Hak Akses Rekam Medis Elektronik: Contoh Matriks untuk Klinik

Pembagian hak akses rekam medis elektronik dimulai dari pekerjaan yang dilakukan setiap anggota tim. Petakan data yang diperlukan, tindakan yang boleh dilakukan, dan siapa yang menyetujui akses tersebut. Setelah itu, uji rancangan dengan data simulasi dan tinjau kembali ketika tugas atau anggota tim berubah.

Bagi pengelola klinik, hasil pemetaan ini membantu menjelaskan kebutuhan kepada penyedia aplikasi RME. Panduan berikut menyediakan contoh untuk dibahas bersama tim, lalu disesuaikan dengan kewenangan profesi dan kebijakan fasilitas.

Apa yang dimaksud hak akses RME?

Hak akses menentukan apa yang boleh dilakukan pengguna terhadap data atau fungsi sistem. Dua petugas dapat sama-sama berhasil masuk ke aplikasi, tetapi memiliki kebutuhan dan izin yang berbeda.

Bedakan identitas pengguna dan kewenangannya

Autentikasi memastikan identitas pengguna, sedangkan otorisasi menentukan tindakan yang diizinkan. Perbedaan ini dijelaskan dalam OWASP Authorization Cheat Sheet. Dengan demikian, keberhasilan login tidak berarti pengguna boleh membuka seluruh data atau menjalankan semua fungsi.

Saat memetakan akses, tuliskan nama peran beserta tugasnya. Label “admin” saja terlalu luas: apakah yang dimaksud petugas pendaftaran, pengelola akun, atau pengelola operasional?

Pisahkan tindakan yang diperlukan

Misalnya, petugas pendaftaran membutuhkan data administratif untuk menyiapkan kunjungan. Kebutuhan tersebut berbeda dari pencatatan pemeriksaan oleh pemberi pelayanan. Tentukan pula cakupannya: data apa yang diperlukan untuk tugas itu, bukan sekadar menu apa yang terlihat.

Gunakan SOP rekam medis elektronik klinik sebagai gambaran alur layanan. Matriks akses menjadi pendalaman tentang siapa yang menjalankan bagian tertentu dalam alur tersebut.

Dasar penetapan akses dan koreksi data

Pasal 29–30 Permenkes 24 Tahun 2022 menempatkan pemberian akses dalam kebijakan SOP yang ditetapkan pimpinan fasilitas. Prinsipnya mencakup kerahasiaan, integritas, dan ketersediaan. Tiga hak yang disebut adalah penginputan, perbaikan, dan melihat data; pelaksanaannya mengikuti kewenangan masing-masing.

Perhatikan tenggat koreksi: Pasal 30 ayat (6) mengatur perbaikan paling lama 2×24 jam sejak input, bukan batas umum melihat rekam medis. Ayat (7) khusus membahas kesalahan data administratif yang diketahui melewati tenggat, dengan persetujuan PMIK dan/atau pimpinan fasilitas. Jangan memperluas ketentuan itu menjadi izin bebas memperbaiki catatan klinis terlambat. Kebutuhan tersebut perlu ditelaah pihak berwenang. Rujuk naskah resmi Permenkes 24/2022 untuk konteks lengkap; halaman JDIH mencatat statusnya Berlaku saat diperiksa pada 28 Oktober 2026.

Contoh matriks hak akses RME untuk klinik

Mulailah dengan daftar pekerjaan nyata di klinik Anda. Setelah itu, bahas data yang diperlukan dan tindakan yang diusulkan untuk setiap pekerjaan.

Tabel berikut merupakan contoh adaptasi editorial, bukan pembagian hak yang wajib sama di semua fasilitas. Persetujuan mengikuti kebijakan pimpinan; koordinator terkait dapat memeriksa kebutuhan tugas sebelum izin diterapkan.

Contoh matriks untuk dibahas dan disesuaikan:

Jangan memberi seluruh izin hanya karena seseorang merangkap beberapa pekerjaan. Catat setiap kebutuhan secara terpisah agar alasan pemberian akses tetap jelas. Bila klinik memiliki layanan farmasi atau kasir, tambahkan peran tersebut sesuai alur yang benar-benar berjalan.

Catat pula kebutuhan cetak/ekspor, pengelolaan akun, serta dukungan vendor secara terpisah. Itu merupakan fungsi teknis yang perlu ditinjau, bukan tambahan kategori hak yang dinyatakan Pasal 30. Peran pengelola sistem juga tidak otomatis memberi kewenangan memperbaiki isi klinis.

Alur pemberian, perubahan, dan pencabutan akses

Matriks perlu diikuti proses kerja yang dapat dijalankan. Rancangan berikut adalah rekomendasi operasional untuk disesuaikan fasilitas.

Ajukan kebutuhan dan catat persetujuan

Pemohon menjelaskan tugas, data yang diperlukan, tindakan, dan alasan permintaan. Pihak yang ditunjuk dalam kebijakan fasilitas memeriksa kesesuaiannya. Setelah disetujui, pelaksana konfigurasi mencatat izin yang diberikan.

Format register sederhana dapat memuat: pemohon/peran; kebutuhan tugas; cakupan izin; penyetuju; tanggal aktif; tanggal tinjau atau akhir; pelaksana; serta hasil uji. Hindari memasukkan rincian kesehatan pasien ke register pengelolaan akun.

Sebagai simulasi, permintaan akun petugas pendaftaran baru dapat menyebut tugas registrasi dan cakupan data administratif yang disetujui. Tidak perlu menyalin izin milik seluruh anggota tim hanya untuk mempercepat pembuatan akun.

Uji menggunakan akun dan data simulasi

Periksa apakah pengguna dapat menyelesaikan tugas yang disetujui. Periksa juga bahwa tindakan di luar cakupan tersebut tidak tersedia baginya. Simpan hasil yang diharapkan, hasil aktual, tanggal pengujian, dan tindak lanjut jika berbeda.

Prinsip izin minimum, pengujian, serta peninjauan izin dibahas dalam panduan OWASP. Rincian alur persetujuan di atas adalah contoh penerapan operasional, bukan kewajiban hukum yang seluruh formatnya ditetapkan OWASP.

Tinjau saat tugas atau anggota tim berubah

Ketika petugas pindah peran, cocokkan kembali izin lama dengan kebutuhan baru. Saat staf keluar atau pekerjaan dukungan selesai, proses penghentian akses perlu memiliki penanggung jawab dan bukti pemeriksaan.

Tentukan jadwal peninjauan sesuai kebijakan dan risiko fasilitas. Jangan menganggap frekuensi tertentu sebagai ketentuan wajib hanya karena tercantum dalam contoh panduan. Riwayat perubahan izin membantu tim memahami mengapa akses sebelumnya diberikan dan kapan perlu ditinjau.

Empat skenario untuk menguji rancangan akses

Bawa skenario berikut saat pembahasan dengan penyedia RME. Seluruh pengujian menggunakan akun yang diizinkan dan data fiktif.

Skenario 1: pembatasan petugas pendaftaran

Minta peragaan tugas registrasi sesuai rancangan. Kemudian periksa bahwa akun tersebut tidak mendapat fungsi perubahan catatan klinis di luar kewenangan yang disetujui. Catat perbedaan antara kebutuhan klinik dan kemampuan konfigurasi yang tersedia.

Skenario 2: petugas berwenang dapat bekerja

Uji bahwa pemberi pelayanan dapat menyelesaikan dokumentasi yang menjadi tugasnya tanpa meminjam akun rekan. Pembatasan akses perlu tetap memungkinkan pekerjaan yang sah berjalan.

Skenario 3: perubahan peran

Simulasikan seorang petugas berganti tugas. Minta penjelasan proses persetujuan, penyesuaian izin, dan cara memeriksa hasilnya. Pastikan izin lama ikut ditinjau, bukan hanya menambah izin baru.

Skenario 4: penghentian akses dan penelusuran

Minta peragaan penghentian akun pada lingkungan uji dan periksa hasilnya. Tanyakan pula jejak aktivitas apa yang tersedia, siapa yang dapat meninjaunya, serta bagaimana permintaan penelusuran ditangani.

Skenario ini adalah bahan verifikasi. Ketersediaan, cakupan, dan cara kerja setiap fungsi perlu dibuktikan pada aplikasi yang dinilai; jangan menyimpulkannya dari nama fitur saja.

Pertanyaan untuk diskusi kebutuhan RME

Sebelum memilih atau memperbarui aplikasi, siapkan pertanyaan konkret: seberapa rinci izin dapat dibatasi; bagaimana kebutuhan koreksi ditangani; siapa yang dapat mengubah akun; bagaimana penghentian akses diperiksa; dan jejak aktivitas apa yang tersedia untuk tinjauan berwenang.

Gunakan panduan memilih aplikasi RME untuk menghubungkan hasil pembahasan akses dengan kebutuhan sistem secara keseluruhan. Bagi pengelola klinik pratama, cocokkan pula dengan kebutuhan RME klinik pratama dan alur unit yang ada.

Matriks yang berguna membantu tim menjelaskan siapa membutuhkan apa, untuk tugas apa, dan atas persetujuan siapa. Bawa rancangan tersebut ketika membahas penerapan aplikasi agar pertanyaan tidak berhenti pada “apakah tersedia multiuser?”.

Diskusikan kebutuhan RME dan pembagian akses tim klinik Anda bersama Medisy.

Sumber

Permenkes 24 Tahun 2022 tentang Rekam Medis, khususnya Pasal 29–30: https://jdih.kemkes.go.id/storage/documents/pdfs/2022permenkes024.pdf

Status regulasi di JDIH Kemenkes, diperiksa 28 Oktober 2026: https://jdih.kemkes.go.id/documents/peraturan-menteri-kesehatan-nomor-24-tahun-2022

OWASP Authorization Cheat Sheet, acuan teknis umum: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html