Data Sanitization Rumah Sakit: Lindungi Data Pasien

Setiap rumah sakit mengelola salah satu jenis data paling sensitif yang ada: riwayat penyakit, hasil laboratorium, diagnosis, hingga data genetik pasien. Ketika sebuah server rekam medis dipensiunkan, hard disk PACS radiologi rusak, atau laptop dokter dijual, data tersebut tidak boleh ikut berpindah tangan. Di sinilah data sanitization rumah sakit berperan: memastikan data pasien benar-benar terhapus permanen dari media penyimpanan, bukan sekadar “dihapus” dari tampilan sistem. Artikel ini membahas mengapa praktik ini krusial, landasan regulasinya di Indonesia, metode yang tepat, serta langkah penerapannya.

Mengapa data sanitization rumah sakit tidak bisa diabaikan

Menghapus file melalui tombol delete atau bahkan memformat ulang disk tidak menghilangkan data. Sistem operasi umumnya hanya menghapus penunjuk (pointer) ke lokasi data, sementara blok data aslinya tetap utuh dan mudah dipulihkan dengan perangkat lunak forensik yang tersedia bebas. Bagi rumah sakit, celah ini berbahaya karena media yang sudah tidak dipakai—disk usang, tape backup, USB, hingga fotokopi mesin dengan hard disk internal—dapat menjadi sumber kebocoran data pasien.

Risiko ini nyata pada beberapa titik siklus hidup perangkat: penggantian server saat migrasi ke rekam medis elektronik, klaim garansi yang mengharuskan disk dikirim ke vendor, pelepasan aset (disposal), serta penggunaan kembali perangkat antar-unit. Tanpa proses sanitasi yang terdokumentasi, satu media yang lolos dapat memicu insiden pelanggaran data pribadi.

Data pasien adalah data pribadi yang bersifat spesifik

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mengklasifikasikan data kesehatan sebagai data pribadi yang bersifat spesifik. Kategori ini menuntut tingkat perlindungan lebih tinggi dan penanganan yang lebih hati-hati dibanding data pribadi umum. Konsekuensinya, kewajiban untuk mengamankan hingga memusnahkan data secara benar juga menjadi lebih ketat.

Landasan regulasi di Indonesia

Kebutuhan sanitasi data di rumah sakit tidak berdiri sendiri, melainkan bertautan dengan beberapa regulasi. Perlu dipahami bahwa regulasi Indonesia menetapkan kewajiban untuk melindungi dan memusnahkan data, sementara standar teknis internasional dijadikan rujukan praktik terbaik—bukan kewajiban hukum.

Perlu digarisbawahi, UU PDP tidak menetapkan satu metode teknis spesifik yang wajib digunakan. Yang diwajibkan adalah hasil-nya: data benar-benar tidak dapat lagi dipulihkan atau dipergunakan. Karena itu, rumah sakit bebas memilih metode yang memadai selama efektivitasnya dapat dibuktikan dan didokumentasikan.

Metode data sanitization: dari Clear hingga Destroy

Kerangka NIST SP 800-88 membagi metode sanitasi menjadi tiga tingkat, dipilih berdasarkan sensitivitas data dan apakah media akan digunakan kembali:

• Clear — Menimpa (overwrite) seluruh area penyimpanan yang dapat diakses pengguna menggunakan pola data standar. Cocok untuk media yang akan digunakan kembali di dalam lingkungan rumah sakit dengan tingkat risiko moderat.
• Purge — Menerapkan teknik seperti cryptographic erase atau perintah secure erase bawaan perangkat sehingga data tidak dapat dipulihkan bahkan dengan metode forensik laboratorium. Ideal untuk media sensitif yang akan dilepas atau dijual kembali.
• Destroy — Menghancurkan media secara fisik (shredding, degaussing untuk media magnetik, atau incineration) sehingga tidak lagi berfungsi. Dipilih untuk media rusak yang tidak dapat ditimpa atau data berklasifikasi paling sensitif.

Untuk media SSD dan penyimpanan flash modern, metode overwrite tradisional sering kali tidak andal karena adanya wear leveling dan area cadangan tersembunyi. Pada kasus ini, cryptographic erase atau penghancuran fisik menjadi pilihan yang lebih tepat. Apa pun metode yang dipilih, setiap tindakan sanitasi sebaiknya menghasilkan sertifikat penghapusan (certificate of erasure) sebagai bukti kepatuhan yang dapat diaudit.

Skenario di rumah sakit yang menuntut sanitasi data

Program sanitasi perlu memetakan seluruh titik keluarnya media dari kendali rumah sakit. Beberapa skenario yang lazim:

• Pemusnahan rekam medis elektronik yang telah melewati masa retensi sesuai ketentuan.
• Penggantian dan pelepasan server, storage array, atau perangkat modality (CT scan, MRI, USG) yang menyimpan citra pasien.
• Pengembalian perangkat sewa (leasing) atau pengiriman disk bergaransi ke vendor.
• Penggunaan kembali laptop, komputer stasiun perawat, atau tablet antar-unit.
• Penonaktifan perangkat mobile dan removable media milik tenaga medis.

Langkah menerapkan program data sanitization di rumah sakit

Sanitasi data yang efektif adalah sebuah proses, bukan tindakan tunggal. Rumah sakit dapat menyusunnya melalui langkah berikut:

• Inventarisasi aset — Catat seluruh media penyimpanan beserta jenis data dan tingkat sensitivitasnya.
• Tetapkan kebijakan retensi — Selaraskan masa simpan rekam medis dengan ketentuan Permenkes 24/2022 dan prinsip minimalisasi data UU PDP, lalu tentukan pemicu pemusnahan.
• Pilih metode sesuai risiko — Padankan Clear, Purge, atau Destroy dengan jenis media dan rencana penggunaan kembali.
• Gunakan perangkat tepercaya dan tervalidasi — Terapkan solusi sanitasi yang menghasilkan laporan verifikasi untuk memastikan setiap sektor benar-benar bersih.
• Dokumentasikan dan audit — Simpan sertifikat penghapusan sebagai bukti akuntabilitas jika terjadi audit atau permintaan regulator.
• Latih personel — Pastikan tim TI dan pengelola aset memahami prosedur agar tidak ada media yang lolos tanpa sanitasi.

Dengan pendekatan terstruktur ini, rumah sakit tidak hanya menutup risiko kebocoran data pasien, tetapi juga membangun jejak kepatuhan yang siap dipertanggungjawabkan. Investasi pada proses sanitasi data jauh lebih kecil dibanding potensi sanksi administratif UU PDP maupun kerugian reputasi akibat satu insiden kebocoran.

Pertanyaan yang sering diajukan

Apakah memformat hard disk sudah cukup untuk menghapus data pasien?

Tidak. Format ulang standar umumnya hanya menghapus struktur berkas dan penunjuk data, sementara data asli tetap dapat dipulihkan dengan perangkat lunak forensik. Diperlukan metode sanitasi seperti overwrite menyeluruh, cryptographic erase, atau penghancuran fisik agar data pasien benar-benar tidak dapat dikembalikan.

Apakah UU PDP mewajibkan metode sanitasi tertentu?

UU PDP tidak menetapkan metode teknis spesifik, melainkan mewajibkan hasil akhir berupa data yang benar-benar terhapus atau termusnahkan sehingga tidak dapat lagi dipergunakan. Rumah sakit bebas memilih metode yang memadai selama efektivitas dan pelaksanaannya dapat dibuktikan serta didokumentasikan.

Bagaimana menangani SSD yang menyimpan data pasien?

SSD sulit disanitasi dengan overwrite biasa karena mekanisme wear leveling dan area cadangan tersembunyi. Metode yang lebih andal adalah cryptographic erase, perintah secure erase bawaan perangkat, atau penghancuran fisik untuk media yang berisi data paling sensitif atau sudah rusak.

Apa bukti kepatuhan yang perlu disimpan setelah sanitasi?

Simpan sertifikat penghapusan (certificate of erasure) yang mencatat identitas media, metode yang digunakan, waktu pelaksanaan, dan hasil verifikasi. Dokumentasi ini menjadi bukti akuntabilitas ketika rumah sakit menghadapi audit internal, permintaan regulator, atau penilaian kepatuhan terhadap UU PDP.