PP 33/2026 tinggal sepuluh pekan: bukti apa yang harus sudah ada

Pada September kami menulis lima pekerjaan rumah sakit menurut PP 33/2026. Sekarang tanggal berlakunya, 16 Januari 2027, tinggal sekitar sepuluh pekan lagi. Pertanyaannya tidak lagi “apa yang wajib”, tetapi dokumen apa yang bisa Anda tunjukkan ketika ada yang bertanya.

Urutan kerja di bawah butuh sekitar enam pekan. Sisa waktunya adalah ruang untuk menutup kekurangan yang ditemukan di tengah jalan, jadi jangan dipakai untuk menunda mulai.

Kewajiban yang dirumuskan sebagai rekaman, kebijakan, dan penilaian hanya bisa dibuktikan dengan dokumen. Niat baik tanpa dokumen tidak bisa ditunjukkan.

Pekan 1–2: daftar sistem dan rekaman pemrosesan

Buat daftar setiap tempat data pasien berada: SIMRS, laboratorium, PACS, aplikasi antrean, WhatsApp, email, penyimpanan cadangan. Untuk setiap sistem, isi rekaman pemrosesan menurut Pasal 74, antara lain: tujuan, dasar, jenis data, pihak yang dapat mengakses, pemetaan aliran data, rincian transfer, masa retensi, langkah keamanan, dan kontak PPDP. Minta setiap vendor, yang berperan sebagai prosesor, mengirim rekamannya sendiri.

Bukti: satu dokumen rekaman pemrosesan yang mencakup semua sistem, bertanggal dan ditandatangani.

Pekan 3: kebijakan masa retensi

Masa simpan rekam medis mengikuti ketentuan rekam medis. Yang sering terlupa adalah data lain: log akses, rekaman CCTV, berkas pelamar kerja, dan percakapan layanan pelanggan. Tetapkan masa retensinya secara tertulis (Pasal 75), dan pastikan ada orang atau sistem yang benar-benar menjalankan penghapusannya.

Bukti: kebijakan retensi tertulis, beserta catatan siapa yang menjalankannya.

Pekan 4: jalur permintaan pasien 3×24 jam

Uji jalurnya dengan satu permintaan pura-pura: pasien meminta salinan datanya. Catat siapa yang menerima permintaan, bagaimana identitas pasien diverifikasi, kapan konfirmasi dan perkiraan waktu penyediaan dikirim, dan kapan salinan diserahkan. Konfirmasi itu wajib paling lambat 3×24 jam sejak permohonan diterima dan terverifikasi, lalu salinannya diserahkan pada kesempatan pertama (Pasal 78). Untuk permintaan akses dan perbaikan data, batas 3×24 jam berlaku untuk pemenuhannya (Pasal 71 dan 77). Semuanya dihitung dalam jam, bukan hari kerja.

Bukti: prosedur tertulis dan catatan hasil uji coba.

Pekan 5: latihan insiden

Jalankan latihan meja satu kali: sebuah laptop berisi data pasien hilang. Siapa yang memutuskan bahwa ini kegagalan pelindungan data? Siapa yang menyusun pemberitahuan? Bisakah semuanya selesai dalam 3×24 jam (Pasal 114)? Pemberitahuan tertulis ditujukan kepada pasien dan Lembaga. Selama Lembaga belum terbentuk, fungsinya dijalankan Komdigi, jadi tetapkan jalur pelaporannya dalam prosedur. Bila insiden mengganggu pelayanan, masyarakat juga wajib diberi tahu (Pasal 115).

Bukti: notulen latihan beserta perbaikan yang disepakati.

Pekan 6: penilaian dampak untuk sistem yang akan datang

Penilaian dampak dilakukan sebelum pemrosesan dimulai (Pasal 121). Kalau ada sistem baru yang direncanakan mulai berjalan pada 2027, misalnya aplikasi pasien atau integrasi baru, mulailah penilaiannya sekarang.

Bukti: dokumen penilaian dampak untuk setiap sistem baru.

Status per 8 November 2026

Lembaga PDP belum terbentuk. Rancangan Peraturan Presidennya sudah final dan diajukan kepada Presiden melalui Kementerian Sekretariat Negara (ANTARA, 4 November 2026). Sampai lembaga itu terbentuk, fungsinya dijalankan Komdigi, dan rincian tata cara pemberitahuan kegagalan (Pasal 119) masih menunggu Peraturan Lembaga.

Satu catatan sumber. Salinan resmi PP 33/2026 belum tersedia di peraturan.go.id maupun JDIH BPK per 8 November 2026. Nomor pasal di artikel ini kami cocokkan dengan salinan teks yang beredar di basis data hukum, dan akan kami cocokkan ulang begitu salinan resminya terbit. Satu basis data mencatat tanggal pengundangan 15 Juli 2026, bukan 16 Juli. Kalau itu yang benar, kewajibannya berlaku sehari lebih awal, jadi siapkan buktinya sebelum 15 Januari.

Posisi kami

Sebagai prosesor, kami menyerahkan rekaman pemrosesan dan dokumentasi kontrol teknis sistem Adievia kepada rumah sakit yang memintanya. Keputusan hukumnya tetap milik rumah sakit sebagai pengendali. Artikel ini bukan nasihat hukum.

Selengkapnya: panduan keamanan data dan UU PDP.