![[eSign] Data Pasien Diproses atas Dasar Apa? Jody Purba: Tak Selalu Consent](https://mekarisign.com/wp-content/uploads/2026/10/eSign-Featured-Image-4-1024x576.webp)
Peraturan Pemerintah Nomor 33 Tahun 2026 tentang pelaksanaan UU Pelindungan Data Pribadi mulai berlaku 16 Januari 2027. Pasal 32 ayat (2) mensyaratkan persetujuan pemrosesan data diberikan secara bebas, sadar, spesifik, dan tidak ambigu. Penjelasannya memberi contoh konkret. Persetujuan yang digabung dengan syarat dan ketentuan termasuk persetujuan yang ambigu.
Bagi fasyankes, ketentuan ini menguji formulir yang menyatukan persetujuan layanan dan persetujuan pemrosesan data dalam satu tanda tangan. Ujiannya makin terasa karena data pasien kini lebih sering berpindah. Sejak Kemenkes meluncurkan SATUSEHAT RME pada 1 September 2026, rekam medis terhubung lintas fasyankes dan dapat diakses tenaga medis sesuai kewenangan dan persetujuan pasien.
Respons yang paling mudah adalah memperbaiki formulir consent. Jody Adiguna Micah Purba melihat pertanyaannya ada satu langkah sebelum itu, yaitu apakah kegiatan tersebut memang seharusnya bersandar pada consent.
Jody menangani rekaman pemrosesan, penilaian dampak, dan penilaian risiko pihak ketiga di sektor kesehatan digital. Sebelumnya, ia membangun kerangka pelindungan data pribadi di perusahaan sistem pembayaran.
Legal Data Privacy Specialist Jody Adiguna Micah Purba mengatakan, “Tidak semua data pribadi bisa diproses menggunakan consent. Perusahaan sebagai pengendali perlu memetakan dasar hukum mana yang paling sesuai dengan kegiatan usaha mereka,” tuturnya, Senin (05/10/2026).
Dasar yang dipilih di langkah itu menentukan dua hal yang kelak diperiksa, yaitu bukti apa yang harus disimpan fasyankes, dan hak pasien mana yang wajib dilayani.
Satu tanda tangan untuk semua tujuan
Pasal 30 ayat (1) PP 33/2026 mewajibkan pengendali memiliki dasar pemrosesan sebelum memproses data pribadi. Persetujuan eksplisit hanya salah satu dasar. Pasal yang sama juga mengenal pemenuhan kewajiban perjanjian, kewajiban hukum, dan pelindungan kepentingan vital.
Data kesehatan termasuk data pribadi spesifik menurut UU PDP. Karena sensitif, fasyankes cenderung merasa paling aman dengan meminta persetujuan untuk semuanya. Jody justru melihat titik lemahnya di sana.
“Yang perlu dicermati organisasi adalah apakah dasar hukum yang digunakan untuk aktivitas bisnis utamanya sudah benar dan sesuai dengan perjanjian dengan pasien,” ujarnya.
Formulir yang meminta satu tanda tangan untuk layanan, administrasi, dan pemrosesan data memang praktis di meja pendaftaran. Masalahnya, satu tanda tangan itu kemudian diperlakukan sebagai dasar untuk kegiatan yang tujuannya berbeda-beda.
Baca juga: Data Pribadi: Jenis, Contoh & Cara Melindungi di HP
Layanan berjalan di atas perjanjian
Menurut Jody, pelayanan dan administrasi, termasuk yang melibatkan pihak lain, diperlukan untuk melaksanakan perjanjian antara fasyankes dan pasien. Dasar pemenuhan kewajiban perjanjian lebih tepat untuk kegiatan ini daripada consent.
PP 33/2026 mengatur dasar ini untuk pemrosesan yang diperlukan ketika subjek data menjadi salah satu pihak dalam perjanjian. Hubungan pasien dan fasyankes memenuhi gambaran itu. Pasien datang untuk dilayani, dan pelayanan tidak bisa berjalan tanpa data pasien diproses.
Jody menilai kekeliruannya ada pada urutan berpikir. Fasyankes sering memulai dari formulir, padahal yang perlu dipetakan lebih dulu adalah kegiatan dan tujuannya.
Pemetaan itu, menurut Jody, adalah pekerjaan pengendali. Ia mengingatkan bahwa PP 33/2026 sudah menggariskan prasyarat penggunaan setiap dasar pemrosesan, sehingga pilihan dasar perlu bisa dijelaskan, tidak cukup diasumsikan.
Dasar perjanjian juga punya disiplinnya sendiri. Menurut ringkasan firma hukum Frans Winarta & Partners, perjanjian pemrosesan data pribadi dalam PP 33/2026 wajib memuat paling sedikit sembilan ketentuan. Di antaranya layanan yang diberikan kepada pasien, konsekuensi jika pemrosesan tidak dilakukan, dan keterkaitan tujuan pemrosesan dengan tujuan perjanjian.
Gambar 1 – Consent Baru Dipilih Setelah Dua Dasar Lain Tidak Berlaku
Sumber: Kerangka editorial Mekari Sign, (2026)
Daftarkan kegiatan yang memakai data pasien, misalnya pendaftaran, pemeriksaan, pengiriman hasil laboratorium, dan komunikasi pemasaran. Tanyakan untuk setiap kegiatan apakah ia diperlukan untuk menjalankan layanan yang disepakati. Kegiatan yang tidak lolos pertanyaan itu adalah kandidat consent yang sebenarnya.
Consent membawa beban bukti sendiri
Jika memilih consent, fasyankes wajib memberi informasi sebelum persetujuan, menyediakan mekanisme persetujuan, menunjukkan bukti persetujuan, dan menghentikan pemrosesan paling lambat 3 x 24 jam setelah penarikan terverifikasi.
PP 33/2026 merinci kewajiban itu dalam beberapa pasal. Pasal 33 meminta informasi pemrosesan disampaikan secara ringkas dan tepat sebelum persetujuan diperoleh. Pasal 34 meminta mekanisme perolehan persetujuan yang terhubung dengan informasi tersebut, baik elektronik maupun nonelektronik.
Pasal 36 ayat (1) mewajibkan pengendali menunjukkan bukti persetujuan yang diberikan pasien. Pasal 92 menambah sisi sebaliknya. Ketika pasien menarik persetujuan, pemrosesan harus berhenti paling lambat 3 x 24 jam setelah permintaannya terverifikasi, dan pasien harus diberi tahu.
Ketentuan berikutnya menunjukkan mengapa consent kurang cocok untuk kegiatan inti layanan. Pasal 35 ayat (1) mewajibkan pengendali tetap memberikan layanan tanpa mengurangi kualitasnya walau subjek data menolak memberi persetujuan, kecuali layanan tersebut memang memerlukan pemrosesan data.
Jika suatu pemrosesan tidak bisa ditiadakan tanpa menghentikan layanan, menyandarkannya pada persetujuan yang boleh ditolak dan ditarik justru menciptakan ketidakpastian.
Tabel 2. Perbandingan Dasar Pemrosesan dan Bukti yang Perlu Disimpan Fasyankes
| Aspek | Persetujuan Eksplisit | Pelaksanaan Perjanjian |
| Syarat utama | Persetujuan diberikan secara bebas, sadar, spesifik, dan tidak ambigu (Pasal 32). | Pasien merupakan salah satu pihak dalam perjanjian (Pasal 30). |
| Informasi kepada pasien | Informasi wajib disampaikan sebelum persetujuan diperoleh (Pasal 33). | Perjanjian memuat tujuan pemrosesan data dan kaitannya dengan layanan. |
| Bukti yang disimpan | Bukti persetujuan untuk setiap pasien (Pasal 36). | Perjanjian layanan yang disepakati pasien. |
| Jika pasien berubah pikiran | Persetujuan dapat ditarik. Pemrosesan dihentikan paling lambat 3 × 24 jam (Pasal 92). | Pemrosesan mengikuti pelaksanaan perjanjian. |
| Hak portabilitas | Berlaku jika pemrosesan dilakukan secara otomatis (Pasal 111). | Berlaku jika pemrosesan dilakukan secara otomatis (Pasal 111). |
Sumber: PP No. 33 Tahun 2026, (2026)
Untuk kegiatan yang memang bersandar pada consent, lima pertanyaan berikut membantu menguji apakah formulirnya siap diperiksa.
Tabel 1 – Lima Pertanyaan untuk Menguji Formulir Consent Pasien
| Pertanyaan uji | Dasar dalam PP 33/2026 | Tanda formulir bermasalah |
| Apakah persetujuan terpisah dari syarat layanan? | Pasal 32 dan penjelasannya | Persetujuan data dianggap diberikan dengan menyetujui syarat dan ketentuan |
| Apakah pasien menerima informasi sebelum menyetujui? | Pasal 33 | Tujuan pemrosesan baru dijelaskan setelah tanda tangan |
| Apakah tujuan yang disetujui spesifik? | Pasal 30 dan 32 | Satu persetujuan mencakup semua tujuan tanpa rincian |
| Bisakah bukti persetujuan setiap pasien ditunjukkan? | Pasal 36 | Formulir tidak dapat ditelusuri ke pasien, waktu, dan versi formulir |
| Adakah jalur penarikan dengan tenggat yang terpantau? | Pasal 92 | Tidak ada prosedur penarikan atau catatan pelaksanaannya |
Sumber: PP No. 33 Tahun 2026, (2026)
Dasar yang dipilih menentukan hak pasien
Hak portabilitas dan interoperabilitas dalam Pasal 111 PP 33/2026 berlaku untuk pemrosesan otomatis yang berbasis persetujuan eksplisit atau pemenuhan kewajiban perjanjian.
Di antara dampak integrasi rekam medis elektronik, Jody menunjuk satu yang paling terasa. Pasal 13 ayat (2) UU PDP memberi pasien hak menggunakan dan mengirimkan data pribadinya ke pengendali lain. Dalam layanan kesehatan, pengendali lain itu adalah fasyankes berikutnya yang didatangi pasien.
Menurut Jody, integrasi RME menuntut fasyankes memenuhi hak tersebut sesuai standar Kementerian Kesehatan.
“Terdapat satu standar pelindungan data pribadi untuk aspek pemenuhan hak pasien yang dikenakan bagi fasyankes,” jelasnya.
Karena Pasal 111 mengaitkan hak ini dengan dasar pemrosesan, fasyankes yang belum memetakan dasarnya juga belum dapat memastikan permintaan mana yang wajib dilayani. Hal yang sama berlaku untuk penarikan persetujuan dalam Pasal 92, yang hanya relevan bagi pemrosesan berbasis consent.
“Setelah kita memetakan dasar hukum pemrosesan yang sesuai, baru pengendali dapat memetakan hak dan kewajibannya kepada subjek data pribadi,” kata Jody.
Peta itu sebaiknya tidak berhenti di tim legal. Jody menilai tanda pertama tata kelola yang berjalan adalah setiap departemen memiliki rekaman kegiatan pemrosesan data pribadinya sendiri. Dari rekaman itulah dasar, tujuan, dan penerima data setiap kegiatan bisa ditelusuri.
Baca juga: Rekam Medis Elektronik: Aturan Hukum & Implementasinya
Petakan sebelum sistem terhubung
Waktu pemetaan sama pentingnya dengan isinya. Untuk proyek yang menyangkut kepatuhan, Jody menyarankan tim legal, compliance, atau pejabat pelindungan data dilibatkan sejak awal agar bisa melakukan gap assessment atas persyaratan regulasi.
Pertukaran data dengan pihak lain menambah satu lapis pertanyaan. Siapa penerimanya, untuk tujuan apa, dan apakah ia berposisi sebagai pengendali atau prosesor. Pertanyaan tentang prosesor sudah kami bahas di artikel sebelumnya bersama Jody.
Pemrosesan data spesifik dan penggabungan data juga termasuk kategori berisiko tinggi yang wajib dinilai dampaknya sebelum pemrosesan dimulai (Pasal 120 dan 121). Jody mengingatkan akibatnya bila urutan itu terbalik.
“Kalau assessment ini baru dilakukan setelah proyek berjalan, organisasi yang sudah setengah jalan mengimplementasikan teknologi baru akan tersendat, karena ternyata ada aspek legal yang belum dipatuhi dan perlu diselesaikan terlebih dahulu,” paparnya.
Baca juga: Vendor Ikut Diawasi PP PDP, Jody Purba Ingatkan Penyedia Sistem Kesehatan Siapkan Bukti
Bukti yang bisa ditelusuri ke pasien
Apa pun dasar yang dipilih, buktinya bermuara pada dokumen yang disepakati pasien. Untuk consent, dokumennya adalah formulir persetujuan yang terpisah dari syarat layanan. Untuk dasar perjanjian, dokumennya adalah perjanjian layanan yang memuat ketentuan pemrosesan.
Penjelasan PP 33/2026 bahkan menyebut penandatanganan secara elektronik sebagai salah satu contoh mekanisme perolehan persetujuan elektronik. Mekari Sign membantu fasyankes menyusun dokumen tersebut dari template dokumen yang seragam, mengesahkannya dengan tanda tangan elektronik tersertifikasi, dan memverifikasi identitas penandatangan melalui eKYC.
Jejak audit merekam waktu dan riwayat setiap dokumen, sehingga bukti persetujuan dapat ditunjukkan ketika diminta. Pemilihan dasarnya tetap keputusan tata kelola fasyankes.
Pelajari cara Mekari Sign untuk sektor kesehatan mendukung pengelolaan dokumen persetujuan dan perjanjian pasien, atau hubungi tim kami untuk demo.
Pertanyaan yang datang sebelum formulir
PP 33/2026 membuat consent lebih sulit dipenuhi, dan itu wajar untuk data seistimewa data kesehatan. Konsekuensinya bagi fasyankes tidak berhenti pada formulir yang lebih rapi.
Pandangan Jody membalik urutan kerjanya. Ketika setiap kegiatan sudah dipetakan ke dasarnya, consent kembali ke tempat yang semestinya, yaitu kegiatan yang memang bergantung pada pilihan pasien. Sisanya bersandar pada perjanjian layanan atau kewajiban hukum yang bisa dijelaskan.
Sebelum Januari 2027, pertanyaan pertama untuk tim privasi fasyankes karena itu bukan “apakah formulir consent kita sudah sah”. Pertanyaannya, untuk setiap kegiatan yang memakai data pasien, atas dasar apa kegiatan itu berjalan.
Referensi
- Pemerintah Republik Indonesia. “Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.” Pasal 13 ayat (2).
- com. “Aturan Turunan UU PDP: Persetujuan Data Konsumen Lebih Ketat.” 29 Agustus 2026.
- Kementerian Kesehatan RI. “Kemenkes Luncurkan SATUSEHAT RME, Rekam Medis Pasien Terintegrasi Secara Nasional.” 1 September 2026.
- Frans Winarta & Partners. “Peraturan Pelaksana UU PDP Terbit: Ketentuan Apa Saja yang Perlu Diperhatikan dalam PP 33 Tahun 2026?” 9 Oktober 2026.
- RSM Indonesia. “PP 33/2026: Six Implementation Priorities before 16 January 2027.” 18 September 2026.
- Wawancara Jody Adiguna Micah Purba, Legal Data Privacy Specialist, oleh Rafli Anwari, Senin (05/10/2026).
