PP 33/2026 berlaku 16 Januari 2027: lima pekerjaan rumah sakit

UU 27/2022 tentang Pelindungan Data Pribadi berlaku sejak diundangkan pada 17 Oktober 2022, dan masa penyesuaian dua tahunnya berakhir Oktober 2024, tetapi banyak kewajibannya baru terasa samar: “wajib menjaga”, “wajib memberitahukan”, tanpa ukuran. PP 33/2026 mengubahnya. Peraturan pelaksana ini diundangkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027 (Pasal 225: enam bulan sejak diundangkan).

Rumah sakit memproses data kesehatan, yang tergolong data pribadi spesifik. Untuk data pasien, rumah sakit adalah pengendali; vendor sistemnya umumnya prosesor. Berikut lima pekerjaan yang layak dimulai sekarang.

1. Rekam seluruh kegiatan pemrosesan

Pasal 74 mewajibkan pengendali merekam kegiatan pemrosesan data pribadi — antara lain tujuan, dasar, jenis data, pihak yang dapat mengakses, pemetaan aliran data, rincian transfer, masa retensi, dan langkah keamanan — serta memperbaruinya bila berubah. Pengendali juga harus memastikan prosesornya ikut merekam. Mulailah dari daftar sistem: SIMRS, laboratorium, PACS, aplikasi antrean, WhatsApp, email, dan penyimpanan cadangan.

2. Tetapkan kebijakan masa retensi

Pasal 75 mewajibkan kebijakan masa retensi yang tertulis. Untuk rekam medis, masa simpannya mengikuti ketentuan rekam medis; untuk data lain — log akses, rekaman CCTV, data pelamar kerja, percakapan layanan pelanggan — rumah sakit sendiri yang harus menetapkan dan menjalankannya.

3. Siapkan jalur permintaan subjek data 3×24 jam

Permintaan pasien untuk memperbaiki datanya (Pasal 71) atau mengakses datanya (Pasal 77) harus dipenuhi paling lambat 3×24 jam sejak permintaan diterima — jam, bukan hari kerja. Untuk salinan data, rumah sakit wajib mengonfirmasi dan menyampaikan perkiraan waktu penyediaannya paling lambat 3×24 jam sejak permohonan diterima dan terverifikasi, lalu menyerahkan salinannya pada kesempatan pertama (Pasal 78). Tentukan siapa yang menerima permintaan, bagaimana identitas diverifikasi, dan bagaimana tenggatnya dipantau.

4. Lakukan penilaian dampak sebelum memproses

Pemrosesan berisiko tinggi — termasuk pemrosesan data kesehatan — memerlukan penilaian dampak pelindungan data pribadi (Pasal 120), dan penilaian itu dilakukan sebelum pemrosesan berjalan (Pasal 121). Sistem baru yang diluncurkan tahun depan tanpa penilaian dampak akan dimulai dalam keadaan tidak patuh.

5. Uji prosedur insiden dan periksa transfer ke luar negeri

Kegagalan pelindungan data pribadi wajib diberitahukan secara tertulis kepada pasien dan Lembaga paling lambat 3×24 jam sejak diketahui (Pasal 114). Bila insiden mengganggu pelayanan publik, masyarakat juga wajib diberi tahu (Pasal 115). Prosedur yang belum pernah dilatih jarang selesai dalam 72 jam. Periksa juga layanan yang menyimpan data di luar Indonesia — email, pesan instan, layanan cloud — karena transfer ke luar negeri harus punya dasar yang sah, dan persetujuan tidak bisa dipakai untuk transfer yang berulang (Pasal 173).

Yang belum ada

Lembaga Pelindungan Data Pribadi yang akan mengawasi dan menjatuhkan sanksi administratif belum terbentuk. Rancangan Peraturan Presiden pembentukannya sudah diharmonisasi dan diajukan penetapannya kepada Presiden lewat surat Menteri PANRB tertanggal 20 Mei 2026; sementara itu fungsi pelindungan data pribadi dijalankan Kementerian Komunikasi dan Digital lewat Direktorat Jenderal Pengawasan Ruang Digital (Kompas, 27 Juli 2026). Per 4 November 2026, Komdigi menyatakan rancangan itu sudah final dan telah diajukan kepada Presiden melalui Kementerian Sekretariat Negara, tetapi belum ditetapkan. Komdigi juga menyiapkan satuan tugas khusus untuk mengawasi insiden data pribadi selama masa transisi (ANTARA, 4 November 2026).

Rincian sejumlah kewajiban juga menunggu lembaga itu. Tata cara pemberitahuan kegagalan (Pasal 119) dan persetujuan transfer ke luar negeri (Pasal 174) akan diatur Peraturan Lembaga, yang baru bisa terbit setelah Lembaga terbentuk. Itu bukan alasan menunggu: kewajibannya berlaku sejak 16 Januari 2027, dan buktinya — rekaman, kebijakan, penilaian — harus sudah ada ketika ditanya.

Posisi kami

Kami menjalankan pekerjaan yang sama untuk sistem Adievia sendiri: rekaman kegiatan pemrosesan, kebijakan masa retensi yang dijalankan otomatis oleh sistem, dan kebijakan privasi yang menyebut setiap transfer ke luar negeri. Sebagai prosesor, kami menyediakan kontrol teknis dan dokumentasi pendukung bagi rumah sakit — keputusan hukumnya tetap milik rumah sakit sebagai pengendali. Artikel ini bukan nasihat hukum.

Lanjutannya: PP 33/2026 tinggal sepuluh pekan: bukti apa yang harus sudah ada. Catatan sumber: salinan resmi PP 33/2026 belum tersedia di peraturan.go.id maupun JDIH BPK per 8 November 2026; nomor pasal di sini kami cocokkan dengan salinan teks yang beredar di basis data hukum.

Selengkapnya: panduan keamanan data dan UU PDP.