Menghapus nama dari rekam medis belum memutus hubungan data dengan pasien. Tanggal kunjungan, lokasi yang rinci, diagnosis langka, dan metadata berkas masih bisa dipadankan dengan sumber lain. Sebelum data dipakai untuk kecerdasan artifisial (AI), risiko identifikasi ulang harus dinilai bersama tujuan dan lingkungan akses.

UU No. 27 Tahun 2022 mendefinisikan data pribadi melalui identifikasi langsung atau tidak langsung dan menggolongkan informasi kesehatan sebagai data pribadi spesifik. Status hukum tidak ditentukan oleh nama berkas atau label “sudah anonim”. Penghapusan satu kolom juga tidak otomatis menghapus kewajiban lain dalam pemrosesan data.

Nama yang hilang belum membuat data anonim

Kolom data, tanda penyamaran, dan skala risiko privasi (ilustrasi)
Penilaian de-identifikasi mencakup pengenal langsung, kombinasi nilai, dan lingkungan penerima data.

National Institute of Standards and Technology (NIST) mendefinisikan de-identifikasi sebagai proses melepaskan kaitan antara data pengenal dan subjek data. Identitas langsung menunjuk seseorang tanpa pemadanan tambahan. Kuasi-identitas (quasi-identifier) baru menjadi pengenal ketika beberapa nilai digabungkan dengan sumber lain. Isi klinis juga sensitif meski tidak selalu berfungsi sebagai pengenal.

Kelompok data Contoh dalam data kesehatan Penanganan yang dinilai
Identitas langsung Nama lengkap, Nomor Induk Kependudukan (NIK), nomor telepon, nomor rekam medis Penghapusan, penyamaran, atau kode yang dikendalikan
Kuasi-identitas Tanggal lahir, lokasi tempat tinggal yang rinci, waktu kunjungan, kombinasi diagnosis langka Pengelompokan, pengurangan rincian, penghapusan, atau pembatasan kueri
Isi kesehatan sensitif Diagnosis, obat, data genetika, hasil laboratorium Minimasi sesuai tujuan, pembatasan peran, dan pencatatan akses

Pedoman Kementerian Perencanaan Pembangunan Nasional/Badan Perencanaan Pembangunan Nasional (Kementerian PPN/Bappenas) pada 2025 membedakan anonimisasi, pseudonim, penyamaran data (masking), dan minimasi. Penyamaran data berarti menyembunyikan sebagian atau seluruh nilai sensitif pada tampilan. Pseudonim mengganti pengenal dengan kode, sedangkan kuncinya disimpan terpisah. Aturan tersebut berlaku untuk Data Tunggal Sosial dan Ekonomi Nasional (DTSEN), bukan standar teknis khusus data kesehatan.

Pseudonimisasi (pseudonymization) menjaga kemampuan menghubungkan catatan pasien dari waktu ke waktu. Department of Health and Human Services (HHS) Amerika Serikat menjelaskan bahwa kode terpisah memungkinkan data kesehatan dihubungkan kembali oleh pihak berwenang. Karena kunci masih ada, data berpseudonim tidak setara dengan anonimisasi yang meniadakan kunci pemadanan. Kendali atas kunci menjadi bagian dari penilaian risiko, bukan catatan tambahan.

Risiko identifikasi ulang bergantung pada penerima

Alur inventarisasi data, penyamaran, pembatasan akses, dan pengujian risiko (ilustrasi)
Tujuan, metode transformasi, penerima, dan sumber pembanding menentukan tingkat risiko.

NIST SP 800-188 meminta tujuan, risiko rilis, dan model berbagi data dinilai sebelum proses de-identifikasi. Pilihannya mencakup publikasi data olahan, data sintetis, antarmuka kueri terkontrol, atau lingkungan komputasi tertutup. Kumpulan data untuk publik menghadapi pola ancaman berbeda dari kumpulan yang hanya dianalisis dalam ruang tertutup. Transformasi yang sama karena itu tidak selalu menghasilkan risiko yang sama.

  1. Tujuan dan data minimum. Dokumen proyek menghubungkan keluaran model dengan setiap kolom yang dipertahankan.
  2. Inventaris pengenal. Pemeriksaan mencakup tabel, teks bebas, gambar, nama berkas, metadata, dan nilai turunan.
  3. Metode transformasi. Catatan menjelaskan nilai yang dihapus, dikelompokkan, disamarkan, diberi kode, atau hanya tersedia melalui kueri.
  4. Kunci dan salinan. Pemilik kunci, lokasi penyimpanan, cadangan, serta jalur pemulihan identitas tercatat terpisah.
  5. Uji penerima. Tim penguji memakai sumber pembanding yang secara wajar tersedia bagi penerima data.
  6. Keputusan dan masa berlaku. Hasil mencantumkan versi kumpulan data, penerima, waktu pengujian, penanggung jawab, dan kondisi pengujian ulang.

HHS meminta penilaian mempertimbangkan penerima, ketersediaan sumber pembanding, dan keunikan kombinasi nilai. Panduan itu memakai Expert Determination (penetapan ahli) dan Safe Harbor (penghapusan daftar pengenal) dalam aturan Health Insurance Portability and Accountability Act (HIPAA). HHS menegaskan kedua metode masih menyisakan risiko identifikasi yang kecil, tetapi bukan nol. Basis data baru, rilis data lain, atau perubahan penerima bisa mengubah hasil penilaian. Kerangka HIPAA berlaku di Amerika Serikat dan bukan ambang hukum Indonesia.

Kerangka Indonesia menuntut penilaian dampak

Layar basis data rumah sakit di samping dokumen tata kelola data kesehatan (ilustrasi)
Proyek data kesehatan di Indonesia berada di bawah kewajiban tujuan, keamanan, akuntabilitas, dan penilaian risiko.

UU PDP menempatkan data spesifik, skala besar, pencocokan kumpulan data, dan teknologi baru sebagai pemrosesan berisiko tinggi yang memerlukan penilaian dampak. Proyek AI kesehatan mungkin memenuhi beberapa ciri tersebut sekaligus. Penilaian perlu memetakan dampak kepada subjek data serta langkah mitigasinya. De-identifikasi tidak menggantikan tujuan yang sah, pembatasan akses, keamanan, atau pemenuhan hak subjek data.

Kementerian Kesehatan (Kemenkes) memerinci pengelolaan data kesehatan nasional melalui kebijakan privasi SATUSEHAT. Rekam medis di platform itu memuat identitas, pemeriksaan, pengobatan, tindakan, dan layanan; aksesnya dibatasi menurut tujuan serta kewenangan. Kebijakan yang sama mewajibkan rekam jejak audit mencatat waktu, pelaku, dan objek dalam setiap kegiatan pemrosesan. Kendali SATUSEHAT tersebut tidak membuktikan bahwa kumpulan data di luar platform sudah anonim.

Sampai artikel ini disusun, kami belum menemukan dokumen resmi dari lembaga di Indonesia yang menetapkan ambang numerik anonimisasi untuk data kesehatan. Naskah UU PDP yang diperiksa juga tidak menetapkan metode teknis atau ambang tersebut. Pedoman Kementerian PPN/Bappenas memberi contoh untuk DTSEN, sedangkan HHS mengatur konteks Amerika Serikat. Proyek kesehatan karena itu memerlukan metode yang sesuai dengan data, penerima, dan lingkungan penggunaan masing-masing.

Berkas pasien menyimpan pengenal di lebih dari satu tempat

Seseorang memeriksa laporan kesehatan, nama berkas, dan pengaturan privasi pada laptop (ilustrasi)
Kolom tabel, teks bebas, nama berkas, dan metadata perlu masuk dalam inventaris pengenal.

Salah satu situasi umum adalah pengiriman hasil laboratorium, resep, atau laporan radiologi ke layanan AI publik. Nama, NIK, nomor rekam medis, nomor telepon, alamat, kode batang, dan kode QR termasuk pengenal yang mudah terlihat. Tanggal lengkap, lokasi fasilitas, waktu kunjungan, atau kombinasi riwayat langka bisa mempersempit pencarian ketika digabungkan. HHS menjelaskan bahwa pengenal bisa berada dalam tabel terstruktur maupun teks bebas, sementara narasi klinis juga bisa membuka konteks identitas.

Penghapusan pengenal dari berkas tidak menjawab kebijakan penyimpanan, penggunaan untuk pelatihan, akses pengelola, atau penghapusan pada layanan penerima. Layanan AI publik menjadi penerima baru dengan aturan dan lingkungan datanya sendiri. Cakupan paparan lebih kecil bila hanya bagian yang diperlukan untuk tugas tertentu yang diproses. Ketidakjelasan kebijakan layanan tetap menjadi risiko dan tidak boleh dianggap sebagai bukti bahwa data langsung terhapus.

Enam catatan penerimaan untuk proyek AI kesehatan

Tim proyek memeriksa tujuan data, hak akses, pengujian risiko, dan catatan audit pada dasbor (ilustrasi)
Penerimaan kumpulan data menghubungkan tujuan, transformasi, akses, pengujian, dan penanganan insiden.

Rumah sakit atau perusahaan membutuhkan catatan penerimaan sebelum kumpulan data masuk ke model internal, layanan awan, atau mitra riset. Daftar kolom yang dihapus hanya menjelaskan sebagian proses. Bukti penerimaan harus menghubungkan versi data, tujuan model, metode transformasi, penerima, serta lingkungan komputasi.

  1. Tujuan dan keluaran. Dokumen menyebut tugas model, pengguna hasil, populasi sasaran, masa retensi, dan alasan setiap variabel dipertahankan.
  2. Kamus data lengkap. Inventaris menyatukan pengenal langsung, kuasi-identitas, teks bebas, tulisan dalam gambar, nama berkas, dan metadata.
  3. Pemisahan identitas. Catatan menetapkan pihak yang menguasai data asli, kode, kunci, serta izin untuk menghubungkan kembali catatan.
  4. Akses dan rekam jejak. Peran, kueri, unduhan, ekspor, lokasi penyimpanan, dan setiap aktivitas pengelola masuk dalam audit.
  5. Uji privasi dan kegunaan. Risiko pemadanan diuji bersama perubahan distribusi, nilai hilang, keterwakilan kelompok, dan kinerja model.
  6. Insiden dan penghentian. Prosedur menetapkan pelaporan, pembekuan akses, penghapusan salinan, penanganan kunci, dan tanggung jawab mitra.

NIST memperingatkan bahwa alat yang hanya menyamarkan informasi pribadi belum tentu cukup untuk menjalankan de-identifikasi dan menghitung risiko identifikasi ulang. Pengujian privasi dan kegunaan data karena itu memerlukan hasil terpisah. Model berbagi juga bisa membatasi kueri atau memakai lingkungan tertutup tanpa mendistribusikan seluruh baris. Pilihan tersebut harus tercatat dalam perjanjian akses dan bukti penerimaan.

Privasi dan kegunaan data harus diuji terpisah

Pengurangan rincian biasanya menurunkan peluang pemadanan, tetapi juga membuang informasi. Pengelompokan usia menyembunyikan variasi di dalam rentang, sedangkan penghapusan kombinasi langka mengurangi contoh yang tersedia bagi model. Hasil uji privasi karena itu perlu berdampingan dengan mutu data dan kinerja AI menurut kelompok. Kelulusan de-identifikasi tidak membuktikan model akurat, aman secara klinis, atau sesuai untuk rumah sakit lain.

Inventaris proyek juga mencakup salinan pengembangan, penyimpanan sementara, cadangan, catatan sistem, salinan model, dan hasil ekspor. Setiap artefak membutuhkan pemilik, masa retensi, izin akses, serta prosedur penghapusan. Tim tidak bisa menelusuri insiden jika versi kumpulan data dan model tidak dipasangkan. Persetujuan privasi, mutu data, dan penerapan model tetap menjadi keputusan yang berbeda.

Pertanyaan yang menentukan status data

Dua kumpulan data dipadankan dan memunculkan peringatan identifikasi ulang (ilustrasi)
Risiko muncul ketika nilai dalam kumpulan data bertemu sumber yang menghubungkannya dengan nama seseorang.

Apakah penghapusan nama dan NIK sudah cukup?

Tidak. Tanggal, wilayah, waktu layanan, diagnosis langka, teks bebas, dan metadata masih bisa membedakan satu catatan dari catatan lain. Penetapan status anonim membutuhkan pengujian terhadap sumber pembanding serta kemampuan penerima pada saat data dibagikan.

Apakah data berpseudonim sudah anonim?

Belum tentu. Kode mendukung analisis longitudinal tanpa menampilkan nama dalam pekerjaan sehari-hari, tetapi kunci terpisah masih membuka jalur pemadanan. Kumpulan data, kunci, hak akses, dan catatan penggunaan harus dinilai sebagai satu sistem.

Apakah data terdeidentifikasi otomatis boleh dipakai melatih AI?

Tidak otomatis. Proyek tetap membutuhkan tujuan pemrosesan, dasar yang sah, mutu data, pengujian privasi, validasi model, dan pengawasan akses. Perubahan kumpulan data, penerima, atau tujuan penggunaan memicu penilaian ulang.