PDP: tiga aturan hukum, tiga warna untuk setiap field
Pelindungan Data Pribadi untuk sistem yang terhubung ke SATUSEHAT: kenapa data pasien tidak boleh ada di log, dan field FHIR mana yang dibuang
Hanya hukum Indonesia yang mengikat sistem yang terhubung ke SATUSEHAT: UU 27/2022, UU 17/2023, dan Permenkes 24/2022.
Semua pasal dibaca dari PDF resmi di peraturan.bpk.go.id, diakses 2026-10-27.
Nama resminya "Pelindungan Data Pribadi"; dalam percakapan orang sering menyebut "perlindungan". Keduanya merujuk ke UU yang sama.
Kuis di sini adalah feedback cepat; topik pdp- ikut ditarik lagi di review 0027.
1. Kenapa: tiga aturan, satu kalimat masing-masing (±8 menit)
| Aturan | Yang perlu Anda ucapkan di interview |
|---|---|
| UU 27/2022 Pelindungan Data Pribadi | Data kesehatan adalah data pribadi spesifik, sejajar biometrik, genetika, dan data anak (Pasal 4 ayat (2) huruf a). [1] Penjelasannya: "catatan atau keterangan individu yang berkaitan dengan kesehatan fisik, kesehatan mental, dan/atau pelayanan kesehatan". [1] |
| UU 17/2023 Kesehatan | Setiap orang berhak atas "kerahasiaan data dan informasi Kesehatan pribadinya" (Pasal 4 ayat (1) huruf i), dan penyelenggara Sistem Informasi Kesehatan "wajib menjamin pelindungan data dan informasi Kesehatan setiap individu" (Pasal 351 ayat (1)). [2] |
| Permenkes 24/2022 Rekam Medis | Isi rekam medis "wajib dijaga kerahasiaannya … walaupun Pasien telah meninggal dunia" (Pasal 32 ayat (1)), juga oleh "pihak lain yang memiliki akses terhadap data dan informasi kesehatan Pasien" (ayat (2) huruf f). Rekam medis elektronik wajib terhubung ke platform interoperabilitas Kemenkes (Pasal 21), yaitu SATUSEHAT dalam praktiknya. [3] |
Tiga konsekuensi yang langsung menyentuh pekerjaan developer:
- Definisinya luas. Data pribadi termasuk data yang bisa mengidentifikasi orang "dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung" (UU PDP Pasal 1 angka 1). Nomor HP dan IP address disebut sebagai contoh. [1] Membuang nama saja tidak cukup kalau diagnosis, tanggal, dan faskes masih ada di baris log yang sama.
- Vendor ikut terikat. Kalau perusahaan Anda memproses data atas nama rumah sakit, Anda prosesor. Kewajiban keamanan dan kerahasiaan (Pasal 35–39) "berlaku juga terhadap Prosesor Data Pribadi" (Pasal 52). [1]
- Log bocor = insiden. Kebocoran wajib diberitahukan secara tertulis "paling lambat 3 x 24 (tiga kali dua puluh empat) jam" kepada subjek data dan lembaga PDP (Pasal 46 ayat (1)). [1] Sanksinya mulai dari denda administratif sampai 2% pendapatan tahunan (Pasal 57 ayat (3)) hingga pidana untuk pengungkapan yang disengaja dan melawan hukum (Pasal 67). [1]
Tafsiran, bukan bunyi pasal: UU PDP tidak memakai istilah pseudonim, anonim, atau enkripsi sama sekali. Tapi data yang di-HMAC atau di-hash masih bisa dihubungkan kembali oleh pemegang kunci, jadi masih memenuhi unsur "dapat diidentifikasi … tidak langsung". Jawaban aman di interview: "Log yang sudah dipseudonimkan tetap saya perlakukan sebagai data pribadi: aksesnya dibatasi."
Belum terverifikasi (diakses 2026-10-27), jangan dijadikan inti jawaban: (1) PP No. 33 Tahun 2026, aturan pelaksana UU PDP, dilaporkan ditetapkan Juli 2026 dan berlaku Januari 2027. Sumbernya hanya berita, dan PP ini belum ada di database BPK. (2) Kepmenkes HK.01.07/Menkes/721/2026 tentang Pedoman Pelindungan Data Pribadi dan kewajiban kontrol keamanan bagi sistem yang terhubung ke SATUSEHAT. Sumbernya hanya artikel GovInsider; situs Kemenkes tidak bisa diakses saat riset. (3) Lembaga pengawas PDP: per siaran pers Komdigi 22 Juli 2026 masih "tengah memfinalisasi". Kalau pewawancara menyebutnya, jawab: "Per yang terakhir saya baca, …", lalu kembali ke UU dan Permenkes.
Latihan 1 — Dasar hukum
Jawab tanpa scroll ke atas.
2. Apa: tiga warna untuk setiap field (±12 menit)
Inti jawaban Anda. Kelompokkan, jangan menghafal daftar panjang. Tiga kelompok yang dibuang, satu kelompok yang disamarkan untuk korelasi, dan sisanya aman. Contoh memakai resource SATUSEHAT dari lesson 0022.
| Kelompok | Contoh field FHIR / SATUSEHAT | |
|---|---|---|
| 🔴 drop | Identitas |
Patient.identifier: NIK (https://fhir.kemkes.go.id/id/nik), KK, paspor, nomor rekam medis lokal · name · telecom · address (termasuk extension administrativeCode sampai desa, RT, RW) · birthDate lengkap · photo · NIK tenaga kesehatan. [4]
|
| 🔴 drop | Isi klinis |
Condition.code (ICD-10) · Observation.value[x] dan code (LOINC) · obat (KFA) · note · narrative text.div · lampiran.
Modul privasi FHIR R4 menggolongkan code dan value[x] Observation sebagai indirect identifier. [5]
|
| 🔴 drop | Kredensial |
client_secret · header Authorization: Bearer … · body respons token SATUSEHAT. OWASP: access token, password, dan secret "should usually not be recorded directly in the logs". [6]
|
| 🟡 HMAC | ID untuk korelasi |
Logical id (Patient/{patient-ihs-number}, Encounter/…) · nomor IHS · user id / practitioner id. Dibutuhkan untuk menelusuri satu pasien atau satu user lintas log, tapi disimpan sebagai HMAC (lihat lesson 0026).
|
| 🟢 aman | Metadata operasional |
resourceType · jenis interaksi (read, search, create) · route template (GET /Patient, tanpa query) · status HTTP · latensi · jumlah entry Bundle · OperationOutcome.issue.severity dan issue.code.
|
Kenapa diagnosis tetap merah walaupun nama sudah dibuang: label keamanan FHIR mencontohkan "a Diagnostic Report with an HIV test is always highly confidential, whereas a routine electrolytes report is rarely particularly confidential". [7] Diagnosis ditambah tanggal kunjungan dan faskes sudah cukup untuk menunjuk satu orang di kota kecil.
Latihan 2 — Field mana, warna apa?
Latihan lisan — Dasar hukum (±3 menit)
Pasang timer, jawab dengan suara keras seolah sedang interview, baru buka jawaban contoh.
"Kenapa data kesehatan di log itu masalah hukum, bukan sekadar best practice?" (60 detik)
Bandingkan dengan jawaban contoh dan checklist-nya
"Karena ada aturan yang mengikat, bukan cuma saran. UU 27/2022 Pasal 4 ayat (2) menggolongkan data kesehatan sebagai data pribadi spesifik, sejajar biometrik dan data anak. UU 17/2023 Pasal 351 mewajibkan penyelenggara Sistem Informasi Kesehatan menjamin pelindungan data Kesehatan setiap individu, dan Permenkes 24/2022 Pasal 32 mewajibkan isi rekam medis dirahasiakan, bahkan setelah pasien meninggal, termasuk oleh pihak lain yang punya akses. Sebagai vendor, kami biasanya prosesor, dan UU PDP Pasal 52 memberlakukan kewajiban keamanan dan kerahasiaan juga ke prosesor. Definisinya luas: data yang bisa mengidentifikasi orang kalau dikombinasi dengan informasi lain, jadi membuang nama saja tidak cukup. Kalau log bocor, itu insiden: pemberitahuan tertulis ke subjek data dan lembaga PDP paling lambat 3×24 jam (Pasal 46), dengan sanksi mulai denda administratif sampai 2% pendapatan tahunan hingga pidana untuk pengungkapan yang disengaja."
Checklist: apakah Anda menyebut…
- UU 27/2022 Pasal 4: data kesehatan = data pribadi spesifik?
- UU 17/2023 Pasal 351 atau Permenkes 24/2022 Pasal 32: wajib dirahasiakan, juga setelah pasien meninggal?
- vendor = prosesor, ikut terikat kewajiban keamanan (UU PDP Pasal 52)?
- definisi luas: teridentifikasi lewat kombinasi, membuang nama saja tidak cukup?
- log bocor = insiden: beri tahu subjek dan lembaga dalam 3×24 jam (Pasal 46)?
- sanksi: denda administratif sampai 2% pendapatan tahunan, pidana untuk pengungkapan disengaja?
Lulus kalau minimal 4 dari 6.
Berikutnya, lesson 0025: empat jebakan yang membuat field 🔴 tetap lolos ke log, dan enam saluran tempat data biasanya bocor.
Sumber (semua diakses 2026-10-27): [1] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (PDF, BPK) · [2] UU No. 17 Tahun 2023 tentang Kesehatan (PDF, BPK) · [3] Permenkes No. 24 Tahun 2022 tentang Rekam Medis (PDF, BPK) · [4] SATUSEHAT: Patient (diakses 2026-10-26, lesson 0022) · [5] FHIR R4 Security and Privacy Module (de-identification) · [6] OWASP Logging Cheat Sheet · [7] FHIR R4 Security Labels