Akses Darurat Rekam Medis Elektronik: Kontrol Break-Glass yang Diperiksa Surveyor MRMIK

Akses darurat rekam medis elektronik (break-glass) mengizinkan klinisi membuka data pasien di luar kewenangan normalnya demi keselamatan nyawa. Masalahnya bukan pada keberadaan fitur ini — hampir semua RME modern memilikinya — melainkan pada apakah setiap penggunaannya tercatat, dijustifikasi, dan direviu. Surveior MRMIK dan ketentuan UU PDP memeriksa persis titik itu.

Mengapa Akses Darurat Jadi Titik Audit, Bukan Sekadar Fitur IT

Akses darurat menjadi titik audit karena ia adalah satu-satunya jalur resmi yang sengaja melewati kontrol hak akses normal — dan jalur yang melewati kontrol selalu jadi sasaran pertama surveior maupun auditor perlindungan data. Kontrol hak akses rutin di RME sudah lazim diperiksa: RS umumnya bisa menunjukkan siapa berhak membuka rekam medis berdasarkan peran dan unit kerja. Yang sering luput adalah jalur pengecualiannya.

Skenario break-glass muncul saat pasien datang dalam kondisi gawat darurat tanpa didampingi keluarga, atau saat dokter jaga IGD perlu melihat riwayat alergi dan pengobatan pasien rujukan yang bukan pasiennya secara administratif. Pada momen itu, menunggu proses permintaan akses normal — pengajuan ke admin sistem, persetujuan atasan unit — bisa membahayakan nyawa. RME yang baik menyediakan tombol override untuk situasi ini. Yang sebenarnya dinilai bukan apakah tombol itu ada, melainkan apa yang terjadi setelah tombol itu ditekan.

Di sinilah letak risiko ganda. Bagi surveior MRMIK, akses darurat yang tidak terlacak adalah bukti bahwa RS tidak dapat memantau kepatuhan terhadap kerahasiaan dan keamanan data — elemen yang secara eksplisit dinilai. Bagi kepatuhan UU Pelindungan Data Pribadi, akses darurat tanpa jejak berarti RS sebagai pengendali data tidak dapat membuktikan siapa mengakses data pribadi spesifik apa, kapan, dan atas dasar apa — justru hal pertama yang ditanyakan saat terjadi dugaan penyalahgunaan data.

Dasar Regulasi: Apa yang Sebenarnya Diatur, dan Apa yang Tidak

Regulasi Indonesia mengatur prinsip kerahasiaan dan keamanan akses rekam medis elektronik secara jelas, tetapi tidak menyebut istilah "break-glass" atau merinci mekanisme teknisnya — desain kontrolnya diserahkan pada kebijakan internal RS, selama prinsip keamanan datanya terpenuhi. Ini penting dipahami agar RS tidak mencari pasal yang tidak ada, dan tidak pula mengabaikan kewajiban yang sudah ada.

Permenkes Nomor 24 Tahun 2022 tentang Rekam Medis mewajibkan Rekam Medis Elektronik memenuhi tiga prinsip keamanan data dan informasi sebagaimana diatur Pasal 29: kerahasiaan, integritas, dan ketersediaan. Hak akses terhadap rekam medis elektronik diatur dalam kebijakan pimpinan fasilitas pelayanan kesehatan, dengan tetap memperhatikan ketiga prinsip keamanan tersebut. Artinya, RS diberi kewenangan sekaligus kewajiban menyusun sendiri aturan siapa boleh mengakses apa dan dalam kondisi apa — termasuk kondisi darurat — selama kerahasiaan, integritas, dan ketersediaan datanya tetap terjaga.

Regulasi yang sama juga mengatur pembukaan isi rekam medis: permintaan pembukaan harus dilakukan secara tertulis atau elektronik, dan dilakukan terbatas sesuai kebutuhan. Ketentuan ini secara literal ditujukan untuk permintaan pihak eksternal, namun prinsip "terbatas sesuai kebutuhan" itulah yang seharusnya menjadi acuan saat RS merancang batas kewenangan akses darurat internal — akses dibuka seluas yang dibutuhkan situasi gawat darurat, bukan seluas seluruh riwayat rekam medis pasien tanpa terkecuali.

Landasan mengapa akses tanpa proses normal ini sah secara medikolegal datang dari UU Nomor 17 Tahun 2023 tentang Kesehatan. Pasal 80 ayat (3) menyatakan bahwa pada kondisi gawat darurat, tindakan medis dapat dilakukan tanpa memerlukan persetujuan terlebih dahulu. Pasal 293 ayat (9) menegaskan hal serupa: jika pasien tidak cakap memberi persetujuan dan tidak ada wali yang dapat dimintai persetujuan dalam kondisi gawat darurat, persetujuan untuk tindakan medis tersebut tidak diperlukan. Ketentuan ini mengatur persetujuan tindakan medis, bukan akses data secara spesifik — tetapi logikanya konsisten: jika tindakan penyelamatan nyawa tidak perlu menunggu persetujuan, akses data yang dibutuhkan untuk tindakan itu semestinya juga tidak perlu menunggu proses permintaan akses normal, selama dilakukan secara akuntabel.

Sisi akuntabilitas itu datang dari UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Sebagai pengendali data pribadi, RS wajib menjaga keamanan data yang diprosesnya dan dapat menunjukkan langkah pengendalian itu bila diminta. Akses darurat yang tidak tercatat membuat RS tidak dapat memenuhi kewajiban ini untuk kategori data yang paling sensitif: data kesehatan.

Empat Elemen Kontrol yang Dicari Surveyor MRMIK

Standar MRMIK dalam KMK HK.01.07/MENKES/1596/2024 tentang STARKES menuntut RS menerapkan proses pemberian akses kepada staf berwenang dan memantau kepatuhan terhadap kerahasiaan, keamanan, serta integritas data — termasuk mengambil tindakan saat terjadi pelanggaran. Untuk jalur akses darurat, empat elemen berikut yang paling sering ditelusuri surveior maupun auditor internal.

Justifikasi tercatat pada saat akses, bukan sesudahnya. Sistem yang baik meminta pengguna mengisi alasan singkat — nama pasien, kondisi klinis, unit asal — sebelum override diberikan, bukan mengandalkan ingatan klinisi untuk menjelaskan setelah beberapa hari berlalu. Justifikasi yang diminta belakangan cenderung menjadi formalitas kosong yang diisi asal, dan surveior cukup mudah mengenali pola itu dari keseragaman kalimatnya.

Penandaan terpisah dari log akses rutin. Akses darurat perlu diberi flag atau kategori khusus dalam audit trail, terpisah dari ribuan baris akses harian yang normal. Tanpa penandaan ini, RS tidak mungkin menarik daftar akses darurat untuk direviu — yang ada hanyalah lautan log yang tidak praktis ditelusuri satu per satu, dan itu sendiri sudah menjadi temuan saat surveior meminta bukti.

Notifikasi ke pihak yang datanya diakses atau ke penanggung jawab data. Sebagian sistem RME modern mengirim pemberitahuan otomatis — ke Kabag Rekam Medis atau ke unit asal pasien — setiap kali akses darurat terjadi. Notifikasi ini bukan untuk menghambat klinisi, melainkan memastikan penggunaan override diketahui pihak lain secara real-time, bukan hanya tersimpan diam di log yang jarang dibuka.

Reviu pasca-akses oleh pihak yang bukan penggunanya. Ini elemen yang paling sering hilang. Log yang dicatat rapi tetapi tidak pernah direviu tidak berbeda jauh dari tidak dicatat sama sekali, di mata surveior. Reviu perlu dilakukan pihak independen — Komite Rekam Medis atau Komite Mutu — secara berkala, misalnya bulanan, dengan eskalasi ke Wadir Pelayanan untuk akses yang tidak dapat dijustifikasi secara klinis.

Dasar Hukum

• Permenkes 24/2022 tentang Rekam Medis — Pasal 29 mewajibkan Rekam Medis Elektronik memenuhi prinsip kerahasiaan, integritas, dan ketersediaan data; hak akses diatur dalam kebijakan pimpinan fasilitas pelayanan kesehatan dengan memperhatikan prinsip tersebut. Ketentuan pembukaan isi rekam medis mengharuskan permintaan tertulis/elektronik dan dilakukan terbatas sesuai kebutuhan.
• KMK HK.01.07/MENKES/1596/2024 tentang Standar Akreditasi Rumah Sakit (STARKES) — Bab MRMIK menuntut RS menerapkan proses pemberian akses kepada staf berwenang serta memantau kepatuhan kerahasiaan, keamanan, dan integritas data, termasuk tindakan saat terjadi pelanggaran.
• UU 17/2023 tentang Kesehatan — Pasal 80 ayat (3) dan Pasal 293 ayat (9) mengatur pengecualian persetujuan tindakan medis pada kondisi gawat darurat sebagai landasan medikolegal tindakan penyelamatan nyawa tanpa menunggu proses persetujuan normal.
• UU 27/2022 tentang Pelindungan Data Pribadi — mewajibkan pengendali data, termasuk RS, menjaga keamanan data pribadi yang diprosesnya dan mampu menunjukkan langkah pengendalian akses saat diminta otoritas maupun pemilik data.

Kesalahan Umum yang Membuat Akses Darurat Jadi Temuan

Pola kegagalan yang paling sering ditemui bukan soal ketiadaan fitur break-glass — hampir semua RME modern sudah menyediakannya — melainkan soal tata kelola di sekitarnya yang tidak pernah dirancang sejak awal.

Kesalahan pertama adalah menganggap fitur teknis sudah cukup. Tim IT mengaktifkan tombol override karena vendor menawarkannya, tanpa RS pernah menyusun kebijakan tertulis tentang siapa yang boleh menggunakannya, dalam kondisi apa, dan siapa yang mereviunya. Saat surveior bertanya "siapa yang menyetujui kebijakan akses darurat ini", jawaban "sistemnya sudah ada fiturnya" tidak menjawab hal itu.

Kesalahan kedua adalah log yang tidak pernah dibuka. RS menyimpan log akses selama bertahun-tahun sesuai ketentuan retensi, tetapi tidak ada satu pun proses rutin yang menariknya untuk direviu. Log yang tersimpan tanpa direviu memberi ilusi kepatuhan — datanya ada, tetapi tidak ada yang pernah tahu apa isinya sampai insiden terjadi atau surveior memintanya.

Kesalahan ketiga adalah mencampur akses darurat dengan akses lintas unit yang sebenarnya rutin. Sebagian RS memberi hampir seluruh dokter jaga akses "darurat" permanen ke seluruh rekam medis sebagai jalan pintas administratif, alih-alih memperbaiki proses pemberian akses rutin antar-unit. Ini justru menghapus fungsi break-glass sebagai pengecualian yang terpantau, dan mengubahnya menjadi celah akses luas yang tidak terkontrol — persis yang ingin dicegah oleh prinsip kerahasiaan dalam Pasal 29 Permenkes 24/2022.

Menyusun SOP Akses Darurat yang Siap Diaudit

Menyusun SOP yang siap diaudit tidak memerlukan pengadaan sistem baru pada sebagian besar kasus — kebanyakan RME sudah memiliki fitur teknis yang dibutuhkan, yang belum ada adalah kebijakan dan ritme reviunya. Empat langkah berikut dapat dijalankan tanpa menunggu siklus anggaran.

Definisikan kondisi yang sah memicu akses darurat. Tuliskan secara eksplisit skenario yang dibolehkan — pasien gawat darurat tanpa pendamping, rujukan mendesak lintas unit di luar jam kerja normal — dan bedakan dari kebutuhan operasional rutin yang seharusnya diselesaikan lewat pemberian akses berbasis peran, bukan lewat override.

Aktifkan penandaan dan justifikasi wajib di sistem RME yang sudah ada. Sebagian besar RME modern sudah memiliki kapasitas ini; yang sering belum diaktifkan adalah kewajiban mengisi alasan sebelum akses diberikan dan flag kategori "darurat" pada baris log. Konfirmasi ke vendor atau tim IT internal apakah fitur ini tersedia dan pastikan diaktifkan.

Tetapkan pemilik reviu dan jadwalnya. Tunjuk satu pihak dengan mandat jelas — Kabag Rekam Medis bersama Komite Mutu — untuk menarik daftar akses darurat setiap bulan dan menilai kewajarannya. Dokumentasikan hasil reviu ini sebagai bukti audit yang bisa langsung ditunjukkan saat visitasi, bukan disusun mendadak menjelang survei.

Uji jalur eskalasi untuk kasus yang tidak wajar. Simulasikan satu skenario akses darurat yang tidak dapat dijustifikasi, lalu telusuri apakah proses eskalasi ke Wadir Pelayanan benar-benar berjalan sampai tuntas. RS yang baru mengetahui jalur eskalasinya tidak berfungsi saat insiden nyata terjadi kehilangan waktu yang seharusnya bisa dipakai untuk mitigasi, bukan untuk mencari tahu siapa yang harus dihubungi.

Sumber

• Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis — Pasal 29 (prinsip keamanan data) dan ketentuan pembukaan isi rekam medis, JDIH Kementerian Kesehatan RI.
• Keputusan Menteri Kesehatan Nomor HK.01.07/MENKES/1596/2024 tentang Standar Akreditasi Rumah Sakit (STARKES) — Bab Manajemen Rekam Medis dan Informasi Kesehatan (MRMIK).
• Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan — Pasal 80 ayat (3) dan Pasal 293 ayat (9) tentang pengecualian persetujuan tindakan medis pada kondisi gawat darurat.
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi — kewajiban pengendali data menjaga keamanan data pribadi.

FAQ

Apa itu akses darurat (break-glass) pada rekam medis elektronik?

Akses darurat adalah mekanisme yang mengizinkan klinisi membuka rekam medis pasien di luar kewenangan normalnya demi keselamatan pasien pada kondisi gawat darurat, dengan syarat setiap penggunaannya tercatat, dijustifikasi, dan direviu setelahnya.

Ini bukan celah keamanan, melainkan kontrol berlapis yang dirancang agar kecepatan penanganan pasien dan akuntabilitas data berjalan bersamaan — bukan salah satu mengorbankan yang lain.

Apakah RS wajib mencatat setiap akses darurat secara terpisah dari akses rutin?

Idealnya ya. Akses darurat perlu ditandai berbeda dari akses rutin pada log audit trail RME, misalnya dengan flag atau kategori tersendiri.

Penandaan ini memungkinkan tim mutu dan surveior menariknya sebagai satu daftar untuk direviu, alih-alih tercampur dalam ribuan baris log akses harian yang tidak praktis ditelusuri satu per satu saat visitasi berlangsung.

Siapa yang berwenang mereviu penggunaan akses darurat setelah kejadian?

Reviu pasca-akses sebaiknya dilakukan pihak yang bukan pengguna akses itu sendiri — umumnya Komite Rekam Medis atau Kabag Rekam Medis bersama Komite Mutu, dengan eskalasi ke Wadir Pelayanan untuk kasus yang tidak dapat dijustifikasi.

Prinsipnya sederhana: pihak yang membuka akses tidak boleh menjadi satu-satunya pihak yang menilai kewajaran aksesnya sendiri.

Apa risiko RS yang tidak punya kontrol akses darurat saat visitasi MRMIK?

Tanpa kontrol akses darurat yang terdokumentasi, RS berisiko pada dua sisi sekaligus: kehilangan poin pada elemen penilaian MRMIK terkait kerahasiaan dan keamanan data karena tidak bisa menunjukkan jejak override, dan berpotensi tidak memenuhi kewajiban keamanan data pribadi dalam UU PDP.

Kedua risiko ini bertemu pada satu titik yang sama — ketidakmampuan membuktikan siapa membuka data apa, kapan, dan atas dasar apa.