Kepatuhan UU PDP dalam Pengelolaan Data Pasien Rekam Medis Elektronik (RME) Cloud

Pentingnya Kepatuhan UU PDP dalam Pengelolaan RME Cloud

Fasilitas pelayanan kesehatan (faskes) di Indonesia saat ini sedang mengalami transisi digital yang masif. Berdasarkan Peraturan Menteri Kesehatan (Permenkes) Nomor 24 Tahun 2022, seluruh faskes diwajibkan menyelenggarakan Rekam Medis Elektronik (RME). Salah satu teknologi yang paling banyak diadopsi untuk mendukung kewajiban ini adalah teknologi berbasis komputasi awan atau cloud. Namun, implementasi RME berbasis cloud ini tidak hanya berhadapan dengan kesiapan infrastruktur teknologi informasi, melainkan juga kepatuhan hukum yang ketat, khususnya terhadap Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).

Kepatuhan UU PDP dalam pengelolaan RME cloud menjadi aspek krusial yang menentukan legalitas dan keberlangsungan operasional sebuah faskes. Dalam UU PDP, data kesehatan dikategorikan sebagai data pribadi yang bersifat spesifik (sensitif). Hal ini berarti kebocoran atau penyalahgunaan data medis pasien tidak hanya berdampak pada reputasi faskes, tetapi juga dapat berujung pada tuntutan hukum pidana dan perdata yang berat. Oleh karena itu, pemahaman mendalam mengenai integrasi sistem cloud dengan kepatuhan hukum perlindungan data menjadi hal mutlak bagi manajemen rumah sakit, klinik, dan tenaga medis.

Kewajiban Hukum Fasilitas Kesehatan sebagai Pengendali Data Pribadi

Dalam ekosistem RME berbasis cloud, terdapat pembagian peran yang sangat jelas menurut UU PDP. Faskes bertindak sebagai Pengendali Data Pribadi (Data Controller), sedangkan penyedia layanan cloud (vendor RME) bertindak sebagai Prosesor Data Pribadi (Data Processor). Sebagai Pengendali Data Pribadi, faskes memegang tanggung jawab penuh atas seluruh siklus pemrosesan data pasien.

Faskes wajib memastikan bahwa vendor RME cloud yang dipilih memiliki standar keamanan yang setara dengan regulasi yang berlaku. Jika terjadi kebocoran data akibat kelalaian sistem vendor, faskes tetap menjadi pihak pertama yang dimintai pertanggungjawaban di hadapan hukum. Oleh sebab itu, faskes harus menyusun perjanjian kerja sama yang kuat (Service Level Agreement/SLA) yang secara eksplisit mengatur tanggung jawab perlindungan data.

Faskes juga wajib memenuhi hak-hak subjek data (pasien), seperti hak untuk mengakses riwayat medis mereka, hak untuk memperbaiki kesalahan data, serta hak untuk mengakhiri pemrosesan atau menghapus data sesuai dengan ketentuan retensi rekam medis yang diatur oleh Kementerian Kesehatan RI.

Standar Keamanan Data RME Cloud Sesuai Regulasi

Untuk memenuhi standar kepatuhan UU PDP dan Permenkes 24/2022, sistem RME cloud yang digunakan faskes harus menerapkan langkah-langkah keamanan teknis dan organisasional yang komprehensif. Berikut adalah standar keamanan utama yang wajib dipenuhi:

1. Enkripsi Data End-to-End

Seluruh data pasien, baik data demografis maupun riwayat medis, wajib dienkripsi. Enkripsi ini harus diterapkan pada dua kondisi utama: saat data dikirimkan melalui jaringan internet (data in transit) menggunakan protokol HTTPS/TLS, dan saat data disimpan di dalam basis data server cloud (data at rest) menggunakan algoritma enkripsi standar industri seperti AES-256.

2. Kontrol Akses Berbasis Peran (Role-Based Access Control)

Sistem RME cloud harus memiliki fitur pembatasan hak akses yang ketat. Tidak semua staf faskes boleh mengakses seluruh data pasien. Dokter hanya dapat mengakses data medis pasien yang ditanganinya, perawat memiliki akses terbatas sesuai tugas asuhan keperawatan, dan staf administrasi hanya dapat melihat data demografis untuk pendaftaran atau penagihan tanpa bisa melihat detail diagnosis medis.

3. Audit Trail dan Log Aktivitas

Sistem harus mencatat setiap aktivitas pengguna secara otomatis dan tidak dapat dimanipulasi (immutable log). Log ini mencatat siapa yang mengakses data pasien, kapan data tersebut diakses, dan perubahan apa saja yang dilakukan. Hal ini sangat penting untuk keperluan audit keamanan berkala dan investigasi jika terjadi insiden keamanan.

4. Kedaulatan Data (Data Sovereignty)

Sesuai dengan regulasi pemerintah Indonesia, pusat data (data center) yang digunakan oleh penyedia RME cloud faskes wajib berlokasi di dalam wilayah hukum Indonesia. Hal ini penting untuk menjamin yurisdiksi hukum jika terjadi sengketa informasi atau penyelidikan hukum oleh otoritas berwenang seperti Kemenkominfo atau Kemenkes.

Sanksi Hukum Pelanggaran UU PDP pada Sektor Kesehatan

UU PDP menerapkan sanksi yang sangat tegas bagi pihak yang melanggar ketentuan perlindungan data pribadi. Bagi faskes yang lalai dalam menjaga keamanan data RME pasien, sanksi administratif dapat dijatuhkan berupa:

• Peringatan tertulis
• Penghentian sementara kegiatan pemrosesan data pribadi
• Penghapusan atau pemusnahan data pribadi
• Denda administratif paling tinggi 2 persen dari pendapatan tahunan terhadap variabel pelanggaran

Selain sanksi administratif, UU PDP juga memuat ketentuan pidana. Setiap orang atau korporasi yang dengan sengaja memperoleh atau mengumpulkan data pribadi yang bukan miliknya secara melawan hukum dapat dipidana penjara hingga 5 tahun dan/atau denda miliaran rupiah. Bagi rumah sakit atau klinik, kebocoran data pasien juga dapat memicu gugatan perdata ganti rugi dari pasien yang merasa dirugikan hak privasinya.

Langkah Strategis Faskes Menjamin Kepatuhan UU PDP

Untuk menghindari risiko hukum dan operasional, faskes perlu mengambil langkah-langkah strategis berikut:

1. Menunjuk Data Protection Officer (DPO): Menunjuk Pejabat Pelindung Data yang bertanggung jawab mengawasi kepatuhan pemrosesan data di faskes dan menjadi penghubung dengan otoritas pengawas.
2. Melakukan Data Protection Impact Assessment (DPIA): Melakukan penilaian dampak perlindungan data secara berkala untuk mengidentifikasi potensi risiko keamanan pada sistem RME cloud.
3. Memilih Vendor RME Terpercaya: Memastikan vendor RME cloud memiliki sertifikasi keamanan informasi internasional seperti ISO/IEC 27001, terdaftar resmi di Kementerian Komunikasi dan Digital, serta terintegrasi dengan platform SATUSEHAT Kemenkes.
4. Pelatihan SDM Berkala: Memberikan edukasi kepada seluruh tenaga medis dan staf administratif mengenai pentingnya menjaga kerahasiaan kredensial akun RME dan bahaya rekayasa sosial (social engineering).

Kesimpulan

Kepatuhan terhadap UU PDP dalam implementasi RME cloud bukan sekadar pemenuhan kewajiban administratif, melainkan fondasi utama dalam membangun kepercayaan pasien terhadap faskes di era digital. Dengan mengintegrasikan sistem keamanan yang kuat, pembagian peran yang jelas antara faskes dan vendor, serta audit kepatuhan yang konsisten, faskes dapat memanfaatkan efisiensi teknologi cloud secara aman tanpa mengorbankan privasi pasien.

FAQ Kepatuhan UU PDP dan RME Cloud

Apakah semua faskes wajib mematuhi UU PDP untuk RME?

Ya, seluruh faskes (rumah sakit, klinik, puskesmas, praktik mandiri) yang memproses data pribadi pasien wajib mematuhi ketentuan dalam UU PDP.

Bagaimana jika terjadi kebocoran data pada RME cloud pihak ketiga?

Faskes sebagai Pengendali Data tetap bertanggung jawab secara hukum kepada pasien. Namun, faskes dapat menuntut ganti rugi kepada vendor RME cloud (Prosesor Data) jika kebocoran terbukti akibat kelalaian sistem vendor sesuai dengan kesepakatan dalam SLA.

Apakah data RME boleh disimpan di server luar negeri?

Tidak. Sesuai regulasi di Indonesia, data kesehatan pasien wajib disimpan di dalam pusat data yang berlokasi di wilayah hukum Indonesia.

Ingin Digitalisasi Klinik atau Rumah Sakit Anda Tanpa Ribet?
Gunakan SIMRS Valtera Mandiri — Sistem Informasi Manajemen Rumah Sakit & Rekam Medis Elektronik (RME) terintegrasi SATUSEHAT Kemenkes RI & BPJS Kesehatan. Konsultasikan kebutuhan fasyankes Anda dan dapatkan demo gratis sekarang di Valtera.id.