Syarat apa saja kalau data pasien dikirim ke luar Indonesia?

Bagi fasilitas pelayanan kesehatan dan penyelenggara sistem informasi kesehatan lainnya, data kesehatan pasien pada dasarnya wajib disimpan dan diproses di wilayah Indonesia. Pengiriman ke luar negeri tetap dimungkinkan, tetapi dengan persyaratan berlapis. Menurut UU Pelindungan Data Pribadi, pengirim wajib memastikan negara penerima memiliki pelindungan setara, atau memastikan adanya pelindungan memadai yang mengikat, atau memperoleh persetujuan pasien. Di samping itu, pengiriman data kesehatan hanya boleh untuk tujuan tertentu dan wajib memperoleh izin dari Menteri Kesehatan.

Syarat umum dari UU Pelindungan Data Pribadi (Pasal 56)

Data kesehatan tergolong Data Pribadi Spesifik (Pasal 4 ayat (2) huruf a). Klinik atau rumah sakit bertindak sebagai Pengendali Data Pribadi (Pasal 1 angka 4). Pasal 56 UU 27/2022 menetapkan syarat berjenjang bagi pengendali yang mentransfer data ke luar wilayah Indonesia:

1. memastikan negara tempat penerima berkedudukan memiliki tingkat pelindungan data yang setara atau lebih tinggi (ayat (2));

2. bila tidak setara, memastikan adanya pelindungan data yang memadai dan bersifat mengikat (ayat (3)). dan

3. bila keduanya tidak terpenuhi, wajib memperoleh persetujuan eksplisit dari pasien (ayat (4)).

Lembaga PDP berwenang menilai pemenuhan persyaratan transfer data pribadi ke luar negeri (Pasal 60 huruf f). Bila vendor bertindak sebagai prosesor di luar negeri, pemrosesannya tetap menjadi tanggung jawab pengendali (Pasal 51 ayat (3)).

Izin Menteri Kesehatan dan tujuan spesifik (PP 28/2024 Pasal 972)

UU 17/2023 Pasal 349 ayat (7) menetapkan bahwa data kesehatan dapat ditransfer ke luar negeri untuk tujuan yang spesifik dan terbatas dengan izin Pemerintah Pusat. PP 28/2024 Pasal 946 menegaskan bahwa fasilitas pelayanan kesehatan termasuk penyelenggara sistem informasi kesehatan yang terikat aturan ini.

Pasal 972 PP 28/2024 merinci enam tujuan yang diizinkan untuk transfer data kesehatan ke luar negeri:

• penanggulangan kejadian luar biasa (KLB);
• penanggulangan wabah;
• pelayanan ibadah haji;
• pelaksanaan perjanjian alih material (material transfer agreement);
• kerja sama internasional di bidang kesehatan. atau
• tujuan penggunaan lainnya yang disetujui pemerintah.

Pasal 972 ayat (3) menetapkan dua syarat kumulatif: wajib mendapat izin Menteri Kesehatan serta memenuhi persyaratan transfer data pribadi menurut peraturan perundang-undangan.

Ketentuan penyimpanan pusat data di Indonesia

Menurut PP 28/2024 Pasal 966 ayat (2), pangkalan data untuk menyimpan data kesehatan wajib berupa pusat data yang berada di wilayah Indonesia. Bila memakai jasa pihak ketiga, penyimpanannya juga wajib dilaksanakan di dalam wilayah Indonesia (ayat (5) huruf a). Untuk rekam medis elektronik, Permenkes 24/2022 Pasal 22 ayat (1) turut menegaskan bahwa kerja sama penyimpanan hanya boleh dilakukan dengan PSE yang memiliki fasilitas penyimpanan data di dalam negeri. Penjelasan Pasal 349 ayat (6) UU Kesehatan. Selain itu, PP 28/2024 Pasal 971 ayat (2) menyebutkan bahwa menampilkan data kepada pihak di luar negeri dapat terhitung sebagai transfer data. Dengan demikian, Akses jarak jauh ke sistem medis perlu diatur secara hati-hati dalam perjanjian tertulis.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 1 angka 4, Pasal 4 ayat (2) huruf a, Pasal 51 ayat (3), Pasal 56, dan Pasal 60 huruf f.
• Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 346 ayat (6) dan (7), Pasal 349 ayat (7), serta Penjelasan Pasal 349 ayat (6).
• Peraturan Pemerintah Nomor 28 Tahun 2024: Pasal 946, 966, 971, dan 972.
• Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis: Pasal 22 ayat (1).
• Peraturan Pemerintah Nomor 71 Tahun 2019: Pasal 21 ayat (1).