UU PDP dan SIMRS: 5 Kontrol Keamanan Data yang Wajib Dipenuhi Sebelum Kontrak Vendor

Rumah sakit adalah pengendali data pribadi, dan data rekam medis termasuk kategori paling ketat dalam UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Konsekuensinya praktis: sebelum meneken kontrak SIMRS — baru maupun perpanjangan — direksi perlu memastikan lima kontrol keamanan benar-benar ada di sistem dan tertulis di perjanjian, bukan sekadar dijanjikan saat demo produk.

Masa transisi dua tahun UU PDP berakhir pada 17 Oktober 2024. Sejak tanggal itu, seluruh kewajiban materiil berlaku penuh bagi setiap pengendali data pribadi, termasuk rumah sakit. Yang sering disalahpahami: keterlambatan pembentukan lembaga pengawas tidak menunda berlakunya kewajiban tersebut, dan tidak menunda ketentuan pidana yang menyertainya.

Mengapa Data Rekam Medis Masuk Kategori Paling Ketat

Pasal 4 UU No. 27 Tahun 2022 membagi data pribadi menjadi data bersifat umum dan data bersifat spesifik. Data dan informasi kesehatan berada dalam kategori spesifik, bersama data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Undang-undang mendefinisikan data kesehatan sebagai catatan atau keterangan individu yang berkaitan dengan kesehatan fisik, kesehatan mental, dan/atau pelayanan kesehatan.

Klasifikasi ini bukan label administratif. Data spesifik memicu kewajiban yang lebih berat, termasuk penilaian dampak pelindungan data pribadi untuk pemrosesan berisiko tinggi dan kewajiban menunjuk pejabat pelindungan data. Sebuah SIMRS yang menyimpan diagnosis, hasil laboratorium, resep, dan riwayat rawat inap karena itu berada pada tingkat kewajiban tertinggi yang dikenal hukum Indonesia — setara dengan data biometrik dan genetika.

Kedudukan hukum juga perlu diluruskan sejak awal negosiasi. RS yang menentukan tujuan dan kendali pemrosesan berkedudukan sebagai pengendali data pribadi; vendor SIMRS yang memproses atas instruksi RS berkedudukan sebagai prosesor. Kewajiban utama melekat pada pengendali — kontrak yang mengalihkan seluruh tanggung jawab kepatuhan kepada vendor tidak memindahkan kewajiban hukum RS.

Kontrol 1: Enkripsi Data Pasien Saat Disimpan dan Saat Dikirim

Pasal 35 UU No. 27 Tahun 2022 mewajibkan pengendali data pribadi melindungi dan memastikan keamanan data yang diprosesnya dengan menyusun langkah teknis dan operasional pelindungan. Enkripsi adalah bentuk paling dasar dari langkah teknis tersebut, dan harus dipastikan berlaku pada dua titik sekaligus: data yang tersimpan di basis data (at rest) dan data yang berpindah antar-sistem (in transit).

Titik yang paling sering luput di lingkungan RS justru bukan basis data utama, melainkan jalur pinggirannya: sinkronisasi ke SatuSehat, pertukaran data dengan V-Claim, integrasi hasil laboratorium dan radiologi, serta — yang paling rawan — berkas dump basis data yang dibuat tim IT saat migrasi atau troubleshooting dan kemudian tertinggal di penyimpanan bersama tanpa enkripsi.

Tiga hal yang perlu dikonfirmasi ke vendor sebelum tanda tangan: apakah enkripsi at rest aktif secara default atau opsional; di mana kunci enkripsi disimpan dan siapa yang dapat mengaksesnya; serta apakah seluruh endpoint integrasi sudah memakai kanal terenkripsi. Jawaban "sistem kami aman" tanpa keterangan teknis bukan jawaban yang dapat diaudit.

Kontrol 2: Log Akses dan Jejak Audit yang Tidak Dapat Diubah

Log akses adalah kontrol yang menentukan apakah rumah sakit mampu memenuhi tenggat notifikasi kebocoran. Pasal 46 UU No. 27 Tahun 2022 mewajibkan pengendali menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data yang terdampak dan kepada lembaga pengawas ketika terjadi kegagalan pelindungan data pribadi.

Tenggat tiga hari itu bukan waktu untuk mulai menyelidiki — itu waktu untuk sudah selesai memastikan siapa saja yang terdampak. Tanpa log akses tingkat rekam medis, RS tidak dapat menjawab hal paling mendasar dalam sebuah insiden: rekam medis pasien mana yang benar-benar terbuka, oleh akun mana, dan pada jam berapa. Log yang hanya mencatat login dan logout tidak memadai untuk keperluan ini.

Spesifikasi minimal yang layak dituntut dari SIMRS: pencatatan per-akses pada tingkat rekam medis pasien (siapa membuka rekam medis siapa, kapan, dari alamat IP mana); log yang tidak dapat dihapus atau diubah oleh pengguna aplikasi, termasuk oleh administrator sistem; retensi log yang cukup panjang untuk kebutuhan investigasi dan survei akreditasi; serta kemampuan mengekspor log untuk keperluan audit internal maupun pemeriksaan eksternal. Kebutuhan yang sama juga menopang bab MRMIK dalam STARKES, sehingga investasinya terpakai ganda.

Kontrol 3: Isolasi Data Antar-Tenant pada SIMRS Berbasis Cloud

Semakin banyak SIMRS ditawarkan sebagai layanan cloud multi-tenant — satu instans aplikasi melayani banyak rumah sakit sekaligus. Model ini menurunkan beban infrastruktur RS, tetapi memindahkan satu risiko baru ke meja direksi: kegagalan isolasi yang membuat data satu RS dapat terlihat oleh RS lain dalam satu instans yang sama.

Isolasi dapat dirancang pada beberapa tingkat: basis data terpisah per RS, skema terpisah dalam satu basis data, atau sekadar penyaringan berdasarkan kolom identitas tenant di tingkat aplikasi. Model terakhir adalah yang paling rapuh — satu kueri yang lupa menyertakan penyaring tenant sudah cukup untuk membocorkan data lintas rumah sakit, dan kekeliruan seperti ini tidak terlihat dalam demo produk.

Karena itu, empat hal perlu tertulis dalam kontrak dan bukan menjadi asumsi: di mana data disimpan secara fisik, model isolasi apa yang dipakai, siapa dari pihak vendor yang memiliki akses ke basis data produksi, dan bagaimana akses itu dicatat. Kerangka evaluasi yang lebih luas untuk aspek ini dapat dilihat pada tujuh syarat wajib saat menilai vendor RME dan SIMRS untuk RS tipe C dan D.

Kontrol 4: Mekanisme Penghapusan dan Retensi Data

UU PDP memberi subjek data hak untuk mengakhiri pemrosesan, menghapus, dan memusnahkan data pribadinya sesuai ketentuan yang berlaku. Bagi rumah sakit, hak ini berinteraksi dengan kewajiban retensi rekam medis di sektor kesehatan — dan interaksi itulah yang harus dipetakan sebelum kontrak, bukan saat permintaan pertama datang dari pasien.

Peraturan Menteri Kesehatan No. 24 Tahun 2022 tentang Rekam Medis mengatur jangka waktu penyimpanan rekam medis elektronik serta mewajibkan fasilitas pelayanan kesehatan menjamin keamanan, keutuhan, kerahasiaan, dan ketersediaan datanya. Rumah sakit karena itu tidak dapat menghapus rekam medis semata-mata atas permintaan, tetapi juga tidak dapat menyimpannya tanpa batas dan tanpa dasar.

Yang perlu dibuktikan ada di dalam sistem: kemampuan menghapus atau menganonimkan data secara selektif ketika masa retensi berakhir; kejelasan apakah penghapusan berlaku pula pada seluruh salinan cadangan dan arsip; serta prosedur pengembalian dan pemusnahan data saat kontrak berakhir. Butir terakhir adalah yang paling sering absen — banyak perjanjian mengatur bagaimana data masuk ke sistem vendor, tetapi tidak mengatur bagaimana data keluar ketika kerja sama selesai.

Kontrol 5: Klausul Pemrosesan Data dalam Perjanjian Vendor

Kontrol kelima bukan fitur teknis, melainkan pasal dalam perjanjian. Karena kewajiban hukum tetap melekat pada rumah sakit sebagai pengendali, satu-satunya cara RS mengelola risiko yang dijalankan pihak lain adalah mengikatnya secara kontraktual. Perjanjian pemrosesan data yang memadai setidaknya memuat lima hal.

Pertama, penegasan kedudukan para pihak: RS sebagai pengendali, vendor sebagai prosesor yang hanya memproses berdasarkan instruksi tertulis RS. Kedua, larangan pemakaian data pasien untuk tujuan di luar layanan yang diperjanjikan — termasuk untuk pengembangan produk, pengujian sistem, atau pelatihan model analitik — kecuali dengan dasar dan persetujuan yang sah. Ketiga, kewajiban vendor memberitahukan insiden keamanan kepada RS dalam tenggat internal yang lebih ketat daripada 3 x 24 jam, karena RS-lah yang wajib melapor keluar dan membutuhkan waktu untuk memverifikasi.

Keempat, pengaturan subkontraktor: apakah vendor boleh melibatkan pihak ketiga seperti penyedia cloud atau mitra integrasi, dan apakah RS berhak menyetujui atau menolaknya. Kelima, hak audit — hak RS meminta bukti kepatuhan berkala, dan hak melakukan atau menunjuk pihak untuk melakukan pemeriksaan keamanan.

Perlu dicatat pula bahwa Pasal 53 UU PDP mewajibkan penunjukan pejabat yang menjalankan fungsi pelindungan data pribadi dalam hal pemrosesan dilakukan untuk kepentingan pelayanan publik, berskala besar, atau menyangkut data pribadi bersifat spesifik. Rumah sakit umumnya memenuhi lebih dari satu kriteria tersebut sekaligus.

Open Source atau Berbayar: Kewajiban Hukum Tidak Berpindah

Model lisensi tidak menentukan kepatuhan. SIMRS open source seperti Khanza atau SIMGOS dan SIMRS berbayar sama-sama harus dibuktikan memenuhi lima kontrol yang sama; UU PDP tidak mengenal pengecualian berdasarkan cara sebuah perangkat lunak diperoleh. Yang berbeda hanyalah siapa yang menanggung pemeliharaan kontrol tersebut, dan bagaimana bukti kepatuhannya dikumpulkan.

Pada SIMRS berbayar, RS dapat mengalihkan pelaksanaan kontrol kepada vendor dan mengikatnya lewat perjanjian pemrosesan data serta hak audit. Kelemahannya, RS bergantung pada transparansi vendor dan sering kali tidak dapat memeriksa langsung bagaimana kontrol itu diterapkan.

Pada SIMRS open source, RS memperoleh keleluasaan penuh memeriksa dan memodifikasi sistem, tetapi seluruh beban pemeliharaan berpindah ke dalam: menambal celah keamanan, mengelola kunci enkripsi, memastikan log tidak dapat diubah, dan mendokumentasikan semuanya untuk keperluan audit. Beban ini nyata dan berkelanjutan. Rumah sakit yang memilih open source tanpa tim internal atau integrator yang mampu memikulnya berada pada posisi risiko lebih tinggi, bukan lebih rendah — sekalipun biaya lisensinya nol.

Kesimpulan praktis untuk direksi: bandingkan kedua opsi bukan pada harga lisensi, melainkan pada total kapasitas yang dibutuhkan untuk mempertahankan lima kontrol tersebut selama masa pakai sistem.

Dasar Hukum

Status Lembaga Pengawas dan Implikasinya bagi RS

Badan Pelindungan Data Pribadi yang diamanatkan UU PDP belum terbentuk hingga pertengahan 2026. Kementerian Komunikasi dan Digital menyatakan Peraturan Presiden pembentukan badan tersebut masih disusun dan menargetkan rampung pada 2026, sementara ketentuan mengenai pembentukan lembaga pengawas tengah diuji secara materiil di Mahkamah Konstitusi (Kompas, 27 Juli 2026).

Kekosongan ini kerap dibaca keliru sebagai penundaan kewajiban. Yang tertunda adalah penegakan sanksi administratif, karena lembaga yang berwenang menjatuhkannya belum ada; fungsi pengawasan sementara dijalankan Kementerian Komunikasi dan Digital. Kewajiban materiil dan ketentuan pidana dalam undang-undang tetap berlaku tanpa menunggu badan tersebut berdiri.

Bagi direksi RS, implikasinya sederhana. Kontrak SIMRS umumnya berjalan tiga sampai lima tahun, sehingga sistem yang diteken hari ini hampir pasti masih beroperasi ketika lembaga pengawas sudah aktif dan mulai memeriksa kepatuhan. Membangun kelima kontrol di awal jauh lebih murah daripada meretrofit sistem yang sudah berisi rekam medis bertahun-tahun — apalagi dibanding menangani satu insiden kebocoran yang harus dilaporkan dalam tiga hari tanpa log yang memadai.

Yang Perlu Dipastikan Sebelum Tanda Tangan

Ringkasan yang dapat langsung dipakai sebagai bahan pemeriksaan bersama tim IT dan bagian hukum RS:

1. Enkripsi — aktif secara default untuk data tersimpan dan data dalam pengiriman, termasuk pada seluruh jalur integrasi SatuSehat dan V-Claim; kejelasan lokasi dan pemegang kunci enkripsi.
2. Log akses — pencatatan hingga tingkat rekam medis per pasien, tidak dapat diubah oleh pengguna maupun administrator, dapat diekspor untuk audit.
3. Isolasi data — model isolasi tenant dinyatakan tertulis, lokasi penyimpanan jelas, akses personel vendor ke basis data produksi tercatat dan terbatas.
4. Penghapusan dan retensi — mekanisme hapus selektif yang menjangkau salinan cadangan, selaras dengan ketentuan retensi rekam medis, disertai prosedur pengembalian dan pemusnahan data saat kontrak berakhir.
5. Klausul pemrosesan data — kedudukan pengendali dan prosesor, larangan pemakaian data di luar tujuan yang diperjanjikan, tenggat notifikasi insiden internal, pengaturan subkontraktor, dan hak audit RS.

Kelimanya sebaiknya masuk ke dokumen pengadaan sejak tahap permintaan penawaran — setelah pemenang ditetapkan, posisi tawar RS untuk menuntut kontrol yang belum tersedia di produk jauh lebih lemah.

FAQ

Apakah rumah sakit termasuk pengendali data pribadi menurut UU PDP?

Ya. Rumah sakit menentukan tujuan dan mengendalikan pemrosesan data pasien, sehingga berkedudukan sebagai pengendali data pribadi dalam UU No. 27 Tahun 2022. Vendor SIMRS yang memproses data atas instruksi RS berkedudukan sebagai prosesor.

Kedudukan ini penting karena kewajiban utama — termasuk memastikan keamanan pemrosesan dan menotifikasi kebocoran data — melekat pada pengendali, bukan pada penyedia sistem. Klausul kontrak yang menyatakan vendor bertanggung jawab penuh atas kepatuhan tidak memindahkan kewajiban hukum RS; ia hanya mengatur hubungan ganti rugi di antara kedua pihak.

Apakah kewajiban UU PDP sudah berlaku meski Badan PDP belum terbentuk?

Sudah. Masa transisi dua tahun UU No. 27 Tahun 2022 berakhir pada 17 Oktober 2024 dan seluruh kewajiban materiil berlaku sejak saat itu. Lembaga pengawas yang diamanatkan undang-undang memang belum dibentuk hingga pertengahan 2026 — Kementerian Komunikasi dan Digital menyatakan Peraturan Presiden pembentukannya masih disusun.

Yang tertunda adalah penegakan sanksi administratif, bukan keberlakuan kewajiban. Ketentuan pidana dalam undang-undang tidak menunggu keberadaan lembaga pengawas.

Berapa lama rumah sakit harus melaporkan kebocoran data pasien?

UU No. 27 Tahun 2022 Pasal 46 mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data yang terdampak dan kepada lembaga pengawas ketika terjadi kegagalan pelindungan data pribadi.

Bagi rumah sakit, tenggat ini hanya realistis apabila SIMRS sudah memiliki log akses dan mekanisme deteksi yang mampu mengidentifikasi cakupan insiden dalam hitungan jam. Inilah alasan log akses tingkat rekam medis diperlakukan sebagai kontrol wajib, bukan fitur tambahan.

Apakah SIMRS open source lebih berisiko dibanding SIMRS berbayar dari sisi UU PDP?

Model lisensi tidak menentukan kepatuhan. Baik SIMRS open source seperti Khanza atau SIMGOS maupun SIMRS berbayar sama-sama harus dibuktikan memenuhi kontrol teknis yang sama: enkripsi, kendali akses, jejak audit, isolasi data, dan mekanisme penghapusan.

Perbedaannya terletak pada siapa yang menanggung pemeliharaan kontrol tersebut. Pada open source, tanggung jawab itu berpindah ke tim internal RS atau integrator yang ditunjuk — beban berkelanjutan yang perlu diperhitungkan sebagai bagian dari total biaya kepemilikan sistem.

Sumber

• Republik Indonesia. Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. jdih.komdigi.go.id
• Republik Indonesia. Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (salinan lengkap). peraturan.bpk.go.id
• Kementerian Kesehatan RI. Peraturan Menteri Kesehatan No. 24 Tahun 2022 tentang Rekam Medis. jdih.kemkes.go.id
• Republik Indonesia. Peraturan Pemerintah No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. jdihn.go.id
• Kompas.com. Komdigi Ungkap Perpres Pembentukan Badan Pelindungan Data Pribadi Sedang Disusun (27 Juli 2026). nasional.kompas.com
• Kompas.com. Di MK, DPR Dorong Pemerintah Segera Bentuk Badan Pelindungan Data Pribadi (27 Juli 2026). nasional.kompas.com