skala besar, atau pemrosesan data spesifik skala besar. Rumah sakit besar kemungkinan memenuhi kriteria data spesifik skala besar, tetapi penilaian akhir bergantung pada fakta.

DPIA diperlukan sebelum pemrosesan berisiko tinggi, dengan contoh penggunaan kecerdasan buatan dan IoT. Fitur seperti analisis citra medis berbasis AI atau perangkat pemantau pasien terhubung dapat mendekati kategori itu.

Untuk klinik kecil, penunjukan satu penanggung jawab yang jelas tetap berguna walau belum wajib.

Instansi kesehatan negeri umumnya berkaitan dengan pelayanan publik, yang menurut ulasan juga menjadi salah satu pemicu kewajiban petugas pelindungan data.

Kebocoran data pasien

Kebocoran dapat berupa berkas hilang, akun dokter dibobol, atau berkas hasil lab terkirim ke orang yang salah. Menurut ulasan, pemberitahuan tertulis kepada pasien dan Lembaga paling lambat 3x24 jam, dan pengumuman publik bila berdampak serius.

Siapkan prosedur internal: siapa yang melapor, bagaimana menghubungi pasien, dan bagaimana mengamankan sistem. Catat kronologi sejak awal karena akan dibutuhkan.

Latihan insiden tahunan membantu staf mengingat langkah-langkah ketika tekanan tinggi.

Sebagai tambahan, rumah sakit sebaiknya menyimpan salinan pencadangan di tempat terpisah dan menguji pemulihannya, karena serangan perangkat pemeras dapat mengunci seluruh sistem.

Vendor dan layanan pihak ketiga

Sistem informasi rumah sakit, layanan telemedisin, dan penyimpanan cloud biasanya dikelola vendor. Vendor dapat berstatus prosesor, sehingga kontrak harus mengatur keamanan, batas penggunaan data, dan kewajiban melapor insiden.

Transfer data ke luar negeri, misalnya server cloud, memiliki jenjang syarat menurut ulasan. Fasilitas kesehatan perlu mengetahui lokasi penyimpanan data pasiennya.

Kontrak vendor juga perlu menyebut bagaimana data dikembalikan atau dihapus saat kerja sama berakhir.

Persetujuan dan hak pasien

Pasien berhak tahu bagaimana datanya dipakai dan, menurut UU 27/2022, memiliki hak akses dan koreksi. Bagi fasilitas kesehatan, kewajiban lain tentang rekam medis berasal dari aturan kesehatan sendiri dan tidak dibahas di sini.

Penggunaan data untuk riset atau pemasaran layanan sebaiknya terpisah dari pelayanan dan memakai persetujuan yang jelas.

Sampaikan hak-hak itu melalui poster dan formulir pendaftaran dalam bahasa mudah dipahami.

Pasien yang meminta salinan data atau koreksi atas identitas perlu dilayani dengan prosedur yang jelas, termasuk verifikasi identitas peminta agar data tidak jatuh ke orang yang salah.

Sanksi dan reputasi

Sanksi administratif menurut ulasan meliputi peringatan, penghentian sementara pemrosesan, penghapusan data, dan denda maksimal 2 persen pendapatan tahunan. Penghentian sementara dapat sangat mengganggu layanan.

Ditambah pengumuman sanksi di media resmi Lembaga, reputasi fasilitas kesehatan bisa terdampak karena kepercayaan pasien adalah dasar pelayanan.

Karena itu biaya pencegahan seperti pelatihan dan enkripsi sering jauh lebih murah daripada kerugian akibat insiden.

Contoh kasus

Contoh: Sebuah klinik fiktif memakai grup pesan untuk mengirim hasil lab ke pasien, dan suatu hari berkas tertukar ke nomor lain. Klinik kemudian memindahkan pengiriman ke portal berpassword, membatasi siapa yang bisa mengirim hasil, mencatat insiden, dan memberi tahu pasien terkait. Langkah ini menunjukkan perbaikan nyata dan dapat menjadi bukti kooperatif bila klinik dimintai penjelasan. Kasus ini hanya ilustrasi. Beberapa bulan kemudian pasien meminta salinan data pendaftarannya, dan klinik dapat memverifikasi identitas lalu memenuhinya.

Hal yang sering keliru

• Mengira data kesehatan sama sensitifnya dengan data biasa.
• Mengirim hasil pemeriksaan lewat grup pesan umum.
• Membiarkan semua staf melihat seluruh data pasien.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut pemberitaan dan ulasan)

Dalam kategori yang sama

• Kepatuhan PP 33/2026 bagi Sekolah dan Kampus: Data Siswa dan Mahasiswa Mulai 2027
• Kepemilikan Data Tetap pada Produsen Data: Apa Artinya dalam UU Satu Data Indonesia
• Ketentuan Pidana UU Satu Data Indonesia: Pasal 129 sampai 135 Menurut Pemberitaan

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.