Buku Tematik · Spesialis Kepatuhan Regulasi Medis (SKRM)

Perlindungan Data Pribadi dan Rekam Medis Elektronik

Irisan antara hukum kesehatan dan hukum perlindungan data pribadi, area kepatuhan yang semakin krusial di era digitalisasi layanan kesehatan.

Sebelum Memulai

Capaian Pembelajaran

Setelah mempelajari buku ini, pembaca diharapkan:

Mampu menjelaskan kewajiban fasyankes sebagai Pengendali Data Pribadi.
Mampu menjelaskan risiko dan mitigasi keamanan data dalam interoperabilitas SATUSEHAT.
Mampu menjelaskan gradasi sanksi administratif dan pidana UU PDP.

Bab 1

UU 27/2022 PDP dan Data Kesehatan sebagai Data Spesifik

Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mengklasifikasikan data kesehatan sebagai salah satu kategori data pribadi yang bersifat spesifik — bersama data biometrik, data genetika, dan catatan kejahatan — yang memerlukan perlindungan lebih ketat dibanding data pribadi umum. Pemrosesan data spesifik pada dasarnya memerlukan persetujuan eksplisit dari pemilik data, dengan pengecualian terbatas seperti kepentingan pelayanan kesehatan darurat.

Bagi fasilitas kesehatan, ini berarti setiap sistem yang menyimpan dan memproses data pasien — dari rekam medis elektronik hingga sistem antrean berbasis aplikasi — harus dirancang dengan prinsip perlindungan data sejak awal (privacy by design), bukan ditambahkan sebagai lapisan kepatuhan setelah sistem selesai dibangun.

Poin Kunci Bab 1

Data kesehatan = data pribadi spesifik dalam UU 27/2022 PDP, butuh persetujuan eksplisit.
Prinsip privacy by design wajib sejak awal rancang sistem.

Penerapan Praktis

Klasifikasikan data kesehatan sebagai data pribadi spesifik sejak awal audit kepatuhan, karena perlindungannya lebih ketat dari data umum.
Pastikan fasyankes memiliki dasar hukum yang sah untuk setiap pemrosesan data kesehatan pasien.
Bedakan kewajiban kepatuhan data kesehatan dari kewajiban kerahasiaan rekam medis konvensional, karena keduanya diatur rezim berbeda.

Studi Kasus Ilustratif (bukan kasus nyata)Sebuah fasyankes menganggap kewajiban rekam medis sudah cukup memenuhi seluruh kewajiban perlindungan data. Praktisi hukum kepatuhan menjelaskan bahwa UU 27/2022 PDP mengklasifikasikan data kesehatan sebagai data pribadi spesifik dengan kewajiban perlindungan tersendiri, terpisah dari kewajiban rekam medis konvensional.

Bab 2

Kewajiban Pengendali Data pada Fasyankes

UU PDP menempatkan fasilitas kesehatan pada posisi Pengendali Data Pribadi, dengan kewajiban antara lain: memastikan keakuratan dan kemutakhiran data, menerapkan langkah teknis dan organisatoris yang memadai untuk melindungi data dari akses tidak sah, melakukan penilaian dampak perlindungan data untuk pemrosesan berisiko tinggi, dan memberitahukan pemilik data serta otoritas terkait dalam hal terjadi kegagalan pelindungan data (data breach).

Kewajiban pemberitahuan pelanggaran data bersifat mendesak — regulasi menetapkan jangka waktu yang ketat sejak diketahuinya insiden, sehingga fasilitas kesehatan perlu memiliki prosedur tanggap insiden (incident response) yang teruji, bukan disusun secara ad hoc saat insiden sesungguhnya terjadi.

Poin Kunci Bab 2

Fasyankes = Pengendali Data: wajib akurasi, keamanan teknis, penilaian dampak, pemberitahuan insiden.

Penerapan Praktis

Bantu fasyankes menunjuk pejabat/fungsi pengendali data yang bertanggung jawab atas kepatuhan PDP secara khusus.
Susun kebijakan privasi dan prosedur penanganan permintaan hak subjek data (akses, koreksi, penghapusan).
Pastikan seluruh pihak ketiga yang mengakses data kesehatan terikat perjanjian kerahasiaan yang memadai.

Studi Kasus Ilustratif (bukan kasus nyata)Sebuah RS belum memiliki fungsi pengendali data yang jelas meski sudah mengelola data kesehatan dalam jumlah besar. Praktisi hukum kepatuhan membantu menyusun struktur tanggung jawab pengendali data serta kebijakan privasi yang selaras dengan kewajiban UU 27/2022 PDP.

Bab 3

Interoperabilitas SATUSEHAT dan Risiko Kebocoran Data

Program interoperabilitas data kesehatan nasional (platform SATUSEHAT) menuntut fasilitas kesehatan mengintegrasikan sistem rekam medis elektroniknya dengan standar pertukaran data nasional. Integrasi ini membawa manfaat besar bagi kesinambungan pelayanan pasien lintas fasilitas, namun juga memperluas permukaan risiko (attack surface) terhadap potensi kebocoran data, karena data kini mengalir melintasi lebih banyak sistem dan pihak.

SKRM perlu memastikan bahwa integrasi dengan sistem interoperabilitas nasional tidak mengorbankan prinsip minimalisasi data (hanya membagikan data yang benar-benar diperlukan) dan tetap disertai kontrol akses yang ketat, audit trail yang lengkap, serta enkripsi data baik saat disimpan maupun saat ditransmisikan.

Poin Kunci Bab 3

SATUSEHAT memperluas manfaat interoperabilitas sekaligus memperluas permukaan risiko kebocoran.
Prinsip minimalisasi data & enkripsi tetap wajib meski terintegrasi nasional.

Penerapan Praktis

Audit kesiapan sistem interoperabilitas fasyankes dengan SATUSEHAT dari sisi keamanan data, bukan hanya sisi teknis konektivitas.
Susun protokol respons insiden kebocoran data yang jelas, termasuk kewajiban notifikasi kepada otoritas dan subjek data.
Pastikan perjanjian dengan penyedia sistem informasi mencantumkan klausul keamanan dan tanggung jawab data yang memadai.

Studi Kasus Ilustratif (bukan kasus nyata)Sebuah fasyankes mengintegrasikan sistemnya dengan SATUSEHAT tanpa audit keamanan data yang memadai. Praktisi hukum kepatuhan menyarankan audit menyeluruh atas risiko kebocoran data serta penyusunan protokol respons insiden sebelum integrasi diperluas ke seluruh unit layanan.

Bab 4

Sanksi Administratif dan Pidana Pelanggaran PDP

UU PDP mengatur sanksi berlapis atas pelanggaran, mulai dari sanksi administratif (peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan/pemusnahan data, hingga denda administratif), sampai sanksi pidana bagi pelanggaran yang dilakukan dengan sengaja dan melawan hukum, seperti memperoleh atau mengumpulkan data pribadi milik orang lain yang bukan miliknya untuk menguntungkan diri sendiri atau orang lain.

Bagi pengurus fasilitas kesehatan, penting dipahami bahwa sanksi pidana dalam UU PDP dapat menyasar individu (termasuk badan hukum korporasi dengan pemberatan sepertiga dari sanksi maksimal), sehingga kepatuhan PDP bukan semata risiko institusional, melainkan juga risiko personal bagi pengambil keputusan terkait pengelolaan data pasien.

Poin Kunci Bab 4

Sanksi PDP berlapis: administratif hingga pidana.
Sanksi pidana dapat menyasar individu pengurus, bukan hanya institusi.

Penerapan Praktis

Jelaskan ke manajemen fasyankes rentang sanksi administratif dan pidana pelanggaran PDP agar kepatuhan menjadi prioritas serius.
Susun program kepatuhan PDP yang proporsional dengan skala dan risiko pengolahan data fasyankes.
Lakukan simulasi respons insiden kebocoran data secara berkala untuk menguji kesiapan tim internal.

Studi Kasus Ilustratif (bukan kasus nyata)Manajemen sebuah klinik meremehkan risiko pelanggaran PDP karena menganggap sanksinya hanya administratif ringan. Praktisi hukum kepatuhan menjelaskan bahwa UU 27/2022 PDP juga memuat ancaman sanksi pidana untuk pelanggaran tertentu, sehingga kepatuhan perlu ditangani secara serius dan sistematis, bukan reaktif.

Referensi Cepat

Glosarium Istilah Kunci

Data Pribadi Spesifik	Kategori data pribadi yang memerlukan perlindungan lebih ketat, termasuk data kesehatan, biometrik, dan genetika.
Privacy by Design	Prinsip merancang sistem dengan perlindungan data sejak tahap awal, bukan ditambahkan belakangan.
Data Breach	Insiden kegagalan pelindungan data yang mengakibatkan data pribadi diakses/bocor tanpa hak.
Pengendali Data	Pihak yang menentukan tujuan dan cara pemrosesan data pribadi, bertanggung jawab atas kepatuhan PDP.
Hak Subjek Data	Hak individu atas data pribadinya, termasuk hak akses, koreksi, dan penghapusan data.
Notifikasi Insiden	Kewajiban pengendali data memberitahukan otoritas dan subjek data bila terjadi kebocoran data pribadi.

Sumber

Daftar Rujukan

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi

Bagian dari Perpustakaan PRAHUKES, diterbitkan oleh Perpustakaan Digital ABBA. Disusun oleh Dr.dr. Budi Siswanto, Sp.OG., Subsp.Obginsos., SH., S.Kom. — Advokat. Edisi revisi pasca Audit Penuh (Juli 2026). Materi ini bersumber dari regulasi resmi yang telah diverifikasi; sebagian kecil rujukan masih memerlukan verifikasi lanjutan (ditandai ⚠️ pada Daftar Rujukan).