Hak Akses SIMRS Tak Dicabut Saat Pegawai Pindah: 4 Kontrol yang Dicari Surveyor

Temuan surveyor yang paling sering berulang pada bab Manajemen Rekam Medis dan Informasi Kesehatan (MRMIK) bukan soal kelengkapan formulir, melainkan sesuatu yang lebih mendasar: akun SIMRS milik pegawai yang sudah pindah unit atau resign, tapi tidak pernah dinonaktifkan. Masalah ini jarang disadari karena sistemnya berjalan normal — sampai surveyor meminta daftar pengguna aktif dan mencocokkannya dengan data kepegawaian terkini.

Kenapa Akun yang Tidak Dicabut Jadi Risiko, Bukan Sekadar Masalah Administratif

Akun SIMRS yang tetap aktif setelah pemiliknya pindah unit atau resign membuka celah akses tak berwenang ke rekam medis pasien — pelanggaran langsung terhadap prinsip kerahasiaan yang diatur Permenkes 24/2022. Selama akun itu tidak dinonaktifkan, setiap login lewat kredensial tersebut tercatat di audit trail atas nama pemilik lama, padahal orang itu mungkin sudah tidak lagi bekerja di unit — atau di rumah sakit — yang bersangkutan.

Situasi ini lebih umum dari yang dibayangkan manajemen. Rotasi pegawai administrasi, perawat yang pindah dari rawat inap ke poli, atau tenaga kontrak yang kontraknya berakhir adalah kejadian rutin di rumah sakit mana pun. Tanpa prosedur baku yang menghubungkan perubahan status kepegawaian dengan pencabutan akses sistem, celah ini terbuka setiap bulan — dan menumpuk selama bertahun-tahun bila tidak pernah dibersihkan.

Yang membuat ini berbahaya bukan hanya risiko kepatuhan saat disurvei, tapi juga risiko keamanan data yang nyata: makin banyak akun "hantu" yang masih aktif, makin besar permukaan serangan bila kredensial itu disalahgunakan, baik sengaja maupun karena kelalaian menyimpan password.

Apa yang Diwajibkan Permenkes 24/2022 soal Autentikasi dan Akses

Permenkes No. 24 Tahun 2022 tentang Rekam Medis mewajibkan fasilitas pelayanan kesehatan menjaga kerahasiaan, integritas, dan ketersediaan rekam medis elektronik — termasuk memastikan hanya pihak berwenang yang dapat mengakses data pasien, melalui autentikasi yang dapat menelusuri setiap tindakan ke individu yang bertanggung jawab. Ini bukan sekadar anjuran teknis; ini adalah kewajiban yang mendasari seluruh bab MRMIK di Standar Akreditasi Rumah Sakit (STARKES).

Dua elemen yang paling relevan untuk hak akses:

Autentikasi unik per pengguna. Setiap tenaga kesehatan dan staf yang mengakses RME harus punya identitas login sendiri — bukan akun bersama yang dipakai bergantian di satu komputer poli. Tanpa ini, sistem tidak bisa membedakan siapa sebenarnya yang membuka atau mengubah data pasien.

Audit trail yang utuh. Setiap perubahan data — pembuatan, pengubahan, penghapusan — harus otomatis tercatat: siapa, apa yang diubah, dan kapan. Audit trail inilah yang menjadi bukti kepatuhan saat surveyor MRMIK meminta penelusuran, dan menjadi alat investigasi bila terjadi sengketa data atau dugaan penyalahgunaan akses.

Kedua kewajiban ini hanya bermakna kalau daftar pengguna aktif benar-benar mencerminkan siapa yang masih berhak mengakses sistem — bukan daftar historis yang tidak pernah dibersihkan.

4 Kontrol yang Dicari Surveyor Saat Menilai Bab MRMIK

Penilaian hak akses dalam STARKES tidak berhenti pada "apakah ada password". Surveyor menelusuri apakah rumah sakit punya siklus hidup akses yang terdokumentasi dan konsisten dijalankan, dari akun dibuat sampai dicabut.

Kontrol 1 — Daftar hak akses tertulis per peran, bukan per individu. RS perlu bisa menunjukkan matriks: peran apa berhak melihat data apa, dan peran apa yang berhak mengubah atau menghapus. Mendefinisikan akses berdasarkan peran/jabatan (bukan menghafal akses tiap orang satu per satu) membuat hak akses lebih mudah diaudit dan lebih mudah diwariskan saat terjadi rotasi jabatan.

Kontrol 2 — Prosedur permohonan dan persetujuan akun baru. Setiap akun baru harus melalui pengajuan tertulis dan persetujuan atasan atau Unit IT, bukan dibuat secara informal karena "sedang dibutuhkan hari ini juga". Prosedur ini memastikan setiap akun punya jejak siapa yang meminta, siapa yang menyetujui, dan untuk peran apa akun itu diberikan.

Kontrol 3 — Prosedur perubahan dan pencabutan akses dengan batas waktu jelas. Ini kontrol yang paling sering absen di lapangan. RS perlu prosedur yang secara eksplisit mengatur: begitu SDM menerima surat pindah unit, cuti panjang, atau surat pengunduran diri, siapa yang bertanggung jawab menonaktifkan atau menyesuaikan akses SIMRS — dan dalam berapa hari kerja hal itu harus selesai. Tanpa batas waktu tertulis, "nanti akan dinonaktifkan" sering berarti tidak pernah.

Kontrol 4 — Audit trail yang bisa ditunjukkan sewaktu-waktu. Surveyor dapat meminta contoh penelusuran: siapa mengakses rekam medis pasien tertentu pada tanggal tertentu. RS harus bisa menjawab dalam hitungan menit, bukan meminta waktu berhari-hari untuk menggali log manual.

Keempat kontrol ini saling terhubung — matriks peran (Kontrol 1) tidak berguna kalau prosedur pencabutan (Kontrol 3) tidak dijalankan, dan audit trail (Kontrol 4) tidak bisa dipercaya kalau autentikasinya masih berupa akun bersama.

Login Bersama: Pelanggaran Tersembunyi yang Sering Lolos Pengawasan

Login bersama di komputer stasiun poli — satu akun dipakai bergantian oleh beberapa perawat dalam satu shift — adalah pelanggaran autentikasi unik yang paling sering lolos karena terlihat "praktis" dan tidak dianggap masalah besar oleh staf lapangan. Padahal, ini membuat audit trail kehilangan fungsinya: sistem mencatat aktivitas atas nama satu akun, tapi tidak bisa membuktikan siapa sebenarnya yang login saat kejadian tertentu.

Alasan staf memakai akun bersama biasanya praktis, bukan karena mengabaikan aturan: komputer terbatas, proses login-logout dianggap memperlambat pelayanan saat pasien mengantre, atau staf baru belum punya akun sendiri karena proses pengajuan lambat. Ini menunjukkan masalah login bersama sebenarnya adalah gejala dari Kontrol 2 yang lemah — proses pembuatan akun baru yang terlalu lambat mendorong staf mencari jalan pintas.

Solusi bukan sekadar melarang, tapi membenahi akar masalahnya: percepat proses pengajuan akun baru untuk staf baru atau staf yang mutasi masuk, dan pastikan jumlah workstation memadai untuk beban kerja shift. Larangan tanpa perbaikan proses hanya memindahkan pelanggaran, bukan menghilangkannya.

Dasar Hukum

• Permenkes No. 24 Tahun 2022 tentang Rekam Medis — mewajibkan fasilitas pelayanan kesehatan menjaga kerahasiaan, integritas, dan ketersediaan rekam medis elektronik melalui kontrol akses dan autentikasi yang dapat menelusuri tindakan ke individu penanggung jawab.
• Standar Akreditasi Rumah Sakit (STARKES), KMK HK.01.07/MENKES/1596/2024 — Bab MRMIK menilai kepemilikan daftar hak akses tertulis, prosedur pemberian dan pencabutan akses, serta ketersediaan audit trail sebagai bagian dari penilaian kepatuhan pengelolaan rekam medis dan informasi kesehatan.
• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi — mengategorikan data kesehatan sebagai data pribadi bersifat spesifik yang wajib dilindungi lebih ketat oleh pengendali data, termasuk kewajiban menjaga agar akses hanya diberikan kepada pihak yang berwenang.

Membangun Prosedur, Bukan Menunggu Ditemukan Surveyor

Cara paling efektif menutup celah ini bukan menunggu jadwal survei akreditasi lalu terburu-buru membersihkan daftar pengguna, melainkan menjadikan siklus hidup akses sebagai proses rutin yang berjalan setiap kali ada perubahan status kepegawaian. Tiga langkah praktis yang bisa mulai diterapkan tanpa menunggu penggantian sistem:

Pertama, minta Unit IT menarik daftar seluruh akun aktif di SIMRS dan RME, lalu cocokkan dengan data kepegawaian terbaru dari SDM. Selisihnya — akun aktif milik pegawai yang sudah tidak lagi di unit atau posisi itu — adalah daftar prioritas yang harus segera ditindaklanjuti.

Kedua, tetapkan alur komunikasi baku: begitu SDM memproses surat pindah unit, cuti panjang, atau pengunduran diri, ada pemberitahuan otomatis atau checklist wajib ke Unit IT untuk menyesuaikan akses — dengan batas waktu penyelesaian yang disepakati bersama, misalnya dalam 1–2 hari kerja.

Ketiga, jadwalkan review akses berkala — bukan hanya saat ada perubahan kepegawaian, tapi juga audit rutin triwulanan untuk menangkap kasus yang mungkin terlewat, seperti staf kontrak yang kontraknya berakhir tanpa surat resmi atau staf magang yang masa tugasnya sudah lewat.

Ketiga langkah ini tidak membutuhkan investasi sistem baru — yang dibutuhkan adalah kejelasan siapa bertanggung jawab dan batas waktu yang benar-benar dijalankan, bukan sekadar tertulis di kebijakan.

FAQ

Kenapa akun SIMRS pegawai yang resign atau pindah unit harus segera dinonaktifkan?

Karena akun yang tetap aktif setelah pegawai pindah atau resign membuka akses tak berwenang ke data rekam medis pasien — pelanggaran langsung terhadap kewajiban kerahasiaan di Permenkes 24/2022 dan berpotensi menjadi temuan surveyor pada bab MRMIK saat akreditasi. Selama akun itu aktif, setiap perubahan data yang tercatat di audit trail masih atas nama pemilik akun lama, bukan siapa pun yang benar-benar login.

Apa saja 4 kontrol hak akses yang biasa dicek surveyor pada bab MRMIK?

Empat kontrol itu: (1) daftar hak akses tertulis per peran/jabatan, bukan per individu; (2) prosedur permohonan dan persetujuan akun baru yang terdokumentasi; (3) prosedur perubahan dan pencabutan akses saat pegawai pindah unit, cuti panjang, atau resign, dengan batas waktu yang jelas; dan (4) audit trail yang bisa menunjukkan siapa mengakses atau mengubah data, kapan, dan dari peran apa.

Apakah login bersama atau akun sharing di poli melanggar aturan?

Ya. Permenkes 24/2022 mensyaratkan autentikasi unik per pengguna agar setiap tindakan pada rekam medis elektronik bisa ditelusuri ke individu yang bertanggung jawab. Login bersama membuat audit trail tidak bisa membedakan siapa sebenarnya yang mengubah data — sehingga akuntabilitas hilang meskipun sistemnya sendiri sudah mencatat log.

Apa risiko hukum bila data pasien diakses lewat akun yang seharusnya sudah dicabut?

Data kesehatan tergolong data pribadi bersifat spesifik dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, dengan kewajiban perlindungan lebih ketat bagi pengendali data — dalam hal ini RS. Akses yang terjadi lewat akun yang seharusnya sudah dinonaktifkan berpotensi dinilai sebagai kegagalan pengendali data menjaga keamanan data pribadi, di luar konsekuensi administratif dari sisi akreditasi.

Siapa yang sebaiknya memimpin evaluasi siklus hidup akun SIMRS di rumah sakit?

Evaluasi ini tidak bisa berhenti di meja Unit IT saja, karena informasi pegawai pindah atau resign datang dari SDM, sementara kebutuhan akses harian datang dari kepala unit. Wadir Pelayanan atau Wadir yang membawahi MRMIK berperan sebagai koordinator yang memastikan tiga pihak — SDM, kepala unit, dan IT — punya alur komunikasi baku setiap kali status kepegawaian berubah.

Sumber

• Peraturan Menteri Kesehatan Republik Indonesia Nomor 24 Tahun 2022 tentang Rekam Medis. peraturan.bpk.go.id.
• Standar Akreditasi Rumah Sakit (STARKES), Keputusan Menteri Kesehatan RI Nomor HK.01.07/MENKES/1596/2024 — Bab Manajemen Rekam Medis dan Informasi Kesehatan (MRMIK). Kementerian Kesehatan RI.
• Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. peraturan.bpk.go.id.