Data Sanitization Rumah Sakit: Lindungi Data Pasien

Rumah sakit menyimpan salah satu jenis data paling sensitif yang ada: riwayat penyakit, hasil laboratorium, diagnosis, sampai data genetik pasien. Ketika server rekam medis dipensiunkan, hard disk PACS radiologi rusak, atau laptop dokter dijual, data itu tidak boleh ikut berpindah tangan. Data sanitization rumah sakit memastikan data pasien benar-benar hilang dari media penyimpanan secara permanen, bukan sekadar tidak tampil lagi di layar sistem. Artikel ini mengulas alasan pentingnya, dasar regulasinya di Indonesia, pilihan metodenya, dan cara memulainya.

Mengapa data sanitization rumah sakit tidak bisa diabaikan

Menekan tombol delete, bahkan memformat ulang disk, tidak benar-benar menghilangkan data. Sistem operasi umumnya hanya membuang penunjuk (pointer) ke lokasi data; blok data aslinya tetap utuh dan bisa dipulihkan dengan perangkat lunak forensik yang beredar bebas. Bagi rumah sakit, ini celah yang serius. Media yang sudah tidak terpakai justru rawan menjadi sumber kebocoran data pasien: disk usang, tape backup, USB, sampai mesin fotokopi yang menyimpan salinan dokumen di hard disk internalnya.

Risiko itu muncul di banyak titik siklus hidup perangkat. Server diganti saat migrasi ke rekam medis elektronik. Disk bergaransi harus dikirim ke vendor untuk klaim. Aset dilepas, atau perangkat berpindah pakai antar-unit. Tanpa proses sanitasi yang terdokumentasi, satu media saja yang lolos sudah cukup untuk memicu insiden pelanggaran data pribadi.

Data pasien adalah data pribadi yang bersifat spesifik

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menggolongkan data kesehatan sebagai data pribadi yang bersifat spesifik. Perlakuannya lebih ketat dibanding data pribadi umum, termasuk dalam urusan pengamanan sampai pemusnahannya. Bagi rumah sakit, sanitasi media dengan demikian bukan sekadar urusan teknis tim TI, melainkan bagian dari kewajiban hukum pengendali data.

Landasan regulasi di Indonesia

Kebutuhan sanitasi data di rumah sakit bertautan dengan beberapa regulasi sekaligus. Satu hal yang sering tertukar: regulasi Indonesia menetapkan kewajiban melindungi dan memusnahkan data, sedangkan standar teknis internasional berposisi sebagai rujukan praktik terbaik — bukan kewajiban hukum.

UU PDP sendiri tidak menunjuk satu metode teknis tertentu. Yang diwajibkan adalah hasil-nya: data tidak dapat lagi dipulihkan atau dipergunakan. Rumah sakit karenanya bebas memilih cara yang memadai, selama efektivitasnya bisa dibuktikan dan pelaksanaannya terdokumentasi.

Metode data sanitization: dari Clear hingga Destroy

NIST SP 800-88 membagi sanitasi menjadi tiga tingkat. Pilihannya bergantung pada seberapa sensitif datanya dan apakah medianya akan dipakai lagi:

• Clear — Menimpa (overwrite) seluruh area penyimpanan yang dapat diakses pengguna dengan pola data standar. Memadai untuk media berisiko moderat yang akan dipakai kembali di lingkungan rumah sakit sendiri.
• Purge — Memakai teknik seperti cryptographic erase atau perintah secure erase bawaan perangkat, sehingga data tidak terpulihkan bahkan dengan forensik laboratorium. Pilihan untuk media sensitif yang akan dilepas atau dijual kembali.
• Destroy — Menghancurkan media secara fisik (shredding, degaussing untuk media magnetik, atau incineration) sampai tidak lagi berfungsi. Untuk media rusak yang tidak bisa ditimpa, atau data dengan klasifikasi paling sensitif.

Ada catatan khusus untuk SSD dan penyimpanan flash modern: overwrite tradisional sering tidak andal karena wear leveling dan adanya area cadangan yang tersembunyi dari sistem. Pada media semacam ini, cryptographic erase atau penghancuran fisik lebih dapat diandalkan. Apa pun metodenya, pastikan setiap tindakan sanitasi menghasilkan sertifikat penghapusan (certificate of erasure) — bukti kepatuhan yang bisa diaudit kapan saja.

Skenario di rumah sakit yang menuntut sanitasi data

Program sanitasi perlu memetakan setiap titik keluarnya media dari kendali rumah sakit. Dalam praktiknya, skenario berikut yang paling sering ditemui:

• Pemusnahan rekam medis elektronik yang telah melewati masa retensi sesuai ketentuan.
• Penggantian dan pelepasan server, storage array, atau perangkat modality (CT scan, MRI, USG) yang menyimpan citra pasien.
• Pengembalian perangkat sewa (leasing) atau pengiriman disk bergaransi ke vendor.
• Penggunaan kembali laptop, komputer stasiun perawat, atau tablet antar-unit.
• Penonaktifan perangkat mobile dan removable media milik tenaga medis.

Langkah menerapkan program data sanitization di rumah sakit

Sanitasi data yang efektif adalah proses berkelanjutan, bukan tindakan sekali jalan. Urutannya bisa disusun seperti ini:

• Inventarisasi aset — Catat seluruh media penyimpanan beserta jenis data dan tingkat sensitivitasnya.
• Tetapkan kebijakan retensi — Selaraskan masa simpan rekam medis dengan ketentuan Permenkes 24/2022 dan prinsip minimalisasi data UU PDP, lalu tentukan pemicu pemusnahan.
• Pilih metode sesuai risiko — Padankan Clear, Purge, atau Destroy dengan jenis media dan rencana penggunaan kembali.
• Gunakan perangkat tepercaya dan tervalidasi — Pakai solusi sanitasi yang mengeluarkan laporan verifikasi, sehingga ada bukti setiap sektor benar-benar bersih.
• Dokumentasikan dan audit — Simpan sertifikat penghapusan sebagai bukti akuntabilitas saat ada audit atau permintaan regulator.
• Latih personel — Pastikan tim TI dan pengelola aset paham prosedurnya, supaya tidak ada media yang lolos tanpa sanitasi.

Enam langkah itu menutup risiko kebocoran data pasien sekaligus membangun jejak kepatuhan yang siap dipertanggungjawabkan. Hitungannya pun sederhana: biaya menjalankan proses sanitasi jauh lebih kecil daripada sanksi administratif UU PDP, apalagi kerugian reputasi akibat satu insiden kebocoran.

Pertanyaan yang sering diajukan

Apakah memformat hard disk sudah cukup untuk menghapus data pasien?

Tidak. Format ulang standar umumnya hanya menghapus struktur berkas dan penunjuk data; data aslinya masih bisa dipulihkan dengan perangkat lunak forensik. Agar benar-benar tidak dapat dikembalikan, data pasien perlu disanitasi dengan overwrite menyeluruh, cryptographic erase, atau penghancuran fisik.

Apakah UU PDP mewajibkan metode sanitasi tertentu?

Tidak ada metode teknis yang ditunjuk secara spesifik. UU PDP mewajibkan hasil akhirnya: data terhapus atau termusnahkan sehingga tidak dapat lagi dipergunakan. Rumah sakit bebas memilih metode yang memadai selama efektivitas dan pelaksanaannya dapat dibuktikan serta didokumentasikan.

Bagaimana menangani SSD yang menyimpan data pasien?

SSD sulit disanitasi dengan overwrite biasa karena mekanisme wear leveling dan area cadangan yang tersembunyi. Pilihan yang lebih andal adalah cryptographic erase, perintah secure erase bawaan perangkat, atau penghancuran fisik untuk media yang berisi data paling sensitif atau sudah rusak.

Apa bukti kepatuhan yang perlu disimpan setelah sanitasi?

Simpan sertifikat penghapusan (certificate of erasure) yang mencatat identitas media, metode yang digunakan, waktu pelaksanaan, dan hasil verifikasinya. Dokumentasi ini menjadi pegangan ketika rumah sakit menghadapi audit internal, permintaan regulator, atau penilaian kepatuhan terhadap UU PDP.