Data Pasien Rumah Sakit Bukan Data Biasa, Ini Kewajiban Kontrolnya Menurut UU PDP

Setiap kali seseorang mendaftar berobat, data yang diserahkan bukan sekadar nama dan nomor telepon. Ada riwayat penyakit, hasil laboratorium, foto radiologi, status HIV, riwayat kejiwaan, hingga catatan penggunaan obat tertentu. Semua itu masuk ke dalam sistem rumah sakit, mengalir ke berbagai unit, dan sering kali tersimpan lebih lama dari yang disadari.

Indonesia sudah beberapa kali mencatat insiden kebocoran data pasien dalam skala jutaan, mulai dari data pasien COVID-19 hingga rekam medis dari puluhan rumah sakit yang beredar di forum jual beli data. Pola yang berulang ini menunjukkan satu hal: data kesehatan adalah target yang sangat diminati, sekaligus salah satu jenis data yang paling rentan disalahgunakan bila jatuh ke pihak yang salah.

Kenapa Data Kesehatan Berstatus "Data Spesifik"

Dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), data kesehatan dikategorikan sebagai data pribadi yang bersifat spesifik satu tingkat di atas data pribadi umum seperti nama atau alamat. Kategori ini juga mencakup data biometrik, data genetika, dan data keuangan tertentu.

Konsekuensinya, kewajiban pengamanan untuk data spesifik jauh lebih ketat. Persetujuan pemrosesannya harus lebih eksplisit, kontrol keamanannya harus lebih berlapis, dan dampak dari kebocorannya dianggap lebih serius secara hukum dibandingkan dengan data pribadi umum. Bila data seperti status penyakit menular, riwayat gangguan jiwa, atau hasil tes tertentu bocor ke publik, dampaknya bukan hanya soal privasi pasien yang bisa kehilangan pekerjaan, dijauhi lingkungan sosial, atau mengalami diskriminasi.

Ketentuan ini tidak berdiri sendiri. Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan serta Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis turut mengatur kewajiban kerahasiaan rekam medis elektronik, sehingga rumah sakit sesungguhnya tunduk pada dua lapis kewajiban sekaligus: kewajiban sektoral kesehatan dan kewajiban umum perlindungan data pribadi.
Baca artikel : Mengapa Perusahaan Membutuhkan Data Protection Officer (DPO)? Ini Dia Peran Strategis dan Industri yang Paling Membutuhkannya!

Titik Rawan yang Sering Diabaikan Rumah Sakit

Berdasarkan pola insiden yang berulang terjadi, ada beberapa titik rawan yang konsisten muncul di sektor pelayanan kesehatan:

Sistem rekam medis elektronik yang tidak terenkripsi memadai. Banyak fasilitas kesehatan mengadopsi digitalisasi rekam medis tanpa mengimbangi dengan standar keamanan siber yang setara.

Akses internal yang terlalu longgar. Tidak semua staf yang bisa membuka data pasien memang membutuhkannya untuk pekerjaannya; prinsip akses berbasis kebutuhan (need-to-know) sering tidak diterapkan secara konsisten.

Integrasi dengan pihak ketiga tanpa perjanjian pemrosesan data yang jelas. Laboratorium eksternal, penyedia aplikasi telemedicine, hingga vendor sistem informasi rumah sakit kerap mengakses data pasien tanpa klausul perlindungan data yang mengikat.

Minimnya kesadaran tenaga medis dan administratif. Kebocoran tidak selalu berasal dari serangan siber canggih; tautan phising yang diklik oleh staf yang tidak terlatih tetap menjadi salah satu penyebab paling umum.

Tanggung Jawab Hukum yang Menanti Bila Data Bocor

Ketika kebocoran data pasien terjadi, konsekuensinya tidak berhenti pada kerusakan reputasi. UU PDP membuka ruang bagi pasien yang dirugikan untuk menuntut ganti rugi apabila kebocoran terbukti terjadi akibat kelalaian rumah sakit dalam menjalankan kewajiban pengamanan data. Di sisi lain, Pasal 57 UU PDP juga mengatur sanksi administratif yang dapat dijatuhkan kepada Pengendali Data mulai dari peringatan tertulis, penghentian sementara pemrosesan data, hingga denda administratif yang tentu berdampak langsung pada operasional layanan.

Dengan kata lain, rumah sakit menghadapi risiko ganda: gugatan perdata dari pasien yang dirugikan, dan sanksi administratif dari regulator, yang keduanya bisa terjadi secara bersamaan atas satu insiden yang sama.

Bagaimana Rumah Sakit Bisa Mengontrol Risiko Ini

Kontrol atas data pasien tidak cukup dilakukan dengan menambal celah teknis setelah insiden terjadi. Pendekatan yang lebih tepat adalah membangun sistem manajemen yang terstruktur, mencakup:

• Pemetaan alur data pasien secara menyeluruh, dari pendaftaran hingga penghapusan rekam medis
• Klasifikasi data berdasarkan tingkat sensitivitas, dengan kontrol akses berlapis sesuai kebutuhan masing-masing unit
• Perjanjian pemrosesan data yang mengikat secara hukum dengan seluruh vendor dan mitra eksternal
• Penilaian dampak perlindungan data (DPIA) khusus untuk sistem yang memproses data kesehatan dalam skala besar
• Pelatihan berkelanjutan bagi tenaga medis dan administratif mengenai penanganan data pasien

Kerangka kerja seperti ISO/IEC 27701, sebagai ekstensi dari ISO/IEC 27001 khusus manajemen informasi privasi, dapat menjadi acuan sistematis bagi rumah sakit untuk mengintegrasikan kewajiban UU PDP ke dalam sistem manajemen keamanan informasi yang sudah berjalan, alih-alih menanganinya sebagai proyek kepatuhan yang terpisah.
Baca Artikel :  Pentingnya Peran Konsultan ISO bagi Perusahaan Anda, Ketahui Faktanya Sekarang!

Kesimpulan

Data pasien adalah salah satu aset paling sensitif yang dikelola oleh sebuah rumah sakit, dan kelalaian dalam mengontrolnya membawa konsekuensi hukum, finansial, sekaligus kemanusiaan. Kepatuhan terhadap UU PDP di sektor kesehatan bukan sekadar formalitas dokumen, melainkan sistem kontrol yang harus benar-benar berjalan di setiap titik di mana data pasien mengalir dari meja pendaftaran hingga server penyimpanan jangka panjang. 

Pada akhirnya, perlindungan data pribadi adalah kerja kolektif yang melibatkan sistem yang tepat, kebijakan yang jelas, dan tim yang terlatih untuk menjalankannya sehari-hari. Bila organisasi Anda belum yakin sejauh mana kesiapan ini sudah berjalan, konsultasi dan pelatihan bersama tim ahli Mitra Berdaya Optima bisa menjadi langkah awal yang tepat.

Jika organisasi Anda memerlukan arahan dari seorang konsultan ISO dan konsultan privasi dalam proses sertifikasi, PT Mitra Berdaya Optima siap membantu Anda dengan setulus hati. Konsultan kami memiliki pengalaman dengan 500+ klien dari berbagai sektor industri. Segera hubungi kami dengan mengklik link berikut untuk konsultasi gratis dan dapatkan proses sertifikasi yang menyenangkan.