Di mana data kesehatan dan data sistem elektronik boleh ditempatkan?

Untuk data kesehatan, patokannya adalah di dalam negeri. UU 17/2023 pada dasarnya mewajibkan penyelenggara sistem informasi kesehatan, termasuk fasilitas pelayanan kesehatan, memproses data kesehatan di wilayah Indonesia. PP 28/2024 menetapkan bahwa data tersebut disimpan di pusat data dalam negeri, termasuk bila penyimpanannya memakai jasa pihak lain. Transfer ke luar negeri hanya boleh dilakukan untuk tujuan yang spesifik dan terbatas dengan izin pemerintah.

Untuk sistem elektronik pada umumnya, PP 71/2019 mewajibkan penyelenggara lingkup publik mengelola dan menyimpan data di Indonesia. Sebaliknya, penyelenggara lingkup privat secara umum boleh menempatkan sistem di luar negeri selama pengawasan dan penegakan hukum tetap efektif.

Aturan umum: lingkup publik dan lingkup privat

Bagi PSE Lingkup Publik, PP 71/2019 Pasal 20 ayat (2) mewajibkan pengelolaan, pemrosesan, dan penyimpanan sistem serta data elektronik di wilayah Indonesia. Penempatan di luar negeri hanya diizinkan bila teknologi penyimpanannya tidak tersedia di dalam negeri (ayat (3)). Kriteria ketidaktersediaan tersebut ditetapkan oleh komite lintas kementerian (ayat (4)).

Bagi PSE Lingkup Privat, Pasal 21 ayat (1) secara umum membolehkan pengelolaan dan penyimpanan data di dalam maupun di luar negeri. Namun kebebasan ini disertai kewajiban memastikan efektivitas pengawasan kementerian dan penegakan hukum serta memberi akses untuk keperluan tersebut (ayat (2) dan (3)). Permenkominfo 5/2020 Pasal 34 menegaskan bahwa data di luar negeri harus tetap dapat diakses untuk penegakan hukum tindak pidana tertentu.

Data kesehatan: aturan sektor kesehatan lebih ketat

Penyelenggara sistem informasi kesehatan mencakup fasilitas pelayanan kesehatan (UU 17/2023 Pasal 345 ayat (2) huruf c. PP 28/2024 Pasal 946 ayat (1) huruf c). UU 17/2023 Pasal 346 ayat (6) mewajibkan penyelenggara tersebut memproses data kesehatan di wilayah Indonesia. Pemrosesan di luar wilayah Indonesia dapat dilakukan sesuai ketentuan peraturan perundang-undangan (ayat (7)). Menurut Penjelasan ayat (7), bentuknya antara lain transfer dan penyimpanan, dan peraturan yang dimaksud antara lain mengatur informasi. Selain itu, Transaksi elektronik, penyelenggaraan sistem dan transaksi elektronik, serta pelindungan data pribadi.

Untuk penyimpanan, aturan pelaksananya lebih tegas. Dalam PP 28/2024, penyimpanan adalah salah satu kegiatan pemrosesan data kesehatan yang wajib dilaksanakan penyelenggara sistem informasi kesehatan (Pasal 961 ayat (1) huruf c). Pangkalan data untuk penyimpanan tersebut berupa pusat data yang berada di dalam wilayah Indonesia (Pasal 966 ayat (2)). Penyimpanan boleh memakai jasa dan fasilitas pihak lain, dengan ketentuan antara lain dilaksanakan di dalam wilayah Indonesia. Selain itu, Berdasarkan perjanjian kerja sama (ayat (5) huruf a). Untuk penyimpanan, PP 28/2024 Pasal 966 sendiri tidak memuat pengecualian untuk penyimpanan di luar wilayah Indonesia.

Panduan memilih penyedia sistem dan komputasi awan

Sebelum memilih penyedia sistem atau komputasi awan (cloud), mintalah keterangan tertulis tentang lokasi penyimpanan, pemrosesan. Selain itu, Cadangan data, serta siapa saja yang dapat mengaksesnya.

Ketentuan penyimpanan rekam medis elektronik

Permenkes 24/2022 Pasal 20 ayat (3) menyebut media penyimpanan rekam medis elektronik: server, komputasi awan yang tersertifikasi, atau media digital lain yang tersertifikasi. Cadangan data wajib dibuat berkala di tempat yang berbeda dari lokasi fasilitas (ayat (4) dan (5)).

Bila fasilitas memiliki keterbatasan sumber daya dan bekerja sama dengan PSE, Pasal 22 menetapkan beberapa syarat penting. PSE harus memiliki fasilitas penyimpanan data di dalam negeri (ayat (1)) dan mendapat rekomendasi dari Kementerian Kesehatan (ayat (2)). PSE dilarang membuka atau memanfaatkan data melalui pakta integritas atau NDA (ayat (3). Selain itu, (4)), sedangkan fasilitas memperoleh akses tidak terbatas ke data tersebut (ayat (5)).

Data pribadi pasien yang dikirim ke luar negeri

UU 17/2023 Pasal 349 ayat (7) membolehkan data kesehatan ditransfer ke luar negeri hanya untuk tujuan spesifik dan terbatas dengan izin Pemerintah Pusat. PP 28/2024 Pasal 972 ayat (2) dan (3) merinci tujuan tersebut serta mensyaratkan izin Menteri Kesehatan. Selain itu, Pemenuhan syarat transfer data pribadi menurut Pasal 56 UU 27/2022.

Dasar hukum

• Peraturan Pemerintah Nomor 71 Tahun 2019: Pasal 1 angka 5, 6, 35. Pasal 20 ayat (2)–(4). Pasal 21 ayat (1)–(3). Pasal 100 ayat (1) dan (2).
• Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020: Pasal 32 sampai 34.
• Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis: Pasal 20 ayat (3)–(5). Pasal 22 ayat (1)–(5).
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: Pasal 56.
• Undang-Undang Nomor 17 Tahun 2023 tentang Kesehatan: Pasal 345 ayat (2) huruf c. Pasal 346 ayat (6)–(7) dan Penjelasannya. Pasal 349 ayat (7).
• Peraturan Pemerintah Nomor 28 Tahun 2024: Pasal 946 ayat (1) huruf c. Pasal 961 ayat (1) huruf c. Pasal 966 ayat (2) dan (5). Pasal 972 ayat (2)–(3).