[01]
Berjalan Jejak audit anti-rusak
Operasi rekam medis dicatat pada jejak audit berbasis hash-chain SHA-256 sehingga perubahan data dapat ditelusuri dan sulit dimanipulasi diam-diam.
Panduan Regulasi · UU 27/2022 PDP
Keamanan DataRekam Medis
Data kesehatan adalah data pribadi paling sensitif. Ini penjelasan kontrol keamanan yang konkret — bukan sekadar 'aman & terenkripsi' — dikaitkan kewajiban UU 27/2022 tentang Pelindungan Data Pribadi, lengkap dengan batas tanggung jawab yang jujur.
Kedudukan hukum
Rumah sakit adalah pengendali data pribadi.
Data kesehatan pasien tergolong data pribadi bersifat spesifik dalam UU 27/2022 tentang Pelindungan Data Pribadi. Rumah sakit umumnya berkedudukan sebagai pengendali data — bertanggung jawab atas dasar pemrosesan, keamanan, pemenuhan hak subjek data, hingga penanganan insiden kebocoran.
Sistem informasi yang baik tidak menghilangkan tanggung jawab itu, tapi menyediakan kontrol teknis yang membuatnya bisa dipenuhi dan dibuktikan. Berikut yang disediakan Adievia — apa adanya.
Catatan sumber: salinan resmi PP 33/2026 belum tersedia di peraturan.go.id maupun JDIH BPK per 8 November 2026. Nomor pasal di halaman ini kami cocokkan dengan salinan teks yang beredar di basis data hukum, dan satu basis data mencatat tanggal pengundangan 15 Juli 2026, bukan 16 Juli. Status Lembaga PDP: ANTARA, 4 November 2026.
Kontrol teknis
Konkret, dengan status yang jujur
Setiap kontrol diberi label status apa adanya — Berjalan, Sebagian, atau Dimatangkan. Kami tidak menandai semuanya "selesai".
[02]
Sebagian Enkripsi field-level AES-256-GCM
Data sensitif dienkripsi di tingkat kolom saat tersimpan; transport diamankan TLS 1.2/1.3. Cakupan menyeluruh untuk seluruh field sensitif masih dalam pematangan.
[03]
Berjalan RBAC granular
Hak akses per peran dan per modul, sinkron antara aplikasi dan database — mendukung prinsip kebutuhan-tahu atas data pasien.
[04]
Berjalan MFA (TOTP/WebAuthn)
Multi-faktor dengan TOTP (RFC 6238), passkey/WebAuthn, dan backup code. Akun berperan istimewa wajib memasangnya sebelum bisa memakai sistem, dan tidak bisa mematikannya sendiri.
Batas yang jujur
Teknologi menangani kontrol; kepatuhan organisasi tetap milik rumah sakit.
Penunjukan DPO, penyusunan kebijakan perlindungan data, dasar pemrosesan (consent), dan kewajiban pemberitahuan kebocoran kepada otoritas serta subjek data adalah tanggung jawab rumah sakit sebagai pengendali data. Adievia menyediakan jejak audit, enkripsi, dan pengendalian akses yang mendukung pemenuhan kewajiban itu — bukan menggantikannya. Vendor yang jujur tidak menjanjikan "PDP beres otomatis".
FAQ
Pertanyaan seputar keamanan data & PDP.
Karena rumah sakit memproses data pasien, termasuk data kesehatan yang tergolong data pribadi bersifat spesifik. Dalam UU 27/2022, rumah sakit umumnya berkedudukan sebagai pengendali data pribadi — bertanggung jawab atas dasar pemrosesan, keamanan, pemenuhan hak subjek data, hingga penanganan insiden.
Bukan sekadar "aman dan terenkripsi": jejak audit anti-rusak berbasis hash-chain SHA-256, enkripsi field-level AES-256-GCM untuk data sensitif saat tersimpan, TLS 1.2/1.3 saat dikirim, serta RBAC granular. MFA (TOTP, passkey/WebAuthn, backup code) sudah berjalan dan wajib bagi akun berperan istimewa. Cakupan enkripsi menyeluruh masih kami formalkan menjelang audit pihak ketiga (Q1–Q2 2027) — kami menyatakannya apa adanya.
Sistem mendukung pencatatan dan penelusuran (jejak audit) yang membantu deteksi dan investigasi insiden. Namun kewajiban hukum pemberitahuan kebocoran kepada otoritas dan subjek data, paling lambat 3×24 jam (PP 33/2026 Pasal 114), serta penunjukan pejabat pelindungan data pribadi, tetap menjadi tanggung jawab rumah sakit sebagai pengendali data. Kami menyediakan kontrol teknis, bukan menggantikan kepatuhan organisasi.
PP 33/2026, peraturan pelaksana UU 27/2022, diundangkan 16 Juli 2026 menurut salinan teks yang beredar, dan mulai berlaku 16 Januari 2027 (Pasal 225). Bagi rumah sakit sebagai pengendali data, kewajibannya menjadi terukur: merekam seluruh kegiatan pemrosesan data pribadi (Pasal 74), menetapkan kebijakan masa retensi (Pasal 75), menanggapi permintaan subjek data paling lambat 3×24 jam (antara lain Pasal 71 dan 77), memberitahukan kegagalan pelindungan data pribadi paling lambat 3×24 jam (Pasal 114), serta melakukan penilaian dampak sebelum pemrosesan berisiko tinggi — termasuk pemrosesan data kesehatan (Pasal 120–121). Transfer data ke luar wilayah Indonesia, termasuk lewat layanan cloud atau pesan, harus punya dasar yang sah. Lembaga Pelindungan Data Pribadi yang akan mengawasinya belum terbentuk per 8 November 2026: menurut Komdigi, rancangan Peraturan Presiden pembentukannya sudah final dan diajukan kepada Presiden melalui Kementerian Sekretariat Negara (4 November 2026). Sampai lembaga itu terbentuk, fungsinya dijalankan Kementerian Komunikasi dan Digital.
Untuk data pasien, vendor SIMRS pada umumnya berkedudukan sebagai prosesor data yang bekerja atas instruksi rumah sakit. Rumah sakit wajib memastikan prosesornya juga merekam kegiatan pemrosesan (Pasal 74), dan hubungan keduanya dituangkan dalam perjanjian pemrosesan data. Adievia menyediakan kontrol teknis dan dokumentasi pendukungnya — keputusan dasar pemrosesan, masa retensi, dan pemberitahuan insiden tetap milik rumah sakit sebagai pengendali.
Ya. UU PDP memberi pasien, sebagai subjek data, hak memperoleh data pribadinya dalam format yang lazim atau dapat dibaca sistem elektronik dan mengirimkannya ke pengendali data lain (Pasal 13). Adievia memungkinkan ekspor data ke format standar (CSV, FHIR R4 JSON, SQL) sewaktu-waktu — tanpa penguncian vendor.
Langkah berikutnya