Keamanan Data Kesehatan Pasien Berdasarkan UU PDP Dalam Implementasi RME Cloud

Pentingnya Keamanan Data Kesehatan Pasien Berdasarkan UU PDP Dalam Implementasi RME Cloud

Penerapan Rekam Medis Elektronik (RME) berbasis komputasi awan (cloud) di Indonesia meningkat pesat sejak terbitnya Peraturan Menteri Kesehatan (PMK) Nomor 24 Tahun 2022. Transisi dari rekam medis fisik ke digital mempermudah aksesibilitas dan efisiensi layanan kesehatan. Namun, digitalisasi ini memicu risiko keamanan data yang signifikan. Pemerintah mengantisipasi hal ini dengan mengesahkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Keamanan data kesehatan pasien berdasarkan UU PDP dalam implementasi RME cloud menjadi standar wajib yang harus dipenuhi oleh setiap fasilitas pelayanan kesehatan (faskes) untuk menghindari sanksi hukum dan menjaga kepercayaan pasien.

Data kesehatan dikategorikan sebagai data pribadi yang bersifat spesifik dalam UU PDP. Kebocoran data kesehatan berpotensi merugikan pasien secara material maupun nonmaterial. Oleh karena itu, faskes yang menggunakan RME cloud harus memastikan penyedia layanan teknologi memiliki infrastruktur keamanan yang sesuai dengan regulasi nasional dan standar internasional.

Kewajiban Fasilitas Kesehatan sebagai Pengendali Data Pribadi

Dalam konteks UU PDP, fasilitas kesehatan bertindak sebagai Pengendali Data Pribadi, sementara penyedia RME cloud bertindak sebagai Prosesor Data Pribadi. Pembagian peran ini menetapkan tanggung jawab hukum yang jelas pada faskes untuk mengawasi seluruh aktivitas pemrosesan data.

Fasilitas kesehatan memiliki beberapa kewajiban utama berdasarkan UU PDP:

• Menjaga kerahasiaan data: Melindungi data rekam medis dari akses tidak sah selama penyimpanan, pemrosesan, dan transmisi.
• Melakukan Penilaian Dampak Pelindungan Data (PDDP): Melakukan penilaian risiko sebelum menerapkan sistem RME cloud baru.
• Menunjuk Pejabat Pelindung Data (DPO): Menunjuk personel khusus yang bertanggung jawab mengawasi kepatuhan pelindungan data jika pemrosesan data dilakukan dalam skala besar.
• Memperoleh persetujuan pasien: Memastikan pemrosesan data kesehatan didasarkan pada persetujuan eksplisit pasien atau dasar hukum lain yang sah sesuai Pasal 20 UU PDP.

Standar Keamanan RME Cloud Menurut Regulasi Kemenkes dan UU PDP

Implementasi RME cloud harus memenuhi standar teknis untuk menjamin kerahasiaan, integritas, dan ketersediaan data. Kementerian Kesehatan RI melalui platform SATUSEHAT mensyaratkan integrasi sistem yang aman dengan standar HL7 FHIR dan terminologi klinis seperti ICD-10 dan SNOMED-CT.

1. Enkripsi Data End-to-End

Penyedia RME cloud wajib menerapkan enkripsi pada dua kondisi utama. Pertama, enkripsi saat data disimpan (encryption at rest) untuk melindungi database dari pencurian fisik atau akses ilegal ke media penyimpanan. Kedua, enkripsi saat data dikirimkan (encryption in transit) untuk melindungi data saat dikirimkan dari komputer klinik ke server cloud atau ke platform SATUSEHAT Kemenkes agar tidak disadap di tengah jalan.

2. Kontrol Akses Berbasis Peran (Role-Based Access Control)

Tidak semua staf faskes memerlukan akses ke rekam medis lengkap pasien. Sistem RME cloud harus membatasi hak akses berdasarkan peran pekerjaan. Dokter spesialis memiliki akses penuh ke catatan klinis, apoteker hanya mengakses resep obat, dan staf administrasi hanya melihat data demografi untuk pendaftaran. Setiap upaya akses harus tercatat dalam log sistem yang tidak dapat dimanipulasi.

Mitigasi Risiko dan Penanganan Insiden Kebocoran Data

Kegagalan melindungi data pribadi dapat berujung pada sanksi administratif berupa denda hingga 2% dari pendapatan tahunan, penghentian sementara kegiatan, hingga sanksi pidana penjara bagi pihak yang sengaja mengungkapkan data pribadi orang lain secara tidak sah.

Langkah mitigasi risiko yang harus diterapkan oleh faskes meliputi:

1. Perjanjian Pemrosesan Data (Data Processing Agreement): Menyusun kontrak tertulis yang ketat dengan penyedia RME cloud yang menjamin kepatuhan penuh terhadap UU PDP.
2. Rencana Respons Insiden: Menyusun prosedur standar operasional (SOP) jika terjadi kegagalan pelindungan data. UU PDP mewajibkan pengendali data mengirimkan pemberitahuan tertulis kepada subjek data pribadi dan Lembaga Pelindung Data Pribadi dalam waktu maksimal 3 x 24 jam sejak diketahuinya kegagalan tersebut.
3. Pengujian Penetrasi Berkala (Penetration Testing): Melakukan simulasi serangan siber secara rutin pada sistem RME cloud untuk menemukan dan menambal celah keamanan sebelum dieksploitasi pihak luar.

Langkah Memilih Penyedia RME Cloud yang Patuh UU PDP

Fasilitas kesehatan harus selektif dalam memilih mitra teknologi RME. Pastikan penyedia jasa memenuhi kriteria berikut:

• Memiliki sertifikasi ISO/IEC 27001 tentang Sistem Manajemen Keamanan Informasi.
• Terdaftar sebagai Penyelenggara Sistem Elektronik (PSE) di Kementerian Komunikasi dan Digital.
• Menyediakan fitur pencadangan data otomatis (automated backup) di lokasi server cadangan yang aman.
• Telah terintegrasi secara resmi dengan platform SATUSEHAT Kementerian Kesehatan RI.

Valtera menyediakan solusi RME cloud yang dirancang khusus untuk memenuhi standar kepatuhan UU PDP dan PMK 24/2022. Dengan enkripsi tingkat tinggi, pembatasan hak akses yang ketat, dan infrastruktur cloud lokal yang andal, Valtera membantu faskes menjaga keamanan data pasien sekaligus meningkatkan efisiensi operasional.

Pertanyaan Umum (FAQ) Mengenai Keamanan RME Cloud

Apakah data rekam medis di cloud aman dari peretasan?

Ya, selama penyedia RME cloud menerapkan standar keamanan industri seperti enkripsi AES-256, protokol HTTPS/TLS terbaru, firewall aktif, dan pembatasan akses berbasis peran (RBAC).

Bagaimana sanksi UU PDP jika faskes mengalami kebocoran data?

Faskes dapat dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan data, dan denda administratif paling tinggi 2% dari pendapatan tahunan terhadap variabel pelanggaran.

Apakah data RME cloud boleh disimpan di server luar negeri?

Berdasarkan regulasi di Indonesia, data publik dan data sensitif seperti data kesehatan sebaiknya disimpan di dalam negeri. Jika menggunakan cloud internasional, pastikan penyedia memiliki wilayah server (region) di Indonesia.