Bagaimana klinik sebaiknya menangani data kesehatan pasien menurut UU PDP?

Mulailah dari ketentuan hukumnya. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), tertanggal 17 Oktober 2022, mencantumkan data kesehatan sebagai data pribadi yang bersifat spesifik dalam Pasal 4. Pasal 20 mewajibkan pengendali menentukan dasar pemrosesan yang berlaku. Persetujuan eksplisit merupakan satu dari enam dasar yang dicantumkan, bukan dasar otomatis untuk setiap penggunaan. Klinik perlu memastikan perannya sebagai pengendali atau prosesor, tujuan, dan dasar setiap kegiatan pemrosesan bersama tim hukum atau privasinya.

Selanjutnya, terapkan kewajiban tersebut sebagai kontrol operasional. Petakan aliran data dari sistem sumber klinik ke penyimpanan, endpoint model, cadangan, log, akses dukungan, transfer, dan penghapusan. Himpun data untuk tujuan yang jelas, batasi akses berdasarkan peran, verifikasi akurasi, catat kegiatan pemrosesan, terapkan jadwal retensi dan penghapusan, serta lindungi kerahasiaan dan keamanannya. Pasal 34 mewajibkan Penilaian Dampak Pelindungan Data untuk pemrosesan berisiko tinggi dan secara tegas mencakup pemrosesan data pribadi spesifik. Pasal 35 mewajibkan langkah teknis dan operasional yang sesuai dengan sifat serta risiko data.

Ketika klinik menunjuk vendor sebagai prosesor, dokumentasikan instruksi, tujuan yang diizinkan, akses, subprosesor, penanganan insiden, retensi, penghapusan, dan pengaturan transfer untuk penerapan yang sebenarnya. Pasal 51 mewajibkan prosesor mengikuti instruksi pengendali dan memperoleh persetujuan tertulis pengendali sebelum melibatkan prosesor lain. Untuk penerapan AI, hubungkan peta pemrosesan tersebut dengan ketentuan yang disetujui institusi dan akses teknis sebelum data pasien dalam sistem produksi diproses. AI Care Command Center menyediakan ruang kerja yang telah dirilis untuk alur yang diaktifkan, sedangkan konteks, peran, integrasi, dan bukti audit tetap mengikuti penerapan setiap institusi.